Basler Cyber-Police. Häufig gestellte Fragen (FAQ)

Transkript

1 Basler Cyber-Police Häufig gestellte Fragen (FAQ)

2 Allgemein Was ist eine Cyber-Versicherung und warum brauchen Unternehmen diesen Schutz? Inzwischen hängen nahezu alle wirtschaftlichen Prozesse vom Internet oder zumindest vom Datenaustausch über diverse Datenleitungen ab. Die Risiken in diesem Zusammenhang nehmen daher stetig zu. Trends wie das Internet of Things beschleunigen diesen Prozess zusätzlich. Tatsache ist: Eine 100%ige Sicherheit ist im IT-Bereich nicht möglich bzw. kann nur zu unverhältnismäßig hohen Kosten erzielt werden. Schon deshalb ist eine Cyber-Versicherung, insbesondere für kleine und mittelständische Unternehmen (KMU), sinnvoll. Hinzu kommt, dass neben der Absicherung von Eigenund Drittschäden die Kosten für eine Krisenreaktion enthalten sind. Die Basler Versicherungen bieten für den Schadenfall eine 24/7-Hotline an. Diese hilft unkompliziert im Schadenfall durch spezialisierte Forensiker. Häufig besitzen KMU keine Spezialisten, um mit einer Cyber-Attacke adäquat umzugehen. Hier zeigt sich der echte Mehrwert dieser Deckung. Benötigt der Versicherungsnehmer bei den Basler Versicherungen eine weitere Police oder kann das Produkt stand-alone abgeschlossen werden? Der Versicherungsnehmer muss keinen weiteren Versicherungsschutz bei den Basler Versicherungen besitzen. Die Basler Cyber-Police kann separat abgeschlossen werden. Deckung Was ist eine Informationssicherheitsverletzung? Die Informationssicherheitsverletzung definiert den Versicherungsfall in den AVB und ist die Beeinträchtigung der Verfügbarkeit (z. B., wenn Daten gelöscht oder verschlüsselt werden), Integrität (z. B., wenn Daten verändert werden) oder Vertraulichkeit (z. B. bei unrechtmäßiger Kenntnisnahme) von Daten oder informationsverarbeitenden Systemen des Versicherungsnehmers. Da nicht alle Risiken über eine Cyber-Versicherung gedeckt sind, wird noch geregelt, dass eine Informationssicherheitsverletzung durch folgende Ereignisse ausgelöst werden muss: Angriffe auf elektronische Daten oder informationsverarbeitende Systeme des Versicherungsnehmers unberechtigte Zugriffe auf elektronische Daten des Versicherungsnehmers Eingriffe in informationsverarbeitende Systeme des Versicherungsnehmers eine Handlung oder Unterlassung, die zu einer Verletzung von datenschutzrechtlichen Vorschriften durch den Versicherungsnehmer führt Schadprogramme, die auf elektronische Daten oder informationsverarbeitende Systeme des Versicherungsnehmers wirken Der Deckungsumfang ist bewusst weit gewählt und umfasst als auslösendes Ereignis auch Handlungen Dritter, wie z. B. IT-Dienstleister des Versicherungsnehmers. Wird die Deckung auch als Baustein angeboten? Nein. Die Cyber-Versicherung entfaltet ihre volle Wirkung nur in Kombination, wenn alle Bausteine angeboten werden. Dies sind die Deckung für Eigen- und Drittschäden sowie die Krisenreaktionskosten (auch Forensikkosten, Assistance o. ä. genannt). Je nach Betriebsart kann es durchaus sinnvoll sein, dass für jeden Baustein unterschiedliche Versicherungssummen/ Sublimits gewählt werden. Dies kann in einem Gespräch mit dem Kunden/Makler erörtert werden. Eine komplette Abwahl eines Bausteins ist jedoch nicht zu empfehlen und wird daher von uns für KMU nicht angeboten.

3 Besteht auch Versicherungsschutz, wenn Mitarbeiter einen Schaden im Unternehmen verursachen? Ja. Versichert sind unberechtigte Zugriffe auf elektronische Daten des Versicherungsnehmers oder Eingriffe in informationsverarbeitende Systeme des Versicherungsnehmers. Dies sind fahrlässige oder vorsätzliche Handlungen von Personen (z. B. Mitarbeitern, externen Dienstleistern), die beispielsweise unbefugt auf Daten wie z. B. Kundenakten zugreifen (Zugriff), diese bearbeiten oder löschen (Eingriff in das IT-System). Zu berücksichtigen ist: Handelt ein Repräsentant vorsätzlich oder wissentlich, entfällt der Versicherungsschutz komplett. Handelt ein einfacher Betriebsangehöriger vorsätzlich, verliert nur dieser seinen Versicherungsschutz. Besteht auch Versicherungsschutz, wenn Mitarbeiter einen Schaden verursachen, der zu Ansprüchen Dritter führt? Ja. Deckung besteht im Rahmen der Drittschadendeckung. Denkbar ist, dass Mitarbeiter fahrlässig personenbezogene Daten Dritter auf einer Website veröffentlichen. Besteht auch Versicherungsschutz, wenn die eigenen informationsverarbeitenden Systeme (die Systeme des Versicherungsnehmers) betroffen sind? Ja. Deckung besteht, da Eingriffe in informationsverarbeitende Systeme des Versicherungsnehmers als ein auslösendes Ereignis einer Informationssicherheitsverletzung gelten. Der Versicherungsumfang wird dann über die Eigenschadendeckung geregelt, wie beispielsweise das Entfernen der Schadsoftware. Besteht auch Versicherungsschutz für Mitarbeiter, die im Homeoffice arbeiten? Ja. Für informationsverarbeitende Systeme, die im Rahmen von Home-Office-Lösungen eingesetzt sind, besteht Deckung. Ebenso sind schädliche Handlungen der Mitarbeiter versichert. Was passiert, wenn bei einem Brand die IT-Systeme des Unternehmens zerstört werden? Hierfür besteht über die Cyber-Versicherung keine Deckung. Deckung kann eine Feuerversicherung gewähren. Was sind informationsverarbeitende Systeme? Sind auch mobile Geräte enthalten? Informationsverarbeitende Systeme des Versicherungsnehmers sind eigene Systeme, gemietete oder geleaste Systeme oder die verarbeitenden Systeme eines externen Dienstleisters. Eine weitere Konkretisierung von Systemen wird bewusst nicht vorgenommen. Somit handelt es sich um eine weitfassende Definition. Ebenso werden mobile Geräte darunter gefasst. Was sind elektronische Daten und was ist gedeckt? Diese Definition dient der Abgrenzung zur Papierakte oder zum Notizblock. Gedeckt werden nur Daten, die auf informationsverarbeitenden Systemen gespeichert, verarbeitet etc. werden können. Außerdem werden unter elektronische Daten auch (Computer-)Programme erfasst. Ist BYOD versichert? Für die Deckung von informationsverarbeitenden Systemen ist entscheidend, dass die Nutzung dieser Systeme zu beruflichen Zwecken erfolgt. Insofern sind auch BYOD ( Bring Your Own Device ) oder Home-Office-Lösungen mitversichert. Sind nur Cyber-Vorfälle im kaufmännischen Bereich (Office-Anwendungen, Kundendaten, Buchhaltung etc.) versichert oder auch Cyber-Vorfälle, welche die Steuerungs systeme (bspw. ICS oder CNC-Fräsmaschinen) des Unternehmens betreffen? Wir differenzieren bei unserem Versicherungsschutz nicht zwischen kaufmännischen Bereichen und weiteren möglichen Bereichen. Dies war in der Vergangenheit bei einigen Cyber-Versicherungen zu sehen. Dies ist weder kundenfreundlich noch praxistauglich. Wichtig ist bei dem Einsatz von automatisierten Produktionsprozessen die richtige Risikoerhebung mittels unseres Zusatzfragebogens. Das Risiko ist sehr hoch und bedarf einer genauen Analyse, wovon auch der Versicherungsnehmer profitiert.

4 Besteht Versicherungsschutz für Schäden, die infolge eines Ausfalls, einer Unterbrechung oder einer Störung bei externen Dienstleistern eintreten? Nein. Dies dient der Kumulkontrolle und ist nicht über eine Cyber-Versicherung für KMU zu decken. Hierfür muss der Dienstleister selbst haftbar gemacht werden. Deckung besteht jedoch, wenn die Daten des Versicherungsnehmers gezielt angegriffen werden, auch wenn diese auf den Systemen eines Dienstleisters liegen. Bspw. könnte das Passwort des Versicherungsnehmers zu einem Cloud-Dienst gehackt werden und es kommt dadurch zu einem gedeckten Datenschutzvorfall. Sind auch Bedienfehler eines Angestellten versichert? Gedeckt sind unberechtigte Zugriffe auf elektronische Daten des Versicherungsnehmers oder Eingriffe in informationsverarbeitende Systeme des Versicherungsnehmers. Da auch Deckung für Schäden besteht, die Mitarbeiter verursachen, und keine weitere Konkretisierung in den Bedingungen erfolgt, besteht auch Deckung für eine Fehlbedienung der Systeme. Ist der Fake-President-Angriff versichert? Über die Cyber-Versicherung werden keine Elemente der Vertrauensschadenversicherung gedeckt, worunter der Fake- President-Angriff fällt. Versichert ist jedoch die Krisenreaktionshilfe, die ggf. durch einen Hack zu einem Fake-President- Angriff führt. Lediglich der finanzielle Abfluss von Vermögenswerten muss über eine Vertrauensschadenversicherung versichert werden. Hier ist es besonders wichtig, im Beratungsgespräch darauf hinzuweisen und auch die Umstände zu erklären. Häufig wird angenommen, dass es sich bei einem Fake-President-Angriff um einen versicherten Schaden im Rahmen der Cyber-Versicherung handelt insbesondere, da Regelungen/Klauseln in bestehenden Cyber- Versicherungen mitunter unklar und missverständlich formuliert sind (z. B. Computermissbrauch oder Hacker mit Bereicherung ). Dadurch entsteht das Problem einer Differenzierung zwischen Betrug gemäß 263 StGB und Computerbetrug gemäß 263a StGB ( Unmittelbarkeitskriterium ). Die Lösung ist eine klare Trennung zwischen den beiden Tatbeständen durch transparente Bedingungen/Klauseln. Regelmäßig ist dieser Angriff ein klassischer Betrugsfall, daher wird die Deckung über die Vertrauensschadenversicherung gewährt. Besteht Versicherungsschutz auch für bereits eingetretene Informationssicherheitsverletzungen? Über die Rückwärtsdeckung besteht Versicherungsschutz für bereits eingetretene Informationssicherheitsverletzungen. Voraussetzung ist, dass diese bei Abschluss des Versicherungsvertrages nicht festgestellt waren und sofern vereinbart nach einem benannten Zeitpunkt eingetreten sind. Ist die Zerstörung von Datenträgern durch Schadprogramme erfasst? Die Cyber-Versicherung bietet Versicherungsschutz für Vermögensschäden. Deshalb besteht keine Deckung für Sachschäden. Die Zerstörung von Datenträgern durch Schadprogramme ist ebenfalls nicht erfasst. Deckung besteht aber für den Verlust von Daten, wenn Hardware abhandenkommt. Besteht eine Vorrangigkeit? Oder gilt der Versicherungsschutz subsidiär? Innerhalb unserer Bedingungen haben wir geregelt, dass die Cyber-Versicherung Vorrang hat, auch wenn Deckung über andere Versicherungen gewährt werden kann. Dies dient dazu, dass der Versicherungsnehmer schnell und unkompliziert Hilfe durch unsere Forensiker erhält. In einem Cyber-Vorfall ist es hilfreich, wenn sich der Versicherte direkt an einen Ansprechpartner wenden kann. Was erwartet der Versicherer vom Versicherungsnehmer (z. B. Obliegenheiten)? Insbesondere sind hier die Obliegenheiten bezüglich der IT- Sicherheit zu nennen. Dabei wird zwischen technischen und organisatorischen Maßnahmen unterschieden. Da es nicht nur eine einzige Lösung für die IT-Sicherheit gibt, müssen bspw. organisatorische Lösungen geschaffen werden, wenn technische Lösungen nicht zur Verfügung stehen. Bereits im Fragebogen gehen wir detailliert auf einzelne Risiken ein. Nur, wenn wir danach gefragt haben, greifen auch unsere Obliegenheiten. Der Fragebogen soll auch den Versi-

5 cherungsnehmer für seine IT und deren Sicherheit sensibilisieren. Zu den Obliegenheiten gehört insbesondere, dass die informationsverarbeitenden Systeme a) einzelne Nutzer und Befugnisebenen unterscheiden. Hierzu sind individuelle Zugänge für alle Nutzer erforderlich, die mit ausreichend komplexen Passwörtern gesichert werden. Administrative Zugänge sind ausschließlich Administratoren und ausschließlich zur Erledigung administrativer Tätigkeiten vorbehalten. b) mit einem zusätzlichen Schutz gegen unberechtigten Zugriff ausgerüstet sind, wenn diese einem erhöhten Risiko ausgesetzt sind. Ein erhöhtes Risiko besteht bei Geräten, die über das Internet erreichbar oder im mobilen Einsatz sind. Zusätzliche Schutzmaßnahmen können z. B. sein: Firewall, Zwei-Faktor-Authentifizierung bei Servern, Verschlüsselung von Datenträgern mobiler Geräte, Diebstahlsicherung oder ähnlich wirksame Maßnahmen. c) über einen Schutz gegen Schadsoftware verfügen, der automatisch auf dem aktuellen Stand gehalten wird (z. B. Virenscanner, Code Signing, Application Firewall oder ähnlich wirksame Maßnahmen). d) einem Patch-Management-Verfahren unterliegen, das eine unverzügliche Installation von relevanten Sicherheitspatches sicherstellt. Systeme und Anwendungen mit bekannten Sicherheitslücken dürfen nicht ohne zusätzliche geeignete Maßnahmen zur Absicherung eingesetzt werden. e) einem mindestens wöchentlichen Sicherungsprozess unterliegen, wobei die Sicherungsdatenträger physisch getrennt aufbewahrt werden. Es ist sicherzustellen, dass im Versicherungsfall auf Originale und Duplikate nicht gleichzeitig zugegriffen werden kann oder diese manipuliert oder zerstört werden können. Der Versicherungsnehmer hat eine ordnungsgemäße Funktion des Sicherungsund Wiederherstellungsprozesses durch regelmäßige Prüfung nach einem festgelegten Turnus sicherzustellen. Was ist eine Gefahrerhöhung? Hierbei handelt es sich auch um eine Obliegenheit. Der Versicherungsnehmer hat besonders gefahrdrohende Umstände dem Versicherer zu melden. Die Betonung liegt auf besonders. Häufig wird befürchtet, dass bspw. die Anschaffung eines neuen PC mit neuem Betriebssystem bereits ein besonders gefahrdrohender Umstand sei. So streng wird diese Klausel jedoch nicht ausgelegt. Eine meldepflichtige Gefahrerhöhung ist hingegen, wenn bspw. ein kleiner Blumenladen zukünftig auch einen Online-Shop betreibt. Ebenso ist die Umstellung einer Produktionsanlage auf ICS (automatisierte Produktionssysteme) eine Gefahrerhöhung und sollte mit dem Versicherer besprochen werden. Krisenreaktion/Assistance Wie hilft die Basler, wenn ein Cyber-Vorfall eintritt z. B. durch einen Hacker-Angriff? Was sollte der Versicherungsnehmer im Cyber-Vorfall tun? Wenn durch eine Informationssicherheitsverletzung ein sogenannter Cyber-Vorfall eintritt, ist schnelles Handeln wichtig. Je eher auf einen möglichen Cyber-Angriff reagiert wird, desto besser kann das Schadenausmaß reduziert werden. Die Basler Versicherungen bieten daher im Rahmen der Cyber-Kostenpositionen eine umfassende Dienstleistung zur Behebung des Schadens an. Durch einen externen Dienstleister mit IT-Spezialisten kann dem Kunden umgehend geholfen werden. Dazu bieten wir eine 24/7-Hotline an. Kostet die Hilfe den Versicherungsnehmer im Schadenfall etwas? Nein. Die Dienstleistung ist Bestandteil der Deckung und deshalb werden keine weiteren Kosten berechnet (ggf. muss ein Selbstbehalt in Abzug gebracht werden). Außerdem erheben wir im Rahmen der forensischen Dienstleistung keinen weiteren Selbstbehalt, wenn sich herausstellt, dass kein Versicherungsfall vorlag. Häufig erheben Wettbewerber einen Selbstbehalt von bis zu 50 % der Kosten

6 Sind Kosten für die Beauftragung eines externen Callcenters zur Beantwortung von Fragen mitversichert? Ja. Die Kosten sind im Rahmen der Cyber-Kostenpositionen (Assistance) gedeckt. Die Beauftragung muss jedoch mit dem Versicherer abgestimmt werden. Sind die Kosten für Maßnahmen zur Erhaltung oder Wiederherstellung der öffentlichen Reputation des Versicherungsnehmers mitversichert? Ja. Die Kosten sind im Rahmen der Cyber-Kostenpositionen (Assistance) gedeckt. Dabei handelt es sich um öffentliche Medienarbeit. Nicht gedeckt wird der finanzielle Verlust (bspw. mittelbarer Kundenabgang durch verlorene Reputation) wegen Verzögerung der Leistung u. v. m. durch einen Versicherungsfall. Warum braucht der Kunde eine Cyber-Versicherung? Sind die Risiken nicht über bestehende Deckungen abgesichert? Insbesondere bei Haftpflicht soll das der Fall sein. Prävention und Risk Assessment Datenschutzansprüche wegen der unfreiwilligen Veröffentlichung personenbezogener Daten Dritter (z. B. Mitarbeiter veröffentlicht versehentlich Daten von Kunden auf einer Website) Vertragliche Haftpflichtansprüche der Kreditkartenfirmen durch eine Verletzung der PCI DSS (Payment Card Industry Data Security Standard: regelt die Abwicklung von Zahlungen mittels Kreditkarten und beinhaltet vertraglich normierte Strafzahlungen) Schadenersatzansprüche wegen vergeblicher Auf wendungen im Vertrauen auf ordnungsgemäße Vertrags erfüllung sowie auf Mehraufwendungen Siehe dazu auch Frage 1 unter Allgemein. Bietet die Basler Präventionsberatungen an? Über unseren Dienstleister bieten wir kostenpflichtige Präventionsangebote an. Eine Übernahme kann nur in Ausnahmefällen erfolgen. Hierzu ist eine Abstimmung mit den zuständigen Geschäftsfeldspezialisten notwendig. Wie hoch sollte die Deckungssumme sein? Diese Frage ist je nach Risiko zu beantworten. Insofern bietet es sich an, Rücksprache mit den Underwritern oder Geschäftsfeldspezialisten zu nehmen. Für die Betriebsunterbrechung etablieren sich Grundsätze, dass als Deckungssumme der durchschnittliche Umsatz 1 Woche bis zu 1 Monat ausreichend ist. Welche Haftungsrisiken sind denkbar? Es sind verschiedene Szenarien denkbar: Schadenersatzansprüche: Ein Virus beim Versicherungsnehmer führt nicht beim Versicherungsnehmer selbst, sondern bei einem Dritten zu einer Informationssicherheitsverletzung. Die Ansprüche sind gedeckt, im Zweifel auch die Abwehr der nicht berechtigten Schadenersatzansprüche. Datenschutzansprüche wegen des Verlusts personenbezogener Daten Dritter (z. B. Hacker stiehlt Patientenakten) Die Cyber-Versicherung soll dem Versicherungsnehmer im Krisenfall schnelle und unkomplizierte Hilfe bieten. Die Assistance-Leistung der Cyber-Versicherung ist ein sehr wichtiger und hilfreicher Baustein für KMU. Deshalb haben wir in unseren Bedingungen auch geregelt, dass selbst, wenn Deckung über eine andere Versicherung besteht, die Cyber- Versicherung Vorrang hat. Dadurch wird geregelt, dass bei einem Cyber-Vorfall der Versicherungsnehmer sich für die Krisenreaktion nur an einen Versicherer und Ansprechpartner wenden kann. Darüber hinaus ist es natürlich richtig, dass teilweise Risiken bereits in anderen Sparten gedeckt sind. Dies wird mittelfristig weiterhin auch so bleiben, da es keinen sogenannten Cyber-Ausschluss in den anderen Bedingungen gibt. Eine solche Nullstellung wäre auch nicht hilfreich, da z. T. Personen- oder Sachschadenelemente vorhanden sind die Art der Schadenherbeiführung nicht differenziert ist die Bestände nicht zeitnah bereinigt werden die zur Verfügung stehenden Versicherungssummen nicht kongruent sind. Die meisten Überschneidungen gibt es in der Haftpflichtversicherung. Dort werden bereits Vermögensschäden-Datenschutz, Internet-Haftpflicht und auch die Persönlichkeitsund Namensrechtsverletzungen mitversichert. Dennoch gibt es einige wichtige Erweiterungen in der Cyber-Versicherung, wie z. B. die Ansprüche der Kreditkartenanbieter bei der

7 Verletzung des PCI DSS. Oder auch Ansprüche aufgrund Schadenersatzansprüche wegen vergeblicher Aufwendungen im Vertrauen auf ordnungsgemäße Vertragserfüllung sowie Schadenersatzansprüche auf Mehraufwendungen wegen Verzögerung der Leistung. Sind Zertifizierungen sinnvoll? Pricing Gibt es bei Abschluss einer Cyber-Versicherung eine Prämienreduktion in den anderen Sparten? In der Regel nicht. Die Überschneidungen zu bestehenden Deckungen sind kleiner, als häufig gedacht. Ja und nein! Eine Zertifizierung dokumentiert einen gewissen Standard von IT-Sicherheit. Insofern ist es zu begrüßen, wenn Versicherungsnehmer nach einem IT-Sicherheitsstandard zertifiziert sind. In der Praxis sind jedoch sehr wenige Unternehmen zertifiziert, sodass wir im Underwriting nicht alleine auf Zertifizierungen abstellen können.

8 BAS WMD Basler Versicherungen Basler Str. 4, Bad Homburg Telefon / Montag bis Freitag von 8.00 bis Uhr