Cyberrisiken sind Teil des Non-Financial Risk. Die größte methodische Herausforderung ist heute, dass KI-gestützte Angriffe die historische Datenbasis entwerten.
Die Quantifizierung ermöglicht fundiertere Entscheidungen und gezieltere Kapitalallokation. Als Voraussetzung müssen die Modelle vorausschauend statt rein rückwärtsgewandt kalibriert sein.
KI-gestützte Angriffe verkürzen die Zeit zwischen der Entdeckung einer Schwachstelle und ihrer Ausnutzung erheblich. Mit steigenden regulatorischen Anforderungen, insbesondere durch DORA, benötigen Institute belastbare Methoden, um Cyberrisiken unternehmensweit zu bewerten, zu quantifizieren und wirksam zu steuern. Die entscheidende Frage ist nicht mehr, ob Banken Cyberrisiken bewerten, sondern ob ihre Bewertungsmethoden mit einer Bedrohung Schritt halten, die sich strukturell verändert.
Cyberrisiko-Management als Teil des Non-Financial Risk
Cyberrisiken stehen heute gleichberechtigt neben operationellen, Compliance- und Reputationsrisiken und sind ein zentraler Bestandteil des Non-Financial Risk.
Auch regulatorisch spiegelt sich diese Entwicklung wider. Vorgaben wie der Digital Operational Resilience Act (DORA) verlangen explizit, ICT-Risiken in ein integriertes Risikomanagement einzubetten. In der Praxis bedeutet das: Cyberrisiken müssen in bestehende Governance-Strukturen integriert, mit der Risikostrategie abgestimmt und konsistent berichtet werden.
Cyber Risk Evaluation als Steuerungsinstrument
Die Bewertung von Cyberrisiken beantwortet drei Fragen:
- Was kann realistisch passieren?
- Wie häufig könnte das eintreten?
- Welche finanziellen Auswirkungen hätte das?
Für die Strukturierung helfen Governance-Frameworks wie das NIST Cybersecurity Framework; für die eigentliche Risikobewertung sind methodische Standards wie NIST SP 800-30 einschlägig. Quantitative Ansätze wie FAIR (Factor Analysis of Information Risk) übersetzen Szenarien in finanzielle Größen.
Viele Banken arbeiten weiterhin stark mit qualitativen Methoden wie Risikomatrizen. Diese sind für die Kommunikation hilfreich, stoßen aber bei konkreten Steuerungsfragen schnell an ihre Grenzen. Deshalb ist zunehmend ein Trend zur Quantifizierung von Cyberrisiken zu beobachten – insbesondere dann, wenn Risiken gegeneinander abgewogen oder Investitionsentscheidungen getroffen werden müssen.
Von der Cyber-Risikobewertung zur Kapitalableitung
Eine häufige Fragestellung in der Praxis ist, wie sich Cyberrisiken in Kapitalanforderungen übersetzen lassen. Viele Institute orientieren sich an Verteilungsansätzen aus dem operationellen Risiko – heute allerdings im ökonomischen Kapital (ICAAP/Säule 2), nicht mehr in der regulatorischen Säule 1. Der Ablauf:
- Definition relevanter Cyber-Szenarien (z. B. Ransomware, Datenabfluss, Systemausfälle)
- Einschätzung von Eintrittshäufigkeit und Schadenshöhe
- Simulation möglicher Verlustverteilungen
Auf dieser Basis wird ein Konfidenzniveau festgelegt, um das Kapital für extreme, aber plausible Verluste abzuleiten. Im ökonomischen Kapital typischerweise 99,9 %.
DORA verlangt ein robustes ICT-Risikomanagement, ist aber kein Kapitalregime. Die Kapitalunterlegung bleibt Sache von CRR/CRD und ICAAP. Entscheidend ist, dass die Ergebnisse stark von den Annahmen abhängen. Gleichzeitig verliert die historische Datenbasis an Aussagekraft, wenn sich die Bedrohung strukturell verändert.
Herausforderungen in der Praxis
In der Umsetzung der Bewertung von Cyberrisiken treten drei harte Grenzen auf:
- Belastbare Daten zu schweren Cybervorfällen sind knapp, insbesondere für seltene Extremereignisse.
- Abhängigkeiten zwischen Systemen, Dienstleistern und Prozessen lassen sich nur schwer modellieren.
- Und selbst dort, wo quantitative Modelle eingesetzt werden, ist deren Validierung oft anspruchsvoll.
Hinzu kommt ein Problem jenseits reiner Datenknappheit: Die Bedrohung ist nicht stationär. Auswertungen des AI Security Institute zeigen, dass KI-Agenten mehrstufige Angriffe zunehmend autonom durchlaufen. Bei gleichem Aufwand stieg die Zahl absolvierter Angriffsschritte binnen 18 Monaten von 1,7 auf 9,8. Historische Verluste unterschätzen daher systematisch, was künftig möglich ist.
Die Cyber-Risikobewertung wird zur Kernkompetenz
Cyberrisiken sind heute fester Bestandteil des Non-Financial Risk und müssen entsprechend ganzheitlich gesteuert werden. Gleichzeitig steigen die Anforderungen an die Art und Weise, wie diese Risiken bewertet werden – sowohl seitens der Aufsicht als auch innerhalb der Organisationen.
Die Fähigkeit, Cyberrisiken zu quantifizieren, wird zunehmend zu einer wichtigen Kernkompetenz.
Die Quantifizierung gelingt nur, wenn die Modelle vorausschauend werden. Wer Häufigkeit und Schadenshöhe allein aus der Vergangenheit fortschreibt, kalibriert gegen eine Bedrohung, die es so nicht mehr gibt. Der nächste Schritt ist deshalb die Verbindung von Quantifizierung mit aktueller Bedrohungsintelligenz und Szenarioanalyse.
Verfasst von
Consultant
