Zum Hauptinhalt springen

MoRA (Modular Risk Assessment)

MoRA (Modular Risk Assessment) ist eine Methodik für Security-Risikoanalysen, die am Fraunhofer AISEC (Fraunhofer-Institut für Angewandte und Integrierte Sicherheit) entwickelt wurde. Sie strukturiert die Analyse modellbasiert und modular und ist eine der etablierten Methodiken, mit denen sich eine Threat Analysis and Risk Assessment (TARA) nach ISO/SAE 21434 praktisch durchführen lässt.

Die vier Phasen

MoRA gliedert die Risikoanalyse in vier aufeinander aufbauende Phasen:

  • System modellieren: Die Daten über das zu bewertende System werden gesammelt und als Modell erfasst — mit Funktionen, Komponenten, Daten und Datenflüssen als Modellierungselementen. Das entspricht der Item Definition der ISO/SAE 21434.
  • Schutzbedarf identifizieren: An den Systemelementen werden Sicherheitseigenschaften wie Vertraulichkeit, Integrität und Verfügbarkeit verankert. Daraus entstehen Sicherheitsziele, deren Schadenspotenzial über Schadenskriterien wie Safety- und finanzielle Folgen bewertet wird.
  • Bedrohungen analysieren: Bekannte Bedrohungen werden — etwa auf Basis von Katalogen — gegen die Systemelemente geprüft und über Risikofaktoren wie Zeit, Zugang, Wissen und Ausrüstung bewertet.
  • Risiken analysieren: Über das Systemmodell wird berechnet, wie Sicherheitsziele bedroht sind; aus Schadenspotenzial und Angriffsaufwand ergibt sich per Propagation der Risk Level jedes Risikos.

Warum modular?

Das namensgebende Prinzip ist die klare Trennung der Bausteine, insbesondere von Impact-Bewertung und Bedrohungsbewertung. Sie sorgt dafür, dass die Methode mit dem Stand des Entwicklungsprozesses skaliert: Der Schutzbedarf lässt sich bereits in der Designphase bewerten, bevor Details der Umsetzung feststehen, und die Bedrohungslage kann später aktualisiert werden, ohne die Schutzbedarfsanalyse anzutasten. Zugleich werden Bausteine wie Bedrohungskataloge und Bewertungsschemata über Projekte hinweg wiederverwendbar.

MoRA in der Praxis

Von MoRA inspirierte, werkzeuggestützte Workflows — etwa in itemis SECURE — setzen die vier Phasen als verknüpfte Modellelemente um, sodass Bewertungsänderungen automatisch entlang der Verknüpfungen propagieren. Wie eine solche TARA im Detail abläuft, beschreibt unser Artikel zur TARA; den normativen Rahmen liefert die Spoke-Seite zu Cyber Security.

Mehr zum Thema

Verwandte Begriffe

TARA Threat Modeling ISO/SAE 21434 Attack Feasibility

Häufige Fragen

Ist MoRA dasselbe wie eine TARA?
Nein. TARA bezeichnet den normativ geforderten Prozess der ISO/SAE 21434 samt seiner Arbeitsergebnisse; MoRA ist eine konkrete Methodik, mit der sich dieser Prozess durchführen lässt. Die Norm schreibt keine bestimmte Methode vor — MoRA ist eine der etablierten Antworten auf die Frage, wie man eine TARA praktisch aufbaut.
Was bedeutet „modular“ bei MoRA?
Die klare Trennung der Analysebausteine: Systemmodell, Schutzbedarf, Bedrohungen und Risiken sind eigenständige, verknüpfte Module. Insbesondere die Trennung von Impact-Bewertung und Bedrohungsbewertung sorgt dafür, dass die Analyse mit dem Entwicklungsstand skaliert und Bausteine wiederverwendet werden können.
Welche Rolle spielt MoRA in itemis SECURE?
Der TARA-Workflow von itemis SECURE ist von MoRA inspiriert: Systemmodell, Schutzbedarf, Bedrohungs- und Risikoanalyse sind als verknüpfte Modellelemente umgesetzt, und die Risikoberechnung propagiert über diese Verknüpfungen. Auch andere Risikobewertungsmethoden aus Wissenschaft und Industrie lassen sich damit abbilden.
Fachlich geprüft von Jens Bühl, Product Owner am 21. August 2026