Gewappnet gegen Cybercrime

Simple Passwörter und fehlende Updates

Passwörter waren demnach das größte Problem bei der internen Sicherheit. Zu simpel, leicht zu knacken. „Tatsächlich konnten wir darüber die meisten Systeme übernehmen – außerdem dort, wo keine Updates eingespielt wurden. In solchen veralteten Systemen gibt es in der Regel immer Sicherheitslücken, die ich als Angreifer ausnutzen kann“, sagt der IT-Experte, der für die VdS Schadenverhütung maßgeblich an IT-Sicherheitsrichtlinien arbeitet. Dazu kommen teils ungeschützte, leicht zugängliche Server – ein großes Handicap, wenn Angreifer von innen kommen. Für den ständigen Zugriff auf das Netzwerk reicht nach Wiesners Worten schon eine Netzwerkdose, in die dann ein kleines Gerät gesteckt wird. „Das baut z. B. über Mobilfunk eine Verbindung zum PC des Angreifers auf. So kann der von jedem Ort der Welt aus Daten abfischen.“

Plan B im Schubfach

Seine Empfehlung: Neben einer guten Prävention braucht man vor allem auch einen Plan B. Den arbeitet man dann ab – ohne noch lange nachdenken zu müssen: Was passiert, wenn es passiert ist? Wie kommt man wieder auf die Beine? Wie kann man Ausfallzeiten minimieren? „Früher nannte man das klassisch IT-Notfallmanagement, heutzutage neudeutsch Cyber-Resilienz. Das ist der wichtigste Punkt, weil man im Grunde immer damit rechnen muss, dass man angegriffen wird.“ Darüber hinaus empfiehlt der Cyberexperte, auch eine Cyberpolice in Erwägung zu ziehen, wenn sie noch nicht da ist. „Weil man sich eben nicht zu hundert Prozent technisch absichern kann.“

Cyberpolice im Rating – Mehrzahl im Mittelfeld

Im Kern tritt die Cyber-Versicherung ein für Schäden des versicherten Betriebs – sogenannter Eigenschaden – oder Dritter wie beispielsweise Kunden (Drittschaden) durch ungewollte Einwirkungen, Zugriffe und Nutzung betrieblicher IT-Systeme sowie für Kosten, die im Zuge des Cyber-Schadens entstehen. Das Angebot von Cyberpolicen auch für kleine und mittlere Betriebe hat sich in den letzten zwei bis drei Jahren deutlich erhöht, so dass es mittlerweile sogar für ein erstes Rating reichte. Das ist allerdings ernüchternd. Auf Anhieb schaffte kein Produkt in der Bewertung des Analysehauses Franke und Bornberg das Höchstrating FFF+. „Die Leistungsspitze ist noch dünn. Hier gibt es noch Luft nach oben“, kommentieren die Rating-Experten das Ergebnis. Die Mehrzahl der Tarife landete im Mittelfeld. Nur zwei Angebote erreichten die zweitbeste Note FFF (siehe Tabelle 1).

Tabelle 1: (Quelle: HUSS-MEDIEN GmbH)

Als Standard hat sich nach Recherchen des Analysehauses dabei folgender Deckungsumfang bei gewerblichen Cyberpolicen etabliert:

• Wiederherstellung von Daten, Programmen & Systemen

• IT-Forensik durch Sachverständige zur Feststellung von Ursache und Ausmaß des Schadens

• Beratung zur Kommunikation im Krisenfall

• Benachrichtigung von Betroffenen einer Datenschutzverletzung sowie

• Rechtsberatung zu den Informationspflichten.

Im Detail unterscheidet sich der Deckungsumfang je nach Anbieter dennoch erheblich. Das betrifft etwa die erste Hilfe durch IT-Forensiker, PR-Profis und spezialisierte Juristen bei einem Cybervorfall. Es macht dann schon einen Unterschied, ob das Management dieser Experten allein dem Betrieb überlassen bleibt – wie das in vielen Angeboten der Fall sei. Oder ob auch das Krisenmanagement mitversichert ist, unabdingbar für ein Top-Produkt. Darauf weisen die Experten von Franke und Bornberg hin.

Mitarbeitertraining mit abgedeckt

Ergänzend zu den Assistance- und sonstigen Leistungen im Schadenfall bieten neueste Tarife auch Unterstützung bei der betrieblichen Prävention – Stichwort Mitarbeitersensibilisierung, bekanntlich die größte Herausforderung für die allermeisten Unternehmen.

Das schließt z. B. in der Basisvariante von Pro Cyber 2019 des Versicherers Markel u. a. eine einmalige IT-Sicherheitsüberprüfung ein, außerdem Online-Training Cybersicherheit für maximal drei Mitarbeiter, einen einmaligen Phishing-Test sowie einen Passwortgenerator und diverse Checklisten mit Anregungen für mögliche organisatorische und technische Maßnahmen im Unternehmen. In der Premiumvariante sind es u. a. laufende Phishing-Tests, Online-Training für eine unbegrenzte Mitarbeiterzahl, Online-Konten-Check, E-Mail-Scanner sowie Angriffsalarm.

Inzwischen gibt es auch erste branchenbezogene Versicherungskonzepte. Ein diesbezügliches Angebot macht mit CyberVlex beispielsweise der Assekuradeur Victor (Deutschland). „Wir beobachten deutliche Unterschiede in Aufbau und Umfang der Cyber-Bedingungen. Vom großen Komplettpaket über Baukastensysteme bis hin zu eng gefassten Kern-Deckungen ist alles vertreten“, konstatiert Michael Franke, geschäftsführender Gesellschafter der Franke und Bornberg Research GmbH.

Mit den Cyberschutz-Musterbedingungen des GDV für kleine und mittlere Unternehmen liegt zwar nunmehr ein unverbindlicher Orientierungsrahmen vor. Doch längst nicht alle Anbieter greifen darauf zurück.