FAIR on .kais blog

Das eine Risikomaß

Wed, 11 Mar 2026 07:35:00 +0100

🔍 Was beobachte ich?

Jedes Security-Dashboard zeigt Risiko-Scores. CVSS, Risk-Index, Risikorating – alles landet auf einer Skala. Die Ampel springt auf Rot, der Score überschreitet 7,5, also wird priorisiert. Wessen Abweichung von welchem Ziel dabei gemeint ist, fragt niemand.

🎯 Was soll eigentlich erreicht werden?

Risiken vergleichbar und priorisierbar machen. Entscheidungstragende sollen auf einen Blick sehen, was kritisch ist – und Investitionen dorthin lenken, wo der Handlungsbedarf am größten ist.

Punktlandung im Nebel

Fri, 27 Feb 2026 07:35:00 +0100

🔍 Was beobachte ich?

Im Risk-Register steht: Eintrittswahrscheinlichkeit 30%. Schadenshöhe 250.000 Euro. Zwei Nachkommastellen Genauigkeit, null Nachkommastellen Ehrlichkeit. Niemand fragt, wie sicher sich die schätzende Person bei diesen Zahlen ist.

🎯 Was soll eigentlich erreicht werden?

Risiken vergleichbar und priorisierbar machen.

⚠️ Warum funktioniert das nicht?

Ein einzelner Punktwert suggeriert eine Präzision, die nicht existiert. Wer “30%” sagt, meint vielleicht “irgendwo zwischen 10% und 50%”. Diesen Unterschied verschluckt die Zahl. Entscheidungstragende treffen auf dieser Basis Investitionsentscheidungen - ohne zu wissen, wie dünn das Eis ist.

Ohne Daten keine Wahrscheinlichkeit

Fri, 20 Feb 2026 07:35:00 +0100

🔍 Was beobachte ich?

“Wir können keine Wahrscheinlichkeiten angeben - uns fehlen die statistischen Daten.” Diesen Satz höre ich in fast jedem Risk-Assessment-Workshop. Die Folge: Risiken werden gar nicht bewertet oder mit bedeutungslosen Kategorien wie “mittel” versehen.

🎯 Was soll eigentlich erreicht werden?

Eine fundierte Einschätzung, wie plausibel der Eintritt eines Risikos ist.

⚠️ Warum funktioniert das nicht?

Wer auf objektive Statistiken wartet, wartet bei singulären Risiken für immer. Die nächste Ransomware-Attacke auf genau diese Organisation ist kein wiederholbares Zufallsexperiment. Objektive Häufigkeiten helfen hier nicht weiter. Also passiert nichts - oder jemand schätzt ohne Methode.

Babylonische Sprachverwirrung im Risikomanagement

Wed, 18 Feb 2026 07:35:00 +0100

🔍 Was beobachte ich?

Zehn Leute bewerten Risiken im Workshop. Drei meinen mit “Risiko” die Eintrittswahrscheinlichkeit, zwei den Schaden, der Rest irgendetwas dazwischen. Alle nicken. Niemand meint dasselbe.

🎯 Was soll eigentlich erreicht werden?

Eine gemeinsame Risikobewertung. Eine Sprache, vergleichbare Ergebnisse.

⚠️ Warum funktioniert das nicht?

ISO 31000 definiert Risiko als “Auswirkung von Unsicherheit auf Ziele”. NIST spricht von Threats und Vulnerabilities. FAIR zerlegt Risiko in Loss Event Frequency und Loss Magnitude. Alle bringen ihr Framework im Kopf mit. Niemand legt die Karten auf den Tisch. Das Ergebnis: Ein Risk-Register voller Bewertungen, die nicht vergleichbar sind.