Folgt. 
Next post.
Am 14.07.2026 trafen sich 15 Bedrohungsmodellierungsbegeisterte, um in die Welt des quantitativen Risikos einzutauchen: Daniel Agota und TMC DACH hatten zu einer Werkzeugschau seines Werkzeugs Risquanter eingeladen.
Material
Hier erhältst du die Folien:
Risquanter findest du quelloffen bei Github. Risquanter
Warum ĂĽberhaupt quantitatives Risiko?
Der Vortrag begann mit einer Motivation, warum ein Risikoansatz überhaupt vonnöten sei. Angesichts vieler gefundener Bedrohungen bedürfe es einer Orientierung und Priorisierung, da ein endliches Budget unmöglich gleichermaßen auf alle Bedrohungen verteilt werden könne.
Dann wurden Probleme mit qualitativen Risikoansätzen aufgezeigt, die beispielsweise Auftretenswahrscheinlichkeit und Schaden in Kategorien wie “gering” / “mittel” / “hoch” einteilen:
Solche Einteilungen seien oft willkürlich und verschiedene Menschen hätten - auch mit vorgegebenem Bewertungsmaßstab - höchst unterschiedliche Vorstellungen davon, was etwa eine “hohe Wahrscheinlichkeit” sei.
Außerdem verteile eine solche Einteilung die Bedrohungen in nur sehr wenige Behälter, von denen viele auch noch unbrauchbar seien: Eine “gering” / “mittel” / “hoch” Einteilung beider Dimensionen etwa zerlegt in 9 Behälter. Die wirklich relevanten Bedrohungen liegen entweder in Szenarien mit hoher Auswirkung bei geringer Eintrittswahrscheinlichkeit – oder in solchen, die einzeln nur begrenzte Auswirkung haben, aber in ihrer Summe ein erhebliches Risiko erzeugen. Für eine Entscheidungsfindung, wie all dies zu adressieren sei, sei das quasi unbrauchbar!
Das mündete schließlich in Anforderungen an einen Risikoansatz: Man müsse Folgendes können:
- vergleichen,
- zusammenfĂĽhren (aggregieren),
- sortieren (ranken),
- Szenarien durchspielen
- und analysieren, welche Komponenten den größten Einfluss auf das Gesamtrisiko haben.
Grundlagen des quantitativen Risikos
Daniel zeigte auf, wie quantitative Ansätze diese Anforderungen erfüllen.
Ein Risiko wird mit Monte-Carlo-Methoden simuliert: In mehreren Versuchen tritt mit gewisser Wahrscheinlichkeit ein Schaden ein oder eben nicht. Die Höhe des Schadens, der dann finanziell ausgedrückt wird, wird aus einer mathematischen Verteilung gezogen.
So ergeben sich Verteilungskurven, wie wahrscheinlich ein gewisser finanzieller Schaden eintritt.
Diese Überlegungen mündeten im Konzept der Loss Exceedance Curve (LEC), die auf Deutsch etwa Verlustüberschreitungskurve heißen könnte. Die LEC trägt auf der x-Achse einen Geldbetrag auf und auf der y-Achse die Wahrscheinlichkeit, mit der ein Verlust diesen Geldbetrag überschreitet.
Es gibt Methoden, eine solche Verteilung mit nur wenigen Parametern und Expertenschätzungen zu beschreiben, ohne dass dafür tiefgehende mathematische Kenntnisse notwendig wären.
Daniel legte dar, wie dieser Ansatz die gewünschten Anforderungen erfülle, da Risiken nun verglichen, zusammengeführt und sortiert werden können. Ebenso könnten unterschiedliche Szenarien diskutiert werden.
Er adressierte auch Bedenken: Die Expertenschätzungen müssten nicht exakt sein: Man könne im Fall von Unstimmigkeiten auch verschiedene Meinungen als Szenarien durchspielen und dann sehen, wie sich das auf Entscheidungsgrundlagen auswirke. Oft ändere sich eine Handlungsempfehlung nicht, auch wenn Einschätzungen auseinandergingen.
Risquanter
Risquanter ist eine quantitative Entscheidungsplattform für Risikomanagement. Sie verbindet Monte‑Carlo‑Simulationen mit einer leicht bedienbaren Oberfläche, in der Expert:innen hierarchische Risikomodelle als Baumstruktur abbilden. Risiken werden knapp parametrisiert als Loss Exceedance Curves beschrieben; Portfolio‑Knoten aggregieren per Simulation. Das System unterstützt Szenario‑Analysen, historische Vergleiche (Time‑Travel) und managementnahe Entscheidungsfragen. Ergänzend bietet Risquanter Analysefunktionen zur Zerlegung von Risiken in Wirkungskomponenten, zur Attribution einzelner Beiträge zum Gesamtrisiko sowie zu vergleichenden Risiko‑Rankings — kurz: es macht die wichtigsten Einflussfaktoren schnell und handlungsrelevant sichtbar.
Kernfunktionen
- Aufbau und Visualisierung hierarchischer Risikomodelle
- Aggregation per Monte‑Carlo und Darstellung als LECs
- Szenario‑Analysen und historische Vergleiche (Time‑Travel)
- Vage Abfrage‑Sprache zur Formulierung natürlicher Managementfragen, z. B. „Haben mindestens drei Viertel der Assets kritische Risiken?“
- Entscheidungsunterstützung: Sensitivitätsanalysen, Kosten‑Nutzen‑Bewertungen und vergleichende Risiko‑Rankings
Diskussionspunkte
In der Diskussion wurde das Thema Unabhängigkeit verschiedener Ereignisse angesprochen und Möglichkeiten erörtert, zukünftig Abhängigkeiten zwischen Ereignissen zu modellieren.
Zudem wurden Marktbegleiter des quelloffenen Risquanter benannt (“calpana bzw. mitratech”) und eigene Erfahrungen geteilt.
Fazit
Wir bedanken uns fĂĽr den gelungenen Abend und den spannenden Einblick in ein fĂĽr viele Teilnehmende neues Thema!