CYBER RISK MANAGEMENT by Hiscox die Versicherung gegen Datenverlust und Hackerangriffe

Transkript

1 CYBER RISK MANAGEMENT by Hiscox die Versicherung gegen Datenverlust und Hackerangriffe Denn Cyber-Risiken können Unternehmen in die Steinzeit versetzen. 1

2 Cyber Risk Management by Hiscox Versicherung gegen Datenverlust und Hackerangriffe Herzlich willkommen zum Hiscox-Webinar! Ihr Referent: Stefan Sievers Technical Underwriting Manager Special Risks Hiscox Deutschland 2

3 der deutschen Unternehmen haben keine Versicherung gegen Online- Kriminalität. 3

4 Cyber Security Tagesthema der Medien Es gibt keine sicheren Systeme! 4

5 Trends in der Internetkriminalität Kreditkarten- Datendiebstahl Cyber-Erpressung Angriffe auf Mobilgeräte

6 Ziele der Cyber-Kriminellen

7 Typisierter Ablauf Der typische Cyberangriff oder Hackerangriff lässt sich grob in sieben Phasen gliedern: 1. Der Hacker recherchiert nach interessanten Zielen 2. Er geht auf die Suche nach Schwachstellen im System 3. Er verschafft sich Zugang zum System 4. Recherche nach interessanten Daten im Firmennetzwerk und Abfluss der Daten aus dem Firmennetzwerk 5. Beginn der (Cyber-) Krisenstabsarbeit im Unternehmen. 6. Deeskalation der Lage durch den Krisenstab. 7. Rückführung zum Normalbetrieb und Nachbereitung des Vorfalls.

8 Schwachstelle Mensch Ein Angreifer versucht über gefälschte Webseiten, s oder Kurznachrichten an persönliche Zugangsdaten des Nutzer zum Firmennetzwerk zu kommen, um sich so einen unerkannten Zugang zum hiesigen Netzwerk zu verschaffen Möglichkeiten: Weiterleiten auf scheinbar bekannte Seiten mit Login-Bereich Versteckter Key-Logger oder Malware im Anhang der 23% aller Empfänger von Phishing-Mails öffnen diese sofort und 11% öffnen auch noch den Anhang. 50% aller Empfänger öffnen und klicken auf einen Link in der Phishing-Mail binnen der ersten Stunde. 70% der Malware ist speziell auf das anzugreifende Unternehmen zugeschnitten.

9 Klassische Phishing- s

10 Welche Firmen benötigen überhaupt eine Cyber- und Datenversicherung? Fast jedes Unternehmen! Hotels, Restaurants, Supermärkte Tankstellen, Fachhandel EC Karten/Kreditkarten Datendiebstahl Online Handel (ecommerce) EC Karten/Kreditkarten/Paypal Zahlungsdatendiebstahl

11 Welche Firmen benötigen überhaupt eine Cyber- und Datenversicherung? Arzt, Zahnarzt, Apotheken, Steuerberater, Rechtsanwalt, Immobilienmakler, Wirtschaftsprüfer Sensible Daten werden geklaut Produzierendes Gewerbe Betriebsunterbrechungsschaden aufgrund eines Hackerangriffs

12 Hidden Champions Firmen, die in einem kleinen spezialisierten Segment sehr stark sind und deren Ausfall sich deswegen branchenweit bemerkbar macht

13 Fragestellung/Risikoermittlung beim Kunden (1) Welche Daten halten wir vor? Kundendaten (natürliche wie juristische Personen) Mitarbeiterdaten Bankdaten Kreditkartendaten eigene vertrauliche Geschäftsgeheimnisse Vertrauliche geschäftliche Daten meiner Kunden Welcher Schaden kann entstehen, wenn die Vertraulichkeit, Verfügbarkeit oder Integrität dieser Daten verletzt werden? Reputationsschaden Kundenabgänge Stress mit Behörden Finanzieller Schaden 13

14 Fragestellung/Risikoermittlung beim Kunden (2) Wie abhängig ist der Geschäftsbetrieb von der IT? Betriebsunterbrechung Abhängigkeit von Daten Wie ist man auf einen IT-Notfall / -Krisenfall vorbereitet? Krisenpläne Externe Dienstleister Ersatzsysteme 14

15 Rechtliche Grundlagen Status quo Verbotsprinzip mit Erlaubnisvorbehalt Schadenersatzansprüche für Geschädigte BDSG Datenschutzbeauftragter bei mehr als 9 MA Meldepflicht bei bestimmten Datenschutzverstößen Bußgeldern von bis EUR D&O-Aspekt: Verantwortung bleibt beim Unternehmen, das die Daten verarbeitet / speichert 15

16 Cyber-Risiken Politik erhöht den Druck auf Unternehmen Geplant ist... IT-Sicherheitsgesetz Meldepflicht für Hackerangriffe (überwiegend anonym) Mindestsicherheitsanforderungen für bestimmte Branchen Regelmäßige Kontrollen von Sicherheitsstandards Involvierung Verfassungsschutz und BKA... EU Datenschutz-Grundverordnung Meldepflicht Datenschutzverstöße Hohe Geldbußen Verstärkte Rechte von Dateninhabern 16

17 Cyber Risk Management by Hiscox Komponenten Rundum-Versicherungsschutz, jetzt in einer Police! Cyber-Haftpflichtversicherung zur Absicherung bei Ansprüchen von dritter Seite, auch bei Verletzung von vertraglichen Geheimhaltungspflichten Cyber-Eigenschadenversicherung zur Abdeckung intern entstandener Schäden/Kosten Umfassende Assistance im Versicherungsfall, in Zusammenarbeit mit den Partnerunternehmen HiSolutions und TaylorWessing 17

18 Cyber-Haftpflichtversicherung Was ist versichert? Schadenersatzansprüche (Vermögensschäden) aufgrund eines Verstoßes gegen eine gesetzliche Bestimmung, die den Schutz von Daten bezweckt eines Verstoßes gegen Geheimhaltungspflichten eines Verstoßes gegen eine vertragliche Datenschutzbestimmung der Weitergabe eines Virus einer Persönlichkeitsrechtsverletzung 18

19 Cyber-Eigenschadenversicherung Was ist versichert? Datenrechtsverletzung (analog Haftpflicht) Hacker-Angriffe Denial-of-Service Attacken Cyber-Erpressung 19

20 Cyber-Eigenschadenversicherung Was leisten wir? Kosten für IT-Forensik Rechtsberatung Informationskosten Kreditüberwachungsdienstleistungen Kosten für Krisenmangement Kosten für PR-Beratung Betriebsunterbrechungsschäden (optional) Vertragsstrafen (PCI) Lösegeld Wiederherstellungskosten Sicherheitsverbesserungen 20

21 Cyber Risk Management by Hiscox in Zusammenarbeit mit HiSolutions und TaylorWessing Ein sehr starkes Trio für Krisenmanagement und Schadenprävention Schadenübernahme und Koordination Prävention und Krisenbewältigung Rechtliche Beratung 21

22 Hiscox-Partner: HiSolutions AG HiSolutions Deutschlands führender Beratungsspezialist für IT-Governance, Risk & Compliance Krisenmanagement Erstreaktion & 24h Hotline Krisenpläne Stabsarbeit Krisenkommunikation Stakeholder-Management Presse und Öffentlichkeitsarbeit Forensik Penetrationstests Schulungen, Trainings & Übungen 22

23 Cyber Risk Management by Hiscox Deckungshighlights (1/2) Weltweiter Versicherungsschutz, inkl. USA Vorrangige Deckung Bereitstellung hochkarätiger interner und externer Spezialisten von HiSolutions, im Krisenfall, aber auch zur Prävention Keine Sublimits (Ausnahme Vertragsstrafen PCI) Kostenübernahme für Rechtsbeistand oder Vermittlung von Wirtschaftsrechtexperten von TaylorWessing Kostenübernahme bei allen Arten vor Datenverlusten, auch bei physischem Datenverlust 23

24 Cyber Risk Management by Hiscox Deckungshighlights (2/2) Mit dem Relaunch setzt Hiscox neue Maßstäbe für Markt und Wettbewerb Kostenübernahme für Sicherheitsverbesserungen nach dem Schadenfall Kostenübernahme für Krisen- und PR-Beratung im Schadenfall, inkl. PR-Maßnahmen Übernahme von Vertragsstrafen bei Verletzung von Sicherheitsstandards der Kreditkartenunternehmen Unbegrenzte Rückwärtsdeckung und 5 Jahre Nachhaftung Reduzierung der Ausschlüsse auf ein Minimum Kostenübernahme für IT-Expertenleistungen während eines Krisenfalls, aber auch zur Prävention Mitversicherung von Betriebsunterbrechungsschäden, auch für Offline-Umsätze (optional) 24

25 TOP 10 FAQ von Kunden...(1) 1.) Wir sind nicht Ebay, Sony oder die Telekom, also warum sollte es uns treffen? 2.) Unsere IT Abteilung hat alles im Griff, also wozu brauchen wir eine solche Deckung? 3.) Wir haben nur Mitarbeiterdaten gespeichert, also betrifft uns das BDSG nicht, oder? 4.) Ich habe die Datenspeicherung outgesourct, also haftet doch die Cloud? 5.) Die Bezahlvorgänge werden von einem Drittanbieter abgewickelt, also habe ich doch gar kein Risiko? 25

26 TOP 10 FAQ von Kunden...(2) 6.) Wir erfüllen die PCI-Anforderungen, dass heißt wir können doch gar nicht haftbar gemacht werden? 7.) Warum sollte ich einen Datenschutzvorfall melden, merkt doch im Zweifel eh keiner? 8.) Was kostet mich denn ein Datenschutzvorfall? 9.) Unsere Laptops sind passwortgeschützt, gilt das als Verschlüsselung? 10.) So eine Cyber-Versicherung ist doch bestimmt extrem teuer? 26

27 Cyber-Risiken in kleinen und mittleren Unternehmen (KMU) Typische Schadenfälle Datendiebstahl nach Hackerangriff Hackern gelingt es, das IT-Netz einer mittleren Hotelkette zu infiltrieren. Über mehrere Monate erhalten sie so unbemerkt Zugang zum streng gesicherten Online-Zahlungssystem der Kette. In dieser Zeit entwenden sie ca. 2 Mio. Kundendaten, komplett mit Adressen, Bankverbindungen, Kreditkarten- und Kontonummern. Stillstand der Produktion Hacker, beauftragt von einem Wettbewerber, schaffen es, die Produktionssteuerung eines mittelständischen Maschinenbauers zu manipulieren. Die gesamte Produktion wird dadurch gestört und Teile der Produktion stehen für mehrere Tage still! Die Folge sind spürbare Umsatzeinbrüche, Abwanderung von frustrierten Kunden und ein lang anhaltender Imageschaden. Diebstahl eines Desktop-PC Beim Einbruch in das Büro einer gemeinnützigen Stiftung wird der PC mit Datensätzen von Spendern entwendet. Schadenhöhe, nach erheblichen Aufwendungen für Rechtsberatung und Informationsverpflichtungen sowie Forensik und Kreditüberwachungsleistungen, insgesamt Euro. Quelle: Hiscox Research 27

28 Cyber Risk Management by Hiscox Ende der Präsentation. Vielen Dank für Ihre Aufmerksamkeit! Ihr Ansprechpartner: Stefan Sievers Technical Underwriting Manager Special Risks Hiscox Deutschland 28