Daten sind die Währung der Cyberkriminalität
12. Dezember 2023Um Folgeschäden finanzieller Art einzudämmen, lohnt es sich, sich mit dem Thema Cyberversicherungen auseinanderzusetzen. WIRTSCHAFT ONLINE sprach mit Marcel Modler von der Wert und Leistung Versicherungsmakler UG (haftungsbeschränkt) im Vorfeld des Cyber-Sicherheitstags Sachsen 2024.
WIRTSCHAFT ONLINE: Seit wann gibt es eigentlich Cyberversicherungen?
Marcel Modler: Mit der Vervielfachung der Internetseiten in den 1990er Jahren kam auch die Frage nach Internetsicherheit auf. 1997 startete in den USA, 2011 in Deutschland das Angebot von Cyberpolicen.
(Die erste Internetseite selbst ging am 13.11.1990 online. Der britische Physiker und Informatiker Sir Tim Berners-Lee entwickelte am Europäischen Kernforschungszentrum in CERN in Genf eine Computer-„Sprache“, um Daten für Kollegen in einem weltweiten Netz, dem World Wide Web, kurz www., zur Verfügung zu stellen.)
WIRTSCHAFT ONLINE: Was für Schäden können versichert werden?
Marcel Modler: Stellen Sie sich vor, Ihr Computerbildschirm ist auf einmal schwarz. Nichts geht mehr. Im nächsten Schritt erhalten Sie auf Ihrem Bildschirm in Text eine Lösegeldforderung zum Wiedererhalt und zur Nichtveröffentlichung Ihrer Firmen- und Kundendaten. Ihr Schaden besteht nun in den sofortigen Kosten, in den Untiefen Ihrer Datensysteme den Eindringling zu finden, alle Systeme auf den Stand vor dem Eindringen zurückzusetzen und alles neu aufzuspielen. Zudem müssen Sie Ihre Kunden und staatliche Stellen in stetiger Kommunikation über den Sachstand einbinden. Letztlich kommen fortlaufende Kosten einschließlich Ertragsausfall dazu, weil Ihr Unternehmen einfach über einen unbekannten Zeitraum nicht mehr tätig sein kann. Das ist nur ein Beispiel.
Als Unternehmen können Sie sich gegen Schäden von „außen“ durch Cyberbetrug, Diebstahl, Erpressung, Hackerangriffe, Datenschutzverletzung sowie von „innen“ durch Bedienungsfehler von oder vorsätzliche Schädigung durch Mitarbeitende versichern. Auch die fortlaufenden Unternehmenskosten im Schadensfall durch Betriebsunterbrechung und Vertragsstrafen durch Nichterfüllung können versichert werden.
WIRTSCHAFT ONLINE: Worauf sollten Unternehmen hier besonders achten?
Marcel Modler: Auf das existenzbedrohende Kostenrisiko eines Schadens und den Reputationsverlust bei schlechtem Umgang mit dem Schaden selbst. Beides wird regelmäßig unterschätzt. Wenn man selbst noch keinen Schaden hatte, ist es umso wichtiger, die genannten Schäden als Schablone auf das eigene Unternehmen zu legen und sich die Frage nach der Summe der möglichen Folgekosten zu stellen. Wenn man professionelle schnelle Hilfe benötigt, dann kostet das mehr. Hat man diese Hilfe nicht, ist das Unternehmen zwangsweise stillgelegt. Kunden können das Vertrauen in das eigene Unternehmen verlieren und gehen. Viele Jahre harter Arbeit wären zerstört.
WIRTSCHAFT ONLINE: Wie können KMU seriöse von unseriösen Anbietenden unterscheiden? Cyberkriminalität ist auch hier ein Thema, ist zu vermuten.
Marcel Modler: Die richtige Absicherung beginnt stets mit der richtigen Risikoaufnahme: In welcher Branche ist Ihr Unternehmen tätig? Was sind die Folgen eines Systemausfalls? Welche Folgekosten für welche Schäden wollen oder können Sie selbst nicht tragen? Jede Versicherung hat eigene Risikofragen. Je größer das Unternehmen, umso mehr Fragen ergeben sich faktisch.
Es gibt derzeit 41 Unternehmen auf dem deutschen Markt und im Gesamtverband der Versicherer organisierte Anbieter, daneben zusätzliche Anbieter. Versicherungsangebote können Sie direkt bei den Versicherern oder deren Vertretern erhalten. Sofern Sie nicht selbst alle Angebote erfassen, einholen und vergleichen möchten, empfiehlt sich ein mit diesem Bereich vertrauter Versicherungsmakler, der für Sie alle Angebote aufarbeitet und Ihnen alle wichtigen Punkte für Ihre Abwägung aufzeigt.
WIRTSCHAFT ONLINE: Was kostet eine solche Cyberversicherung den Unternehmen in der Regel?
Marcel Modler: Entscheidend ist, bildlich gesprochen, welche Autoklasse Sie mit welcher Ausstattung kaufen wollen. Eine grundlegende Absicherung können kleine Unternehmen bereits ab ca. 300 EUR jährlich erhalten. Der Unternehmensumsatz ist eine entscheidende Kalkulationsgrundlage für den Beitrag der Versicherung. Das heißt, je größer der Umsatz, umso höher der Beitrag. Ihren Beitrag können durch die richtige Wahl des für Sie notwendigen Versicherungsumfangs, die Höhe der Versicherungssummen (Folgekosten) und durch Selbstbeteiligungen im Schadensfall positiv beeinflussen. Natürlich spielt der Beitrag eine Rolle. Entscheidend für Sie in Ihrem Unternehmen ist gleichwohl das richtige Risikomanagement. Keiner möchte schließlich im Regen stehen, ohne Regenschirm. Gegen einen Pauschalbeitrag können Sie ein existenzbedrohendes Risiko auslagern, und das als steuerliche Betriebsausgabe.
WIRTSCHAFT ONLINE: Was für Leistungen beinhaltet eine Cyberversicherung?
Marcel Modler: Eine Cyberversicherung leistet bestmöglich alle Kosten für Ihre eigenen und die Schäden Dritter. Neben den oben benannten Eigenschäden können Drittschäden schnell eine große Rolle für Sie spielen, wenn Sie vom Opfer zum Täter werden: Dateninhaber können nach Veröffentlichung Ihrer Daten infolge einer Datenschutzverletzung bei Ihnen aufgrund Hackerangriffs an Sie herantreten, um Schadenersatz für immaterielle und materielle Schäden zu verlangen. Cyberkriminelle verwenden Ihre E-Mailadresse nach Angriff, um E-Mails an Ihre Kunden mit Schadsoftware zu senden. Ihre Kunden erleiden dadurch selbst einen Schaden. Das Wichtigste ist, nach Erkennen eines Schadens sofort zu handeln, damit der Schaden nicht größer wird. Eine gute Cyberversicherung begleitet Sie aktiv im Schadensfall, bietet Ihnen beginnend eine 24/7 Notfallhotline, erstellt mit Ihnen gemeinsam einen Krisenplan und arbeitet diesen Schritt für Schritt ab.
WIRTSCHAFT ONLINE: Neben der reinen Schadensversicherung gibt es bei Cyberversicherungen auch Service-Leistungen. Können Sie uns dazu etwas sagen?
Marcel Modler: Gute Cyberversicherungen sind vorrangig Dienstleister, nehmen Sie als Unternehmen im Schadensfall „an die Hand“ und bringen die nötigen Experten gleich mit. Gemeint sind etwa IT-Experten für Schadenursachenbekämpfung und Datenrettung bzw. -wiederherstellung, Öffentlichkeitsarbeit und Kommunikation sowie Rechtsberatung, und auch Sachverständige als Unterstützung bei Betriebsunterbrechungen. Und weil Vorsicht besser ist als Nachsicht, bieten manche Anbieter kostenfrei zur Sensibilisierung und Vorbeugung Ihrer Mitarbeiter Online-Schulungen, E-Mail- (Phishing-) Tests und Web Security Checks an.
WIRTSCHAFT ONLINE: Welche Branchen sind derzeit ganz besonders gefährdet? Können Sie uns hier eine Einschätzung aus Ihrer Perspektive geben, bitte?
Marcel Modler: Jeder ist betroffen, der sich mit technischen Geräten im Internet bewegt, auf denen er eigene Firmen- oder Kunden-, damit auch Bank- oder Gesundheitsdaten, gespeichert hat. Daten sind die Währung der Cyberkriminalität. Im „Darknet“, der „dunklen“ Seite des Internets, gibt es Wettbewerbe mit Ranglisten um die am meisten gehackten Unternehmen. Schadprogramme werden einfach breit gestreut.
Wie oft bekommen Sie E-Mails von zweifelhaften Absendern? Erkennen Sie diese auf den ersten Blick? „Ihre Paket-Zustellung ist da.“ Oder: Sie als Geschäftsführung weisen einen Mitarbeiter per E-Mail zur Zahlung einer Rechnung an. Nahezu die Hälfte aller Angriffe erfolgt durch den Versand gefälschter E-Mails, auf die Mitarbeiter klicken und antworten. Glauben Sie, dass man durch Sensibilisierung der Mitarbeiter das Problem vollständig beseitigen kann? Kriminelle können und suchen sich Ihre Opfer aus. Vor kurzem hat es eine bekannte Hotelkette getroffen. Kundenrechnungen der letzten fünf Jahre wurden beispielhaft für die Echtheit der Daten im Darknet veröffentlicht. Hatten Sie schon einmal einen unzufriedenen Mitarbeiter? Angriffe von „innen“ werden oft unterschätzt. Wie schnell können Ihre Mitarbeiter Daten unkontrolliert aus Ihrem Unternehmen mitnehmen, oder gezielt Ihre IT-Infrastruktur außer Kraft setzen? Kann man sich überhaupt gegen einen Angriff, oder nur gegen die Folgekosten schützen?
Je mehr Daten Sie gespeichert haben, umso mehr sollten Sie einen Angriff und dadurch existenzbedrohende Folgekosten ernsthaft in Betracht ziehen.
WIRTSCHAFT ONLINE: Gibt es Voraussetzungen, die Unternehmen erfüllen müssen, um eine Cyberversicherung abschließen zu können? Und gibt es Ausschlusskriterien?
Marcel Modler: Ohne Eigenschutz kein Versicherungsschutz. Grundsätzlich erwartet jeder Versicherer von Ihnen eine aktive Firewall und Virenschutz sowie regelmäßige Softwareaktualisierungen und Datensicherungen. Ausgeschlossen vom Schutz ist Software, für die es keine Aktualisierung mehr gibt, weil hier Sicherheitslücken nicht mehr geschlossen werden, die nach Ende der letzten Aktualisierung entstehen.
Noch ein Tipp zum Schluss: Genauso, wie Ihr Auto regelmäßig gewartet wird, sollte Ihre bestehende Cyberversicherung immer wieder auf Verbesserungen hin überprüft werden.
