Kalibrierte Schätzung on .kais blog

Das Nilpferd am Tisch

Fri, 19 Jun 2026 07:35:00 +0200

🔍 Was beobachte ich?

Ich sehe es immer wieder: Im Risiko-Workshop schätzt das Team Eintrittswahrscheinlichkeit und Schadenshöhe. Dann spricht die ranghöchste Person, und die Bewertung wandert in ihre Richtung. Das Muster hat einen Namen: HiPPO, die Highest Paid Person’s Opinion.

🎯 Was soll eigentlich erreicht werden?

Risikoentscheidungen brauchen Verantwortung, und die liegt zu Recht bei der Leitung. ISO 27001 legt die Akzeptanz von Restrisiken in die Hände der Risikoverantwortlichen – die Bewertung selbst soll Methode haben.

Die seriöse Zahl

Wed, 03 Jun 2026 07:35:00 +0200

🔍 Was beobachte ich?

In Risiko-Workshops kommen Zahlen heraus, die wie Messungen aussehen: 23 % Eintrittswahrscheinlichkeit, 2,5 Mio. € Schaden. Niemand fragt, woher die Eingaben stammen. Die Zahl trägt ihre Herkunft nicht an sich.

🎯 Was soll eigentlich erreicht werden?

Risiken vergleichbar machen, Entscheidungen begründen. ISO/IEC 27001 verlangt in Abschnitt 6.1.2 b ein Verfahren, das wiederholt konsistente, valide und vergleichbare Ergebnisse liefert.

Das strategische Hoch

Wed, 20 May 2026 07:35:00 +0200

🔍 Was beobachte ich?

Risikoworkshops enden mit Ampelfarben. „Hoch", „mittel", „niedrig" – ohne Zahlen, ohne Herleitung. Nicht weil Daten fehlen. Sondern weil „hoch" niemanden festlegt. Wer nie eine Zahl nennt, kann nie danebenliegen.

🎯 Was soll eigentlich erreicht werden?

Risiken sollen priorisierbar sein – über Zeit, über Personen, über Budgetentscheidungen hinweg.

⚠️ Warum funktioniert das nicht?

„Hoch" ist nicht falsifizierbar. Ein Risiko mit 5 % Wahrscheinlichkeit und 10 Mio. € Schaden ist „hoch". Eines mit 40 % und 200.000 € auch. Was kostet die Gegenmaßnahme – und lohnt sie sich für welches der beiden? Die Ampel kann diese Frage nicht beantworten. Sie schützt nicht vor dem Risiko. Sie schützt vor der Aussage.

Ohne Daten keine Wahrscheinlichkeit

Fri, 20 Feb 2026 07:35:00 +0100

🔍 Was beobachte ich?

“Wir können keine Wahrscheinlichkeiten angeben - uns fehlen die statistischen Daten.” Diesen Satz höre ich in fast jedem Risk-Assessment-Workshop. Die Folge: Risiken werden gar nicht bewertet oder mit bedeutungslosen Kategorien wie “mittel” versehen.

🎯 Was soll eigentlich erreicht werden?

Eine fundierte Einschätzung, wie plausibel der Eintritt eines Risikos ist.

⚠️ Warum funktioniert das nicht?

Wer auf objektive Statistiken wartet, wartet bei singulären Risiken für immer. Die nächste Ransomware-Attacke auf genau diese Organisation ist kein wiederholbares Zufallsexperiment. Objektive Häufigkeiten helfen hier nicht weiter. Also passiert nichts - oder jemand schätzt ohne Methode.