CYBER-VERSICHERUNG SINN UND UNSINN. Bochum, 28. Juni 2017

Transkript

1 CYBER-VERSICHERUNG SINN UND UNSINN Bochum, 28. Juni 2017

2 AGENDA Worum geht es? Inhalt und Aufbau einer Cyber-Versicherung Voraussetzungen und Obliegenheiten Risikobewertung und Schadenerfahrung Dipl.-Ing. Dirk Kalinowski Senior Produktmanager AXA Versicherung AG, Köln

3 Ein Gedankenexperiment Wenn Sie morgen früh Ihr Unternehmen betreten und kein Computer fährt hoch. keine Kasse funktioniert. Sie können keine s senden oder empfangen. keine Lagersysteme bedienen. die Produktion läuft nicht. die Website ist offline. 3

4 Ein Gedankenexperiment Was ist, wenn dies nicht nur ein oder zwei Stunden anhält, sondern auch nach drei Tagen die Systeme nicht vollständig wiederhergestellt sind danach die Systeme langsam wieder anlaufen, aber alle Daten sind gelöscht oder inkonsistent: Bestellungen, Kundendatenbanken, Entwürfe, CAD-Daten, Lagerlisten, etc. das Rückspielen der Datensicherung nicht mehr funktioniert und Sie sich fragen: 4

5 Ist das eigentlich versichert? 5

6 Worum geht es? Entwicklung: Grad der Vernetzung steigt Abhängigkeit von Verfügbarkeit und Zuverlässigkeit von Daten/IT- Systemen steigt Cyber-Kriminalität steigt Und: Risiko- / Versicherungsmanagement der Unternehmen hierauf noch nicht ausgerichtet 6

7 Worum geht es? Besondere Problematiken (Beobachtungen): Teminologie / Verständnis: IT und Unternehmensleitung/Risikomanagement sprechen unterschiedliche Sprachen bezüglich Risiko Eigenleben Produktions-IT außerhalb der Kontrolle der IT-Security Investment Gap: Budgetentscheidungen zur IT Security durch IT-Laien (kaufe ich eine Firewall oder eine Cyber-Versicherung?) 7

8 Worum geht es? BEISPIEL Manipulation einer Produktionsanlage für Steuerplatinen durch Hacker-Angriff Folge: - Steuerplatinen enthalten verdeckten Fehler - Diese werden eingebaut in Drittprodukte (z. B: Fahrzeuge) - Es kommt zum Sachschaden bei einem Auto (ggf. sogar Personenschaden) - Folge: Rückruf bzw. Aus- und Einbau - Abschaltung der Produktionsanlagen bis Fehler gefunden wurde (Betriebsunterbrechung) - Fehlersuchkosten (Forensik) Fragen: - Wer haftet? Liegt Verschulden vor? Was ist davon wo versichert? - Und wenn Software auf Platine von einem Zulieferer stammte? - Wenn Hacker Zugriff erhielt durch Fehler bei IT- Dienstleister/Wartungstechniker?

9 Worum geht es? ARTEN DER VERSICHERUNG CYBER-VERSICHERUNG Betriebshaftpflichtversicherung (Personen-, Sach- und Vermögensschäden) Bausteine Internetnutzung und Datenschutzverletzungen Spezielle IT-Haftpflichtversicherung für IT-Unternehmen Elektronikversicherung (Sachschäden) Softwareversicherung / Datenwiederherstellung (inkl. Hacker-Angriff) Betriebsunterbrechung Sachversicherung (Feuer/Betriebsunterbrechung) (Sachschäden) Vertrauensschaden-Versicherung (Vermögensschäden) Online-Betrug Datenwiederherstellung Nur zielgerichtete Angriffe (!?) Alle diese Versicherungen haben (noch) keinen Cyber-Ausschluss

10 Inhalt und Aufbau einer Cyber-Versicherung Wozu Cyber-Versicherungen? Ausschließlich für reine Vermögensschäden Ergänzt die bestehenden Deckungen (Deckungslücken) Kombination mit Service-Leistungen Hinweis: Setzt spezielle Kenntnis des Versicherers voraus

11 Cyber-Versicherung Welche Deckungsbestandteile beinhalten heutige Cyber-Versicherungen? Ertragsausfall und Mehrkosten Sachverständigenkosten (z. B. Forensik) Datenwiederherstellung Krisen- und Reputationsmanagement Informationskosten bei Datenschutzverletzungen Erpressungsgeld Betrugsschaden (Vertrauensschaden) Vermögensschaden-Haftpflicht aufgrund benannter Gefahren! 11

12 Worin liegt der Nutzen einer Cyber-Versicherung? Professionelle Hilfe im Krisenfall Reduzierung des finanziellen Risikos - Sachverständigenkosten - Betriebsunterbrechung - Mehrkosten - Aufwendungen bei Datenschutzverletzungen - Vermögensverlust durch Betrug Haftpflichtansprüche 12

13 Voraussetzungen und Obliegenheiten Verpflichtung des Versicherungsnehmers: Stand der Technik (?) Vorsatz / grobe Fahrlässigkeit Gesetzliche Vorgaben Auflistung konkreter Maßnahmen (Obliegenheiten) Müssen vom Versicherer vor Vertragsabschluss abgefragt werden Prüfung des Versicherers: Fragebogen (Selbstauskunft) Risikogespräch vor Ort Einsatz von Tools (z. B. VdS-Quick-Check, BitSight) Risikoanalysen durch IT-Sachverständige Risikoüberwachung

14 Voraussetzungen und Obliegenheiten Auszug aus Risiko-Fragebogen:

15 Risikobewertung und schadenerfahrung Bewertung erfolgt durch a) Analyse der Gefährdung Betriebsunterbrechung Aufwand Datenwiederherstellung Komplexität der IT und Grad der Vernetzung Abhängigkeiten von externen IT-Ressourcen Sensible Daten (z. B. Geschäftsgeheimnisse, personenbezogene Daten)

16 Risikobewertung und schadenerfahrung Bewertung erfolgt durch b) Analyse des Schutzgrades Organisation (ISMS etc.) Technische Maßnahmen Angemessenheit Stichprobenartige Prüfung Ratings / Scans Ggf. ausführliche Analyse bis hin zum Penetrations-Test

17 17 Risikoanalyse und bewertung Hilfsmittel Risikomatrix

18 Risikoidentifikation - Der Risiko-Check IT Leitfaden zur systematischen Identifizierung von IT-Risiken im Unternehmen Abschätzung der möglichen Schadenhöhe Gesprächsleitfaden für die Versicherungsberatung Download unter 18

19 Einstieg über VdS-Quick-Check Einstieg über ein Online-Self-Assessment Auch für ICS! 19

20 Risikobewertung und schadenerfahrung (Schaden)erfahrung Bislang (erstaunlich) gering Cyber-Versicherung noch relativ neu Produzierende Unternehmen nicht sonderlich affin gegenüber Cyber- Versicherung Trennung zwischen Office- und technischer IT Sach- und Personenschäden aufgrund Cyber-Angriffe nicht auffällig (werden diese erkannt?) Hauptschadenarten: Verschlüsselungstrojaner Erpressung Betrugsschäden Betriebsunterbrechung durch Ausfall

21 Ihr Ansprechpartner AXA Versicherung AG Kompetenzstelle Cyber z. Hd. Dirk Kalinowski Colonia-Allee Köln Tel. 0221/

22 Vielen Dank!