Cyberangriffe können weit über die eigentliche Sicherheitsverletzung hinausgehende Folgen haben. Ein Ransomware-Angriff kann den Geschäftsbetrieb tagelang oder wochenlang lahmlegen. Ein Datenleck kann Kosten für Untersuchung, Datenwiederherstellung, Rechtsstreitigkeiten, Benachrichtigungen und behördliche Auflagen nach sich ziehen. Störungen bei kritischen Technologieanbietern oder Drittanbietern können ebenfalls erhebliche finanzielle Verluste verursachen.
Die Cyberversicherung soll Organisationen dabei helfen , einige dieser finanziellen Risiken zu bewältigen.
Eine Cyberversicherung sollte jedoch nicht als Ersatz für Cybersicherheit angesehen werden. Cybersicherheit zielt darauf ab, die Wahrscheinlichkeit und die Auswirkungen eines Vorfalls zu verringern, während eine Versicherung dazu beitragen kann, einen Teil der finanziellen Folgen abzufedern, wenn ein versicherter Vorfall eintritt.
Was ist eine Cyberversicherung?
Die Cyberversicherung, auch Cyberhaftpflichtversicherung genannt, ist eine Versicherung, die Unternehmen dabei unterstützt, finanzielle Verluste durch versicherte Cybervorfälle zu bewältigen. Je nach Police deckt sie unter anderem Schäden und Kosten im Zusammenhang mit Ransomware-Angriffen, Datenschutzverletzungen, Betriebsunterbrechungen, Maßnahmen zur Reaktion auf und Behebung von Sicherheitsvorfällen, Daten- und Systemwiederherstellung sowie Rechts- und Benachrichtigungskosten ab. Der Markt ist rasant gewachsen: Die Geneva Association schätzt, dass die weltweiten Prämien für eigenständige Cyberversicherungen im Jahr 2025 rund 16 Milliarden US-Dollar erreichen werden, gegenüber weniger als 1,5 Milliarden US-Dollar im Jahr 2013 .
Im Kern ist Cyberversicherung eine Form des Risikotransfers . Ein Unternehmen zahlt für eine Deckung, die einen Teil der potenziellen finanziellen Auswirkungen bestimmter Cyberereignisse auf einen Versicherer überträgt. Cybersicherheit hingegen konzentriert sich primär auf die Risikominderung : Angriffe nach Möglichkeit zu verhindern und Cyberbedrohungen zu erkennen, einzudämmen und darauf zu reagieren, sobald sie auftreten. Zusammen können beide komplementäre Bestandteile einer umfassenderen Cyberrisikomanagementstrategie bilden.
Eine hilfreiche Herangehensweise an diese Beziehung ist:
Wichtige Begriffe der Cyberversicherung, die Sie kennen sollten
Bevor wir uns damit befassen, wie Cyberversicherungen in der Praxis funktionieren, ist es hilfreich, einige Begriffe zu verstehen, die in den meisten Policen vorkommen.
| Begriff | Bedeutung in einfacher Sprache |
| Prämie | Der Preis, den eine Organisation für ihren Versicherungsschutz zahlt. |
| Limit | Der maximale Versicherungsbetrag, der im Rahmen der jeweiligen Police oder Deckung verfügbar ist. |
| Teillimit | Ein niedrigerer Höchstbetrag, der für eine bestimmte Schadenskategorie innerhalb der umfassenderen Versicherungssumme gilt. |
| Selbstbehalt / Einbehalt | Die Höhe des versicherten Schadens, den die Organisation je nach Police vor oder zusätzlich zum Versicherungsschutz selbst tragen muss. |
| Ausschluss | Ein Ereignis, ein Umstand oder eine Schadenskategorie, die nicht von der Versicherung abgedeckt ist. |
| Beanspruchen | Ein Antrag auf Zahlung oder andere Versicherungsleistungen nach einem möglicherweise versicherten Schadenfall. |
Was deckt eine Cyberversicherung ab?
Der Versicherungsschutz bei Cyberversicherungen variiert je nach Police, doch einige Schadenskategorien sind in Cyberversicherungen häufig enthalten. Die folgende Tabelle bietet einen praktischen Überblick über die möglichen Deckungsbestandteile.
| Häufige Verlustkategorie | Welche Versicherungslösungen könnten helfen? |
| Vorfallsreaktion und forensische Analysen | Ermittlungs-, forensische Dienstleistungen, Spezialisten für die Reaktion auf Sicherheitsvorfälle und damit verbundene Reaktionskosten |
| Betriebsunterbrechung | Versicherte Einkommensverluste und zusätzliche Kosten während der Betriebsunterbrechung |
| Datenwiederherstellung und Systemwiederherstellung | Wiederherstellung oder Wiederaufbau betroffener Systeme, Software und Daten |
| Cyber-Erpressung | Bestimmte Kosten im Zusammenhang mit der Reaktion auf Ransomware-Angriffe oder Erpressung sowie, sofern rechtmäßig und gedeckt, Zahlungen |
| Kosten für Datenschutz, Recht und Regulierung | Bestimmte Rechtsberatung, Verteidigungskosten, Haftungsrisiken im Zusammenhang mit dem Datenschutz, Benachrichtigungskosten und regulatorische Angelegenheiten |
| Eventualbetriebsunterbrechung | Bestimmte Verluste, die durch Störungen bei einem abgedeckten Technologie- oder Dienstleistungsanbieter entstehen |
Hinweis : Dies sind gängige Kategorien und keine Garantie für Versicherungsschutz. Ob ein bestimmter Schadenfall gedeckt ist, hängt letztendlich von der Versicherungspolice und den Umständen des Vorfalls ab.
Wie die Risikoprüfung vor dem Kauf funktioniert
Der Abschluss einer Cyberversicherung ist mehr als nur die Wahl eines Betrags und die Zahlung einer Prämie. Der Versicherer muss zunächst festlegen, welches Cyberrisiko er zu welchen Bedingungen und zu welchem Preis versichern möchte. Im Rahmen der Risikoprüfung können Versicherer Faktoren wie die Branche des Unternehmens, die Datenexposition, die IT-Umgebung, die Schadenshistorie und den Cybersicherheitsstatus berücksichtigen. Auch die Reife und Effektivität der Sicherheitsmaßnahmen , einschließlich Bereichen wie Identitätsschutz, Endpunktsicherheit, Ausfallsicherheit von Datensicherungen und Verwaltung privilegierter Zugriffe, fließen in diese Bewertung ein.
Marsh berichtet, dass Versicherer die Cybersicherheitsmaßnahmen von Unternehmen weiterhin prüfen. Investitionen in verstärkte Kontrollen werden im Rahmen des Underwriting-Prozesses positiv bewertet. Dies kann sich auf die Prämie, die verfügbaren Deckungssummen, den Selbstbehalt, Ausschlüsse, Bedingungen und potenziell den gesamten Versicherungsschutz auswirken. Dadurch entsteht ein direkter Zusammenhang zwischen Cybersicherheitsvorsorge und Versicherungswesen.
Für einen CISO oder ein Sicherheitsteam ist der Versicherungsantrag damit mehr als nur ein Verwaltungsformular. Er bietet auch die Möglichkeit, Fragen zu stellen:
Vom Vorfall bis zur Auszahlung: So sieht der Schadensabwicklungsprozess aus
Der genaue Ablauf variiert je nach Versicherer und Police, aber ein vereinfachter Ablauf bei einem Schadenfall und der Schadensregulierung könnte wie folgt aussehen:
- Entdecken: Einen Cybervorfall identifizieren oder vermuten.
- Benachrichtigen: Benachrichtigen Sie den Versicherer oder Makler gemäß den Bestimmungen der Versicherungspolice.
- Untersuchen und Reagieren: Relevante Beweismittel sichern, Umfang und Auswirkungen des Vorfalls ermitteln, die Bedrohung eindämmen und die Reaktion koordinieren.
- Wiederherstellung: Betroffene Systeme und Geschäftsabläufe wiederherstellen.
- Schadenregulierung: Dokumentieren Sie die mit dem Vorfall verbundenen Verluste und Kosten und stellen Sie dem Versicherer die Informationen zur Verfügung, die er für die Beurteilung des Versicherungsschutzes und die Regulierung des Schadens benötigt.
In der Praxis können sich einige dieser Aktivitäten überschneiden, weshalb eine frühzeitige Benachrichtigung wichtig ist . Organisationen sollten die Benachrichtigungspflichten ihrer Richtlinien im Voraus kennen, relevante Nachweise wie Protokolle sichern und wissen, ob die Richtlinien bestimmte Anbieter für die Reaktion auf Sicherheitsvorfälle vorschreiben oder empfehlen.
Die Reaktion kann je nach Art des Vorfalls den Einsatz von forensischen Ermittlern, Rechtsberatern, Regulierungsfachleuten, PR-Experten, Wirtschaftsprüfern, Sicherheitsteams und weiteren Spezialisten erfordern. Anders ausgedrückt: Bei einem Cyberversicherungsfall geht es selten nur darum, dem Versicherer die Rechnung zu schicken. Ermittlungen, Dokumentation, Versicherungsbedingungen und die Koordination zwischen Sicherheitsteam, Management, Rechtsberatern, Maklern, Versicherern und Einsatzkräften spielen dabei eine entscheidende Rolle.
Wo der Versicherungsschutz Käufer überraschen kann
Ein häufiger Fehler ist die Annahme, dass „wir eine Cyberversicherung haben“ bedeutet, dass „unsere Cyberverluste abgedeckt sind“.
Jede Versicherungspolice hat ihre Grenzen. Häufige Untersuchungspunkte sind bekannte Vorfälle, die vor Versicherungsbeginn stattfanden, vorsätzliche oder betrügerische Handlungen, vertragliche Haftungen, behördliche Strafen, die nicht rechtlich versicherbar sind, sowie Schadenkategorien, die entweder ausgeschlossen sind oder restriktiven Sublimits unterliegen. Auch verspätete Meldungen oder die Nichteinhaltung von Versicherungsbedingungen können Deckungsprobleme verursachen.
Besondere Aufmerksamkeit verdient die Erpressung. Kosten im Zusammenhang mit Ransomware können unter die Bestimmungen zur Cybererpressung oder Cyberkriminalität fallen, es können jedoch separate Untergrenzen, Selbstbehalte, Zustimmungserfordernisse sowie rechtliche oder Sanktionsbeschränkungen gelten.
Abhängigkeiten von Drittanbietern können ähnliche Überraschungen mit sich bringen. Eine Police kann bestimmte Betriebsunterbrechungsschäden abdecken, die durch einen Ausfall bei einem Technologieanbieter verursacht werden. Der Schutz vor bedingten Betriebsunterbrechungen kann jedoch auf bestimmte Lieferanten, Ereignisse oder Umstände beschränkt sein. Andere Schäden können gänzlich außerhalb des Geltungsbereichs einer Standard-Cyberversicherung liegen. Munich Re weist beispielsweise darauf hin, dass traditionelle Cyberversicherungen Sachschäden durch Cyberangriffe in der Regel nicht abdecken, es sei denn, dieses Risiko wird explizit durch eine andere oder maßgeschneiderte Versicherungslösung abgedeckt.
Praktischer nächster Schritt
Vergleichen Sie Ihr aktuelles Cybersicherheitsprogramm mit den verschiedenen Aspekten. Fragen Sie sich, welche Risiken Ihre Cybersicherheitsmaßnahmen reduzieren, welche verbleibenden finanziellen Risiken Sie übertragen möchten und ob Ihre Versicherungsvereinbarungen mit der tatsächlichen Reaktion Ihres Unternehmens auf einen Vorfall übereinstimmen.
Das bedeutet, dass Sie sowohl Ihre Versicherungsverpflichtungen als auch die von Ihnen zu gewährleistenden Cybersicherheitsmaßnahmen kennen müssen. Dadurch ergibt sich auch die Möglichkeit, Cybersicherheitsmaßnahmen und finanziellen Schutz gemeinsam zu betrachten, anstatt sie als völlig getrennte Bestandteile der Cyberresilienz zu sehen. Für berechtigte Athena MDR- Kunden bietet die MDR-Versicherung einen versicherungsgedeckten finanziellen Schutz für berechtigte Sicherheitsvorfälle und trägt so dazu bei, die finanziellen Folgen eines Cyberangriffs zu reduzieren. Es gelten die jeweiligen Teilnahmebedingungen und Versicherungsgrenzen.
Quellen
- Die Genfer Vereinigung – Stärkung der Cyberresilienz durch Versicherung
- Marsh – Update zum US-Cyberversicherungsmarkt: Prämien sinken, Bedrohungen entwickeln sich weiter
- Munich Re – Physische Schäden durch Cyberangriffe: Ein unterschätztes Risiko im Zeitalter von Automatisierung und Digitalisierung
Dieser Artikel dient lediglich der allgemeinen Information und stellt keine Versicherungs- oder Rechtsberatung dar. Deckungsumfang, Anspruchsberechtigung, Deckungsgrenzen, Ausschlüsse und Schadensfälle hängen von den jeweiligen Versicherungsbedingungen, den individuellen Umständen und dem jeweiligen Rechtsgebiet ab.
