Warum ist eine Cyber Risk Versicherung sinnvoll?
Seit 2009 sind Angriffe auf Firmen und Unternehmen aus dem Internet um über 70% gestiegen – in den letzten beiden Jahren sprunghaft. Auch die Schäden, die im einzelnen Fall entstehen, sind unverhältnismäßig hoch. Im Durchschnitt verursacht ein erfolgreich durchgeführter Hacker-Angriff einen Schaden von gut 3 Millionen Euro.
Nicht nur IT-Abteilungen und IT-Unternehmen sind betroffen
Das zentrale Thema Datenschutz ist bei den meisten mittelständischen und größeren Unternehmen bereits Aufgabe der Unternehmensführung selbst. Nicht mehr nur IT-Abteilungen sind mit der Bewertung von Risiken und Vorsorge betraut. Datensicherheit – zum Schutz des eigenen Unternehmens und zu Schutz der Kunden – spielt eine herausragende Rolle.
Das erhöht paradoxer Weise das Risiko: Denn das Ausspähen von Informationen, gezielte interne Angriffe auf Netzwerke – absichtlich oder unabsichtlich z.B. durch infizierte Home-Office-Rechner – lässt sich nicht mehr nur durch erhöhte Sicherheitsstandards einzelner Unternehmensabteilungen verhindern. Das Risiko interner Quellen von Internet-Kriminalität, das Cyber Risk, steigt mit der Vernetzung der Unternehmen, Kunden und Mitarbeiter.
Schon längst sind nicht mehr nur Unternehmen, die ihre geschäftliche Tätigkeit im Internet direkt umsetzen, betroffen. Jedes mittlere und größere Unternehmen hat attraktive Geschäftsgeheimnisse, für die sich international konkurrierende Unternehmen und organisierte „Daten-Diebe“ interessieren. Geschäftsdaten, Kundendaten, Produkt-Entwicklung und strategische Vorhaben des Unternehmens sind nur ein Teil der erhofften Informationen.
Cyber Risk ist komplex
Nicht nur direkt mit dem Internet verbundene Datenquellen müssen geschützt werden. Infizierte tragbare Rechner oder Festplatten, die im Zuge des Work-Flow zeitweise mit internen Netzen verbunden werden müssen, können ein Einfallstor für Viren oder Späh-Software sein. Firmendaten sind häufig auch auf Laptops der Mitarbeiter im Home-Office und im Außendienst gespeichert. Die Verbreitung von Trojanern – gezielt für das Ausspähen von Informationen geschriebener Schad-Software – macht auch arglose Mitarbeiter zum Risiko. Sie sorgen unbemerkt für Datenlecks. Die IT-Sicherheit muss all diese Formen des Cyber Risk erfassen und Vorsorge treffen. Ein komplexes, nie ganz abschließbares Vorhaben.
Modernste Kriminalität vs. traditionelle Haftung
Was auf der einen Seite nach Herausforderungen modernster Natur klingt, hat auf der anderen Seite sehr bodenständige Konsequenzen. Denn für die Schäden, die durch Hacker-Angriffe auf ein Unternehmen entstehen, haftet das Unternehmen seinen Kunden gegenüber auf klassischer gesetzlicher Grundlage der Haftpflicht.
Das Problem: Cyber Risk sind nicht über die Betriebshaftpflicht und auch nicht über eine herkömmliche Produkthaftpflicht-Versicherung abzudecken. Die Risiko-Lage bezieht sich in so gut wie allen Fällen auf Vermögensschäden und aus Verstößen gegen die Datensicherheit resultierenden Folgeschäden.
Die Cyber Risk Versicherung ist bislang das einzige entwickelte Versicherungsmodell, dass die genannten Szenarien in angemessener Weise abdeckt. Die Bezeichnung ist noch nicht standardisiert. Auch Lösungen wie die Datenschutzversicherung, Data Risk Police, Data Protect-Versicherung und Hacker-Versicherung werden von Versicherungsunternehmen mit jeweils ähnlichen Inhalten angeboten.
Außenwirkung und Reputation
Zusätzlich entsteht Unternehmen nach Hacker-Angriffen oft ein enormer Vertrauensverlust. Daneben müssen Unternehmen bestimmter Branchen nach dem IT-Sicherheitsgesetz von 2015 schwere Hacker-Angriffe
den zuständigen Stellen beim Bund melden.
Das macht solche Vorgänge noch öffentlicher.
Der Vertrauensverlust muss schnell und wirksam kompensiert werden.
Welche Leistungen, Gefahren und Schäden sind in einer Cyber Risk Versicherung abgedeckt und enthalten?
Die Cyber Risk Versicherung deckt Schäden am Unternehmen nach innen und nach außen ab.
Haftung für Schäden den Kunden gegenüber
Gehen durch einen Hacker-Angriff Kundendaten verloren und entsteht dem Kunden durch anschließenden Missbrauch ein Schaden (auch der Vertrauensverlust gegenüber dem Markt kann ein solcher Schaden sein), haftet das Unternehmen. Die Cyber Risk Versicherung trägt diese Haftung mit und ersetzt entstandene Schäden.
Versichert werden Schäden aus
- Datenlecks bei überlassenen Daten (z.B. aus dem E-Mail-Verkehr oder im Zuge von Projektentwicklungen geteilten Projekt-Daten)
- Entwendung von Adressdaten eines Kunden oder des Unternehmens selbst mit Abwehrdeckung gegen Drittschäden
- Schäden, die aus Datenträger-Diebstahl resultieren
Erstattung von Eigenschäden
Eine wichtige Eigenschaft der Cyber Risk Versicherung ist die Absicherung gegen Schäden, die das Unternehmen selbst treffen. Sie können sehr umfangreich sein. Betroffen ist meist die IT-Infratsruktur, Website, Shop-Systeme und Schnittstellen interner und externer Netzwerke.
Die Erstattung von Eigenschäden am Unternehmen selbst umfasst:
- Maßnahmen zur Wiederherstellung betroffener Infrastruktur-Einrichtungen der IT, der Datensicherheit und der Schnittstellen
- Honorare für Spezialisten zu Schadenanalyse und fachrechtlichen Vertretung eigener Ansprüche, auch Abwehransprüche und Strafrechtsschutz
- geschäftsstützende Leistungen zur Fortführung des Geschäftsbetriebs im Zuge der Reparatur-Dauer
- Leistungen zum Krisenmanagement, Unterstützung in der PR
und je nach genauer Aufstellung der Cyber Risk Versicherung auch Leistungen zur Überbrückung einer Betriebsunterbrechung.
Welche Kosten werden von der Cyber Risk Versicherung im Schadenfall übernommen?
- Ausfallkosten
Fällt eine Unternehmens-Struktur aus, wie z.B. ein Shop oder ähnliches, kann die Cyber Risk Versicherung die Kosten für Wiederherstellung, Wartung und auch die Ausfall tragen. - Ersatzkosten
Verluste von Datenträgern, Wiederbeschaffungskosten für infrastrukturelle Einrichtungen und Reparaturkosten können ebenfalls über die Cyber Risk Versicherung abgedeckt werden. Die Zusammenstellung der Versicherungsleistungen kann auf die jeweiligen Ansprüche des Unternehmens zugeschnitten werden. Auswahlkriterien bieten die Versicherungsunternehmen, die die entsprechenden Lösungen bereitstellen. Welche das sind, zeigt ein Vergleich. - Wiederherstellung von Daten
Übernimmt ein Unternehmen Daten (z.B. Produktionsdaten, Adressen, Software) und kommt es im Zusammenhang mit der Bearbeitung zu Schäden an den Daten, zu Datenverlust durch schuldhaften mechanische oder Hacking-Eingriffe, ersetzt die Cyber Risk Versicherung Kosten für die Wiederherstellung oder Neubeschaffung verlorener Daten. Auch die Neuerfassung von verloren gegangenen Adressdaten kann darin enthalten sein. - Schadenersatzzahlungen
Kosten aus berechtigten Schadenersatzforderungen betroffener Dritter gehören in die grundlegende Absicherung der Cyber Risk Versicherung. Dritten gegenüber steht die Cyber Risk Versicherung für die Schadenersatzzahlungen anstelle des Unternehmens ein. Deckungssummen werden dazu vereinbart. - Abwehrdeckung für nicht korrekte Schadenersatzforderungen
Nicht immer werden Schadenersatzforderungen zu Recht erhoben. Die Cyber Risk Versicherung prüft für das versicherte Unternehmen, ob und in welchem Umfang erhobene Forderungen berechtigt sind. Es gleicht den Schaden soweit aus, wie eine Berechtigung besteht. Unberechtigte Forderungen werden zurückgewiesen. Die Abwehrdeckung geht nicht zulasten der für Schadenersatzzahlungen vereinbarten Deckungssumme.
Welche Kosten werden von der Cyber Risk Versicherung nicht übernommen?
Die Cyber Risk Versicherung ist im Kern eine Vermögensschaden-Versicherung, die nicht in jedem Fall betrieblicher Haftungsverpflichtungen eintritt.
Ihr Geltungsbereich ist zudem klar auf IT-Strukturen und damit zusammenhängende Datensicherheit beschränkt.
Vor diesem Hintergrund werden nicht übernommen:
- Kosten nach Schäden an Personen (durch Fehlfunktion von Maschinen, auch wenn IT-Fehler der Grund waren)
- Kosten nach Schäden an Sachen (Logistik-Software fehlerhaft)
- Kosten, die nach Vermögensschäden aus Entscheidungen der Geschäftsführung resultieren
Produkthaftungskosten, die durch Produktionsfehler im Unternehmen entstehen - generell Kosten, für die eine andere Unternehmens-Versicherung einstehen muss
Was muss im Schadenfall passieren?
Schadenfälle im Zusammenhang mit IT-Sicherheit sind oft komplex. In vielen Fällen wird ein Angriff erst verspätet bemerkt. Umfang und Ausmaß der Folgen sind selten gleich zu Beginn völlig klar.
Und welche Maßnahmen schnell wieder eine normale Geschäftsfähigkeit herstellen können, ist oft zunächst unklar.
Im Schadenfall ist vor diesem Hintergrund umsichtiges Handeln oberste Regel.
Wie in anderen Versicherungsformen auch, geht die Meldung des Schadenfalls vor.
In der Folge:
- muss geklärt werden, wie es zum Schaden kommen konnte (Forensik, Kosten in der Cyber Risk Versicherung abgesichert)
- welche internen Maßnahmen zur Behebung erfolgen müssen und welche Kosten die Cyber Risk Versicherung trägt
- Absicherung der Außenwirkung, PR-Unterstützung durch die Cyber Risk Versicherung
- Wiederherstellung der Betriebsfähigkeit durch Reparatur, Kommunikation und
- Wiederherstellung von Daten
Für bestimmte Branchen muss nach dem IT-Sicherheitsgesetz eine Meldung an das Bundesamt für Sicherheit in der Informationstechnik erfolgen. Diese Meldung kann auch anonym abgegeben werden, wenn keine unmittelbare Gefahr für die Betriebsfähigkeit besteht.
Wann beginnt der Versicherungsschutz?
Der Versicherungsschutz beginnt unmittelbar zum vereinbarten Zeitpunkt. Er gilt für alle aktuellen Ereignisse, deren Ursache nach Abschluss der Versicherung eintritt. In bestimmtem Rahmen gelten Rückversicherungsvereinbarungen, wenn keine Kenntnisse über vorliegende Schäden vorgelegen haben, als die Police abgeschlossen wurde.
Welche Deckungssumme wird für die Cyber Risk Versicherung empfohlen? Wie wird sie ermittelt?
2 Deckungssummen werden in der Cyber Risk Versicherung unterschieden.
Die Summe der Haftungsdeckung nach außen wird maßgeblich von der Größe des Unternehmens bestimmt, seinem Geschäftsfeld und entsprechende branchenüblichen Haftungssummen.
Die Deckungssumme für Eigenschäden wird nach dem konkreten Bedarf und Schadenrisiko des Unternehmens bestimmt.
Wonach richtet sich die Prämie und über welche Faktoren kann Einfluss genommen werden?
Die Prämie wird maßgeblich durch die Deckungssumme bestimmt. Faktoren wie Unternehmensgröße und Autragsumfang sowie das Schadenpotential bei den Kunden spielen dafür eine Rolle.
Über Selbstbeteiligungen kann Einfluss auf die Beitragsgestaltung genommen werden. Die Selbstbeteiligung kann monetär wie auch zeitlich (Eintritt einer Ausfallversicherung erst nach einer vereinbarten Zeitspanne der Ausfalldauer) vereinbart werden oder in Kombination beider Faktoren.
Was muss beim Abschluss einer Cyber Risk Versicherung beachtet werden?
Die Cyber Risk Versicherung muss in das Versicherungsprofil des Unternehmens eingegliedert werden. Hierzu muss vor allem geprüft werden, welche Versicherungsformen bereits ähnliche Leistungen der Cyber Risk Versicherung übernehmen.
Im Fokus sollten Elektronik-Versicherungen und Betriebsunterbrechungsversicherungen stehen. Ggf. können hier Leistungen gestrichen oder durch die Cyber Risk Versicherung ersetzt werden. Der Vergleich zeigt, welche Leistungen unterschiedliche Versicherungsunternehmen in der Cyber Risk Versicherung zusammenfassen und wie sie ausgewählt werden können.
Können die Prämien für die Cyber Risk Versicherung von der Steuer abgesetzt werden?
Je nach Art des Unternehmens ist die Cyber Risk Versicherung eine Versicherungsform, die den Fortbestand des Unternehmens im Schadenfall sichern muss. Insofern ist mindestens für den Teil der Haftpflicht als auch den auf die grundlegenden Geschäftsbedürfnisse gerichteten Leistungen der Cyber Risk Versicherung eine Absetzbarkeit wahrscheinlich.
Genau geprüft werden muss jedoch, wie das einzelne Unternehmen zur Cyber Risk Versicherung steht und welche Leistungen steuerlich geltend gemacht werden können.
Was ist bei einem Wechsel der Cyber Risk Versicherung zu beachten? Wie wird er vorbereitet?
Das Angebot im Bereich der Cyber Risk Versicherung wechselt schnell. Das Leistungsspektrum nimmt stetig zu. Mit einem regelmäßigen Vergleich bleiben Sie auf dem Laufenden, was die Entwicklung auf dem Markt angeht.
Zur Vorbereitung eines Wechsels muss geprüft werden:
- Wie lange besteht der Mindestversicherungszeitraum in der aktueller Police?
- Zu welchem Zeitpunkt ist der nächste Wechsel möglich?
- Welche Kündigungsfrist muss eingehalten werden?
- Sind alle Haftungsrisiken im neuen Vertrag abgedeckt?
Kontaktieren Sie uns gern zur ausführlichen Beratung oder vergleichen Sie direkt online.
