Cyber Risk
Quantification.
Cyber Risk Quantification übersetzt technische Risiken in finanzielle Szenarien. Der Wert entsteht, wenn Bedrohungen, Assets, Kontrollen und Verlustannahmen so modelliert werden, dass Budget, Risikotransfer und Priorisierung belastbar diskutiert werden können.
Risiko braucht eine Zahl, aber keine Scheingenauigkeit.
CRQ ersetzt keine technische Analyse. Es macht sichtbar, welche finanziellen Auswirkungen plausible Cyber-Szenarien haben können und welche Massnahmen den grössten Entscheidungseffekt liefern.
Stark wird CRQ, wenn FAIR, Monte-Carlo-Simulationen, Telemetrie, Kontrollreife und geschäftliche Verlustannahmen zusammengeführt werden. Schwach wird es, wenn schlechte Eingangsdaten als präzise Finanzzahl verkauft werden.
GRC dokumentiert Risiken und Kontrollen. Vulnerability Management priorisiert technische Schwachstellen. CRQ bewertet Szenarien in finanziellen Bandbreiten und hilft bei Budget, Cyber-Versicherung, Restrisiko und Board-Kommunikation.
Für regulierte Organisationen zählen Nachvollziehbarkeit, Annahmen, Szenarien, Datenquellen, Board-Reporting und die Fähigkeit, wesentliche Cyber-Risiken verständlich zu begründen.
Cyberrisiken in finanzielle Entscheide übersetzen.
Die Matrix trennt spezialisierte CRQ-Plattformen, GRC-integrierte Module, Rating-basierte Finanzmodelle, OT-spezialisierte Lösungen und offene FAIR-Werkzeuge.
| Hersteller | Produkt | Einordnung | Betrieb | Methodik | Finanzmodell | Decision Support |
|---|---|---|---|---|---|---|
| Safe Security Inc. | Safe One Platform (inkl. Safe CRQ) | Spezialisierter CRQ Pioneer & Market Leader | SaaS (Cloud Native) | FAIR (Factor Analysis of Information Risk) Standard & Monte-Carlo-Simulationen | Modellierung primärer & sekundärer finanzieller Verluste (Lösegeld, Betriebsfall, Pönale) | Simulierte ROI-Berechnung für Sicherheits-Investitionen & Steuerung von Budget-Prioritäten |
| Kovrr | Kovrr Cyber Risk Quantification Platform | Spezialisierte CRQ & Cyber Resilience Platform | SaaS (Cloud Native) | Proprietary Cyber-Sphere Engine, Monte-Carlo-Simulationen & Katastrophen-Modellierung | Bottom-Up Cyber Risk Register, Scenario Modeling (Ransomware, Data Breach, Supply Chain) | Simulation der finanziellen Auswirkungen von Kontroll-Upgrades & ROI-Bestimmung |
| Axio Global, Inc. | Axio360 Platform | Spezialisierte CRQ & Decision Support Platform | SaaS / Hybrid | Multi-Dimensional Quantification, NIST CSF Alignment & Probabilistische Verteilungen | Modellierung von „Low-Probability, High-Impact“-Katastrophenfällen & Betriebsunterbrechungen | Vergleich des Kosten-Nutzen-Verhältnisses (ROI) von Sicherheitskontrollen & Risikotransfer |
| Balbix Inc. | Balbix Cyber Risk Quantification Platform | AI-driven Exposure & CRQ Specialist | SaaS | KI-gestütztes Balbix Risk Scoring gekoppelt mit monetärer Verlustberechnung | Continuous Financial Loss Modeling basierend auf Asset-Kritizität & aktiver Bedrohungslage | Priorisierung von Behebungsmassnahmen nach deren unmittelbarem finanziellen Risikoreduktions-Effekt |
| ThreatConnect, Inc. | ThreatConnect Risk Quantifier (RQ) | Threat-Aware CRQ & Security Operations | SaaS | Automated FAIR-based Quantification & Operational Risk Analytics | Automatisches Übersetzen operativer Cyber-Threats in erwartete jährliche Finanzverluste (ALE) | Datengestützte Rechtfertigung von Investitionen in spezifische Detection- & Defend-Tools |
| MetricStream Inc. | MetricStream CyberGRC (CRQ Engine) | Enterprise GRC Suite | SaaS | KI-gestütztes FAIR-Modell & Monte-Carlo-Simulationen im GRC-Kontext | Aggregation von primären/sekundären Schadenshöhen über komplexe Konzernstrukturen | KI-basierte Empfehlungen zur Optimierung des Risikotransfers & der Kontroll-Budgets |
| ServiceNow Inc. | ServiceNow Cyber Risk Quantification (CRQ) | Enterprise GRC & Service Operations Suite | SaaS | Automatisierte FAIR-basierte Risikoberechnung verknüpft mit der CMDB | Finanzielle Szenario-Bewertung verknüpft mit geschäftskritischen IT-Service-Entitäten | Automatisierte Zuweisung von Behebungs-Tickets basierend auf dem finanziellen Exposure |
| Archer Technologies | Archer Cyber Risk Quantification | Enterprise GRC Suite | SaaS / On-Premises | Integrated FAIR Methodology & Monte-Carlo Risk Engine | Berechnung von Annual Loss Expectancy (ALE) & Single Loss Expectancy (SLE) pro Szenario | Risikobasierte Entscheidungsunterstützung zur Verteilung von Security-Kapital |
| SecurityScorecard Inc. | SecurityScorecard Cyber Risk Quantification (CRQ) | Security Rating & Risk Specialist | SaaS (Cloud Native) | Quantifizierung finanzieller Verlustspannen basierend auf äusseren Risikofaktoren | Automatische Berechnung des erwarteten finanziellen Schadens bei Ransomware/Breaches | Auswirkungsanalyse zur Priorisierung externer Schwachstellen-Bereinigungen |
| BitSight Technologies, Inc. | BitSight Financial Quantification | Security Rating & Risk Pioneer | SaaS (Cloud Native) | Finanzielle Verlustmodellierung gekoppelt mit BitSight Security Rating Scores | Modellierung von Finanzverlust-Verteilungen für spezifische Cyber-Incident-Typen | Entscheidungsunterstützung beim Abschluss von Cyber-Versicherungen & Limit-Auswahl |
| DeNexus Inc. | DeRISK Platform | Spezialisierter OT / ICS CRQ Specialist | SaaS / Virtual Appliance | Probabilistische Monte-Carlo-Modelle optimiert für Cyber-Physical Systems (CPS) | Modellierung operativer Betriebsunterbrechungsschäden & physischer Anlagenschäden | Priorisierung von OT-Sicherheitsinvestitionen zur Minimierung von Produktionsausfällen |
| Resilience | Resilience Cyber Risk Solution | Cyber Risk & Insurance Platform | SaaS | Integrierte Finanzquantifizierung verknüpft mit Cyber-Insurance Underwriting | Modellierung finanzieller Verluste basierend auf echten Schadendaten aus der Praxis | Empfehlungen zur Risikominderung gekoppelt mit Prämien-Rabatten für Policen |
| FAIR / OpenFAIR Community | PyFAIR / OpenFAIR Open Source Tools | Open-Source & Community Solutions | Self-Hosted (Python, R, CLI, Jupyter) | Offizieller FAIR Standard (Loss Event Frequency × Loss Magnitude via Monte Carlo) | Modellierung von PERT- & Lognormal-Verteilungen für primäre & sekundäre Schäden | Ermittlung von Mean ALE, Median ALE, 95th/99th Percentile Loss für Budgetentscheidungen |
Welche Modelle Entscheidungen tragen.
Safe Security Inc.
Safe One Platform (inkl. Safe CRQ)
Frühere Namen / Kontext: RiskLens (2023 übernommen), Lucideus
FAIR (Factor Analysis of Information Risk) Standard & Monte-Carlo-Simulationen
Automatische Telemetrie-Ingestion aus EDR, Vulnerability Scanners, Cloud, Identity & GRC
Modellierung primärer & sekundärer finanzieller Verluste (Lösegeld, Betriebsfall, Pönale)
Simulierte ROI-Berechnung für Sicherheits-Investitionen & Steuerung von Budget-Prioritäten
Führendes FAIR-Referenzmodell durch Übernahme von RiskLens; Echtzeit-Automatisierung
Erfordert für volle Genauigkeit saubere vorgelagerte Telemetrie-Datenquellen
Kovrr
Kovrr Cyber Risk Quantification Platform
Frühere Namen / Kontext: Kovrr
Proprietary Cyber-Sphere Engine, Monte-Carlo-Simulationen & Katastrophen-Modellierung
Ingestion von Live-Sicherheits-Signalen aus Cloud, Network & Security Infrastructure
Bottom-Up Cyber Risk Register, Scenario Modeling (Ransomware, Data Breach, Supply Chain)
Simulation der finanziellen Auswirkungen von Kontroll-Upgrades & ROI-Bestimmung
Exzellente Übertragung von technischen Szenarien in Finanzkennzahlen für Aufsichtsräte
Setzt initiale Abstimmung der geschäftsspezifischen Cyber-Spheres voraus
Axio Global, Inc.
Axio360 Platform
Frühere Namen / Kontext: Axio Solutions
Multi-Dimensional Quantification, NIST CSF Alignment & Probabilistische Verteilungen
Ingestion aus GRC-Tools, Vulnerability Scanners, Asset Repositories & Manual Inputs
Modellierung von „Low-Probability, High-Impact“-Katastrophenfällen & Betriebsunterbrechungen
Vergleich des Kosten-Nutzen-Verhältnisses (ROI) von Sicherheitskontrollen & Risikotransfer
Spezialisiert auf KritIS und seltene, extrem teure Grossschadensfälle (Tail Risks)
Weniger automatisiertes Live-Dauer-Scanning; Fokus liegt auf strategischer Modellierung
Balbix Inc.
Balbix Cyber Risk Quantification Platform
Frühere Namen / Kontext: Balbix BreachControl
KI-gestütztes Balbix Risk Scoring gekoppelt mit monetärer Verlustberechnung
100+ native API-Konnektoren zu CAASM, EASM, EDR, Cloud & Vulnerability Management
Continuous Financial Loss Modeling basierend auf Asset-Kritizität & aktiver Bedrohungslage
Priorisierung von Behebungsmassnahmen nach deren unmittelbarem finanziellen Risikoreduktions-Effekt
Unmittelbare Verknüpfung von technischem Exposure Management mit monetärer Risikobewertung
Hohe Komplexität bei der initialen Festlegung betrieblicher Asset-Finanzwerte
ThreatConnect, Inc.
ThreatConnect Risk Quantifier (RQ)
Frühere Namen / Kontext: ThreatConnect RQ / Nehemiah Security
Automated FAIR-based Quantification & Operational Risk Analytics
Nahtlose Verknüpfung mit ThreatConnect TIP (Threat Intelligence Platform) & SIEM/EDR
Automatisches Übersetzen operativer Cyber-Threats in erwartete jährliche Finanzverluste (ALE)
Datengestützte Rechtfertigung von Investitionen in spezifische Detection- & Defend-Tools
Einzigartige Verknüpfung von Live-Threat-Intelligence (CTI) mit FAIR-Finanzquantifizierung
Volle Wirkung erfordert Einsatz oder Anbindung der ThreatConnect Threat-Intel-Engine
MetricStream Inc.
MetricStream CyberGRC (CRQ Engine)
Frühere Namen / Kontext: MetricStream Connected GRC
KI-gestütztes FAIR-Modell & Monte-Carlo-Simulationen im GRC-Kontext
Ingestion von Kontroll-Testergebnissen, Asset-Daten, Vulnerabilities & Risk Feeds
Aggregation von primären/sekundären Schadenshöhen über komplexe Konzernstrukturen
KI-basierte Empfehlungen zur Optimierung des Risikotransfers & der Kontroll-Budgets
Nahtlose Einbettung der quantitativen Finanzbewertung in bestehende Enterprise-GRC-Prozesse
Für reine Punktlösungen ohne umfassendes GRC-Set-up oft überdimensioniert
ServiceNow Inc.
ServiceNow Cyber Risk Quantification (CRQ)
Frühere Namen / Kontext: ServiceNow Integrated Risk Management
Automatisierte FAIR-basierte Risikoberechnung verknüpft mit der CMDB
Unmittelbarer Zugriff auf operative Telemetrie aus CMDB, SecOps, Vulnerability & ITIL
Finanzielle Szenario-Bewertung verknüpft mit geschäftskritischen IT-Service-Entitäten
Automatisierte Zuweisung von Behebungs-Tickets basierend auf dem finanziellen Exposure
Unmittelbare Kombination von Asset-Kritizität aus der CMDB mit quantifiziertem Finanzrisiko
Hohe Lizenzkosten und Bindung an das bestehende ServiceNow-Ökosystem
Archer Technologies
Archer Cyber Risk Quantification
Frühere Namen / Kontext: RSA Archer / Archer CRQ
Integrated FAIR Methodology & Monte-Carlo Risk Engine
Ingestion von Risk Register Einträgen, Kontrollprüfungen & Asset-Attribute-Feeds
Berechnung von Annual Loss Expectancy (ALE) & Single Loss Expectancy (SLE) pro Szenario
Risikobasierte Entscheidungsunterstützung zur Verteilung von Security-Kapital
Höchste Anpassbarkeit für hochkomplexe Governance-Strukturen im Finanzsektor
Klassische Benutzeroberfläche und hoher Administrationsaufwand bei der Einrichtung
SecurityScorecard Inc.
SecurityScorecard Cyber Risk Quantification (CRQ)
Frühere Namen / Kontext: SecurityScorecard Financial Impact
Quantifizierung finanzieller Verlustspannen basierend auf äusseren Risikofaktoren
Kombination passiver Aussenscans mit internen Posture-Feeds & Incident-Daten
Automatische Berechnung des erwarteten finanziellen Schadens bei Ransomware/Breaches
Auswirkungsanalyse zur Priorisierung externer Schwachstellen-Bereinigungen
Sehr schnelle finanzielle Ersteinschätzung ohne monatelange manuelle Befragungen
Basiert primär auf Aussensicht-Parametern; erfordert für In-Depth-CRQ Zusatzdaten
BitSight Technologies, Inc.
BitSight Financial Quantification
Frühere Namen / Kontext: BitSight (in Kooperation mit Kovrr)
Finanzielle Verlustmodellierung gekoppelt mit BitSight Security Rating Scores
Kontinuierliche Telemetrie-Ingestion externer Ratings & interner Kontrolldaten
Modellierung von Finanzverlust-Verteilungen für spezifische Cyber-Incident-Typen
Entscheidungsunterstützung beim Abschluss von Cyber-Versicherungen & Limit-Auswahl
Hohe Akzeptanz bei Cyber-Versicherern und Vorständen zur Festlegung von Deckungssummen
Rein exogene Datenbasis spiegelt interne organisatorische Kontrollen nur bedingt wider
DeNexus Inc.
DeRISK Platform
Frühere Namen / Kontext: DeNexus
Probabilistische Monte-Carlo-Modelle optimiert für Cyber-Physical Systems (CPS)
Ingestion aus OT-Discovery-Tools (Claroty, Nozomi, Dragos), Telemetrie & OT-Assets
Modellierung operativer Betriebsunterbrechungsschäden & physischer Anlagenschäden
Priorisierung von OT-Sicherheitsinvestitionen zur Minimierung von Produktionsausfällen
Weltweit einziger spezialisierter CRQ-Anbieter für industrielle Steuerungsnetze (OT/ICS)
Spezialisiert auf OT/KritIS; weniger geeignet für reine Office-IT- oder SaaS-Firmen
Resilience
Resilience Cyber Risk Solution
Frühere Namen / Kontext: Resilience
Integrierte Finanzquantifizierung verknüpft mit Cyber-Insurance Underwriting
Telemetrie-Scans, Cloud Security Ingestion & Versicherungsschaden-Historien
Modellierung finanzieller Verluste basierend auf echten Schadendaten aus der Praxis
Empfehlungen zur Risikominderung gekoppelt mit Prämien-Rabatten für Policen
Einzigartige Kombination aus technischer Risikofinanzierung (Insurance) und CRQ-Software
Hauptfokus liegt auf Unternehmen, die Risk Management mit Cyber-Versicherungen koppeln
FAIR / OpenFAIR Community
PyFAIR / OpenFAIR Open Source Tools
Frühere Namen / Kontext: Open Group FAIR Standard
Offizieller FAIR Standard (Loss Event Frequency × Loss Magnitude via Monte Carlo)
Manuelle Dateneingabe, CSV/JSON-Imports aus SIEM, Vulnerability Scanners & DBIR
Modellierung von PERT- & Lognormal-Verteilungen für primäre & sekundäre Schäden
Ermittlung von Mean ALE, Median ALE, 95th/99th Percentile Loss für Budgetentscheidungen
100 % transparenter, quelloffener und lizenzkostenfreier Standard zur Risikobewertung
Keine native Grafische Benutzeroberfläche (GUI) Out-of-the-Box; erfordert Programmier-Know-how
Kandidaten für später.
Einige Lösungen sind relevant, aber in der aktuellen Quelle noch nicht ausreichend belastbar als eigenständige CRQ-Plattform eingeordnet.
- C-Index / RiskLens StandaloneEhemals eigenständiges Produkt, inzwischen in Safe One integriert.
- Cyence / GuidewireRisikomodellierung primär für Cyber-Versicherungs-Underwriter.
- ThreatX CRQ ModuleFinanzielle Bewertung von Web-API-Risiken als ergänzendes Modul.
Mit echten Szenarien testen.
- Ransomware, Datenabfluss, Cloud-Ausfall und Lieferantenereignis als getrennte Szenarien modellieren.
- Eingangsdaten aus Vulnerability, Asset, Cloud, EDR, GRC und CMDB prüfen.
- ALE, SLE, Tail Risk und Loss Exceedance nicht isoliert, sondern mit Annahmen bewerten.
- Board-Ansicht, CFO-Sprache und technische Rückverfolgbarkeit gemeinsam testen.
- Risikotransfer, Kontrollinvestition und Restrisiko als Entscheidung vergleichen.
Security Tool Navigator · Gebiet 01
Im Governance-Zusammenhang entscheiden.
Diese Werkzeugklasse ist Teil von Security Governance. Der Gebietshub ordnet Führungslogik, Nachweisführung und unabhängige Prüfung ein und zeigt die Abgrenzung zu den benachbarten Werkzeugklassen.