Cyberkriminelle haben in den letzten Monaten eine beunruhigende Welle von Ransomware-Angriffen auf US-amerikanische Unternehmen und Infrastrukturen gestartet. Sie haben Fleischverarbeitungsbetriebe, Gaspipelines, Schulen und Gesundheitseinrichtungen geschlossen. In jedem Fall haben sie die Computersysteme ihrer Opfer gesperrt und Geld verlangt, um den Zugriff wiederherzustellen. Die bekannten Zahlungen an diese Cyber-Erpresser stiegen um 344 % von 2019 auf 2020 und beliefen sich laut einem Bericht der Blockchain-Datenplattform Chainalysis unter dem Titel „ “ (Juli 2021 ) auf insgesamt 416 Millionen US-Dollar in Kryptowährung. In diesem Jahr hat dieser Wert bereits 210 Millionen Dollar erreicht.
In vielen Fällen von Ransomware sind es nicht die Opfer selbst, die die Schecks ausstellen (oder vielmehr die Bitcoins übergeben). Das gilt für ihre Cyber-Versicherungsgesellschaften. Tatsächlich wurden laut Fitch Ratings im Jahr 2020 70 % der Prämien für Cyberversicherungen letztendlich an Hacker ausgezahlt.
Angesichts dieses sprunghaften Anstiegs bei den Forderungen und Zahlungen im Zusammenhang mit Ransomware ist es nicht verwunderlich, dass die Cyberversicherungsbranche nun ihre Prämien erhöht und überdenkt, was sie abdeckt und wie sie ihre Geschäfte führt. Zum Ende des Jahres 2020 verzeichneten mehr als die Hälfte der Abnehmer von Cyberversicherungen einen Anstieg der Versicherungsprämien um 10 % bis 30 %, wie aus dem Bericht „ “ des US-amerikanischen Government Accountability Office (GAO) hervorgeht:, ,. Auch die Versicherer gehen zunehmend selektiver vor, wenn es darum geht, was genau sie versichern und wen sie als Kunden aufnehmen. In einigen Fällen legen sie neue Regeln fest, senken die Deckungsgrenzen oder erhöhen die Selbstbehalte.
Zudem dringen sie immer tiefer in die IT- und Sicherheitsabteilungen ihrer Kunden vor und untersuchen deren Technologie-Stacks sowie deren Prozesse. Beispielsweise verweigern einige Versicherer den Versicherungsschutz, wenn ein Kunde beim Zugriff auf sein Netzwerk keine grundlegende Multi-Faktor-Authentifizierung nutzt. Einige beauftragen unabhängige Cybersicherheitsunternehmen damit, das Cyberrisiko eines Kunden zu bewerten und dessen Risikobewertung zu ermitteln.
Tatsächlich hat sich die Risikobewertung unter zu einem leistungsstarken Instrument für beide Seiten entwickelt. Versicherern kann dies dabei helfen, das Sicherheitsprofil der Netzwerke, Server und Endgeräte eines Kunden zu verstehen, was es ihnen wiederum ermöglicht, Bedingungen für Versicherungsverträge festzulegen oder diese gänzlich abzulehnen. Für Unternehmen jeder Größe hat sich die Risikobewertung als wertvolles Instrument zur Ermittlung des Risikoumsatzes und zur Festlegung von Prioritäten erwiesen. Zudem liefert es CIOs und CISOs klare und konkrete Daten, um Budgeterhöhungen in bestimmten Bereichen zu begründen.
Was umfasst Ihre Versicherung?
When cyber insurance policies first appeared in the 1990s, insurers limited coverage to mistakes in digital processing. Im Zuge der Weiterentwicklung der Versicherungspolicen – und der Cyberkriminalität – begannen die Versicherer, unbefugten Zugriff, Netzwerkverletzungen, Datenverluste und durch Viren verursachte Schäden abzudecken. Die Versicherer haben den Versicherungsschutz zudem auf Betriebsunterbrechungen und Erpressung ausgeweitet.
Ein Teil dieses Versicherungsschutzes war tatsächlich in bestehende Sach- oder Haftpflichtversicherungen eingebunden, was häufig zu mehrdeutigen Versicherungsbedingungen führte, die es den Versicherern ermöglichten, hohe Auszahlungen zu umgehen. Heutzutage deckt die meisten Cyberversicherungen eindeutig die Netzwerksicherheit ab, sodass Unternehmen im Falle einer Datenpanne, einer Malware-Infektion, von Cyber-Erpressung oder eines Ransomware-Angriffs geschützt sind.
Kosten im Zusammenhang mit Rechtskosten, IT-Forensik, Benachrichtigungen an Kunden, behördlichen Ermittlungen sowie – ja – Verhandlungen und Zahlungen von Lösegeldforderungen werden übernommen. Einige Cybersicherheitsversicherer bieten sogar eine sogenannte Drittparteiendeckung an – dabei übernehmen sie die Verluste und Schadensansprüche sowohl des Versicherungsnehmers als auch der von einem Cybervorfall betroffenen Kunden des Versicherungsnehmers.
[Lesen Sie auch: Was versteht man unter Incident Response?]
Doch das Thema Cyberversicherung spaltet die Meinungen. Kritiker sagen, dies ermutige Opfer von Ransomware, den Forderungen der Kriminellen nachzukommen, obwohl sie stattdessen proaktiv in die Stärkung ihrer Sicherheits- und Unternehmenstechnologien investieren sollten. Andere betrachten dies als eine notwendige Vorsichtsmaßnahme im Kampf gegen immer raffiniertere und zerstörerischere Cyberkriminelle. Im aktuellen Geschäftsumfeld gehen manche sogar so weit zu sagen, dass eine Cyberversicherung ebenso wie eine Kfz-Versicherung für Autofahrer verpflichtend sein sollte.
Eine bessere Verteidigung spielen
Selbstverständlich ist eine solide Grundlage der beste Schutz vor Cyberangriffen. Das beginnt oft mit – den Grundlagen einer guten Cyberhygiene. Ein klares Verständnis hinsichtlich der Anzahl, der Art und des Betriebsstatus der mit Ihrem Netzwerk verbundenen Endgeräte hilft Ihnen bei der Risikobewertung. Software-Management- -Lösungen, Konfigurationsplattformen sowie automatisiertes Patch-Management sind allesamt grundlegende Elemente zur Stärkung der internen Sicherheitsmaßnahmen eines Unternehmens, während Datenschutz Management es Unternehmen ermöglicht, sensible Informationen zu schützen und Datenschutzverletzungen zu beheben.
„Nur weil Sie vor drei Monaten alles in Ordnung gebracht haben, heißt das noch lange nicht, dass heute alles in Ordnung ist.“ Sie müssen Schwachstellen erkennen und umgehend handeln.”Shawn Marriott, Leiter des Produktmanagements bei Tanium
Sobald diese Cyber-Tools eingerichtet sind, bietet die Risikobewertung eine Möglichkeit, die Bereiche zu identifizieren, in denen Verbesserungsbedarf besteht. Dies ist in den heutigen IT- und Sicherheitsumgebungen von Unternehmen von entscheidender Bedeutung, in denen uneinheitliche und ad-hoc-Daten aus einer Vielzahl von Tools sowie aus vielen verschiedenen Geschäftsbereichen es nahezu unmöglich machen, Prioritäten zu setzen. Die Daten müssen zudem aktuell sein. „Es werden ständig neue Schwachstellen und Angriffsvektoren entdeckt“, sagt Shawn Marriott, Leiter des Produktmanagements bei Tanium und langjähriger Experte für Informationssicherheit. „Die Tatsache, dass Sie vor drei Monaten alles in Ordnung gebracht haben, bedeutet nicht, dass heute alles in Ordnung ist.“ „Sie müssen Schwachstellen erkennen und umgehend handeln.“
Eine Risikobewertung über eine einzige Endpunktmanagement- und Sicherheitsplattform wie die von Tanium ist dabei hilfreich. Dabei werden alle potenziellen Bereiche auf Angriffsvektoren hin untersucht. Dazu gehören Systemschwachstellen, die Einhaltung von Sicherheitsvorschriften, Administratorrechte, Passwortauthentifizierung, Antivirensoftware, Firewalls und Verschlüsselungsprotokolle. Diese Tools können Empfehlungen zur Verbesserung der Sicherheit in jedem noch so kleinen Bereich generieren oder die offensichtlichsten Schwachstellen beheben.
[Lesen Sie auch: Risikobewertung unter Berücksichtigung der Lieferkette]
„In jeder Organisation gibt es immer mehr zu tun, als Zeit oder Ressourcen dafür zur Verfügung stehen“, sagt Marriott. „Durch die Bewertung lassen sich die wichtigsten Aufgaben besser herausarbeiten.“ Dort finden Sie diese nach Priorität geordnete Liste: Erledigen Sie diese Punkte zuerst, da sie den größten Einfluss auf die Senkung Ihres Wertes haben. Es geht lediglich darum, zu verstehen, was wichtig ist, und die Frage beantworten zu können: „ Wie schlagen wir uns?“
Die Risikobewertung hilft Unternehmen zudem dabei, die Cybersicherheit in ihre Kernaufgaben zu integrieren. Unternehmen legen großen Wert auf das Risikomanagement, und eine schlechte Bewertung im Bereich Cybersicherheit ist für die Führungsetage ein starker Anreiz, Sicherheitslücken zu schließen und das Risiko eines Datenlecks sowie den daraus resultierenden Schaden für den Ruf und den Geschäftsbetrieb zu mindern – ganz zu schweigen von den finanziellen Sanktionen durch die Aufsichtsbehörden.
Politische Risiken
Einige Analysten gehen davon aus, dass die Bedrohung durch Ransomware-Kriminelle die Versicherer dazu veranlassen wird, den Versicherungsschutz für Cyberrisiken gänzlich einzustellen. In seinem Bericht „ “ vom Mai äußerte das GAO Bedenken hinsichtlich der Fähigkeit der Versicherer, Cyberversicherungen anzubieten, und erklärte: „Inwieweit Cyberversicherungen auch weiterhin allgemein verfügbar und erschwinglich sein werden, bleibt ungewiss.“
„“ Inwieweit Cyberversicherungen auch weiterhin allgemein verfügbar und erschwinglich sein werden, bleibt ungewiss.“GAO-Bericht zum Thema „Cyberversicherung“, Mai 2021
In einem Fall, der als Branchenneuheit bezeichnet wird, hat der Versicherungsriese AXA beschlossen, die Erstattung von Kosten im Zusammenhang mit Lösegeldangriffen in Frankreich einzustellen, nachdem der oberste Staatsanwalt für Cyberkriminalität des Landes davor gewarnt hatte, dass Unternehmen Cyber-Erpressern keine Zahlungen leisten sollten. Auch die Versicherer selbst sind vor Angriffen nicht gefeit. Im März zahlte CNA Financial 40 Millionen Dollar an Hacker, um die Kontrolle über sein Netzwerk zurückzugewinnen, nachdem Diebe in seine Systeme eingedrungen waren und Daten gestohlen hatten.
Trotz der offensichtlichen versicherungstechnischen Risiken wird für die Cyberversicherung eine vielversprechende Zukunft prognostiziert. Laut Mordor Intelligence wurde der Markt im Jahr 2020 auf 7,36 Milliarden US-Dollar geschätzt und soll bis zum Jahr 2026 voraussichtlich 27,83 Milliarden US-Dollar erreichen. Einige Beobachter gehen davon aus, dass Versicherer zusätzliche Bestimmungen in ihre Policen aufnehmen werden, anstatt den Versicherungsschutz für Cyberrisiken gänzlich einzustellen. Schließlich handelt es sich um einen lukrativen Markt. Stewart Baker, Rechtsanwalt bei Steptoe & Johnson und ehemaliger Leiter der Rechtsabteilung der NSA, erklärt: „Die Versicherer werden die Prämien erhöhen und umfassendere Ausschlussklauseln festlegen, bevor sie sich aus dem Markt zurückziehen.“
[Lesen Sie auch: Ransomware 101: Was ist das und wie kann ich einen Angriff verhindern?]
Und denken Sie daran: Versicherer sind im Risikomanagement tätig. Genau wie bei jedem anderen Unternehmen müssen sie die Auszahlungen minimieren, um wirtschaftlich zu bleiben. Das bedeutet, dass eine Police stets Ausnahmeregelungen enthält. Und letztendlich decken viele Versicherungen die gesamten Kosten eines Datenschutzverstoßes schlichtweg nicht ab.
Eine Cyberversicherung kann ihren Zweck erfüllen, jedoch nur, wenn sie durch eine gute interne Cybersicherheit ergänzt wird. Und das gilt nur, wenn Sie mithilfe einer Risikobewertung Ihre größten Schwachstellen ermitteln und deren Behebung priorisieren, bevor ein Cyberkrimineller Ihnen zuvorkommt und Sie gezwungen sind, die Versicherungssachverständigen hinzuzuziehen.
