---
title: "Mehr als Kästchen"
date: 2026-10-12T00:05:00Z
draft: false
image: "2026-10-12-mehr-als-kaestchen.jpg"
formate: ["montagspost"]
themen: ["isms-governance"]
tags: ["asset-management", "risikoregister", "unsicherheit"]
keywords: ["ArchiMate", "Risk and Security Overlay", "Open Group W172", "FAIR", "ISO 27001", "DORA", "EAM-ISSRM", "ArchiMate 4", "Terje Aven", "epistemische Unsicherheit", "Model Exchange File Format"]
description: "ArchiMate kennt kein Element für Risiko – und verringert doch die Unsicherheit darüber, was ein Ausfall im Fachbereich anrichtet."
---

## 📌 Die gängige Überzeugung

ArchiMate gilt in der Informationssicherheit als Malkasten der Architektur. Man kennt die bunten Kästchen aus dem Anhang eines Architekturdokuments, drei Schichten übereinander, Pfeile dazwischen, und legt das Blatt weg. Der Eindruck hat einen realen Kern: Wer die Sprachspezifikation nach einem Element für Bedrohung, Schwachstelle oder Risiko durchsucht, findet keines. ArchiMate kennt Akteure, Prozesse, Anwendungen und Knoten, aber kein Element, das die Sicherheit selbst benennt. Der Schluss liegt nahe: nicht unsere Sprache.

## ⚡ Das Gegenbeispiel

Der Schluss übersieht, woran sich ein Risiko der Informationssicherheit bemisst. Maßstab ist der Schaden für die Organisation, und der entsteht in den Fachbereichen: Dort bleibt eine Lieferung liegen, dort lässt sich keine Rechnung mehr stellen. Die Fachbereiche nutzen IT als Werkzeug, als Service. Ein Server erleidet keinen Schaden, ein Geschäftsprozess schon.

Genau diese Kette bildet ArchiMate ab, ohne jedes Overlay. Ein Technology Service bedient eine Komponente, die Komponente realisiert einen Application Service, der Service bedient einen Geschäftsprozess, und ein Akteur verantwortet ihn. Wer wissen will, was ein Ausfall im Fachbereich anrichtet, folgt den Pfeilen. Ohne Modell schätzt er, und die Schätzung hat kein Fundament: Die Spanne reicht vom Ärgernis bis zum Stillstand. Epistemische Unsicherheit heißt das in der Fachliteratur, bei Wahrscheinlichkeiten spricht sie von Imprecise Probabilities. Terje Aven verlangt, neben der Wahrscheinlichkeit auch die Stärke des Wissens auszuweisen, auf dem sie ruht.

Das Modell erzeugt dieses Wissen nicht, es macht die Abläufe der Organisation transparent. Wer sie kennt, schätzt den Schaden enger. Die Norm verlangt Teile davon ohnehin: ISO/IEC 27001 fordert in Abschnitt 4.3 für den Anwendungsbereich die Schnittstellen und Abhängigkeiten zu anderen Organisationen. Das Inventar der Informationen und Werte (Anhang A der Fassung 2022, Maßnahme 5.9) listet die Werte auf, ArchiMate verknüpft sie. Für Finanzunternehmen schreibt DORA in Artikel 8 vor, die Verbindungen und Interdependenzen zwischen Informations- und IKT-Assets zu erfassen. Und Stakeholder, Driver, Goal, Requirement und Principle bilden ab, was die Abschnitte 4.1 und 4.2 verlangen. Das sind die Themen der Organisation und die Anforderungen der interessierten Parteien.

ArchiMate ist zudem eine Sprache im vollen Sinn und nicht nur eine Zeichnung. Die Spezifikation legt Elementtypen, Beziehungen und zulässige Verbindungen fest, das Bild ist eine Darstellung davon. Für den Austausch gibt es ein XML-Format mit Schema, das zertifizierte Werkzeuge seit 2018 beherrschen müssen.

## 🔗 Was beide Seiten verbindet

Ein Risikoregister steht nicht neben dem Architekturmodell, es baut darauf auf. Jede Zeile nennt einen Schaden in einem Fachbereich, den Service, dessen Ausfall ihn auslöst, und den Wert, der betroffen ist. Das sind Elemente des Modells. Fehlt das Modell, schreibt jemand sie aus dem Kopf in die Zeile. Was die Zeile mit der nächsten zu tun hat, weiß dann nur, wer beide geschrieben hat. Mit Modell verweist die Zeile auf die Elemente, und die Verbindungen stehen schon da. Das Register bleibt die Liste der Entscheidungen, das Modell liefert den Boden, auf dem sie stehen. Ein Modell ist ein Graph: Eine Liste kann nicht sagen, welche Geschäftsprozesse stillstehen, wenn diese Anwendung ausfällt, ein Graph sagt es jedes Mal gleich. Die Anwendbarkeitserklärung nennt die Maßnahme, das Inventar nennt die Werte. Welche Maßnahme welchen Wert schützt, steht in keinem von beiden.

Dem Modell fehlt noch das Vokabular der Sicherheit: Bedrohung, Schwachstelle, Risiko. Dafür gibt es das Risk and Security Overlay, das ArchiMate Forum und Security Forum der Open Group erarbeitet haben. Es erfindet keine Elemente, es spezialisiert vorhandene. Ein Threat Agent ist ein aktives Strukturelement, Threat Event und Loss Event sind Business Events. Vulnerability und Risk sind Assessments, ein Control Objective ist ein Goal, ein Security Requirement bleibt ein Requirement. Das Vokabular stammt aus Open FAIR. „Die wahrscheinliche Häufigkeit und das wahrscheinliche Ausmaß künftiger Verluste“ ist die Risikodefinition des Overlays und wörtlich die von Open FAIR.

Das Modell verengt allerdings nur eine Hälfte der Schätzung. Es zeigt, was ein Ausfall im Fachbereich anrichtet, also die Schadensseite. Wie oft jemand angreift, sagt es nicht. Diese Unsicherheit bleibt, und wer das Gegenteil verspricht, verspricht zu viel.

## ⚠️ Der Einwand, der bleibt

Ein Modell, das niemand nachzieht, erzeugt falsches Wissen, und das ist schlimmer als erkannter Nebel. Der Nebel warnt, das veraltete Modell beruhigt. Wer es führt, braucht jemanden, der die Änderungen in den Fachbereichen kennt. Hier hilft, dass ArchiMate eine Sprache ist: Eine KI kann das Modell lesen, auf fehlende und unzulässige Beziehungen prüfen und nachführen, etwa über einen der frühen MCP-Server wie mcp-archimate, der ArchiMate-Regeln prüft. Sie kann aber auch Fehler einfügen, die plausibel aussehen. Eine Untersuchung zur KI-gestützten Unternehmensmodellierung hält die Aufsicht durch Fachleute deshalb für unverzichtbar.

Hinzu kommt der Stand des Overlays. Es ist kein Standard, es steht in einem White Paper der Open Group und nicht in der Spezifikation. Kein Werkzeug muss es umsetzen, die Norm verlangt es nicht. Die Forschung hat Mängel gefunden. Mayer und Feltus haben die Fassung von 2015 geprüft. Die Abdeckung ist bis auf das Konzept „Event“ vollständig, die Notation aber überladen, elf Symbole haben mehrere Bedeutungen. Sales, Guizzardi und das übrige Autorenteam haben das Overlay ontologisch analysiert: Risiko als Assessment zu führen vermengt das Urteil mit dem, worüber geurteilt wird. Zwei Modellierende kommen so zu zwei Modellen, beide nach White Paper vertretbar.

Das sind Befunde über das Overlay, nicht über die Idee, Risiken am Architekturmodell festzumachen. Mayer und Feltus gehören selbst zu den Autoren eines integrierten Modells von 2019. Es verbindet das Risikomanagement der Informationssicherheit mit dem Architekturmanagement, weil das bei vernetzten Systemen und mehreren Regulierungen hilft.

## 🎯 Die eigentliche Erkenntnis

ArchiMate 4 hat im April 2026 die Zahl der Konzepte um 30 Prozent verringert, von sechzig auf 42. Spezialfälle verweist die Sprache auf Spezialisierung, Attribute und vereinbarte Konventionen. Was das Overlay als Ausnahme vorgemacht hat, ist damit der reguläre Weg der Sprache. Verbindlich wird die Sicherheitsmodellierung dadurch nicht. Sie wird zur Sache derer, die modellieren.

Das ist die Zumutung und zugleich der Gewinn. Wer eine Bedrohung ins Modell setzt, muss sagen, an welchem Element sie hängt und welche Maßnahme sich gegen sie richtet. Ein Register ohne Modell darf diese Frage offenlassen; dort steht „Ransomware“ als Zeile, und niemand fragt zurück. Ein Kästchen ohne Pfeil fällt dagegen auf, auch einer Maschine: eine Wissenslücke, die jetzt einen Ort hat.

## 📚🔍

- The Open Group – How to Model Enterprise Risk Management and Security with the ArchiMate Language (W172) [https://publications.opengroup.org/w172](https://publications.opengroup.org/w172)
- Band et al. (2015) – Modeling Enterprise Risk Management and Security with the ArchiMate Language, White Paper (Vorläufer von W172) [https://pure.unamur.be/ws/files/12366722/Modeling_Enterprise_Risk_Management_and_Secutity_with_the_ArchiMate_Language.pdf](https://pure.unamur.be/ws/files/12366722/Modeling_Enterprise_Risk_Management_and_Secutity_with_the_ArchiMate_Language.pdf)
- The Open Group – ArchiMate 4 Specification [https://publications.opengroup.org/c260](https://publications.opengroup.org/c260)
- Mayer, Feltus (2017) – Evaluation of the Risk and Security Overlay of ArchiMate to model Information System Security Risks [https://www.nmayer.eu/publis/VORTE%202017%20v3.0.pdf](https://www.nmayer.eu/publis/VORTE%202017%20v3.0.pdf)
- Mayer et al. (2019) – An Integrated Conceptual Model for Information System Security Risk Management and Enterprise Architecture Management based on TOGAF, ArchiMate, IAF and DoDAF [https://arxiv.org/abs/1701.01664](https://arxiv.org/abs/1701.01664)
- Sales et al. (2018) – Ontological Analysis and Redesign of Risk Modeling in ArchiMate [https://nemo.inf.ufes.br/wp-content/papercite-data/pdf/ontological_analysis_and_redesign_of_risk_modeling_in_archimate_2018.pdf](https://nemo.inf.ufes.br/wp-content/papercite-data/pdf/ontological_analysis_and_redesign_of_risk_modeling_in_archimate_2018.pdf)
- FAIR Institute – What is FAIR [https://www.fairinstitute.org/what-is-fair](https://www.fairinstitute.org/what-is-fair)
- The Open Group – Risk Taxonomy (O-RT), Version 3.1 [https://pubs.opengroup.org/security/o-rt](https://pubs.opengroup.org/security/o-rt)
- Terje Aven - Foundations of Risk Analysis [https://www.mindtherisk.com/literature/87-foundations-of-risk-analysis-a-knowledge-and-decision-oriented-perspective-by-terje-aven](https://www.mindtherisk.com/literature/87-foundations-of-risk-analysis-a-knowledge-and-decision-oriented-perspective-by-terje-aven)
- Imprecise Probabilities (Stanford Encyclopedia of Philosophy) [https://plato.stanford.edu/entries/imprecise-probabilities/](https://plato.stanford.edu/entries/imprecise-probabilities/)
- The Open Group – ArchiMate Model Exchange File Format [https://www.opengroup.org/open-group-archimate-model-exchange-file-format](https://www.opengroup.org/open-group-archimate-model-exchange-file-format)
- Reitemeyer, Fill (2025) – Applying Large Language Models in Knowledge Graph-based Enterprise Modeling: Challenges and Opportunities [https://arxiv.org/abs/2501.03566](https://arxiv.org/abs/2501.03566)
- mcp-archimate – MCP-Server für ArchiMate-Modelle (Beispiel für KI-Werkzeuge) [https://github.com/byrondelgado/mcp-archimate](https://github.com/byrondelgado/mcp-archimate)
- Verordnung (EU) 2022/2554 (DORA), Artikel 8 [https://eur-lex.europa.eu/legal-content/DE/TXT/HTML/?uri=CELEX:32022R2554](https://eur-lex.europa.eu/legal-content/DE/TXT/HTML/?uri=CELEX:32022R2554)