Wie viel Risikozuschlag braucht ein Risikoregister?

Praxisbeispiel · Risikoregister · Stand: Oktober 2026

In diesem Register mit 10 Risiken (Beträge in Tsd. USD) summiert sich Wahrscheinlichkeit × wahrscheinlichste Auswirkung auf 291. Die Monte-Carlo-Simulation des gesamten Registers zeigt dagegen einen durchschnittlichen Verlust von 359 und in den schlechtesten 5 % der Ergebnisse im Mittel 1.436. Den Risikozuschlag bemessen Sie deshalb am ungünstigen Ende der Verteilung. Selbst eine Reserve in Höhe des durchschnittlichen Verlusts wird in 36,6 % der Ergebnisse überschritten.

Bei einem von zwanzig Ergebnissen liegt der Verlust über 1.028 (P95), und die schlechtesten 5 % liegen im Mittel beim 4,0-Fachen des Mittelwerts. Prüfen Sie Versicherungslimits ebenfalls an diesen Kennzahlen der schlechten Fälle, nicht am Durchschnitt.

Dieses Modell in xellstorm öffnen Datei herunterladen (.xlsx)

Das Modell

Die Excel-Datei ist ein einfaches Risikoregister: 10 Risiken, eines pro Zeile, jeweils mit der Eintrittswahrscheinlichkeit (Spalte B) und, falls das Risiko eintritt, einer Auswirkung als Min, Wahrscheinlich und Max (Spalten C bis E). Ein Hinweis unter dem Register nennt die Einheit: Die Beträge sind in Tsd. USD angegeben, wie im Beispiel zu Projektkosten.

Neben den Schätzungen stehen pro Risiko zwei Zellen, die die Simulation in jeder Iteration füllt. Occurs (Eintritt, Spalte F) ist 1 mit der Wahrscheinlichkeit des Risikos und sonst 0, eine Bernoulli-Verteilung. Impact (Auswirkung, Spalte G) wird aus einer PERT-Verteilung zwischen Min und Max gezogen, die beim wahrscheinlichsten Wert ihren Gipfel hat. Exposure (Schadenswert, Spalte H) multipliziert beide mit =F2*G2, und der Gesamtverlust in H13, =SUM(H2:H11), ist die Ausgangsgröße. Spalte I enthält die übliche Rechnung, Wahrscheinlichkeit × wahrscheinlichster Wert, mit ihrer Summe in I13. Add-In-Funktionen kommen nicht vor. So gespeichert, steht in Occurs 0 und Impact entspricht dem wahrscheinlichsten Wert; die Summe in H13 zeigt daher in Excel 0, bis die Simulation diese Zellen füllt.

Das Register (Auswirkungen in Tsd. USD, PERT)
Risiko	Wahrscheinlichkeit	Min	Wahrscheinlich	Max
Ausfall des Hauptlieferanten	10 %	200	400	900
Regulatorische Änderung	20 %	50	120	300
Cybervorfall	5 %	300	800	2.500
Verlust von Schlüsselpersonal	30 %	20	60	150
Materialpreissprung	40 %	30	80	200
Kostenüberschreitung im Projekt	35 %	40	100	350
Wechselkursänderung	50 %	10	40	120
Rechtsstreit	8 %	100	250	1.200
Anlagenausfall	12 %	80	200	600
Nachfrageeinbruch	25 %	60	150	500

Die Schätzungen bleiben im Register

Die Einstellungen der Simulation, die mit dem Beispiel geladen werden, kopieren diese Zahlen nicht. Jeder Parameter verweist auf eine Zelle des Registers: Die Wahrscheinlichkeit des ersten Risikos ist =Register!B2, sein Min, Wahrscheinlich und Max sind =Register!C2, D2 und E2, und so weiter die Zeilen hinunter. xellstorm liest die Zellen vor jedem Lauf einmal ein; die Ergebnisse sind dieselben, als wären die Zahlen eingetippt. Im Schritt „Distributions“ (Verteilungen) zeigt ein verknüpftes Feld seinen Verweis, etwa =B2, und den Wert, den es gelesen hat.

Die Schätzungen stehen nur im Register. Um Änderungen zu übernehmen, speichern Sie im Schritt „Results“ eine Projektdatei („Save project“), ändern Wahrscheinlichkeiten oder Auswirkungen in Excel, öffnen die geänderte Datei in xellstorm und laden die Projektdatei („Open project file“ im Schritt „Workbook“ (Arbeitsmappe)). xellstorm warnt dann, dass die Datei von der abweicht, mit der die Projektdatei gespeichert wurde; der nächste Lauf liest die neuen Werte.

Wahrscheinlichkeit × wahrscheinlichste Auswirkung unterschätzt den Erwartungsverlust

Üblich ist es, ein Register über seinen erwarteten Geldwert (EMV, Expected Monetary Value) zu summieren: Wahrscheinlichkeit mal Auswirkung jedes Risikos, addiert. Mit der wahrscheinlichsten Auswirkung, wie in Spalte I, kommt dieses Register auf 290,5. Der simulierte Durchschnittsverlust beträgt 358,8, also 23,5 % mehr.

Der Unterschied kommt von der Schiefe. Die wahrscheinlichste Auswirkung ist der Modus, der Gipfel der Verteilung, nicht ihr Mittelwert: Liegt Max weiter über dem wahrscheinlichsten Wert als Min darunter, ist der Mittelwert höher. Bei einer PERT-Verteilung ist der Mittelwert (Min + 4 × Wahrscheinlich + Max) / 6. Das Risiko Cybervorfall würde am wahrscheinlichsten 800 kosten, seine mittlere Auswirkung beträgt aber (300 + 4 × 800 + 2.500) / 6 = 1.000; sein Erwartungsverlust ist daher 50, nicht 40. Mit mittleren Auswirkungen gerechnet, beträgt der EMV 358,7; die Simulation reproduziert ihn (358,8).

Richtig gerechnet ist der EMV also der Durchschnittsverlust. Ein Durchschnitt ist aber nur eine Zahl: Er sagt nichts darüber, wie oft die Verluste weit größer sind, und genau diese Ergebnisse soll ein Risikozuschlag abdecken.

Ergebnisse

In 5,6 % der 10.000 simulierten Ergebnisse tritt überhaupt kein Risiko ein; die exakte Wahrscheinlichkeit, das Produkt aus (1 − Wahrscheinlichkeit) über die 10 Risiken, beträgt 5,7 %. Deshalb zeigt die Perzentiltabelle der App für P1 und P5 den Wert 0. Die Hälfte der Ergebnisse verliert weniger als 267 und damit weniger als der Mittelwert von 359: Die meisten Ergebnisse enthalten einige kleine oder mittelgroße Risiken, einige wenige kombinieren große Risiken und ziehen den Durchschnitt nach oben.

Gesamtverlust aus dem Register, Tsd. USD: 10.000 simulierte Ergebnisse
Summe aus Wahrscheinlichkeit × wahrscheinlichster Auswirkung (Spalte I)	291
Mittelwert der simulierten Gesamtverluste	359
Wahrscheinlichkeit, dass kein Risiko eintritt	5,6 %
P50 (die Hälfte der Ergebnisse verliert weniger)	267
P80	541
P95	1.028
Mittelwert der schlechtesten 5 % (CVaR)	1.436
Größte simulierte Summe	3.069
Wahrscheinlichkeit eines Verlusts über 1.000	5,5 %

Gesamtverlust, Tsd. USD. Jeder Balken steht für die Anzahl simulierter Ergebnisse; der Balken bei 0 enthält die 5,6 % ganz ohne Verlust. Balken über 1.000 sind hervorgehoben: wenige Ergebnisse, weit nach rechts gestreut.

Gesamtverlust, Tsd. USD. Die Wahrscheinlichkeit, nicht mehr als einen bestimmten Betrag zu verlieren. Die Kurve beginnt bei 5,6 %, den Ergebnissen ohne Verlust, und flacht langsam ab: Die letzten 5 % erstrecken sich von 1.028 bis 3.069.

Warum der Risikozuschlag von den schlechten Fällen ausgehen sollte

Jede Reserve wird in manchen Ergebnissen überschritten. Die Frage ist, wie oft und um wie viel:

Reservehöhen für das Register, Tsd. USD
Reserve festgelegt auf	Betrag	Ergebnisse mit höherem Verlust
Wahrscheinlichkeit × wahrscheinlichster Wert (Spalte I)	291	46,2 %
Mittelwert (EMV mit mittleren Auswirkungen)	359	36,6 %
P80	541	20,0 %
P90	772	10,0 %
P95	1.028	5,0 %
Mittelwert der schlechtesten 5 % (CVaR)	1.436	2,0 %

Eine Reserve in Höhe des Mittelwerts (des EMV mit mittleren Auswirkungen) reicht in 36,6 % der Ergebnisse nicht aus, eine Reserve in Höhe der Summe aus Spalte I in 46,2 %. Welches Perzentil Sie vorhalten, ist eine Grundsatzentscheidung darüber, wie oft Sie ein Aufbrauchen der Reserve in Kauf nehmen; P50, P80 und P90 erklärt die Stufen. P95 ist der Verlust, der in einem von zwanzig Ergebnissen überschritten wird.

CVaR, der Conditional Value at Risk, beantwortet die nächste Frage: Wie groß sind die Verluste, wenn sie über P95 hinausgehen? Hier liegen die schlechtesten 5 % der Ergebnisse im Mittel bei 1.436; sie übersteigen P95 also im Schnitt um 407. Diese Zahl gehört in den Blick, wenn Sie eine Reserve für schlechte Jahre bemessen oder ein Versicherungslimit prüfen: Ein Limit nahe am Durchschnitt würde die gewöhnlichen Ergebnisse abdecken und die großen ungedeckt lassen. Selbst eine Reserve in Höhe des CVaR wird in 2,0 % der Ergebnisse überschritten.

Welche Risiken die schlechtesten Ergebnisse ausmachen

Mittelwerte verteilen den Verlust über das ganze Register: Der Anteil jedes Risikos am Durchschnittsverlust liegt zwischen 5,8 % und 14,1 %. Bei den schlechten Fällen sieht es anders aus. Das Risiko Cybervorfall, das unwahrscheinlichste des Registers (5 %), tritt in 70,4 % der schlechtesten 5 % der Ergebnisse ein und macht 57,7 % ihres Verlusts aus, nämlich 829 der 1.436, gegenüber 14,1 % des Durchschnittsverlusts. Das nächstgrößte Risiko, Ausfall des Hauptlieferanten, trägt 155 bei (10,8 %). In den schlechtesten Ergebnissen treffen außerdem mehrere Risiken zusammen: Dort treten im Durchschnitt 3,8 Risiken ein, über alle Ergebnisse sind es 2,35.

Tsd. USD. Zahlen: durchschnittlicher Verlust über alle 10.000 Ergebnisse · Durchschnitt in den schlechtesten 5 %. Über die Risiken summiert ergeben sie den Mittelwert (359) und den CVaR (1.436).

Durchschnittlicher Verlust je Risiko über alle Ergebnisse und über die schlechtesten 5 %, Tsd. USD, zuerst der größte Anteil an den schlechtesten 5 %
Risiko	Alle Ergebnisse	Schlechteste 5 %	Anteil an den schlechtesten 5 %
Cybervorfall	51	829	57,7 %
Ausfall des Hauptlieferanten	45	155	10,8 %
Rechtsstreit	31	127	8,8 %
Nachfrageeinbruch	49	80	5,6 %
Kostenüberschreitung im Projekt	46	58	4,0 %
Anlagenausfall	29	57	4,0 %
Materialpreissprung	37	43	3,0 %
Regulatorische Änderung	28	37	2,5 %
Wechselkursänderung	24	27	1,8 %
Verlust von Schlüsselpersonal	21	25	1,7 %
Alle 10 Risiken	359	1.436	100 %

Diese Aufteilung wurde für diese Seite aus den Iterationen berechnet: Das Tabellenblatt „Trials“ der Ergebnisdatei enthält die Eingangsgrößen und die Summe jeder Iteration, sodass Sie sie nachvollziehen können, indem Sie für jedes Risiko Occurs mit Impact multiplizieren und über die schlechtesten 5 % der Summen mitteln. In der App ordnet die Tabelle zum Varianzbeitrag unter „Results“ die Eingangsgrößen danach, welchen Anteil an der gesamten Streuung sie erklären; an erster Stelle steht mit 19,6 % die Eingangsgröße Occurs des Risikos Ausfall des Hauptlieferanten (ob dieses Risiko eintritt); siehe Sensitivitätsanalyse. Streuung und ungünstiges Ende sind verschiedene Fragen. Für eine Reserve oder ein Versicherungslimit zählen die schlechtesten Ergebnisse: Das Panel für die Treiber am ungünstigen Ende vergleicht in der App jede Eingangsgröße in den schlechtesten 5 %, 10 % oder 25 % der Iterationen mit allen Iterationen, und „Trial by trial“ trägt jede Eingangsgröße, etwa die Auswirkung eines Risikos, gegen die Summe auf.

Selbst ausprobieren

Öffnen Sie das Modell in xellstorm. Die Zellen Occurs und Impact jedes Risikos sind Eingangsgrößen, die Summe in H13 ist die Ausgangsgröße, und ein Verlust von mehr als 1.000 ist das Ziel; Sie müssen nichts installieren und sich nicht registrieren, und die Datei wird im Browser berechnet.
Starten Sie den Lauf: Mit demselben Seed und 10.000 Iterationen erhalten Sie die Zahlen dieser Seite. Die Ergebnisse zeigen den Mittelwert, die Wahrscheinlichkeit eines Verlusts über 1.000, den P90 und den Mittelwert der schlechtesten 5 % (CVaR); P80 und P95 stehen als Zeilen in der Perzentiltabelle.
Tragen Sie ein eigenes Limit in das Wahrscheinlichkeitsfeld ein, dann sehen Sie, wie oft Verluste es überschreiten; über der Summenkurve zeigt die Maus die Chance, unter einem beliebigen Betrag zu bleiben.
Fügen Sie im Schritt „Distributions“ ein Szenario hinzu, das die Wahrscheinlichkeit des Risikos Cybervorfall senkt, starten Sie den Lauf erneut und vergleichen Sie die Szenarien mit denselben Zufallszahlen.
Öffnen Sie dann das eigene Register: Machen Sie das Eintreten jedes Risikos zu einer Bernoulli-Eingangsgröße und seine Auswirkung zu einer PERT-Verteilung. Mit Verweisen wie =B2 werden die Parameter aus den Zellen des Registers gelesen.

Geht das auch in reinem Excel?

Ja: Dieselbe Simulation lässt sich in reinem Excel mit RAND() und einer Datentabelle bauen; Monte-Carlo-Simulation in Excel zeigt die Formeln für Risikoereignisse und PERT-Auswirkungen.

Häufige Fragen

Was ist der erwartete Geldwert (EMV) in einem Risikoregister?

Der erwartete Geldwert ist die Wahrscheinlichkeit jedes Risikos mal seine Auswirkung, über das Register summiert. Mit der mittleren Auswirkung jedes Risikos berechnet, entspricht er dem Erwartungsverlust, den der Durchschnitt der Simulation schätzt (exakt 358,7, simuliert 358,8); mit der wahrscheinlichsten Auswirkung berechnet, wie üblich, liegt er niedriger (290,5). In beiden Fällen ist er ein Durchschnitt und sagt nichts darüber, wie groß Verluste werden können.

Was ist CVaR, und wodurch unterscheidet er sich von P95?

CVaR (Conditional Value at Risk, auch Expected Shortfall genannt) ist der Mittelwert der Ergebnisse jenseits eines Perzentils, hier der schlechtesten 5 %. P95 ist die Stelle, an der die schlechtesten 5 % beginnen, in diesem Register 1.028; CVaR sagt, wie schlecht sie im Durchschnitt sind: 1.436. Zwei Register mit demselben P95 können sehr unterschiedliche CVaR-Werte haben, wenn eines davon ein seltenes, sehr großes Risiko enthält.

Warum liegt der Median des Verlusts unter dem Mittelwert?

Der Median des Verlusts im Register (267) liegt unter dem Mittelwert (359), weil die Summe rechtsschief verteilt ist: Die meisten Ergebnisse enthalten einige kleine oder mittelgroße Risiken, während einige wenige große Risiken kombinieren und den Durchschnitt nach oben ziehen. In 5,6 % der Ergebnisse tritt überhaupt kein Risiko ein.

Sollten die Risiken korreliert sein?

Risiken in einem Register werden oft als unabhängig behandelt, wie in diesem Beispiel. Treten einige tendenziell gemeinsam auf, etwa ein Lieferantenausfall und ein Projektverzug, geben Sie ihren Occurs-Eingangsgrößen in xellstorm eine Rangkorrelation: Jedes Risiko behält seine eigene Wahrscheinlichkeit und Auswirkung, aber große Summen werden wahrscheinlicher, was P95 und CVaR tendenziell erhöht.

Wie teste ich eine Maßnahme, etwa eine Kontrolle, die ein Risiko unwahrscheinlicher macht?

Eine Maßnahme testen Sie in xellstorm als Szenario: Fügen Sie im Schritt „Distributions“ eines hinzu, das die Wahrscheinlichkeit oder den Auswirkungsbereich des Risikos ändert, und starten Sie den Lauf erneut. Szenarien verwenden dieselben Zufallszahlen wie der Basisfall, sodass Unterschiede bei Mittelwert, P90 und der Wahrscheinlichkeit, das Ziel zu überschreiten, von der Änderung stammen und nicht von anderen Zufallszahlen; deshalb sind weit weniger Iterationen nötig, um sie zu erkennen.