Pfefferminzia: Beinah täglich ist in der Presse von Attacken per Internet zu lesen – müssen sich auch kleinere Unternehmen und Selbstständige Sorgen machen oder trifft es nur die „Großen“?
Tobias Warweg: Cyberkriminalität betrifft heute alle Unternehmen. So geht der Digitalverband Bitkom in einer 2017 veröffentlichten Studie davon aus, dass mehr als die Hälfte der Unternehmen in Deutschland – 53 Prozent – in den beiden Jahren zuvor Opfer von Wirtschaftsspionage, Sabotage oder Datendiebstahl geworden seien.
Insbesondere bei kleineren Unternehmen und Selbstständigen sind Cyberangriffe eine ernst zu nehmende Gefahr und ein Angriff aus dem Netz kann schnell die Existenz gefährden.
Können Sie das konkretisieren?
Gerade in spezialisierten Betrieben häufig enormes fachliches Know-how konzentriert. Das wissen auch Hacker! Kleine und mittelständische Unternehmen (KMU) sind damit lohnende Ziele für Cyber-Attacken. Außerdem sind kleinere Unternehmen, dort wo sich Großunternehmen eigene IT-Abteilungen und Experten für IT-Sicherheit leisten, in der Regel auf externe Dienstleister angewiesen. Aus Kosten- und Kapazitätsgründen kann eine lückenlose Überwachung der IT oft nicht gewährleistet werden.
Dazu kommt, dass kleinere Unternehmen häufig nicht gezielt, sondern sozusagen „mit der Schrotflinte“ angegriffen werden. Kriminelle setzten dazu ihre Schadsoftware auf eine große Zahl kleinerer Unternehmen an. Einige sind dann immer dabei, in denen zum Beispiel mit Schadsoftware präparierte Mail-Anhänge geöffnet werden, so dass die Schadsoftware zum Beispiel Unternehmensdaten verschlüsseln kann. Das ist für die Kriminellen wenig Aufwand und in der Summe durchaus lohnend. Dazu kommt, dass die betroffenen Unternehmen häufig die von den Erpressern geforderten oft nicht sehr hohen Beträge bezahlen, um schnell wieder an ihre Daten zu kommen. Doch selbst wenn die Daten nach dem Entsperren wieder zugänglich sind, ist die Schadsoftware immer noch im System und kann, falls sie nicht professionell entfernt wird, gegebenenfalls durch die Erpresser wieder reaktiviert werden.
Wenn es nun heißt, so auch bei HDI, dass Cyberschutz für Unternehmen so essentiell ist wie eine Haftpflicht- oder Feuerdeckung, sollte der Vertrieb doch vergleichsweise einfach sein – deckt sich dies mit der Realität?
Wir sehen momentan, dass das Geschäft im Segment der Gewerbe- und Firmenkunden anzieht. Der Vertrieb von Cyberversicherungen erhält Rückenwind durch das zunehmende Bewusstsein unserer Kunden, dass es faktisch keine 100-prozentige Sicherheit vor Cyber-Angriffen geben kann. Die Neuregelung der Datenschutz-Grundverordnung (DSGVO) wird diese Entwicklung weiter beschleunigen, denn eine Cyber-Attacke führt regelmäßig auch zu einer datenrechtlichen Situation. Der Markt für Cyberversicherungen ist insgesamt noch in einer frühen Phase, aber der Bekanntheitsgrad der Cyber-Produkte wird meines Erachtens schnell zunehmen. HDI begleitet diese Entwicklung sehr aktiv durch multimediale Inhalte, Informationsveranstaltungen und Webinare. Wir bedienen die Kunden und Vermittler hier auf allen Kanälen.
Wie muss ein Versicherungsschutz aufgebaut sein, um Makler und dessen Kunden zu überzeugen?
Unsere neue Cyberversicherung gehört zu den besten Tarifen im Markt und wir möchten hier mit einem umfangreichen Deckungsumfang punkten, der einen optimalen Versicherungsschutz zu einer wettbewerbsfähigen Prämie bietet. Einen Preiswettbewerb, wie er teilweise in anderen Märkten beobachtbar ist, halte ich für bedenklich. Der Versicherungsschutz sollte flexibel an den Kundenbedarf anpassbar sein. Dazu zählen zum Beispiel optionale Einschlüsse für Cyber-Diebstahl, Cloud-Dienstleistungen oder Erfüllungsschäden. Das Tarifierungsmodell sollte einfach und transparent sein, um eine Online-Quotierung zu ermöglichen. Bei HDI besteht diese Möglichkeit über die Strecke von Firmen Digital.
Das Gefahrenspektrum ist breit gestreckt: Von Informationssicherheitsverletzungen über Diebstahl von Daten oder der Verletzung von Betriebs- und Geschäftsgeheimnissen Dritter. Auf welche Bereiche sollte das Hauptaugenmerk liegen?
Durch Trojaner, Viren, Schadsoftware und Cyberattacken kann der Geschäftserfolg eines Unternehmens erheblich geschädigt werden. Betriebsabläufe können gestört werden, sensible Daten verloren gehen oder in die falschen Hände geraten. Neben den unmittelbaren Schäden zum Beispiel an der eigenen IT oder durch Kosten für Betriebsunterbrechung oder eine Wiederherstellung der Daten sind die mittelbaren Schäden oft viel weitreichender. Zum Beispiel kann das Vertrauen der Kunden erschüttert sein, es kann zu Klagen kommen. Ein Albtraum für kleine und mittelständische Unternehmen, für Kanzleien und Arztpraxen. Die hohen Kosten, die Cyberangriffe nach sich ziehen können, aber auch die verschärfende Datenschutz-Grundverordnung erfordern daher einen starken und verlässlichen Partner, sowie einen Ad-hoc-Krisenplan für den Fall der Fälle.
Hier sollte auch ein Hauptaugenmerk liegen: Der Versicherungspartner muss mehr bieten als nur Versicherungsschutz. Denn existenziell wichtig ist die professionelle Hilfe im Schadenfall. Der Cyberschutz von HDI ist deshalb auch mehr als nur Versicherung. Eine 24/7–Hotline und ein IT-Dienstleister, der sich durch besondere Expertise in Sachen Cybersicherheit auszeichnet, sind dabei Dreh- und Angelpunkte. Wir wollen durch unser Schutzkonzept erreichen, dass ein Schaden möglichst gar nicht entsteht oder zumindest noch im Anfangsstadium eingedämmt werden kann. Dazu muss der Kunde aber sofort reagieren, sobald er einen Cyberangriff auf seine Daten auch nur vermutet. Die Kosten für die Schadenfeststellung werden von HDI deshalb innerhalb der ersten 48 Stunden ohne Anrechnung auf einen Selbstbehalt übernommen. Bei einer Bedrohung schaltet sich der Cyberexperte per Fernwartung auf den betroffenen Rechner und beginnt mit der Forensik. In den ersten 90 Minuten geschieht dies ebenfalls ohne Anrechnung auf den Selbstbehalt.
Dazu haben wir noch einen weiteren Punkt aufgenommen, der meines Erachtens immer wichtiger wird: Um ein potenzielles Einfallstor für Schadsoftware zu schließen haben wir eine „Bring your own Device“-Deckung bereits in die Basisversion der HDI Cyberversicherung mit aufgenommen.
Was hat es mit der „Bring your own Device“-Deckung auf sich?
Häufig schaffen sich Mitarbeiter privat hochwertige und leistungsfähige IT-Komponenten wie Smartphones oder Tablets an, die sie auch für ihre beruflichen Aufgaben gerne einsetzen. Und immer mehr Unternehmen gestatten ihren Mitarbeitern diesen Einsatz. Nicht selten sind die Schutzkomponenten dieser Devices wie Virenschutz oder Firewall jedoch sehr unterschiedlich ausgeprägt. Voraussetzung des Versicherungsschutzes ist deshalb eine vertragliche Regelung zwischen Unternehmen und Mitarbeiter, in dem dieser und andere sicherheitsrelevante Aspekte geregelt werden. Das potenzielle Einfallstor kann auf diese Weise wieder geschlossen werden.
Wie gehen Sie in der Prämienkalkulation vor – gibt es hier schon Erfahrungswerte?
Die Schadenerfahrung, auf deren Hintergrund Versicherungsprodukte in der Regel kalkuliert werden, ist am Markt im Hinblick auf Cyber-Deckungen insbesondere in Deutschland noch relativ gering. Wir haben daher zum Beispiel Schadenerfahrungen aus den Erfahrungen unseres Konzernumfelds von Märkten, an denen Cyberversicherungen schon sehr viel verbreiteter sind, in die Tarifierung mit einfließen lassen.
Außerdem haben wir es bei Cyber-Risiken mit einem sehr dynamischen Umfeld zu tun, das nur bedingt durch Schadenhistorien beschreibbar ist. Daher beziehen wir verschiedene Studien bei der Bewertung der Risiken mit ein. Und über Beitragsanpassungen lassen sich neue Erkenntnisse auch in laufende Verträge einbringen.
Mit zunehmender Schadenerfahrung werden regelmäßige Produktanpassungen erforderlich sein. Und mit weiterem Fortschreiten der Digitalisierung wird auch eine weitgehende Standardisierung der Versicherungsprodukte erfolgen.
