IT-Sicherheit im Fokus Cyberversicherungen: Ein Markt im Umbruch?

Anbieter zum Thema

FTAPI Software GmbH

Eye Security GmbH

tenfold Software GmbH

Eine Flut an Hacks und Ransomware-Attacken macht Cyberversicherungen zum riskanten Geschäft für Versicherungsanbieter. Der zunehmende Druck auf den Markt äußert sich für Kunden in steigenden Prämien und strengeren Anforderungen. Wie geht es nun weiter?

Cyberangriffe auf Unternehmen sorgen in den vergangenen Jahren fast täglich für neue Schlagzeilen. Die Zahl an betroffenen Betrieben wächst stetig. Das zeigt eine Studie des Branchenverbands Bitkom: Von rund 1.000 befragten Firmen gaben 84 Prozent an, im Jahr 2022 zum Ziel eines Cyberangriffs geworden zu sein (auch wenn längst nicht alle beobachteten Attacken Erfolg hatten).

Die Gründe für die Zunahme an Angriffen sind vielfältig: Neben der fortschreitenden Digitalisierung der Wirtschaft machen sich Cyberkriminelle auch den Trend zu Homeoffice-Regelungen zunutze, der in vielen Firmen zum intensiveren Einsatz von Cloud-Diensten und Remote-Verbindungen führt. Dabei entstehen neue Sicherheitslücken, die es zu schließen gilt. Darüber hinaus verschärfen der Angriff auf die Ukraine und die resultierende Energiekrise die Lage.

Das Thema IT-Risikomanagement ist spätestens jetzt in allen Führungsetagen angekommen. Idealerweise sollte die verschärfte Bedrohungslage dringend notwendige Investitionen in moderne Sicherheitsstrategien wie Least Privilege und Zero Trust vorantreiben, doch angesichts der ungewissen wirtschaftlichen Lage wird vielerorts gespart – oft auch am falschen Ende. Dabei ist es das Gebot der Stunde, die Chance eines erfolgreichen Angriffs auf die eigene IT so gut es geht zu minimieren. Nur so können Firmen geschäftskritische Daten und Prozesse langfristig absichern und trotz steigender Gefahren agil und wettbewerbsfähig bleiben.

Leider kann auch die gewissenhafteste Vorbereitung Risiken dabei nicht vollständig eliminieren: Neben neu entdeckten Sicherheitslücken und strukturellen Schwachstellen macht allein der Faktor Mensch hundertprozentige Sicherheit in der IT zu einem Ding der Unmöglichkeit. Um dieses Restrisiko abzufedern, setzen immer mehr Unternehmen auf Cyberversicherungen. Diese verursachen zwar auch Kosten, machen diese für Firmen aber kalkulierbar.

Mit einer entsprechenden Police sorgen Unternehmen für den schlimmsten Fall vor: Anstatt nach einem Ransomware-Angriff um die eigene Existenz fürchten zu müssen, kommt das Versicherungsunternehmen für Lösegeldforderungen, Produktionsausfälle und die Wiederherstellung der IT auf. Doch Kunden sollten hier besonders auf das Kleingedruckte achten.

Cyberangriffe: Ein nicht versicherbares Risiko?

Das Interesse an Cyberversicherungen, kombiniert mit einer ebenso hohen Zahl an Schadensfällen, bringt Versicherer zunehmend in die Bredouille. Die hier wichtigste Kennzahl für Versicherungsunternehmen ist die sogenannte Schadenquote, also das Verhältnis von eingenommenen Beiträgen zu ausgezahlten Leistungen. 2021 lag diese nach Statistiken des GDV für Cyberversicherungen bei 124 Prozent. Der digitale Versicherungsschutz war damit ein Verlustgeschäft für Anbieter.

Um die Auszahlung der zugesicherten Schadenssummen finanzieren zu können, passen Versicherungsfirmen ihre Konditionen laufend an. In den USA haben sich durchschnittlichen Kosten für eine Cyberversicherung im letzten Jahr z. B. verdoppelt. Hier stellt sich allerdings die Frage, wie viel Unternehmen bereit sind, für den Versicherungsschutz zu zahlen, bevor sie sich entschließen, das Risiko lieber selbst zu tragen. Geht die Rechnung am Ende auf, oder liegen die erforderlichen Kosten angesichts immer weitreichenderer Cyberattacken über der Schmerzgrenze von Versicherern und Kunden?

In einem Interview mit der Financial Times brachte der Zurich-Chef Mario Greco deshalb zur Diskussion, ob Cyberangriffe überhaupt versicherbar oder die Risiken zu groß und zu unberechenbar für private Anbieter sind. Die Suche nach alternativen Modellen läuft, so kam etwa in den USA die Überlegung einer staatlich gestützten Cyberversicherung auf, wie sie dort z. B. auch für Flutschäden existiert.

Steigende Kosten, strengere Regeln

Für Unternehmen, die eine neue Cyberversicherung abschließen oder eine bestehende Versicherung verlängern möchten, äußert sich der Druck auf den Markt einerseits in höheren Kosten. Neben höheren Beiträgen passen Anbieter auch Selbstbehalte und maximale Deckungssummen an, um die eigenen Ausgaben in den Griff zu bekommen. Für Kunden ist das zwar wenig erfreulich, angesichts der Marktentwicklung aber nachvollziehbar.

Schwerer zu überblicken sind inhaltliche Anpassungen der Verträge, etwa durch neue Limitierungen und Ausnahmen. Beispielsweise schließen viele Anbieter die Deckung von Erpressungsversuchen oder Ransomware-Angriffen explizit aus oder machen diese zur Sonderleistung. Hier gilt es, Policen genau unter die Lupe zu nehmen, um ein klares Bild zu bekommen, welche Sicherheitsvorfälle abgedeckt werden und welche nicht.

Auch hinsichtlich der geforderten Sicherheitsmaßnahmen berichten Kunden von zunehmend strengen Vorgaben und Kontrollen. Bereits jetzt setzten Cyberversicherungen ein Mindestmaß an IT-Sicherheit voraus, um das Schadensrisiko durch Neuabschlüsse in einem erträglichen Rahmen zu halten. Zu diesen Anforderungen zählen:

• Firewalls und Netzwerkschutz

• Antivirus-Software auf allen Endgeräten

• Laufende Sicherheitsupdates und Patches

• Multi-Faktor-Authentifizierung

• Backups wichtiger Daten

• Sicherheitstrainings und -schulungen

• Klare Berechtigungsvergabe und Dokumentation

Die Anforderungen für Cyberversicherungen werden nicht nur zunehmend angehoben, sondern auch immer genauer geprüft. Statt einer Selbstauskunft werden detaillierte Fragebögen durchgearbeitet. Wenn es um große Organisationen geht, fordern Anbieter teils auch externe Prüfungen oder die Zertifizierung nach Sicherheitsstandards wie ISO 27001. Entscheidend ist, dass das Sicherheitsniveau nicht nur zum Zeitpunkt des Audits erfüllt wird: Wer bei einem Angriff hinter die geforderten Maßnahmen zurückfällt, bleibt im schlimmsten Fall auf dem Schaden sitzen, wenn die Versicherung die Zahlung verweigert.

Kein Ersatz für IT-Sicherheit

Die Frage, ob sich der Abschluss einer Cyberversicherung lohnt, lässt sich angesichts des volatilen Markts aktuell nur schwer beantworten: Die Bedrohungslage wie die erforderlichen Konditionen können sich schnell ändern. Generell weiß man den gebotenen Schutz wie bei allen Versicherungen erst dann richtig zu schätzen, wenn man infolge eines Angriffs darauf angewiesen ist.

Dabei ist es wichtig zu betonen, dass eine Cyberversicherung Investitionen in den Schutz der eigenen IT nicht ersetzen kann. Dafür sind Cyberangriffe selbst unter den idealen Umständen, dass die Versicherung vollständig für den entstandenen Schaden aufkommt, zu schmerzhaft: Der Verlust kritischer Daten, Betriebsausfälle, die den Geschäftskalender aus der Bahn werfen und das beschädigte Vertrauen von Konsumenten und Partnern wiegen neben den direkten finanziellen Folgen schwer.

Hinzu kommt, dass IT-Sicherheitsmaßnahmen, wie sie Cyberversicherungen fordern, nicht nur aus Eigeninteresse notwendig sind, sondern langfristig in immer mehr Wirtschaftsbereichen ohnehin zur Pflicht werden. Wenn nicht durch direkte gesetzliche Vorschriften, dann durch die Vorgaben von Geschäftspartnern und Zulieferern, die zunehmend unter Druck stehen, ihre gesamte Lieferkette angemessen abzusichern.

Das Fundament für Sicherheit legen

Virenschutz auf allen Geräten installieren, laufend Sicherheitsupdates durchführen, Zugänge nach dem Abgang von Mitarbeitern schließen – viele der grundlegenden Sicherheitsmaßnahmen, die Cyberversicherungen fordern, sind technisch einfach umzusetzen, werden aber auf organisatorischer Ebene zur Herausforderung. Oft wissen Firmen nicht genau, wer Zugriff auf welche Daten und Anwendungen hat, welche Konten, Freigaben und Gastzugriffe noch verwendet werden. In einem solchen Durcheinander lässt sich kein angemessener Schutz erreichen.

Sicherheit setzt Ordnung voraus: Organisationen müssen sich im Klaren darüber sein, welche Ressourcen die eigene IT umfasst, wer mit diesen Daten und Anwendungen arbeitet und wie der Zugriff auf Systeme im Hintergrund geregelt wird. Um Strukturen und Anforderungen der Geschäftsebene in sicherer Form auf den digitalen Raum zu übertragen, müssen Konten erstellt, angepasst und geschlossen sowie Zugriffsrechte vergeben und entfernt werden. Das gilt für alle relevanten Systeme und bei jeder personellen Veränderung.

Was in kleinen Betrieben eine mühsame, aber bewältigbare Aufgabe darstellt, entwickelt sich schon in mittelgroßen Firmen zu einem Mammutprojekt, bei dem die schiere Zahl an notwendigen Handgriffen zwangsläufig zu Fehlern wie überschüssigen Rechten und nicht gelöschten Zugängen führt – und damit zu gravierenden Sicherheitslücken, die neben Cyberangriffen auch den internen Missbrauch von Daten begünstigen.

Wer durch akkurate Berechtigungsvergabe und Benutzerverwaltung die Grundlage für eine sichere IT-Infrastruktur schaffen möchte, braucht eine automatisierte Lösung aus dem Bereich Identity und Access Management. IAM-Systeme wie Tenfold sorgen für die laufende Anpassung von Konten und Rechten nach den Vorgaben der Organisation und Best Practices der IT-Sicherheit. Das trägt nicht nur zum Schutz der digitalen Infrastruktur bei, sondern führt auch zu einer deutlichen Entlastung der IT-Abteilung, wo Routine-Aufgaben rund um das Benutzer- und Rechtemanagement oft wichtige Ressourcen binden.

Über den Autor

Helmut Semmelmayer arbeitet als VP Revenue Operations beim IAM-Entwickler Tenfold.

Dieser Beitrag stammt von unserem Schwesterportal Industry of Things.

(ID:49491507)