Was ist eine Cyberversicherung, und braucht Ihr Unternehmen sie?

Cyberversicherungen gliedern sich in der Regel in zwei Deckungskategorien. Die Erstpartei-Deckung übernimmt die Kosten, die dem Unternehmen selbst nach einem Vorfall entstehen: forensische Untersuchungen, um festzustellen, wie die Angreifer eingedrungen sind, die gesetzlich vorgeschriebene Benachrichtigung betroffener Kunden, Bonitätsüberwachung für diese Kunden, Betriebsunterbrechungsverluste während Systemausfällen, Datenwiederherstellung und bei manchen Policen sogar die Lösegeldzahlung selbst samt den Kosten für einen Verhandlungsführer. Die Drittpartei-Deckung befasst sich mit Ansprüchen, die von anderen gegen das Unternehmen erhoben werden - Klagen von Kunden oder Partnern, deren Daten offengelegt wurden, sowie Zahlungen oder Vergleiche im Zusammenhang mit behördlichen Untersuchungen, sofern die Deckung von Bußgeldern rechtlich zulässig ist. Jedes Unternehmen, das Kundendaten speichert, Zahlungen verarbeitet oder auf eine durchgehende Systemverfügbarkeit angewiesen ist, kommt grundsätzlich infrage, und in der Praxis ist eine Cyberversicherung zunehmend keine Option mehr: Viele Unternehmenskunden und Lieferantenverträge verlangen inzwischen den Nachweis eines Versicherungsschutzes als Voraussetzung für die Geschäftsbeziehung.

Eine Police zu erhalten - und eine angemessene Prämie zu bekommen - hängt zunehmend von nachweisbaren Sicherheitspraktiken ab und nicht nur davon, für die Deckung zu bezahlen. Versicherer fragen üblicherweise nach Multi-Faktor-Authentifizierung für Fernzugriff und E-Mail, regelmäßigen Datensicherungen, die offline oder anderweitig vom Hauptnetzwerk isoliert aufbewahrt werden, einem schriftlichen Plan zur Reaktion auf Vorfälle sowie Phishing-Schulungen für Mitarbeiter, und sie können die Deckung verweigern oder deutlich mehr verlangen, wenn diese Grundlagen fehlen. Es lohnt sich auch, die Ausschlüsse genau zu lesen: Viele Policen enthalten einen „Kriegsausschluss“, der Zahlungen für Angriffe verweigern kann, die einem Nationalstaat zugeschrieben werden - ein zunehmend umstrittener Bereich, da immer mehr Vorfälle mit staatlich unterstützten Gruppen in Verbindung gebracht werden -, und manche Policen begrenzen die Deckung für Lösegeldzahlungen weit unter dem, was eine ernsthafte Ransomware-Forderung erreichen kann. Aus diesen Gründen beschreiben die meisten Cybersicherheitsberater eine Cyberversicherung als finanzielles Sicherheitsnetz, das neben echten Sicherheitskontrollen steht, nicht als Ersatz dafür.