Executive Summary: ROSI
Cybersicherheit ist längst ein strategischer Business Enabler – und kein reiner IT‑Kostenblock. Für die IT‑Leitung oder den Informationssicherheitsbeauftragten stellt sich jedoch die Kernfrage: Wie lässt sich der wirtschaftliche Nutzen von Investitionen in Informationssicherheit und Cybersicherheit belastbar nachweisen?
Der Return on Security Investment (ROSI) bietet dafür einen strukturierten, kennzahlenbasierten Ansatz. Er macht sichtbar, welche Schäden durch Sicherheitsmaßnahmen vermieden werden, wie effizient Budgets eingesetzt werden und welche Maßnahmen im Portfolio priorisiert werden sollten. Richtig angewendet, wird ROSI zu einem zentralen Steuerungsinstrument im Cyber Risk Management und unterstützt CISO und CIO dabei, Informationssicherheit systematisch in Strategie, Governance und Compliance zu verankern.
Warum sich Informationssicherheit rechnen muss
In einer zunehmend digitalisierten und vernetzten Wirtschaftswelt sind Informationssicherheit, Cybersicherheit und IT‑Sicherheit grundlegende Voraussetzungen für den Geschäftserfolg. Cyberangriffe, regulatorische Anforderungen und abhängige Wertschöpfungsketten erhöhen den Druck auf Unternehmen, in Sicherheitsmaßnahmen zu investieren. Gleichzeitig wächst die Erwartung von Aufsichtsgremien und Investoren, dass diese Investitionen messbar, nachvollziehbar und wirtschaftlich begründbar sind. Der Return on Security Investment (ROSI) schließt hier die Lücke zwischen technischer Risikoreduktion und betriebswirtschaftlicher Steuerung, indem er den Nutzen von Maßnahmen zur Informationssicherheit quantifiziert und vergleichbar macht.
ROSI als betriebswirtschaftliche Kennzahl für Informationssicherheit
Der Return on Security Investment (ROSI) ist eine betriebswirtschaftliche Kennzahl, die den finanziellen Nutzen von Sicherheitsmaßnahmen ins Verhältnis zu den dafür getätigten Investitionen setzt. Im Zentrum steht nicht die Generierung zusätzlicher Erträge, sondern die Vermeidung potenzieller Verluste, die aus Cyberangriffen, Systemausfällen oder Compliance‑Verstößen resultieren.
Die zentrale Fragestellung lautet:
Wie hoch ist der vermiedene Schaden, nachdem eine Maßnahme zur Informationssicherheit implementiert wurde – und rechtfertigt dieser die Kosten?
Eine vereinfachte Formel lautet:
ROSI = ((Risiko ohne Maßnahme – Risiko mit Maßnahme) – Kosten der Maßnahme) / Kosten der Maßnahme
- Risiko ohne Maßnahme: erwarteter jährlicher Schaden ohne Sicherheitslösung
- Risiko mit Maßnahme: erwarteter Restschaden nach Implementierung
- Kosten der Maßnahme: Investitions‑, Betriebs‑ und Folgekosten
Ein ROSI‑Wert über 1 zeigt an, dass der monetäre Nutzen (vermiedene Schäden) die Kosten übersteigt. Alternative Rechenarten und Praxisbeispiele finden Sie im Anhang.
ROSI im Kontext klassischer Investitionsrechnung
ROSI ist eine Adaption des bekannten Return on Investment (ROI). Während der klassische ROI auf realisierte Gewinne abzielt, konzentriert sich ROSI auf nicht eingetretene Verluste. Für CEO und CIO ist entscheidend: Beide Kennzahlen folgen der gleichen Logik und sind damit in bestehende Controlling‑ und Reportingstrukturen integrierbar. Sicherheitsmaßnahmen werden so aus der „Kostenfalle“ befreit und als wirtschaftlich bewertbare Investitionen verständlich.
ROSI als strategische Entscheidungsgrundlage
ROSI schafft eine nachvollziehbare, quantitative Basis, um Investitionen in Informationssicherheit zu bewerten. Für die Unternehmensleitung ergeben sich mehrere Vorteile:
- Wirtschaftliche Transparenz: Sicherheitsbudgets lassen sich rational erklären und gegenüber Aufsichtsgremien, Investorinnen und Investoren oder Prüfinstanzen begründen.
- Priorisierung im Maßnahmenportfolio: ROSI unterstützt dabei, Sicherheitsprojekte mit dem höchsten Nutzen‑Kosten‑Verhältnis zuerst umzusetzen.
- Integration in Governance und Compliance: Kennzahlen zur Informationssicherheit können in bestehende Risiko‑ und Compliance‑Berichte integriert werden, etwa im Kontext von DSGVO, ISO 27001, BSI IT‑Grundschutz, TISAX oder NIS2.
- Stärkung der Rolle von Informationssicherheit: Die Organisation erkennt Informationssicherheit nicht mehr nur als Pflicht, sondern als Business‑Faktor zur Absicherung von Umsatz, Reputation und Resilienz.
ROSI als Brücke zwischen Technik und Management
ROSI fungiert zudem als Übersetzungsinstrument: Komplexe technische Sachverhalte werden in betriebswirtschaftliche Größen überführt. Das erleichtert die Kommunikation zwischen CIO, CISO und der CEO und reduziert Entscheidungsunsicherheit.
Grenzen und Herausforderungen von ROSI
- Unsicherheit der Parameter
Die größte Schwäche liegt in der Qualität der Eingangsdaten:
- Eintrittswahrscheinlichkeiten von Cyberangriffen sind nur begrenzt statistisch belastbar.
- Immaterielle Schäden wie Reputationsverlust, Vertrauensverlust oder Marktanteilsverluste sind schwer präzise zu monetarisieren.
- Daten aus anderen Unternehmen oder Branchen sind nur eingeschränkt übertragbar.
Für eine seriöse Nutzung sollten Annahmen transparent dokumentiert, regelmäßig überprüft und mit Sensitivitätsanalysen hinterlegt werden.
- Komplexität von Schadensszenarien
Schadensereignisse in der Informationssicherheit haben häufig Kaskadeneffekte:
- direkte Schäden (z. B. Datenverlust, Lösegeldzahlungen)
- Folgekosten (z. B. Betriebsunterbrechungen, Vertragsstrafen, Rechtskosten)
- regulatorische Konsequenzen (z. B. Bußgelder bei DSGVO‑Verstößen)
ROSI kann diese Mehrdimensionalität nur bedingt abbilden und erfordert ergänzende qualitative Bewertungen.
- Nicht-monetäre Effekte
Zentrale Erfolgsfaktoren moderner Informationssicherheit – etwa gestärktes Kundenvertrauen, höhere Attraktivität als Geschäftspartner, verbesserte Compliance‑Reife oder die Sicherung von Innovationsfähigkeit – sind kaum vollständig in Euro‑Werten messbar. ROSI sollte diese Aspekte nicht verdrängen, sondern um sie ergänzt werden.
Vorgehensmodell: ROSI systematisch im Unternehmen verankern
Schritt 1: Risiken strukturiert identifizieren
- relevante Cyber‑Bedrohungen je Geschäftsbereich bestimmen (z. B. Ransomware, Phishing, Insider‑Risiken, Lieferkettenangriffe)
- geschäftskritische Systeme, Daten und Prozesse priorisieren
Schritt 2: Schadenshöhe und Eintrittswahrscheinlichkeit bewerten
- direkte und indirekte Schäden pro Szenario erfassen
- Eintrittswahrscheinlichkeiten anhand interner Vorfälle, Branchenbenchmarks und Expertenschätzungen definieren
- darauf basierend jährliche Verlusterwartung und Verlusterwartung im Einzelfall ableiten
Schritt 3: Maßnahmen und Kosten erfassen
- technische, organisatorische und prozessuale Sicherheitsmaßnahmen identifizieren
- Investitions‑, Betriebs‑ und Schulungskosten sowie ggf. (kalkulatorische) Finanzierungskosten vollständig erfassen
- Minderungsquote pro Maßnahme einschätzen
Schritt 4: ROSI berechnen und Szenarien vergleichen
- ROSI je Maßnahme bzw. Maßnahmenbündel berechnen
- Szenarien (konservativ, realistisch, optimistisch) durchspielen
- Ergebnisse in einem für Vorstand und Aufsichtsorgane verständlichen Format aufbereiten
Schritt 5: Entscheidung, Umsetzung und Monitoring
- Entscheidungen dokumentieren und in Governance‑Strukturen (Risikokomitee, Informationssicherheitsgremien) verankern
- Wirksamkeit der Maßnahmen regelmäßig überprüfen und Kennzahlen zur Informationssicherheit (inkl. ROSI) laufend aktualisieren
Fazit
ROSI bietet CEO und CIO ein wirksames Instrument, um Investitionen in Informationssicherheit und Cybersicherheit betriebswirtschaftlich zu bewerten, zu priorisieren und gegenüber Stakeholdern zu legitimieren. Auf Basis quantitativer Risikoanalysen macht ROSI sichtbar, welche Schäden durch Sicherheitsmaßnahmen vermieden werden und wie effizient Sicherheitsbudgets im Rahmen eines ISMS eingesetzt sind.
Gleichzeitig bleiben die Grenzen der Methode zu beachten: Unsichere Parameter, komplexe Schadensszenarien und schwer messbare Effekte wie Reputation oder Vertrauen lassen sich nur bedingt in einer Kennzahl abbilden.
In der Praxis entfaltet ROSI daher seine volle Wirkung nur im Zusammenspiel mit qualitativen Risikoabwägungen und einem ganzheitlichen Cyber Risk Management, das Informationssicherheit als strategischen Werttreiber des Unternehmens begreift.
Quantitative Risikoanalyse als Grundlage
Zentrale Parameter: ALE, SLE, ARO und Mitigation Ratio
Für eine belastbare ROSI‑Berechnung ist eine quantitative Risikoanalyse erforderlich. Typischerweise werden dabei vier Parameter betrachtet:
Annualized Loss Expectancy (ALE)
Die jährliche Verlusterwartung (Annualized Loss Expectancy, ALE) beschreibt den gesamten erwarteten monetären Schaden pro Jahr, der aus einem spezifischen Risiko resultiert, wenn keine geeigneten Sicherheitsmaßnahmen umgesetzt werden. Sie ergibt sich aus:
ALE = SLE × ARO
Single Loss Expectancy (SLE)
Die Verlusterwartung im Einzelfall (Single Loss Expectancy, SLE) gibt an, welcher Schaden aus einem einzelnen sicherheitsrelevanten Ereignis entsteht. Zur Bestimmung werden:
- alle relevanten Daten und IT‑Ressourcen inventarisiert
- direkte Kosten (z. B. technische Analysen, Forensik, Vertragsstrafen, Bußgelder)
- indirekte Kosten (z. B. Produktions‑ und Geschäftsunterbrechungen, erhöhte Kundenabwanderung, Image‑Schäden) berücksichtigt
Annualized Rate of Occurrence (ARO)
Die jährliche Eintrittsrate (Annualized Rate of Occurrence, ARO) schätzt, wie häufig ein definiertes Risiko innerhalb eines Jahres auftritt. Grundlage können sein:
- historische Vorfälle im eigenen Unternehmen
- Branchenreports und CERT‑Meldungen
- Erfahrungswerte aus vergleichbaren Organisationen
Tritt eine Bedrohung einmal in zehn Jahren auf, beträgt die ARO 0,1; bei etwa zehn Vorfällen pro Jahr beträgt sie 10.
Mitigation Ratio
Die Minderungsquote (Mitigation Ratio) beschreibt den Prozentsatz des Risikos, der durch eine geplante Sicherheitsmaßnahme reduziert wird. Sie basiert auf fachlicher Einschätzung und sollte nach einem konsistenten Bewertungsansatz erfolgen, damit unterschiedliche Investitionen im Zeitverlauf vergleichbar bleiben.
ROSI auf Basis quantitativer Risikoanalyse
Unter Nutzung der genannten Parameter kann ROSI wie folgt berechnet werden:
ROSI = ((SLE × ARO) × Mitigation Ratio – Cost of Solution) / Cost of Solution
Diese Sichtweise macht transparent, dass ein Investment in Informationssicherheit zu einem finanziellen Mehrwert führt, wenn ROSI größer als 1 ist.
Alternative Berechnungslogik: Recovery, Savings und Tool Costs
Komponentenbasierter Ansatz
Eine andere Herangehensweise arbeitet mit den Komponenten:
Recovery Costs (R): Kosten der Wiederherstellung nach einem Sicherheitsvorfall
Savings (S): Einsparungen durch vermiedene oder abgeschwächte Angriffe
Tool Costs (T): Gesamtkosten der eingesetzten Sicherheitslösungen (Software, Hardware, Services)
Annual Loss Expenditure (ALE): verbleibende Kosten trotz Investitionen
In diesem Modell gilt:
ALE = R – S + T
ROSI = R – ALE
Ein positiver ROSI‑Wert stellt hier ein klares Indiz für die Sinnhaftigkeit der Sicherheitsinvestition dar.
Praxisbeispiele für ROSI
Beispiel 1: Erweiterte Firewall-Lösung
Ein Unternehmen plant die Einführung einer erweiterten Firewall‑Lösung für 100.000 Euro jährlich.
- erwarteter jährlicher Schaden ohne Maßnahme: 500.000 Euro
- erwarteter Restschaden mit Maßnahme (Risikoreduktion 70 %): 150.000 Euro
Berechnung:
- vermiedener Schaden: 500.000 – 150.000 = 350.000 Euro
- Netto‑Nutzen: 350.000 – 100.000 = 250.000 Euro
- ROSI: 250.000 / 100.000 = 2,5
Beispiel 2: E‑Mail‑Sicherheitssystem
Ein E‑Mail‑Sicherheitssystem soll vor Phishing‑Angriffen schützen:
- Kosten: 50.000 Euro pro Jahr
- erwarteter Schaden ohne Maßnahme: 300.000 Euro jährlich
- Risiko‑Reduktion: 80 % → Restschaden 60.000 Euro
Berechnung:
- vermiedener Schaden: 300.000 – 60.000 = 240.000 Euro
- Netto‑Nutzen: 240.000 – 50.000 = 190.000 Euro
- ROSI: 190.000 / 50.000 = 3,8
