Auswirkung

Was eine Auswirkung misst

Die Auswirkung beschreibt die Schwere der Folgen, falls ein Risikoszenario eintritt. Sie beantwortet die Frage Wie schwer wäre das Ergebnis? und nicht Wie wahrscheinlich ist es? Eine brauchbare Beschreibung nennt das Ereignis, das betroffene Unternehmensziel oder Asset, den entstehenden Schaden und den betrachteten Zeitraum.

Kriterien für eine einheitliche Bewertung

Die Skala sollte feststehen, bevor Risiken bewertet werden. Mögliche Kriterien sind Dienstausfall, direkte und mittelbare finanzielle Verluste, Folgen für Menschen oder personenbezogene Daten, rechtliche und vertragliche Konsequenzen, Schäden für Sicherheit oder Umwelt sowie Reputationsverlust. Jede Stufe braucht Schwellenwerte, die zur Organisation passen. Quellen, Annahmen und die Regel zum Zusammenführen mehrerer Dimensionen gehören in die Dokumentation, damit Bewertungen vergleichbar bleiben.

Ein Beispiel aus der Praxis

Eine Stunde Ausfall kann in einer Entwicklungsumgebung geringe, bei Stillstand einer Produktionslinie, eines öffentlichen Dienstes oder eines sicherheitskritischen Prozesses dagegen schwere Folgen haben. Die Dauer ist gleich; betroffenes Ziel, Abhängigkeiten und Konsequenzen sind es nicht. Bewertet wird deshalb das vollständige Szenario und nicht der technische Fehler für sich.

Auswirkung, Wahrscheinlichkeit und BIA

Die Eintrittswahrscheinlichkeit beschreibt die Chance des Szenarios, die Auswirkung dessen Folgen. Eine Risikomethode nutzt beide Größen zur Priorisierung. Die Business-Impact-Analyse setzt einen anderen Schwerpunkt: Sie untersucht, wie sich die Folgen einer Unterbrechung im Zeitverlauf verändern, und leitet daraus Wiederherstellungsprioritäten und -ziele ab. Eine hohe Auswirkung bedeutet nicht automatisch eine hohe Wahrscheinlichkeit; auch ein häufiger Vorfall mit mäßiger Einzelauswirkung kann in Summe erheblichen Schaden verursachen.