Cybersicherheit: Ohne Prävention kein Schutz

In Kürze Möchte ein Unternehmen eine Cyberversicherung abschließen, muss es verschiedenste Mindestvoraussetzungen an die IT-Sicherheit erfüllen. Welche das sind, ist unter anderem von der Größe des Betriebs abhängig. Um überhaupt eine Cyberversicherung abschließen zu können, verlangen Versicherer von Unternehmen, dass sie schon vorher bestimmte Voraussetzungen an die IT-Sicherheit erfüllen. Welche Maßnahmen das sind, "das lässt sich pauschal nicht sagen", erklärt Andreas Chilla, Leiter Komposit SVG bei der R+V-Versicherung. "Das ist unter anderem abhängig von der Größe des Unternehmens, von dem gewünschten Umfang der Versicherung sowie von der Deckungssumme." Je größer das Unternehmen, desto höher sind die Anforderungen an die Mindestvoraussetzungen, die es erfüllen muss, um eine Cyberversicherung abzuschließen. Dementsprechend können die Anforderungen von vier Fragen als Basis bis zu einem Fragenkatalog von bis zu mehreren zehn Fragen reichen. Auch gebe es keinen einheitlichen Fragebogen der Branche. "Jeder Versicherer hat da aus seinem Erfahrungsschatz unterschiedliche Herangehensweisen entwickelt." Es gebe aber gewisse Standardvoraussetzungen, die im Unternehmen als eine Art Basisschutz vorhanden sein sollten: Dazu zählen eine Virensoftware und eine Firewall mit automatischer Aktualisierung. Außerdem gehören klar definierte Zugangsrechte dazu und ein System, das für jeden Nutzer individuelle und sichere Passwörter voraussetzt. "Nur die IT-Administration sollte auch Administratorenrechte haben." Ebenfalls ein Punkt: regelmäßige Updates und ein Lizenzmanagement der vorhandenen Software. Die vierte Voraussetzung: ein regelmäßiges Backup. "Wir verlangen eine wöchentliche Datensicherung, einschließlich Software. Dabei muss das Backup räumlich und technisch von der IT getrennt sein." Keine Karenzzeit für Basispflichten Eine räumliche Trennung könne auch durch einen externen Dienstleister oder eine Cloud-Lösung geschehen. So gehen Daten etwa im Falle eines Brandes nicht verloren. Eine technische Trennung bedeutet, den Datenträger nach der Datensicherung wieder vom Rechner oder System zu trennen und nicht angeschlossen zu lassen. "Außerdem sollte regelmäßig eine Prüfung dieses Back-ups durchgeführt werden", erklärt Chilla. "Und zwar unter den Aspekten, ob die auf dem Träger vorhandenen Daten noch in Ordnung sind und auch den Standards entsprechen." Diese vier Pflichten setzt der Versicherer bei kleineren Unternehmen und niedrigerem Deckungsumfang als Basis voraus. "Sie sollten schon vorhanden sein, damit Sie überhaupt eine Cyberversicherung abschließen können." Wenn es dagegen um bestimmte weitergehende Maßnahmen gehe, um die Software zu ertüchtigen - wenn etwa in größeren Unternehmen eine zweite Back-up-Schleife erforderlich sei oder die Zugriffsrechte komplett neu aufgestellt werden müssten - gebe es verschiedene Möglichkeiten für einen Aufschub. Oder wenn ein IT-Notfallplan eine Voraussetzung ist. Auflagen müssen stets erfüllt werden "Wir können dann zum Beispiel vereinbaren, nur einen Teil-Versicherungsschutz zu geben, bis die erforderlichen Maßnahmen umgesetzt sind. Oder wir können mit gewissen Selbstbeteiligungen arbeiten. Das entscheiden wir immer individuell in Abstimmung mit unserem Kunden. Hier sollte man als Unternehmen das Gespräch mit seinem Versicherer suchen." Auch der Gesamtverband der Deutschen Versicherungswirtschaft (GDV) schlägt in seinen Muster-AGB für Cyberversicherungen die vier Bereiche als Basis-Obliegenheiten, also Basis-Pflichten für Versicherungsnehmer vor. Je nach Risikokategorie, in die ein Unternehmen fällt, kommen weitere Maßnahmen dazu, die zu erfüllen sind. Der Verband bietet auf seiner Webseite zudem einen Online-Fragebogen, mit dem Unternehmen den Stand ihrer Cybersicherheit in einem ersten Schritt einschätzen können. Zusätzlich gibt das Onlinetool Empfehlungen. Um ein Gefühl dafür zu entwickeln, welche Maßnahmen man einhalten sollte, um die IT vor Cyberangriffen zu schützen, rät Chilla kleineren Unternehmen, sich die Richtlinien der VDS 1000er Serie analog der ISO 27000er Serie anzuschauen. Auch die Industrie- und Handelskammern können erste Orientierung und Beratung zum Thema IT-Sicherheit bieten. Der Maßnahmenkatalog zum Notfallmanagement von IT-Notfällen auf den Seiten der Allianz für Cybersicherheit kann ebenso helfen, obwohl dieser etwas komplexer ist. Und die R+V sowie die Kravag bieten in Kooperation mit der SVG über den SVG Cyberpakt Beratungsdienstleistung zum Thema an. Ob sich ein Betrieb zusätzlich zu den Vorgaben mit weiteren Maßnahmen besser vor einem Cyberangriff schützen möchte, liege immer im Ermessen des Unternehmers, so Chilla. Informationen zu möglichen Kosten könnten sie unter anderem auch über den Cyberpakt erhalten. Wichtig beim Thema Versicherung: "Die Mindestvoraussetzungen, die wir individuell mit unseren Kunden vereinbaren, muss der Versicherungsnehmer dauerhaft erfüllen." Das sei wie bei einer Gebäudeversicherung. "Wenn Sie da die Auflage haben, ein Brandschutzkonzept zu implementieren, dann ist es Ihre Pflicht, dieses immer aufrecht zu erhalten." Hält sich der Betrieb nicht daran, begeht er eine Obliegenheitsverletzung. "Das kann dazu führen, dass der Versicherer seine Leistung im Schadenfall quoteln kann." Der Schadenanteil, der dann gegebenenfalls noch übernommen wird, ist abhängig von der Schwere der Obliegenheitsverletzung und wird individuell ermittelt. Hohe Kosten im Schadenfall möglich Dabei betont Chilla, dass eine Cyberversicherung immer sinnvoll sei. "Sie deckt unter anderem die sehr hohen Kosten ab, die im Schadenfall entstehen." Außerdem seien bei der R+V verschiedene Services enthalten, etwa Cyber-Forensiker, die die Daten wiederherstellen. "Eine Stunde für einen Cyber-Forensiker kann schon mal 300 bis 400 Euro kosten. Nicht zu vergessen ist der Zeitraum der Betriebsunterbrechung, in dem die Unternehmen keine Aufträge bearbeiten können." Wenn für zwei Wochen die IT stillstehe, keine unübliche Zeit, könne man sich ja ausrechnen, wie hoch dieser Faktor allein ist.

Duisport bekommt Großröntgenanlage für beladene Lkw

250 Mitglieder bei ASTRE-Jahreskongress

HHLA beteiligt sich an Intermodal-Anbieter Roland Spedition

Krone Trusted: Ersatzteile jetzt auch für Trucks

Verhaltener Jahresauftakt für Kühne + Nagel

Alle Schlagzeilen

Cybersicherheit: Ohne Prävention kein Schutz

WEITERLESEN

NEWSLETTER