Cyberschutz für Logistiker: Wo Deckungslücken drohen

Wenn Cyberkriminelle sich in die Systeme hacken, können sie durchaus verschiedene Ziele haben. Neben einem Ransomware-Angriff, bei dem Daten verschlüsselt werden und ein Erpressungsversuch startet, können auch Datendiebstahl, Spionage, Nutzung von Zugangsdaten oder von Dokumenten etwa für Betrügereien dazuzählen. Es kann auch zu einem Phishing-Versuch per Mail kommen, um Zugangsdaten zu erbeuten oder Trojaner einzuschleusen. Doch nicht alles, was auf den ersten Blick für den Laien nach einem Cybervorfall aussieht, ist auch ein Fall für die eigene Cyberversicherung - wenn man sie denn abgeschlossen hat. "Unsere Cyberversicherung greift bei einer Informationssicherheitsverletzung. Das bedeutet, dass die Verfügbarkeit, Integrität oder Vertraulichkeit elektronischer Daten beeinträchtigt wurde", erklärt Tuna Üzen, Underwriter im Bereich Cyber der R+V-Versicherung. Also etwa, wenn das Unternehmen nach einem Cybervorfall nicht mehr auf seine elektronischen Daten zugreifen kann oder diese verändert oder personenbezogene Informationen ausgespäht wurden. Das bestätigt auch Ben Schmidt, Leiter von Ecclesia Cyber, einer Spezialeinheit der Ecclesia Gruppe, zu der auch die Schunck Group gehört. "Eine Cyberversicherung deckt schwerpunktmäßig die Folgen eines Angriffs beziehungsweise einer Beeinträchtigung der IT-Systeme." Was versichert ist… Versichert sind typischerweise Eigenschäden etwa durch Betriebsunterbrechungen und die Datenwiederherstellung, erklären die Experten. Auch Drittschäden in Form von Schadensersatzforderungen nach Datenschutzverletzungen gehören dazu, ebenso wie Unterstützungsleistungen beispielsweise für IT-Forensik, Krisenkommunikation, Rechtsberatung sowie für Verhandlungen im Falle einer Cybererpressung. Menschliche Fehler - der Klick auf einen Link in einer Phishingmail mit daraus resultierendem Datenleck - sind mitversichert, wie beide Experten betonen. "Die Cyberversicherung kommt auch für Schäden auf, die Mitarbeitende verursachen, wenn sie elektronische Daten fahrlässig an einen falschen Empfänger senden und dadurch die Vertraulichkeit der Daten verletzen", hebt Üzen einen weiteren Aspekt hervor. "Letztlich prüfen wir aber natürlich immer im Einzelfall." "Moderne Cyberversicherungen beinhalten zum Beispiel auch Deckungsbausteine, wenn ein IT-Dienstleister etwas falsch konfiguriert und durch diesen technischen Fehler das Unternehmen nicht mehr arbeiten kann", ergänzt Schmidt noch einen Punkt. … und was nicht Nicht abgedeckt von einer solchen Versicherung sei dagegen beispielsweise ein Hardwaredefekt ohne Cyberereignis. "Eine Cyberversicherung ist keine Allgefahrenversicherung. Der Schaden muss einen Bezug zu einer IT-Sicherheitsverletzung haben." Auch wenn als Folge aus einem Cyberangriff Sachschäden entstehen, etwa eine Maschine kaputt geht, dann ist dies kein klassischer Cyberschaden. "Hier muss man sich den Fall genau anschauen - weshalb ist das wie passiert? Das ist nicht immer ganz einfach abzugrenzen, da wir in einer mittlerweile vollständig vernetzten Welt leben." Lücken: Rechtsschutz und D&O Gleiches gilt für arbeitsrechtliche oder vertragsrechtliche Streitigkeiten. "Der Rechtsberatungsraum, den eine Cyberversicherung für Datenschutz und DSGVO abdeckt, erstreckt sich nicht wie eine volle Rechtsschutzversicherung über alle Aspekte." Schmidt nennt als Beispiel betriebsbedingte Kündigungen aufgrund einer Betriebsunterbrechung durch einen Cybervorfall und der damit einhergehenden finanziellen Probleme. "In der Cyberversicherung ist auch keine vollumfängliche Versicherung von D&O-Themen enthalten. Wer hier als leitendes Organ in einem Geschäft wirkliche Haftungsrisiken hat, sollte die Notwendigkeit einer separaten D&O-Versicherung prüfen und diese gegebenenfalls zusätzlich abschließen", ergänzt Üzen einen weiteren Aspekt. Mit einer D&O-Versicherung (Directors & Officers) können sich Geschäftsführer absichern. Und zwar hilft sie ihnen, damit sie im Falle von Haftungsansprüchen aufgrund bestimmter Fehlentscheidungen, durch die es zu einer Schadensersatzforderung kommt, nicht ihr Privatvermögen verlieren. "Wenn ein Schaden entsteht, der nur oder nur zum Teil über eine Cyberversicherung abgedeckt wird, sind Aufsichtsräte oder Gesellschafter schon aus Gründen des Bilanzschutzes verpflichtet, zu prüfen, ob sich ein D&O-Anspruch ergeben kann", so Stephanie Schuckließ, Leiterin Competence Center Financial Lines der Schunck Group. Dies könne der Fall sein, wenn der verantwortliche Geschäftsführer nicht oder nicht ausreichend für Sicherheitsmaßnahmen gesorgt hat. Achtung auch bei Betrug Besonders wichtig im Zusammenhang mit Cybervorfällen, und da sind sich alle drei Experten einig, kann die sogenannte Vertrauensschadenversicherung (VSV) sein. Denn es gibt bestimmte Grenzfälle, bei denen keine Informationssicherheitsverletzung auf den eigenen Systemen stattgefunden hat. Damit wäre die eigene Cyberversicherung im Schadenfall nicht zuständig. Die Vertrauensschadenversicherung greift bei Betrug, Wirtschaftsstraftaten, Unterschlagung durch einen Mitarbeiter, bei Geheimnisverrat und - abhängig von der konkreten Deckung - bei bestimmten Betrugshandlungen durch Dritte. Sie kann auch Klauseln für Hacker- und Phishing-Schäden enthalten, wie Schuckließ ausführt. Sie sei aber keine Cyberversicherung, die Wirtschaftsstraftat stehe im Vordergrund. Komplexe Grenzfälle "Der Mitarbeiterdiebstahl ist eher ein Thema für die VSV. Aber wenn dieser auf dem technischen Wege passiert, dann muss man von der Cyberseite prüfen, ob auch eine Informationssicherheitsverletzung vorliegt", ergänzt Üzen ein Beispiel für Herausforderungen bei der Abgrenzung zwischen beiden Versicherungen. Ein Beispiel für einen Fall, der nicht unter die Cyberversicherung fällt, aber von der VSV gedeckt wird, ist der sogenannte Fake-President oder CEO-Fraud ohne IT-Sicherheitsverletzung, erklären Schuckließ und Üzen: Ein scheinbarer Anruf vom Chef, der um Überweisung eines Betrags x bittet - in Wirklichkeit ruft aber ein Betrüger an, das Geld landet auf einem Offshore-Konto und ist weg. Woher kam die Fake-Rechnung? Üzen nennt einen Fall, bei dem entweder die VSV oder die Cyberversicherung greifen kann: der sogenannte "Business-E-Mail-Compromise". Hier verschicken Betrüger manipulierte Rechnungen im Mailanhang. Das Unternehmen zahlt die Rechnung, der Lieferant mahnt später: Keine Zahlung erhalten. "Hier kommt es im Schadenfall darauf an, wo genau die Kompromittierung der Mail stattgefunden hat." Ist die Veränderung auf den IT-Systemen des Versicherungsnehmers geschehen, decke die Cyberversicherung dies ab. Hat sie aber beim Lieferanten stattgefunden oder ist auf dem Weg abgefangen und verändert worden, müsse die VSV prüfen. "Bei solchen Rechnungen geht es oft um viel Geld. Man sollte sich daher für beide Fälle absichern und am besten eine vollumfängliche Cyberversicherung mit einer Vertrauensschadenversicherung haben", rät der R+V-Experte. So biete der Versicherer mit der Wirtschaftsschutzpolice ein Kombi-Produkt. Für Logistikunternehmen mit bis zu 25 Millionen Euro Jahresnettoumsatz ließen sich zudem innerhalb der Kravag-Logistik-Police des Tochterunternehmens Kravag eine VSV und eine Cyberversicherung ergänzen. Phantome und Hacker Kommt es zu einem Vorfall mit einem Phantomfrachtführer, ist das laut den drei Experten hauptsächlich ein Fall für die Verkehrshaftungsversicherung oder gegebenenfalls für Transportversicherungen. Haben Hacker von dem Unternehmen Zugangsdaten zu einer Frachtenbörse erbeutet und nutzen das Konto des Betriebs, um als Phantomfrachtführer Ware zu stehlen, dann kommt es auf den Einzelfall an, was gilt. Hat die Kompromittierung auf dem IT-System des Versicherungsnehmers stattgefunden, kann auch die Cyberversicherung mitgreifen. Das gilt zum Beispiel im Zusammenhang mit Benachrichtigungspflichten bei einem Datenabfluss, Krisenkommunikation und Ähnlichem. Risikofaktoren von Unternehmen Aber wann macht ein Abschluss beider Versicherungen grundsätzlich Sinn? "Cyber und VSV gleichermaßen sind sicher interessant für Unternehmen mit komplexen Zahlungsströmen, die mit vielen externen Partnern zusammenarbeiten, viele Mitarbeiter mit Systemzugriffen haben. In der Cyberversicherung stark ins Gewicht fällt sicher auch der Digitalisierungsgrad", antwortet Schuckließ. "Für die VSV spielt eine Rolle, wenn es sehr diversifizierte Standorte oder globale Tochterunternehmen gibt oder sich das Unternehmen in einer Restrukturierungs- oder Umbruchphase befindet. Solche Phasen nutzen Betrüger gern aus." Individuelle Aspekte abwägen "Grundsätzlich würde ich empfehlen, sich immer über beide Versicherungen zu unterhalten und danach abzuwägen: Bin ich mir sicher, dass ich eines dieser Risiken alleine tragen möchte? Meiner Meinung nach ist es jedoch sinnvoll, beide Versicherungsoptionen aufeinander abgestimmt zu nehmen", führt Experte Schmidt aus. Abwägen sollte man dabei verschiedene Aspekte: Wie groß ist der mögliche Schaden, den man erleiden könnte? Wie ist der Zahlungsverkehr aufgebaut? Welche Prozesse hat das Unternehmen - auch präventiv, um die Risiken von Betrug oder Cybervorfällen zu managen? "Jeder Kunde hat andere Bedarfe", sagt Schmidt. "Wir prüfen als Makler, welches Risiko er hat und welche Absicherung er tatsächlich braucht." Nicht immer passe eine Police automatisch hundertprozentig zu dem, was der Kunde möchte. In der Regel müsse man die Versicherung auf sein individuelles Risiko adaptieren. Feinheiten zum Schluss "Neben der Risikoabschätzung sollte ein Unternehmen sich auch einen Überblick über die aktuelle Schadensituation verschaffen", ergänzt Üzen. "Welche Angriffe treten vermehrt auf? Welche Kosten kämen bei einem Vorfall auf das Unternehmen zu? Wie wirkt sich die Gefahr auf den eigenen Betrieb aus?" Die Versicherungssumme sollte man im Verhältnis zum Umsatz abschätzen, um zu prüfen, was sinnvoll sei, sagt Üzen. "Danach kann man sich die Feinheiten anschauen, zum Beispiel, wie viel Selbstbehalt man veranschlagen will." All das könne man als Versicherer im Gespräch genauer abklären, um den passenden Versicherungsschutz für das Unternehmen zu finden. Konkrete Inhalte checken Ein weiterer Punkt, der wichtig sei: "Man sollte auch den Versicherungsinhalt im Blick haben, also genau schauen, was die konkrete Versicherung abdeckt", so Üzen. Schmidt ergänzt ein Beispiel: Grundsätzlich gebe es Cyberversicherungen, die auch einen VSV-Baustein beinhalten können. Allerdings sei dieser in der Regel nicht ausreichend, um betrügerische Absichten, die rund um das Thema stattfinden, mit abzubilden. "Cyberversicherer werden auch nie zu 100 Prozent die gleiche Summe bereitstellen können wie eine VSV-Versicherung, da es sich um eine Ausschnittsdeckung in der Cyberversicherung handelt", so der Experte. "Und wenn, dann immer nur unter dem Aspekt, dass wirklich ein Cyberangriff stattgefunden hat." Pflichten erfüllen Schuckließ gibt im Zusammenhang mit der Deckung zu bedenken, dass man nach dem Abschluss auch seine Obliegenheiten nicht vernachlässigen sollte, egal ob es um Cyber oder VSV geht: "Deckung ist nicht gleich Haftung." Der Versicherer werde darauf schauen: Wie ist mit internen Sorgfaltspflichten umgegangen worden? Wie mit Compliance- und Beratungspflichten? "Wenn grobe Verstöße festgestellt werden innerhalb der Schadenbetrachtung, dann wird das in irgendeiner Form eine Auswirkung auf die Leistung haben." Wichtig sei zudem für Unternehmen, immer das Gesamtpaket aus eigenem Risikomanagement, Vorbeugung, Beratungsleistungen und Versicherung im Blick zu behalten, erklärt Schmidt. "Eine Cyberversicherung enthebt das Unternehmen nicht davon, Sicherheitsmaßnahmen zu treffen." Sie sei eine gute strategische Erweiterung. "Aber ohne angemessene Sicherheitsmaßnahmen bringt die beste Versicherung nichts." Es gehe darum, die finanziellen Folgen, bestmöglich abzusichern. "Denn die finanziellen Folgen eines Cybervorfalls können für ein Unternehmen im schlimmsten Fall existenzbedrohend sein." Größe nicht entscheidend Sollten kleinere Unternehmen bei einer Entscheidung anders abwägen als Große? Schmidt und Üzen sagen: Egal welche Unternehmensgröße, Cyberversicherung und Vertrauensschadenversicherung könnten grundsätzlich immer eine gute strategische Ergänzung im Risikomanagement sein und man sollte sie sich zumindest einmal anschauen. "Bei kleineren Unternehmen spricht man einfach über andere Versicherungssummen und andere Konstellationen", so Schmidt. Es seien eher kleinere Versicherungssummen, kleinere Modelle. "Diese Lösungen sind dann nicht zwingend bis ins letzte Detail ausspezialisiert auf die Branche." Sie böten jedoch umfassenden Schutz gegen die Gefahren eines Cyberangriffs. "Bei ganz kleinen Betrieben mit einer Handvoll Mitarbeitern, fünf bis zehn, könnte sich der Unternehmer fragen: Macht eine Vertrauensschadenversicherung Sinn?", ergänzt Üzen noch. "Wir würden auch hier dazu raten: Denn es geht ja um Grenzfälle. Ein Betrug, ohne dass die eigenen Systeme kompromittiert waren, das kann teuer werden." Die Cyberversicherung bleibt aber stets nur ein Baustein des Risikomanagements.

Cyberschutz für Logistiker: Wo Deckungslücken drohen

Durchschnittspreise neue und gebrauchte Europaletten

Auslastung der Lkw im Verteiler- und Fernverkehr

MEISTGELESEN

Neue Spedition CHERRY’s Logistics startet in Deutschland

MAN gewährt einen ersten Blick auf die neuen TGX-Modelle

Neuartiger Curtainsider: Doppelstocksystem kann jede zweite Fahrt einsparen

NEWSLETTER