Cyber Security : Lohnt sich eine Cyberversicherung?

Welche Schäden werden von der Cyberversicherung gedeckt und welche nicht?

• Stephan Eberlein, GrECo International

  "Eine Cyberversicherung ersetzt Schäden, die durch eine Verletzung der Informationssicherheit eingetreten sind. Als Verletzung der Informationssicherheit werden Hackerangriffe, Datenrechtsverletzungen, Fehler in der Bedienung und zum Teil auch technische Störungen des Computersystems definiert."

• Rene Forsthuber, AON Austria

  "Im Wesentlichen werden ein erlittener Deckungsbeitragsverlust infolge von Betriebsunterbrechung, Kosten der Incident Response (u. a. Forensik, PR, Rechtsberatung etc.) sowie Schäden Dritter in weitem Ausmaß versichert. Nicht versichert werden z. B. Schäden infolge zumeist ausgeschlossener Risiken (Terror, Krieg) oder resultierende Sachschäden."

• Joe Kaltschmid, Infinco Financial Lines

  "Der Versicherungsschutz besteht in marktüblichen Konzepten für Vermögensschäden durch Hackerangriffe, Denial-of- Service-Attacken, Schadprogramme, nicht autorisierte Veränderungen oder Löschung von Daten oder unberechtigte Aneignung von Zugangscodes von Versicherten usw."

Welche Leistungen können sich Kunden im Fall eines Cyberangriffs durch den Versicherungsschutz erwarten?

• Rene Forsthuber, AON Austria

  "Der aus unserer Sicht wichtigste Schutz ist insbesondere für KMU die Incident Response, die von Versicherungsunternehmen im Versicherungspaket inkludiert wird. Kunden können also bei einem Vorfall mittels 24/7-Hotline Experten zu Rate ziehen, welche umgehend Hilfe anbieten und einen Vorfall beheben oder einen Angriff abwehren können – sozusagen die 'Feuerwehr im Cybervorfall'."

• Joe Kaltschmid, Infinco Financial Lines

  "Das Kernstück des Cyberversicherungsschutzes ist aus unserer Sicht die Bereitstellung von Ressourcen für den schnellen Zugriff auf Krisendienstleister. Über die Schadenshotlines, welche von Versicherern bereitgestellt werden, besteht Zugang zu Experten für IT-Forensik, die Verhandlung von Lösegeldforderungen, datenschutzrechtliche Fragestellungen, Krisenkommunikation udgl."

• Stephan Eberlein, GrECo International

  "Die Cyberversicherung stellt eine Kombination aus Krisenmanagement im Schadensfall und Deckung des Vermögensschadens dar. Im Fall eines Cyberangriffs zählt jede Minute. Durch eine Hotline zu einem Krisenmanager können im Ernstfall Unternehmen rasch mit Experten für IT-Sicherheit, Anwälten für Datenrecht und Public-Relations-Beratern in Verbindung gebracht werden."

Welche Anforderungen gibt es für die Unternehmen, die eine Versicherung abschließen wollen?

• Joe Kaltschmid, Infinco Financial Lines

  "Es gilt, gewisse Mindeststandards hinsichtlich IT-Sicherheit zu erfüllen. Dazu zählen der Einsatz von Multifaktorauthentifizierung bei Fernzugriffen, die Organisation eines ordentlichen Patch-Management-Prozesses, die Segmentierung von OT und IT, die strikte Trennung von Administratorenkonten und Konten für den alltäglichen Arbeitsaufwand, die Anzahl von Service Accounts gering zu halten, regelmäßige Awareness-Trainings für die Mitarbeiter abzuhalten usw."

• Stephan Eberlein, GrECo International

  "Je nach Unternehmensgröße haben Unternehmen Mindestsicherheitsstandards zu erfüllen. Diese Standards werden stetig erweitert und an die Bedrohungslage angepasst. Mittlerweile sehen viele Unternehmen das Bestehen einer Cyberversicherung auch als Prädikat für eine passende IT-Sicherheit an. Insbesondere größere Unternehmen erhalten durch den sehr aufwendigen Anforderungskatalog und die Risikoberatung über notwendige Mindestsicherheitsstandards ein wertvolles Feedback über den Status der IT-Sicherheit."

• Rene Forsthuber, AON Austria

  "Die Anforderungen sind je nach Unternehmensgröße und Branche unterschiedlich. Beginnend bei keinerlei nötigen Anforderungen (für kleine Unternehmen bestimmter Branchen) führt das Spektrum über mehr oder weniger ausführliche Fragebögen bis hin zu einem ausführlichen Risikodialog mit Experten der Versicherungsunternehmen. Wichtig für einen Abschluss sind regelmäßige Backups, eine moderne Passwort-Policy, das Verwenden von aktuellen Betriebssystemen sowie ein rasch agierendes Patch-Management."

Mit welchen Kosten müssen Unternehmen rechnen?

• Stephan Eberlein, GrECo International

  "Die Prämie einer Cyberversicherung ist abhängig von der Unternehmensgröße, Tätigkeitsbereich und der gewählten Versicherungssumme sowie Selbstbehalt. Eine pauschale Aussage fällt hier schwer. In den letzten Jahren wurden die Prämien jährlich sehr stark angehoben. Diese Tendenz ist den ebenso stark steigenden Schadenszahlen geschuldet. Aktuell beobachten wir allerdings wieder eine Beruhigung in den Prämien."

• Rene Forsthuber, AON Austria

  "Die Versicherungsprämien hängen stark von der gewünschten Versicherungssumme ab und beginnen bei kleinen Unternehmen bereits im dreistelligen Bereich pro Jahr. Damit bekommen Unternehmen im Wesentlichen schon die Incident Response zur Verfügung gestellt sowie eine geringe Deckungssumme. Bei Großunternehmen und notwendigen hohen Versicherungssummen gehen diese durchaus in den 7-stelligen EUR-Bereich."

• Joe Kaltschmid, Infinco Financial Lines

  "Wir sehen – bedingt durch die hohe Schadensbelastung der Portfolios – massive Verteuerungen und Verknappungen der Kapazitäten. Versicherungsschutz bei einer Versicherungssumme von 3 Mio. EUR kann für ein Unternehmen mit ca. 150 Mio. EUR Umsatz zwischen 20.000 EUR und 30.000 EUR kosten. Für Industrierisiken mit deutlich höheren Umsätzen fallen die Prämien naturgemäß noch deutlich höher aus. Unabhängig davon sind gerade mittelständische bis große Industrierisiken im Visier der Angreifer, da sich bei diesen Unternehmen ein Angriff meist lohnt."