Despite growing attention to cyber risks in research and practice, quantitative cyber risk assessments remain limited, mainly due to a lack of reliable data. This analysis leverages sparse historical data to quantify the financial impact of cyber incidents at the enterprise level. For this purpose, an operational risk database—which has not been previously used in cyber research—was examined to model and predict the likelihood, severity and time dependence of a company’s cyber risk exposure. The proposed model can predict a negative time correlation, indicating that individual cyber exposure is increasing if no cyber loss has been reported in previous years, and vice versa. The results suggest that the probability of a cyber incident correlates with the subindustry, with the insurance sector being particularly exposed. The predicted financial losses from a cyber incident are less extreme than cited in recent investigations. The study confirms that cyber risks are heavy-tailed, jeopardising business operations and profitability.

ZusammenfassungVor dem Hintergrund einer hochdynamischen Entwicklung weltweiter Cybervorfälle und der stetig wachsenden Bedeutung der Cyberforschung untersucht dieser Beitrag anhand einer systematischen und strukturierten Inhaltsanalyse die in der Wissenschaft und praxisnahen Literatur postulierten Definitionsansätze des Terminus Cyberrisiko und leitet ein disziplinübergreifendes Begriffsmodell als Basis für die künftige Cyberforschung und das operationelle Risikomanagement ab. Die Ergebnisse zeigen, dass es bislang keine einheitliche Begriffsdefinition für das Cyberrisiko gibt und die analysierten Definitionsansätze eine Vielzahl an unterschiedlichen Kernmerkmalen des Cyberrisikos zusammenfassen. Besonders häufig werden direkte und indirekte Auswirkungen, physische und digitale Risikoobjekte sowie beabsichtigte und sonstige Bedrohungen in den untersuchten Definitionen identifiziert, obgleich unbeabsichtigte Bedrohungen, insbesondere durch den Faktor Mensch als Einfallstor, nicht zu vernachlässigen sind. Das auf der Inhaltsanalyse basierende Begriffsmodell stellt eine umfassende Alternative zu den bisherigen, eher disziplinspezifischen Definitionsansätzen dar und trägt als elementarer Baustein in der Erarbeitung und dem aktuellen Diskurs über eine einheitliche Cyberterminologie bei.