Geschäftskunden. Schützen Sie Ihr Unternehmen. IT-Risiken/ Risiko-Check IT. Professionelles Risikomanagement

Transkript

1 Geschäftskunden Schützen Sie Ihr Unternehmen optimal gegen IT-Risiken/ Risiko-Check IT. Professionelles Risikomanagement

2 Einleitung! Die bhängigkeit der Unternehmen von einer funktions fähigen IT und dem Zugang zum Internet steigt und damit die nforderungen an das Risikomanagement. Gleichzeitig werden rechtliche Forderungen z. B. an den Urheber- oder Datenschutz verschärft. Dabei hat sich die Bedrohungslage durch Schadsoftware, ngriffe von Hackern etc. in den letzten Jahren weiter verschärft. Eine absolute Sicherheit ist praktisch nicht möglich, zumindest nicht ohne eine erheb liche Einschränkung der rbeitsfähigkeit zu akzeptieren. Damit gewinnt ein wirksames und angemessenes Handeln bezogen auf IT- und Datensicherheit an Bedeutung. Risiken müssen identifiziert, bewertet und durch technische wie organisatorische Maßnahmen reduziert werden. ls Hilfsmittel für die Priorisierung von Risiken dient beispielsweise eine Risikomatrix wie sie die rechts abgebildete Grafik zeigt. Für die an die nalyse anschließende, zielgerichtete Risikobehandlung stehen als mögliche Maßnahmen die Vermeidung, die Verminderung, die Versicherung, bis hin zur Selbsttragung des Restrisikos zur Verfügung. Für die Identifizierung von möglichen Risiken und die uswahl eines geeigneten und optimalen Ver sicherungsschutzes soll dieser Risiko-Check IT eine Hilfestellung bieten. Dabei wird insbesondere auf die ByteProtect- Versicherung der X aber auch andere bestehende Deckungs möglichkeiten eingegangen. Der Risiko-Check ermöglicht u. a. den Nachweis der Forderung des Grundschutz-Kataloges des BSI, Modul M 6.16 bschließen von Versicherungen im Rahmen einer Zertifizierung. Eintrittswahrscheinlichkeit vermindern vermeiden selbst tragen versichern Dieser Risiko-Check IT erhebt keinen nspruch auf Vollständigkeit. Im konkreten Fall sind natürlich stets die jeweiligen tatsächlich vereinbarten Versicherungsbedingungen (z. B. Deckungsumfang, usschlüsse, Obliegenheiten) zu berücksichtigen. ußerdem ist zu beachten, dass bestimmte Versicherungsprodukte nicht für jede Branche bzw. Tätigkeit eines Unternehmens angeboten werden. Der Risiko-Check IT bietet darüber hinaus eine gute Grundlage bzw. einen Leitfaden für ein Gespräch mit Ihrem Versicherungsver mittler. Ihre X Versicherung G Köln

3 llgemeine Unternehmensdaten! Firma : Inhaber/Geschäftsführer : Homepage : Straße : PLZ/Ort : Telefon : Notizen: Betriebsbeschreibung: ktueller Jahresumsatz : nzahl Mitarbeiter : EUR Datenschutz-Hinweis und Bestätigung des Kunden Einwilligungserklärung: Ich bin damit einverstanden, dass mein zuständiger Vermittler und X Versicherung G die zum Risiko-Check IT erforderlichen Unternehmens- und personenbezogenen Daten erheben, speichern und zum Zweck der Prüfung der Versicherbarkeit sowie zur Beratung und im Falle der ntragsstellung auch zur Risikoprüfung verarbeiten dürfen. Ort, Datum Betriebsinhaber/Bevollmächtigter

4 1 Betriebsunterbrechung durch usfall der IT, der Webseite oder des Zugangs zum Internet Der usfall der IT kann verschiedene Ursachen haben und je nach Ursache kann sich auch die usfalldauer unterscheiden. Es wird empfohlen, den Einfluss eines EDV-/Internet-usfalls auf die Geschäftsprozesse im Rahmen einer Business-Impact-nalyse zu untersuchen. Die kann über die Zeitdauer, multipliziert mit den usfallkosten je Zeiteinheit abgeschätzt werden. Dabei ist einzurechnen, dass ggf. die Betriebsunterbrechung in den Tagen und Wochen danach wieder ganz oder teilweise durch Mehrumsatz kompensiert werden kann. Zur Ermittlung einer angemessenen Versicherungssumme sollte der jeweils mögliche Maximalschaden bestimmt werden. Dabei sind ggf. auch Mehrkosten zu berücksichtigen, die üblicherweise in Betriebsunterbrechungsversicherungen mitversichert sind. Ursache/Gefahr B C Sachschaden usfall in Folge eines Sachschadens durch: Brand, Rauch, Diebstahl, Vandalismus, Sabotage, Erdbeben, Wasser, Überspannung, Über hitzung, Bedienungsfehler etc. Stromausfall usfall als Folge einer längeren Unterbrechung der öffentlichen Stromversorgung. Schadsoftware usfall durch Schadsoftware. D DoS-/Hacker-ttacke 2 usfall durch zielgerichtete DoS-ttacke bzw. Hackerangriffe (z. B. Manipulation der Webseite). Versicherungsmöglichkeit nmerkungen 1 Sachversicherung (z. B. Elektronikversicherung) mit entsprechender darauf aufsetzender Betriebsunterbrechungs- bzw. Mehrkosten ver sicherung. Möglichkeit der Mitversicherung in der Maschinenbetriebsunterbrechungs versicherung. Nicht versicherbar ByteProtect: Baustein c) 3 und d) Es ist darauf zu achten, welche Gefahren in der jeweiligen Police tatsächlich versichert sind! usfall der IT kann auch durch einen Sachschaden an der Klimaanlage verursacht sein. Möglichkeit der Mitversicherung in der Elektronikversicherung ist gegeben, wenn die Klimaanlage in diese Deckung eingeschlossen ist. usschlüsse z. B. für höhere Gewalt beachten! Hohes Kumulrisiko für den Versicherer. 1 In dieser Spalte können Sie ihre eigene Schadenschätzung eintragen, quantitativ oder auch qualitativ (z. B. hoch, mittel, gering) 2 DoS = Denial of Service usfall durch eine hohe nzahl von nfragen/zugriffen auf den Server/Rechner 3 Zur Übersicht der Bausteine von ByteProtect wird auf die Tabelle im nhang verwiesen

5 1 Betriebsunterbrechung durch usfall der IT, der Webseite oder des Zugangs zum Internet (Fortsetzung) Ursache/Gefahr E usfall des Internets bzw. der Telekommunikation oder der Webseite aufgrund externer Ursachen (z. B. Bauarbeiten). Versicherungsmöglichkeit ByteProtect: Baustein a) Keine Versicherung bei höherer Gewalt und zu geringer Bandbreite der Datenleitung. nmerkungen Haftung des Netzbetreibers gemäß 44 a Tele kommunikationsgesetz in begrenzter Höhe. Ggf. Regressmöglichkeiten prüfen (z. B. wenn der usfall durch Bauarbeiten verursacht wurde). usschluß für höhere Gewalt beachten (z. B. Sturm, Überschwemmung). F Bedienungsfehler ByteProtect: Baustein b) usfall aufgrund eines Bedienungs fehlers eines Mitarbeiters (z. B. falsche Befehlseingabe). G Manipulation ByteProtect: Baustein e) usfall aufgrund einer absichtlichen Handlung eines Mitarbeiters. H Cloud-Computing-usfall ByteProtect: Baustein f) IT-Dienstleister sind namentlich zu benennen. usfall einer ausgelagerten IT-Dienstleistung (z. B. Cloud-Computing). Hohes Kumulrisiko für den Versicherer.

6 2 Datenlöschung/Datenverlust Neben der Datenlöschung ist auch die Änderung von Daten und Programmen bzw. die Störung der Datenintegrität zu berücksichtigen. Versichert sind jeweils die Kosten zur Wiederherstellung von Daten und Programmen und ggf. damit verbundene Mehrkosten. Hierzu kann auch die Wiederherstellung der eigenen Webseite gehören. Bei allen Versicherungsmöglichkeiten wird die regelmäßige Datensicherung vorausgesetzt. Ursache/Gefahr B Sachschaden Löschung eigener Daten aufgrund eines Sachschadens am Datenträger. Hackerangriff Löschung oder Veränderung eigener Daten aufgrund einer zielgerichteten Hacker-ttacke (z. B. auf eigene Webseite). Versicherungs möglichkeit Sachinhalts- bzw. Elektronikversicherung mit Daten- oder Softwareversicherung. Elektronikversicherung mit Softwareversicherung Vertrauensschadenversicherung bei vorsätzlicher Handlung (Wiederherstellungs- und Mehrkosten). ByteProtect: Baustein C b) C Bedienungsfehler und Manipulation Löschung oder Veränderung eigener Daten aufgrund eines Bedienungsfehlers oder einer Manipulation durch Mitarbeiter. Elektronikversicherung mit Softwareversicherung Manipulation ist durch eine Vertrauensschadenversicherung versicherbar, soweit es sich um Vermögensschäden handelt. D Schadsoftware ByteProtect: Baustein C a) Verlust eigener Daten aufgrund Schadsoftware (Malware). E Löschung fremder Daten Haftpflichtversicherung sofern eine gesetzliche Haftung vorliegt. ByteProtect: Baustein H nmerkungen Ohne vorausgehenden Sachschaden! Das Löschen von Daten wird dabei nicht als Sachschaden angesehen uf usschlüsse in den Versicherungsbedingungen achten! Ggf. strafrechtliche Relevanz!

7 3 Datenschutzverletzung sowie Verstoß gegen Urheber- und sonstige Schutzgesetze Bei Umgang mit personenbezogenen Daten können sich Verstöße gegen das Datenschutzgesetz ergeben, z. B. durch unbeabsichtigte Veröffentlichung von Kundendaten im Internet. Urheber- oder sonstige Schutzgesetze können beispielsweise bei der Gestaltung von Webseiten verletzt werden. Ursache/Gefahr B C D Unberechtigter Zugriff Zugriff Dritter auf Daten, die auf der EDV des Unternehmens oder bei einem IT-Dienstleister gespeichert sind (z. B. Hackerangriff). Diebstahl Verlust von Datenträgern durch Einbruch bzw. Diebstahl. Sonstiger Verlust Verlust von Datenträgern aus sonstigen Gründen, z. B. Verlieren eines Laptops. Ermittlungsverfahren wegen des Vorwurfs eines strafrechtlich relevanten Verstoßes gegen beispielsweise: Versicherungs möglichkeit ByteProtect: Baustein E a) Rechtsschutzversicherung ByteProtect: Baustein E b) Rechtsschutzversicherung ByteProtect: Baustein E c) Rechtsschutzversicherung Strafrechtsschutzversicherung nmerkungen Über ByteProtect sind über Baustein E Informations-, Beratungs- und Kreditüberwachungskosten versicherbar. 202a, 202b, 202c, 303a und 303b StGB (Hackerparagrafen) E Haftpflichtansprüche us den genannten Ereignissen/Schäden sich ergebende Haftpflichtansprüche Dritter. Haftpflichtversicherung ByteProtect: Baustein H Ggf. ist Deckung auf bestimmte Schutzgesetze eingeschränkt.

8 4 Cyber-Crime Kosten für Schäden durch Missbrauch und Manipulation Daten in Unternehmen können einen hohen Wert haben. Bei einem Diebstahl von entsprechenden Daten oder auch im Falle der illegalen Nutzung von Daten zum Zwecke der Bereicherung durch Mitarbeiter oder durch ngreifer von außen können dem Unternehmen entsprechende Schäden entstehen. Ursache/Gefahr Manipulation der Webseite (z. B. Webshops, ngebotstools etc.) durch Dritte über das Internet Versicherungs möglichkeit Vertrauensschadenversicherung, sofern unmittelbare Bereicherung erfolgte ByteProtect: Baustein F a) nmerkungen B C Manipulation des Online-Bankings bzw. von Online-Zahlungssystemen/nwendungsprogrammen durch Dritte über das Internet Betrug mit Hilfe von Phishing oder Pharming und Identitätsdiebstahl Vertrauensschadenversicherung, sofern unmittelbare Bereicherung erfolgte ByteProtect: Baustein F b) ByteProtect: Baustein F c) Rechtsschutzversicherung D E Diebstahl eigener Daten und Unterschlagung durch eigene Mitarbeiter ( Vertrauenspersonen ) Diebstahl fremder Daten auf eigenen Rechnern durch eigene Mitarbeiter Vertrauensschadenversicherung Der unmittelbare Schaden des Dritten ist durch Vertrauensschadenversicherung versicherbar. EDV-Servicepersonal wird mitversichert, auch wenn dieses nur online tätig wird. Entgangener Gewinn des Dritten ist nicht versicherbar, da dies keinen unmittelbaren Schaden darstellt!

9 5 Cyber-Spionage Daten und Informationen stellen für den wirtschaftlichen Erfolg von Unternehmen zunehmend einen entscheidenden Wettbewerbsvorteil dar. Entsprechend steigt das Interesse von Wettbewerbern, auf diese Daten auch über das Internet zuzugreifen. Schäden/Folgekosten Gewinnausfall aufgrund von Wirtschaftsspionage über das Internet Versicherungs möglichkeit Nicht versicherbar, da Kausalität und Höhe des Schadens nicht oder nur sehr eingeschränkt nachweisbar ist. B Rechtsverfolgungskosten Rechtsschutzversicherung C Forensik/Sachverständigenkosten ByteProtect: Baustein B c) nmerkungen

10 6 Schäden durch vom Unternehmen verbreiteter Schadsoftware (Viren, Trojaner etc.) Über manipulierte Internetseiten, Software, s oder auch über vom Unternehmen verteilte Datenträger (z. B. Werbegeschenke) kann das Unternehmen usgangspunkt für die Verbreitung von Viren, Trojanern etc. sein, die bei den Kunden entsprechende Schäden verursachen. Diese können durch das mögliche Kumul ggf. empfindliche Höhen erreichen. Hierbei ist in der Regel die Haftpflichtversicherung angesprochen. Schäden/Folgekosten Schäden Dritter durch Schadsoftware Kosten durch Datenverlust, usfall der IT, Sachschäden, Reinigungsaufwand Versicherungs möglichkeit Haftpflichtversicherung ByteProtect: Baustein H nmerkungen uf usschlüsse in den Versicherungsbedingungen achten! Ggf. bestehen Regressmöglichkeiten, wenn die Quelle der Schadsoftware bestimmt werden kann.

11 7 Erpressung Werden Zugangsdaten z. B. zu externen Datenspeichern (Cloud-Computing etc.) oder -ccounts gestohlen (z. B. durch sogenanntes Phishing ), kann dies zu einem Erpressungsversuch führen. Der Zugang wird erst nach Zahlung eines Lösegelds wieder freigegeben. Ebenso können Hacker die Veröffentlichung sensibler Daten androhen, was für das Unternehmen zumindest einen erheblichen Imageschaden darstellen würde. Ursache/Gefahr B Zugangssperre Betriebsunterbrechung durch Zugangsstörung/ usfall des -Verkehrs etc. Erpressung mit sensiblen Daten Forderung von Lösegeld mit der Drohung, sensible Daten zu veröffentlichen Versicherungs möglichkeit Betriebsunterbrechung: ByteProtect: Baustein d) Lösegeldzahlung und Kriesenmanagement: ByteProtect: Baustein G a) Lösegeldzahlung und Kriesenmanagement: ByteProtect: Baustein G b) nmerkungen

12 Hinweise zu (weiteren) relevanten Versicherungsmöglichkeiten: ByteProtect Sachverständigen-Kosten Kosten zur Rufwiederherstellung und Krisenmanagement Strafrechtsschutzversicherung Haftpflichtversicherung D & O Versicherung Im Rahmen von ByteProtect können Kosten für Sachverständige zur Schadenermittlung und Beratungskosten zur Schadenabwehr und -minderung über Baustein B umfassend mitversichert werden. Hier besteht auch anteilig eine Kostenübernahme, wenn sich im Rahmen der Sachverständigenuntersuchung herausstellt, dass kein versicherter Schaden vorliegt. uch Kosten für externe Beratung zum optimalen Verhalten im Schadenfall und zur bwicklung der Krise wie z. B. Erstellung von Pressemitteilungen, Beauftragung eines Call-Centers oder Schaltung von zusätzlichen Werbeanzeigen können über Baustein D versichert werden. ByteProtect ersetzt nicht eine umfassende Rechtsschutzversicherung. Insbesondere für die Kosten zur aktiven Rechtsverfolgung empfiehlt sich der bschluss einer entsprechenden Versicherung. Da Datenschutzverletzungen auch strafrechtlich relevant sind, sollte eine Strafrechtsschutzversicherung ergänzend abgeschlossen werden. Im Rahmen der Betriebs- oder Berufshaftpflichtversicherung sind oft bereits Risiken wie Schäden Dritter durch Datenschutzverletzungen oder Verbreitung von Schadsoftware mitversichert, allerdings teilweise mit Einschränkungen (z. B. usschluss bestimmter Schutzgesetze, reduzierte Versicherungssumme). Informationssicherheit ist nicht zuletzt Element der ordentlichen Geschäftsführung und Risikovorsorge durch die Unternehmensleitung. Bei Verstößen und daraus folgender Schäden kann daher auch eine D & O Versicherung tangiert sein.

13 ByteProtect Übersicht der Bausteine Baustein Ertragsausfall Baustein D Rufschädigung und Krisenmanagement a) usfall Telekommunukation/Internet/Webseite a) Betriebsunterbrechung gemäß Baustein b) Bedienungsfehler b) ngriff ohne dass es zur Betriebsunterbrechung gekommen ist c) DoS-ttacke c) Datenschutzverletzung d) Hackerangriff d) Wirtschaftsspionage e) Manipulation durch eigene Mitarbeiter e) Erpressung f) usfall der IT-Dienstleistung f) Identitätsdiebstahl Baustein B Sachverständigenkosten / Forensik Baustein E Datenschutzverletzung a) Betriebsunterbrechung gemäß Baustein a) Zugriff Dritter b) DoS-ttacke ohne dass es zur Betriebsunterbrechung gekommen ist b) Einbruch/Diebstahl c) Wirtschaftsspionage c) Sonstiger Verlust d) Schadprogramme Baustein F Internet-Betrug (Cyber-Crime) e) Manipulation durch eigene Mitarbeiter a) Webseiten-Manipulation f) Datenschutzverletzung b) Manipulation Onlinebanking u. Ä. g) Manipulation durch Dritte (z. B. Hacker) c) Phishing/Pharming/Identitätsdiebstahl Baustein C Wiederherstellung von Daten und Programmen Baustein G Erpressung a) Schadprogramme a) Zugangssperrung b) Hackerangriff b) Zugriff auf geschützte Daten Baustein H Cyber-Liability-Haftpflicht (8.14)