Cyberversicherung, Garantien und Ransomware-Schutz: Achten Sie auf Deckungslücken!

Da täglich neue Bedrohungen auftauchen, die zudem immer komplexer und ausgefeilter werden, ist Cybersicherheit zu einem zentralen Thema für alle Organisationen geworden – denn jedes einzelne Unternehmen, unabhängig von seiner Größe und seinem Standort, ist dem Risiko eines Cyberangriffs ausgesetzt. Infolgedessen entscheiden sich die meisten Unternehmen mittlerweile für eine Cyberversicherung, um die durch solche Angriffe möglicherweise entstehenden Verluste abzudecken – manchmal in Verbindung mit einer speziellen Ransomware-Deckung, da diese Art von Bedrohung rund 75 % der Cyberversicherungsansprüche ausmacht (AM Best 2021). Über Ransomware hinaus kann eine Cyberversicherung Bereiche wie Erpressungsforderungen und Maßnahmen zur Schadensbehebung abdecken.

Doch dieser Markt steht unter Druck: Laut Fitch Ratings lag die Schadenquote im Verhältnis zu den eingenommenen Prämien im Jahr 2021 bei 73 %, und es ist schwierig, das Risiko zu diversifizieren, da Cyberangriffe keine Grenzen kennen. Zudem erschwert das Fehlen historischer Daten die Erstellung jener Art von Risikoprognosen, auf die sich die Versicherungsbranche üblicherweise stützt, um ihre Tarife festzulegen. Zusammengenommen bedroht dies letztlich die Rentabilität der Branche und damit auch den von ihr gebotenen Schutz – und treibt zudem die Prämienpreise für die Kunden in die Höhe.

Auch die viel beachteten Ransomware-Garantien sind ein Bereich, der einer genaueren Prüfung bedarf und bei dem man das Kleingedruckte lesen sollte. Was auf den ersten Blick wie ein attraktives Angebot (und oft wie eine Selbstverständlichkeit) erscheint, wird in vielen Fällen niemals zur Auszahlung kommen und könnte zu gefährlicher Selbstzufriedenheit führen.

Zudem werden die Bedingungen für Cybersicherheitsversicherungen zunehmend verschärft, wie die jüngste Ankündigung von Lloyd’s of London bezüglich der Deckungsbeschränkungen verdeutlicht: So decken deren Versicherungsprodukte künftig beispielsweise nicht mehr die Folgen von Cyberangriffen ab, die zwischen Nationalstaaten ausgetragen werden. Viele Versicherer stellen zudem strengere Sicherheitsanforderungen, was zwar zu einem höheren Niveau der Cybersicherheitsmaßnahmen beiträgt, aber auch dazu führen kann, dass einige Unternehmen – insbesondere kleine und mittlere Unternehmen (KMU) – ungeschützt bleiben, da sie die neuen Mindestanforderungen weniger gut erfüllen können.

Daher ist es aus geschäftlicher und technologischer Sicht unerlässlich, genau zu wissen, was in jeder Police abgedeckt ist, die Sie heute haben oder deren Abschluss Sie in Zukunft in Erwägung ziehen. Unternehmen sollten sich darüber im Klaren sein, dass Cyberversicherungen und Ransomware-Schutzgarantien nicht jeden Aspekt von Angriffen abdecken und dass es in den meisten Fällen unterschiedliche Auslösebedingungen, Höchstbeträge, Bedingungen und Deckungsumfänge für verschiedene Arten von Schadensfällen gibt, was zur Ablehnung oder zu einer Kürzung der Entschädigung führen kann und somit eine Lücke zwischen Erwartung und Realität schafft. Aufklärung und Sensibilisierung sind hier entscheidend – Sie müssen sich voll und ganz darüber im Klaren sein, was Ihre Cyberversicherung heute nicht abdeckt, um spätere Überraschungen zu vermeiden. Roy May beleuchtet genau diesen Punkt hervorragend.

Lassen Sie uns nun nacheinander einige der wichtigsten Aspekte beleuchten, um genau dies zu untermauern.

• Fehler Dritter: Cyberversicherungen bieten keinen Versicherungsschutz, wenn ein Cyberangriff auf ein System eines Dritten erfolgt, der Ihrem Kerngeschäft Schaden zufügt. Bei dieser Software oder diesen Diensten Dritter kann es sich um Ihr Webhosting, Ihre E-Mail-Dienste, Cloud-Dienste, Ihr Kundendienstmanagement oder jede andere wichtige Online-Geschäftsbeziehung handeln.
• Verluste, die während der „Wartezeit“ entstehen: In der Versicherungsbranche gibt es häufig einen zeitabhängigen Selbstbehalt, der als „Wartezeit“ bezeichnet wird. Nur Verluste, die nach Ablauf der Wartezeit entstehen, sind versichert. Diese Wartezeit beträgt in der Regel etwa 10 bis 12 Stunden. Das bedeutet: Wenn Ihr Netzwerk während der Wartezeit einem Cyberangriff ausgesetzt ist, können Sie keine Entschädigung von Ihrer Versicherung geltend machen.
• Verluste während Ausfallzeiten: Verluste, die während einer Betriebsunterbrechung entstehen, sind in den meisten Policen nicht abgedeckt. Die Ausfallzeit kann Ihrem Unternehmen in vielerlei Hinsicht schaden und zu Produktivitätsverlusten sowie zum Verlust des Vertrauens und der Loyalität Ihrer Kunden und letztendlich zu Geschäftsverlusten führen. Ganz gleich, wie hoch die Umsatzverluste sind, die Ihnen diese Ausfallzeit verursacht – sie werden nicht gedeckt.
• Reputationsschaden: Dies ist eines der größten Risiken, denen ein Unternehmen ausgesetzt ist, wenn es zu einem Cyberangriff oder einer Datenpanne kommt. Tatsächlich ist jeder dritte Kunde bereit, eine Marke, die er liebt, bereits nach einer einzigen negativen Erfahrung den Rücken zu kehren; nach zwei oder drei negativen Erfahrungen steigt dieser Anteil auf über 90 % (QUELLE HINZUFÜGEN). Angriffe während besonderer Veranstaltungen wie dem Cyber Monday können dem Unternehmen sogar noch größeren Schaden zufügen. Da es schwierig ist, solche Verluste zu beziffern, decken Cyber-Versicherer diese in ihren Policen nicht ab.
• Körperverletzung oder Sachschaden: Cyberangriffe haben greifbare Folgen. Da sich die Welt in Richtung IoT (Internet of Everything) bewegt, nehmen die Verbindungen zwischen Objekten zu, und es besteht die Gefahr, dass dies zu Körperverletzungen oder Sachschäden führen kann. Es mag ungewöhnlich klingen, aber viele Produktionsunternehmen werden heutzutage vollständig computergesteuert betrieben.

Der gesamte Prozess – von der Beschaffung der Rohstoffe bis zum Versand der Endprodukte – läuft über automatisierte Systeme ab. Sollte es in irgendeinem Abschnitt dieses Prozesses zu einem Cyberangriff kommen, hätte dies katastrophale Folgen. Gerät ein Unternehmen in eine solche Situation, wird eine Cyberversicherung den Bedarf (in vollem Umfang) wahrscheinlich nicht decken.

• Neue Hardware: In der Regel deckt eine Cyberversicherung keine Sachschäden wie den Austausch von Hardware und anderen Geräten ab, die durch einen Cyberangriff verursacht wurden. Problematisch wird es, wenn die Hardware so stark beschädigt ist, dass eine Reparatur unmöglich ist. In solchen Fällen ist es am besten, die Hardware durch neue zu ersetzen, doch die Kosten dafür muss das Unternehmen selbst tragen.
• Software-Upgrades: Die neuesten Softwareversionen sind in der Regel nicht durch Cyberversicherungen abgedeckt. Im Falle eines Cyberangriffs helfen Ihnen die großen Cyberversicherungen lediglich dabei, die Software auf den Stand vor dem Angriff zurückzusetzen.
• Verlorene Geräte: Die meisten Cyberversicherungen decken keine Cyberkriminalität ab, die durch den Verlust eines tragbaren Geräts wie eines Firmenlaptops oder -tablets verursacht wurde. Nur wenige Versicherungspolicen schließen ausschließlich verschlüsselte Geräte in ihren Versicherungsschutz ein; daher müssen alle im Unternehmen verwendeten Geräte über entsprechende Sicherheitspatches verfügen.
• Geldbußen und Strafen von Kartenausstellern: Ein zentrales Problem im Zusammenhang mit einer Datenpanne betreffen die Strafen und potenziellen Geldbußen, die von Kartenausstellern wie MasterCard, Visa usw. gemäß der DSGVO und ähnlichen Vorschriften gegen ein Unternehmen oder sogar gegen Führungskräfte verhängt werden. Diese Bußgelder oder Strafen können beträchtliche sechsstellige Summen erreichen. Einige Versicherungsgesellschaften schließen die Deckung dieser Art von Bußgeldern aus, was zu schweren finanziellen Verlusten führen könnte.
• Spezialisierte Angriffe: Viele Versicherungspolicen decken nur Angriffe ab, die von Cyberkriminellen begangen werden, die persönlichen Gewinn anstreben, oder kollektiven Gewinn, wenn böswillige Akteure zum gemeinsamen Vorteil zusammenarbeiten. Sie verweigern den Versicherungsschutz, wenn der Angriff aus terroristischen Motiven oder von einem staatlichen Akteur zu politischen Zwecken durchgeführt wird – ein Bereich, in dem Untersuchungen zeigen, dass Umfang und Häufigkeit von Angriffen zunehmen, um der Aufdeckung zu entgehen (Microsoft 2021).

Abschließende Überlegungen – Lohnt sich eine Cyberversicherung also?

Die Widerstandsfähigkeit eines Unternehmens hängt von seiner Cyber-Resilienz ab, weshalb ein nachhaltiger und unternehmensweiter Fokus auf Cybersicherheit – quer durch Technologie, Prozesse, Kultur und Kompetenzen – von entscheidender Bedeutung ist. In diesem Zusammenhang spielt die Cyberversicherung eine wichtige Rolle beim Schutz, indem sie im Rahmen immer strengerer Auflagen Fortschritte bei der „Security by Design“ fordert – und indem sie die Recovery des Betriebs im Falle einer Sicherheitsverletzung unterstützt, sofern alle entsprechenden Verpflichtungen erfüllt wurden. Allerdings sind nicht alle Cyberversicherungen gleich, sondern weisen wesentliche Unterschiede hinsichtlich des Versicherungsumfangs und der Bedingungen auf. Daher müssen Sie sowohl Ihre Anforderungen als auch Ihre Verpflichtungen vollständig verstehen, bevor Sie eine endgültige Entscheidung treffen.   

Start-ups sowie kleine und mittlere Unternehmen (KMU) mit kleinen Portfolios oder minimalen digitalen Vermögenswerten können die Kosten für eine Cybersicherheitsversicherung möglicherweise nicht rechtfertigen, da sich eine bessere Kapitalrendite wahrscheinlich durch die Konzentration auf Sicherheitsmaßnahmen erzielen lässt, beispielsweise durch Zero-Trust-Praktiken sowie Mitarbeiterschulungen und Sensibilisierungsmaßnahmen. Für große Unternehmen, die ein beträchtliches Volumen an sensiblen Finanzdaten oder personenbezogenen Daten ihrer Kunden verwalten, kann die Investition in eine seriöse Cyberversicherung durchaus gerechtfertigt sein – allerdings nur als Teil einer ganzheitlichen Cybersicherheitsstrategie. Keine Police wird Sicherheitsprobleme verhindern oder spontan lösen, sondern sie kann vielmehr das letzte Puzzlestück in einem proaktiven Verteidigungsprogramm bilden, das sich sowohl auf die frühzeitige Erkennung von Risiken als auch auf eine zügige Recovery-Prozedur konzentriert, wenn (nicht falls) ein Angriff in irgendeiner Form unvermeidlich eintritt.

Über die Autorin

Dr. Sally Eaves ist Vorsitzende von „Global Cyber Trust“ beim führenden Think Tank GFCYBER sowie Beraterin für digitale Dezentralisierung, Demokratie und Sicherheit beim Centre for a New American Security (CNAS), das der US-Regierung unterstellt ist. Als erfahrene Chief Technology Officerin, Professorin für fortschrittliche Technologien und globale strategische Beraterin für digitale Transformation ist Sally auf die Anwendung neuer Technologien spezialisiert, insbesondere in den Bereichen KI, Sicherheit, 5G, Cloud und IoT, um die Transformation von Unternehmen und der IT voranzutreiben und gleichzeitig gesellschaftliche Wirkung in großem Maßstab zu erzielen.

Als internationale Keynote-Sprecherin und Autorin war Sally die erste Preisträgerin des „Frontier Technology and Social Impact Award“, der bei den Vereinten Nationen verliehen wurde. Sie gilt als „Vorreiterin für ethische Technologie“ und gründete „Aspirational Futures“, um Inklusion, Vielfalt, Gerechtigkeit und Zugehörigkeit im Technologiebereich und darüber hinaus zu fördern.