Adäquaten Versicherungsschutz gegen IT-Angriffe zu bekommen, ist gar nicht so einfach. Zu groß waren die Schadenssummen, mit denen sich Versicherer in den vergangenen Jahren konfrontiert sahen. Der Versicherer AXA beispielsweise bietet seit vergangenem Jahr in Deutschland nur noch einen Cyberschutz für kleine Firmen an. Und die anderen sind durchaus vorsichtig bei Neuabschlüssen und fragen genau nach, bevor sie ein Vertragsangebot machen.
Fragebogen elementar wichtig
Zentral wichtig für die Risikobewertung des Versicherungsunternehmens ist der Fragebogen, den der potentielle Versicherungsnehmer ausfüllen muss. Er umfasst für kleine und mittlere Unternehmen (KMU) 20 bis 30 Fragen, bei großen Unternehmen können es auch über 100 sein. Je nach Anbieter variieren die Fragen stark, jeder benutzt andere Vorlagen.
Das vollständige und wahrheitsgemäße Beantworten der Fragen ist elementar wichtig, denn falsche oder unvollständige Angaben können später zur Ablehnung der Deckung im Schadensfall oder zur Vertragskündigung führen. Es handelt sich um eine vorvertragliche Anzeigepflicht des potentiellen Versicherungsnehmers, die im Versicherungsvertragsgesetz festgeschrieben ist. Wer die Anzeigepflicht verletzt, riskiert den Versicherungsschutz, sogar bei unbeabsichtigten oder scheinbar kleinen Fehlern.
Gefragt wird nach der Art der Daten, nach den Rollen und Verantwortlichkeiten im Unternehmen, nach Admin-Rechten, nach einem Asset-Management für die Hardware und, natürlich, nach Vorfällen in der Vergangenheit. Die Fragen zielen einerseits darauf ab, wie man im Unternehmen den Eintritt eines Schadens vermeidet, andererseits darauf, wie man im Falle eines Schadens reagiert. Technische Möglichkeiten der Schadensvermeidung sind etwa gutes Patch-Management, Multifaktorauthentifizierung, Datenverschlüsselung. Organisatorische Möglichkeiten stellen alle Awareness-Maßnahmen dar, also Sensibilisierung und Schulung der Mitarbeitenden, Praxisübungen für den Ernstfall oder durchdachte Zugriffsregelungen. Für den Fall der Fälle, den Angriff auf die IT-Sicherheit, sind Backup-Lösungen, Restore-Tests, Möglichkeiten der Segmentierung des betroffenen Server- oder Netzwerkteils sowie konkrete Notfallpläne und -übungen bei den Versicherern höchst willkommen. Wer die Frage nach einem bereits durchgeführten Pentest (Penetrationstest), also einem fingierten Angriff von außen durch externe Dienstleister, bejahen kann, wird dafür wahrscheinlich mit einer niedrigeren Prämie belohnt.
Prämien und Deckungsschutz
Dass die Kalkulation der Prämien aufgrund des Fragebogens und des folgenden Risikodialogs zu sehr unterschiedlichen Ergebnissen führen kann, ist klar. Branche, Umsatz, Selbstbeteiligung sind weitere Faktoren, die einzubeziehen sind. Cyberschutzprämien befinden sich allgemein auf einem recht hohen, aber stabilen Niveau.
Für sein Geld bekommt man seinen eigenen Schaden ersetzt – also etwa Ertragsausfall, Kosten für die Datenwiederherstellung, Lösegeld – sowie Ansprüche von Dritten erfüllt, denen durch den Angriff ebenfalls Schäden entstanden sind. Das sind beispielsweise Schadensersatzzahlungen an Kunden, deren Daten durch die Cyberattacke abgeflossen sind. Folgekosten wie Bußgelder oder Vertragsstrafen erstattet die Versicherung nicht, stellt aber Berater zur Verfügung in Gestalt von IT-Fachleuten, Presseprofis und Rechtsanwälten.
Anja Falkenstein ist als Rechtsanwältin in Karlsruhe tätig und schreibt zu Themen an der Schnittstelle Logistik/Recht.
