Operative und Marktrisiken

Risiken vor ihrer Messung klassifizieren

Risiko ist die Kombination aus einem ungewissen Ereignis und seinen potenziellen Auswirkungen auf Ziele. Für Unternehmen im Bereich digitaler Vermögenswerte kann ein Verlust durch Softwareausfälle, Handlungen von Mitarbeitenden, Unterbrechungen externer Dienste, Liquiditätsengpässe, Rechtsänderungen oder Marktbewegungen entstehen. Diese Ursachen sind nicht austauschbar. Ein Betriebszwischenfall kann einen Marktverlust verursachen; ein Marktschock kann schwache operative Kontrollen offenlegen. Das Risikomanagement sollte daher Ursache, Exposition, Kontrollen, Annahmen zu Wahrscheinlichkeit oder Szenarien, Auswirkungen und das nach der Risikominderung verbleibende Restrisiko beschreiben.

Das NIST Cybersecurity Framework (CSF) 2.0 bietet einen freiwilligen organisatorischen Rahmen mit den Funktionen Steuern, Identifizieren, Schützen, Erkennen, Reagieren und Wiederherstellen. Die NIST Special Publication 800-61 Revision 3 (2025) behandelt Überlegungen zur Reaktion auf Vorfälle im Rahmen des CSF 2.0. Diese Publikationen sind nützliche Referenzen für Cyberrisiken, aber kein Beweis dafür, dass ein Anbieter sicher ist oder die gesetzlichen Anforderungen erfüllt. Operative Kontrollen erfordern außerdem Unternehmensführung, rechtliche Rechenschaftspflicht und angemessene unabhängige Prüfungen.

Betriebsstörungen und Abhängigkeiten

Schwächen bei Personal und Prozessen

Zu den Betriebsstörungen gehören fehlerhafte Zahlungsanweisungen, unzureichende Funktionstrennung, nicht autorisierte Konfigurationsänderungen, unvollständige Abstimmungen, verlorene Aufzeichnungen und nicht getestete Wiederherstellungsverfahren. Eine Kontrolle zur Funktionstrennung bedeutet, dass keine einzelne Person eine sensible Handlung sowohl einleiten als auch genehmigen kann, ohne dass die vorgeschriebenen Prüfungen erfolgen. Klar definierte Rollen sind besonders wichtig für Institutionen, die Kundenvermögen bewegen, Finanzunterlagen führen oder öffentliche Berichte herausgeben. Ein unveränderlicher Blockchain-Eintrag kann einen fehlerhaften Genehmigungsprozess nicht von selbst korrigieren.

Das Risiko durch Drittanbieter entsteht, wenn sich eine Organisation auf Cloud-Hosting, Handelsinfrastruktur, Datenanbieter, Verwahrungsdienste oder kritische Softwarebibliotheken stützt. Eine Dienstgütevereinbarung legt vertragliche Erwartungen fest; sie garantiert nicht, dass ein Anbieter einen Ausfall übersteht. Die Due-Diligence-Prüfung sollte Untervergabe, Resilienz, Sicherheitsüberwachung, Meldung von Vorfällen, Zugriffsrechte, Prüfungsnachweise und eine Ausstiegsstrategie umfassen. Die Konzentration zahlreicher Dienste bei einem Anbieter kann einen gemeinsamen Ausfallpunkt schaffen, selbst wenn jeder Dienst für sich genommen robust erscheint.

Cybervorfälle und Grenzen der Wiederherstellung

Sicherheitskontrollen sollen sowohl die Häufigkeit als auch die Auswirkungen von Vorfällen verringern. Typische Fähigkeiten umfassen Zugriffsverwaltung, Änderungsprüfungen, Überwachung, Datensicherungen, getestete Wiederherstellung, Reaktionspläne und unabhängige Genehmigungen für Vorgänge mit erheblichen Auswirkungen. Bei Aktivitäten mit digitalen Vermögenswerten lassen sich manche nicht autorisierten Übertragungen mit üblichen technischen Verfahren nicht rückgängig machen. Daher muss die Vorbereitung auch die Eskalation an zuständige Institutionen oder Behörden, die Sicherung von Protokollen und Transaktionsdaten sowie eine glaubwürdige Kommunikation mit Kunden umfassen. NIST SP 800-61 Rev. 3 empfiehlt, die Reaktion auf Vorfälle in das umfassendere Risikomanagement zu integrieren, statt erst nach einem Vorfall damit zu beginnen.

Marktrisiken ohne Preisprognosen

Volatilität, Liquidität und Slippage

Volatilität bezeichnet das Ausmaß, in dem sich ein Marktpreis im Laufe der Zeit verändert. Liquidität ist die Möglichkeit, zu handeln, ohne den Preis wesentlich zu bewegen oder zu lange warten zu müssen. Slippage ist die Differenz zwischen einem angeforderten oder erwarteten Preis und dem tatsächlich erzielten Ausführungspreis. Ein Markt kann einen indikativen Preis anzeigen und zugleich nur geringe ausführbare Markttiefe aufweisen. Große Aufträge, angespannte Marktbedingungen oder Handelsunterbrechungen können die Slippage erhöhen. Analysten sollten die Exposition anhand beobachteter Szenarien und dokumentierter Annahmen messen und keine stabilen zukünftigen Ergebnisse versprechen.

Konzentrationsrisiko besteht, wenn eine Organisation stark von einem Vermögenswert, einer Gegenpartei, einem Standort oder einem Dienst abhängig ist. Gegenparteirisiko ist die Möglichkeit, dass eine andere Partei eine vertragliche Verpflichtung nicht erfüllt. Abwicklungsrisiko betrifft die Nichterfüllung der vereinbarten Lieferung von Bargeld oder Vermögenswerten. Preisexposition und rechtlicher Eigentumstitel sind nicht dasselbe: Ein Kunde kann gegenüber einem Intermediär einen vertraglichen Anspruch haben, anstatt einen Vermögenswert direkt zu kontrollieren. Ebenso kann sich der Wert von Sicherheiten verändern, während die zugrunde liegende Darlehensverpflichtung bestehen bleibt. Dadurch kann selbst dann Margendruck entstehen, wenn die Software wie vorgesehen funktioniert.

Marktintegrität und Informationsqualität

Märkte können von Manipulation, irreführenden Offenlegungen, Interessenkonflikten, Wash-Trading oder Ausfällen betroffen sein, die eine faire Ausführung beeinträchtigen. Wash-Trading umfasst Geschäfte, die den Anschein von Aktivität erwecken, statt eine echte wirtschaftliche Nachfrage widerzuspiegeln; die rechtlichen Definitionen und Nachweise hängen vom Markt und der jeweiligen Rechtsordnung ab. Öffentlich gemeldete Handelsvolumina werden nicht immer unabhängig geprüft. Fachleute sollten die Datenherkunft, Methoden, Handelsplätze, Aktivitäten verbundener Parteien sowie den Unterschied zwischen gemeldeten Preisen und ausführbaren Angeboten berücksichtigen. Die International Organization of Securities Commissions (IOSCO) veröffentlichte im November 2023 18 Politische Empfehlungen für Krypto- und Digital-Asset-Märkte, die sich mit Marktmissbrauch, Interessenkonflikten, Verwahrung, operationellem Risiko und dem Vertrieb an Kleinanleger befassten.

Vom Risikoregister zum Handeln

Wahrscheinlichkeit, Auswirkungen und verantwortliche Personen

Ein Risikoregister hält ein Ereignis, eine verantwortliche Person, die Exposition, Kontrollen, Bewertung, Maßnahmen zur Risikominderung und einen Überprüfungstermin fest. Qualitative Skalen können nützlich sein, sollten aber einheitlich definiert sein. Eine Einstufung als „hoch“ ohne Nachweise oder Entscheidungsprozess ist kaum mehr als ein Etikett. Verwenden Sie mehrere plausible Szenarien, darunter den Ausfall eines Drittanbieters während eines volatilen Marktes, gleichzeitige Zahlungsengpässe und das Versagen einer internen Genehmigung. Fragen Sie für jedes Szenario, wie es erkannt wird, welcher Dienst weiterläuft, wer handeln kann und wie Kunden und Aufsichtsbehörden die erforderlichen Mitteilungen erhalten.

Resilienz und Pflichten im öffentlichen Interesse

Die Geschäftskontinuität zielt darauf ab, kritische Dienste während einer Störung aufrechtzuerhalten; die Notfallwiederherstellung konzentriert sich darauf, Fähigkeiten nach einem schwerwiegenden Ereignis wiederherzustellen. Das Wiederherstellungszeitziel (RTO) ist die angestrebte Zeit bis zur Wiederaufnahme eines Dienstes; das Wiederherstellungspunktziel (RPO) bezeichnet den als Zeit ausgedrückten tolerierten Datenverlust. Dies sind Planungsparameter, keine Garantien. Manche Transaktionsaufzeichnungen lassen sich aus unabhängigen Quellen rekonstruieren, aber Kundenidentitätsdaten, Genehmigungen und interne Zuordnungen von Hauptbuchdaten haben möglicherweise keinen Ersatz auf der Blockchain. Datensicherung und Wiederherstellung sollten daher den gesamten Geschäftsprozess abdecken und nicht nur Daten eines Distributed Ledgers.

Für Führungskräfte und Mitarbeitende des öffentlichen Sektors ist Verhältnismäßigkeit unerlässlich. Ein kleines Bildungsprojekt, ein institutioneller Verwahrer und ein öffentliches Zahlungssystem unterscheiden sich hinsichtlich Auswirkungen, Verantwortlichkeiten und Exposition. Jedes benötigt eine dokumentierte Risikobereitschaft und Eskalationsgrenzen, die seiner Rolle angemessen sind. Öffentliche Stellen müssen zusätzlich Transparenz, rechtmäßige Beschaffung, Vertraulichkeit und die Kontinuität wesentlicher Dienste sicherstellen. Vorstände sollten entscheidungsrelevante Kennzahlen erhalten: Vorfälle, überfällige Kontrollen, Wiederherstellungstests, Beinahevorfälle, wesentliche Konzentrationsexpositionen und nicht behobene Prüfungsfeststellungen.

Eine nützliche abschließende Frage lautet: „Welche Nachweise zeigen, dass wir das Problem erkennen und die betroffenen Menschen schützen können, wenn unsere bevorzugten Annahmen nicht zutreffen?“ Diese Frage vermeidet die Behauptung, Technologie beseitige Risiken. Sie macht aus einer allgemeinen Risikomatrix eine operative Verpflichtung mit klar zugeordneten Verantwortlichen und getesteten Verfahren.

Prüfungsschwerpunkt: Unterscheiden Sie zwischen operativen Risiken, Cyberrisiken, Liquiditätsrisiken, Gegenparteirisiken, Marktrisiken und rechtlichen Risiken; interpretieren Sie RTO und RPO; und setzen Sie die Risikobewertung mit konkreten Verantwortlichen, Kontrolltests, Eskalationsverfahren und Entscheidungen zum Restrisiko in Beziehung.