Was bringt eine Cyberversicherung für Schweizer KMU?

Michel, bei unseren Security-Audits sehen wir, dass zunehmend kleinere Unternehmen ins Visier geraten. Welche Cyberrisiken haben aus Broker-Sicht in den letzten Jahren zugenommen?

Michel Dominic Koch: Ja, wir beobachten ebenfalls, dass zunehmend kleine und mittlere Unternehmen ins Visier von Cyberkriminellen geraten, ein Risiko, das früher vor allem Grossunternehmen betraf. Die stärkste Zunahme verzeichnen wir derzeit bei Ransomware-Angriffen und Social Engineering, die gleichzeitig zu den kostspieligsten Cybervorfällen zählen. Auch Phishing und Cloud-Sicherheitsvorfälle nehmen weiter zu.

Welche Schritte durchläuft ein Unternehmen, bevor es eine Cyberversicherung abschliessen kann?

Die Anforderungen hängen in erster Linie von der Grösse des Unternehmens ab. ASSEPRO verfügt über eigene, gemeinsam mit Versicherern entwickelte Lösungen, die auf die unterschiedlichen Bedürfnisse von Unternehmen zugeschnitten sind.

Für Unternehmen mit einem Umsatz von bis zu CHF 20 Millionen kann eine Cyberversicherung in der Regel anhand weniger Fragen abgeschlossen werden. Bei Unternehmen mit einem Umsatz zwischen CHF 20 und 100 Millionen sind ausführlichere Fragebögen erforderlich. 

Bei grösseren Unternehmen mit einem Umsatz von über CHF 100 Millionen beobachten wir, dass Risikoträger die Durchführung eines Assessments voraussetzen.

Welche technischen Mindestanforderungen stellen die Versicherer, damit eine Cyberversicherung überhaupt abgeschlossen werden kann?

Wir beobachten am Markt, dass Versicherer eine Multi-Faktor-Authentifizierung (MFA) heute häufig als grundlegende Mindestanforderung voraussetzen. Weitere zentrale Themen sind aktuelle IT-Systeme, verlässliche Backups, ein konsequentes Patch-Management, der Umgang mit bekannten Sicherheitslücken sowie eine klar geregelte IT-Governance. Auch frühere schwerwiegende Cybervorfälle und ein besonders hohes Risikoprofil können den Abschluss erschweren.

Unternehmen, die sich für eine Cyberversicherung interessieren, sollten die Anforderungen der Versicherer auch als unabhängigen Lackmustest für ihre IT-Sicherheit verstehen . Oft erhalten sie dadurch erstmals eine fundierte Einschätzung dazu, wo ihre IT noch unzureichend aufgestellt ist und welche Verbesserungen notwendig sind.

Es ist uns zudem ein Anliegen, dass Unternehmen sich ihrer vertraglich vereinbarten Obliegenheiten bewusst sind. Wie bereits die alten Römer erkannten: Pacta sunt servanda, Verträge sind einzuhalten. In der Praxis sehen wir immer wieder Fälle, in denen Cyberversicherungen relativ schnell abgeschlossen werden, ohne dass die versicherten Unternehmen die damit verbundenen Anforderungen und Pflichten im Detail prüfen. Erst im Schadenfall wird kontrolliert, ob sämtliche Obliegenheiten eingehalten wurden. 

Werden diese Pflichten verletzt, kann dies zu Leistungskürzungen oder im schlimmsten Fall sogar zur vollständigen Verweigerung der Versicherungsleistung führen. Unternehmen sollten die Sicherheitsanforderungen daher nicht auf die leichte Schulter nehmen und regelmässig überprüfen, ob sie diese weiterhin erfüllen.

Welche Risiken lassen sich mit einer Cyberversicherung überhaupt versichern?

Der Leistungsumfang kann je nach Anbieter und Produkt variieren, deckt aber in der Regel drei Bereiche ab: Eigenschäden, Haftpflichtansprüche und Spezialklauseln.

Am greifbarsten wird das an einem typischen Szenario: Ein Ransomware-Angriff legt die Systeme eines Unternehmens lahm. Die Eigenschadendeckung übernimmt hier die Kosten, die dem Unternehmen selbst entstehen, von der Soforthilfe im Notfall über die Betriebsunterbrechung, die Computer-Forensik und die Wiederherstellung der Daten bis zur Krisenkommunikation.

Sind durch den Vorfall Dritte betroffen, etwa weil Kundendaten entwendet wurden, greift die Haftpflichtdeckung. Sie umfasst den Schadenersatz bei berechtigten Ansprüchen, die Unterstützung bei der Verfahrensführung und eine freie Rechtsanwaltswahl, um beispielsweise unberechtigte Ansprüche abzuwehren.

Spezialklauseln schliesslich stärken die Position des Unternehmens im Schadenfall: Dazu gehören der Verzicht auf Kündigung im Schadenfall, der Verzicht auf die Einrede der groben Fahrlässigkeit oder die Beweislastumkehr.

Zusammen begrenzen diese Leistungen die finanziellen Folgen eines Cybervorfalls und unterstützen Unternehmen sowohl bei der Bewältigung des Schadens als auch bei Ansprüchen Dritter.

Und umgekehrt: Welche Risiken lassen sich nicht versichern, Stichwort Ransomware-Zahlungen?

Ransomware-Zahlungen sind grundsätzlich versichert. Dennoch sind dabei verschiedene Aspekte zu beachten: Die Zahlung eines Lösegelds sollte stets nur als letztes Mittel in Betracht gezogen werden. Durch eine Zahlung wird ein kriminelles Netzwerk finanziell unterstützt, und gleichzeitig steigt das Risiko, erneut Ziel eines Angriffs zu werden, da bekannt wird, dass das betroffene Unternehmen bereit ist, Lösegeld zu bezahlen. 

Zudem sollte eine solche Entscheidung niemals allein getroffen werden, sie ist in enger Abstimmung mit dem Versicherer und gegebenenfalls mit weiteren Beteiligten wie Behörden oder spezialisierten Experten zu beurteilen und zu koordinieren.

Vom Versicherungsschutz ausgeschlossen sind in der Regel Schäden, die vorsätzlich herbeigeführt wurden, sowie Bussen und Entschädigungen mit Strafcharakter. Ebenfalls nicht versichert sind Ereignisse oder Cybervorfälle, die bereits vor dem Abschluss der Police eingetreten sind oder dem Unternehmen zum Zeitpunkt des Vertragsabschlusses bekannt waren.

Beobachtet ihr bei Cyberversicherungen einen Moral Hazard? Also die Gefahr, dass Unternehmen ihre Cybersecurity-Massnahmen vernachlässigen, weil sie sich durch den Versicherungsschutz ausreichend abgesichert fühlen?

Zum einen haben die Versicherer ihre Anforderungen in den letzten Jahren deutlich verschärft. Wie erwähnt müssen Unternehmen heute Mindeststandards nachweisen, um überhaupt Versicherungsschutz zu erhalten.

Zum anderen zeigt die Erfahrung, dass die Auswirkungen eines Cyberangriffs weit über den finanziellen Schaden hinausgehen. Selbst wenn ein Teil der Kosten durch die Versicherung gedeckt wird, bleiben erhebliche Belastungen bestehen: Produktivitätsverluste, Reputationsschäden und Vertrauensverlust bei Kunden, die Belastung von Management und Mitarbeitenden, Verzögerungen bei Projekten und Lieferterminen sowie mögliche rechtliche und regulatorische Konsequenzen.

Viele Unternehmen erkennen nach einem Vorfall, dass eine Cyberversicherung kein Ersatz für Prävention ist , sondern lediglich eine zusätzliche Sicherheitskomponente innerhalb eines umfassenden Risikomanagements.

Das sehen wir genauso. Security ist kein Ziel, das man einmal erreicht, sondern ein fortlaufender Prozess. Wie unterstützt ASSEPRO Unternehmen, wenn der Schadenfall dann tatsächlich eintritt?

Im Schadenfall koordinieren wir den gesamten Prozess, von der Schadenmeldung bis zur Auszahlung der Versicherungsleistung. Dabei begleiten wir unsere Mandanten mit langjähriger Erfahrung und fundiertem Fachwissen, stimmen uns mit allen beteiligten Parteien ab und sorgen für eine effiziente und professionelle Schadenabwicklung.

Ebenso wichtig ist für uns die zwischenmenschliche Begleitung. Wir hören zu, geben betroffenen Kunden Zuversicht und unterstützen sie dabei, nach vorne zu schauen und den operativen Betrieb möglichst schnell wieder aufzunehmen.

Wir begleiten Softwareanbieter wie Escola, deren Schulverwaltungslösung sensible Schülerdaten verarbeitet. Wie sieht es mit einer Cyberversicherung aus, wenn ein Unternehmen selbst Software entwickelt oder vertreibt?

In vielen Fällen ist eine Kombination aus Cyberversicherung und Berufshaftpflicht- beziehungsweise Vermögensschadenhaftpflichtversicherung sinnvoll. Die Abgrenzung zwischen diesen beiden Deckungen kann sich im Schadenfall als anspruchsvoll erweisen, insbesondere wenn Cyberereignisse und Fehler in der Softwareentwicklung oder bei IT-Dienstleistungen ineinandergreifen.

Wichtig ist, dass die Tätigkeiten des Unternehmens sorgfältig analysiert und vollständig erfasst werden. Eine genaue Risikoanalyse und eine auf das Geschäftsmodell abgestimmte Versicherungslösung sind daher entscheidend, um Deckungslücken zu vermeiden und im Schadenfall einen umfassenden Schutz sicherzustellen.

Zum Schluss die Frage, die sich wohl jedes KMU stellt: Mit welchen jährlichen Kosten ist bei einer Cyberversicherung zu rechnen?

Dafür gibt es keine pauschale Antwort, da die Prämie von verschiedenen Faktoren abhängt. Dazu gehören insbesondere die Unternehmensgrösse, der Umsatz, die Branche, die gewünschte Versicherungssumme, der Selbstbehalt sowie das bestehende Sicherheitsniveau der IT-Infrastruktur.

Gerne dürfen Leser unsere Fachleute bei ASSEPRO kontaktieren und dann erstellen wir eine individuelle Offerte:

ASSEPRO Cyber Risk Management

Herzlichen Dank für das Gespräch, Michel.