Die meisten Geschäftsführer werfen zwei völlig unterschiedliche Dinge in denselben Topf: Risiko und Ungewissheit.

Die meisten Geschäftsführer werfen zwei völlig unterschiedliche Dinge in denselben Topf: Risiko und Ungewissheit. Das ist kein akademisches Detail. Es ist der Grund, warum viele Risikoanalysen nur ein gutes Gefühl erzeugen, aber keine echte Vorbereitung. Der Ökonom Frank Knight brachte die Unterscheidung schon 1921 auf den Punkt. Risiko ist die berechenbare Seite der Unsicherheit. Man kennt die möglichen Ausgänge nicht im Einzelfall, aber die Wahrscheinlichkeiten, weil genug vergleichbare Fälle vorliegen. Die Ausfallrate einer Standardmaschine. Die Häufigkeit bestimmter Phishing-Versuche. Hier kann man rechnen, Rückstellungen bilden, Margen festlegen. Ungewissheit ist grundlegend anderes. Hier fehlt nicht nur das Wissen, was passieren wird. Es fehlt schon das Wissen, welche Möglichkeiten überhaupt relevant sind. Ein neuartiger Angriffsvektor, den es vorher nicht gab. Eine Marktverschiebung ohne Vergleichsdaten. Eine Technologie, die Sicherheitsarchitekturen auf eine Art unterläuft, die niemand vorher modelliert hat. Hier lässt sich kein seriöser Erwartungswert berechnen. Wer es trotzdem versucht, produziert keine Erkenntnis. Er produziert Scheingenauigkeit. Das Problem in der Praxis: Die meisten Unternehmen behandeln beides gleich. Risikomatrix, Eintrittswahrscheinlichkeit mal geschätztem Schaden, fertig. Das funktioniert hervorragend für echtes Risiko. Es funktioniert nicht für echte Ungewissheit – weil die Zahl dabei eine Genauigkeit suggeriert, die es nicht gibt. Der entscheidende Unterschied zeigt sich in der Methode. Für berechenbares Risiko reichen Statistik und klassisches Risikomanagement. Für echte Ungewissheit braucht es etwas anderes: Szenarioanalysen, die mehrere mögliche Zukünfte durchdenken, ohne ihnen eine falsche Wahrscheinlichkeit zu geben. Notfallpläne, die nicht von einer bestimmten Bedrohung ausgehen, sondern von der Frage, wie ein Unternehmen handlungsfähig bleibt, egal was passiert. Und die ehrliche Benennung dessen, was man schlicht nicht wissen kann. Für ein mittelständisches Unternehmen heißt das konkret: Liquiditätsplanung, Wartungsintervalle, Standardprozesse – das ist kalkulierbares Risiko, hier lohnt sich Arbeit mit Zahlen. Aber die Frage, was passiert, wenn der Hauptkunde insolvent geht oder eine Technologie das eigene Produkt über Nacht überflüssig macht – das ist Ungewissheit. Hier hilft keine Tabelle mit Prozentzahlen. Hier hilft nur eine Struktur, die im Ernstfall reagieren kann, ohne vorher gewusst zu haben, was passieren wird. Wer diesen Unterschied nicht macht, verwechselt Kontrolle mit dem Gefühl von Kontrolle. Genau das ist der teuerste Irrtum im Risikomanagement.