Sicher ist sicher – und eine Frage des Preises

Michael Klatte, ESET Deutschland

Schon lange vor Corona war vielen IT-Verantwortlichen eines klar: Die Wahrscheinlichkeit, Opfer der immer raffinierter werdenden Angriffe von Cyberkriminellen zu werden, steigt von Tag zu Tag. Entsprechend wurde die Massnahmen-Palette von technischer Aufrüstung bis zur Intensiv-Schulung der Mitarbeiter komplett abgearbeitet. Doch ein Puzzlestein fehlt noch. Wie kann man Schäden begrenzen, wenn das Worst-Case-Szenario wirklich eintritt?

Eine von mehreren Varianten stellen Cyberversicherungen dar. Der Markt kommt mit unterschiedlichen Anbietern in Schwung, so dass Interessenten Auswahlmöglichkeiten besitzen. Doch nicht jedes Angebot ist für jeden geeignet. Im Gegensatz zu zweckgebundenen Policen wie beispielsweise einer Autoversicherung handelt es sich bei Cyberversicherungen um eine Kombination aus einer Haftpflichtversicherung, einer Betriebsausfallversicherung und einer Datenversicherung für Dritt- und Eigenschäden in Form von Vermögensschäden.

Unternehmen haben die Qual der Wahl

Aus unserer Sicht ist eine Cyberversicherung für Unternehmen sinnvoll, die mit sensiblen Daten arbeiten und ihr Geschäftsbetrieb von deren Verfügbarkeit abhängt. Sie tritt dann für Schäden ein, die im Zusammenhang mit Internetkriminalität entstehen. Dazu zählen Cyberschutz, Data-Risk, Datenschutz-, Hacker-, oder Datenträgerversicherung. Nach einem Malware-Angriff zahlt der Versicherer beispielsweise für die Datenrettung oder kommt für die Kosten auf, die mit der vollständigen EDV-Wiederherstellung anfallen. Daneben garantieren die Anbieter weitere Hilfe, die meist als «Assistanceleistungen» ausgeschrieben sind.

Wir betrachten diese Angebote wohlwollend kritisch. Unternehmen sind gut beraten, sich die verschiedenen Vertragsbedingungen genau anzuschauen. Einfach eine x-beliebige (oder am schlimmsten billige) Versicherung abzuschliessen, bedeutet nicht, dass alle Schäden einfach so ausgeglichen werden. Das dürfte so mancher Automobilbesitzer aus leidiger Erfahrung kennen. Hier gilt es, im Vorfeld die passenden Bausteine auszusuchen, die wirklich abgesichert werden müssen. Je mehr die Versicherung leisten soll, desto teurer wird sie.

Einem Irrtum unterliegt auch derjenige, der glaubt, dass die eigenen Anstrengungen und Investitionen in IT-Sicherheit verringert werden können. Genau das Gegenteil ist der Fall: Versicherungsnehmer sind gezwungen, den aktuellen Stand der Technik – auch in der IT-Sicherheit – einzusetzen. Dies kann unter Umständen bedeuten, dass investiert werden muss, bevor eine Police zum Abschluss kommt.

Für Unternehmen führt letztlich kein Weg an einer exakten Risikoabschätzung vorbei. Ist technisch alles Menschenmögliche getan? Sind die Mitarbeiter bestens geschult? Gibt es ein griffiges IT-Security-Notfallkonzept? Je öfter die Antwort «ja» lautet, desto eher kann man mit einer Versicherung sensible Teile absichern. Anderenfalls muss für eine Police tiefer in die Tasche gegriffen werden.

Die richtige Police zu finden ist schwierig

Die Suche nach einer geeigneten Cyberversicherung erweist sich oft als schwierig. Der Begriff der Cyberversicherung ist allerdings kein allgemeingültiger Begriff. Da dieser Versicherungsbereich noch vergleichsweise neu ist, hat sich bisher keine einheitliche und gesetzlich geregelte Bezeichnung ergeben. So unterscheidet sich der Deckungsumfang von Versicherer zu Versicherer deutlich.

Vom grossen Komplettpaket über Baukastensysteme bis hin zu eng gefassten Kern-Deckungen haben Unternehmen die Qual der Wahl. Die Konsequenzen können später bei der Leistungsabrufung gravierend sein. Der Gesamtverband der Deutschen Versicherungswirtschaft GDV (www.gdv.de) hat dazu einen Fragebogen entwickelt, mit dem das individuelle Risiko des Kunden ermittelt und darauf aufbauend die entsprechenden Versicherungsbausteine zusammengestellt werden können.

Der Schweizer Versicherungsverband SVV (www.svv.ch) bietet additiv den Cybersecurity-Schnelltest an. Dieser ermittelt, ob die technischen, organisatorischen und mitarbeiterbezogenen Massnahmen zum Schutz vor Cyberrisiken von KMU ausreichend sind.

Privatanwender sollten auf Prophylaxe setzen

Für Privatanwender sehen wir aktuell keine Notwendigkeit, eine Cyberversicherung abzuschliessen. Der Einsatz einer professionellen Security-Suite und regelmässige Updates auf externe Geräte – auch die Cloud – reichen in der Regel aus. Wer dennoch eine Police abschliessen möchte, sollte erst die bereits bestehenden Versicherungen dahingehend prüfen, welche Cyberfälle mit diesem Schutz schon abgedeckt sind.

Autor: Michael Klatte, IT Journalist und PR Manager bei ESET Deutschland

Foto: Unsplash.com

Disclaimer: Dieser Artikel erscheint im Rahmen der Partnerschaft mit esurance, einem Mitglied von swissICT. Gemeinsam mit esurance und dem Label swiss made software bietet swissICT seit April 2020 branchenspezifische und kostengünstige Versicherungslösungen an. Alle Informationen rund um dieses Angebot finden Sie unter www.swissict.ch/esurance