Fachthemen
Grenzen der IT-Risikomodellierung
Betriebsrisiken und gezielte Cyberangriffe
Petra Haferkorn
Abstract
Unternehmen nutzen Risikoprognosen, um angemessene finanzielle Rücklagen für erwartete IT-Schäden zu bilden. Darüber hinaus kann die Abschätzung möglicher Auswirkungen von IT-Sicherheitsvorfällen die Geschäftsleitung bei der Entscheidung für oder gegen den Abschluss einer Cyberversicherung unterstützen. Schließlich sollen Risikomodelle Unternehmen dabei helfen, bereits identifizierte Sicherheitslücken bei ihrer Behebung systematisch nach der Höhe des jeweils zugehörigen Risikos zu priorisieren.
Die Aussagekraft mathematisch-statistischer Modellierungen ist jedoch in zweifacher Hinsicht begrenzt: Erstens beseitigen umsichtig handelnde Unternehmen bekannte Sicherheitsmängel, sodass historische Schadensszenarien unter vergleichbaren Bedingungen künftig nicht mehr auftreten sollten. Damit wird die direkte Übertragbarkeit historischer Schadensdaten auf die Risikomodellierung zukünftiger Ereignisse grundsätzlich infrage gestellt. Zweitens beruht der Erfolg gezielter Cyberangriffe gerade darauf, für die betroffenen Unternehmen unvorhersehbar zu sein, also bewusst von bisherigen Erfahrungen und etablierten Erwartungen der potenziellen Opfer abzuweichen. Auch hier stellt sich daher die Frage, welche belastbare Aussagekraft die Datenhistorie vergangener Angriffe für die praktische Risikoprognose tatsächlich besitzt.
