Preis allein ist nicht entscheidend So kommen Sie an Ihren besten Cyber-Versicherungsschutz

Anbieter zum Thema

Cari GmbH

Fsas Technologies GmbH

Sie sind auf der Suche nach einer Cyberversicherung? Statt nur Preise zu vergleichen, sollten Sie auch den Risikofragen der Versicherungsanbieter Beachtung schenken – selbst, wenn Sie gar keine Versicherung abschließen möchten.

Auf 148,2 Milliarden Euro beliefen sich laut Bitkom im Jahr 2023 die Schäden, die durch Cyberattacken verursachten wurden. Besonders kleine und mittelständische Unternehmen (KMU) sorgen sich um die Kosten, die bei einer erfolgten Cyberattacke auf sie zukommen könnten. Vor diesem Hintergrund kann eine Cyberversicherung das tatsächliche oder zumindest scheinbare Gefühl von Sicherheit geben. Seit einigen Jahren gehören Investitionen in eine Cyberversicherung für viele Unternehmen genauso zur Sicherheitsstrategie, wie in die IT-Infrastruktur oder Security-Lösungen. Cyberdirekt hat sich auf den Vertrieb von Cyberversicherungen für KMU spezialisiert und in diesem Jahr eine Marktanalyse in Deutschland durchgeführt. Hierbei hat das Unternehmen die Risikoprüfungen von 17 führenden Anbietern von Cyberversicherungen analysiert und daraus abgeleitet, welche IT-Sicherheitsstandards für Unternehmen besonders relevant sind, um den bestmöglichen Versicherungsschutz einkaufen zu können.

Ransomware-Attacken nehmen zu

Ransomware-Versicherungen – Eine Lösung ohne Risiko?

KMU haben gute Chancen bei Cyberversicherungen

Zufolge dieser Marktanalyse haben etwa 85 Prozent der Anbieter von Cyberversicherungen im Jahr 2024 ihre Produktkonzepte aktualisiert. Cyberdirekt beobachtete Anpassungen in entgegengesetzte Richtungen: Einige Versicherer haben sich fast vollständig aus dem Markt zurückgezogen oder fahren eine strengere Zeichnungspolitik, um Risiken zu bewerten und dann Anträge zu akzeptieren oder abzulehnen. Andererseits gebe es ebenso Akteure, die die Preise ihrer Produkte gesenkt hätten und sich mit besseren Bedingungen am Markt zu positionieren.

Darüber hinaus gebe es auch neue Versicherer, „die mit ihren jungen Produkt­konzepten frischen Wind in den deutschen Markt bringen“. Dies ist laut Cyberdirekt ebenfalls ein Grund dafür, dass etablierte Anbieter ihre Konzepte neu denken und anpassen. Die zusätzlichen Kapazitäten würden den Wettbewerb steigern und das breite Angebotsspektrum weiche den Markt weiterhin zugunsten von kleinen und mittleren Unternehmen auf.

Bei Versicherungen kommt es nicht nur auf den Preis an

Daraus schließt Cyberdirekt, dass der Markt für Cyberversicherungen noch heterogener wird. Einzelne Produkte würden sich nicht nur deutlich in ihren Leistungen und Preisen unter­scheiden. Versicherer würden darüber hinaus in ihren Risikofragen extrem unterschiedliche Anforderungen an die IT-Mindeststandards von Unternehmen stellen. „Aus unserer Sicht wird gerade den Risikofragen bei der Wahl einer Cyberversicherung zu wenig Beachtung geschenkt, obwohl dies entscheidend für eine reibungslose Regulierung im Schadenfall ist“, sagt Ole Sieverding, Geschäftsführer von Cyberdirekt. „Aktuelle Gerichts­entscheidungen haben gezeigt, dass die Falschbeantwortung zu großen Haftungsrisiken führen kann. Der Fokus liegt meist zu stark auf einem reinen Preisvergleich. Mit unserer Analyse wollen wir erreichen, dass neben Preis und Leistung vor allem auch die Risikofragen stärker in die Entscheidungsfindung einfließen.“

Diese Fragen stellen Cyberversicherer

Alle Versicherungsanbieter stellen möglichen Neukunden vor Vertragsschluss sogenannte Risikofragen, um den IT-Reifegrad der Antragsteller zu überprüfen. Dieser bestimmt den Umfang und den Preis der Cyberversicherung. Viele Anbieter gestalten die Risikofragen branchenspezifisch. Insbesondere gelte dies für die Branchen Produktion und Handel, wie Cyberdirekt berichtet. 18 Prozent der produzierenden Unternehmen wurden den Ergebnisse der Marktanalyse von Cyberdirekt zufolge gefragt, ob sie ihre Informationstechnologie von der operativen Technologie abtrennen. Außerdem wurde gefragt, ob der Zugriff auf die entsprechenden Systeme über eine Multifaktor-Authentifizierung (MFA) gesichert ist.

In den untersuchten Risikofragen konzentrierten sich die Versicherungsanbieter auf zwei Kategorien: technische und allgemeine Risikofragen.

Anforderungen an Unternehmen sind gering

Hierbei ist Cyberdirekt aufgefallen, dass die Mindestanforderungen der Cyberversicherer teils überraschend gering sind. Zudem gebe es keine Risikofrage, die von allen Versicherern gestellt würde. Einer der untersuchten Versicherer ermögliche den Abschluss einer Police sogar dann, wenn keine der Anforderungen erfüllt seien. Und ein weiterer Versicherer stelle lediglich eine Risikofrage zu den Vorschäden des Antragstellers.

Stellt ein Versicherungsanbieter viele Risikofragen, ermöglicht dies eine präzisere Analyse des Risikos des antragstellenden Unternehmens. Dadurch kann die Police besser auf die tatsächlichen Bedürfnisse des Kunden zugeschnitten werden. Auch hilft ein detaillierter Fragenkatalog, potenzielle Risiken und Sicherheitslücken zu identifizieren, die der Cyberversicherer dann in der Regel bei der Deckung berücksichtigt. Somit schafft eine umfassende Risikoprüfung Transparenz für beide Seiten.

Diese Lösungen sind für eine Police entscheidend

Fünf Anforderungen an die IT-Sicherheit von Unternehmen werden von der Mehrheit der Versicherer abgefragt. Cyberdirekt merkt an, dass sich teils große Unterschiede in der Fragestellung zeigen. Während einige Anbieter dabei vage und oberflächlich blieben, würden andere konkrete und detaillierte Informationen zu bestehenden Sicherheitslösungen fordern.

• 94 Prozent der Versicherer fordern von ihren potenziellen Kunden eine aktive Firewall und eine Antiviren-Lösung. Zwei Versicherer nannten in ihren Anforderungen sogar explizit die Notwendigkeit einer EDR-Lösung (Endpoint Detection and Response).

• 88 Prozent der Anbieter stellen eine Risikofrage zur Datensicherung. Auch hier zeigten sich laut Cyberdirekt deutliche Unterschiede in der Komplexität der Fragestellung. Manche Anbieter hätten genau wissen wollen, welche Daten wo und wie häufig gespeichert würden, andere forderten hierzu kaum Informationen an.

• 71 Prozent der Cyberversicherer stellen laut Cyberdirekt Anforderungen an regelmäßige Softwareupdates. Manche von ihnen würden die Updates in einem bestimmten zeitlichen Rahmen verlangen.

• 53 Prozent prüfen über Risikofragen, ob der Antragsteller ein Berechtigungskonzept etabliert hat. Viele Versicherer fordern Cyberdirekt zufolge abgestufte Rechtekonzepte mit administrativen Zugängen ausschließlich für IT-Verantwortliche sowie separate Benutzerkonten für administrative Aufgaben.

• 47 Prozent der Anbieter fordern die Absicherung von Systemen mithilfe einer MFA. Manche Anbieter hätten konkret gefordert, dass die MFA für den externen Zugriff auf Unternehmens-E-Mails via Webportale oder Applikationen bestehen muss. Die Verbindung zu Firmennetzwerken über abgesicherte Zugangsmöglichkeiten wie VPN hätten lediglich zwei Anbieter gefordert.

Auch externe Sicherheitsüberprüfungen nehmen den Ergebnissen der Marktanalyse zufolge immer mehr an Bedeutung zu. Cyberdirekt betont, dass Schwachstellen, die im Zuge dieser Scans entdeckt werden, die Qualität des Versicherungsschutzes beeinflussen und womöglich Nachbesserungen notwendig machen können. Unternehmen, die hier ein gutes Ergebnis erzielen, haben in der Regel eine größere Auswahl und eine bessere Verhandlungsposition hinsichtlich der Versicherungsbedingungen. Des Weiteren legen Cyberversicherer steigenden Wert auf regelmäßige Schulungen der Mitarbeitenden beziehungsweise Maßnahmen zur Erhöhung der Security Awareness. 41 Prozent der Anbieter hätten eine entsprechende Risikofrage gestellt.

Insider ein Problem für die Cybersicherheit?

Wie groß ist die Gefahr durch die eigenen Mitarbeiter?

Fazit

In diesem sehr heterogenen Markt mit viele Anbietern, empfiehlt Cyberdirekt Unternehmen, die ein Cyberversicherung suchen, sich nicht von einer hohen Zahl an Risikofragen abschrecken zu lassen. Denn obwohl die meisten Anbieter ihre Anforderungen sowie den Fragenkatalog erweitert hätten, seien viele dieser Fragen verhältnismäßig einfach zu beantworten.

In jedem Fall sollten Unternehmen die Risikofragen mit Sorgfalt beantworten, um Konflikte mit dem Versicherer zu vermeiden. Fahrlässige Angaben oder Täuschung können zu erheblichen Nachteilen oder gar Gesetzesverstößen führen. Folgen können eine sofortige Kündigung des Vertrages, Wegfall der Leistungspflicht, Rückforderung bereits gezahlter Leistungen und gegebenenfalls strafrechtliche Verfolgung im Falle von Betrugsverdacht sein.

Letztendlich lohnt sich ein Blick auf die Risikofragen auch für Unternehmen, die keine Cyberversicherung abschließen möchten. Denn aus den Fragen lassen sich Maßnahmen für eine besser IT-Sicherheit ableiten.

IT-Security und Recht

CISOs sollten enger mit Rechts­beratungen zusammenarbeiten

(ID:50232120)