OST.CH & Riscomp – Praxisprojekt: Die Verbindung von Cybersicherheit und Unternehmensrisikomanagement

Von Januar bis Juni 2026 arbeitete Riscomp gemeinsam mit einem hochmotivierten Studierendenteam der OST – Ostschweizer Fachhochschule an einem Forschungsprojekt. Ziel war es, eine der zentralen Herausforderungen des modernen Risikomanagements zu adressieren: die Verbindung von Cyber Security und Enterprise Risk Management durch eine gemeinsame, geschäftsorientierte Sichtweise. 

Ergebnis: Ein hybrides Framework zur monetären Quantifizierung von Cyberrisiken im Enterprise Risk Management (ERM) 

Im Mittelpunkt des Frameworks stehen Informationswerte (Information Assets) als gemeinsamer Bezugspunkt zwischen Cyber Security und Enterprise Risk Management. Das entwickelte Modell bietet eine strukturierte Methodik, mit der Unternehmen Cyberrisiken im Kontext geschäftskritischer Informationswerte bewerten und deren Auswirkungen so darstellen können, dass sie fundierte Managemententscheidungen unterstützen. 

Warum das wichtig ist: Während IT- und Security-Teams typischerweise Schwachstellen, Bedrohungen und technische Risikofaktoren bewerten und beheben, benötigt das Management eine konsolidierte Sicht darauf, wie sich diese Risiken auf Geschäftsprozesse, strategische Ziele und die finanzielle Performance auswirken. IT-Risiken sind Unternehmensrisiken – doch diese Theorie stößt in der Praxis auf die Realität und hat weitreichende Konsequenzen.

• CISO-Organisationen haben Schwierigkeiten, den Wert von Security nachzuweisen, während dem Top-Management häufig ein klares Bild der tatsächlichen Risikolage fehlt. Der sogenannte „Translation Gap“ zwischen IT und Business zählt zu den größten organisatorischen Silos und führt zu Ineffizienzen sowie fehlgeleiteten Investitionsentscheidungen.

• Eine weitere Herausforderung ist die Architektur: Zahlreiche Monitoring-, Asset-Management- und andere IT-Lösungen existieren nebeneinander, während Geschäftsprozess-, Compliance- und weitere Unternehmensrisiken häufig in voneinander getrennten Silos verwaltet werden, die Risiken auf Datenebene nicht integrieren. KI-gestützte Automatisierung und Schlussfolgerungen laufen hier Gefahr zu scheitern: KI kann eine schlechte Datenarchitektur nicht beheben. Um echten Mehrwert zu schaffen, benötigt KI strukturierte Prozesse, qualitativ hochwertige Daten, semantische Konsistenz und Kontext. 

Fazit: Die vielversprechende Zukunft agentenbasierter KI besteht nicht darin, einfach ein LLM auf bestehende Security- und GRC-Plattformen aufzusetzen. Erforderlich sind vielmehr sowohl ein methodisches als auch ein architektonisches Umdenken bei der Modellierung von Risiko- und Compliance-Daten, damit KI-Agenten Zusammenhänge erkennen, Informationen verknüpfen und bessere Entscheidungen unterstützen können.

Auf Grundlage etablierter Standards und Frameworks wie BSI IT-Grundschutz, der OWASP Risk Rating Methodology sowie der FAIR-Methodik entwickelte das Projektteam das Asset Risk Linkage Model (ARLM). 

Das Modell verfolgt einen konsequent assetzentrierten Ansatz und bietet eine strukturierte Methodik für: 

  • die Identifikation und Klassifizierung geschäftsrelevanter Informationswerte,  
  • die Bewertung von Bedrohungen, Schwachstellen und der Wirksamkeit bestehender Kontrollen,  
  • die Ermittlung von Brutto- und Nettorisiken,  
  • die Quantifizierung geschäftlicher Auswirkungen einschließlich finanzieller Konsequenzen,  
  • die Visualisierung von Risiken durch managementorientierte Dashboards und Berichte.  

Im Rahmen des Projekts wurden rund 30 repräsentative SAP-bezogene Informationswerte definiert und anhand eines speziell entwickelten Bewertungsmodells analysiert. 

Ein wesentliches Projektergebnis ist eine Methodik, die Unternehmen dabei unterstützt, über rein technische Sicherheitsbewertungen hinauszugehen und Cyberrisiken in einen betriebswirtschaftlichen Kontext einzuordnen. 

Zentrale Erkenntnisse 

#1 Asset-Zentrierung ist nicht nur eine Designentscheidung – sie ist die Voraussetzung dafür, dass Risikobewertungen für Asset-Owner überhaupt kommunizierbar werden 

#2 Den Translation Gap schliesst nicht eine clevere Formel, sondern die konsequente Übersetzung von Bewertungsdimensionen in eine einzige Sprache è den Geldwert des Risikos. 

#3 Abhängigkeiten zwischen Assets zu ignorieren führt zu Unterschätzungen – in integrierten ERP-Systemen können Schadenspropagationsketten das Risikoexposure erheblich vergrössern 

#4 Ein Modell, das in der Praxis tatsächlich angewendet wird, liefert mehr Wert als ein theoretisch perfektes Modell, das am Erhebungsaufwand scheitert. 

Ausblick 

Die Ergebnisse des Projekts bilden eine solide Grundlage für die Weiterentwicklung der Digital Risk & Compliance Platform von Riscomp und unterstützen unsere Vision, Cyber Security und Enterprise Risk Management enger miteinander zu verbinden. 

Wir freuen uns darauf, Sie bei folgenden Veranstaltungen persönlich zu treffen: 

Wir möchten dem gesamten OST-Projektteam für sein Engagement, seine Professionalität und seine wertvollen Beiträge im Rahmen dieser Zusammenarbeit danken.