Cyber-Security

Cyber-Versicherungen – ein Einblick

22. Februar 2017, 9:51 Uhr | Autor: Michael Sauermann / Redaktion: Axel Pomper

Fortsetzung des Artikels von Teil 1

Was beim Abschluss neuer Versicherungen zu beachten ist

Grundsätzlich gilt bei dem Abschluss neuer Versicherungen immer auch: Sie müssen in das Portfolio passen. Dazu gehört auch ein kritischer Blick, ob mögliche Risiken nicht schon anderweitig versichert sind. Und ebenso häufig spielen auch persönliche Motive eine Rolle: Wer alle seine Versicherungen von einem Dienstleister bezieht, der wird mit hoher Wahrscheinlichkeit auch eine weitere Versicherung bei seinem bisherigen Anbieter abschließen. Ansonsten gelten die üblichen Kriterien: Welche Risiken werden abgedeckt, wie hoch sind die Deckungssummen – und was kostet die Police?

Immer mehr Anbieter bieten die Möglichkeit, im Rahmen der Vertragsunterzeichnung die firmeneigene Cyber Security einem ersten Sicherheitscheck zu unterziehen. Dabei arbeiten die Versicherungen mit externen Dienstleistern zusammen, die den Ist-Zustand der Unternehmens-IT ebenso analysieren wie den organisatorischen Reifegrad und mögliche Abwehrstrategien für den Fall eines Angriffs entwickeln. Externe Partner der Versicherungen bieten diese Cyber Security Assessments an, die für den Versicherten zwei Vorteile bedeuten: Zum einen bemisst sich die Höhe einer Versicherungspolice immer auch am Risiko, tatsächlich Opfer einer Cyber-Attacke zu werden. Sowohl für Versicherung wie auch für Versicherten sind Sicherheits-Checks somit eine gute Möglichkeit, die Leistungskraft der eigenen Cyber Security (einschließlich der organisatorischen Kontrollen und Management-Fähigkeiten bezüglich Cyber Security) von unabhängigen Experten begutachten zu lassen.

Für den Versicherten bedeutet das unter Umständen auch dieses: Wer nachweisen kann, sich regelmäßig und strukturiert Gedanken über die eigene Sicherheit zu machen, der hält die Höhe seiner Versicherungsbeiträge stabil. Gleichzeitig führt ein Assessment – zweitens – dazu, dass im Fall eines Angriffes die Erstanalyse der IT-Sicherheit bereits stattgefunden hat – und mögliche Abwehrmaßnahmen schneller eingeleitet werden können.

Wie aber sieht sie aus, die „Erstversorgung“ nach einem Angriff? Bei vielen Anbietern ist der Einsatz externer Dienstleister Teil der Versicherungsleistung – und zwar unmittelbar nach Bekanntwerden des Angriffes. Hier geht es insbesondere um eine zielgerichtete Vorgehensweise gegen den Angriff, wie eine erste Bestandsaufnahme des Angriffs, die Einschätzung der Kritikalität und des Angriffsvektors mit dem Ziel, die Situation wieder in eine kontrollierte Lage zu überführen und damit den normalen Geschäftsbetrieb wieder herzustellen. Allerdings ist eine angemessene Reaktion auf eine Cyber-Attacke noch lange nicht erfolgt, wenn nur die Sicherheitsprobleme der Firmen-IT gelöst sind.

Ebenso wichtig ist es, den rechtlichen und kommunikativen Rahmen nach Hacker-Angriffen zu beachten. So ist beispielsweise zu klären, ob der Angriff bei den Behörden meldepflichtig ist. Sind die Datenschutzbehörden einzuschalten, wenn im Zuge der Attacke personenbezogene Daten entwendet wurden? Wie werden Stakeholder auf den Angriff reagieren und bin ich als Unternehmen sprachfähig? Und wie und in welchem Umfang bindet man interne Mitarbeiter wie auch die interessierte Öffentlichkeit im Rahmen einer geeigneten Kommunikationsstrategie mit ein?

Eine unübersichtliche Situation für Unternehmen – die übrigens umgekehrt auch für die Anbieter von Cyber-Versicherungen gilt. Eine exakte Einschätzung, welches Unternehmen man mit welchem Risiko versichert, ist nicht immer leicht zu treffen. So scheint gut möglich, dass Versicherer momentan durchaus Versicherungspolicen im Angebot haben, die sich langfristig eher als Investment denn als Renditebringer erweisen werden: ein klassisches Szenario für Übergangssituationen in jüngeren Märkten.

Für die langfristige Orientierung hilft da der Blick ins Ausland: In den USA wurden nach Schätzungen im vergangenen Jahr 2,8 Milliarden US-Dollar in Cyber-Versicherungen investiert. Da die deutsche Entwicklung der amerikanischen mit ein paar Jahren Zeitversetzung in den meisten Fällen folgt, dürfte diese Prognose erlaubt sein: Schon in wenigen Jahren werden Cyber-Versicherungen für Unternehmen auch hierzulande eher die Regel als die Ausnahme sein. Denn eins steht fest: die Risikolandschaft in der zunehmend digitalisierten Welt wird auch künftig noch komplexer werden.

Michael Sauermann ist Partner - Forensic Technology bei KPMG