Schutz vor komplexen Angriffen Cybersicherheit oder Cyber-Versicherung – oder beides?

Täglich sind Unternehmen in fast allen Branchen Cyber-Risiken ausgesetzt, die immer raffinierter werden. Da sich die Angriffstechniken weiterentwickeln und die Risiken zunehmen, müssen Unternehmen Cyber-Sicherheit und Cyber-Versicherung als eine sich ergänzende Einheit betrachten. Führungskräfte müssen verstehen, dass die Verschmelzung dieser Bereiche zu intelligenteren Investitionsmöglichkeiten und Geschäftsentscheidungen führt.

Inzwischen sind die Grenzen zwischen Cyber-Sicherheit und Absicherung ohnehin eher verschwommen. Obwohl beide darauf abzielen, Unternehmen vor Cyber-Angriffen zu schützen, verfolgen sie jedoch unterschiedliche Ziele. Eine Cyber-Versicherung schützt Unternehmen vor finanziellen Verlusten nach einem Cyber-Angriff, während Cyber-Sicherheit darauf abzielt, Daten, Software und Hardware zu schützen, um Bedrohungen abzuwehren und den Geschäftsbetrieb aufrechtzuerhalten. Die Gründe für ihre Einführung sind daher unterschiedlich. Die Cyber-Versicherung wird in der Regel auf Managementebene vom Risikomanager oder Finanzdirektor abgeschlossen und als passiver Schutz bzw. Risikotransfer von der Bilanz betrachtet. Im Gegensatz wird die Cyber-Sicherheit aktiv und kontinuierlich von den Informationssicherheits- oder IT-Managern verwaltet, um möglichen Bedrohungen pro-aktiv zu begegnen.

Obwohl die Verbesserung der IT-Sicherheit die Wahrscheinlichkeit von Cyber-Angriffen verringert, wurden diese Ziele in der Vergangenheit bei der Erstellung von Versicherungsangeboten nicht unbedingt berücksichtigt. Cyber-Versicherungen wurden wie andere gewerbliche Versicherungen behandelt, wobei das Underwriting lediglich darauf abzielte das breite Branchen- und Umsatzsegment zu bestimmen, in das ein Unternehmen fällt. In der Vergangenheit konnte ein fortschrittliches Cybersicherheitsprogramm zwar den Antrag beeinflussen, aber die Faktoren, die sich auf die Prämien auswirkten, lagen in der Regel außerhalb der Kontrolle eines CISO. Daher standen viele Sicherheitsexperten der Cyber-Versicherung skeptisch gegenüber. „Gute“ Risiken wurden nicht mit attraktiveren Bedingungen belohnt.

Insgesamt haben diese unterschiedlichen Sichtweisen dazu geführt, dass Cyber-Versicherung und Cyber-Sicherheit traditionell getrennte Angebote waren. Die Notwendigkeit, sich gegen die wachsende Zahl an Cyber-Angriffen zu rüsten, hat jedoch dazu geführt, dass diese beiden Bereiche immer mehr zusammenwachsen. Fast alles, was InfoSec- oder IT-Verantwortliche tun, um die Cyber-Sicherheit zu verbessern, führt zu mehr Sicherheit und weniger Risiko und kann letztlich dazu beitragen, die Kosten von Cyber-Vorfällen zu senken.

Wie Insurtechs den Markt verändern

Bereits vor einigen Jahren haben Insurtech-Start-ups, die Cyber-Policen anbieten, automatisierte Sicherheitsbewertungs-Tools für das Underwriting entwickelt und damit begonnen, zusätzliche Dienstleistungen wie detaillierte Risikoberichte für Versicherungsnehmer anzubieten. In jüngster Zeit wurde das Potenzial dieser Tools und der von ihnen gesammelten Daten erkannt. Was früher als „Nice-to-have“ galt, ist heute entscheidend für die Zukunft des Marktes.

Der Wendepunkt kam nach einer Welle von Ransomware-Angriffen. Einige Unternehmen in der Cyber-Versicherungsbranche haben daraufhin ihren Ansatz bewusst geändert. Neben der Berechnung von Prämien, die die tatsächlich gedeckten Risiken besser widerspiegeln, haben Cyber-Versicherer auch neue, datengestützte Anforderungen eingeführt, deren Auswirkungen mit dem Cyber-Risiko korrelieren. Die Insurtechs analysierten ihre Datenbestände, um Sicherheitsfaktoren zu ermitteln, die sich signifikant auf das Risiko auswirken, z. B. bestimmte E-Mail-Sicherheits-Tools oder die Konsistenz von Software-Patches, und nahmen diese in die automatisierte Risikoanalyse mit auf.

Dieser von Insurtechs vorangetriebene Ansatz hat zu einer zunehmenden Konvergenz von Cyber-Versicherung und Cyber-Sicherheit geführt. Der Chief Information Security Officer (CISO), der früher vielleicht nur einen langen Fragebogen zu seinem IT-System ausfüllen musste, kann heute eine beratende Rolle bei der Validierung der Risikobewertung des Versicherers einnehmen und mit dem Versicherer oder Makler zusammenarbeiten, um die erforderlichen Aktualisierungen einer Police umzusetzen. In vielen Fällen handelt es sich bei den neuen Anforderungen um Änderungen, die der Sicherheitsmanager früher nur schwer durchsetzen konnte.

Durch diese Abstimmung zwischen den Zielen des Cyber-Sicherheitsteams und den Bedürfnissen des Versicherungskäufers ist es gelungen, zwei Welten zusammenzubringen.

Konvergenz als Win-Win-Situation

Es gibt eine Grenze für die zunehmende Verschmelzung von Cyber-Versicherung und Cyber-Sicherheit, da nicht jede Sicherheitsmaßnahme das Risikoniveau eines Unternehmens beeinflusst. Faktoren wie Jahresumsatz und Branche sind nach wie vor wichtige Faktoren beim Underwriting. Dennoch werden Unternehmen zunehmend Anreize haben, in Cyber-Resilienz zu investieren und schwerwiegende Sicherheitslücken gezielt zu identifizieren und zu schliessen. Kontinuierliche Bemühungen, den Entwicklungen im Bereich der Cyber-Sicherheit einen Schritt voraus zu sein, werden es den Managern ermöglichen, bei der Erneuerung von Policen eine bessere Position in Bezug auf Prämie, Selbstbehalte und Vertragsbedingungen einzunehmen – ein positiver Kreislauf.

Versicherer bieten auch immer ausgefeiltere Dienstleistungen und Partnerschaften an, um ihren Kunden bei der Einhaltung von Vorschriften zu unterstützen, und einen weiteren Einblick in die Risikolandschaft zu gewähren. Eine Win-Win-Situation entsteht, wenn ein Unternehmen mit einem Versicherer und seinen Partnern zusammenarbeitet, um seine eigenen Sicherheitsziele zu erreichen und gleichzeitig von günstigen Vertragsbedingungen profitiert.

Über die Autoren: Vincent Weafer ist Chief Technology Officer (CTO) von Corvus Insurance. Oliver Delvos ist Head of International bei Corvus Insurance.

(ID:49515467)