Risikokomponenten

Risikokomponenten bezeichnet man in der Risikoanalyse die einzelnen Bausteine, aus denen sich ein Risiko ableitet. In vielen Ansätzen wird Risiko als Produkt aus Eintrittswahrscheinlichkeit und Schadensausmaß verstanden; die Risikokomponenten sind die Faktoren, die diese Größe bestimmen. Zu den typischen Komponenten gehören Bedrohungen, Verwundbarkeiten, Exposition sowie die jeweiligen Wahrscheinlichkeiten des Eintretens und der potenziellen Auswirkungen. Zusätzlich beeinflussen Kontrollen und Gegenmaßnahmen das verbleibende Risiko.

Bedrohungen (zum Beispiel Malware, Naturereignisse, menschliches Fehlverhalten) stellen mögliche Ursachen des Risikoeintritts dar. Verwundbarkeiten oder Schwachstellen beschreiben Anfälligkeiten im System oder Prozess, die eine Bedrohung auslösen können. Die Exposition bezeichnet das Ausmaß, in dem eine Organisation, ein System oder eine Ressource dem Risiko ausgesetzt ist. Die Eintrittswahrscheinlichkeit gibt an, wie wahrscheinlich es ist, dass das Risikoeintrittsereignis eintritt, während die Auswirkungen den potenziellen Schaden beschreiben.

Risikokomponenten werden häufig in inherentem Risiko (vor Kontrollen) und residualem Risiko (nach Kontrollen) unterschieden. Die Bewertung kann qualitativ, quantitativ oder gemischt erfolgen. Je nach Domäne werden weitere Unterkategorien wie finanzielle, operationelle, strategische oder reputationsbezogene Risiken verwendet.

Anwendungsbeispiel: In der Informationssicherheit umfassen Risikokomponenten Bedrohung: Phishing; Verwundbarkeit: fehlende Mehrfaktor-Authentisierung; Exposition: Anzahl der betroffenen Benutzerkonten; Eintrittswahrscheinlichkeit: hoch; potenzieller Schaden: erheblich; Kontrollen: MFA, Schulung, Monitoring reduzieren das residuale Risiko.

Die Identifikation und Strukturierung von Risikokomponenten unterstützt die Risikoidentifikation, Bewertung, Priorisierung und die Planung von Maßnahmen. Sie dient als Orientierung für Governance, Compliance und Ressourcenallokation.