Risiko Management Cyberversicherungen sind kein Allheilmittel

Versicherungen gegen IT-Risiken liegen im Trend. Allerdings sollte eine solche Police für IT-Verantwortliche kein Grund sein, sich bequem im Chefsessel zurückzulehnen. Schließlich entbindet sie Unternehmen nicht von der Verantwortung, die es für die Sicherheit der Daten sowie die Verfügbarkeit und Funktionalität der IT-Systeme trägt. Diese Verantwortung lässt sich nicht delegieren.

Anbieter zum Thema

SoSafe GmbH

TXOne Networks

Outpost24 GmbH

Geschäftliche Risiken umfassen alle Faktoren mit negativer Auswirkung auf die Performance, Operationen, Gewinne und das Wachstum eines Unternehmens. Die Brexit-Abstimmung erinnert uns rechtzeitig an die Auswirkungen solcher Risiken und auch daran, weshalb das Risikomanagement unerlässlich ist. Viele, auch die britische Regierung, waren vom Ergebnis der Abstimmung überrascht, und hatten somit keinen Plan, was weltweit massive Unsicherheit zur Folge hat. Multinationale Konzerne sind weiterhin unsicher, ob sie ihre Mitarbeiter in andere Länder umsiedeln sollen, damit beispielsweise der Zugang zum Binnenmarkt gewährleistet ist, und diese zögerliche Haltung hat weiterhin Auswirkungen auf die britische und auf die weltweite Wirtschaft. Das Brexit-Ergebnis ist ein Erdbeben, wie es in einer Generation nur einmal vorkommt, allerdings können weitaus normalere Risiken genauso verheerend für die beteiligten Unternehmen sein. 2016 gibt es ein Risiko, das jeden Unternehmensführer rund um den Globus betrifft, und gegen das traditionelle Versicherungen offenbar nichts ausrichten können – das Cyberrisiko.

Die Cyberangriffe und Datenschutzverletzungen häufen sich, aber es mangelt an Routine im Umgang mit Cyberrisiken. Es ist eine relativ neue Form der Bedrohung und die potenziellen Auswirkungen stellen sich den Entscheidungsträgern möglicherweise nur in der Theorie dar, weil es den meisten von ihnen in der Realität noch bevorsteht – zumindest in dem Ausmaß, wie es Target, Sony und TalkTalk etc. getroffen hat: alle sind mittlerweile zu Synonymen für Datenschutzverletzungen geworden.

Angesichts der mehrdimensionalen Form von Cyberangriffen gestaltet sich die Herausforderung immer komplexer. Das Risiko lässt sich nicht nur aus einer Perspektive analysieren. Eine Cyberbedrohung kann die Infrastruktur, Daten, Prozesse und andere Kombinationen betreffen, und sie kann sich gleichzeitig als Diebstahl, Zerstörung oder Manipulation von Ressourcen manifestieren. Somit bedroht das Cyberrisiko nicht nur eine Geschäftsfunktion, sondern alle gleichzeitig. Darüber hinaus werden Cyberangriffe im ausgeklügelter, und somit sind ihre Erkennung und die Reaktionen darauf weiterhin eher reaktive Prozesse.

Angesichts solcher Unsicherheiten erscheint vielen eine Cyberversicherung als die geeignete Gegenmaßnahme. Die Branche wächst schnell. Laut PWC werden sich die weltweiten Investitionen bis 2020 auf ca. 7,5 Mrd. Dollar belaufen, und sie werden befeuert durch immer neue Meldungen zu Cyberangriffen auf hoch angesehene Unternehmen, beispielsweise die oben genannten. Allerdings ist das Cyberversicherungsangebot, verglichen mit anderen Versicherungsmärkten, bemerkenswert unterentwickelt. Angesichts fehlender konsistenter historischer Datenpunkte, die unerlässlich sind, um die potenziellen Folgen eines Cyberangriffs oder Datenverstoßes einschätzen zu können, mindern die Versicherungen das Risiko für sich selbst mittels der Preisgestaltung. Daraus folgen stark schwankende Preise und für viele Unternehmen bedeutet dies, dass der mögliche Schutz nicht immer wirtschaftlich sinnvoll ist. Genau deshalb sind Katastrophenversicherungen so wenig populär.

Deshalb darf man sich niemals nur auf eine Cyberversicherung als die primäre Risikomaßnahme gegen Cyberangriffe verlassen – sie kann lediglich ein Teil einer holistischeren Strategie sein. Diese setzt sich aus vorbeugenden Maßnahmen zusammen – die das Risiko mindern, dass Hacker eindringen und zu großen Schaden anrichten –, in die eine umfassende Strategie für das Krisenmanagement einfließen muss, wobei die Geschäftskontinuität und die Minderung der Rufschädigung an erster Stelle stehen. Mit einem detaillierten Aktionsplan lässt sich vermeiden, dass betroffene Unternehmen unmittelbar nach dem Eintreten des Ereignisses kopflos handeln, und er ermöglicht die Aktivierung von Schritten zum Schutz der vitalen Funktionen, die sonst am stärksten betroffen wären.

Geschäftskontinuität bezieht darauf, dass ein Unternehmen nach einem störenden Ereignis weiterhin Waren und Dienstleistungen liefern kann. Das bedeutet auch, dass das absolut Unerlässliche für die Aufrechterhaltung der Abläufe ermittelt wird. Alles, von den Mitarbeitern und Materialien, bis zu den Maschinen und Prozessen, muss beurteilt werden, damit das Unternehmen genau weiß, was es „zurückfahren“ kann, um in einem Worst-Case-Szenario Kosten zu sparen.

Der Ruf eines Unternehmen ist der „Inventarwert“, der Kunden anspricht. Jede geschäftliche Entscheidung und Handlung wird sich auf die Wahrnehmung durch die Aktionäre auswirken. Nach einem Cyberangriff müssen schnell die relevanten Maßnahmen eingeleitet werden, um die möglichen Folgen zu beseitigen. Wenn ein Unternehmen keinen Plan hat, dann rechnet sich eine Versicherung, die nach dem Cyberangriff greift, sowieso nicht. Nach einer Datenschutzverletzung im Jahr 2013 kommunizierte Target die Situation nicht an die betroffenen Kunden; eine Entscheidung für die das Unternehmen noch mehr geschmäht wurde. Eine Versicherung hätte bei den zahllosen Schadensersatzansprüchen und sonstigen Kosten hilfreich sein können, allerdings kann sie die äußerst negative Darstellung der Marke in den Medien nicht verhindern. Zusätzlich zu den unvermeidbaren Auswirkungen auf den Umsatz gab es personelle Konsequenzen, als Gregg Steinhafel als CEO zurücktreten musste.

Letztendlich können Unternehmen sich nicht einfach einen Cyberversicherungsschutz kaufen und glauben, sie hätten nun einen „Befreiungsschlag“ gegen das Cyberrisiko gelandet. Der Markt und die Branche sind noch unterentwickelt und die Versicherung kann die Risiken hinsichtlich der Geschäftsabläufe und des Rennomees nicht immer mindern: jene zwei Funktionen die unerlässlich sind, damit ein Unternehmen weiterhin erfolgreich ist. Unternehmen mit einer umfassenden Krisenmanagementstrategie können unmittelbar auf einen Cyberangriff oder eine Datenschutzverletzung reagieren, und somit das Risiko eines irreparablen Schadens mindern.

* Piyush Pant ist ‎Vice President Strategic Markets bei MetricStream.

(ID:44428692)