Einzelheiten

Über die Bedeutung der Versicherung von Cyberrisiken mit einem führenden Spezialisten

Fachartikel

Die Cyber-Risikoversicherung ist derzeit eines der begehrtesten Produkte auf dem Versicherungsmarkt.

Mit der zunehmenden Digitalisierung und Modernisierung der IT-Technologien wächst auch die Sorge vor Cyberangriffen verschiedener Art. Wir sprachen über Cyber-Risikoversicherungen, ihre Möglichkeiten, das Problem der Cyber-Angriffe, Zukunftsprognosen und darüber, welche Unternehmen am meisten von Hackern bedroht sind, mit Ing. Tomas Stanek, einem führenden Spezialisten für Cyber-Risikoversicherungen.

Tomáš, könnten Sie präzisieren, was Cyber-Risiken sind und für wen die Cyber-Risikoversicherung gedacht ist?

Unter Cyber-Risiko im Sinne der Cyber-Risiko-Versicherung versteht man die Bedrohung durch Angriffe auf Computersysteme (Hacking, Phishing, Malware...), Daten und den Zugriff auf diese, deren Missbrauch oder Löschung oder die Einschränkung der Aktivitäten des Unternehmens durch das Fehlverhalten oder die Absicht der eigenen Mitarbeiter.

Die Cyber-Risikoversicherung ist eine kommerzielle Versicherung für alle privaten oder öffentlichen Einrichtungen, unabhängig von ihrer Ausrichtung. Jedes Unternehmen, das Daten speichert und sammelt, ein Informationssystem betreibt oder diese Aktivitäten auslagert, ist ein potenzielles Ziel für Cyber-Vorfälle.

Welche Cyberrisiken bedrohen Unternehmen am häufigsten?

Am häufigsten handelt es sich dabei um Hackerangriffe (Cyber-Erpressung, Systemüberlastung und Nichtverfügbarkeit von Daten), Datenlecks und die damit verbundene Wiederherstellung von Daten, unehrliche Handlungen eigener Mitarbeiter, die zu Datenlecks führen oder sich Zugang zum Netzwerk verschaffen, Unterbrechung des Geschäftsbetriebs des Unternehmens, Geldbußen von Aufsichtsbehörden im Zusammenhang mit Verstößen gegen die DSGVO, usw.

Sie sind seit mehr als 5 Jahren im Bereich der Cyber-Risikoversicherung tätig. Haben Sie in dieser Zeit Fortschritte bei der Wahrnehmung des Produkts durch die Kunden feststellen können?

Ich bin sicher, dass es so ist. Mit der zunehmenden Zahl von Cyberangriffen nicht nur in der Welt, sondern auch in unserem Land, wächst natürlich das Bewusstsein für diese Risiken und die Möglichkeit, sie mit einem Versicherungsprodukt abzudecken. Sie ist daher derzeit eines der gefragtesten Versicherungsprodukte auf dem Markt, zumindest unter dem Gesichtspunkt, dass die Kunden wissen wollen, was ihnen eine solche Versicherung bringt, in welchen Fällen sie sie schützt, welche Versicherungsgesellschaften dieses Produkt anbieten, wie Schäden reguliert werden, was Beispiele für Schäden sind oder wie viel eine solche Versicherung im Einzelfall kosten wird. Wenn ich das mit vor ein paar Jahren vergleiche, kannten wir diese Versicherung nur von ausländischen Versicherungsmärkten und sie wurde in dieser Form in unserem Land überhaupt nicht angeboten. Mit der zunehmenden Bedeutung von Cyber-Risiken wurde diese Art von Versicherungsschutz jedoch bald zu einem Standard und wesentlichen Bestandteil des Qualitätsversicherungsprogramms eines Kunden.

Aufgrund der jüngsten Coronavirus-Pandemie sind die meisten Unternehmen dazu übergegangen, ihre Mitarbeiter im Home-Office-Modus arbeiten zu lassen. Kann die Arbeit von zu Hause aus das Risiko von Cyberangriffen erhöhen?

Ja, diese Situation, in der einerseits einige Kunden dank fortschrittlicher Technologien ihre Aktivitäten überhaupt nicht einschränken müssen und ihre Mitarbeiter bequem von zu Hause aus arbeiten können, birgt andererseits große Risiken im Bereich der Cybersicherheit. Arbeitgeber haben wenig Kontrolle darüber, welche HW- und SW-Maßnahmen sich im Haus des einzelnen Mitarbeiters befinden, und eine Fernverbindung zum Netzwerk des Arbeitgebers (über ein VPN) kann eine ideale Gelegenheit für Hacker sein, sich relativ leicht Zugang zu Unternehmensdaten zu verschaffen, auf die sie normalerweise nur schwer zugreifen könnten.

Im vergangenen Jahr gab es eine Reihe von Cyberangriffen auf tschechische Banken. Kennen Sie die Einzelheiten dieser Fälle?

Es handelte sich um einen Angriff auf mehrere große Bankinstitute in der Tschechischen Republik an einem Tag. Die pro-russische Aktivistengruppe, die regelmäßig tschechische Ziele ins Visier nimmt, hatte das Ziel, die Internet-Banking-Dienste dieser Banken abzuschalten, was ihr auch gelungen ist. Dabei handelte es sich um so genannte DDoS-Angriffe, deren Ziel es ist, den Zieldienst zu deaktivieren und für andere Nutzer unzugänglich zu machen. Dies geschieht durch Überlastung des Dienstes mit einer großen Anzahl von Anfragen oder durch Ausnutzung einer Schwachstelle, die es dem Angreifer zwar nicht ermöglicht, die Kontrolle über den Dienst zu übernehmen, aber seine Nutzung unmöglich macht. Die Kunden konnten mehrere Stunden lang nicht über das Online-Banking auf ihr Geld zugreifen, und auch die Websites der Banken waren nicht mehr erreichbar.

Welche Entwicklungen sind in Bezug auf das Risiko von Cyberangriffen in Zukunft zu erwarten? Sind wir auf dem Weg zu einer Zunahme solcher Angriffe aufgrund der rasanten Entwicklung der Informationstechnologie, oder gibt es im Gegenteil bereits Formen der Sicherheit, die nicht so leicht durchbrochen werden können?

Es ist nicht zu erwarten, dass die Zahl und vor allem die Raffinesse der Cyberangriffe in Zukunft abnehmen wird. Die Entwicklung der Informationstechnologie ist, mit einer gewissen Übertreibung, endlos, wenn mit ihren unbestrittenen Vorteilen auch neue und neue Risiken für ihren Missbrauch entstehen. Natürlich nimmt auch die Quantität und vor allem die Qualität der Sicherheitsmaßnahmen zur Verhinderung solcher Angriffe zu. Hier glaube ich aber leider, dass es nie Maßnahmen geben wird, die solche Aktionen absolut unmöglich machen, und dass die Regel "Hacker sind immer einen Schritt voraus" wohl immer gelten wird.

Welche Arten von Angriffen sind am häufigsten? Und was sollte ein Unternehmen tun, wenn seine Systeme gehackt werden, Daten durchsickern oder Informationssysteme angegriffen werden?

Zu den häufigsten Arten von Angriffen, die von außen durchgeführt werden, gehören Angriffe auf die Verfügbarkeit und Integrität des Netzes (d. h. DDoS- und Ransomware-Angriffe, Phishing usw.) und, in jüngerer Zeit, die häufigen Angriffe, die als Social Engineering bekannt sind, bei denen es sich kurz gesagt um hochgradig ausgeklügelte Betrügereien gegenüber bestimmten Personen oder Unternehmen handelt, meist mit dem Ziel, finanzielle Beträge zu überweisen. Wenn es bereits einen Vorfall in einem Unternehmen gibt, ist Zeit zweifellos der wichtigste Faktor. Es gilt, sofort zu handeln, den Business-Recovery-Plan zu aktivieren, unverzüglich eigene oder externe IT-Experten zu kontaktieren und im Falle eines Versicherungsschutzes den Versicherer zu kontaktieren, der die bisherigen Schritte und Personen, einschließlich der anschließenden rechtlichen Vertretung, mit eigenen Ressourcen im Rahmen des Versicherungsanspruchs ersetzen kann.

Können Sie erklären, wie teuer diese Versicherung ist, worauf der Preis basiert?

Es ist sehr schwierig, eine konkrete Antwort auf diese Frage zu geben. Wie bei anderen Versicherungsarten gibt es eine Reihe von Faktoren, die das Risiko eines möglichen Schadens grundsätzlich bestimmen. Dem Abschluss einer Versicherung geht die Beantwortung mehrerer Fragen zur Qualität der IT-Sicherheit und zu den im Bereich der Cybersicherheit eingerichteten Verfahren voraus. Erst auf der Grundlage der Auswertung dieser Informationen wird der Wert des Risikos und damit die Höhe der Prämie bestimmt. Der Betrag kann von ein paar Tausend Kronen pro Jahr für kleinere Unternehmen bis zu Hunderttausenden von Kronen für große Unternehmen oder Einrichtungen mit hohem Risiko reichen.

Wie lässt sich die Cybersicherheit auf einem Niveau gewährleisten, das potenzielle Angriffe ausschließt und ihre Auswirkungen so weit wie möglich minimiert?

Die Dienste so genannter IT-Auditoren sind auf dem Markt bereits weit verbreitet. Ein spezialisiertes Unternehmen führt ein Cybersicherheitsaudit durch, das Ihr Unternehmen, die IT-Nutzung, die Menge der erfassten Daten und die potenziellen Risiken berücksichtigt. Sie wird den aktuellen Stand der Dinge bewerten und verschiedene Maßnahmen empfehlen, die zu einem höchstmöglichen Maß an Cybersicherheit führen werden. Die von den Sachverständigen empfohlenen Maßnahmen wirken sich auch positiv auf die Aushandlung einer möglichen Versicherung aus. Die Versicherung kann nicht nur deutlich billiger sein, sondern es ist auch möglich, einen breiteren Versicherungsschutz zu vereinbaren. Ohne die grundlegenden Elemente der Cybersicherheit ist es nicht möglich, überhaupt eine Versicherung abzuschließen.

Gibt es Statistiken oder Informationen darüber, welche Unternehmen im Hinblick auf ihre Geschäftstätigkeit oder Größe zu den häufigsten Zielen von Cyberangriffen gehören?

Diese Trends lassen sich gut beobachten, z. B. anhand der Statistiken von Unternehmen, die Antivirenprogramme entwickeln, oder auch anhand der Statistiken von Versicherern, die Cyber-Risikoversicherungen anbieten. Im Allgemeinen gehören Unternehmen aus den Bereichen Gesundheitswesen, Bildung, Technologie und Fertigung, Finanzinstitute sowie das Hotel- und Gaststättengewerbe zu den häufigsten Zielen von Cyberangriffen. Interessant ist auch, dass wir zwar meist aus den Medien von Angriffen auf große und bekannte Unternehmen in der Tschechischen Republik oder auf der ganzen Welt erfahren, die Statistiken aber zeigen, dass die überwiegende Mehrheit der Cyberangriffe (mehr als 80 %) auf kleinere und mittlere Unternehmen gerichtet ist und es sich in der Regel um anonyme Angriffe ohne das Ziel handelt, einem bestimmten Unternehmen zu schaden. So lässt sich der große Irrtum leicht widerlegen, dass viele dieser großen Unternehmen nach dem Motto verfahren: "Uns kann nichts passieren, wir sind für niemanden interessant".

Ing. Tomáš Staněk, Spezialist für Cyber-Risikoversicherungen

Tomáš, können Sie einige spezifische Cyberrisiken nennen, die versichert werden können?

Die Bandbreite der Versicherungen ist sehr groß, daher werde ich zumindest die gängigsten auflisten:

Haftung für den unbefugten Umgang mit Daten und Verstöße gegen die Netzsicherheit (Sicherheitsmängel im Netz, unbefugter Zugriff oder unbefugte Nutzung, Verlust personenbezogener Daten, DoS, DDoS-Angriffe...)
Medienhaftung (Rufschädigung, Verleumdung, üble Nachrede, Beleidigung, Plagiat, Computerpiraterie, Urheberrechtsverletzung, missbräuchliche Verwendung des Logos, der Marke...)
Cyber-Erpressung (damit verbundene Verluste und Kosten einschließlich Lösegeld)
Kosten für die Wiederherstellung von Daten und Systemen (Kosten für die Nutzung von geleasten Geräten, alternative Arbeitsabläufe, ausgelagerte Lieferungen, höhere Arbeitskosten...)
Unterbrechung des Dienstes (Verluste durch unbefugten Zugriff oder Störung, Erpressung, menschliches Versagen, Versagen der Netzsicherheit, Programmfehler...)
Damit verbundene Kosten während eines Vorfalls (Rechtskosten, Dienstleistungen externer IT-Experten, Meldepflichten, PR-Kosten...)
Geldbußen der Aufsichtsbehörde (Geldbußen aufgrund der Haftung für Datenlecks oder unbefugte Nutzung)

Wenn Sie mehr über Cyberrisikoversicherungen erfahren möchten und wissen wollen, wie Sie Ihr Unternehmen noch besser schützen können, zögern Sie bitte nicht, uns zu kontaktieren. Wir stehen Ihnen mit detaillierten Informationen zur Seite und schlagen Ihnen eine maßgeschneiderte Lösung vor.

Bleiben Sie den Bedrohungen der digitalen Welt voraus!