Cyberversicherung

Die Cyberversicherung wird oft als Alternative zu Sicherheitsmaßnahmen verkauft und ist das Gegenteil davon. Sie ist ein Vertrag, der Ihnen bestimmte Maßnahmen abverlangt und im Schadensfall prüft, ob Sie diese eingehalten haben. Wer sie abschließt, ohne das zu wissen, zahlt Beiträge für eine Leistung, die im Ernstfall gekürzt wird.

Was üblicherweise gedeckt ist

Die Bedingungen unterscheiden sich erheblich; die folgenden Bausteine finden sich in den meisten Verträgen.

Eigenschäden – Kosten, die bei Ihnen selbst anfallen: Forensik und Ursachenanalyse, Wiederherstellung von Daten und Systemen, Krisenkommunikation, Rechtsberatung, Benachrichtigung betroffener Personen, Betriebsunterbrechung.

Drittschäden – Ansprüche, die gegen Sie gerichtet werden: Schadensersatz betroffener Personen nach Art. 82 DSGVO, Ansprüche von Vertragspartnern, Vertragsstrafen aus Lieferverträgen.

Assistenzleistungen – der in der Praxis wertvollste Teil: eine Notfallnummer, über die im Ernstfall binnen Stunden Forensiker, IT-Dienstleister und spezialisierte Anwälte bereitstehen. Wer schon einmal an einem Freitagabend versucht hat, kurzfristig einen Forensiker zu finden, weiß, was das wert ist.

Wo die Lücken sind

Bußgelder. Geldbußen nach Art. 83 DSGVO haben Sanktionscharakter. Ob sie überhaupt versicherbar sind, ist umstritten; die Bedingungen enthalten deshalb regelmäßig die Einschränkung „soweit gesetzlich zulässig”. Verlassen Sie sich nicht darauf.

Bekannte Schwachstellen. Wurde eine Sicherheitsaktualisierung über längere Zeit nicht eingespielt und genau darüber erfolgte der Angriff, kürzen Versicherer regelmäßig – das ist der häufigste Streitpunkt überhaupt.

Vorsatz und grobe Fahrlässigkeit. Deckung besteht dann eingeschränkt oder gar nicht.

Lösegeldzahlungen. Manche Verträge decken sie, andere schließen sie aus. Unabhängig davon: Eine Zahlung kann strafrechtlich und außenwirtschaftsrechtlich problematisch sein und garantiert keine Wiederherstellung.

Der Reputationsschaden. Nicht bezifferbar, nicht versicherbar.

Die Obliegenheiten sind der eigentliche Vertragsinhalt

Vor Vertragsschluss steht ein Risikofragebogen. Was Sie dort angeben, wird Vertragsgrundlage – und im Schadensfall geprüft. Falsche Angaben führen zur Leistungsfreiheit, auch wenn sie nicht in Schädigungsabsicht erfolgten.

Verlangt werden heute typischerweise:

  • Mehrstufige Anmeldung für Fernzugriffe und administrative Konten
  • Regelmäßige, getrennt aufbewahrte Datensicherungen, deren Wiederherstellung getestet ist
  • Zeitnahes Einspielen von Sicherheitsaktualisierungen
  • Aktueller Schutz vor Schadprogrammen auf allen Endgeräten
  • Sensibilisierung der Beschäftigten, meist mit Nachweis
  • Ein Notfallplan mit benannten Zuständigkeiten
  • Trennung von Netzsegmenten bei größeren Umgebungen

Beantworten Sie den Fragebogen nicht aus der Erinnerung. „Wir sichern täglich” ist schnell angekreuzt; ob die Sicherung wiederherstellbar ist, weiß nur, wer es geprüft hat.

Der praktische Nutzen für die eigene Sicherheit

Ein Nebeneffekt, den wir regelmäßig beobachten: Der Fragebogen ist die ehrlichste Bestandsaufnahme, die viele Unternehmen je gemacht haben. Er zwingt zu Antworten auf Fragen, die intern gern verschoben werden.

Nutzen Sie das. Wo Sie beim Ausfüllen zögern, liegt eine Lücke – unabhängig davon, ob Sie den Vertrag am Ende schließen. Systematisch erfassen lässt sich das über die Risikoanalyse, belastbar prüfen über eine Phishing-Simulation und eine Schwachstellenanalyse.

Versicherung und Managementsystem

Beide verfolgen dasselbe Ziel aus entgegengesetzter Richtung. Das Informationssicherheitsmanagementsystem senkt die Eintrittswahrscheinlichkeit, die Versicherung begrenzt die Schadenshöhe. Das eine ersetzt das andere nicht – aber ein funktionierendes Managementsystem verbessert regelmäßig die Konditionen, weil es genau die Nachweise liefert, die der Versicherer sehen will.

Für den Fall, dass es doch passiert, brauchen Sie außerdem einen geübten Ablauf: Notfallkonzepte und Notfallübungen. Und die Meldepflicht nach Art. 33 DSGVO läuft unabhängig davon, ob eine Versicherung besteht – 72 Stunden gelten auch dann.

Kontakt

Sie haben einen Risikofragebogen vorliegen und sind unsicher, was Sie ankreuzen können? Genau diese Prüfung machen wir mit Ihnen.