Lernen Sie die Cyberversicherung kennen

- Was ist eine Cyberversicherung und welche Risiken deckt sie ab?
- Wer sollte über eine Cyberversicherung nachdenken?
- Was kostet eine Cyberversicherung?
- Gibt es Grundvoraussetzungen, Leistungen zu erhalten?
- Wo liegen die Grenzen einer Cyberversicherung - und welche Zusatzbausteine gibt es?
- Welche präventiven Maßnahmen gibt es?
- Was ist im Schadensfall zu tun?

---

Was ist eine Cyberversicherung und welche Risiken deckt sie ab? 

Cyberkriminalität in Deutschland steigt. Umso wichtiger ist es für Unternehmen, sich optimal abzusichern.  

Mit einer Cyberversicherung können Betriebe sich und ihre Mitarbeitenden gegen Vermögensschäden schützen, die durch Cyberangriffe entstehen. Konkret übernimmt die Versicherung Schadenskosten aus Fremd- und Eigenschäden durch Cyberkriminalität und bietet präventive Hilfsmaßnahmen an. 

Die meisten Versicherer bieten Cyberversicherungen nach unterschiedlichen Baukastensystemen an, sodass Unternehmen den Schutz an ihre individuellen Bedürfnisse anpassen können. Versicherbar sind daher beispielsweise folgende Fälle und Szenarien: 

---

Wer sollte über eine Cyberversicherung nachdenken? 

Eine Cyberversicherung lohnt sich für jedes Unternehmen, das Computer- und IT-Systeme nutzt und Daten jeglicher Art speichert. Für nahezu jedes Unternehmen, unabhängig von seiner Größe, ist eine Cyberversicherung also sinnvoll.
 

Zwar ist eine solche Versicherung kein Ersatz für ein starkes IT-Sicherheitssystem und sensibilisierte Mitarbeiter, allerdings hilft sie im Falle von Cyberattacken dabei, zügig kompetente Hilfe und Unterstützung zu bekommen.  
 
Ein weiteres Plus: Viele Versicherer bieten präventive Maßnahmen an – diese reichen von Beratung und Krisenplänen bis hin zu finanzieller Unterstützung bei Sicherheitsverbesserungen. Denn analog zu den eigenen technischen Systemen entwickeln sich auch die Möglichkeiten von Cyberkriminellen schnell weiter.  
Im Bereich Cyberkriminalität ist daher Vorsicht besser als Nachsicht. 

---

Was kostet eine Cyberversicherung? 

Je nach Tarif und Versicherer unterscheiden sich die Kosten für eine Cyberversicherung. Dennoch gibt es über verschiedene Tarife hinweg einige Konstanten, etwa die Selbstbeteiligung, die Versicherungssumme (VSU), den Versicherungsumfang und die Vertragslaufzeit.  
Je nach Kundensituation ist die Versicherungssumme unterschiedlich hoch anzusetzen: Unternehmen, die etwa mit sensiblen Kundendaten umgehen, sollten eine höhere Versicherungssumme wählen als Unternehmen, die keine sensiblen Daten verarbeiten.  
Weitere Anhaltspunkte, um die Höhe der Versicherungssumme zu bestimmen, sind zudem die Kosten für die Wiederherstellung der IT-Systeme, die Anzahl der gespeicherten Kundendaten, die Menge an sensiblen und nicht-sensiblen Daten oder auch die Anzahl der gespeicherten Bankkarten/Kreditkartendaten. 
 
Einer Untersuchung von Markel zufolge können folgende Versicherungssummen eine Tendenz geben, welche Höhe festgesetzt werden kann: 

• Unternehmen bis zu 1 Mio. Euro Umsatz: VSU i. H. v. von rund 100.000€ 
• Unternehmen von 1 Mio. bis 2,5 Mio. Euro Umsatz: VSU i. H. v. rund 250.000€ 
• Unternehmen von 2,5 Mio. bis 10 Mio. Euro: VSU i. H. v. von rund 1.000.000€ 

---

Gibt es Grundvoraussetzungen, Leistungen zu erhalten? 

Jeder Versicherer definiert unterschiedliche Mindestvoraussetzungen, die ein Versicherungsnehmer zu erfüllen hat. Je nach Tarif und Konzept können diese Voraussetzungen demzufolge verschieden sein.  
Einige Versicherer verlangen beispielsweise, dass Unternehmen wöchentlich eine umfassende Datensicherung durchführen. Zudem soll dieses Backup physisch getrennt von den Originaldaten aufbewahrt werden.  
Eine andere Anforderung: Das Unternehmen muss Software verwenden, die mit regelmäßigen Updates von den Herstellern versorgt wird. Das bedeutet im Umkehrschluss: Risiken, die zustande kommen, weil die Software veraltet ist und daher Sicherheitslücken aufweist, sind im Schadensfall nicht versichert.  
Weitere Anforderungen sind: 

• Einsatz von Virenschutzmaßnahmen 
• Einsatz von Firewalls und VPN-Zugängen 
• Sicherungsmaßnahmen bei WLAN 
• Verschlüsselter Datenversand 
• Passwortgeschützte Zugänge für alle Nutzer sowie ggf. spezifische Komplexitätsgrade und turnusmäßige Wechsel von Passwörtern 
• Schutz vor Schadsoftware 
• Regelmäßige Sicherheitsupdates 
• Einhaltung von gesetzlichen, behördlichen sowie vertraglichen Sicherheitsvorschriften 
• PCI-Standards 
• Verwendung von vom Hersteller unterstützten Programme 

---

Wo liegen die Grenzen einer Cyberversicherung - und welche Zusatzbausteine gibt es? 

Die meisten Tarife arbeiten mit einem Baukastensystem. Es ist also möglich, entweder gewisse Risiken bewusst nicht abzusichern, oder einen All-in-One-Ansatz zu wählen.  
Dennoch gibt es – wie bei jeder anderen Versicherung auch – gewisse Ausschlüsse. Dazu gehören: 

• Infrastrukturstörungen (z. B. bei der Strom-, Wasser-, oder Internetversorgung.) 
• Erfüllungsansprüche 
• Kriegsereignisse, Generalstreik, Kernenergie 
• Terror 
• Glücksspiel, Online-Gaming und Gambling 
• Vertragsstrafen 
• Paten- und Kartellrechtsverletzungen 
• Hoheitliche Eingriffe 
• Bereits eingetretene Versicherungsfälle 
• Höhere Gewalt 
• Rückrufkosten 
• Illegale Software 
• Verlust von Geld in virtuellen Währungen wie Bitcoins, Ethereum, etc. 

Gleichzeitig gibt es verschiedene Zusatzbausteine, deren Ergänzung durchaus sinnvoll sein kann. Denn eine Cyberversicherung deckt lediglich die grundlegenden Fremd- und Eigenschäden, die aus Cyberkriminalität resultieren, ab. 

---

Welche präventiven Maßnahmen gibt es?

Was aus den Sach- und Haftpflichtsparten bereits bekannt, gilt auch bei Cyberversicherungen: Vorsorge ist wichtig. Deshalb haben viele Unternehmen umfangreiche Konzepte entwickelt, um Cyberrisiken vorzubeugen.  
Auch Versicherer unterstützen bei präventiven Maßnahmen, sodass Unternehmen ein breites Portfolio an präventiven Abwehrmechanismen zur Verfügung steht.  
Dieses wird getragen von drei Säulen: der IT-Sicherheit, dem passenden Mindset und der Krisenvorbereitung. 

• IT-Sicherheit: Unternehmen sind gut beraten, wenn sie ein ganzheitlich gedachtes Sicherheitskonzept entwickeln.  
  Dieses sollte Back-ups, Firewalls und Viren- bzw. Spam Scanner oder auch sich verändernde Passwörter und Monitoring- und Alarmsysteme enthalten. Dabei sollten auch branchenübliche Risiken bedacht werden.  
  Hilfreich sind zudem regelmäßige Tests zu Datenschutz und Cybersicherheit sowie diverse Checklisten. Wichtig ist zudem, bestehende Konzepte kontinuierlich zu überprüfen. 

• Mindset: Zentral ist es, die Mitarbeitenden für Cyberrisiken zu sensibilisieren. Dies gelingt vor allem mit Schulungen und Trainings, etwa zur Passwortvergabe (z. B. via Passwortgenerator oder Zwei-Faktor-Authentifizierung), zu Social Engineering oder Phishing oder generell zum Thema IT-Sicherheit. Auch konkrete Handlungsempfehlungen können helfen. 

• Krisenvorbereitung: Zur Vorbereitung des Schadensfalles sind auch Krisenpläne sinnvoll. Sie definieren unter anderem, in welchen Fällen welche Schritte einzuleiten und welche Personen und Stellen zu informieren sind. Auch hier ist eine regelmäßige Überprüfung der Pläne zu empfehlen. 

---

Was ist im Schadensfall zu tun? 

Bei Cyberversicherungen gibt es abweichend zu den üblichen Versicherungsfällen einige Besonderheiten. Beispielsweise leisten viele Versicherer bereits bei vermuteten Schadensfällen.  
Vor dem Hintergrund, dass Schadensfälle in diesem Bereich oftmals nicht offensichtlich sind, ist dies für viele Unternehmen besonders wichtig.  
Dennoch: Bevor der Fall von der Versicherung bearbeitet wird, müssen Unternehmen einige vorgelagerte Schritte unternehmen: 

• Im Moment des Angriffs: Die Netzwerkverbindung des infizierten Rechners ist unverzüglich zu trennen und das betroffene Gerät umgehend auszuschalten.  
  Die Back-ups sind, sofern nicht bereits erledigt, zu isolieren. Daten, die Auskunft über die Attacke geben, sollten gesichert werden. Zudem ist es ratsam alle Nutzer- und Netzwerkpasswörter sofort zu ändern. 

• Unmittelbar nach dem Angriff: Die erste Notfall- und Krisenunterstützung leisten i.d.R. nicht die Versicherer, sondern spezialisierte IT-Dienstleister.  
  Der erste Schritt sollte daher immer sein, die Notfall-Hotline zu kontaktieren. Dort bekommen Unternehmen eine erste Einschätzung zur Lage sowie konkreten Support.  
  Parallel dazu kann es sinnvoll sein, IT-Forensiker, Rechtsanwälte oder PR-Sachverständige einzuschalten. Außerdem gilt: Anzeige bei der Polizei erstatten. 
• Nach einem Angriff: Nachdem Unternehmen Opfer eines Cyberangriffs geworden sind, sollten sie unbedingt in ihre IT-Sicherheit investieren.  
  Denn: So kann im Idealfall eine zweite Attacke verhindert werden.

---

Wenden Sie sich alternativ gerne an die auf Ihrem Dashboard angegebenen Ansprechpartner oder an unsere Experten: Nutzen Sie dafür den Hilfebereich unten rechts oder schreiben Sie uns eine Mail an support(at)thinksurance.de.