Quantitative Risk Assessment (QRA) ist ein Verfahren zur Bewertung von Risiken, das auf mathematischen Modellen und statistischen Methoden basiert. Es bezieht sich auf die quantitative Analyse von Risiken, um ihre Wahrscheinlichkeit und Auswirkungen zu bewerten und letztendlich Entscheidungen zu treffen.<\/p>\n\n\n\n
Bei der quantitativen Risikobewertung werden Risiken anhand von Zahlen und Daten gemessen und bewertet. Dies steht im Gegensatz zur qualitativen Risikobewertung, bei der Risiken auf der Grundlage von Expertenwissen und subjektiven Einsch\u00e4tzungen bewertet werden.<\/p>\n\n\n\n
Die quantitative Risikobewertung umfasst in der Regel die folgenden Schritte:<\/p>\n\n\n\n
Quantitative Risk Assessment wird nicht nur in der IT eingesetzt, sondern beispielsweise in der Projektplanung, im Risikomanagement von Unternehmen, in der Finanzindustrie, im Umwelt- und Gesundheitsschutz sowie in der Sicherheitsplanung von Industrieanlagen. Es bietet eine systematische Methode, um Risiken zu bewerten und fundierte Entscheidungen zu treffen, basierend auf quantitativen Daten und Analysen.<\/p>\n\n\n\n
Um dieses Thema etwas greifbarer zu gestalten und die oben genannte Theorie die Praxis folgen zu lassen, gr\u00fcnden wir unsere fiktive Firma „Pizza Grande Ltd.“. Diese Firma stellt \u00fcberaus leckere, durch und durch gesunde und nachhaltig produzierte Tiefk\u00fchlpizza her. Die Produktionsanlagen werden IT gesteuert und laufen im 24h Betrieb. Pro Tag verlassen 100.000 Pizzen die Produktionsstra\u00dfe. Im Schnitt verdient die Firma (nicht der Umsatz) 2\u20ac pro Pizza. F\u00fcr alle produzierten Pizzen existieren bereits Abnehmer.<\/p>\n\n\n\n
Nun stellt sich die Frage, was unternommen werden kann, um die Risiken (1. Identifizierung<\/strong>) eines Ausfalls zu bestimmen und damit am Ende auch die Kosten eines m\u00f6glichen Verlustes. Identifizierung im Sinne des QRA bedeutet herauszufinden, welches Ereignis den eigenen Wertsch\u00f6pfungsprozess gef\u00e4hrdet. In unserem Bespiel besteht das u.A. Risiko, dass die F\u00f6rderanlage stehen bleibt.<\/p>\n\n\n\n Im weiteren Schritt gilt es zu bestimmen (2. Erfassung von Daten<\/strong>) , welche genauen Komponenten zum Reibungslosen Betrieb der Anlage n\u00f6tig sind. Evtl. liegen bereits Erfahrungen vor, dass bestimmte Komponenten nie ausfallen, andere hingegen h\u00e4ufiger. Ggf. existieren Branchenerfahrungen, die beim zust\u00e4ndigen Verband angefragt werden k\u00f6nnen, oder diese sind durch den Hersteller zu erlangen.<\/p>\n\n\n\n Bezogen auf IT Anlagen kann die Risikoanalyse (3. Risikoanalyse<\/strong>) darin bestehen zu schauen, ob ein als risikobehaftetes Bauteil zu einem insgesamt gesehenen fatalen Fehler f\u00fchren kann.<\/p>\n\n\n\n Als n\u00e4chstes beurteilen wir, wie h\u00e4ufig (4. Quantifizierung der Risiken<\/strong>) ein fatales eintreten k\u00f6nnte und welcher Schaden dadurch entst\u00fcnde.<\/p>\n\n\n\n Am Ende treffen wir eine Entscheidung (5. Risikobewertung und Entscheidungsfindung<\/strong>), was wir unternehmen wollen. <\/p>\n\n\n\n Konkret k\u00f6nnte ein Rechnung wie folgt ausschauen. Wir betrachten zun\u00e4chst einen Tag der Produktion und definieren ihren Wert als sog. Asset Value ( AV ). Da am Tag 100.000 Pizzen \u00e0 2\u20ac die Produktion verlassen ist der AV = 200.000\u20ac. Als n\u00e4chstes m\u00fcssen wir den Exposure Factor (EF) berechnen. Dieser gibt an, wieviel ein einziger negativer Vorfall an Auswirkung auf die Produktion hat. Ein negativer Vorfall kann vielf\u00e4ltige Ursachen habe. Zum einen k\u00f6nnen Komponenten defekt gehen, zum anderen kann durch eine Fehlbedienung die Anlage zum Stillstand kommen. Oder der Steuerungsrechner wird durch eine Malware lahmgelegt. Ein EF von „1“ w\u00fcrde bedeuten, die Produktion f\u00e4llt f\u00fcr den kompletten Tag aus und der Schaden l\u00e4ge somit bei 200.000\u20ac. Durch die Erfassung der Daten und der Risikoanalyse haben wir aber einen anderen und somit deutlich niedrigeren Wert ermittelt. Dieser liegt bei lediglich 1%. Um zu ermitteln, wieviel Verlust wir im Durchschnitt bei einem negativen Vorfall erleiden multiplizieren wir den AV mit dem EF und erhalten anschlie\u00dfend die „Single Loss Expectancy“ (SLE).<\/p>\n\n\n\n Unser SLE ist also 2.000, also bei einem einzigen negativen Vorfall verlieren wir 2.000\u20ac.<\/p>\n\n\n\n Als n\u00e4chstes versuchen wir das ganze aufs Jahr hochzurechnen. Das ergibt den „Annualized loss expectancy“ (ALE), die Gesamtsumme mit deren Verlust wir rechnen m\u00fcssen. Zur Ermittlung der ALE ben\u00f6tigen wir die „Annualized rate of occurence“ (ARO). Diese ARO gibt die H\u00e4ufigkeit der einzelnen negativen Ereignisse aufs Jahr gesehen an. Bei der Grande Pizza Ltd. rechnen wir damit, dass wir ca. 20 Vorf\u00e4lle in einem Jahr haben werden. Diesen Wert haben wir aus den vergangenen Jahren ermittelt und spiegelt somit die eigene Erfahrung wider. Die Rechnung zur Ermittlung der ALE sieht wie folgt aus:<\/p>\n\n\n\n Wir haben einen ALE von 40.000\u20ac ermittelt. <\/p>\n\n\n\n Mit diesem Wissen k\u00f6nnen wir nun \u00dcberlegungen anstellen, diesen Verlust zu minimieren, sei es durch Investition in bessere Komponenten, durch Schulung der Mitarbeiter oder durch ggf. den Abschluss einer Ausfallversicherung. Die Kosten f\u00fcr die Herabstufung des Risikos bzw. des zu erwarteten Verlustes darf in unserem Beispiel nie die 40.000\u20ac Marke \u00fcberschreiten, da die Investition dann unwirtschaftlich w\u00e4re. Auch gilt es bei jeder Einbeziehung von Verbesserungen eine neue Bewertung vorzunehmen, um die ALE an die ver\u00e4nderten Daten anzupassen.<\/p>\n","protected":false},"excerpt":{"rendered":" Quantitative Risk Assessment (QRA) ist ein Verfahren zur Bewertung von Risiken, das auf mathematischen Modellen und statistischen Methoden basiert. Es bezieht sich auf die quantitative Analyse von Risiken, um ihre Wahrscheinlichkeit und Auswirkungen zu bewerten und letztendlich Entscheidungen zu treffen. Bei der quantitativen Risikobewertung werden Risiken anhand von Zahlen und Daten gemessen und bewertet. Dies […]<\/p>\n","protected":false},"author":1,"featured_media":569,"comment_status":"open","ping_status":"open","sticky":false,"template":"","format":"standard","meta":{"footnotes":""},"categories":[15,54,53],"tags":[61,60,59,57,62,58],"class_list":["post-550","post","type-post","status-publish","format-standard","has-post-thumbnail","hentry","category-anleitung","category-security-wissen","category-wissen","tag-ale","tag-aro","tag-ef","tag-qra","tag-risk-assessment","tag-sle","wpbf-post"],"_links":{"self":[{"href":"https:\/\/www.tippex.net\/index.php?rest_route=\/wp\/v2\/posts\/550","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/www.tippex.net\/index.php?rest_route=\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/www.tippex.net\/index.php?rest_route=\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/www.tippex.net\/index.php?rest_route=\/wp\/v2\/users\/1"}],"replies":[{"embeddable":true,"href":"https:\/\/www.tippex.net\/index.php?rest_route=%2Fwp%2Fv2%2Fcomments&post=550"}],"version-history":[{"count":20,"href":"https:\/\/www.tippex.net\/index.php?rest_route=\/wp\/v2\/posts\/550\/revisions"}],"predecessor-version":[{"id":571,"href":"https:\/\/www.tippex.net\/index.php?rest_route=\/wp\/v2\/posts\/550\/revisions\/571"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/www.tippex.net\/index.php?rest_route=\/wp\/v2\/media\/569"}],"wp:attachment":[{"href":"https:\/\/www.tippex.net\/index.php?rest_route=%2Fwp%2Fv2%2Fmedia&parent=550"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/www.tippex.net\/index.php?rest_route=%2Fwp%2Fv2%2Fcategories&post=550"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/www.tippex.net\/index.php?rest_route=%2Fwp%2Fv2%2Ftags&post=550"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}AV = 200.000\nEF = 0,01 (1%)\nSLE = AV*EF \n_______________\n2000<\/code><\/pre>\n\n\n\nALE = SLE*ARO (2000*20)<\/code><\/pre>\n\n\n\n