Themen
Tipp des Monats
Machen Sie in nur zehn Minuten den IT-Sicherheitscheck von Deutschland sicher im Netz. Der Test liefert Handlungsempfehlungen, mit denen Sie die eigene IT-Sicherheitslage verbessern können.
Newsletter
Um neue Beiträge regelmäßig zu erhalten, können Sie hier unseren Newsletter abonnieren:
Lohnt sich eine Cyberversicherung?
Cyberversicherungen – Eine Sinnvolle Ergänzung zur IT-Sicherheit?
Um meine Frage direkt zu beantworten „ja“ ist sie, aber…
In Rahmen meiner Recherchen bin ich auf einige Hinweise gestoßen, die ein „Aber“ rechtfertigen. Das „Aber“ stellt hier jedoch nicht den Sinn einer Cyberversicherung in Frage, sondern den vertraglich vereinbarten Inhalt.
Bevor ich Sie jedoch hierzu an meinen Erkenntnissen teilhaben lasse, sei mir erlaubt ein wenig Hintergrundwissen zu verfassen. Cyberversicherungen gibt es erst seit den Anfängen der 2000er Jahre und in den Jahren 2004 bis 2008 wurden erste Policen gezielt auf einen Schaden durch Cyberkriminalität aufgebaut. Hintergrund dieser ersten Anpassung waren stark gestiegene Haftungsfälle, die zu einer entsprechenden Schadensregulierung führten. Eine weitere Veränderung im Verhalten der Versicherer, lässt sich aktuell erkennen. Hintergrund ist hier die Veränderung im Verhalten der Angreifer. Während bis Ende 2019 noch die Verschlüsselung von Daten und die mögliche Freischaltung dieser nur nach Zahlung eines Lösegeldes, meist in Bitcoin, erfolgte, hat sich in der Zeit danach bis heute das Verhalten geändert. Neben der Verschlüsselung von Daten werden diese heute vorher kopiert und dann mit der Drohung versehen, sie zu veröffentlichen, sofern nicht den Forderungen entsprochen wird. Zu dieser Verhaltensänderung hat geführt, dass die meisten Unternehmen über eine gesonderte, vom Angreifer nicht korrumpierbare Datenkopie verfügen und diese rasch wieder zum Einsatz bringen können.
Während in den Anfängen solche Drohungen noch als Bluff bewertet wurden, hat sich das seit dem Einsatz der Maze-Ransomware verändert, denn dort wurden zum ersten Mal kopierte Daten veröffentlicht. Das hatte nun auch Folgen für die Versicherer, da nun nicht mehr nur Schäden durch Ausfall von Geschäftsprozessen, Datenwiederherstellung und einem möglichen Lösegeld zu decken waren, sondern auch Haftungsschäden von möglichen Betroffenen, Bußgeldern und Kosten über eine Kommunikation in der Außendarstellung berücksichtigen sind, denn die Gefahr diesen Angriff nicht mehr intern Regeln zu können war nun gegeben. Ein bekanntes Beispiel dafür ist die US-Stadt Baltimore, die sich weigerte ein Lösegeld von 78.000 US$ zu zahlen und stattdessen für die Wiederherstellung Ihrer Systeme und Daten 18,2 Millionen US$ aufwenden musste. Wie die meisten in der IT-Sicherheit involvierten, bin auch ich der festen Überzeugung, dass es nicht mehr die Frage ist, ob jemand (damit schließe ich nicht nur Unternehmen, sondern auch Privatpersonen mit ein) von einem Cyberangriff betroffen sein wird, sondern nur noch wann dies geschieht.
Gerade aktuelle Zahlen belegen dies, denn im Vergleich zum Anfang des Jahres 2020 zum Anfang diesen Jahres (2021) ist die Zahl der Ransomware-Angriffe um mehr als 100% gestiegen. Sicherheitsreports des Bundesamt für Sicherheit in der Informationstechnik (BSI) und der EU-Agentur für Cybersicherheit zeigen das mit Zahlen aus dem Jahr 2020 auf.
Aktuell sind mir ca. 15 Anbieter dieser Policen bekannt und orientieren sich an den Musterbedingungen in Verbindung mit einem Risikofragebogen, den der Gesamtverband der Deutschen Versicherungswirtschaft (GDV) im April 2017 entwickelt hatte.
Wer daraus jetzt jedoch eine Konformität in den Verträgen erwartet irrt.
In meiner Recherche zu diesem Thema konnte ich immer wieder eine Art Modulbauweise bei den Versicherern feststellen, so dass ich hier weder eine entsprechende Beratung führen werde noch dieses darf und stattdessen auf eine Beratung Ihres Versicherers verweise.
Es gibt jedoch grundlegende Fragen, die sich stellen, bevor in die Beratung des möglichen Versicherers eingestiegen wird. Am einfachsten für den Verantwortlichen werden diese Fragen geklärt, wenn ein Risikomanagement vorhanden ist, denn dort werden Risiken aufgeworfen, die ggfs. nicht durch den Einsatz von Technik und Prozessen beseitigt werden können. Die Lücken werden bekannt und in ihren Risiken einschätzbar. Klar jedoch ist, dass nicht alle Risiken versicherbar sind und dafür andere Vorsorgemaßnahmen getroffen werden müssen.
Unabhängig des jeweiligen Versicherers gibt es meines Erachtens aber drei Grundlegende Absicherungsformen. Eigenschäden, Drittschäden und die Schadensnachsorge. Eigenschäden verursachen Kosten, die durch eine Betriebsunterbrechung, oder auch durch die Wiederherstellung von Daten und Systeme entstehen.
Drittschäden entstehen durch Haftungs-/Schadensforderungen und mögliche Bußgelder.
Schadensnachsorge, oder auch als Service-Leistungen betitelt, enthält die Kosten, die durch Aufwände für die Beratung durch Rechtsbeistände, IT-Forensik und PR-Maßnahmen entstehen werden. Eine weitere Folge aus dem veränderten Verhalten von Cyberkriminellen zeigt sich gerade bei der Absicherung von Ransomware-Angriffen, da diese bekanntlich die größten Schäden und damit Folgekosten für ein Unternehmen nach sich ziehen. Zu erkennen ist dies in den möglichen Versicherungsklauseln, die einen Ransomware-Angriff ausschließen und sofern angeboten, gesondert abgesichert werden müssen. Ein weiterer Punkt ist ein Ausschluss, bzw. gesondert abzusicherndes Risiko bei Kriegshandlung und Terrorismus. Während mir nicht bekannt ist, ob es eine Absicherung zum Risiko einer Kriegshandlung gibt, bin ich zum Risiko Terrorismus fündig geworden.
Warum nun die Klausel Terrorismus einbinden?
Bedenkt man hier, dass die USA darüber nachdenkt Ransomware-Angriffe generell als terroristischen Akt einzustufen bekommt es eine höhere Bedeutung. In Deutschland ist dazu jedoch noch eine Erklärung des Finanzministeriums notwendig, die den Angriff als „zertifizierten Akt“ einstuft. Grundlage für diese Einstufung ist der Terrorism Risk and Insurance Act (TRIA). In der aktuellen Situation, die sich vermutlich auch nicht zum Guten hin verändern wird, ist eine Cyberversicherung eine wichtige Ergänzung, um ein unternehmerisches Risiko zu minimieren. Wichtig dabei, wie bei allen Versicherung, ist die Erkenntnis welches Risiko abgedeckt werden soll und ob die mögliche Eintrittswahrscheinlichkeit die Kosten der Absicherung sinnig macht.
Eine Vernachlässigung der IT-Sicherheit, in Technik und Prozessen, darf jedoch nicht im Wiegen der Sicherheit durch eine Cyberversicherung geschehen. Denn die Bedingungen für den Eintritt einer Versicherungsleistung sind hoch und hier an der falschen Stelle gespart, bedeutet oftmals ein böses Erwachen!
Peter Menneke ist als Auditor für Datenschutz und IT-Sicherheit tätig. In diesem Rahmen berät er Unternehmen aller Größenordnung und ist dort auch als Datenschutzbeauftragter tätig. Neben den Seminaren zur Mitarbeitersensibilisierung, führt er angehende Datenschutzbeauftragte zur Zertifizierung.
Er ist als Autor von Fachpublikationen tätig.
Für DATEV sind Datenschutz und Datensicherheit seit Gründung des Unternehmens zentrale Elemente in der Geschäftspolitik. Daher engagiert sich DATEV mit dem Blog für mehr IT-Sicherheit im Mittelstand.
Neueste Kommentare