Identity Security schützt Systeme, Daten und Prozesse. Doch welche Maßnahme reduziert welches Risiko – und welchen wirtschaftlichen Nutzen bringt sie? Simulationsmodelle verbinden mögliche Schadenskosten mit Eintrittswahrscheinlichkeiten und den Kosten konkreter Maßnahmen. So entsteht eine nachvollziehbare Grundlage für Investitionsentscheidungen.

Unternehmen investieren in Automatisierung, neue Technologien und KI-gestützte Prozesse. Gleichzeitig müssen sie ihre Systeme und digitalen Identitäten absichern. Security-Budgets stehen damit im Wettbewerb mit anderen Investitionen.

Der Nutzen von Identity Security zeigt sich häufig in Ereignissen, die ausbleiben: Ein verwaister Account wird geschlossen, ein unberechtigter Zugriff verhindert oder der Missbrauch privilegierter Rechte erschwert. Für die Führungsebene stellt sich deshalb die Frage, wie sich diese Wirkung wirtschaftlich bewerten lässt.

Warum Compliance allein nicht reicht

Regulatorische Anforderungen geben vor, welche Regeln Unternehmen einhalten und welche Kontrollen sie etablieren müssen. Für die Priorisierung von Investitionen braucht es zusätzlich einen Blick auf die erwartete Wirkung.

Welche finanziellen Folgen könnte ein Sicherheitsvorfall haben? Wie verändert eine Maßnahme dieses Risiko? Und stehen ihre Kosten in einem angemessenen Verhältnis zum erwarteten Nutzen? Antworten darauf helfen dem C-Level, Budgets fundiert einzusetzen.

Wie Risiken wirtschaftlich bewertbar werden

Einzelne Cyberangriffe lassen sich nicht zuverlässig vorhersagen. Für definierte Szenarien können jedoch Eintrittswahrscheinlichkeiten und mögliche Schadenskosten abgeschätzt werden. Dazu gehören beispielsweise Betriebsunterbrechungen, Wiederherstellung, Rechtsberatung und mögliche Strafen.

Ein Simulationsmodell verknüpft diese Größen und untersucht, wie Sicherheitsmaßnahmen das erwartete finanzielle Risiko verändern. Die mögliche Verringerung der Schadenskosten und daraus folgenden Pönalen lässt sich anschließend den Investitions- und Betriebskosten gegenüberstellen.

Der Ansatz knüpft an etablierte Risikomodellierung an: Dieses Vorgehen wurde bereits erfolgreich bei der Betrachtung von Assets in Verteilungsnetzen (Strom-, Wasser und Gasnetzen)¹ durchgeführt. Die auf Assets angewendete Simulationsverfahren wird als Asset Strategy Planning (ASP) bezeichnet und dient z.B. zur Bewertung von Folgekosten von Strategieentscheidungen im Investitions- oder Betriebsbereich. Ergebnisse dieser Simulationen werden bis auf Vorstandsebene als Entscheidungsgrundlage genutzt. Ein vergleichbares Prinzip lässt sich auf Cyberrisiken übertragen. Entscheidend bleiben transparente Annahmen und die Qualität der verfügbaren Daten.

Entscheidend ist, wie stark eine Maßnahme das erwartete finanzielle Risiko reduziert – und welche Kosten dafür entstehen.

Warum gezielte Maßnahmen entscheidend sind

Privileged Access Management erschwert den Missbrauch weitreichender Rechte. Rollenmanagement unterstützt eine konsistente Berechtigungsvergabe. Das Schließen verwaister Accounts reduziert unkontrollierte Zugänge.

Wie groß der Nutzen dieser Maßnahmen ist, hängt von der jeweiligen Systemlandschaft und ihrem Zusammenspiel mit Identity Governance ab. Mehr Budget führt deshalb nicht automatisch zu mehr Sicherheit.

Simulationsmodelle können unterschiedliche Maßnahmen und Kombinationen vergleichbar machen. So lässt sich begründen, welche Investition zuerst erfolgen sollte und wo zusätzliche Mittel die größte Wirkung erwarten lassen.

Wie wir Entscheidungen unterstützen

Diese Bewertung ist die zweite Stufe unseres Identity Security Process. Wir betrachten die gesamte System- und Identitätslandschaft, um Zugänge, Berechtigungen, bestehende Kontrollen und Risiken im Zusammenhang einzuordnen.

Darauf aufbauend entwickeln wir einen Simulationsansatz für die wirtschaftliche Bewertung von Identity-Security-Maßnahmen. Erwartete Schadenskosten, ihre mögliche Reduktion und die Kosten der Umsetzung sollen dem C-Level nachvollziehbare Vergleichsgrößen liefern.

Die Einbindung konkreter Kundendaten als Basis für die Simulation ist ein weiterer Entwicklungsschritt. Unser Ziel ist eine fundierte Grundlage für Entscheidungen darüber, welche Maßnahmen implementiert werden sollten und wann sich welche Investition empfiehlt.

Fazit

Simulationsmodelle machen die wirtschaftliche Wirkung von Identity Security nachvollziehbar. Sie helfen, mögliche Schäden, Maßnahmenkosten und erwartete Risikoreduktion gemeinsam zu betrachten.

Wer diese Zusammenhänge kennt, kann Security-Investitionen gezielt priorisieren und ihren geschäftlichen Nutzen fundiert begründen.

1. _{Steffen, A.; Wemhoff, C.; Hübner, S.; Spitzer, H.: Integration of Strategic and Operational Asset Management. In: Proceedings of the 22nd International Conference and Exhibition on Electricity Distribution (CIRED 2013), Stockholm, Sweden, 10-13 June 2013. Paper 0501.}