Eine Cyberversicherung gehört für viele Unternehmen inzwischen zum Risikomanagement. Sie kann finanzielle Schäden abfedern, Experten für die Bewältigung eines Angriffs bereitstellen und bei einer längeren Betriebsunterbrechung unterstützen.
Doch der Abschluss der Versicherung allein genügt nicht.
In den Versicherungsbedingungen stehen häufig konkrete Anforderungen an die IT-Sicherheit. Werden diese sogenannten Obliegenheiten nicht eingehalten, kann der Versicherungsschutz im Ernstfall gefährdet sein.
Die entscheidende Frage lautet deshalb nicht nur: „Haben wir eine Cyberversicherung?“ Sondern: „Erfüllen und dokumentieren wir alle Voraussetzungen, die unser Versicherer von uns verlangt?“
Ein Cyberangriff kann den gesamten Geschäftsbetrieb beeinträchtigen: Systeme fallen aus, Mitarbeitende können nicht arbeiten, Daten müssen wiederhergestellt und betroffene Kunden informiert werden.
Eine Cyberversicherung kann – abhängig vom jeweiligen Vertrag – unter anderem folgende Leistungen abdecken:
Sie ist damit ein wichtiger Bestandteil der Absicherung. Gleichzeitig weisen Versicherer darauf hin, dass ein Mindestmaß an IT-Sicherheit vorhanden sein muss. Eine Cyberversicherung ersetzt also kein Sicherheitskonzept, sondern ergänzt es.
Viele Unternehmen beschäftigen sich beim Abschluss vor allem mit Versicherungssumme, Selbstbeteiligung und Beitrag. Weniger Aufmerksamkeit erhalten häufig die technischen und organisatorischen Pflichten im Kleingedruckten.
Dabei können diese sehr konkret formuliert sein. In Versicherungsbedingungen finden sich beispielsweise Vorgaben zu:
Auch der unverbindliche Risikofragebogen des Gesamtverbands der Deutschen Versicherungswirtschaft fragt unter anderem nach zeitnahen Sicherheitsupdates, zentralem Patchmanagement, getrennten Backups, Wiederherstellungstests und regelmäßigen Schulungen. Welche Anforderungen tatsächlich gelten, bestimmt jedoch immer der individuelle Versicherungsvertrag.
In einem uns vorliegenden Vertrag wird beispielsweise nicht nur allgemein eine Datensicherung gefordert.
Die Bedingungen verlangen unter anderem:
Ein Backup, dessen Wiederherstellung nie getestet wurde, vermittelt möglicherweise Sicherheit, ohne im Notfall zuverlässig zu funktionieren. Auch das BSI empfiehlt getrennte Sicherungen und regelmäßige Praxistests der Wiederherstellung.
Die Versicherungsbedingungen unterscheiden sich. In der Praxis begegnen uns jedoch immer wieder ähnliche Lücken.
1. Kein zentrales Update-Management: Updates hängen davon ab, dass einzelne Mitarbeitende Meldungen beachten und ihren Rechner rechtzeitig neu starten. Ob alle Geräte aktuell sind, kann niemand zuverlässig beantworten.
2. Backups werden erstellt, aber nicht überwacht: Eine Sicherung wurde irgendwann eingerichtet. Es gibt jedoch keine laufende Kontrolle, ob sie vollständig und fehlerfrei durchgeführt wird.
3. Wiederherstellungen werden nicht getestet: Das Unternehmen verfügt über Backups, weiß aber nicht, wie lange eine Wiederherstellung dauert oder ob alle geschäftskritischen Systeme daraus wieder aufgebaut werden können.
4. Mehr-Faktor-Authentifizierung fehlt: Insbesondere E-Mail-Konten, Microsoft 365, administrative Zugänge und externe Zugriffe sind nur mit einem Passwort geschützt.
5. Virenschutz und Firewall werden nicht aktiv betreut: Schutzlösungen sind vorhanden, aber Warnmeldungen, Gerätestatus und sicherheitsrelevante Ereignisse werden nicht zentral überwacht.
6. Mitarbeitende werden nicht regelmäßig geschult: Es gibt keine wiederkehrenden Security-Awareness-Trainings oder dokumentierten Phishing-Simulationen.
7. Der Microsoft-365-Tenant wurde nie grundlegend geprüft: Microsoft 365 ist eingerichtet und wird täglich genutzt. Sicherheitsrichtlinien, Administratorrechte, externe Freigaben und Anmeldeverfahren wurden jedoch nicht systematisch überprüft.
8. Ein dokumentierter Notfallplan fehlt: Im Ernstfall ist unklar, wer entscheidet, welche Systeme zuerst wiederhergestellt werden und wie Versicherer, IT-Dienstleister oder Behörden erreicht werden.
Ein fehlendes Update oder eine einzelne technische Lücke bedeutet nicht automatisch, dass der Versicherer nicht zahlt.
Entscheidend sind unter anderem:
Nach § 28 des Versicherungsvertragsgesetzes kann eine vorsätzliche Verletzung einer vertraglichen Obliegenheit zur Leistungsfreiheit führen. Bei grober Fahrlässigkeit kann der Versicherer seine Leistung entsprechend der Schwere des Verschuldens kürzen. Die Leistungspflicht kann unter bestimmten Voraussetzungen bestehen bleiben, wenn die Pflichtverletzung nicht ursächlich für den Versicherungsfall oder den Umfang der Leistung war.
Das bedeutet für Entscheider: Die Anforderungen sollten nicht erst nach einem Angriff geprüft werden.
Die technische Absicherung eines Unternehmens entwickelt sich ständig weiter. Neue Mitarbeitende kommen hinzu, Gesetze werden geändert, Geräte werden ersetzt, Cloud-Dienste eingeführt und Berechtigungen verändert.
Auch eine Maßnahme, die beim Abschluss der Cyberversicherung vorhanden war, muss deshalb nicht automatisch dauerhaft korrekt umgesetzt sein.
Für die Geschäftsführung empfiehlt sich ein klarer Prozess:
So wird aus einer Versicherungspolice ein tatsächlich belastbares Sicherheitskonzept.
Sie haben bereits eine Cyberversicherung, wissen aber nicht genau, welche Anforderungen Ihr Unternehmen erfüllen muss?
Senden Sie Ihre Versicherungsbedingungen einfach an vertrieb@vectano.de.
Wir prüfen kostenfrei und unverbindlich:
Sie erhalten eine verständliche Ersteinschätzung, mit der Geschäftsführung und IT gezielt entscheiden können, wo Handlungsbedarf besteht.
Jetzt Cyberversicherung kostenfrei prüfen lassen
Hinweis: Die Prüfung durch vectano ist eine technische Ersteinschätzung und keine rechtliche oder versicherungsrechtliche Beratung.