IT-Security und Versicherungen, Teil 2 Cyberversicherungen: Gut gerüstet gegen Cyberangriffe

Anbieter zum Thema

CyberDirekt GmbH

Certainity GmbH

Allianz Commercial

VHV Gruppe

Zurich Gruppe Deutschland

mehr weniger

Bitkom e.V.

Heuking, Kühn, Luer, Wojtek RAe, Wirtschaftsprüfer

XOPERO SOFTWARE S.A.

weniger

Im ersten Teil unserer Cyberversicherungs-Titelstory ging es darum, ob und für wen sich eine Cyberversicherung lohnt. Im zweiten Teil stehen die Voraussetzungen, Prämien, Leistungen und Recovery-Pläne im Fokus.

Zugegeben, die Versicherer haben viele Vorgaben, die vor einem Abschluss erfüllt sein müssen und auch immer wieder im laufenden Vertrag abgeprüft werden. Der Vorteil: Erfüllt man die Vorgaben konsequent, kann man davon ausgehen, dass das Unternehmen bereits gut gegen Angriffe abgesichert ist.

Zu den gängigen Voraussetzungen gehören Firewall und Antiviren­lösung, eine Backup-Strategie optimalerweise nach der 3-2-1-­Regel, regelmäßiges Patch-Management, ein durchdachtes Berechtigungskonzept sowie die Regelung von Fernzugriffen und der Einsatz der Multifaktor-Authentifizierung (MFA). Aber auch automatisierte Schwachstellen-Scans, die Erfüllung gesetzlicher Vorgaben wie Cyber Security Act, CRA, NIS2 und DSGVO sowie branchenspezifische Anforderungen werden von den Versicherern gefordert.

Um sich einen Überblick zu verschaffen, gibt es die so genannten Risikofragen der Versicherer, die je nach Anbieter ganz unterschiedlich ausfallen. Die Versicherungsnehmer sollten hier absolut ehrlich antworten, sonst stehen sie im Schadensfall ohne Versicherungsschutz da. „Aktuelle Gerichtsentscheidungen haben gezeigt, dass die Falschbeantwortung zu großen Haftungs­risiken führen kann. Der Fokus liegt meist zu stark auf einem reinen Preisvergleich“, warnt Ole Sieverding, Geschäftsführer bei CyberDirekt. Nachteile für den Versicherungsnehmer reichen von dem Wegfall der Leistungspflicht über die Vertragskündigung, der Rückforderung bereits gezahlter Leistungen bis hin zur strafrechtlicher Verfolgung.

Kostenloser Bitkom-Leitfaden

Wann und für wen lohnt sich eine Cyberversicherung?

Da es sehr zeitaufwändig ist, die Versicherungsbedingungen zu durchforsten, lohnt es sich für Unternehmen, sich an einen Versicherungsmakler zu wenden. Dieser stellt ein an die Anforderungen des Unternehmens angepasstes Versicherungspaket zusammen. Dieses besteht normalerweise aus einem Basis-Baustein (z. B. Informationssicherheitsverletzung, Vermögensschaden) sowie optionalen Bausteinen für Service und Kosten (z. B. Prävention, Forensik), Drittschaden (z. B. Verstöße gegen das Wettbewerbsrecht) und Eigenschaden (z. B. Betriebsunterbrechung, Datenwiederherstellung). Bei einigen Versicherern gibt es Rabatte auf die Prämie oder den Selbstbehalt, wenn regelmäßig Mitarbeiterschulungen und IT-Sicherheitstrainings durchgeführt werden.

Was nicht versichert werden kann

Natürlich gibt es auch Schäden und Ursachen, die nicht versichert werden können. Dazu zählen beispielsweise, Krieg, Terrorakte und Ausfall der Infrastruktur. „Ebenfalls nicht versichert sind Schäden durch vorsätzliches Fehlverhalten oder Betrug. Außerdem schauen wir uns in bestimmten Branchen potenzielle Kunden genau an, wenn etwa sehr hohe Risiken bestehen, zum Beispiel bei kritischen Infrastrukturen“, gibt Krickhahn zu bedenken. Auch bei der Zurich Gruppe kommt es „eher auf die Risikoqualität des Unternehmens als auf die Branche an“, so Beuster. „Daneben gibt es klar definierte Ausschlussbranchen, für die kein Versicherungsschutz dargestellt werden kann, beispielsweise Anbieter von Kryptowährungen oder Kryptowallets“, fährt der Zurich-Experte fort.

Natürlich können auch nichtmaterielle Schäden nicht versichert werden. „Denken Sie an den Verlust von Kundenvertrauen, langfristige Reputationsschäden, Vertragsstrafen und potenzielle rechtliche Konsequenzen. Auch indirekte finanzielle Verluste, wie entgangene Geschäfte während der Wiederherstellungsphase, werden oft nicht berücksichtigt“, berichtet Krickhahn.

Cyber-versichert trotz Lieferschwierigkeiten?

Im Oktober läuft der Support für Windows 10 aus, doch viele Unternehmensrechner sind nicht mit Windows 11 kompatibel. Für den Abschluss einer Cyberversicherung sind aktuelle Hard- und Software vorausgesetzt. Für die Hardware erwartet die Branche allerdings Lieferschwierigkeiten für das restliche Jahr. Wirken sich diese Engpässe auf den Abschluss oder den Bestand einer Cyberversicherung aus?

Zurich-Cyber-Experte Bill Beuster erklärt dazu: „Wenn uns der Kunde nachweisen kann, dass er sich um den Austausch der alten Hard- oder Software bemüht und dieses Risiko für sich erkannt hat, dann wäre eine Absicherung im Regelfall auch möglich.“
Jens Krickhahn von Allianz Commercial fügt hinzu: „Wenn Lieferschwierigkeiten die Aktualisierung von Hard- und Software verhindern, ist es wichtig, andere Sicherheitsmaßnahmen zu ergreifen und den Versicherer darüber zu informieren. Eine gute Kommunikation mit der Versicherung kann helfen, die Situation zu klären und mögliche Lösungen zu finden.“

Reputationsschäden selbst können bei einem Angriff nicht verhindert werden. Wenn etwas an die Öffentlichkeit gelangt, dann lässt sich das nicht mehr rückgängig machen. Aber der Versicherungsnehmer kann wenigstens noch darüber entscheiden, wie mit der Öffentlichkeit kommuniziert wird und somit diese Folgen abschwächen. Die Versicherungen bieten hier auch Unterstützung bei der Krisenkommunika­tion an.

Leistungen und Prämien

Einen einheitlichen Katalog, der die Leistungen festlegt, gibt es für Cyberversicherungen nicht. Die genaue Gestaltung einer Police hängt immer vom Versicherer und den Bedürfnissen des Versicherungsnehmers ab. Es gibt allerdings Standardleistungen, die grundlegend bei den Policen dabei sind, wie etwa Haftpflichtschutz bei Datenschutzverletzungen, Kostenübernahme bei Datenwiederherstellung oder die Übernahme von Ausfallkosten, die durch Betriebsunterbrechungen entstanden sind. „Es ist sehr wichtig herauszufinden, was die Ursache für den Vorfall gewesen ist, und Maßnahmen zu ergreifen, um den Angreifer nachhaltig aus dem System zu entfernen“, erklärt Beuster. Deswegen sind auch Experten der IT-Foren­sik meist eine Standardleistung der Versicherungen.

Neue Geschäftsfelder für IT-Dienstleister

Cyberversicherungen werden zum Pflichtprogramm für KMU

Die Prämienkosten setzen sich individuell zusammen. Es kommt vor allem darauf an, welche Größe und Branche das zu versichernde Unternehmen hat, welche Art von Daten gespeichert werden und wie viele Daten das sind. Außerdem fließt der Jahresumsatz in die Berechnung mit ein. Auch der internationale Footprint und die aktuellen Schutzmaßnahmen (z. B. Multi-Faktor-Authentifizierung) sind relevant. Tendenziell zahlen Unternehmen, die mit sensiblen Daten zu tun haben, etwas mehr. Darunter fallen zum Beispiel Unternehmen aus der Finanzbranche, der Technologiebranche oder dem Gesundheitswesen. Produzierende Unternehmen haben ein erhöhtes Risiko für eine Betriebsunterbrechung nach einem Cyberangriff, weswegen sich hier eine Versicherung lohnt. Das schließt aber kleinere Unternehmen nicht aus. Diese erleiden im Falle eines Angriffs oft schwere finanzielle Schäden, die von einer Cyberversicherung abgefangen werden können.

Die durchschnittliche Schadenssumme liegt laut der Studie „Cyber Insurance and Security: Meeting the Rising Threat“ von KnowBe4 aktuell bei rund 4,88 Millionen US-Dollar pro Datenleck. Diese Summe ist ein gewaltiges Risiko für den Mittelstand. Aufgrund der hohen Schadenssummen sind die Prämien oft sehr hoch. Laut einer Studie des Sicherheitsanbieters Arctic Wolf stiegen die Kosten in den letzten Jahren um 10 bis 50 Prozent an. Und da endet es nicht. Der Beitrag steigt meist nach einem Vorfall nochmals an und es kann zu strengeren Überprüfungen der Sicherheit in solchen Unternehmen kommen.

Recovery-Plan

Und dann ist da nach einem Angriff noch die Frage: „Wie schnell komme ich wieder auf die Beine und wie viel Geld verliere ich dabei?“ Auch das hängt von mehreren Faktoren ab. Zum Beispiel spielt es eine wichtige Rolle, wie schwer der Angriff war und wie schnell eine Reaktion folgte. Hier sind effektive Kommunikation und professionelle Unterstützung ausschlaggebend.

Von der Versicherung werden Experten zur Verfügung gestellt, die dabei helfen, dass der Versicherungsnehmer den Betrieb schnell wieder starten kann. Beuster ist zuversichtlich: „Bei gut vorbereiteten Unternehmen mit aktuellen, isolierten Backups und einem getesteten Krisenplan können kritische Geschäftsprozesse oft innerhalb von 24-72 Stunden wiederhergestellt werden.“ Neben Nacharbeiten sind somit auch die Vorbereitungen entscheidend. „Eine gute Vorbereitung ist im Ernstfall der Schlüssel zum Erfolg“, bestätigt Krickhahn. Die so genannten Business-­Recovery-Pläne sind Notfallpläne, auf die ein Unternehmen zurückgreift, wenn die normalen Geschäftsabläufe unterbrochen wurden. Mit dieser Strategie wird fest­gelegt, wie gut sich ein Unternehmen im Notfall treiben lassen kann und ab wann es wieder schwimmen muss, damit es nicht untergeht. Vor allem wird in diesen Plänen gesammelt, mit welchen Schritten ein Unternehmen wieder Auftrieb bekommt. Dabei sollte nicht vergessen werden, eine realistische und sinnvolle Deckungssumme mit der Versicherung festzulegen. Überzieht ein Schaden das Deckungslimit, muss das Unternehmen die Kosten selbst tragen. Interne und externe Entwicklungen verändern ein Unternehmen mit der Zeit, deswegen macht es Sinn, das Limit regel­mäßig zu überprüfen und anzupassen.

DFIR-Retainer: Bereitschaftsdienst für den Notfall

Ulrich Fleck, CEO beim Beratungsunternehmen Certainity, erklärt: „Ein Data-Forensic- und Incident-Response-Retainer (DFIR) ist im Jargon der Cybersecurity ein Bereitschaftsvertrag, mit dem sich der Kunde Zugriff auf Expertise und Ressourcen sichert. Damit kann er in einem Cybersecurity Incident schnell und mit der notwendigen Schlagkraft reagieren, muss aber die notwendigen und teuren Incident-Response-Experten nicht selbst vorhalten. Ein DFIR-Retainer bietet darüber hinaus zusätzliche Service-Levels und Reaktionszeiten für Vor-Ort- und Remote-Einsätze und ist sowohl für Unternehmen mit, aber speziell für Unternehmen ohne aufrechte Cyberversicherung ratsam.“

Cyberversicherungen werden ein immer wichtigerer Baustein im Cybersecurity-Konzept eines Unternehmens, und die Nachfrage steigt. IT-Dienstleister finden hier großes Potenzial, ihre Kunden technisch fit zu machen, damit diese die besten Voraussetzungen haben für einen Versicherungsabschluss – aber generell auch gegen Cyberangriffe an sich.

Wer nochmal nachlesen möchte, warum und für wen sich eine Cyberversicherung lohnt, kann dies im ersten Teil unserer Titelstory Cyberversicherungen tun.

             

                            

                                                                                                                                                                                                                                                                                                                                                                                                                                                       

                            

                                            

                                                                                                                          Ihnen gefällt dieser Artikel? Mehr exklusive Inhalte finden Sie in unserer E-Paper-Ausgabe!                                             

                                            

Aktuell und auf einen Blick lesen Sie hier die Top-News aus dem Channel, sowie fundiert recherchierte Fachbeiträge zu Trends und Themen der Branche!

                                                                                                                                                       Hier geht es zum aktuellen E-Paper!                                                                          

             

(ID:50416080)