Cyberversicherungen haben oft einen schlechten Ruf.
Abgeschreckt durch die stark steigenden Prämien , die immer umfangreicheren Ausschlussklauseln und die verstärkte Überprüfung der Cybersicherheitspraktiken der Antragsteller entscheiden sich viele Unternehmen dafür, das Risiko einzugehen und mit nur geringem oder gar keinem finanziellen Schutz vor Cyberangriffen zu arbeiten.
Tatsächlich gaben nur 55 % der nordamerikanischen Unternehmen , die kürzlich von BlackBerry und Corvus Insurance befragt wurden, an, über eine Cyberversicherung zu verfügen, und weniger als 20 % verfügen über einen Versicherungsschutz im Wert von mehr als 600 000 Dollar – dies entsprach dem Medianbetrag , den Angreifer bei Ransomware-Angriffen im vergangenen Jahr forderten.
Um ehrlich zu sein: Eine Cyberversicherung ist nicht für jeden geeignet. Einige Großkonzerne benötigen dies nicht, da sie über das nötige Budget und Personal verfügen, um ihre Risiken selbst abzusichern. Andere Unternehmen verzichten jedoch wahrscheinlich auf eine solche Absicherung, weil sie deren Nutzen nicht vollständig erkennen.
„Die Cyberversicherung ist wahrscheinlich das Produkt auf dem heutigen Versicherungsmarkt, das am wenigsten verstanden wird, und zugleich das anspruchsvollste“, sagt Scott Godes, Partner bei Barnes & Thornburg LLP, einer landesweit tätigen Anwaltskanzlei, die Unternehmen in Fällen der Versicherungsentschädigung vertritt.
Im Folgenden finden Sie fünf verbreitete Mythen zum Thema Cyberversicherung – sowie eine Einschätzung der tatsächlichen Lage durch die von „ “ Focal Point befragten Brancheninsider.
Mythos: Versicherungen sind teuer, daher ist es besser, sich selbst zu versichern
Realität: Ja, angesichts der explosionsartigen Zunahme von Ransomware-Angriffen in den letzten Jahren sind die Prämien für Cyberversicherungen stark gestiegen. Nach Angaben des Council of Insurance Agents & Brokers (CIAB) lagen die Prämien im ersten Quartal des Jahres 2022 im Vergleich zum Vorquartal im Durchschnitt um 28 % höher .
„“ Cyberversicherungen sind wahrscheinlich das am wenigsten verstandene Produkt auf dem heutigen Versicherungsmarkt, und sie stellen die größte Herausforderung dar.“Scott Godes, Partner bei Barnes & Thornburg LLP
Und ja, der eigenständige Weg kann für große Unternehmen, die über umfangreiche Sicherheitsteams verfügen und von ihrer Fähigkeit überzeugt sind, Risiken einzuschätzen und zu mindern, ein gangbarer Ansatz sein, sagt Josephine Wolff, außerordentliche Professorin für Cybersicherheitspolitik an der Fletcher School der Tufts University.
Der Verzicht auf eine Versicherung kann für manche kleinere Unternehmen auch aus finanzieller Sicht sinnvoll sein, fügt John Pescatore hinzu, Leiter des Bereichs „Emerging Security Trends“ beim SANS Institute, einem Unternehmen für Schulungen, Zertifizierungen und Forschung im Bereich Cybersicherheit. „Die Kosten von Vorfällen steigen in der Regel proportional zur Anzahl der betroffenen Kunden, sei es aufgrund einer Datenpanne oder einer Dienstunterbrechung“, sagt er.
Für ein Kleinunternehmen mit weniger als 10 000 Kunden können die Kosten für eine Police bei einer Deckungssumme von 1 Million Dollar und einem Selbstbehalt von 10 000 Dollar weniger als 5 000 Dollar pro Jahr betragen, so Pescatore. Damit dürften die direkten Kosten eines Vorfalls gedeckt sein. Diese 10 000 Dollar auszugeben bedeutet jedoch nicht, dass Sie auf Investitionen in die Cybersicherheit verzichten können, da Sie sich dadurch lediglich viel kostspieligeren und häufigeren Angriffen aussetzen würden.
[Lesen Sie auch: Ransomware setzt der Cyberversicherungsbranche schwer zu]
Jason Rebholz, CISO bei Corvus Insurance, stimmt zu, dass eine Cyberversicherung nicht für jeden geeignet ist. Er vertritt jedoch die Ansicht, dass sich Investitionen in Versicherungen lohnen, da die meisten Unternehmen weder über die technischen noch über die finanziellen Mittel verfügen, um Datenpannen zu bewältigen, die laut Schätzungen von Forrester die betroffenen Unternehmen im Durchschnitt 2,4 Millionen Dollar kosten. Obwohl die Kosten je nach erforderlichem Versicherungsumfang stark variieren, belief sich die typische Prämie für eine Cyberversicherung in den Vereinigten Staaten im Jahr 2021 laut AdvisorSmith Solutions, einem Forschungsunternehmen für Kleinunternehmen, auf 1 589 Dollar pro Jahr.
„Als CISO würde ich mir ein unbegrenztes Budget für die Bewältigung von Sicherheitsvorfällen wünschen“, sagt Rebholz. „Ich unterliege jedoch auch nicht der falschen Vorstellung, dass ich jemals genug hätte, um alles zu bewältigen, was auf mich zukommt. „Hier kann eine Cyberversicherung Abhilfe schaffen.“
Mythos: Mein Unternehmen ist zu klein, um angegriffen zu werden
Die Realität: Ein Cyberangriff auf kleine Unternehmen steht bevor – sofern dieser nicht bereits stattgefunden hat. AdvisorSmith Solutions schätzt, dass im Jahr 2021 fast 42 % der Kleinunternehmen von einer Form von Cyberangriff betroffen waren. Zugegebenermaßen schienen 24 % davon einfache Phishing-Angriffe vom Typ „ “ zu sein. Allerdings handelte es sich bei 19 % um umfassende Datenlecks und bei 11 % um Ransomware-Angriffe, die potenziell zum Untergang eines Unternehmens führen können.
Tatsache ist, dass kleine und mittlere Unternehmen (KMU) nicht immun gegen Cyberangriffe sind , und ein solcher Angriff kann verheerende Folgen haben. Laut Hiscox, einem Anbieter von Unternehmensversicherungen, kosten Cyberangriffe ein kleines Unternehmen im Durchschnitt bis zu 25 612 US-Dollar. Dennoch sind laut 66 % der Entscheidungsträger in Kleinunternehmen der Ansicht, dass sie zu unbedeutend oder zu wenig im Blickfeld stehen, als dass Cyberkriminelle sich für sie interessieren würden.
Rebholz erklärt, dass Angriffe nicht so gezielt oder persönlich sind, wie viele Führungskräfte kleiner Unternehmen vielleicht glauben. „Den Angreifern ist es nicht unbedingt wichtig, wer Sie sind“, sagt er. „Viele Ransomware-Vorfälle sind beispielsweise opportunistische Angriffe , bei denen Angreifer versuchen, sich Zugang zu beliebigen Personen zu verschaffen. „Wenn sie eine Gruppe von fünf oder mehr Unternehmen ausfindig machen, starten sie Angriffe gegen alle diese Unternehmen, in der Hoffnung, dass eines davon zahlt.“
Mythos: Es ist riskant, Versicherern zu viele Informationen über Ihre Cybersicherheitsmaßnahmen preiszugeben
Realität: Wie bereits bei ihren Anträgen auf Kfz-, Kranken- und Lebensversicherungen sind viele Verbraucher zu der Überzeugung gelangt, dass eine zu ausführliche Offenlegung gegenüber einem Versicherungsanbieter zu höheren Prämien oder zur Ablehnung des Versicherungsschutzes führt. Sicherheitsexperten sind hingegen von Natur aus risikoscheu und geben nur ungern allzu viele ihrer Betriebsgeheimnisse preis – schon gar nicht gegenüber Versicherern, denen sie nicht voll und ganz vertrauen.
Diese Zurückhaltung, zu viele Informationen preiszugeben, führt häufig dazu, dass Führungskräfte sich gegen den Abschluss einer Versicherung entscheiden, die Angaben in den oft umfangreichen Versicherungsanträgen auf ein Minimum beschränken oder bei ihren Antworten die Wahrheit verschleiern.
Doch diese Vorgehensweisen nützen niemandem, sagt Rebholz. Er erklärt, dass Versicherer so viele aktuelle Informationen wie möglich wünschen, um Cyberangriffe proaktiv abzuwehren, die sowohl für den Versicherer als auch für den Versicherungsnehmer kostspielig werden könnten. Gleichzeitig, so merkt er an, könnten Cyberversicherer den Versicherungsnehmern, die nachweisen, dass sie die bewährten Verfahren der Cybersicherheit befolgen, günstigere Tarife anbieten – ähnlich wie Kfz-Versicherer Rabatte für sicheres Fahrverhalten gewähren.
[Lesen Sie auch: Wird die Bundesregierung für Cyberversicherungen bürgen?]
Gary Davis, Leiter des Bereichs Cybersicherheit beim Cybersicherheitssoftwareanbieter BlackBerry, erklärt, dass Versicherungsnehmer allmählich zu einer proaktiveren Denkweise übergehen und offener über ihre Cybersicherheitsstrategien sprechen. „Unsere Untersuchung hat ergeben, dass 64 % der Unternehmen bereit wären, ihrem Versicherer Einblicke in ihre Sicherheitslage zu gewähren, um im Gegenzug niedrigere Kosten für die Cyberversicherung zu erhalten“, sagt er. „Das Risiko, diesem Mythos Glauben zu schenken, besteht darin, dass genau das Gegenteil eintreten könnte: Ihre Prämien könnten steigen, weil Ihre Cyber-Sicherheitsmaßnahmen schwach oder anfällig sind.“
Mythos: Versicherungsgesellschaften suchen nach Möglichkeiten, sich der Zahlung einer Versicherungsleistung zu entziehen
Realität: Es ist stets möglich, dass ein Versicherer einen Anspruch ablehnt, wenn eine Organisation angegriffen wird. Das kommt ständig vor.
„“ Die meisten Schadensfälle werden ausgezahlt. Die Menschen stolpern einfach über ihre eigenen Annahmen darüber, was Versicherungen abdecken.”Jason Rebholz, CISO, Corvus Insurance
In der Regel kommt es jedoch zu Ablehnungen, weil ein bestimmter Fall nicht durch die Police abgedeckt ist. Dies ist eines der häufigsten Missverständnisse, die Menschen in Bezug auf Versicherungen haben. Sie schließen beispielsweise eine Hausratversicherung ab und sind bestürzt, als sie erfahren, dass diese keine Schäden durch Erdbeben oder Überschwemmungen abdeckt. Ähnlich verhält es sich, wenn einige Unternehmen von einem Ransomware-Angriff betroffen sind: Sie kaufen im Rahmen des Wiederherstellungsprozesses neue Hardware und sind schockiert, als sie erfahren, dass die Versicherung solche Upgrades nicht abdeckt.
Rebholz sagt, Unternehmen sollten eine Cyberversicherung nicht ablehnen, nur weil sie möglicherweise nicht ausreichend zahlt. Stattdessen sollten sie sich mit offenen Augen schützen lassen. Es sei von entscheidender Bedeutung, zu wissen, was in einer Police steht, sagt er. Sollte die Versicherung bestimmte Fälle nicht abdecken, wie beispielsweise Rechtskosten im Zusammenhang mit einem ebenfalls betroffenen verbundenen Unternehmen, sollten die Führungskräfte andere Optionen prüfen.
[Lesen Sie auch: Wie sich der Krieg in der Ukraine auf die Cybersicherheitsversicherung auswirkt]
Versicherer können den Versicherungsschutz zudem ablehnen oder sogar widerrufen, wenn Versicherungsnehmer die Angaben, die sie in ihren Anträgen zu ihrer Sicherheitslage gemacht haben, nicht einhalten. Mit anderen Worten: Wenn sie behaupteten, über eine Multi-Faktor-Authentifizierung unter zu verfügen, diese jedoch tatsächlich weder einsetzten noch warteten, könnte dies zu einem Problem werden.
„Betrachtet man das Gesamtbild, so wird der Großteil der Ansprüche ausgezahlt“, sagt Rebholz. „Die Menschen stolpern einfach über ihre eigenen Annahmen darüber, was Versicherungen abdecken.“
Mythos: Eine einfache Cyberversicherung reicht aus
Die Realität: In den meisten Fällen im Leben bekommt man das, wofür man bezahlt. Wenn Sie für Ihr älteres Auto lediglich eine Haftpflichtversicherung abschließen und es einen Totalschaden erleidet, können Sie es nicht ersetzen. Ebenso könnten die Folgen verheerend sein, wenn Sie die günstigste Cyberversicherung abschließen und es zu einem schwerwiegenden Vorfall kommt.
„Wenn man für etwas versichert ist, kann dies dazu führen, dass man in der Praxis und bei der Umsetzung nachlässig wird. Sie haben das Gefühl, dass Sie im Falle einer Katastrophe abgesichert sind.”Sean O’Brien, Gastwissenschaftler am „Information Society Project“ der Yale Law School
„Unsere Untersuchungen zeigen, dass 44 % der Unternehmen nicht über einen ausreichenden Versicherungsschutz verfügen, um die durchschnittliche Lösegeldforderung zu begleichen, und dass 43 % im Falle von Nebenkosten wie Gerichtskosten und Ausfallzeiten der Mitarbeiter nicht abgesichert sind“, sagt Davis von BlackBerry. „Das Risiko, diesem Mythos Glauben zu schenken, besteht darin, dass Sie Opfer eines Angriffs werden könnten, bei dem die potenziellen Kosten für die Beseitigung der Schäden höher sind, als es sich Ihr Unternehmen vernünftigerweise leisten kann.“
Die für diesen Artikel befragten Experten waren sich einig, dass Unternehmen ihre Entscheidung für eine Investition in eine Cyberversicherung auf der Grundlage von Fakten und nicht von Mythen treffen sollten. Gleichzeitig sollten Sicherheitsexperten nicht in ihrer Wachsamkeit nachlassen, sagt Sean O’Brien, Gastwissenschaftler am „Information Society Project“ der Yale Law School. „Wenn man für etwas versichert ist, kann dies dazu führen, dass man in der Praxis und bei der Umsetzung nachlässig wird“, sagt er. „Man hat das Gefühl, im Falle einer Katastrophe abgesichert zu sein, und ist daher möglicherweise nicht so aufmerksam, wie man es eigentlich sein sollte.“
Letztendlich, so argumentiert O’Brien, sollten Sie sich nicht durch Ihren Versicherungsschutz davon abhalten lassen, eine umfassende Sicherheitsstrategie vollständig umzusetzen. Letztendlich zahlt sich das immer aus.
