Es sind eklatante Lücken, die Mittelständler hierzulande im Bereich der Cyber-Sicherheit zeigen: Jedes fünfte kleine oder mittelgroße Unternehmen (KMU) verzichtet noch immer auf die Installation von Virenschutzprogrammen, jedes vierte hat keine Firewall, und sogar fast ein Drittel führt keine regelmäßigen Back-ups durch. Das zeigt die KMU Studie 2018 der Gothaer. „Dabei können etliche Angriffsszenarien bereits durch das Vorhalten eben dieser Sicherheitsmaßnahmen entschärft werden“, gibt Oliver Schulze, Produktmanager Cyber bei der Gothaer, zu bedenken.

Dieser Umstand scheint recht typisch für die deutsche Unternehmenslandschaft zu sein. Denn auch der Versicherer Hiscox hat ein ähnliches Ergebnis bei seinem Cyber Readiness Report 2018 beobachtet. Speziell bei Mittelständlern könne man ein Handlungsvakuum beobachten, sagt Ole Sieverding. „Die Verunsicherung ist nach wie vor groß und führt in vielen Fällen dazu, dass lieber nichts getan wird, als eine falsche Entscheidung zu riskieren und diese im Zweifelsfall verantworten zu müssen. Wobei Abwarten bei diesem Thema zu deutlich schwerer wiegenden Konsequenzen führen kann“, sagt der Cyber-Experte von Hiscox.

Schwerwiegend ist dabei der richtige Begriff, denn nicht selten haben Cyber-Angriffe mittlerweile existenzbedrohende Folgen. Und ungeschulte, nicht für Cyber-Gefahren sensibilisierte Mitarbeiter gelten als eines der Haupteinfallstore für Kriminelle. „Ein Klick auf einen infizierten E-Mail-Anhang oder das Anschließen eines gefundenen USB-Sticks mit Schadsoftware genügen schon, um Kriminellen Zugriff auf das IT-System eines Unternehmens zu verschaffen“, sagt Sieverding. Oft fehlt, gerade in kleineren Betrieben, auch ein Krisenplan – was im Ernstfall also zu machen ist, und wer welche Verantwortung trägt.

Spezielle Schulungen für Mitarbeiter

Hilfe bei diesen Fragen bieten Cyber-Versicherungen für Gewerbekunden. Denn Assistance-Leistungen wie die Erstellung eines Krisenplans oder die Schulung der Mitarbeiter sind in der Regel ein wesentlicher Baustein der Policen. Der Versicherer HDI beispielsweise arbeitet hier mit Perseus zusammen. Zum Cyber-Sicherheitskonzept des Start-ups gehören unter anderem die Schulung und regelmäßige Sensibilisierung von Mitarbeitern. Ein Online-Videotraining bietet dabei die Basis des Angebots von HDI und Perseus und informiert über Themen wie Cyber-Sicherheit und Datenschutz.

Außerdem gibt es regelmäßige Phishing-Tests für die Mitarbeiter – der Versuch des Identitätsdiebstahls mithilfe gefälschter Websites, E-Mails oder Kurznachrichten – sowie Tools zur Cyber-Sicherheit (Prüfung auf den Missbrauch des eigenen E-Mail- Kontos) und einen Alarmservice bei akuten flächendeckenden Cyber-Vorfällen.

Hotline für die ambulante Soforthilfe

Auch die Signal Iduna arbeitet mit Perseus zusammen und hat mit dem Start-up den „Digitalen Schutzschild“ herausgebracht, bei dem der „Perseus Cyber Security Club“ eine wichtige Komponente ist. „Der Club bietet Firmeninhabern und jedem Mitarbeiter Unterstützung und Fortbildung, um selbst zur Cyber-Sicherheit in den Betrieben beitragen zu können“, sagt Andreas Reinhold, Bereichsleiter Sach-Haftpflicht Produktmanagement und Underwriting bei der Signal Iduna.

Der Clou dabei: „Club-Mitglieder erhalten einen Beitragsnachlass auf unsere Cyber-Police, die die Schutzschild-Komponente Absicherung abdeckt“, sagt Reinhold. Dieser Schutz umfasse neben der reinen Versicherungsleistung auch aktive Hilfestellung im Schadenfall. Eine mit IT-Experten besetzte telefonische Hotline biete beispielsweise ambulante Soforthilfe. Reinhold: „Erfahrungsgemäß können so etwa 70 Prozent der Probleme gelöst werden.“

Gerade diese Assistance-Leistungen sind es, die Gewerbekunden bei einer Cyber-Versicherung auch besonders wichtig sind, zeigt die KMU Studie der Gothaer. 53 Prozent der Befragten war dies sehr wichtig, 45 Prozent schätzten das Angebot einer 24-Stunden-Notfallhotline und 41 Prozent wünschten sich Präventionsmaßnahmen wie Risiko- und Schwachstellen-Analysen für das eigene Unternehmen.

„Versicherungskunden ist wichtig, dass ihr Versicherer im Schadenfall für die entstandenen Kosten aufkommt“, sagt Hiscox-Mann Sieverding. „Bei einem Cyber-Vorfall ist dieser originäre Zweck einer Versicherung allerdings nachgelagert. Durch die Komplexität und Unerfahrenheit im Umgang mit Cyber-Attacken brauchen die meisten Unternehmen erst einmal unmittelbare Unterstützung in der Krise.“

Policen sollten regelmäßig aktualisiert werden

Eine gute Cyber-Police vereine daher eine weite, zukunftsgewandte Deckung mit starken Service-Leistungen. Die Risiken im Cyber-Umfeld wandelten sich rasant – Unternehmen stünden täglich neuen digitalen Bedrohungen gegenüber. Sieverding: „Diese Entwicklungen müssen regelmäßig von Versicherern in ihren Schutz aufgenommen werden. Wir haben unseren Cyber-Schutz Cyber Clear erst kürzlich zum vierten Mal innerhalb von acht Jahren seit dem Launch 2011 überarbeitet und erweitert.“

In der überarbeiteten Deckung schließt der Versicherer mit Cyber-Diebstahl zum Beispiel eine zusätzliche relevante Schadenquelle ein. Auch Vertragsstrafen der Kreditkartenindustrie werden nun ohne Entschädigungsgrenze berücksichtigt.

Betriebsunterbrechungen sollten mit abgedeckt sein

Für Signal-Iduna-Mann Reinhold sind wichtige Merkmale einer Cyber-Versicherung unter anderem, dass sie Eigenschäden, damit verbundene Betriebsunterbrechungen und verursachte Schäden bei Dritten, etwa durch virenverseuchte Mails, absichert. „Klar vereinbarte Versicherungssummen – zum Beispiel ohne die Unterscheidung von direkten und indirekten Cyber-Attacken – sind ein weiteres Cyber-Essential“, findet der Experte.

Zum Thema „klar vereinbart“ hat auch Michael Franke, Geschäftsführer des Analysehauses Franke und Bornberg, ein paar Takte zu sagen. Ende 2018 legte sein Haus das erste Rating für gewerbliche Cyber-Versicherungen vor. Das Fazit: „Noch herrscht nach unserem Eindruck eine hohe Unsicherheit bei der Entwicklung einer für Kunden wirkungsvollen und für den Versicherer tragbaren Risikodeckung“, so Franke. „Während viele Tarife in unserem Rating im durchaus positiv zu bewertenden Mittelfeld landen, ist die Leistungsspitze noch dünn – kein Produkt hat das Höchstrating FFF+ erreicht.“

Makler und Kunden müssten bei der Produktauswahl genau die Versicherungsbedingungen lesen, empfiehlt Franke. „So werden einige Angebote damit beworben, den Cloud-Ausfall zu versichern. Beim Blick ins Kleingedruckte zeigt sich jedoch, dass beispielsweise SaaS-Dienste – Software as a Service – ausgeschlossen sind.“ Unter diese Dienste fallen zum Beispiel Googles G Suite und Microsoft Office 365.

„Zudem sublimitieren die meisten Anbieter Angriffe auf den Betreiber einer Cloud – und in deren Folge Betriebsunterbrechungsschäden beim Versicherten – stark oder schließen diese Gefahr vom Versicherungsschutz gleich vollständig aus“, bemängelt Franke.

Begriffe müssen geschärft werden

Weiteren großen Nachholbedarf sehen die Rater in der Schärfung der verwendeten Begriffe, insbesondere bei den deckungsauslösenden Ereignissen, der Definition der versicherten IT-Systeme und den Obliegenheiten vor Eintritt des Versicherungsfalls. Franke: „Viele Versicherer nutzen zur Beschreibung deckungsauslösender Ereignisse vielfach Begriffe wie Cyber-Sicherheit, Cyber-Recht oder Cyber-Attacke, ohne diese eindeutig zu definieren.“

Problematisch sei auch oft die Formulierung der Obliegenheiten vor Eintritt des Versicherungsfalls, mit denen der Versicherungsnehmer das Schadenrisiko reduzieren soll. „Hier werden regelmäßig unbestimmte Begriffe verwendet, wie ,Stand der Technik’, oder es wird auf branchenübliche und angemessene Maßnahmen verwiesen“, moniert Franke.

Steigende Nachfrage nach den Policen

Auch wenn es also noch einiges zu tun gibt – Cyber-Versicherungen sind ein, wenn nicht der Zukunftsmarkt der Branche. „Derzeit wird die Absicherung durch eine Cyber-Police immer noch zu selten genutzt“, stellt Gothaer-Experte Schulze fest. „Wir spüren aber nach jedem öffentlichkeitswirksamen Hacker-Angriff eine deutlich steigende Nachfrage. Für die nächsten Jahre rechnen wir fest damit, dass die Cyber-Versicherung ein Standard Versicherungsprodukt werden wird, dass im Versicherungsportfolio nahezu jedes Unternehmens fest verankert sein wird.“