Risko Modelle in Allgemeinen Einstellungen

Datenschutzbeauftragte, IT-Administratoren, Risikomanager und Compliance-Verantwortliche nutzen den Bereich Risikoeinstellungen, um festzulegen, wie DPMS Risiken im gesamten Unternehmen berechnet und anzeigt – von der Wahrscheinlichkeitsskala und den Schadensklassen bis hin zu den farbcodierten Kategorien, die auf jedem Asset-Datensatz, in Risikoanalysen und in DPIA-Berichten erscheinen.

Der Bereich Risikoeinstellungen ist die zentrale Schaltstelle des Risikomanagements in DPMS. Alles, was Sie hier konfigurieren – Eintrittswahrscheinlichkeiten, Schadensklassen, die Berechnungsformel und die Kategoriegrenzen – fließt direkt in jeden Risikoscore ein, der auf Asset-Datensätzen, Risikoszenarien, Verarbeitungsverzeichnissen, Lieferantenpanels und DPIA-Berichten angezeigt wird. Ohne ein konfiguriertes und aktiviertes Risikomodell erscheint dort lediglich „Nicht festgelegt". Dieser Artikel führt Sie durch alle fünf Bereiche der Risikoeinstellungen und erklärt Schritt für Schritt, wie Sie ein Risikomodell einrichten, konfigurieren und aktivieren.

So öffnen Sie den Bereich

Navigieren Sie über die linke globale Navigationsleiste: Einstellungen → Risikoeinstellungen. Je nach Konfiguration Ihres Mandanten kann dieser Menüpunkt auch Compliance-Einstellungen heißen.

Sie benötigen mindestens die Leseberechtigung für Asset-Risiken, um die Bereiche Standards und Modelle konfigurieren einsehen zu können. Für Änderungen ist zusätzlich die entsprechende Bearbeitungsberechtigung erforderlich. Wenn Sie eine „403 Verboten"-Seite sehen, wenden Sie sich an Ihren Systemadministrator, um die passende Rolle zu erhalten.

Was Sie sehen

Nach dem Öffnen der Risikoeinstellungen teilt sich der Bildschirm in zwei Bereiche. Links befindet sich ein kompaktes Navigationsfeld mit der Überschrift Risikoeinstellungen, das fünf Abschnitte auflistet: Standards (aufklappbar in Aktive Standards und Modelle konfigurieren), Control Sets, Risikoszenarien, Reifegradmodell und Fristen & Dringlichkeit. Der aktuell ausgewählte Eintrag ist farblich hervorgehoben; ein Klick auf das Dreieck neben Standards zeigt die beiden Unterpunkte.

Der rechte Inhaltsbereich – etwa 80 % der Bildschirmbreite – zeigt die Detailseite des ausgewählten Bereichs. Oben finden Sie in den meisten Abschnitten einen Breadcrumb-Pfad (z. B. Allgemeine Einstellungen → Standards → Modelle konfigurieren) und einen Bearbeiten-Button mit Bleistiftsymbol. Der Hauptteil zeigt entweder eine Liste aktiver Einträge (bei Standards und Control Sets) oder eine umfangreiche Konfigurationskarte mit Dropdowns, Datentabellen und Schiebereglern (bei Modelle konfigurieren).

So arbeiten Sie mit diesem Bereich

Internationale Standards zum ersten Mal aktivieren

Bevor Sie ein Risikomodell konfigurieren können, müssen Sie DPMS mitteilen, nach welchem Compliance-Standard (oder welchen Standards) Ihre Organisation arbeitet – zum Beispiel ISO 27001, NIST oder DSGVO. Öffnen Sie Standards → Aktive Standards im linken Panel. Sie sehen eine Liste bereits aktiver Standards mit einem ausgefüllten Kreissymbol sowie inaktive Standards mit einem leeren Kreissymbol.

Um einen neuen Standard hinzuzufügen, klicken Sie oben rechts im Inhaltsbereich auf den Bearbeiten-Button (Bleistiftsymbol). Ein Warnhinweis erscheint und macht darauf aufmerksam, dass eine Änderung der ausgewählten Standards Auswirkungen auf alle verknüpften Risikomodelle hat – lesen Sie ihn, bevor Sie fortfahren.

Tippen Sie im Dropdown Standards auswählen den Namen des gewünschten Standards ein oder scrollen Sie durch die Liste. Klicken Sie darauf – er erscheint als Chip oberhalb des Dropdowns. Sie können mehrere Standards gleichzeitig auswählen. Klicken Sie dann auf Speichern. DPMS sendet Ihre Auswahl an den Server und leitet Sie zurück zu Aktive Standards, wo der neu aktivierte Standard nun mit einem ausgefüllten Kreissymbol erscheint.

Achtung: Wenn Sie ein völlig neues Framework erstellen möchten, anstatt einen vorhandenen Standard auszuwählen, nutzen Sie die Schaltfläche Neu hinzufügen im Footer des Dropdowns. Dies erfordert die Bearbeitungsberechtigung für Control Sets und leitet Sie zur Seite zur Control-Set-Erstellung weiter.

Das Risikomodell für einen Standard konfigurieren

Sobald ein Standard aktiv ist, wechseln Sie zu Standards → Modelle konfigurieren. Oben im Inhaltsbereich sehen Sie eine pillenförmige Identifikationsleiste mit drei Segmenten: das Standard-Dropdown (blau/dunkel), das Modelltyp-Dropdown (additiv oder multiplikativ) und eine Live-Formelanzeige mit Risiko = Eintrittswahrscheinlichkeit + Schadensmaß (oder × bei multiplikativem Modell). Ganz rechts befindet sich die Aktiv / Aktivieren-Statuspille.

Wählen Sie im Standard-Dropdown den Standard aus, den Sie konfigurieren möchten. Die große Konfigurationskarte darunter lädt das aktuelle Modell für diesen Standard – Wahrscheinlichkeitszeilen links, Schadenszeilen rechts und der Kategorieregler unten.

Um Änderungen vorzunehmen, klicken Sie auf den Bearbeiten-Button (Bleistiftsymbol). Das vollständige Bearbeitungsformular öffnet sich. Sie arbeiten sich durch drei Abschnitte:

1. Eintrittswahrscheinlichkeit
Dieser Abschnitt definiert die Wahrscheinlichkeitsachse Ihrer Risikomatrix. Jede Zeile steht für eine Wahrscheinlichkeitsstufe (z. B. Selten, Möglich, Fast sicher). Für jede Zeile füllen Sie aus:

Ein Label – der Name, der auf Risikoformularen in ganz DPMS angezeigt wird (z. B. „Sehr hoch"). Wenn Ihre Organisation mehrere Sprachen nutzt, verwenden Sie die Sprachumschaltknöpfe über der Liste, um das Label in jeder Sprache einzugeben.
Ein Häufigkeits-Tag – ein beschreibendes Tag aus Ihrer Tag-Bibliothek (z. B. „Einmal pro Jahr"), das Nutzern hilfreichen Kontext bei der Auswahl einer Wahrscheinlichkeitsstufe gibt.
Einen numerischen Wert – das Gewicht, das diese Stufe zur Risikoscore-Formel beiträgt.

Um eine neue Wahrscheinlichkeitsstufe hinzuzufügen, füllen Sie die letzte Zeile der Liste vollständig aus; ein +-Symbol (Hinzufügen) erscheint rechts. Klicken Sie darauf, um eine neue leere Zeile anzuhängen. Um eine Stufe zu entfernen, klicken Sie auf das ×-Symbol (Löschen) in der jeweiligen Zeile – es erscheint nicht, wenn nur noch eine Zeile vorhanden ist.

2. Schadensmaß
Der Abschnitt Schadensmaß funktioniert genauso, fügt aber zwei zusätzliche Felder hinzu: ein Währungs-Dropdown oben (Standard: EUR) und ein monetäres Betragsfeld pro Zeile, das den finanziellen Schwellenwert für jede Schadensklasse definiert (z. B. „Bis 10.000 €"). Während Sie Beträge eingeben, aktualisiert sich das Schadensdiagramm unter der Tabelle in Echtzeit und zeigt die proportionale Breite jeder Klasse – eine schnelle Plausibilitätsprüfung, ob Ihre Schwellenwerte gleichmäßig verteilt sind.

Tipp: Die Änderung des Währungs-Dropdowns ist nur eine Anzeigeänderung. DPMS konvertiert keine bestehenden Geldbeträge. Stellen Sie sicher, dass Ihre Schadensbeträge bereits in der Zielwährung angegeben sind, bevor Sie die Währung umstellen.

3. Risikokategorien und der Kategorieregler
Scrollen Sie nach unten zum Abschnitt Risikokategorien. Wenn Sie noch keine Kategorien definiert haben, erscheint ein Hinweisfeld mit einer Festlegen-Schaltfläche (blaue Pille). Ein Klick darauf führt Sie zu einer separaten Seite, auf der Sie die Anzahl der Kategorien (z. B. fünf: Minimal, Reduziert, Mittel, Erhöht, Kritisch) und deren Namen festlegen.

Sobald Kategorien vorhanden sind, sehen Sie einen farbcodierten Mehrpunkt-Schieberegler – den Risikobereich-Schieberegler. Ziehen Sie die Grenzpunkte zwischen den Kategorien, um die Score-Bereiche zu definieren. Die Mindest- und Maximalwerte des Reglers werden automatisch aus Ihren Wahrscheinlichkeits- und Schadensmaß-Werten berechnet. Wenn Sie diese Werte ändern, überprüfen Sie anschließend die Schiebereglergrenzen.

Unterhalb des Kategorie-Schiebereglers befindet sich ein zweiter, einpunktiger Mitigationsschwellenwert-Schieberegler. Ziehen Sie diesen Punkt auf den Score, unterhalb dessen ein Risiko als ausreichend durch umgesetzte Maßnahmen gemindert gilt. Dieser Schwellenwert erscheint auf den Asset-Risikopanels in ganz DPMS.

Wenn Sie mit allen drei Abschnitten zufrieden sind, klicken Sie unten im Formular auf Speichern. DPMS überprüft alle Felder – fehlt etwas oder liegt ein Wert außerhalb des gültigen Bereichs, erklärt eine Toast-Benachrichtigung genau, was korrigiert werden muss. Bei einem erfolgreichen Speichervorgang wird ein Hintergrund-Neuberechnungsjob ausgelöst, der Risikoscores für alle verknüpften Datensätze in Ihrem Mandanten aktualisiert. Eine Bestätigungsmeldung erscheint, und der Bearbeiten-Button ist vorübergehend deaktiviert, während der Job läuft.

Zwischen additiver und multiplikativer Formel wechseln

Das Modelltyp-Dropdown in der Pillenleiste ermöglicht den Wechsel zwischen zwei Berechnungsansätzen:

Additiv – der Risikoscore ist die Summe aus Wahrscheinlichkeitswert und Schadensmaßwert. Dies ist die häufigere Wahl und eignet sich gut, wenn Ihre Wahrscheinlichkeits- und Schadensmaßskalen ähnliche numerische Bereiche verwenden.
Multiplikativ – der Risikoscore ist das Produkt der beiden Werte. Dies verstärkt den Effekt hoher Werte auf beiden Achsen und ist für Frameworks geeignet, bei denen ein Ereignis mit hoher Wahrscheinlichkeit und hohem Schaden überproportional hoch bewertet werden soll. Hinweis: Bei dieser Formel muss jeder Wahrscheinlichkeits- und Schadensmaßwert mindestens 1 betragen. Jede Zeile mit dem Wert 0 blockiert das Speichern.

Ein Wechsel des Formeltyps wird nicht automatisch gespeichert – Sie müssen nach wie vor auf Bearbeiten und dann auf Speichern klicken, damit die Änderung wirksam wird.

Ein Risikomodell aktivieren

Sobald Wahrscheinlichkeitsskala, Schadensklassen und Kategorien konfiguriert und gespeichert sind, können Sie das Modell aktivieren. Schauen Sie auf der Seite Modelle konfigurieren auf die Statuspille ganz rechts in der Pillenleiste. Wenn sie AKTIVIEREN in Blau anzeigt, ist das Modell bereit. Klicken Sie darauf – die Pille wird grün und zeigt AKTIV.

Achtung: Wenn die AKTIVIEREN-Pille verblasst oder nicht anklickbar ist, hat die Schieberegler-Validierung nicht bestanden. Die häufigste Ursache: der numerische Wertebereich Ihrer Wahrscheinlichkeits- und Schadensmaßwerte ist zu eng für die Anzahl der definierten Risikokategorien. Erhöhen Sie entweder die Spreizung Ihrer Werte oder reduzieren Sie die Anzahl der Risikokategorien.

Klicken Sie nach dem Klick auf AKTIVIEREN im Bearbeitungsformular auf Speichern, um die Statusänderung auf dem Server zu speichern. Dadurch wird ein Hintergrund-Neuberechnungsjob ausgelöst. Während der Job läuft – in der Regel einige Minuten bei großen Datenmengen – sind alle Bearbeiten-Buttons in den Risikoeinstellungen mit einem erklärenden Tooltip gesperrt. Das ist kein Fehler – warten Sie einfach, bis der Job abgeschlossen ist, und aktualisieren Sie dann die Seite.

Mit Control Sets arbeiten

Control Sets sind organisationseigene Frameworks, die außerhalb veröffentlichter Standards wie ISO 27001 liegen. Navigieren Sie zu Risikoeinstellungen → Control Sets, um diese zu verwalten. Die Seite funktioniert identisch wie Aktive Standards: Klicken Sie auf Bearbeiten, wählen Sie die zu aktivierenden Control Sets aus dem Dropdown (oder erstellen Sie ein neues über die Schaltfläche Neu hinzufügen), und klicken Sie auf Speichern.

Tipp: Control Sets erscheinen nicht im Standard-Dropdown auf der Seite Modelle konfigurieren – dies ist so konzipiert. Sie sind nur im Bereich Control Sets der Risikoeinstellungen sichtbar.

Feldreferenz

Label (Wahrscheinlichkeits- / Schadenszeilen) — Der Name, der Nutzern auf Risikoformularen in ganz DPMS angezeigt wird. Unterstützt mehrere Sprachen über die Sprachumschaltknöpfe. Erforderlich für jedes Modell, das Sie aktivieren möchten.

Häufigkeits-Tag — Ein Tag aus Ihrer Häufigkeits-Tag-Bibliothek. Gibt beschreibenden Kontext (z. B. „Einmal pro Jahr") neben dem Label. Erforderlich für aktive Wahrscheinlichkeitszeilen.

Numerischer Wert (Wahrscheinlichkeit) — Das Gewicht dieser Wahrscheinlichkeitsstufe in der Risikoformel. Muss eine positive ganze Zahl bis 9.999.999.999.999 sein. Bei multiplikativen Modellen muss der Wert ≥ 1 sein.

Betrag (Schadenszeilen) — Die monetäre Obergrenze dieser Schadensklasse (z. B. 10.000 für „Bis 10.000 €"). Die oberste Klasse spiegelt automatisch den höchsten Wert aller anderen Zeilen wider. Maximum: 9.999.999.999.999. Null wird abgelehnt.

Numerischer Wert (Schadensmaß) — Das Gewicht dieser Schadensklasse in der Risikoformel. Gleiche Validierungsregeln wie beim Wahrscheinlichkeitswert.

Währung — Nur Anzeigebezeichnung. Wird neben Schadensmaß-Schwellenwerten auf allen risikobezogenen Bildschirmen angezeigt. Eine Änderung konvertiert keine bestehenden Beträge.

Kategorienamen — Freitextbezeichnungen für jede Risikoklasse (z. B. Minimal, Kritisch). Mehrsprachige Eingabe unterstützt. Werden auf der Seite Kategorien festlegen definiert und können direkt im Bearbeitungsformular von Modelle konfigurieren bearbeitet werden.

Risikobereich-Schieberegler-Punkte — Ziehen Sie diese, um die Score-Grenze zwischen benachbarten Risikokategorien festzulegen. Werte sind auf den aus Ihren Wahrscheinlichkeits- und Schadensmaß-Werten abgeleiteten Bereich beschränkt.

Mitigationsschwellenwert — Der Score, unterhalb dessen ein Risiko als gemindert gilt. Einpunkt-Schieberegler. Wird auf Asset-Risikopanels angezeigt.

Wie dieser Bereich mit dem Rest von DPMS verbunden ist

Die hier vorgenommene Konfiguration hat weitreichende Auswirkungen. Sobald ein Risikomodell aktiv ist:

Asset-Datensätze zeigen berechnete Risikoscores im Risikoabzeichen und im Asset-Detailpanel. Ohne ein aktives Modell erscheint dort „Nicht festgelegt".
Risikoszenarien verwenden dieselben Wahrscheinlichkeits- und Schadenslabels, die Sie hier definiert haben, in ihren Dropdown-Feldern.
Lieferantenrisiko-Panels und Verarbeitungsverzeichnis-Einträge referenzieren die aktiven Standards, um Kontroll-Framework-Dropdowns zu befüllen.
KI-gestützte Risikovorschläge lesen Ihre aktiven Wahrscheinlichkeits- und Schadenslabels, um kontextbezogene Empfehlungen zu generieren. Ohne ein aktives Modell degradieren KI-Funktionen in risikobezogenen Features kontrolliert.
DPIA-Risikomodell (sofern in Ihrem Mandanten aktiviert) basiert auf derselben Aktivierungsinfrastruktur wie das Asset-Risikomodell.

Nachdem Sie Ihre Risikomodellkonfiguration hier abgeschlossen haben, ist der nächste logische Schritt der Besuch des Bereichs Risikoszenarien (ebenfalls im linken Panel), um spezifische Bedrohungsszenarien zu erstellen oder zu überprüfen, die die soeben definierten Skalen verwenden.

Tipps und häufige Fallstricke

Tipp: Speichern Sie Ihre Wahrscheinlichkeits- und Schadensmaß-Werte immer, bevor Sie versuchen, das Modell zu aktivieren. Die AKTIVIEREN-Pille wird erst anklickbar, wenn DPMS validieren kann, dass Ihre Wertebereiche alle Risikokategorien abdecken.

Achtung: Nach dem Aktivieren und Speichern eines Modells sperrt DPMS alle Bearbeiten-Buttons in den Risikoeinstellungen, während ein Hintergrund-Neuberechnungsjob läuft. Das ist kein Fehler – warten Sie einige Minuten und aktualisieren Sie dann die Seite.

Das Wechseln von Standard oder Formeltyp in der Pillenleiste speichert nichts. Diese Steuerelemente ändern, was in der Karte darunter angezeigt wird. Sie müssen auf Bearbeiten und dann auf Speichern klicken, um Änderungen – einschließlich der Aktivierung eines Modells – zu speichern.
Multiplikative Modelle lehnen Nullwerte ab. Wenn Sie auf multiplikativ wechseln und beim Speichern eine Validierungsbenachrichtigung erhalten, überprüfen Sie jede Wahrscheinlichkeits- und Schadenszeile auf den Wert 0 und ersetzen Sie ihn durch mindestens 1.
Währungsänderungen sind kosmetisch. Wenn Sie von EUR auf USD wechseln, konvertiert DPMS Ihre Schadensbeträge nicht. Aktualisieren Sie die Beträge manuell, um die richtige Währung widerzuspiegeln, bevor Sie die Bezeichnung umstellen.
Die Schaltfläche „Neu hinzufügen" im Standards-Dropdown ist nur sichtbar, wenn Sie die Bearbeitungsberechtigung für Control Sets haben. Falls sie fehlt, bitten Sie Ihren Administrator, diese Berechtigung Ihrer Rolle zuzuweisen.
Neu erstellte Control Sets erscheinen nicht im Standard-Dropdown von Modelle konfigurieren. Control Sets und Standards sind in DPMS unterschiedliche Konzepte. Control Sets sind nur im Bereich Control Sets verfügbar und können nicht als Basis für die Asset-Risikomodell-Konfiguration verwendet werden.