Seit einiger Zeit gehört die Cyberversicherung zum Standard-Programm an betrieblichen Versicherungen, genau wie etwa Betriebshaftpflicht-Policen oder Geschäftsinhaltsversicherungen. Ob die Versicherung sinnvoll ist, hängt vom individuellen und vom Branchen-Risiko des Unternehmens oder des Selbstständigen ab. Die Auswahl der vorteilhaften Angebote auf dem unübersichtlichen Markt ist jedenfalls nicht einfach.
Cyberversicherung: Schutz vor Schäden durch Trojaner, Hacks und Datenverluste
Die Deckungen und Bedingungen der verschiedenen Cyberversicherungsangebote unterscheiden sich deutlich. Im Kern geht es jedoch immer um eine Versicherung gegen Schäden durch die Risiken des Internets oder, wie es im Jargon der Versicherungsbedingungen heißt, um „Informationssicherheitsverletzungen“ und „Datenschutzrechtsverletzungen“.
Versicherte Schadensfälle sind beispielsweise:
- ein gezielter Hacker-Angriff auf genau Ihr Unternehmen: Die E-Mail kommt scheinbar von einem bekannten Geschäftskontakt. Der Anhang späht jedoch dem Laptop des Chefs die Passwörter aus. Diese werden für Betrügereien genutzt.
- ein zufällige Infektion: Der Praktikant ruft einen zweifelhaften Link auf. Alle Daten im Firmennetzwerk werden im Hintergrund verschlüsselt, dann geht plötzlich nichts mehr und die Ransomware öffnet ein Hinweisfenster, das eine hohe Erpresser-Summe fordert.
- Datenverluste: der Mitarbeiter löscht aus Versehen die in der Unternehmenscloud gespeicherten Projektdaten einschließlich der Sicherungen.
- Datenschutzverletzungen: durch schlampige Administration lagen alle Informationen über Kunden des Unternehmens unverschlüsselt auf einem öffentlich zugänglichen Server, von dort haben Unbekannte sie heruntergeladen.
Versicherte Schäden
Der Versicherungsschutz umfasst in der Regel folgende Punkte:
- Ihre Eigenschäden: dazu gehört zum Beispiel der Umsatzausfall durch den Ausfall des Online-Shops oder die ausgefallenen Firmenrechner. Auch die Kosten für die gesetzlich vorgeschriebene Benachrichtigung aller Betroffenen nach einem Diebstahl von Personendaten sind Eigenschäden.
- Haftpflicht für Drittschäden: Ein Beispiel wäre Schadenersatz an andere Unternehmen, an die man Computerviren weitergegeben hat. Auch Schadenersatzforderungen Betroffener nach einem Datendiebstahl sind versichert, etwa weil ihre Identitäten oder Zahlungsdaten missbraucht wurden, oder auch nur aufgrund des Datenschutzverstoßes.
- Rechtsschutz: die Cyber-Versicherung übernimmt die Rechtskosten, wenn das Unternehmen nach einem Hackerangriff auf Schadenersatz verklagt wird.
- Notfall-Dienstleistungen: Viele Cyber-Versicherer stellen im Fall eines erfolgreichen Cyber-Angriffs IT-Notfallexperten bereit, die die Systeme sichern und den Tathergang forensisch klären. Oft gibt es auch Hilfe bei der Krisen-Kommunikation und entsprechende Rechtsberatung. (Ganz uneigennützig ist das nicht. Solche Dienstleistungen senken den Schaden, den der Versicherer begleichen muss.)
- Manche Policen versichern auch Betriebsunterbrechung – nach dem die IT lahmgelegt wurde, liegt auch die Produktion lahm, Fixkosten und Löhne fallen weiter an, und Vertrauensschäden – ein Insider, etwa ein unzufriedener Angestellter, verkauft Firmendaten oder sabotiert die IT-Systeme. Solche zusätzlichen Deckungen werden oft über Bausteine geregelt, die in den Versicherungsvertrag einbezogen werden.
Wichtig: nicht alle Cyberversicherungsprodukte umfassen alle diese Deckungen. Entscheidend ist außerdem stets die Versicherungssumme.
Auch bei Cyberversicherungen gibt es Sublimits. Das bedeutet, dass für bestimmte Schadensfälle die Versicherungssumme gedeckelt ist. Beispiel: Die Versicherungssumme beträgt generell zwei Millionen Euro, Schäden durch Cyber-Betrug werden nur bis zur Höhe von 50.000 Euro ersetzt.
Die Gefahr der Doppeldeckung und der Unterdeckung
Die Cyberversicherung ist damit eine Querschnittsversicherung, anders als die meisten anderen betrieblichen Versicherungen: sie versichert Sachschäden, Haftpflicht und Rechtsschutz. Das kann leicht zu Fehlversicherungen führen:
- Zum einen besteht die Gefahr der Überdeckung: das Risiko von Rechtskosten nach einer Datenschutzverletzung ist Bestandteil der Cyberversicherung und der allgemeinen Rechtsschutzversicherung des Betriebs. Der muss dafür also doppelt bezahlen.
- Zum anderen ergeben sich leicht Deckungslücken: weil die Cyber-Versicherung bereits Hardware-Schäden abdeckt, verzichtet man auf eine Elektronikversicherung. Die Leistung der Cyberpolice ist aber auf Schäden durch Cyber-Vorfälle beschränkt. Ein Einbruchs- oder Wasserschaden ist nicht eingeschlossen.
Welche Selbstständigen oder Unternehmen brauchen eine Cyber-Versicherung?
Die Zeit für Illusionen ist vorbei. Das Risiko, zum Opfer eines Cyber-Angriffs oder einer Datensicherheitsverletzung zu werden, ist selbst für kleine Unternehmen oder Selbstständige sehr hoch. 90 Prozent der Unternehmen werden Opfer von Datendiebstahl, Spionage oder Sabotage, ergab eine Studie des IT-Branchenverbands bitkom. Wer sich einen Eindruck von der Lage verschaffen will, kann dafür die Statistiken von KonBriefing zu „Cyberangriffen/Ransomware“ ansehen, beispielsweise zum Oktober 2022. Und das sind nur die Fälle, die öffentlich werden.
Trotzdem lohnt es sich, das eigene Cyber-Risiko genauer zu betrachten. Wie viel Umsatz wird über das Internet generiert? Wie viele personenbezogene Daten speichert das Unternehmen? Nutzt man Cloud-Speicher und ausgelagerte Programme? Was passiert, wenn morgen alle Datenträger verschlüsselt sind? Welche Informationen könnte ein Eindringling im Unternehmensnetz stehlen? Was wären die wirtschaftlichen und rechtlichen Folgen? Wie teuer kommt eine Betriebsunterbrechung von einer, zwei, fünf Wochen? Wie viele Leute haben Zugriff auf das Firmennetzwerk? Wie aktuell ist die eigene IT, und wie professionell wird sie administriert?
Die Antworten auf solche Fragen ergeben nicht nur, ob eine Cyberversicherung sinnvoll ist. Aus ihnen folgt auch, welche Höhe der Versicherungsschutz haben sollte.
Viel wert: ein vertrauenswürdiger Versicherungsmakler
Anders als ein Großunternehmen können kleinere Unternehmen und Selbstständige ihre Versicherungsverträge nicht individuell aushandeln. Sie müssen aus den Produkten auswählen, die der Markt anbietet, und deren vorgegebene Stellschrauben für sich anpassen: Versicherungssummen, einbezogene Bausteine, mögliche Deckungserweiterungen. Das ist auch bei Cyber-Versicherungen so.
Für manche Geschäftsfelder gibt es Branchenlösungen auf dem Markt, beispielsweise Cyber-Policen speziell für Arztpraxen, für Rechtsanwälte oder auch für Online-Shop-Betreiber.
In jedem Fall lohnt es sich, nicht einfach irgendein Produkt zu kaufen. Nicht alle Versicherungsgesellschaften sind gleich. Und auch die angebotenen Cyber-Versicherungen unterscheiden sich zum Teil deutlich. Um die Unterschiede genau zu erkennen, muss man einen Blick ins Kleingedruckte werfen. Dabei verliert man ohne Fachkenntnisse schnell die Orientierung.
Anmerkung: ein vertrauenswürdiger Versicherungsmakler ist viel wert
Wie auch sonst kann sich beim Abschluss einer Cyber-Versicherung ein Versicherungsmakler lohnen. Er vermittelt Versicherungsangebote und ist verpflichtet, die Interessen der Versicherungskunden wahrzunehmen. Bezahlt wird er allerdings von den Versicherungsgesellschaften über eine Courtage genannte Provision. Viele Versicherungsmakler haben sich auf bestimmte Branchen spezialisiert und kennen deren Risiken.
Nicht alle Versicherungsmakler nehmen ihren Auftrag ernst. Viele setzen jedoch durchaus auf langfristige Geschäftsbeziehungen statt kurzfristiger Maximierung der Courtagen. In diesem Fall ist ihre Arbeit viel wert: Sie wissen, wie man Risiken analysiert und sorgen dafür, dass ihre Kunden sowohl betriebswirtschaftlich wie aus Sicht des Risikomanagement korrekt versichert sind. Außerdem übernehmen sie im Schadensfall die Kommunikation mit dem Versicherer.
Ein guter Makler wird beispielsweise darauf hinweisen, dass Schäden durch den Diebstahl von Geschäftsgeheimnissen oder Erpressungen per Ransomware bei einer bestimmten Cyber-Versicherung nicht mitversichert sind, oder einen eigenen Baustein erfordern. Er wird auch prüfen, ob der Versicherer sich durch „Stand der Technik“-Klauseln im Schadensfall vor der Leistung drücken kann, wenn Updates nicht eingespielt wurden oder die Hardware-Firewall mehrere Jahre alt war. Und er kennt die Leistungsausschlüsse und Sublimits im Vertrag.
Cyberversicherungen: zumindest überlegenswert
Es gibt nach wie vor Selbstständige, die ohne Cyberversicherung auskommen. Für ein Unternehmen ab einer bestimmten Größe ist ein entsprechender Schutz jedoch fast durchweg notwendig und sinnvoll. Wenn es online eine große Angriffsfläche bietet, vom Internet lebt oder mit sensiblen Daten zu tun hat, gilt das noch mehr.
Unpassende Versicherungen sind allerdings ein Kostenfaktor ohne Gegenwert. Deshalb lohnt es sich, die eigene Auswahl sorgfältig zu treffen. Beratung kann dabei nicht schaden.
