Cyberversicherung vs. Incident Response Retainer Welche Incident-Response-Strategie passt zu Ihrem Unternehmen?

Anbieter zum Thema

G DATA CyberDefense AG

FAST LTA GmbH

Cyberversicherungen bieten oft einen zügigen Vertragsabschluss, doch im Ernstfall kann es schnell kompliziert werden. Incident Response Retainer ermöglichen dagegen intensive Vorbereitung, kontinuierliche Anpassung und direkte Kontrolle durch definierte SLAs – mit Kompensation bei keinem Notfall.

Cyberangriffe sind längst keine Ausnahmefälle mehr – sie gehören zum Alltag. Um auf den Ernstfall vorbereitet zu sein, stellen sich viele Unternehmen die Frage: Reicht eine Cyberversicherung aus oder ist ein Incident Response Retainer die bessere Wahl? Beide Ansätze haben ihre Vor- und Nachteile. Die folgende Übersicht hilft bei der Entscheidungsfindung.

Cyber Insurance Report von Arctic Wolf

Viele Versicherungen, aber wenig Schadensmeldungen

Vertragsabschluss: Schnell vs. gründlich

Der Abschluss einer Cyberversicherung ist meist schnell und unkompliziert. In der Regel genügt ein ausgefüllter Fragebogen, eventuell ergänzt durch einen Schwachstellenscan. Auf dieser Basis wird die Police erstellt – oft ohne tiefere Prüfung individueller IT-Strukturen. Die Angaben beruhen überwiegend auf Selbstauskünften.

Ganz anders beim Incident Response Retainer: Hier erfolgt das Onboarding durch erfahrene Fachleute, die gezielt nachfragen, bewerten und die IT-Landschaft des Unternehmens detailliert analysieren. Dieser intensive Austausch schafft früh ein realistisches Bild der „Incident Readiness“ und fördert die Zusammenarbeit zwischen IT-Teams und Dienstleister. Im Ernstfall zahlt sich das aus: Eine langwierige Lageeinschätzung entfällt, da der Dienstleister die Infrastruktur bereits kennt.

Trotz steigender Prämien

6 von 10 Unternehmen haben eine Cyberversicherung

Laufzeit und Pflege: Stillstand oder kontinuierliche Anpassung

Incident Response Retainer beinhalten meist regelmäßige Workshops und Statusabgleiche. Neue Anforderungen, Veränderungen in der IT-Landschaft oder organisatorische Umstellungen fließen kontinuierlich in die Betreuung ein. Dadurch wird die IT-Sicherheitsstrategie laufend weiterentwickelt.

Cyberversicherungen hingegen werden oft stillschweigend „durchverlängert“ – ohne Aktualisierung oder Nachverhandlung. Das birgt Risiken: Wenn sich das Unternehmen vergrößert oder die Bedrohungslage sich verändert hat, kann es zu einer Unterversicherung kommen. Die Deckungssumme reicht im schlimmsten Fall nicht aus – und das merken Verantwortliche erst, wenn es zu spät ist.

Ein Blick auf branchenübliche Tagessätze für Incident Response lohnt sich: Für eine professionelle Reaktion auf einen Vorfall fallen im Schnitt mindestens 140 Personenstunden an – abhängig von Unternehmensgröße und Vorfalltyp kann sich der Aufwand leicht verdoppeln. Wer die Kosten gegen die Versicherungssumme rechnet, erkennt schnell potenzielle Lücken.

Security-Insider Podcast – Folge 84

Gehackt! Was jetzt?

Im Ernstfall zählt jede Minute

Im Schadensfall ist ein Incident Response Retainer klar im Vorteil. Dank definierter SLAs (Service Level Agreements) erhält das Unternehmen schnell eine fundierte Ersteinschätzung und konkrete Maßnahmen zur Eindämmung. Die Kommunikation läuft direkt, das Unternehmen bleibt Auftraggeber – mit voller Kontrolle über das Geschehen.

Bei Cyberversicherungen hängt die Reaktion vom Vertrag ab. Manche Versicherer schreiben einen festen Dienstleister vor, andere bieten eine Auswahl vorgegebener Anbieter. In wenigen Fällen kann das Unternehmen frei entscheiden – doch dann ist meist die Versicherung Vertragspartner des Dienstleisters. Das kann Einfluss auf Kommunikation, Abläufe und Prioritäten haben.

Zudem: Nach einem Incident kann es teuer werden. Versicherer behalten sich vor, Prämien deutlich anzuheben oder den Vertrag vorzeitig zu kündigen – ein Risiko, das Unternehmen im Blick behalten sollten. Im Zuge der aktuellen geopolitischen Situation besteht auch die Wahrscheinlichkeit, dass die Versicherung einen Vorfall als Teil einer kriegerischen Handlung ansieht – und diese sind in der Regel von einer Deckung ausgeschlossen. Versicherte sehen also schlimmstenfalls keinen Cent.

Ein Beispiel für einen solchen Fall war die Mondelez-Unternehmensgruppe. Diese war von der NotPetya-Angriffswelle betroffen und hatte versucht, den entstandenen Schaden bei ihrem Versicherer (Zürich Gruppe) geltend zu machen. Mit Verweis auf den Ausschluss für die Deckung von Folgen kriegerischer Handlungen lehnte diese eine Zahlung jedoch ab – Mondelez zog daraufhin vor Gericht. Der Prozess endete 2022 mit einem Vergleich in ungenannter Höhe. Details wurden nicht öffentlich gemacht.

Im ungünstigsten Fall für das versicherte Unternehmen kann eine Zahlung also auch bedingt durch Gerichtsprozesse mehrere Jahre auf sich warten lassen und geringer ausfallen als erwartet – wenn sie nicht gar komplett entfällt. Dazu kommen noch die Verfahrenskosten sowie die Kosten für Gutachten, Rechtsbeistände etc. Derlei langwierige Gerichtsprozesse können sich jedoch nur die wenigsten Unternehmen wirklich leisten.

Preis allein ist nicht entscheidend

So kommen Sie an Ihren besten Cyber-Versicherungsschutz

Fazit: Vorsorge ist besser als Nachsorge

Ob Versicherung oder Retainer – die Wahl will gut überlegt sein. Auch bei Retainern gilt: Nicht jeder Vertrag bietet denselben Leistungsumfang. Eine sorgfältige Prüfung ist unerlässlich.

Ein Vorteil von Incident Response Retainern: Viele Anbieter bieten am Jahresende eine Kompensation, wenn keine Notfalleinsätze erforderlich waren – etwa in Form von kostenfreien Beratungsstunden. Diese lassen sich für die Umsetzung neuer Sicherheitsmaßnahmen nutzen und stärken die langfristige Sicherheitsarchitektur des Unternehmens. Solche Mehrwerte sucht man bei klassischen Cyberversicherungen meist vergeblich.

Über den Autor: Tim Berghoff ist Security Evangelist bei der G DATA CyberDefense AG in Bochum.

(ID:50781531)