§ 18

Quantitative Risikobewertung (SLE, ARO, ALE)

Lohnt sich die Maßnahme?

Antwort: Sollst du ein neues Backup-System, eine EDR-Lösung oder eine zusätzliche Firewall kaufen? Eine quantitative Risikobewertung vergleicht den erwarteten jährlichen Verlust (ALE) mit und ohne Maßnahme.

Formel

SLE (single loss expectancy) = aktivets værdi × exposure factor

ALE (annualized loss expectancy) = SLE × ARO (annualized rate of occurrence)

Nettogevinst = ALE uden tiltag − ALE med tiltag − tiltagets årlige pris

Symbole und Einheiten in der Formel
Symbol	Bedeutung	Einheit
vaerdi	Vermögenswert (Daten, Betrieb, Wiederherstellung)	kr
ef_pct	Verlust bei einem Ereignis (Belichtungsfaktor)	%
aro_foer	Erwartete Ereignisse pro Jahr ohne die Maßnahme (ARO)	pr. år
aro_efter	Erwartete Ereignisse pro Jahr mit der Maßnahme	pr. år
tiltag_pris	Jährlicher Preis für die Maßnahme (Lizenz, Betrieb, Stunden)	kr/år
=	Jährlicher Nettogewinn aus der Maßnahme	kr/år
=	Verlust bei einem Ereignis (SLE)	kr
=	Erwarteter Jahresverlust ohne die Maßnahme (ALE)	kr/år
=	Erwarteter Jahresverlust mit der Maßnahme	kr/år

Gültigkeit und Quelle

Quelle: Kvantitativ risikoanalyse: SLE = værdi × EF, ALE = SLE × ARO (ISC² CISSP CBK; risiko = sandsynlighed × konsekvens, NIST SP 800-30)

Gilt nicht, wenn

Die Zahlen sind Schätzungen, und eine ARO von 0,2 bedeutet «einmal in fünf Jahren». Verwende den Rechner, um zu priorisieren und eine Entscheidung zu erklären, nicht als Antwort. Verlust von Leben, Gesundheit und Ruf können hier nicht in Kronen gesetzt werden und müssen qualitativ neben den quantitativen Faktoren bewertet werden.

Rechenbeispiel

Die eigenen Standardwerte des Rechners sind eingesetzt. Die Zahlen sind mit genau der Formel berechnet, die das Werkzeug verwendet.

Sat ind

Vermögenswert (Daten, Betrieb, Wiederherstellung)2.000.000 kr
Verlust bei einem Ereignis (Belichtungsfaktor)40 %
Erwartete Ereignisse pro Jahr ohne die Maßnahme (ARO)0,20 pr. år
Erwartete Ereignisse pro Jahr mit der Maßnahme0,05 pr. år
Jährlicher Preis für die Maßnahme (Lizenz, Betrieb, Stunden)60.000 kr/år

Geber

Jährlicher Nettogewinn aus der Maßnahme60.000 kr/år
Verlust bei einem Ereignis (SLE)800.000 kr
Erwarteter Jahresverlust ohne die Maßnahme (ALE)160.000 kr/år
Erwarteter Jahresverlust mit der Maßnahme40.000 kr/år

Nur für Mitglieder

Der Rechner selbst ist gesperrt

Lege einen kostenlosen Zugang an, um alle Artikel, Rechner, Vorlagen und das Sortiment freizuschalten — und Zugriff auf Quizze und Klassen zu erhalten. Es dauert unter einer Minute: Name, E-Mail und ein Passwort. Keine Zahlungskarte.

Kostenlosen Benutzer erstellen →Anmelden

Willst du zuerst etwas ausprobieren? Sieh, was du ohne Konto nutzen kannst — der Junior-Bereich, das Lexikon, die Videos und mehr.

Sådan bruger du den

Når ledelsen skal vælge mellem flere sikkerhedstiltag, hjælper det at sætte tal på. En kvantitativ risikovurdering regner det forventede årlige tab (ALE) uden og med tiltaget og sammenligner forskellen med tiltagets pris. Den bruges i risikovurderingen efter ISO 27001 og NIS2-arbejdet.

Schritt für Schritt

Sæt en værdi på aktivet: data, drift, genetablering og bøder.
Skøn hvor stor en del der tabes ved én hændelse (exposure factor). Det giver SLE.
Skøn hvor mange gange om året hændelsen sker (ARO). 0,2 betyder én gang hvert femte år.
ALE = SLE × ARO. Regn det før og efter tiltaget.
Træk tiltagets årlige pris fra besparelsen. Positivt tal betyder, at tiltaget betaler sig.

Typische Fehler

At tro tallene er præcise. ARO og EF er skøn, så prøv med høje og lave værdier for at se om konklusionen holder.
At glemme de bløde tab. Omdømme, kundetillid og persondata skal vurderes ved siden af tallene.
At regne tiltagets pris uden timer til drift og vedligehold.

Beispiele aus dem Alltag

Bedre backup mod ransomware

Et ransomware-angreb vil koste ca. 40 % af en driftsværdi på 2 mio. kr. Du skønner ét angreb hvert femte år nu og ét hvert tyvende år med immutable backup til 60.000 kr om året.

Vermögenswert (Daten, Betrieb, Wiederherstellung): 2.000.000 kr
Verlust bei einem Ereignis (Belichtungsfaktor): 40 %
Erwartete Ereignisse pro Jahr ohne die Maßnahme (ARO): 0,2 pr. år
Erwartete Ereignisse pro Jahr mit der Maßnahme: 0,05 pr. år
Jährlicher Preis für die Maßnahme (Lizenz, Betrieb, Stunden): 60.000 kr/Jahr

Es bedeutet: SLE er 800.000 kr, ALE falder fra 160.000 kr/Jahr til 40.000 kr/Jahr, og nettogevinsten er 60.000 kr/Jahr. Tiltaget betaler sig.

MFA mod phishing

Kompromitterede konti koster ca. 30 % af 500.000 kr i oprydning og nedetid. Det sker ca. to gange om året. Med MFA til 40.000 kr om året skønner du en halv gang.

Vermögenswert (Daten, Betrieb, Wiederherstellung): 500.000 kr
Verlust bei einem Ereignis (Belichtungsfaktor): 30 %
Erwartete Ereignisse pro Jahr ohne die Maßnahme (ARO): 2 pr. år
Erwartete Ereignisse pro Jahr mit der Maßnahme: 0,5 pr. år
Jährlicher Preis für die Maßnahme (Lizenz, Betrieb, Stunden): 40.000 kr/Jahr

Es bedeutet: ALE falder fra 300.000 kr/Jahr til 75.000 kr/Jahr, og nettogevinsten er 185.000 kr/Jahr. Det er et klart ja.

Dyr firewall til et lille problem

En sjælden hændelse rammer 20 % af 300.000 kr cirka hvert tiende år. En ny firewall til 50.000 kr om året halverer sandsynligheden.

Vermögenswert (Daten, Betrieb, Wiederherstellung): 300.000 kr
Verlust bei einem Ereignis (Belichtungsfaktor): 20 %
Erwartete Ereignisse pro Jahr ohne die Maßnahme (ARO): 0,1 pr. år
Erwartete Ereignisse pro Jahr mit der Maßnahme: 0,05 pr. år
Jährlicher Preis für die Maßnahme (Lizenz, Betrieb, Stunden): 50.000 kr/Jahr

Es bedeutet: ALE falder kun fra 6.000 kr/Jahr til 3.000 kr/Jahr, og nettogevinsten er -47.000 kr/Jahr. Pengene gør mere gavn et andet sted.

Faustregel

Er tiltagets årlige pris lavere end ALE-faldet, betaler det sig. ARO 1 betyder én gang om året, ARO 0,1 én gang hvert tiende år.

So überprüfst du die Antwort

Gang SLE med ARO-faldet, og træk prisen fra. Det skal give nettogevinsten.