Anfang der 2000er-Jahre hätte man bei Nokia vermutlich eine beeindruckende Analyse der Vergangenheit erstellen können. Absatzentwicklung, Marktanteile, Produktionsqualität, Lieferketten, Markenstärke – jede Menge Daten und vermutlich zahlreiche grüne Ampeln. Nokia war Weltmarktführer bei Mobiltelefonen. Dann kam 2007 das iPhone. Plötzlich ging es nicht mehr primär darum, wer robuste Telefone mit langer Akkulaufzeit baut. Entscheidend wurden Touchscreens, Software, Apps und ganze digitale Ökosysteme. Wer hauptsächlich in den Rückspiegel schaute, konnte dabei eine ausgesprochen beruhigende Aussicht genießen: Die Vergangenheit sah hervorragend aus. Dummerweise fand der Wettbewerb inzwischen vor der Windschutzscheibe statt.
Das ist eine der fundamentalen Schwierigkeiten im Risikomanagement: Risiken treten grundsätzlich in der Zukunft ein. Unsere Daten stammen aber überwiegend aus der Vergangenheit. Das ist zunächst unvermeidlich. Historische Schadendaten, Vorfälle, Auditergebnisse und Erfahrungswerte sind wichtig. Gefährlich wird es erst, wenn aus "Das haben wir bisher beobachtet" unbemerkt "Deshalb wird es künftig genauso sein" wird. Die Vergangenheit ist ein wertvoller Lehrer. Sie besitzt allerdings eine kleine Schwäche: Sie kennt die Zukunft nicht.
Besonders schön lässt sich dieser Rückspiegelblick bei Checklisten beobachten. "Firewall vorhanden?" Haken. "Backup getestet?" Haken. "Notfallplan vorhanden?" Haken. "Lieferanten bewertet?" Haken. Nach zwanzig Häkchen entsteht ein warmes Gefühl organisatorischer Geborgenheit. Nur beantwortet die Checkliste meist eine andere Frage: Haben wir das berücksichtigt, was wir bereits kennen? Sie beantwortet nicht automatisch die wesentlich unangenehmere Frage: Was könnte passieren, an das wir bisher noch gar nicht gedacht haben? Die Checkliste kennt den Angriff von gestern. Der Angreifer arbeitet möglicherweise bereits am Angriff von morgen.
Das gilt weit über Cyberrisiken hinaus. Neue Technologien verändern Geschäftsmodelle. Geopolitische Konflikte verändern Lieferketten. Künstliche Intelligenz schafft Chancen und gleichzeitig völlig neue Abhängigkeiten. Regulierung verändert Märkte. Neue Wettbewerber kombinieren Technologien auf eine Weise, die in keiner Verlustdatenbank der vergangenen zehn Jahre vorkommt. Genau diese Risiken haben eine besonders unangenehme Eigenschaft: Für sie existieren oft noch keine komfortablen historischen Zeitreihen. Wer ausschließlich datengetrieben in die Vergangenheit schaut, kann deshalb sehr präzise analysieren, warum gestern nichts passiert ist.
Zukunftsorientiertes Risikomanagement benötigt daher andere Fragen und andere Werkzeuge. Kreativitätsmethoden wie Pre-Mortem, Szenariotechnik, Business Gaming oder Red Teaming zwingen uns, mögliche Zukünfte gedanklich vorwegzunehmen. Horizon Scanning und die Analyse schwacher Signale suchen bewusst nach Veränderungen außerhalb der bekannten Komfortzone. Szenarioanalysen fragen nicht: "Was ist bisher passiert?", sondern: "Was könnte passieren?" Und quantitative Methoden ergänzen diese Gedankenexperimente: Sensitivitätsanalysen zeigen kritische Treiber, Stress- und Reverse-Stress-Tests suchen gezielt nach Belastungsgrenzen, Simulationen machen sichtbar, welche Bandbreiten zukünftige Entwicklungen annehmen können.
Das ist kein Plädoyer dafür, historische Daten aus dem Fenster zu werfen. Im Gegenteil. Der Rückspiegel ist beim Autofahren ausgesprochen nützlich. Man sollte nur nicht die gesamte Autobahnfahrt damit verbringen, hineinzuschauen.
Vielleicht braucht gutes Risikomanagement deshalb zwei Perspektiven: Aus der Vergangenheit lernen – und aus möglichen Zukünften lernen. Die Vergangenheit zeigt uns, welche Fehler bereits passiert sind. Szenarien zeigen uns, welche Fehler wir uns vielleicht noch ersparen können.
Denn wenn der Felsbrocken mit der Aufschrift "Neues Szenario" bereits mitten auf der Fahrbahn liegt, hilft ein letzter Blick in den Rückspiegel nur noch wenig. Auch wenn die Aussicht dort hervorragend ist.
