Risikoschätzung on .kais blog

Die falsch gestellte Frage

Mon, 24 Aug 2026 07:35:00 +0200

❓ Die Ausgangsfrage

„Wie riskant ist KI?“ Die Frage fällt in fast jedem Gremium, in dem ich sitze. Sie klingt vernünftig und ist doch unbeantwortbar – nicht weil wir zu wenig wüssten, sondern weil sie fünf Fragen zu einer verdichtet.

🔍 Risiko für wen?

Die KI kann Ziel sein: Prompt-Injection macht sie zur Angriffsfläche. Sie kann Werkzeug sein, wenn Angreifende mit ihr Phishing-Mails, Deepfakes oder Exploits bauen. Und sie kann Verursacherin sein, ohne Angriff – sie erfindet Pakete, meldet Tests grün, die nie liefen, löscht Arbeitsstände. In allen drei Rollen entscheidet am Ende ein Mensch, was installiert, übernommen oder geglaubt wird. In der vierten fehlt er – die Frage ist nur, wen es trifft: Dritte oder uns.

Die fremde Gewichtung

Fri, 14 Aug 2026 07:35:00 +0200

🔍 Was beobachte ich?

Schwachstellen bekommen einen CVSS-Wert, Bedrohungen eine DREAD-Summe, Risiken eine Farbe in der Matrix. Danach streiten alle über die Zahl, nie über den Weg dorthin. Ich habe früher selbst nach Score sortiert und das für Priorisierung gehalten.

🎯 Was soll eigentlich erreicht werden?

Vergleichbarkeit. Aus vielen Einzelmerkmalen soll eine Reihenfolge werden, an der sich Aufwand, Budget und Termine festmachen lassen.

Der Preis der Präzision

Mon, 06 Jul 2026 07:35:00 +0200

📌 Wenn die Antwort schon feststeht

Wir bewerten Risiken, als wäre jede Nachkommastelle bares Geld wert. Konfidenzintervalle enger ziehen, Schadenshöhen dritteln, Eintrittswahrscheinlichkeiten auf die zweite Nachkommastelle schätzen. Doch bei vielen Risiken ändert sich die Behandlungsentscheidung nicht, egal wie genau wir schätzen. Ob der Erwartungswert 40.000 oder 60.000 Euro beträgt - patchen müssen wir so oder so. Die dritte Nachkommastelle kostet Zeit und ändert nichts.

⚡ Der Wert der Gewissheit

Douglas Hubbard rechnet das über den Expected Value of Perfect Information vor. Verändert eine präzisere Schätzung keine einzige Behandlungsentscheidung, ist ihr Informationswert null - unabhängig vom Aufwand dahinter. Genauigkeit ist keine Tugend an sich. Sie ist nur so viel wert, wie sie eine Wahl beeinflusst.

Das Nilpferd am Tisch

Fri, 19 Jun 2026 07:35:00 +0200

🔍 Was beobachte ich?

Ich sehe es immer wieder: Im Risiko-Workshop schätzt das Team Eintrittswahrscheinlichkeit und Schadenshöhe. Dann spricht die ranghöchste Person, und die Bewertung wandert in ihre Richtung. Das Muster hat einen Namen: HiPPO, die Highest Paid Person’s Opinion.

🎯 Was soll eigentlich erreicht werden?

Risikoentscheidungen brauchen Verantwortung, und die liegt zu Recht bei der Leitung. ISO 27001 legt die Akzeptanz von Restrisiken in die Hände der Risikoverantwortlichen – die Bewertung selbst soll Methode haben.

In welcher Welt spielen wir

Mon, 15 Jun 2026 07:35:00 +0200

❓ Die Frage, die wir überspringen

Wir behandeln Informationssicherheit gern als Ingenieursdisziplin. Risiken werden identifiziert, in einer Matrix bewertet, in ein Register überführt, behandelt. Das funktioniert erstaunlich oft. Und manchmal versagt es vollständig – obwohl die Methode sauber angewandt wurde. Die Frage, die wir selten stellen, lautet: Warum eigentlich?

🔍 Die erste Antwort

Weil nicht jedes Problem dieselbe Art von Problem ist. Dave Snowdens Cynefin-Modell unterscheidet Problemwelten. Im Klaren gibt es bewährte Praxis – Härtungs-Checklisten, klare Ursache und Wirkung. Im Komplizierten helfen Fachwissen und Analyse; hier sind unsere Risikomatrizen und Register zu Hause, hier gibt es eine richtige Antwort, man muss sie nur finden. Doch ein lernender Angreifer, eine verzweigte Lieferkette, ein über Jahre gewachsenes Systemgefüge gehören nicht hierher. Sie sind komplex: Ursache und Wirkung zeigen sich erst im Nachhinein.

Die Nebenwirkung ohne Beipackzettel

Wed, 10 Jun 2026 07:35:00 +0200

🔍 Was beobachte ich?

Ein Risiko wird behandelt, die Kennzahl färbt sich grün, das Register meldet Vollzug. Ich erlebe dann denselben Moment der Erleichterung – und dieselbe Lücke danach: Niemand prüft, welche neuen Risiken die Maßnahme selbst eingeführt hat.

🎯 Was soll eigentlich erreicht werden?

Die Absicht ist richtig: Ein erkanntes Risiko soll sinken, ein Schwachpunkt geschlossen werden. Risikobehandlung ist der Kern jedes ISMS.

Die seriöse Zahl

Wed, 03 Jun 2026 07:35:00 +0200

🔍 Was beobachte ich?

In Risiko-Workshops kommen Zahlen heraus, die wie Messungen aussehen: 23 % Eintrittswahrscheinlichkeit, 2,5 Mio. € Schaden. Niemand fragt, woher die Eingaben stammen. Die Zahl trägt ihre Herkunft nicht an sich.

🎯 Was soll eigentlich erreicht werden?

Risiken vergleichbar machen, Entscheidungen begründen. ISO/IEC 27001 verlangt in Abschnitt 6.1.2 b ein Verfahren, das wiederholt konsistente, valide und vergleichbare Ergebnisse liefert.

Die fertige Liste

Fri, 29 May 2026 07:35:00 +0200

🔍 Was beobachte ich?

Risikoworkshops enden mit einem gepflegten Register: Bedrohungen erfasst, Schwachstellen zugeordnet, Schäden geschätzt. Was nicht im Register steht, gilt als abgedeckt. Die nicht identifizierten Risiken hinterlassen keine Spur – also gibt es sie nicht.

🎯 Was soll eigentlich erreicht werden?

ISO/IEC 27001 verlangt in Abschnitt 6.1.2 b ein Verfahren, das wiederholt konsistente, valide und vergleichbare Ergebnisse liefert. Das Register soll Entscheidungen tragen, Ressourcen lenken und Verantwortung sichtbar machen.

Das strategische Hoch

Wed, 20 May 2026 07:35:00 +0200

🔍 Was beobachte ich?

Risikoworkshops enden mit Ampelfarben. „Hoch", „mittel", „niedrig" – ohne Zahlen, ohne Herleitung. Nicht weil Daten fehlen. Sondern weil „hoch" niemanden festlegt. Wer nie eine Zahl nennt, kann nie danebenliegen.

🎯 Was soll eigentlich erreicht werden?

Risiken sollen priorisierbar sein – über Zeit, über Personen, über Budgetentscheidungen hinweg.

⚠️ Warum funktioniert das nicht?

„Hoch" ist nicht falsifizierbar. Ein Risiko mit 5 % Wahrscheinlichkeit und 10 Mio. € Schaden ist „hoch". Eines mit 40 % und 200.000 € auch. Was kostet die Gegenmaßnahme – und lohnt sie sich für welches der beiden? Die Ampel kann diese Frage nicht beantworten. Sie schützt nicht vor dem Risiko. Sie schützt vor der Aussage.

Wenn Zahlen versagen

Mon, 18 May 2026 07:35:00 +0200

❓ Die zentrale Frage

FAIR-Modelle sind logisch durchdacht, Risk-Register gewissenhaft gepflegt, Eintrittswahrscheinlichkeiten sauber kalkuliert. Und dann: die XZ-Backdoor. Über zwei Jahre schleuste ein Maintainer eine Backdoor in eine Kernbibliothek – entdeckt durch Zufall, Tage bevor sie in jede Linux-Distribution gewandert wäre. Kein Risikomodell hatte diesen Vektor je auf der Liste.

🔍 Die unbequeme Erkenntnis

Das ist kein Versäumnis der Methode. Das ist Frank Knights Erkenntnis von 1921: Es gibt Risiko – messbar, mit bekannter Verteilung. Und es gibt Knightian Uncertainty – Unsicherheit, bei der die Wahrscheinlichkeit selbst unbekannt ist. Zero-Day-Exploits, Supply-Chain-Attacken, geopolitische Kampagnen: das ist der Standard bei echten Bedrohungen.

Apfel × Handtuch = Regen

Wed, 13 May 2026 07:35:00 +0200

🔍 Was beobachte ich?

In jeder zweiten Risikomatrix multipliziert jemand Wahrscheinlichkeit mit Schadenshöhe. Aus „2 × 4 = 8" wird ein „mittleres Risiko", aus „3 × 3 = 9" ein „hohes". Die Ampel springt auf Rot, das Steuerungsgremium nickt.

🎯 Was soll eigentlich erreicht werden?

Risiken sollen vergleichbar werden. Eine Zahl, eine Farbe, eine Entscheidung. Die Risikomatrix gilt seit Jahrzehnten als pragmatische Standardmethode.

Die Erlaubnis zum Zweifel

Mon, 11 May 2026 07:35:00 +0200

🤝 Der vertraute Einwand

“Wir machen doch Risk Assessments.” Diesen Reflex erlebe ich bei jeder Frage nach den verborgenen Risiken eines Projekts. Verständlich. Wer ein ISMS nach ISO 27001 betreibt, hat eine Risikoeinschätzung vorzuweisen. Wer Projekte führt, hat ein Risikoregister. Methodik liegt vor, Werkzeuge auch. Alles geprüft, alles dokumentiert.

⚖️ Was daran stimmt

Die Methodik ist tatsächlich nicht das Problem. Risikoidentifikation, Bewertung, Behandlung – das beherrschen die Werkzeuge gut. Wer eine FAIR-Analyse macht, kommt zu belastbaren Zahlen. Wer Bow-Ties zeichnet, sieht Ursachen und Folgen. Wer Threat-Modelling betreibt, kennt seine Angreifertypen. Auf der Methodenseite liegt alles bereit.

Die Sicherheitsinventur

Wed, 29 Apr 2026 07:35:00 +0200

🔍 Was beobachte ich?

In Risk-Workshops werden Assets der Reihe nach durchgegangen: Schwachstellen-Scans, Bedrohungskataloge, Einstufungen nach Vertraulichkeit, Integrität und Verfügbarkeit. Das nennt sich Risikoidentifikation. Das Ergebnis ist eine priorisierte Schwachstellenliste – kein Risikoregister.

🎯 Was soll eigentlich erreicht werden?

Risiken systematisch identifizieren und priorisieren. ISO 31000 und ISO 27001 fordern genau das. Nur die Methode – Asset-Inventur plus Bedrohungsabgleich – führt nicht dorthin.

Risiko ohne Ziel

Wed, 22 Apr 2026 07:35:00 +0200

🔍 Was beobachte ich?

In Risk-Workshops sehe ich regelmäßig dasselbe Muster: Risiken werden bewertet, priorisiert, mit Controls versehen. Vorher hat niemand gefragt, welche Geschäftsziele auf dem Spiel stehen. Das Risikoregister ist korrekt ausgefüllt – und völlig kontextlos.

🎯 Was soll eigentlich erreicht werden?

Risikomanagement soll Entscheidungen ermöglichen: Welche Risiken akzeptiere ich, welche behandle ich zuerst? ISO 31000 definiert Risiko als „Auswirkung von Unsicherheit auf Ziele" – die Bewertung setzt damit voraus, dass Ziele existieren.

Einmal bewertet, für immer gültig

Wed, 18 Mar 2026 07:35:00 +0100

🔍 Was beobachte ich?

Risikobewertungen entstehen einmal im Jahr vor dem Audit. Danach ruhen sie im Register. Zwischendurch passiert ein Vorfall in der Branche, eine neue Schwachstelle wird bekannt, die Bedrohungslage ändert sich. Neue Services gehen live, IT-Systeme werden migriert, Abteilungen umstrukturiert. Die Bewertungen bleiben, wie sie sind.

🎯 Was soll eigentlich erreicht werden?

Ein aktuelles Lagebild der Risikosituation.

⚠️ Warum funktioniert das nicht?

Eine Wahrscheinlichkeitsschätzung ist kein Foto, das man einmal macht und einrahmt. Sie spiegelt den Wissensstand zum Zeitpunkt der Bewertung. Neue Informationen verändern diesen Wissensstand. Wer das ignoriert, trifft Entscheidungen auf Basis veralteter Annahmen.

Das eine Risikomaß

Wed, 11 Mar 2026 07:35:00 +0100

🔍 Was beobachte ich?

Jedes Security-Dashboard zeigt Risiko-Scores. CVSS, Risk-Index, Risikorating – alles landet auf einer Skala. Die Ampel springt auf Rot, der Score überschreitet 7,5, also wird priorisiert. Wessen Abweichung von welchem Ziel dabei gemeint ist, fragt niemand.

🎯 Was soll eigentlich erreicht werden?

Risiken vergleichbar und priorisierbar machen. Entscheidungstragende sollen auf einen Blick sehen, was kritisch ist – und Investitionen dorthin lenken, wo der Handlungsbedarf am größten ist.

Punktlandung im Nebel

Fri, 27 Feb 2026 07:35:00 +0100

🔍 Was beobachte ich?

Im Risk-Register steht: Eintrittswahrscheinlichkeit 30%. Schadenshöhe 250.000 Euro. Zwei Nachkommastellen Genauigkeit, null Nachkommastellen Ehrlichkeit. Niemand fragt, wie sicher sich die schätzende Person bei diesen Zahlen ist.

🎯 Was soll eigentlich erreicht werden?

Risiken vergleichbar und priorisierbar machen.

⚠️ Warum funktioniert das nicht?

Ein einzelner Punktwert suggeriert eine Präzision, die nicht existiert. Wer “30%” sagt, meint vielleicht “irgendwo zwischen 10% und 50%”. Diesen Unterschied verschluckt die Zahl. Entscheidungstragende treffen auf dieser Basis Investitionsentscheidungen - ohne zu wissen, wie dünn das Eis ist.

Einmal bewertet, für immer gültig

Wed, 25 Feb 2026 07:35:00 +0100

🔍 Was beobachte ich?

🎯 Was soll eigentlich erreicht werden?

Ein aktuelles Lagebild der Risikosituation.

⚠️ Warum funktioniert das nicht?

Ohne Daten keine Wahrscheinlichkeit

Fri, 20 Feb 2026 07:35:00 +0100

🔍 Was beobachte ich?

“Wir können keine Wahrscheinlichkeiten angeben - uns fehlen die statistischen Daten.” Diesen Satz höre ich in fast jedem Risk-Assessment-Workshop. Die Folge: Risiken werden gar nicht bewertet oder mit bedeutungslosen Kategorien wie “mittel” versehen.

🎯 Was soll eigentlich erreicht werden?

Eine fundierte Einschätzung, wie plausibel der Eintritt eines Risikos ist.

⚠️ Warum funktioniert das nicht?

Wer auf objektive Statistiken wartet, wartet bei singulären Risiken für immer. Die nächste Ransomware-Attacke auf genau diese Organisation ist kein wiederholbares Zufallsexperiment. Objektive Häufigkeiten helfen hier nicht weiter. Also passiert nichts - oder jemand schätzt ohne Methode.

Babylonische Sprachverwirrung im Risikomanagement

Wed, 18 Feb 2026 07:35:00 +0100

🔍 Was beobachte ich?

Zehn Leute bewerten Risiken im Workshop. Drei meinen mit “Risiko” die Eintrittswahrscheinlichkeit, zwei den Schaden, der Rest irgendetwas dazwischen. Alle nicken. Niemand meint dasselbe.

🎯 Was soll eigentlich erreicht werden?

Eine gemeinsame Risikobewertung. Eine Sprache, vergleichbare Ergebnisse.

⚠️ Warum funktioniert das nicht?

ISO 31000 definiert Risiko als “Auswirkung von Unsicherheit auf Ziele”. NIST spricht von Threats und Vulnerabilities. FAIR zerlegt Risiko in Loss Event Frequency und Loss Magnitude. Alle bringen ihr Framework im Kopf mit. Niemand legt die Karten auf den Tisch. Das Ergebnis: Ein Risk-Register voller Bewertungen, die nicht vergleichbar sind.