Was ist ein Key Risk Indicator (KRI)?
Zuletzt aktualisiert:
Kurz erklärt: Ein Key Risk Indicator (KRI), auf Deutsch Schlüssel-Risikoindikator, ist eine Kennzahl, die frühzeitig signalisiert, dass ein Risiko steigt. Anders als nachlaufende Kennzahlen, die bereits eingetretene Schäden messen, sind KRIs vorlaufend; sie warnen, bevor sich ein Risiko in einem Vorfall materialisiert. Ein KRI wird mit Schwellenwerten versehen, deren Überschreiten eine Reaktion auslöst — etwa der Anteil ungepatchter kritischer Systeme oder die Zahl überfälliger Zugriffsrechte-Reviews. KRIs sind ein Kernwerkzeug des Risikomanagements.
Ein Key Risk Indicator (KRI) — auf Deutsch Schlüssel-Risikoindikator — ist eine Kennzahl, die frühzeitig signalisiert, dass ein Risiko steigt. Anders als nachlaufende Kennzahlen, die bereits eingetretene Schäden messen, sind KRIs vorlaufende Frühwarnindikatoren: Sie warnen, bevor sich ein Risiko in einem Vorfall materialisiert. KRIs sind ein Kernwerkzeug des Information Security Risk Management und des GRC-Rahmens.
Foundational Facts
- Bedeutung: Key Risk Indicator (Schlüssel-Risikoindikator)
- Charakter: vorlaufend (leading) — warnt vor Schäden
- Bestandteil: Schwellenwerte, die eine Reaktion auslösen
- Verankert in: Risikomanagement, GRC, Kennzahlen-Frameworks
- Verwandte Begriffe: KCI (Key Control Indicator), KPI (Key Performance Indicator)
Vorlaufend statt nachlaufend
Der entscheidende Wert eines KRI liegt in seinem vorlaufenden Charakter. Viele Sicherheitskennzahlen sind nachlaufend (lagging) — sie messen, was bereits passiert ist: Zahl der Vorfälle, Schadenshöhe, Ausfallzeiten. Solche Kennzahlen sind wichtig, aber sie kommen zu spät, um Schaden zu verhindern.
Ein KRI dagegen zielt auf Frühwarnung: Er misst Bedingungen, die ein Risiko erhöhen, lange bevor der Schaden eintritt. Steigt der Anteil ungepatchter kritischer Systeme, steigt das Angriffsrisiko — der KRI macht das sichtbar, bevor ein Angreifer die Lücke ausnutzt.
Was einen guten KRI ausmacht
Ein wirksamer KRI erfüllt fünf Kriterien:
- Vorlaufend — er warnt, bevor der Schaden eintritt.
- Messbar — objektiv und wiederholbar erhebbar.
- Risikobezogen — klar mit einem konkreten Risiko verknüpft.
- Mit Schwellenwert — ein definierter Wert markiert „kritisch”.
- Handlungsauslösend — Überschreiten zieht eine definierte Reaktion nach sich.
Der letzte Punkt ist der wichtigste: Eine Kennzahl, die bei Überschreitung niemand beachtet, ist kein KRI, sondern Dekoration.
Schwellenwerte und Ampelmodell
KRIs arbeiten mit Schwellenwerten, die sich aus der Risikotoleranz ableiten — den Risk Tolerance Criteria. Üblich ist ein Ampelmodell:
| Stufe | Bedeutung | Reaktion |
|---|---|---|
| 🟢 Grün | innerhalb der Toleranz | Routine-Monitoring |
| 🟡 Gelb | erhöht | Beobachtung, erste Maßnahmen |
| 🔴 Rot | kritisch | Eskalation, sofortige Reaktion |
Die Werte werden zu Beginn auf Basis von Erfahrung und Benchmarks gesetzt und anschließend anhand der realen Entwicklung kalibriert.
Typische Cybersecurity-KRIs
| KRI | Was er signalisiert |
|---|---|
| Anteil kritischer Schwachstellen über Zielfrist offen | steigendes Angriffsrisiko |
| Konten mit überfälligem Berechtigungs-Review | wachsende Zugriffsrisiken |
| Systeme ohne aktuelle Updates | Patch-Rückstand |
| Quote offener Awareness-Schulungen | menschliches Risiko |
| Phishing-Klickrate in Tests | Social-Engineering-Anfälligkeit |
| Umfang an Schatten-IT | unkontrollierte Angriffsfläche |
KRI im Verhältnis zu KCI und KPI
KRIs gehören zu einer Familie von Steuerungsindikatoren:
- KRI (Key Risk Indicator) — warnt vor steigendem Risiko (vorlaufend).
- KCI (Key Control Indicator) — misst, ob Sicherheitskontrollen wirksam funktionieren.
- KPI (Key Performance Indicator) — misst die Leistung von Prozessen und die Zielerreichung.
Die drei ergänzen sich: Ein KCI, der zeigt, dass eine Kontrolle versagt, kann zugleich ein KRI für das dahinterstehende Risiko sein.
Bedeutung im Management-Reporting
KRIs sind das Bindeglied zwischen technischer Sicherheit und Cybersecurity-Kennzahlen auf Leitungsebene. Sie übersetzen den Sicherheitszustand in eine Sprache, die das Management versteht — und schaffen damit die Grundlage für rechtzeitige, risikobasierte Entscheidungen statt reaktiver Krisenbewältigung.
Weiterführende Links
Häufige Fragen
- Was ist der Unterschied zwischen einem KRI und einem KPI?
- Ein KPI (Key Performance Indicator) misst die Leistung — wie gut ein Prozess oder Ziel erreicht wird, meist rückblickend. Ein KRI (Key Risk Indicator) misst dagegen Risiko-Exposition und ist vorlaufend; er warnt vor künftigen Problemen. Beispiel; die Patch-Quote ist ein KPI (Leistung des Patch-Prozesses), der Anteil ungepatchter kritischer Schwachstellen über einer Frist ist ein KRI (Frühwarnung vor Angriffsrisiko). Viele Kennzahlen lassen sich je nach Blickwinkel als KPI oder KRI lesen.
- Was macht einen guten KRI aus?
- Ein guter KRI ist vorlaufend (er warnt, bevor der Schaden eintritt), messbar und objektiv erhebbar, klar mit einem konkreten Risiko verknüpft, mit einem sinnvollen Schwellenwert versehen und handlungsauslösend — das heißt, sein Überschreiten muss eine definierte Reaktion nach sich ziehen. Eine Kennzahl, die niemand bei Überschreiten beachtet, ist kein wirksamer KRI.
- Wie werden Schwellenwerte für KRIs festgelegt?
- Schwellenwerte leiten sich aus der Risikotoleranz des Unternehmens ab — den Risk Tolerance Criteria. Üblich ist ein Ampelmodell mit grün (akzeptabel), gelb (Beobachtung, erste Maßnahmen) und rot (Eskalation, sofortige Reaktion). Die Werte werden anfangs oft auf Basis von Erfahrung und Benchmarks gesetzt und dann anhand der tatsächlichen Entwicklung kalibriert.
- Gibt es typische KRIs in der Cybersecurity?
- Ja. Häufige Cybersecurity-KRIs sind; Anteil kritischer Schwachstellen, die länger als die Zielfrist offen sind, Zahl der Nutzerkonten mit überfälligem Berechtigungs-Review, Anteil der Systeme ohne aktuelle Sicherheitsupdates, Quote nicht abgeschlossener Security-Awareness-Schulungen, Zahl der Phishing-Klicks in Tests oder die Menge an Schatten-IT. Entscheidend ist, dass der gewählte Indikator wirklich vorlaufend auf ein relevantes Risiko zeigt.