Methodik

Warum Methodik

Sicherheitsentscheidungen sind komplex. Sie betreffen Menschen, Werte, Prozesse und Reputation. Sie werden unter Unsicherheit getroffen, oft unter Zeitdruck, meist mit unvollständiger Information.

Methodik ist das, was zwischen einer zweckmäßigen und einer unzweckmäßigen Entscheidung den Unterschied macht. Nicht als starres Schema. Sondern als strukturierter Denkrahmen, der sicherstellt, dass die wichtigen Fragen gestellt werden, die Herleitung einer Entscheidung nachvollziehbar bleibt und das Vorgehen wiederholbar ist — unabhängig davon, wer sie trifft.

Meine Beratungsarbeit basiert auf fünf methodischen Bausteinen: dem Security-Resilience-Zyklus als Prozessrahmen, dem 3A-Modell als Analyselogik, dem ALARP-Prinzip als Verhältnismäßigkeits-Prüfung, SecuROI als wirtschaftlicher Bewertung und einer klaren Verankerung in anerkannten internationalen Standards.

3A-Modell — die Analyselogik

Das 3A-Modell ist die Analyselogik hinter der Phase „Profilieren". Es stellt sicher, dass Risiken systematisch aus drei verbundenen Perspektiven betrachtet werden.

Asset — Was ist schützenswert?
Welche Werte sind von Bedeutung? Nicht nur materielle Werte, auch immaterielle (Reputation, Know-how, Mitarbeitervertrauen) und operative (Geschäftskontinuität, Prozesse, Lieferfähigkeit).

Adversary — Wer könnte den Wert gefährden?
Welche Täterprofile, Angreifer-Typen oder nicht-intentionale Störungsquellen sind realistisch? Plausible, kontextbezogene Täter- und Störungsszenarien.

Action — Welche Handlung würde der Adversary am Asset vornehmen?
Welche konkrete Tat führt der Adversary gegen das Asset aus — mit welcher Methode, mit welchem Modus Operandi, unter welchen Rahmenbedingungen? Erst auf dieser Ebene lassen sich Schutzmaßnahmen gezielt dort platzieren, wo sie wirken.

Methodische Grundlage im ISMI-Rahmenwerk. Zentral im Security Decision Brief, im Resilience Sprint und im Rahmen aller Risikoanalysen.

ALARP — die Verhältnismäßigkeits-Prüfung

ALARP steht für „As Low As Reasonably Practicable" — „so niedrig wie vernünftigerweise praktikabel". Das Prinzip stammt aus dem britischen Arbeits- und Anlagensicherheitsrecht und ist heute im internationalen Risikomanagement etabliert.

Die Grundidee: Risiken müssen nicht vollständig eliminiert werden. Sondern auf ein Niveau reduziert, bei dem jede weitere Reduktion in keinem vernünftigen Verhältnis mehr zum Aufwand steht.

Für mittelständische Unternehmen besonders relevant: ALARP liefert ein strukturiertes Argument, warum eine bestimmte Maßnahme sinnvoll ist — und warum eine andere, teurere Maßnahme nicht. Die Alternative wäre entweder zu wenig Sicherheit oder zu viel Sicherheit. Beides ist in der Mittelstands-Realität verbreitet. ALARP ist das methodische Werkzeug dagegen.

SecuROI — die wirtschaftliche Bewertung

SecuROI steht für Security Return on Investment — der methodische Rahmen zur wirtschaftlichen Bewertung von Sicherheitsmaßnahmen.

Das Grundproblem: Sicherheitsinvestitionen sind schwer rechtfertigbar, weil ihr Nutzen „nicht sichtbar" ist — vermiedene Vorfälle lassen sich schlecht beweisen.

SecuROI löst das Problem: Durch die Quantifizierung des erwarteten jährlichen Schadens (ALE) vor und nach einer Maßnahme lässt sich die Risikoreduktion (ΔALE) berechnen. Setzt man ΔALE ins Verhältnis zu den Kosten der Maßnahme, ergibt sich der ROI.

Es verschiebt die Argumentation von „Sicherheit ist wichtig" zu „Diese Maßnahme reduziert nachweislich jährlich X Euro Erwartungsschaden bei Kosten von Y Euro — also wirtschaftlich klar begründbar." Für Geschäftsführungen, Beiräte und Investoren ist das die Sprache, in der Sicherheitsinvestitionen tragfähig entschieden werden können.

Standards — die Fundamente

Meine Beratung baut auf anerkannten internationalen Standards auf. Nicht als Zertifizierungs-Vehikel, sondern als methodisches Fundament.

ISO 31000 — Risikomanagement. Der grundlegende internationale Standard für Risikomanagement. Grundlage fast jeder strukturierten Risikobetrachtung in meiner Beratung.

ISO 22301 — Business Continuity. Was muss im Ernstfall unbedingt funktionieren? Grundlage des BCM-Checks.

ISO 31030 — Travel Risk Management. Veröffentlicht 2021. Rahmen für organisationales Travel-Risk-Management.

ASIS SPC.1 — Organizational Resilience. Verbindet Sicherheit, Business Continuity und Krisenmanagement in einem Management-System.

ASIS PAP.1 — Protection of Assets. Rahmenwerk für den strukturierten Schutz von Vermögenswerten.

ASIS ORM.1 — Operational Resilience Management. Managementsystem-Standard für operative Resilienz.

DIN SPEC 14027 — Corporate Security Grundschutz. Deutsche DIN-Spezifikation vom April 2026, initiiert durch das Bundesministerium des Innern. Pendant zum IT-Grundschutz des BSI für den nicht-informationstechnischen Bereich. Meine Beratung arbeitet methodisch eigenständig nach SPARK, verlinkt die Beratungsergebnisse jedoch auf Wunsch systematisch an die DIN SPEC 14027.

Weitere methodische Quellen: ISMI (International Security Management Institute) als methodischer Rahmen für Security-Leadership und Security-Surveying — fundiert nach ISMI, methodisch angewandt. Talbot & Jakeman „Security Risk Management Body of Knowledge" (SRMBOK) als Standardwerk des strategischen Security Risk Managements. Siehe Glossar für detaillierte Erklärungen.

Wie alles zusammenwirkt

Die fünf Bausteine sind kein Baukasten, aus dem einzelne Elemente wahlfrei gewählt werden können. Sie wirken zusammen:

• SPARK gibt den Prozessrahmen vor.
• 3A liefert die Analyselogik innerhalb von „Profilieren".
• ALARP liefert die Entscheidungslogik innerhalb von „Ausgestalten".
• SecuROI liefert die wirtschaftliche Bewertung quer durch mehrere Phasen.
• Standards liefern die methodische Verankerung.