Ein Ransomware verschlüsselt den Abrechnungsserver an einem Freitagabend, das IT-Team ist in reduzierter Bereitschaft, und der Backup-Dienstleister benötigt 48 Stunden, um ein Teil-Backup wiederherzustellen. In der Zwischenzeit werden keine Kundenbestellungen mehr versandt, die Telefonleitung ist überlastet, und die Berufshaftpflichtversicherung sieht keine Deckung für diesen Schadensfall vor.
Dieses Szenario begegnet man immer häufiger in Unternehmen jeder Größe, einschließlich solcher, die dachten, sie hätten “genug IT-Sicherheit” intern.
Beweise, die von Cyber-Versicherern gefordert werden: Was die Entschädigung tatsächlich blockiert
Die meisten Führungskräfte stellen sich vor, dass eine Cyber-Risiko-Versicherung wie eine Kfz-Versicherung funktioniert: Man meldet den Schaden, wartet auf die Auszahlung. Die Realität sieht jedoch ganz anders aus. Die Versicherer haben in den letzten Jahren ihre Anforderungen verschärft, und ohne detaillierte materielle Beweise kann die Entschädigung verweigert werden.
Konkret wird zum Zeitpunkt der Schadensmeldung verlangt, dass wir ein genaues Inventar der betroffenen Vermögenswerte, die zeitgestempelten Vorfallprotokolle, die Schulungsnachweise des Personals zur Cybersicherheit und den Nachweis erbringen, dass die Software-Patches vor dem Angriff bereitgestellt wurden. Wenn die Tests der Backups nicht dokumentiert wurden, kann der Versicherer “grobe Fahrlässigkeit” geltend machen, um die Deckung zu reduzieren oder zu annullieren.
Bevor man überhaupt die Verträge vergleicht, muss man daher die Vorteile der Cyber-Risiko-Versicherung im Hinblick auf die technischen Voraussetzungen, die jede Police verlangt, verstehen. Ein günstiger Vertrag mit weitreichenden Ausschlüssen kostet mehr als ein strenger Vertrag, der tatsächlich entschädigt.
- Ein aktuelles Verzeichnis der Anbieter und Subunternehmer führen, die Zugang zum Informationssystem haben, mit ihren Berechtigungsstufen
- Jeden Test der Backup-Wiederherstellung dokumentieren (Datum, getesteter Umfang, Ergebnis), um zu beweisen, dass der Wiederherstellungsplan funktioniert
- Nachweise über die Bereitstellung von Sicherheitsupdates auf kritischen Arbeitsplätzen und Servern aufbewahren
- Die Nachweise und Zertifikate der Cybersicherheitsschulungen für Mitarbeiter archivieren, auch für kurze Sitzungen
Richtlinie NIS2 und persönliche Verantwortung der Führungskräfte
Es wird viel über die Einhaltung der DSGVO gesprochen, aber die Richtlinie NIS2 ändert die Spielregeln in einem bestimmten Punkt. Artikel 20 von NIS2 verpflichtet die Leitungsgremien, die Maßnahmen zur Verwaltung der Cyber-Risiken selbst zu genehmigen, deren Umsetzung zu überwachen und eine angemessene Schulung zu absolvieren.
Das ist nicht symbolisch. Für als wichtig eingestufte Einheiten können die Führungskräfte vorübergehend von ihren Funktionen suspendiert werden, wenn sie versagen. Cybersicherheit ist kein Thema mehr, das dem IT-Service delegiert wird: Es ist eine Governance-Verpflichtung, die den Führungskräften persönlich in die Verantwortung nimmt.
Diese persönliche Verantwortung verstärkt das Interesse an einer Cyber-Versicherung, die auch die Inanspruchnahme der Führungskräfte abdeckt. Die klassischen D&O-Versicherungen beinhalten nicht immer diesen Aspekt. Es muss überprüft werden, ob der Vertrag ausdrücklich die Verwaltungsstrafen und die Verteidigungskosten im Zusammenhang mit einem Verstoß gegen die Cybersicherheitsverpflichtungen abdeckt.
Umsetzung in französisches Recht: Vorausdenken trotz Verzögerung
Die französische Umsetzung von NIS2 lässt auf sich warten, aber die Verpflichtungen kommen. Zu warten, bis der nationale Text veröffentlicht wird, um zu handeln, bedeutet, seine Nachweise für die Einhaltung in der Eile vorzubereiten, genau das Szenario, das die Versicherer sanktionieren. Die Antizipation der NIS2-Konformität verbessert direkt die Versicherungsbedingungen, da die Versicherer diese Kriterien bereits in ihre Antragsformulare integrieren.
Cyber-Versicherung und Subunternehmerkette: Ein häufiges blinder Fleck
NIS2 legt auch eine Verantwortung in der Lieferkette fest. Wenn ein Subunternehmer von einem Cyberangriff betroffen ist und dies Ihre Geschäftstätigkeit beeinträchtigt, müssen Sie nachweisen können, dass Sie dessen Sicherheitsniveau bewertet haben. Die Rückmeldungen zu diesem Punkt variieren je nach Sektor, aber der Trend ist klar: Die Auftraggeber verlangen zunehmend von ihren Dienstleistern Nachweise über eine Cyber-Versicherung.
Die Cyber-Versicherung wird zu einem kommerziellen Kriterium, nicht nur zu einem finanziellen Schutz. Einige Ausschreibungen enthalten bereits eine Klausel, die dem Dienstleister eine minimale Cyber-Abdeckung vorschreibt. Nicht versichert zu sein, kann bedeuten, einen Auftrag zu verlieren, noch bevor man einen Angriff erlitten hat.
Was ein Cyber-Vertrag tatsächlich für die Subunternehmerschaft abdeckt
Ein guter Cyber-Versicherungsvertrag deckt die Betriebsverluste ab, die durch einen IT-Ausfall bei einem vertraglich gebundenen Anbieter verursacht werden. Er übernimmt die Kosten für die Benachrichtigung der Kunden, wenn personenbezogene Daten über den kompromittierten Subunternehmer verarbeitet wurden. Wenn jedoch kein formeller Vertrag die beiden Parteien bindet, ist die Deckung oft ausgeschlossen.
Kosten eines Cyberangriffs ohne Versicherung: direkte und indirekte Verluste
Laut der Firma Asterès wurden 2022 385.000 erfolgreiche Cyberangriffe auf französische Organisationen verzeichnet, mit geschätzten Gesamtkosten von 2 Milliarden Euro. Diese Zahlen aggregieren die direkten Verluste (Lösegeld, Wiederherstellung der Systeme, Ersatz von Hardware) und die oft unterschätzten indirekten Kosten.
Die indirekten Kosten machen den größten Teil aus: Unterbrechung der Geschäftstätigkeit über mehrere Tage, Verlust von Kunden, die nach einem Datenleck nicht zurückkehren, rechtliche Kosten im Zusammenhang mit Klagen und der Rufschaden, den keine Kommunikationskampagne schnell beheben kann. Ein nicht versichertes Unternehmen trägt die gesamten Verluste auf seiner Liquidität.
- Krisenmanagementkosten: forensische Experten, Krisenkommunikation, Hotline für betroffene Kunden
- Betriebsverluste während der Zeit der Nichtverfügbarkeit des IT-Systems
- Haftpflicht gegenüber Dritten, deren Daten kompromittiert wurden
- Verwaltungsstrafen (CNIL und bald NIS2), die je nach Unternehmensgröße erhebliche Beträge erreichen können
Der IT-Schutz (Firewall, Antivirus, Schulung) verringert die Wahrscheinlichkeit eines Angriffs. Die Cyber-Versicherung deckt die finanziellen Folgen ab, wenn der Schutz versagt. Beide funktionieren zusammen, nicht einer anstelle des anderen. Selbst ein gut geschütztes System bleibt Angriffen ausgesetzt, und genau das macht die Versicherungsdeckung für jedes Unternehmen notwendig, das täglich von seinem Informationssystem abhängt.