Entwicklung externer und interner Gefahren für Unternehmen seit 1980 und Implikationen für die Resilienzforschung

Zusammenfassung

Die Resilienzforschung hat sich in den letzten Jahrzehnten stark ausdifferenziert, leidet jedoch weiterhin unter konzeptioneller Unschärfe und Messproblemen, was ihre Nutzbarkeit für das Management komplexer Unternehmensrisiken begrenzt (Duchek, 2020; Hillmann & Guenther, 2020). Parallel dazu hat sich die Gefahrenlandschaft für Unternehmen seit den 1980er-Jahren qualitativ verändert: Einerseits steigen klimabedingte und sekundäre Naturgefahren mitsamt Schadensfolgen (IPCC, 2023; Munich Re, 2025; Swiss Re Institute, 2021, 2025). Andererseits nehmen technologische Risiken – insbesondere Cyberrisiken – in Häufigkeit, Interdependenz und Betriebsunterbrechungswirkung zu, was sich sowohl in Vorfallsanalysen als auch in Unternehmensrisikowahrnehmungen widerspiegelt (Allianz Global Corporate & Specialty, 2018; Allianz Commercial, 2026; ENISA, 2013; Verizon, 2009, 2025). Trotz zahlreicher Standards und Rahmenwerke zu Risikomanagement, Business Continuity und Governance fehlt ein wissenschaftlich fundiertes, longitudinales Rahmenwerk, das externe und interne Gefahren über die Zeit systematisch beobachtbar und vergleichbar macht, um „Gefahrenmomente“ frühzeitig für das Resilienzmanagement zu erkennen (COSO, 2004, 2013, 2017; ISO, 2009, 2012, 2017; World Economic Forum, 2026). Diese Arbeit leitet die Forschungslücke her, begründet einen Analysezeitraum 1980–2025 und entwickelt einen Vorschlag für ein zeitorientiertes Klassifikations- und Beobachtungsrahmenwerk als Brücke zwischen Risikoforschung und Resilienzmanagement.

Einleitung

Unternehmensresilienz wird in der Management- und Organisationsforschung typischerweise als Fähigkeit verstanden, Störungen zu antizipieren, zu bewältigen und sich anzupassen, wobei Resilienz nicht nur als Resultat („bounce back“), sondern als Bündel dynamischer organisatorischer Fähigkeiten gefasst wird (Duchek, 2020). Gleichzeitig zeigen systematische Reviews, dass Resilienz als Konstrukt weiterhin als „fuzzy“ kritisiert wird und belastbare Messinstrumente und Taxonomien im Feld uneinheitlich bleiben (Hillmann & Guenther, 2020). In der Praxis steigt jedoch der Druck, Resilienz strategisch zu operationalisieren, weil Unternehmen in zunehmendem Maße Multirisiken ausgesetzt sind – darunter klimatische, geopolitische, technologische, ökonomische und gesellschaftliche Risiken, die sich gegenseitig verstärken können (OECD, 2011; World Economic Forum, 2015, 2026).

Diese Arbeit adressiert einen spezifischen, bislang unterbelichteten Aspekt in der Resilienzforschung: Nicht nur die Resilienzfähigkeit von Organisationen ist zu erklären, sondern auch die „Evolutionslogik“ der Gefahren, denen Organisationen ausgesetzt sind. Während Standards und Frameworks zwar Anforderungen an Risikomanagement, interne Kontrollen und Business Continuity formulieren (COSO, 2013; ISO, 2009, 2012), fehlt ein konsistenter Bezugsrahmen, der interne und externe Gefahren longitudinal (über Jahrzehnte) beobachtbar macht, so dass Veränderungen in Häufigkeit, Ausprägung, Kopplungen und Wirkung (z. B. Betriebsunterbrechung) für das Resilienzmanagement frühzeitig erkennbar werden (Allianz Global Corporate & Specialty, 2018; Swiss Re Institute, 2025; World Economic Forum, 2026).

Datenbasis und Methodik

Die vorliegende Arbeit folgt einer synthetisierenden Literatur- und Evidenzlogik: Sie trianguliert wissenschaftliche Resilienzforschung (Konzeptualisierungen, Kritik, Messprobleme) mit anerkannten institutionellen und unternehmerischen Studien sowie Standardwerken, die Gefahren, Vorfälle und Risikowahrnehmungen dokumentieren (Duchek, 2020; Hillmann & Guenther, 2020; Allianz Commercial, 2026; Swiss Re Institute, 2021; Verizon, 2009; World Economic Forum, 2026). Dabei werden „externe Gefahren“ als solche gefasst, deren primäre Auslösung außerhalb der Organisation liegt (z. B. Naturgefahren, geopolitische Ereignisse, externe Angriffe), während „interne Gefahren“ primär aus internen Prozessen, Menschen, Systemen und Governance entstehen (z. B. Kontrollversagen, Betrug, Fehlkonfigurationen, Kultur- und Kompetenzdefizite). Diese analytische Trennlinie ist in der Praxis porös; dennoch ist sie für Beobachtung und Steuerung zentral, wie etwa die Operationalisierung von operationellen Risiken als Verlustrisiken aus „internen Prozessen, Menschen und Systemen“ oder „externen Ereignissen“ zeigt (Basel Committee on Banking Supervision, 2003).

Analysezeitraum

Als Analysezeitraum wird 1980–2025 festgelegt. Die Wahl basiert auf drei Kriterien:

• (a) Verfügbarkeit und Vergleichbarkeit mehrdekadischer Daten zur Schadensevolution durch Naturereignisse (Munich Re, n.d.; Munich Re, 2025; Swiss Re Institute, 2021),
• (b) ausreichende Dichte an international verbreiteten Risiko-/Governance-Standards seit den 1990er- und 2000er-Jahren (COSO, 2004, 2013; ISO, 2009, 2012), sowie
• (c) Etablierung systematischer Cyber- und Vorfallsberichte ab spätestens Ende der 2000er-Jahre, die digitale Risiken als unternehmensrelevante Gefahren empirisch greifbar machen (Verizon, 2009).

Die 1980er-Jahre markieren zudem einen Zeitraum, ab dem Naturkatastrophenschäden in vielen Datenquellen regelmäßig berichtet und längerfristig aufbereitet werden; zugleich weisen Quellen darauf hin, dass die Datenqualität für bestimmte Verlustreihen vor 1990 schwächer ist, was die Notwendigkeit methodischer Vorsicht für echte Langfristtrends unterstreicht (Swiss Re Institute, 2021).

Befunde: Entwicklung externer Gefahren

Externe Gefahren für Unternehmen haben sich seit 1980 entlang zweier Achsen verändert: Erstens sind physische, klimatisch getriebene und sekundäre Naturgefahren (z. B. Starkregen, Überschwemmungen, konvektive Stürme) in ihrer Schadensrelevanz gestiegen; zweitens haben technologische und geopolitische Interdependenzen neue Ausfall- und Kaskadenmuster erzeugt, die sich besonders in Betriebsunterbrechungen materialisieren.

Naturgefahren und Klima als langlaufender Schadentreiber

Versicherungs- und Rückversicherungsdaten deuten auf steigende Naturkatastrophenschäden hin, wobei sowohl Exponierungswachstum (mehr Werte in gefährdeten Regionen) als auch klimatische Veränderungen als Treiber diskutiert werden (Swiss Re Institute, 2021). In der jüngeren Zeit wird zudem ein anhaltender realer Wachstumstrend versicherter Naturkatastrophenverluste berichtet; für 2024 werden hohe ökonomische und versicherte Schäden ausgewiesen, und es wird eine mehrjährige reale Wachstumsrate im Bereich weniger Prozent pro Jahr als Norm beschrieben (Swiss Re Institute, 2025). Auch Fallzahlen und Zusammensetzung verschieben sich: Sekundäre Naturgefahren (z. B. schwere Gewitter, Fluten, Waldbrände) gewinnen an Bedeutung als wiederkehrende Verlusttreiber (Munich Re, 2025; Swiss Re Institute, 2021).

Klimawissenschaftlich wird die Zunahme bestimmter Extremereignisse – etwa Häufigkeit und Intensität starker Niederschläge seit der Mitte des 20. Jahrhunderts – mit hoher wissenschaftlicher Evidenz beschrieben und der menschliche Einfluss als wahrscheinlicher Haupttreiber herausgestellt (IPCC, 2023). Für Unternehmen bedeutet dies nicht nur höhere physische Schäden, sondern vor allem häufigere operative Unterbrechungen (z. B. durch Infrastruktur- und Logistikausfälle) und steigende „Protection Gaps“, also nicht versicherte Teile wirtschaftlicher Schäden (Munich Re, 2025; Swiss Re Institute, 2025).

Systemische Schocks, Globalisierung und Interdependenzen

Mit globalisierten Wertschöpfungsketten steigt die Wahrscheinlichkeit, dass lokale Ereignisse – Naturgefahren, politische Entscheidungen, regulatorische Änderungen – über Lieferketten und digitale Infrastruktur zu globalen Unterbrechungen führen. In Unternehmensbefragungen wird Betriebsunterbrechung (inklusive Supply-Chain-Disruption) seit vielen Jahren als Top-Risiko geführt oder eng mit anderen Top-Risiken gekoppelt (Allianz Global Corporate & Specialty, 2018; Allianz Commercial, 2026). Die Allianz-Befunde zeigen zudem eine wachsende Wahrnehmung, dass geopolitische, digitale und klimabezogene Risiken gemeinsam Druck auf Lieferketten ausüben und dass Lieferkettenresilienz in der Selbsteinschätzung häufig niedrig ist (Allianz Commercial, 2026).

Auch institutionelle Risikoanalysen beschreiben „globale Schocks“ explizit als Ereignisse, deren Wirkung über gekoppelte Systeme wie Handel, Transport, Zahlungsverkehr und kritische Versorgungsinfrastrukturen läuft, und betonen dabei die Komplexität multipler Interaktionen als Kernproblem für Governance und Vorbereitung (OECD, 2011). Diese Perspektive ist für Unternehmen zentral, weil externe Gefahren zunehmend nicht als isolierte Einzelrisiken auftreten, sondern als interdependente Risikostränge, die Kaskaden und Verstärkungseffekte erzeugen (OECD, 2011; World Economic Forum, 2026).

Cyberrisiken: Von IT-Sicherheitsfrage zu strategischem Unternehmensrisiko

Technologische Risiken – insbesondere Cyberrisiken – zeigen eine ausgeprägte Dynamik seit den 2000er-Jahren. Frühere forensische Analysen großer Datenbruchfälle dokumentieren bereits 2008/2009 enormes Schadensausmaß (z. B. kompromittierte Datensätze in hoher zweistelliger Millionenhöhe) und weisen auf dominante externe Angreifer, organisierte Kriminalität, aber auch relevante Insideranteile sowie erhebliche Rolle „signifikanter Fehler“ hin (Verizon, 2009). Parallel beschreibt eine europäische Threat-Landscape-Synthese der frühen 2010er-Jahre eine steigende Trendlinie für mehrere Angriffsklassen (z. B. Exploit Kits, Code-Injection-Angriffe, Botnets) und betont, dass Datenabflüsse sowohl durch externe Angriffe als auch durch nachlässige Insider ausgelöst werden können (ENISA, 2013).

In der Unternehmensperspektive schlägt sich diese Entwicklung deutlich nieder: Bereits 2018 wird Cyber als zentraler Trigger von Betriebsunterbrechung hervorgehoben und in der Risikowahrnehmung im Vergleich zu früheren Jahren als stark gestiegen beschrieben (Allianz Global Corporate & Specialty, 2018). Für 2026 wird Cyber erneut als globales Top-Risiko geführt, eng gekoppelt mit KI-Risiken, und explizit als Treiber für integrierte Resilienzstrategien adressiert (Allianz Commercial, 2026). Auf Framework-Ebene zeigt sich ein institutioneller Reifungsprozess: Der erste NIST Cybersecurity Framework-Release 2014 positioniert Cybersecurity als strukturierbares Risikomanagementthema, das Programme an Geschäftskontext und Reifegrade knüpft (NIST, 2014), während Version 2.0 2024 Governance als zentrale Funktion ergänzt und Cybersecurity ausdrücklich als Enterprise Risk neben Finanzen und Reputation verortet (NIST, 2024).

Aktuelle Vorfallzusammenfassungen verweisen zudem auf eine stärkere Bedeutung von Drittparteien und Lieferkettenbezug von Breaches sowie auf eine sichtbare Präsenz von Ransomware in einem relevanten Anteil der analysierten Fälle (Verizon, 2025). Zusammengenommen ist damit eine Verschiebung erkennbar: Cyberrisiken sind nicht mehr nur „IT-Risiken“, sondern verknüpfen externe Angriffe, interne Fehler, Drittparteien und Geschäftsunterbrechung zu einem hybriden, systemisch wirksamen Gefahrencluster (Allianz Commercial, 2026; NIST, 2024; Verizon, 2025).

Befunde: Entwicklung interner Gefahren

Interne Gefahren haben sich seit den 1980er-Jahren nicht primär „entweder reduziert oder erhöht“, sondern vor allem strukturell transformiert: Interne Gefahren entstehen zunehmend in technologisch getriebenen, globalen Organisationsarchitekturen, in denen Fehler, Kontrolllücken und Governance-Schwächen schneller skalieren und häufiger mit externen Triggern gekoppelt sind.

Governance- und Kontrolllandschaften: Von internen Kontrollen zu ERM-Integration

Die Entwicklung formalisierter Governance- und Risikoansätze spiegelt die wachsende Komplexität organisationaler Innenwelten. Das COSO-Framework zu internen Kontrollen wird in seiner aktualisierten Fassung explizit vor dem Hintergrund eines „dramatisch“ veränderten, stärker technologisierten und globalisierten Geschäftsumfelds begründet und betont die Notwendigkeit anpassungsfähiger interner Kontrollsysteme (COSO, 2013). Auf ERM-Ebene argumentiert COSO bereits 2004, es habe an einer gemeinsamen Wissensbasis und Prinzipien gefehlt, um Risikoansätze von Organisationen einheitlich bewerten zu können, und positioniert ERM als Rahmen zur Identifikation, Priorisierung und Reaktion auf Risiken (COSO, 2004). Die Weiterentwicklung 2017 verschiebt den Schwerpunkt in Richtung Integration von ERM mit Strategie und Performance und ordnet Governance und Kultur als zentrale Komponente ein (COSO, 2017).

Diese Standard- und Frameworkentwicklung lässt sich als Reaktion auf interne Gefahren interpretieren, die aus

• (a) technologischer Abhängigkeit,
• (b) Prozesskomplexität,
• (c) globalen Organisationsstrukturen und
• (d) steigenden Transparenz- und Accountability-Erwartungen entstehen (COSO, 2013, 2017).

Gleichzeitig zeigen generische Risikomanagementstandards wie ISO 31000, dass Risikomanagement als organisationsweite, lebenszyklusbegleitende Praxis verstanden wird, die Strategien, Prozesse und Entscheidungen umfasst (ISO, 2009) – ein Hinweis darauf, dass interne Gefahren nicht isoliert in Compliance-Funktionen bearbeitbar sind, sondern in Managementsysteme integriert werden müssen.

Operationelle Risiken als Schnittstelle von Innen und Außen

Die Governance von operationellen Risiken illustriert besonders deutlich, wie sich interne Gefahren in Richtung hybrider Risikoarchitekturen verschoben haben. Bereits im frühen Basel-Kontext werden Deregulierung, Globalisierung und steigende Technologisierung als Treiber diverser und komplexerer Risikoprofile beschrieben; zugleich wird hervorgehoben, dass Automatisierung Risiken von manuellen Fehlern zu Systemausfallrisiken verschiebt und Outsourcing sowie E-Commerce neue Risikofelder öffnen (Basel Committee on Banking Supervision, 2003). Entscheidend ist die definitorische Klammer: Operationelles Risiko wird als Verlustgefahr aus unzureichenden oder fehlgeschlagenen internen Prozessen, Menschen und Systemen oder aus externen Ereignissen gefasst (Basel Committee on Banking Supervision, 2003). Damit wird analytisch anerkannt, dass interne Gefahren und externe Trigger in einer gemeinsamen Verlustlogik zusammenlaufen.

Diese Sichtweise passt zu empirischen Beobachtungen in digitalen Kontexten: Datenbruchanalysen weisen sowohl externe Angreiferdominanz als auch relevante Insider- und Fehleranteile aus, was operationelle Innenfaktoren (z. B. Fehlkonfigurationen, Privilegmissbrauch, Prozessdesign) als entscheidende Verstärker externer Cybergefahren sichtbar macht (Verizon, 2009; ENISA, 2013). Für Resilienzmanagement bedeutet dies, dass interne Gefahren nicht nur „intern“ zu behandeln sind, sondern als Kopplungspunkte in interdependenten Risikonetzwerken fungieren.

Interner Betrug und Kontrollschwächen als persistente Gefahrenklasse

Occupational Fraud ist ein Beispiel für eine interne Gefahrenklasse, die über Jahrzehnte persistiert, sich jedoch in Formen, Detektionsmechanismen und Governancebezug verändert. Bereits die (historische) ACFE-Studie von 1996 skizziert occupational fraud als Missbrauch der beruflichen Position zur persönlichen Bereicherung und ordnet Methoden in übergeordnete Kategorien wie Asset Misappropriation, Fraudulent Statements sowie Bribery/Corruption ein (Association of Certified Fraud Examiners, 1996). Neuere Ergänzungsberichte betonen demgegenüber stärker die Rolle konkreter Kontrollschwächen im Kontext heutiger Organisationen. Für Westeuropa werden als zentrale interne Kontrollschwachstellen u. a. Override bestehender Kontrollen, fehlende Kontrollen, fehlendes Management Review und „poor tone at the top“ berichtet (Association of Certified Fraud Examiners, 2021). Auch in der Darstellung der 2024er Ausgabe wird hervorgehoben, dass ein erheblicher Anteil von occupational fraud mit fehlenden oder übersteuerten internen Kontrollen zusammenhängt (Association of Certified Fraud Examiners, 2024).

Damit wird ein zentrales Muster sichtbar: Interne Gefahren sind häufig weniger „Einzelfälle“, sondern Ausdruck systemischer Governance-, Kultur- und Kontrollarchitekturen – also genau jener Faktoren, die moderne ERM- und Kontrollrahmenwerke in den Fokus rücken (COSO, 2013, 2017). Diese Persistenz interner Gefahrenklassen unterstreicht die Notwendigkeit longitudinaler Beobachtung: Nicht nur die Existenz von Betrugsrisiko ist relevant, sondern seine Interaktion mit Organisationsdesign, Digitalisierung, Drittparteien und Detektionsökosystemen.

Forschungslücke und Rahmenwerkvorschlag

Herleitung der Forschungslücke

Obwohl Resilienzforschung Resilienz als Prozess und Fähigkeitenset konzeptualisiert, bleibt die empirische und methodische Grundlage häufig auf die Organisation selbst gerichtet: Fähigkeiten, Ressourcen, Routinen und Messskalen stehen im Vordergrund (Duchek, 2020; Hillmann & Guenther, 2020). Gleichzeitig liefern institutionelle und unternehmerische Studien reichhaltige Evidenz zur Veränderung spezifischer Gefahrenklassen (Naturgefahren, Cyber, Lieferkettenunterbrechungen, Betrug), jedoch meist in voneinander getrennten Domänen und ohne ein stimmiges, zeitlich vergleichbares Klassifikationssystem, das interne und externe Gefahren gemeinsam abbildet (Allianz Commercial, 2026; Swiss Re Institute, 2021, 2025; Verizon, 2009, 2025). Standards wie ISO 22301 und ISO 22316 geben Anforderungen bzw. Guidance zur Business Continuity bzw. organisationaler Resilienz, zielen aber nicht auf eine wissenschaftliche Längsschnittbeobachtung von Gefahrenkategorien und deren Drift (ISO, 2012, 2017). Damit ergibt sich eine Forschungslücke: Es fehlt ein Rahmenwerk, mit dem externe und interne Gefahren für Unternehmen über die Zeit beobachtet, kategorial stabil kodiert und in ihrer Kopplung zum Resilienzmanagement als Frühindikatoren („Gefahrenmomente“) nutzbar gemacht werden können.

Diese Lücke ist nicht nur akademisch, sondern praktisch relevant: Unternehmensrisikowahrnehmung zeigt eine deutliche Dynamik (z. B. Cyber und KI als Top-Risiken), während gleichzeitig geringe Selbsteinschätzungen zur Lieferkettenresilienz berichtet werden (Allianz Commercial, 2026). Ein longitudinales Rahmenwerk müsste daher sowohl

• (a) historische Entwicklung erklärbar machen als auch
• (b) die Fähigkeit zur Früherkennung von Trendbrüchen unterstützen – eine Verbindung, die in bestehenden Resilienzdefinitionen und Messdebatten nur indirekt angelegt ist (Duchek, 2020; Hillmann & Guenther, 2020).

Vorschlag: Temporal-akzentuiertes Gefahrenbeobachtungsrahmenwerk

Als Beitrag wird ein „Temporal Hazard Observatory Framework“ (THOF) vorgeschlagen, das Gefahren für Unternehmen als beobachtbare Einheiten über die Zeit systematisiert. Das Rahmenwerk baut auf drei kompatiblen Logiken auf:

• Erstens wird die klassische Risiko-Typologie „preventable–strategic–external“ als Steuerungslogik genutzt, um zwischen
  • (i) vermeidbaren, intern beherrschbaren Risiken,
  • (ii) strategisch eingegangenen Risiken und
  • (iii) externen, nicht vollständig kontrollierbaren Risiken zu unterscheiden (Kaplan & Mikes, 2012).
    Diese Typologie eignet sich als „Management-Linse“, weil sie direkt mit Governance- und Entscheidungsprozessen verschaltet ist.
• Zweitens wird für die Abbildung interner/externer Herkunft ein „Lokus“-Kontinuum eingeführt: rein intern – hybrid – rein extern. Das Kontinuum reflektiert, dass zahlreiche reale Unternehmensereignisse (z. B. Cyber-Betriebsunterbrechung) nicht eindeutig intern oder extern sind, sondern externe Angriffe und interne Schwachstellen koppeln (ENISA, 2013; Verizon, 2009; NIST, 2024). Damit wird die definitorische Brücke zu operationellen Verlustlogiken geschlagen, die interne und externe Ursachen gemeinsam fassen (Basel Committee on Banking Supervision, 2003).
• Drittens wird eine standardorientierte Prozesssicht integriert: ISO 22301 formuliert explizit ein kontinuierliches Managementsystem, das auf Schutz, Reduktion von Eintrittswahrscheinlichkeit, Vorbereitung, Reaktion und Wiederanlauf bei Störungen abzielt (ISO, 2012). ISO 31000 liefert dafür den generischen Rahmen, Risikomanagement über den Organisationslebenszyklus und über Aktivitäten hinweg zu führen (ISO, 2009). NIST CSF 2.0 ergänzt diese Prozesssicht im Cyberkontext um Governance als zentrale Funktion und positioniert Cyber als Enterprise Risk, das in übergreifende ERM-Strategien eingebettet werden soll (NIST, 2024).

Operationale Kernbausteine des THOF

Das THOF operationalisiert Gefahrenentwicklung über vier miteinander gekoppelte Beobachtungsdimensionen:

Gefahrenklasse (Domain):
Physisch/klimatisch, technologisch/digital, ökonomisch/finanziell, geopolitisch/regulatorisch, gesellschaftlich/reputational. Die Domain dient der Stabilisierung über Jahrzehnte, selbst wenn konkrete Ausprägungen wechseln (z. B. von klassischen IT-Störungen zu Ransomware). Die Notwendigkeit dieser Stabilisierung zeigt sich in der Langfristigkeit von Naturgefahren- und Klimatrends (IPCC, 2023; Swiss Re Institute, 2021) und in der schnellen Evolution technischer Angriffsmuster (ENISA, 2013; Verizon, 2025).

Lokus und Kopplungsgrad (Internal–Hybrid–External):
Jede Beobachtung erhält eine Einordnung, ob Auslösung und Kontrollhebel primär intern, extern oder gekoppelt sind. Dies ist zentral für Managemententscheidungen, weil gleiche Domains (z. B. digital) sehr unterschiedliche Lokusprofile besitzen können (ENISA, 2013; Basel Committee on Banking Supervision, 2003).

Wirkpfad und Kaskadenpotenzial:
Die Beobachtung erfasst, ob eine Gefahr typischerweise primär über Sachschaden, Datenverlust, Rechts-/Complianceeffekte oder über Betriebsunterbrechung wirkt – und ob Drittparteien/Lieferketten als Verstärker auftreten. Die Dominanz von Betriebsunterbrechung als Schnittstelle vieler Gefahrenklassen wird sowohl in Versicherungs-/Unternehmensrisikostudien als auch in Cyberanalysen deutlich (Allianz Global Corporate & Specialty, 2018; Allianz Commercial, 2026; Verizon, 2025).

Temporales Profil:
Akut (plötzlicher Schock), chronisch (langsam kumulierend), „pulsierend“ (wiederkehrende Episoden). Naturgefahren weisen häufig akute Trigger mit langfristiger Trendkomponente auf, während Klimawandel als chronischer Hintergrundfaktor wirkt, der die Parameter akuter Ereignisse verschiebt (IPCC, 2023; Swiss Re Institute, 2025).

Nutzen für Früherkennung im Resilienzmanagement

Durch die Kombination dieser Dimensionen kann THOF als „Frühwarn- und Lerninstrument“ fungieren: Es erlaubt, Trendverschiebungen innerhalb einer Domain (z. B. „Sekundärgefahren“ als steigender Verlusttreiber) von reinen Exponierungs-/Wertwachstumseffekten analytisch zu trennen und strategisch zu adressieren (Swiss Re Institute, 2021, 2025; Munich Re, 2025). Gleichzeitig können Verschiebungen in hybriden Gefahrenclustern (z. B. Drittparteienbeteiligung bei Breaches, Ransomware-Präsenz, KI als neues Risikofeld) als „Gefahrenmomente“ codiert werden, die Governance-, BCM- und Sicherheitsmaßnahmen gemeinsam betreffen (Verizon, 2025; NIST, 2024; Allianz Commercial, 2026). Damit knüpft THOF an die Resilienzdebatte an, die Resilienz als Fähigkeitenset konzipiert, erweitert sie jedoch um eine zeitorientierte, beobachtungsbasierte Gefahrenlogik als fehlende Verbindung zwischen Umwelt- und Innenentwicklung (Duchek, 2020; Hillmann & Guenther, 2020).

Schlussfolgerungen und Implikationen

Die Evidenz der letzten Jahrzehnte zeigt eine doppelte Transformation der Unternehmensgefahren: Externe Gefahren verschieben sich in Richtung höherer Systemik (Interdependenzen), höherer Betriebsunterbrechungsrelevanz und stärkerer klimatischer Hintergrunddynamiken (Allianz Commercial, 2026; IPCC, 2023; OECD, 2011; Swiss Re Institute, 2025). Interne Gefahren bleiben zugleich persistente Treiber von Verlusten und Störungen, verändern aber ihre Gestalt in Richtung technologisch skalierender Kontroll- und Governanceprobleme, die externe Trigger verstärken können (Basel Committee on Banking Supervision, 2003; COSO, 2013; ENISA, 2013; Verizon, 2009). Für Resilienzforschung folgt daraus, dass Resilienz nicht nur als Fähigkeitenset zu messen ist, sondern dass die Evolution der Gefahren selbst als gleichberechtigtes Forschungssubjekt modelliert werden muss, um Resilienzmanagement frühzeitig zu steuern (Duchek, 2020; Hillmann & Guenther, 2020).

Der vorgeschlagene THOF-Ansatz adressiert die Forschungslücke, indem er

• (a) eine kategorial stabile, über Jahrzehnte anschlussfähige Gefahrenklassifikation,
• (b) eine operationalisierbare Lokus-/Kopplungslogik und
• (c) eine Wirkpfad- und Temporalprofil-Sicht kombiniert, die an etablierte Standards und Managementframeworks andockt (ISO, 2009, 2012; Kaplan & Mikes, 2012; NIST, 2024).

Zugleich bleibt eine Einschränkung: Die Datenverfügbarkeit ist domänenspezifisch asymmetrisch. Naturgefahren sind über Jahrzehnte gut dokumentiert, während Cyber- und Drittparteiendaten historisch kürzere, aber dichter werdende Zeitreihen liefern; interne Gefahren wie Betrug sind zwar gut beschrieben, aber ebenfalls durch Erfassungs- und Meldeeffekte geprägt (Association of Certified Fraud Examiners, 1996, 2021; Swiss Re Institute, 2021; Verizon, 2009). Gerade diese Asymmetrie ist jedoch ein zentrales Argument für ein Beobachtungsrahmenwerk: Es schafft Vergleichbarkeit trotz heterogener Quellen und macht Datenlücken als Forschungs- und Governanceproblem sichtbar, statt sie implizit zu ignorieren.