Cyber Insurance, Warranties & Ransomware Protection: Mind The Coverage Gap!

Da täglich neue Bedrohungen auftauchen, die zudem immer komplexer und ausgefeilter werden, ist Cybersicherheit zu einem zentralen Thema für alle Organisationen geworden – denn jedes einzelne Unternehmen, unabhängig von seiner Größe und seinem Standort, ist dem Risiko eines Cyberangriffs ausgesetzt. Infolgedessen entscheiden sich die meisten Unternehmen mittlerweile für eine Cyberversicherung, um die durch solche Angriffe möglicherweise entstehenden Verluste abzudecken – manchmal in Verbindung mit einer speziellen Ransomware-Garantie, da diese Art von Bedrohung rund 75 % der Cyberversicherungsansprüche ausmacht (AM Best 2021). Über Ransomware hinaus kann eine Cyberversicherung Bereiche wie Erpressungsforderungen und Maßnahmen zur Schadensbehebung abdecken.

Doch dieser Markt steht unter Druck: Laut Fitch Ratings lag die Quote der Verluste im Verhältnis zu den eingenommenen Prämien im Jahr 2021 bei 73 %, und es ist schwierig, das Risiko zu diversifizieren, da Cyberangriffe keine Grenzen kennen. Zudem erschwert das Fehlen historischer Daten die Erstellung der Art von Risikoprognosen, auf die sich die Versicherungsbranche üblicherweise stützt, um ihre Tarife festzulegen. Zusammengenommen bedroht dies letztlich die Rentabilität der Branche und damit auch den von ihr gebotenen Schutz – und treibt zudem die Prämienpreise für die Kunden in die Höhe.

Auch die viel beachteten Ransomware-Garantien sind ein Bereich, der einer genaueren Prüfung bedarf und bei dem man das Kleingedruckte lesen sollte. Was auf den ersten Blick wie ein attraktives Angebot (und oft wie eine Selbstverständlichkeit) erscheint, wird in vielen Fällen niemals zur Auszahlung kommen und könnte zu gefährlicher Selbstzufriedenheit führen.

Zudem werden die Bedingungen für Cybersicherheitsversicherungen zunehmend verschärft, wie die jüngste Ankündigung vonLloyd’sof London bezüglich der Deckungsbeschränkungen verdeutlicht: So decken deren Versicherungsprodukte künftig beispielsweise nicht mehr die Folgen von Cyberangriffen ab, die zwischen Nationalstaaten ausgetragen werden. Viele Versicherer stellen zudem strengere Sicherheitsanforderungen, was zwar zu einem höheren Niveau der Cybersicherheitsmaßnahmen beiträgt, aber auch dazu führen kann, dass einige Unternehmen – insbesondere kleine und mittlere Unternehmen (KMU) – ungeschützt bleiben, da sie die neuen Mindestanforderungen weniger gut erfüllen können.

Daher ist es aus geschäftlicher und technologischer Sicht unerlässlich, genau zu wissen, was in jeder Police abgedeckt ist, die Sie heute haben oder deren Abschluss Sie in Zukunft in Erwägung ziehen. Unternehmen sollten sich bewusst sein, dass Cyberversicherungen und Ransomware-Schutzgarantien nicht jeden Aspekt von Angriffen abdecken und dass es in den meisten Fällen unterschiedliche Auslösebedingungen, Höchstbeträge, Bedingungen und Deckungsumfänge für verschiedene Arten von Schadensfällen gibt, was zur Ablehnung oder zu einer gekürzten Entschädigung führen kann – wodurch eine Lücke zwischen Erwartung und Realität entsteht. Aufklärung und Sensibilisierung sind hier entscheidend – Sie müssen sich voll und ganz darüber im Klaren sein, was Ihre Cyberversicherung heute nicht abdeckt, um spätere Überraschungen zu vermeiden. Roy May beleuchtet genau diesen Punkt hervorragend.

Lassen Sie uns nun nacheinander einige der wichtigsten Aspekte beleuchten, um genau dies zu untermauern.

• Fehler Dritter: Cyber-Versicherungen bieten keinen Versicherungsschutz, wenn ein Cyberangriff auf ein System eines Dritten erfolgt, der Ihrem Kerngeschäft Schaden zufügt. Bei dieser Software oder diesen Diensten Dritter kann es sich um Ihr Webhosting, Ihre E-Mail-Dienste, Cloud-Dienste, Ihr Kundenservice-Management oder jede andere wichtige Online-Geschäftsbeziehung handeln.
• Schäden, die während der „Wartezeit“ entstehen: In der Versicherungsbranche gibt es häufig einen zeitabhängigen Selbstbehalt, der als „Wartezeit“ bezeichnet wird. Nur Schäden, die nach Ablauf der Wartezeit entstehen, sind versichert. Diese Wartezeit beträgt in der Regel etwa 10 bis 12 Stunden. Das bedeutet: Wenn Ihr Netzwerk während der Wartezeit einem Cyberangriff ausgesetzt ist, können Sie keine Entschädigung von Ihrer Versicherung geltend machen.
• Verluste während der Betriebsunterbrechung: Verluste, die während einer Betriebsunterbrechung entstehen, sind in den meisten Versicherungsverträgen nicht abgedeckt. Die Betriebsunterbrechung kann Ihrem Unternehmen in vielerlei Hinsicht schaden und zu Produktivitätsverlusten sowie zum Verlust des Kundenvertrauens, der Kundentreue und letztlich auch der Kundschaft führen. Ganz gleich, wie hoch die Umsatzverluste sind, die Ihnen durch diese Betriebsunterbrechung entstehen – sie werden nicht gedeckt.
• Reputationsschaden: Dies ist eines der größten Risiken, denen ein Unternehmen ausgesetzt ist, wenn es zu einem Cyberangriff oder einer Datenpanne kommt. Tatsächlich ist jeder dritte Kunde bereit, einer Marke, die er liebt, bereits nach einer einzigen negativen Erfahrung den Rücken zu kehren; nach zwei oder drei negativen Erfahrungen steigt dieser Anteil auf über 90 % (QUELLE HINZUFÜGEN). Angriffe während besonderer Veranstaltungen wie dem Cyber Monday können dem Unternehmen sogar noch größeren Schaden zufügen. Da es schwierig ist, solche Verluste zu beziffern, decken Cyber-Versicherungen diese in ihren Policen nicht ab.
• Personen- oder Sachschäden: Cyberangriffe haben konkrete Folgen. Im Zuge der zunehmenden Verbreitung des IoT (Internet of Everything) nehmen die Verbindungen zwischen Objekten zu, was zu Personen- oder Sachschäden führen kann. Es mag ungewöhnlich klingen, doch viele Produktionsbetriebe werden heutzutage vollständig computergesteuert betrieben.

Der gesamte Prozess – von der Beschaffung der Rohstoffe bis zum Versand der Endprodukte – läuft über automatisierte Systeme ab. Sollte es in irgendeinem Abschnitt dieses Prozesses zu einem Cyberangriff kommen, hätte dies katastrophale Folgen. Gerät ein Unternehmen in eine solche Situation, wird eine Cyberversicherung den Bedarf (in vollem Umfang) wahrscheinlich nicht decken.

• Neue Hardware: In der Regel deckt eine Cyberversicherung keine Sachschäden wie den Austausch von Hardware und anderen Geräten ab, die durch einen Cyberangriff verursacht wurden. Problematisch wird es, wenn die Hardware so stark beschädigt ist, dass eine Reparatur unmöglich ist. In solchen Fällen ist es am besten, die Hardware durch neue zu ersetzen, doch die Kosten dafür muss das Unternehmen selbst tragen.
• Software-Upgrades: Die neuesten Versionen der Software sind in der Regel nicht durch Cyberversicherungen abgedeckt. Im Falle eines Cyberangriffs helfen Ihnen die großen Cyberversicherer lediglich dabei, die Software in den Zustand vor dem Angriff zurückzusetzen.
• Verlorene Geräte: Die meisten Cyberversicherungen decken keine Cyberkriminalität ab, die durch den Verlust eines tragbaren Geräts wie eines Firmenlaptops oder -tablets verursacht wurde. Nur wenige Versicherungen schließen ausschließlich verschlüsselte Geräte in ihren Versicherungsschutz ein; daher müssen alle im Unternehmen genutzten Geräte über entsprechende Sicherheitspatches verfügen.
• Geldbußen und Strafen durch Kartenaussteller: Ein zentrales Anliegen im Zusammenhang mit einer Datenpanne betrifft die Strafen und möglichen Geldbußen, die von Kartenausstellern wie MasterCard, Visa usw. gegen ein Unternehmen oder sogar gegen Unternehmensleiter gemäß der DSGVO und ähnlichen Vorschriften verhängt werden. Diese Geldbußen oder Strafen können beträchtliche Summen in sechsstelliger Höhe erreichen. Einige Versicherungsgesellschaften schließen die Deckung dieser Art von Geldbußen aus, was zu schweren finanziellen Verlusten führen könnte.
• Spezifische Angriffe: Viele Versicherungspolicen decken nur solche Angriffe ab, die von Cyberkriminellen begangen werden, die persönliche Gewinne anstreben, oder kollektive Gewinne, wenn böswillige Akteure zum gemeinsamen Vorteil zusammenarbeiten. Sie verweigern den Versicherungsschutz, wenn der Angriff aus terroristischen Motiven oder von einem staatlichen Akteur zu politischen Zwecken durchgeführt wird – ein Bereich, in dem Untersuchungen zeigen, dass Umfang und Häufigkeit von Angriffen zunehmen, um einer Aufdeckung zu entgehen (Microsoft 2021).

Abschließende Gedanken                               

The resiliency of a business is tied to its cyber resilience, making a sustained and organisation wide focus on cybersecurity critical, right across technology, process, culture and skills. As part of this, cyber insurance plays a role in protection by necessitating advances in security by design within increasingly stringent terms – and by supporting organisational recovery in the event of a breach when all such obligations were fulfilled. But not all cyber insurance policies are made equal, with material differences in coverage and conditions. So you must fully understand both your requirements and your obligations before making a final decision.

Start-ups und kleine sowie mittlere Unternehmen (KMU) mit kleinen Portfolios oder minimalen digitalen Vermögenswerten können die Kosten für eine Cybersicherheitsversicherung möglicherweise nicht rechtfertigen, da sich eine bessere Kapitalrendite wahrscheinlich durch die Konzentration auf Sicherheitsmaßnahmen erzielen lässt, beispielsweise durchZero-Trust-Praktikensowie Mitarbeiterschulungen und Sensibilisierungsmaßnahmen. Für große Unternehmen, die ein erhebliches Volumen an sensiblen Finanzdaten oder personenbezogenen Daten ihrer Kunden verwalten, kann die Investition in eine seriöse Cyberversicherung durchaus gerechtfertigt sein – jedoch nur als Teil einer ganzheitlichen Cybersicherheitsstrategie. Keine Police wird Sicherheitsprobleme verhindern oder spontan lösen, sondern sie kann vielmehr das letzte Puzzlestück in einem proaktiven Verteidigungsprogramm bilden, das sich sowohl auf die frühzeitige Erkennung von Risiken als auch auf eine zügige Recovery-Prozedur konzentriert, wenn (nicht falls) ein Angriff in irgendeiner Form unvermeidlich eintritt.

Über den Autor

Dr. Sally Eaves ist Vorsitzende für „Global Cyber Trust“ beim führenden Think Tank GFCYBER sowie Beraterin für digitale Dezentralisierung, Demokratie und Sicherheit beim Centre for a New American Security (CNAS), das der US-Regierung unterstellt ist. Als erfahrene Chief Technology Officerin, Professorin für fortschrittliche Technologien und globale strategische Beraterin für digitale Transformation ist Sally auf die Anwendung neuer Technologien spezialisiert, insbesondere in den Bereichen KI, Sicherheit, 5G, Cloud und IoT, um die Transformation von Unternehmen und IT voranzutreiben und gleichzeitig gesellschaftliche Wirkung in großem Maßstab zu erzielen.

Als internationale Keynote-Sprecherin und Autorin war Sally die erste Preisträgerin des „Frontier Technology and Social Impact Award“, der bei den Vereinten Nationen verliehen wurde. Sie wird als „Vorreiterin für ethische Technologie“ bezeichnet und gründete „Aspirational Futures“, um Inklusion, Vielfalt, Gerechtigkeit und Zugehörigkeit im Technologiebereich und darüber hinaus zu fördern.