So lassen sich IT-Risiken im Unternehmen versichern

Transkript

1 So lassen sich IT-Risiken im Unternehmen versichern Eine Cyberversicherung zählt zu den wichtigsten Maßnahmen der Risikominimierung. Schäden, die durch Missbrauch, Manipulation oder Zerstörung von IT-Systemen entstehen, lassen sich durch sagt Sabine Pawig-Sander, geschäftsführende Gesellschafte- traditionellen Betriebsversicherungen greifen hier zu kurz, herkömmliche Betriebsversicherungen nur unzureichend rin und Mitgründerin des Maklerbüros Erichsen, sie bieten abdecken. schließen diese Lücke. keinen oder nur unzureichenden Schutz für die neuen Die Absicherung betrieblicher Risiken gehört für und sehr konkreten Daten- und Cyberrisiken. So Unternehmen zur Routine. Ob Sachschäden, 2,5 zahle zum Beispiel die Betriebsunterbrechungsversicherung nicht, wenn die Produktionsbän- Haftung gegenüber Dritten, Vermögensverlust, Betriebsunterbrechung oder das Fehlverhalten von Managern für alles gibt es eine Milliarden Dollar hen. Es fehlt schlicht am Eintritt eines Sachder aufgrund eines Hacker-Angriffs stillste- wurden 2015 weltweit Police. schadens. mit Cyberpolicen Die bisherigen Modelle stammen allerdings umgesetzt Dem veränderten Absicherungsbedarf tragen die Rechnung, die aus einer analogen Zeit, die Gefahren der digitalen Welt decken sie nur unzureichend ab: Die seit etwa fünf Jahren auf dem Markt angeboten Quelle: Lloyd s 114

2 Sicherheit werten. Erstmals wird hier explizit das Risiko versichert, das sich aus der Verletzung der Informationssicherheit ergibt, erklärt Peter Graß, Leiter Haftpflicht- und Kreditversicherung beim Gesamtverband der Deutschen Versicherungswirtschaft (GDV). Derzeit bieten erst eine Handvoll Versicherungen ausdrück- wie Vertragsstrafen aus Spezielle Risiken lich solche Policen an (siehe Tabelle auf Seite 118). Sie decken der Verletzung von Geheimhaltungspflichten lassen sich individuell in der Regel Schäden ab, die in den Vertrag durch Viren und Trojaner, Datenverlust und -diebstahl, Deni- einschließen. al-of-service-attacken oder Erpressersoftware (Ransomware) Product Head Cyber Ole Sieverding entstehen. & Data Risks Cyberpolicen bieten marktweit erstmals eine Kombination aus der Versicherung von Vermögenseigenschäden ( ) mit einer Art Haftungsversicherung für Ansprüche Dritter wegen dort entstandener Vermögensschäden. Das ist zumindest in dieser Konstellation völlig neu, sagt Holger Tittko, Referent beim Deutschen Versicherungs-Schutzverband DVS. Auch die Definition von sogenannten Vertrauensschäden wird in den Cyberpolicen weiter gefasst als in herkömmlichen Vertrauensschadensversicherungen, die ausschließlich Schäden durch kriminelle Handlungen von Vertrauenspersonen abdecken. Bei der Cyberversicherung reicht es aus, eine Informationssicherheitsverletzung und ihre wirtschaftlichen Folgen festzustellen beziehungsweise nachzuweisen. Ob es sich um Vertrauenspersonen handelt oder nicht, ist dabei nicht maßgeblich, sagt Frank Schwandt, Gesellschafter und Geschäftsführer von acant Service, einem Maklerbüro, das sich auf und Managerhaftplicht spezialisiert hat. gehen noch einen Schritt weiter. Sie decken nicht nur direkte Schäden ab, sondern auch Kosten, die ursächlich auf den Cybervorfall zurückzuführen sind. Das sind zum Beispiel Kosten für die Ursachenfeststellung, Wiederherstellungskosten bei Datenverlust oder Kosten für die Wiederinbetriebnahme der IT-Infrastruktur und die Verfügbarkeit der Systeme. Auch Aufwendungen für Forensiker, gesetzlich oder regulatorisch vorgeschriebene Benachrichtigungen, Verhandlungen mit Behörden, das Krisenmanagement oder die Krisen-PR würden von den übernommen, erklärt Natalie Kress, Cyber Practice Manager Germany & Austria bei der ACE Group. Oft ergänzen Dienstleistungspakete die Policen. So bietet etwa die Württembergische Versicherung Hilfe bei der Ursachenforschung. Unser zentraler Baustein ist die Unterstützung durch qualifizierte IT-Forensiker, die über eine Service- Hotline schnell Ersthilfe bieten und die weitere Schadenabwicklung auch vor Ort begleiten können, sagt Gert Baumeister, Leiter Firmenkunden Technische Versicherungen bei der Württembergischen Versicherung. Neben IT-Spezialisten lassen sich zum Teil auch die Services von Kommunikationsexperten gleich mitbuchen. Sie kennen sich mit Krisen-PR aus und können so die Reputationsschäden begrenzen, die häufig entstehen, wenn Unternehmen durch den Verlust von Kundendaten in die Schlagzeilen geraten. Welche Bausteine und Optionen ein Unternehmen tatsächlich braucht, lässt sich nicht pauschal beantworten. Für ein Telekommunikationsunternehmen dürften Kostenbausteine für Public Relations eine wichtige Rolle spielen, um nicht durch einen Schadensfall einen erheblichen Vertrauensverlust bei den Kunden zu riskieren. Für kleinere Dienstleister und IT-Unternehmen können hingegen Kostenpositionen für die Wiederherstellung von Daten einen höheren Stellenwert einnehmen. Als Eckpfeiler bei der Schadensfeststellung und der Schließung von Datenlecks ist zudem zu überlegen, wie sinnvoll Forensik-Dienstleistungen sind. Cyberkriminalität Das Risikobewusstsein ist vor allem im deutschen Mittelstand noch so gering wie die Nachfrage nach. com! professional 3/16 Quelle: GDV com! professional 3/

3 Steigende Nachfrage Der weltweite Markt für Hierzulande ist das Interesse noch sehr verhalten. Laut dem DNA of an Entrepreneur Report 90 % boomt. Nach Angaben von Inga Beale, CEO 2015 des Versicherers Hiscox haben gerade des britischen Versicherungsunternehmens einmal 8 Prozent der Unternehmen eine Cyberversicherung. Lloyd s, betrug der Gesamtumsatz mit Cyberpolicen im vergangenen Jahr 2,5 Milliarden Dollar, zwei Jahre zuvor waren es noch weniger als eine Milliarde. Hauptgrund sei das enorme Schadenspotenzial, so Beale weiter. Unternehmen der werden von US-Firmen gekauft Vor allem der Mittelstand habe sich mit dem Thema IT-Sicherheit noch nicht sehr stark beschäftigt. Versicherungsbedarf verlieren demnach durch direkte Schäden und die Quelle: Lloyd s Eine erste Orientierung, welches Risiko besteht und Folgekosten von Cyberattacken pro Jahr 400 Milliarden Dollar. Jährlich geben sie im Durchschnitt 7,7 Millionen Euro für die Bekämpfung von Angriffen und die Eindämmung der Folgeschäden aus, wie die Studie 2015 Cost of Cyber Crime des Ponemon-Instituts ergab. Dabei sind in den USA nicht nur die Schadenssummen mit durchschnittlich mehr als 15 Millionen Dollar pro Jahr am höchsten, auch die Nachfrage nach Cyberpolicen kommt hauptsächlich von dort. wie sinnvoll und notwendig eine Cyberversicherung ist, können Online-Fragebögen zur Selbsteinschätzung geben, wie sie das Maklerbüro Marsh mit dem Cyber-Risikotest (www. cyber-risikotest.de) anbietet. Die Beantwortung von 31 Fragen soll bei der Einschätzung helfen, welche Folgen ein Cyberschadensfall im Unternehmen haben könnte und welche finanziellen Schäden sich durch eine Cyberversicherung abdecken ließen. Der Ausfüllende erhält auch Rückmeldung darüber, wie es um das Ri- Interview Alles aus einer Hand Alexander Geschonneck erklärt im Gespräch mit com! professional, welche Vorteile bieten und worauf man bei einem Abschluss besonders achten sollte. com! professional: Sind eigentlich ein neues Phänomen? Alexander Geschonneck: Nicht wirklich, es gibt Produkte, die schon seit fünf Jahren auf dem Markt sind. Allerdings hat das Interesse daran in den vergangenen ein bis zwei Jahren deutlich zugenommen. com! professional: Wie erklären Sie sich die steigende Beliebtheit von? Geschonneck: Diese Policen schließen Lücken in den Bereichen Datendiebstahl, Datenschutzverstöße und Angriffe durch Hacker. Sie decken Schäden ab, die in der Vergangenheit in verschiedenen Einzelversicherungen separat betrachtet wurden, angefangen von der Haftpflicht- über die Vertrauensschadensversicherung bis zur Betriebsunterbrechungsversicherung. Die Cyberversicherung bietet nun alles aus einer Hand und passt den Schutz an die aktuelle Bedrohungslage an. com! professional: Ist die Cyberversicherung Geldverschwendung oder Ihrer Ansicht nach sinnvoll und notwendig? Geschonneck: Wenn Sie ein Unternehmen betreiben, das maßgeblich von einer funktionierenden IT abhängig ist, wenn Sie Ihre Alexander Geschonneck Leiter des Bereichs Forensic bei KPMG de/de/home.html Daten in der richtigen Qualität zur richtigen Zeit am richtigen Ort benötigen und nicht in fremden Händen sehen wollen; wenn Sie durch die Verletzung der Grundprinzipien von Datenschutz und Datensicherheit direkt oder indirekt Nachteile zu befürchten haben, sei es, dass Ihnen eine Geldbuße droht oder dass ein Reputationsschaden entsteht, dann ist eine solche Versicherung auf jeden Fall zu empfehlen. Wenn diese Probleme nicht zu Ihren geschäftlichen Kernrisiken zählen, ist eine Cyberversicherung sicher entbehrlich. com! professional: Wie teuer sind solche? Geschonneck: Das kann vom mittleren vierstelligen bis in den hohen fünfstelligen, ja sogar sechsstelligen Euro-Bereich gehen. Die Prämien richten sich vor allem nach dem zu versichernden Risiko, aber auch nach der Deckungssumme und den Sicherheitsmaßnahmen, die ein Unternehmen bereits getroffen hat. Auch die Frage nach der Versicherung von Schäden, die bereits entstanden, aber noch nicht bekannt sind, einer Rückwärtsversicherung also, hat einen Einfluss auf die Prämienhöhe. Ein Datendiebstahl wird ja oft zunächst gar nicht bemerkt und erst Wochen oder Monate später bekannt. com! professional: Kann jedes Unternehmen eine Cyberversicherung abschließen? Geschonneck: In einem besonders riskanten Umfeld könnte man zu dem Ergebnis kommen, dass das Risiko unter wirtschaftlichen Aspekten nicht mehr versicherbar ist. Aber dann sollte man vielleicht das Geschäftsmodell grundsätzlich überdenken. 116

4 Sicherheit sikobewusstsein im Unternehmen und die Exposition für Cyberrisiken bestellt ist. Eine ähnliche Intention verfolgt der Risiko-Check IT von AXA, der allerdings stark auf die hauseigene Cyberversicherung ByteProtect zugeschnitten ist. Der Check steht auf der Seite zum kostenlosen Download zur Verfügung. Die Angebote der Versicherer Einheitliche Standards für gibt es derzeit nicht. Während sich einige Versicherungsunternehmen auf bestimmte Branchen oder Betriebsgrößen spezialisiert haben, halten andere für praktisch jedes Unternehmen eine Versicherung bereit. ACE Group: Die ACE Group bietet ihre Cyberversicherung DataProtect Plus einer breiten Zielgruppe an. Vom Mittelständler bis zum Großkonzern, von Online-Shops über produzierende Unternehmen bis hin zur Industrie versichern wir die unterschiedlichsten Unternehmen, sagt Natalie Kress, Die Risiken sind vielschichtig angefangen von IT-Ausfällen bis hin zu Vertraulichkeitsverletzungen. Jens Krickhahn Experte für Cyber Practice Manager bei der ACE Group. Für jedes zu versichernde Unternehmen werde eine individuelle Risikoanalyse und -bewertung vorgenommen. Auf Basis dieser Befragung werde dann das Sicherheitslevel des Kunden festgestellt. Neben der Größe eines Unternehmens und der Branche, in der es tätig ist, hat auch die Qualität der IT-Sicherheit Einfluss auf die Prämienhöhe. com! professional: Nach welchen Kriterien sollte ein Unternehmen eine Cyberversicherung auswählen? Geschonneck: Wichtige Fragen sind: Wie wird das Risiko von Drittund Eigenschäden abgedeckt? Wie lange ist die Laufzeit? Gibt es einen Selbstbehalt? Wie hoch ist die Deckungssumme? Hängt sie von bestimmten Faktoren ab? Verändert sich meine Prämie, wenn sich die Sicherheit im Unternehmen verbessert oder verschlechtert? Hilft mir die Versicherung im Krisenfall, begleitet sie mich in einer Notsituation, gibt es eine Notrufnummer? Wird im Schadensfall eine PR-Agentur eingeschaltet, die auf Krisenmanagement spezialisiert ist? Das sind einige der wesentlichen Faktoren. com! professional: Gibt es versteckte Fallen, auf die man beim Abschluss einer Cyberversicherung achten sollte? Geschonneck: Besonders problematisch ist es, wenn Versicherer bei einer sogenannten erhöhten Bedrohungslage weniger oder gar nicht leisten. Wann eine erhöhte Bedrohungslage vorliegt, dafür gibt es keine verbindliche Definition. Führt beispielsweise eine Warnung des Bundesamts für Sicherheit in der Informationstechnik (BSI) für ein bestimmtes Betriebssystem schon zu einer erhöhten Bedrohungslage? Auch die Versicherung von Serienschäden muss man sich genau ansehen. Was passiert, wenn ein Sicherheitsvorfall einen zweiten, dritten, vierten Schaden nach sich zieht? Wird das abgedeckt? Das sind einige der Punkte, die man sich mit seinem Makler genau anschauen muss. com! professional: Was passiert, wenn ein Mitarbeiter auf den Link in einer Phishing-Mail klickt? Sind solche Risiken in der Regel abgedeckt? Die Policen decken Schäden ab, die in der Vergangenheit in verschiedenen Einzelversicherungen separat betrachtet wurden. Geschonneck: Ja, Fehlverhalten oder Fahrlässigkeit von Unternehmensmitarbeitern ist ganz häufig Ursache von Sicherheitsvorfällen und deshalb auch mehrheitlich Bestandteil der Versicherungsbedingungen. com! professional: Gibt es Bestandteile in, die weniger notwendig sind? Ist es etwa empfehlenswert, Krisenmanagement und Krisen-PR abzuwählen, wenn einem die Prämie dafür zu teuer ist? Geschonneck: Wenn Sie in einem öffentlichen Umfeld agieren, in dem Ihre Reputation geschäftskritisch ist, dann ist es unverzichtbar, im Schadensfall einen Profi heranzuholen, der sich mit Krisenkommunikation auskennt. Wenn das für Ihr Geschäftsmodell hingegen nicht so relevant ist, dann können Sie auf diese Bestandteile möglicherweise verzichten oder wenn Sie sowieso einen Rahmenvertrag mit einer PR-Agentur haben, die auf Krisenkommunikation spezialisiert ist. com! professional: Ist das eine der Besonderheiten von? Sie decken nicht nur Schäden ab, sondern bieten darüber hinaus auch Hilfen und Dienstleistungen an. Geschonneck: Das liegt in der Natur der Sache. Denn wenn es zu einem Vorfall im IT-Bereich eines Unternehmens kommt, dann kann durch falsches oder verzögertes Handeln der Schaden noch viel größer werden. Durch einen schnellen und gezielten Einsatz von Experten und das Ineinandergreifen verschiedener Maßnahmen lässt sich das Ausmaß der Beeinträchtigungen dagegen häufig eingrenzen. com! professional 3/

5 Die Höhe der Deckungssumme richtet sich nach der Unternehmensgröße gemessen am Umsatz, aber auch dem Datenbestand, sagt Kress: Ein Unternehmen, das Millionen Kundendaten speichert, hat im Schadensfall unter Umständen höhere Kosten als ein Unternehmen, dessen Kundendatenbank unter Kunden umfasst. Im deutschen Mittelstand bewegen sich die Deckungssummen im Bereich zwischen 1 Million und 15 Millionen Euro. Allianz: Allianz Global Corporate & Specialty (AGCS) versichert mit der Allianz Cyber Protect Unternehmen ab 100 Millionen Euro Umsatz gegen Cyberschäden. Dazu zählen Produktionsunternehmen ebenso wie Dienstleister aus den unterschiedlichsten Branchen. Die Allianz prüft vor Abschluss das IT-Sicherheitsniveau im Unternehmen anhand folgender Fragen: Sind Software und Hardware auf dem neuesten Stand? Entsprechen die Prozesse dem Risiko? Gibt es beispielsweise Identity-and-Access- Management-Tools? Sind Awareness-Trainings im Unternehmen fester Bestandteil des Risikomanagements? Wo ist das Thema IT-/Informationssicherheit organisatorisch angesie- Wenn der Schutzgrad nicht mit dem Gefährdungsgrad korrespondiert, kann es im Einzelfall zu einer Ablehnung des Risikos kommen. Dirk Kalinowski Senior Produktmanager Cyber-Versicherungen delt? Je weiter oben in der Hierarchie, desto besser. Die Prämie richtet sich nach der Höhe der Deckungssumme und des Selbstbehalts sowie nach dem Risikoprofil eines Unternehmens. Sie liegt in der Regel im fünf- bis siebenstelligen Bereich. Versicherte Deckungssummen beginnen üblicherweise bei 5 Millionen Euro. Die maximal versicherbare Summe beträgt 100 Millionen Euro. AXA: Mit der Cyberversicherung Byte Protect versichert AXA nahezu alle Unternehmen. Ausnahmen bilden aufgrund (Auswahl) Das sind die wichtigsten Anbieter von Cyberpolicen und deren Leistungen. Sie versichern Unternehmen jeder Größe. Anbieter Versicherung Weitere Informationen Zielgruppe Deckungssumme (Euro) ACE ACGS (Allianz) ACE DataProtect Plus Allianz Cyber Protect d_ace_dataprotect-plus_produkt information.pdf Global offices assets/germany/ Financial Lines/Cyber_Protect_ Info_1802_2014_low.pdf AXA Byte Protect cyber-versicherung DUAL HDI Global SE DUAL AVB Cyber Defence Cyber+ /cyber-versicherung.html produkte/financial_lines/cyber/ index.jsp Prämienhöhe Mittelständler bis Großkonzern 1 Mio. bis 15 Mio. 1) k. A. Unternehmen ab 100 Mio. Euro Umsatz alle Unternehmen und Branchen, Ausnahme Wettbüros, Online-Spieleanbieter, Erotikanbieter; Deckungseinschränkungen bei Finanzdienstleistern alle außer Unternehmen aus der Erwachsenenunterhaltung sowie Unternehmen, die im Zusammenhang mit virtuellen Währungen (zum Beispiel Bitcoins) stehen produzierende Industrie (Maschinenbau, Kfz-Zulieferer etc.), andere Branchen möglich (Automobilindustrie, Transport, Handel, Konsumgüter, Chemie) 5 Mio. bis maximal 100 Mio. 2) ) bis 10 Mio. 5- bis 7-stellig ab 1000 Euro pro Jahr bis 3- bis 10 Mio. 4) 7-stellig 1 Mio. bis niedrig 50 Mio. 6) 5-stellig 7) Hiscox Hiscox Cyber Versicherung alle Unternehmen, Schwerpunkt auf Mittelstand, E-Commerce, Technologieunternehmen, Händler, Hotellerie; keine Unternehmen, die Glücksspiel oder pornografische Inhalte anbieten bis ab 10 Mio. 8) 499 Euro netto pro Jahr 9) Württembergische Versicherung Cyber-Police bergische.de/de/produkte/ziel gruppenprodukte/cyber_police/ cyber_police.html kleine und mittelständische Betriebe bis 10 Mio. Euro Jahresumsatz bis 2 Mio. k. A. 1) typisch für Mittelständler 2) typischer Bereich 3) empfohlen 4) höhere Deckungssummen auf Anfrage 5) ab 1000 Euro 6) höhere Deckungssummen auf Anfrage 118

6 Sicherheit des erhöhten Risikos Wettbüros sowie Online-Spiele- und Erotikanbieter. Neben den gewählten Bausteinen, Versicherungssummen und Selbstbeteiligungen richtet sich die Prämienhöhe, die etwa bei 1000 Euro pro Jahr beginnt, vor allem nach dem möglichen Maximalschaden, den ein Unternehmen erleiden kann. Versichert werden reine Vermögensschäden aufgrund eines Vorfalls in der IT, sowohl Eigenschäden als auch daraus folgende Haftpflichtschäden. Nicht versichert werden Sachund Personenschäden, die bei Hacker-Angriffen vorkommen können. DUAL: Auch die DUAL AVB Cyber Defence steht allen Unternehmen offen, außer sie befassen sich mit Erwachsenenunterhaltung oder virtuellen Währungen wie Bitcoins. Alle anderen Unternehmen sind bei uns grundsätzlich versicherbar, sagt Underwriter Johannes Beckers. Entscheidend für die Versicherbarkeit ist laut Beckers das Risikobewusstsein beim Kunden. Die Höhe der Prämie richtet sich unter anderem danach, aus welcher Branche das zu versichernde Unternehmen kommt. Auch die Frage, ob das Cyberrisiko eher im Segment der Betriebsunterbrechung oder in dem der Datenschutzverletzungen zu finden ist, spielt laut Beckers eine Rolle. Einen gewissen Prämienspielraum bieten auch die Selbstbehalte. Wir starten hier mit Selbstbehalten von mindestens 1000 Euro. HDI Global SE: Die Versicherungslösung Cyber+ wurde speziell für die produzierende Industrie wie Maschinenbauer oder Kfz-Zulieferer entwickelt. Als typische Cyberversicherung Es gibt weltweit noch keinen entwickelten Cyberversicherungsmarkt, außer in den USA. Peter Graß Leiter Haftpflicht- und Kreditversicherung beim GDV Kriterien für Prämienhöhe Abgedeckte Risiken Qualität der IT-Sicherheit, Unternehmensgröße, Branche Deckungssumme, Selbstbehalt, Risikoprofil (Größe, Internationalität, Geschäftsmodell, Art und Menge der eingesetzten oder verarbeiteten Daten) Exponierung und möglicher Maximalschaden, gewählte Bausteine, Versicherungssumme, Selbstbeteiligung Datenverlust oder -manipulation durch Hacker-Angriffe, Computerviren, Trojaner oder weitere Malware-Angriffe; unberechtigte Nutzung von Computersystemen, menschliches Versagen/Fahrlässigkeit, Blitzschlag, Überspannung, Spannungsabfall Datenschutz-, Vertraulichkeits-, Netzwerksicherheitsverletzungen, Vertragsstrafen, Informationskosten, Betriebsunterbrechungsschäden, Wiederherstellungsaufwand, Computerbetrug, Cybererpressung, Verfahrensschutz, forensische Dienstleistung, Krisenkommunikation reine Vermögensschäden aufgrund eines Vorfalls in der IT (Eigenschäden und Haftpflichtschäden) Branche, Segment, in dem ein höheres Cyberrisiko zu finden ist (Betriebsunterbrechung/Datenschutzverletzungen), Selbstbehalt 5) Drittschäden: Datenschutzverletzungen, Datenvertraulichkeitsverletzungen, Netzwerksicherheitsverletzungen, rechtswidrige Kommunikation. Eigenschäden: Informations- und Benachrichtigungskosten, Betriebsunterbrechung (fortlaufende Kosten und Betriebsgewinn), Datenwiederherstellungskosten, Kreditkarten-Monitoring Branche, Größe des Unternehmens, Qualität der IT- und Informationssicherheit (Hardund Software inklusive Rechnerlandschaft, Netzwerk, Sicherheitsvorkehrungen, Wartungsverträge, Mitarbeiter-Awareness, Business Continuity Management) Sicherheitssensibilität, eine gut aufgestellte IT, angemessene Sicherheitsrichtlinien, Überlegungen zum Notfall- und Krisenmanagement; gewünschte Versicherungssumme und Umsatz des Unternehmens Reifegrad der technischen und organisatorischen IT- und Informationssicherheit, Risikograd von Eigen- und Drittschäden, Versicherungssumme, Höhe der Selbstbehalte Beschädigung, Diebstahl oder unerlaubte Veröffentlichung von Daten sowie die Datenwiederherstellung, Betriebsunterbrechung/Ertragsausfall, zum Beispiel der Produktion oder des Online-Shops, Kosten für Krisenkommunikation und Benachrichtigung, forensische Untersuchungen. Optional: Rechtsschutz, Managerhaftpflicht, Industriespionage (Verletzung von Betriebsgeheimnissen), Vertrauensschäden durch Fehlverhalten von Mitarbeitern Eigenschadenversicherung: Wiederherstellung von Daten und Systemen nach Hacker-Angriff, Betriebsstillstand nach Hacker-Angriff, Verlust physischer Datenträger mit vertraulichen Daten, Krisenmanagement und PR-Maßnahmen nach Hacker-Angriff. Fremdschaden: Schaden ersatzansprüche (Vermögensschäden) aufgrund eines Verstoßes gegen gesetzliche sowie ggf. vertragliche Bestimmungen/Verpflichtungen zum Datenschutz, eines Verstoßes gegen Geheimhaltungspflichten, der Weitergabe eines Virus, einer Persönlichkeitsrechtsverletzung nach Hacker-Angriff Ansprüche Dritter und Eigenschäden einschließlich Ertragsausfall- und Mehrkostendeckung, Bereitstellung von forensischen Dienstleistungen, Geld- und Warenverluste infolge einer elektronischen Manipulation, Versicherungsschutz für mögliche Forderungen der Payment Card Industrie, Kosten für Krisenkommunikation, Mediation, Reputationssicherung, Information und Benachrichtigung, Kreditkarten-Monitoring 7) mittelständisches produzierendes Unternehmen mit angemessenem Niveau an IT- und Informationssicherheit bei einer Deckungssumme von 5 Mio. Euro com! professional 3/2016 8) typischer Bereich 9) Beispiel: Versicherungssumme von 1 Mio. Euro für ein Unternehmen bis 5 Mio. Euro Umsatz: 1650 Euro netto pro Jahr 119

7 deckt Cyber+ sowohl Eigen- als auch Drittschäden ab, trägt aber auch der persönlichen Verantwortung von Unternehmensleitern für die IT- Sicherheit Rechnung. Cloud-Anbieter gehören zwar nicht zur Zielgruppe, Haftpflichtansprüche aus ausgegliederter Datenverarbeitung sind im Rahmen von Cyberpolicen aber versicherbar. Zu den wichtigsten Kriterien bei der Prämienfestsetzung gehören die Branche, in der das Unternehmen tätig ist, seine Größe gemessen am Umsatzvolumen und die Qualität seiner ITund Informationssicherheit. Ein mittelständisches produzierendes Unternehmen mit angemessenem Sicherheitsniveau muss bei einer Deckungssumme von beispielsweise 5 Millionen Euro mit einem Beitrag in niedriger fünfstelliger Höhe rechnen. Hiscox: Der Versicherer legt mit seiner Cyber Versicherung den Schwerpunkt auf den Mittelstand. Vor allem E-Commerce-Anbieter, Technologieunternehmen, Händler und Beherbergungsbetriebe bedürften eines Schutzes, sagt Ole Sieverding, Product Head Cyber & Data Risks bei Hiscox: Elemente wie IT-Forensik und die Kosten für behördliche Informationspflichten seien in der Cyber Versicherung enthalten. Spezielle Risiken wie Vertragsstrafen aus der Verletzung von Geheimhaltungspflichten lassen sich individuell in den Vertrag einschließen, erklärt Sieverding. Sicherheitssensibilität, eine gut aufgestellte IT und angemessene Sicherheitsrichtlinien sowie Überlegungen zum Notfall- und Krisenmanagement spielen bei der Prämienbestimmung eine Rolle. Neben diesen Faktoren richtet sich die Höhe der Versicherungsbeiträge nach der gewünschten Versicherungssumme und dem Umsatz des Unternehmens. Für kleine Unternehmen gibt es eine Deckung ab 499 Euro netto pro Jahr, eine Versicherungssumme von 1 Million Euro für ein Unternehmen bis 5 Millionen Euro Umsatz kostet beispielsweise jährlich 1650 Euro netto. Württembergische: Die Cyber-Police der Württembergischen Versicherung ist vor allem auf kleine und mittelständische Betriebe bis 10 Millionen Euro Jahresumsatz ausgerichtet. Eine hohe Anzahl an Anfragen deutet auf das steigende Risikobewusstsein auch bei dieser Zielgruppe, sagt Gert Baumeister, Leiter Firmenkunden Technische Versicherungen. Cyberpolicen bieten marktweit erstmals eine Kombination aus der Versicherung von Vermögenseigenschäden ( ) mit einer Art Haftungsversicherung für Ansprüche Dritter wegen dort entstandener Vermögensschäden. Holger Tittko Referent Eine Cyberversicherung darf nicht als Ersatz für eine fehlende oder unzureichende IT-Sicherheit verstanden werden. Natalie Kress Cyber Practice Manager Germany & Austria Der Versicherungsschutz deckt sowohl Ansprüche Dritter als auch Eigenschäden einschließlich Ertragsausfall- und Mehrkostendeckung ab. Wesentliches Element unserer Deckung ist die Bereitstellung von forensischen Dienstleistungen, erklärt Baumeister. Diese unterstützen den Kunden von Beginn an bei der Aufklärung und Abwicklung seines Cybervorfalls. Ebenso mitversichert sind Geld- und Warenverluste infolge einer elektronischen Manipulation. Für Kunden, die eine Zahlung mit Kreditoder Bankkarten zulassen, ist auch Versicherungsschutz für mögliche Forderungen der Payment Card Industry enthalten. Abgerundet wird der Schutz durch ein Kostenpaket, das neben den Aufwendungen für die Krisenkommunikation auch solche für Mediation, Reputationssicherung, Information und Benachrichtigung sowie das Kreditkarten-Monitoring umfasst. Versicherungsmakler Maklerbüros bieten eine vertiefte Beratung, wenn es um die Absicherung von IT-Risiken geht. Beispiele sind die acant service GmbH ( die Aktiv Assekurenz Makler GmbH ( die Erichsen GmbH ( Bonleitner Finanz & Versicherungsmakler ( und die Marsh GmbH ( Zu den Leistungen gehören zum Beispiel die Ermittlung des Versicherungsbedarfs, die Ausschreibung und Auswertung der Angebote und die Klärung von Rückfragen. Auch eine regelmäßige Überprüfung von Preis und Inhalt der Deckung und eine Anpassung des Versicherungsschutzes an veränderte Risiko- oder Marktverhältnisse sowie eine Begleitung im Schadensfall sind typische Leistungen eines Maklerbüros. Fazit Eine funktionierende IT-Infrastruktur ist für praktisch jedes Unternehmen ab einer bestimmten Größe geschäftskritisch. Steht das Kommunikationsnetz oder die Produktion still, werden Kunden- oder Entwicklungsdaten gestohlen oder von Ransomware verschlüsselt, entstehen schnell existenzbedrohende Schäden in Millionenhöhe. Eine Cyberversicherung gehört deshalb zu den entscheidenden Maßnahmen einer betrieblichen Risikominimierung. Die Produkte ähneln sich in ihrem Basisschutz, weisen aber erhebliche Unterschiede in den optionalen Bestandteilen und den Versicherungsbedingungen auf. Je nach Versicherer, Leistungsumfang und Risiko können die Prämien schnell fünf- bis sechsstellige Beträge erreichen. Man muss also scharf rechnen und genau hinschauen, um die geeignete Police zu finden. Thomas Hafen/ad ad@com-professional.de 120