Cyberversicherungen und PAM
Reaktive Sicherheit stellt Versicherer nicht mehr zufrieden
Cyberpolicen werden nicht nur immer teurer, neue Abschlüsse unterliegen auch immer strengeren Anforderungen an die IT-Sicherheit der Unternehmen. Vor allem beim Zugriffsmanagement sind dabei proaktive Cyber-Abwehrfähigkeiten gefragt.
Der Artikel liefert unter anderem Antworten auf folgende Fragen:
- Warum haben Cyberversicherungen in der Vergangenheit an Bedeutung gewonnen?
- Inwiefern steigt der Druck auch auf Cyberversicherer?
- Welche Anforderungen müssen Unternehmen erfüllen, um Cyberversicherungen abschließen zu können?
- Warum fällt es insbesondere KMU schwer, den Anforderungen für Cyberversicherungen gerecht zu werden?
- Wie bewerten die meisten Versicherungsanbieter die Cybersecurity-Reife eines Unternehmens?
- Was sind die Hauptgründe dafür, warum Unternehmen eine Cyber-Police oder die Kostenübernahme im Schadensfall verweigert wird?
- Welche Präventivmaßnahmen können Unternehmen ergreifen?
- Wie kann Privileged Access Management (PAM) dabei helfen, den Anforderungen der Cyberversicherer zu entsprechen?
- Was genau ist PAM und was kann es leisten?
Cyberangriffe stellen für die finanzielle Stabilität von Unternehmen mittlerweile die größte Gefahr dar. Kein Wunder also, dass die Investitionen in Cyberversicherungen kräftig steigen. Doch auch die Versicherer passen sich der verschärften Gefahrenlage an.
Die Nachfrage nach Cyberversicherungen steigt – und ebenso die Prämien
Laut dem Cost of Data Breach Report von IBM1 beliefen sich die durchschnittlichen Kosten einer Datenpanne im vergangenen Jahr auf 4,35 Millionen US-Dollar und waren damit so hoch wie nie zuvor. Und der anhaltende Fachkräftemangel sowie geopolitische Konflikte könnten dafür sorgen, dass die durch Data-Breaches verursachten Schäden noch in diesem Jahr die 5-Millionen-Schwelle überschreiten. Unternehmen sehen sich ob dieses steigenden finanziellen Risikos immer öfter dazu gezwungen, eine Cyberversicherung abzuschließen, um die Schäden eines Cyberangriffs, die nicht selten auch existenzbedrohend sein können, nicht alleine tragen zu müssen.
Dabei ist in den letzten Jahren auch der Druck auf die Versicherer gestiegen. Zwar interessieren sich immer mehr Unternehmen für Cyberpolicen, gleichzeitig haben jedoch auch immer mehr Versicherungsnehmer Ansprüche geltend gemacht. Laut dem Gesamtverband der Deutschen Versicherungswirtschaft (GDV) stieg die Schadenquote im Jahr 2021 auf 124 Prozent2, gleichzeitig wurden Beitragserhöhungen von 15 bis zu 400 Prozent durchgesetzt. Tatsache ist, dass hohe Schadenaufwendungen die Preise in die Höhe getrieben haben. Hinzu kommt, dass Versicherer längst nicht mehr alle kritischen Risiken abdecken und zudem eine deutlich strengere Risikoüberprüfung an den Tag legen.
KMUs erfüllen oft schon die Basis-Anforderungen nicht
Unternehmen müssen mittlerweile bereits vorab eine lange Liste teils komplexer Kriterien erfüllen, um ihre Versicherbarkeit nachzuweisen und sich für den Abschluss einer Police zu qualifizieren. Werden die Anforderungen an Cybersicherheit und Netzwerkverteidigung nicht gänzlich erfüllt, führt dies entweder zu erheblich höheren Prämien oder aber gar zur Verweigerung des Versicherungsschutzes.
Dies stellt vor allem für kleinere und mittelständische Unternehmen, denen – anders als Großunternehmen – oftmals die Ressourcen für die Umsetzung entsprechender Kontrollen fehlen, nicht selten eine Herausforderung dar. Wie der GDV ermittelt hat, erfüllen 80 Prozent der Mittelständler schon die Basis-Anforderungen an die IT-Sicherheit nicht vollständig. So haben rund 50 Prozent der Firmen keinen Notfallplan und ein Drittel verfügt nicht über eine ausreichenden Datensicherung. Dies ist umso gefährlicher, als KMUs besonders häufig von Cyberattacken betroffen sind.
Kriterien für die Versicherbarkeit
Obwohl es in der Versicherungsbranche keinen allgemeingültigen Standard für die Beurteilung der Anspruchsberechtigung gibt, bewerten die meisten Versicherungsanbieter die Cybersecurity-Reife eines Unternehmens anhand der
- Advanced Network Firewall,
- des Antivirus- und Anti-Malware-Schutzes sowie der
- Zugangskontrollen, die im Einsatz sind.
Diese drei Bereiche geben Aufschluss darüber, wie umfangreich die IT- und Security-Abteilungen in Unternehmen Bedrohungen überwachen, identifizieren und eindämmen können und wie gut sie privilegierte Zugänge zu wertvollen Netzwerkressourcen absichern. Auf diese Weise lassen sich die Sicherheitskapazitäten von Unternehmen bestimmen ebenso wie die Risiken, denen sie durch Cyberbedrohungen wie Ransomware oder Datenschutzverletzungen ausgesetzt sind. Da diese Kriterien die zentrale Sicherheitsstruktur eines Unternehmens definieren, eignen sie sich gut als Grundlage für den Großteil der Anspruchsvoraussetzungen, auch wenn sich die Bedrohungslandschaft und damit die Versicherungsanforderungen stetig wandeln.
Proaktive Zugriffssicherheit mit PAM
Zwei der Hauptgründe, warum Unternehmen eine Cyber-Police oder die Kostenübernahme im Schadensfall verweigert wird, sind fehlende Präventivmaßnahmen sowie eine mangelhafte Cyber-Hygiene. Viele Unternehmen verfolgen nach wie vor einen reaktiven Sicherheitsansatz, das heißt sie setzen vorwiegend auf Lösungen und Strategien, die sich auf die Eindämmung von Bedrohungen konzentrieren, sobald diese in den Systemen identifiziert wurden. Robuste Sicherheitsarchitekturen beruhen jedoch auf Proaktivität und sind in der Lage, Bedrohungen einzuschätzen und abzuwehren, bevor diese das Netzwerk-Gateway durchdringen.
Dabei ist heutzutage vor allem beim Access Management proaktive Cyber-Abwehrfähigkeit essenziell. Denn fast 95 Prozent aller Cyberangriffe zielen mittlerweile auf Endbenutzer ab bzw. sind auf menschliche Fehler zurückzuführen. Vor allem eine schlechte Passworthygiene, schlecht abgesicherte Netzwerkzugangspunkte sowie ein mangelndes Bewusstsein der User für Gefahren wie Phishing machen es Bedrohungsakteuren mehr als einfach, sich Zugriffe auf sensible Konten und Systeme zu verschaffen und Rechte unautorisiert auszuweiten.
Um den reaktiven Sicherheitsansatz beim Zugriffsmanagement hinter sich zu lassen, müssen Unternehmen in der Lage sein, Netzwerkaktivitäten privilegierter Konten fortlaufend zu überwachen und potenziell bösartigen Zugriff in Echtzeit zu erkennen. Dies gelingt vor allem durch eine Kombination aus automatisierter Passwortverwaltung, der konsequenten und flächendeckenden Umsetzung einer Multi-Faktor-Authentifizierung sowie verschiedenen Access-Management-Tools, die modernes Privileged Access Management (PAM) ihnen bietet.
|
Die Implementierung fortschrittlicher PAM-Lösungen stärkt die defensiven Cyberfähigkeiten von Unternehmen und macht sie widerstandsfähig gegen interne und externe Cyber-Bedrohungen. Dies schafft Glaubwürdigkeit bei den Versicherern, die ihre Kunden bestens abgesichert wissen möchten, um potenzielle Kosten angesichts der sich ständig verschärfenden Bedrohungslandschaft einzudämmen. |
|---|
Fortschrittliche PAM-Lösungen bieten nicht nur eine sichere Generierung und Aufbewahrung von Anmeldeinformationen in einem Vault sowie eine automatisierte Rotation von Passwörtern, sie verfolgen zudem einen automatisierten Ansatz zur Überwachung von Zugriffsanfragen und authentifizieren die Identität von Benutzern, Geräten und Netzwerkprotokollen auf jeder Ebene des Unternehmensnetzwerks in Echtzeit. Werden bei der Zugriffsanfrage Anomalien oder Unstimmigkeiten festgestellt, werden der Zugriffsrechte eingeschränkt und die Sicherheitsteams unmittelbar alarmiert, was weitreichende Angriffe mit großen Schäden unmöglich macht.
PAM bietet einen proaktiven Rahmen für die Überwachung von kritischen Zugriffen und Identitäten (dazu gehören Domänen-Admin-Konten, Super-User-Accounts, Service-Accounts aber auch DevOps-Secrets) im gesamten Netzwerk oder in der Cloud-Infrastruktur und erkennt jedes verdächtige Verhalten im ein- und ausgehenden Datenverkehr. Versucht etwa ein Benutzer ohne administrative Rechte, auf eine sensitive Datei oder Anwendung zuzugreifen, meldet die PAM-Lösung den Vorfall sofort an die Sicherheitsteams und sperrt den gesamten Zugriff auf das System, bis die Hintergründe des Zugriffsversuchs hinreichend geklärt sind.
Darüber hinaus können PAM-Lösungen administrative Rechte an bestimmte Geräte und Identitätsparameter binden und so das Risiko von Remote-Angriffen und Credential-Leaks minimieren. Zudem wird nicht nur eine adaptive MFA erzwungen, sondern auch konsequent ein Least-Privilege-Ansatz umgesetzt, der sicherstellt, dass jeder Benutzer nur über die für seine Aufgaben erforderlichen Zugriffsrechte verfügt und die Gefahr überprivilegierter Konten so eliminiert. Hierfür nutzt PAM auch granulare Just-in-Time-Zugriffskontrolle mit Role-based-Access-Control (RBAC).
Andreas Müller, Vice President DACH, Delinea
1 https://www.ibm.com/downloads/cas/3R8N1DZJ
2 https://www.gdv.de/gdv/medien/medieninformationen/cyber-ver-si-che-rer-machen-erst-mals-ver-luste-markt-legt-wei-ter-zu-89766
Lesen Sie mehr zum Thema
