„Ich bin überzeugt, dass es nur zwei Arten von Unternehmen gibt:
Diejenigen, die schon gehackt wurden und diejenigen, die noch gehackt
werden.“ Diese Aussage des FBI-Direktors Robert Mueller ist seinerzeit
häufig belächelt worden, heute ist sie bittere Realität! Nahezu täglich
berichten betroffene Unternehmen und die Wirtschaftspresse über
massivste Störungen im gesamten Bereich der internen und externen
Datennutzung und Datenverarbeitung mit gravierenden Auswirkungen auf
Arbeitsabläufe, Produktion und auf das Vertrauensverhältnis zwischen dem
betroffenen Unternehmen, den Lieferanten und Kunden und der
Öffentlichkeit. Die Ursachen dieser Probleme sind vielfältig; es können
technische Störungen in Datenverarbeitungs- und Steuerungsanlagen,
absichtliche oder unabsichtliche Fehlbedienungen von Mitarbeitern oder
kriminelle Angriffe durch Dritte von außen sein, die sogenannten
Cyberattacken. Dieser Terminus ist heute im betrieblichen wie auch im
privaten Bereich gegenwärtig, und nahezu jeder ist von Angriffen in mehr
oder weniger gravierender Weise schon betroffen und beeinträchtigt
worden. Aktuelle Beispiele für gravierende cyberbasierte Eingriffe in
Betriebsprozesse sind Abfahren eines Hochofens, Zahlungen an Dritte
(Fake President), Diebstahl von Hochregal-Lagerdaten, Blockierung von
Telefon-/Internetsystemen.
Was ist eigentlich Cyber?
Nach
einer möglichen Definition ist der Begriff abgeleitet vom engl.
Cybernetics, der Kybernetik und damit von der Lehre von Regel- und
Steuerungsvorgängen. Cyber und Cyberspace beschreiben künstliche
Realitäten und umfassen speziell durch das Internet alle weltweit
erreichbaren Informationssysteme und -strukturen.
Über 90 Prozent der
deutschen Unternehmen haben Internetzugang; ein Großteil nutzt
Cloud-Dienste. Die Digitalisierung der gesamten Wertschöpfungskette
nimmt rasant zu. Die globale Vernetzung von Informationsströmen mit
direkten Einflüssen auf betriebliche Vorgänge wie Beschaffung,
Produktion, Absatz und Verwaltung (Industrie 4.0) schafft damit auch
eine besorgniserregende Risikosituation für alle Teilnehmer.
Nahezu
jedes zweite Unternehmen ist bereits Opfer von zufälligen oder
zielgerichteten (z. T. bestellten!) Attacken geworden. Die
Hackerangriffe mit Datendiebstählen betreffen keineswegs nur
Großunternehmen, sondern in besonderem Maß den Mittelstand. Hier wird
die organisatorische und anlagentechnische Datensicherheit vielfach
nicht ausreichend geprüft, ständig aktualisiert und damit relativ
gesichert.
Typische Schwachstellen erleichtern Cyber-Angreifern das Eindrigen in mittelständische IT-Systeme:
- Sicherheitsaudits im eigenen Unternehmen und auch bei Geschäftspartnern sind noch kein Standard
- Es gibt kaum eindeutig definierte Sicherheitsregeln zum Schutz sensibler Daten
- Es werden selten Status- und Bedarfsanalysen erstellt
- Vorhandene Sicherheits-Tools werden unzureichend genutzt
- Das Risiko aus mobil eingesetzten Geräten wird unterschätzt
- Risiken aus dem Informationsaustausch in sozialen Netzwerken werden außer Acht gelassen.
- Die Mitarbeiterloyalität ist schwer einschätzbar (insbesondere bei strukturellen Veränderungen im Unternehmen)
- Die rechtlichen, finanziellen und öffentlichen Auswirkungen von Cyberrisiken/-schäden werden unterschätzt.
Zur
Minimierung der Risiken (Eintritts- und
Auswirkungswahrscheinlichkeiten) durch Cyber-Angriffe bietet sich, wie
auch bei anderen „traditionellen“ Risiken, folgendes Vorgehen an:
- Detaillierte Aufarbeitung, Analyse und Bewertung des Ist-Standes in den Bereichen IT, Compliance und Recht
- Regelmäßige Überprüfung und Aktualisierung der Erkenntnisse und Maßnahmen
- Einrichtung einer Notfall-Planung und Benennung eines Krisenmanagements
- Verlagerung von Tätigkeiten und/oder Risiken auf Dritte (Service-Provider) und auf Versicherer.
Es wird häufig hilfreich sein, an dieser Stelle
spezielle Beratungsunternehmen hinzuzuziehen. Die eigenen IT- und
Rechtsabteilungen kennen zwar die Art und Qualität der implementierten
Maßnahmen, aber Consultingunternehmen kennen aus der Vielzahl der
unterschiedlichen Verhältnisse, Vorgänge und Anforderungen die Risiken
und Lücken und wissen, wie intern und extern vorgegangen werden kann.
Durch diese Identifizierung, Bewertung und zumindest partielle
Beseitigung von Schwachstellen wird die Risikolage schon deutlich
besser. In geringem Umfang kann bereits Versicherungsschutz über
traditionelle Versicherungsverträge (z.B. Sach- und
Betriebsunterbrechung, Vertrauensschaden, Elektronik, Haftpflicht,
Kidnapping und Ransom) bestehen. Eine relativ weitgehende Deckung ist
aber heute über sogenannte Cyber-Schutz-Policen beschaffbar. Diese
Deckungen werden mittlerweile von etlichen Versicherern mit
unterschiedlichen Bezeichnungen angeboten. Das Bedingungswerk ist
uneinheitlich, redaktionell und substanziell nur schwer vergleichbar.
Außerdem wird das Wording in kurzen Abständen den Marktanforderungen und
dem Wettbewerberverhalten angepasst.
Versicherbar sind im Wesentlichen:
Haftpflichtansprüche Dritter, z.B. durch Vertraulichkeits- und
Datenschutzverletzungen, Netzwerkssicherheitsverletzungen,
Vertragsstrafen
Eigenschäden/Kosten wie Informationskosten, Betriebsunterbrechungen,
Datenmanipulation, Erpressung, forensische Dienstleistungen (zur
Feststellung von Ursachen und Umfängen), Krisenberatungskosten (zur
Vermeidung von Reputationsschäden und zu angemessener Information der
Geschäftspartner, Behörden und Öffentlichkeit)
- Lösegeld
Die Prämien für diese Cyberdeckung sind
einzelfallbezogen. Kriterien sind u. a. die Art des Unternehmens,
Sicherheitsstandards, Deckungsumfänge, Versicherungssummen,
Selbstbehalte usw. Bei höheren Deckungssummen ist eine detaillierte
Risikoanalyse (siehe oben) Voraussetzung. Sowohl hinsichtlich der
Risikoanalysen als auch der versicherungstechnischen
Alternativen/Lösungen ist der professionelle Versicherungsmakler ein
hervorragender Partner. Er kann bei der Auswahl von Consultants helfen
und ist insbesondere bei der Konzeption, Ausschreibung und Platzierung
bedarfsgerechter Versicherungslösungen unverzichtbar.
Teilen:
