Ob Hacker-Angriff oder Datenverlust: Cyber-Risiken werden für Unternehmen zunehmend zum Problem. Die aufsehenerregenden Fälle der zurückliegenden Monate bei Vodafone, Adobe und Sky sind nur die Spitze des Eisbergs. Gerade kleine und mittlere Unternehmen haben häufig Probleme im Umgang mit Cyber-Risiken. Aus einem einfachen Vorfall wird schnell eine handfeste Krise. Und deren Auswirkungen sind oft nur schwer zu handhaben: Es lauern rechtliche Fallstricke, die Kunden sind beunruhigt, das Firmenimage leidet. Die öffentliche Aufmerksamkeit gegenüber Cyber-Risiken ist hoch und der potenzielle Schaden so bedrohlich wie diffus.
Dennoch sind viele Unternehmen nur mangelhaft vorbereitet: So ergab die Hiscox-eDNA-Studie, eine repräsentative Umfrage auch unter deutschen Mittelständlern, dass 22 Prozent der befragten Unternehmen über kein Backup-System verfügen, 41 Prozent sensible Daten unverschlüsselt mailen und mit 94 Prozent die meisten Unternehmen nicht gegen Online-Kriminalität versichert sind.
Foto: Hiscox
Neben dem oftmals trügerischen Vertrauen in die Leistungsfähigkeit und Sicherheit der eigenen IT-Systeme besteht ein weiteres Problem: Cyber-Angriffe sind nicht zwangsläufig IT-basiert. Ebenso häufig nutzen Angreifer Schwächen in der Organisation oder bedienen sich der Hilfsbereitschaft unbedarfter Mitarbeiter, die dann unfreiwillig dafür sorgen, dass IT-Schutzmaßnahmen nicht mehr greifen ("Social Engineering"). Doch selbst die Antizipation aller Risiken und die größtmögliche Anstrengung zu deren Minimierung können keinen absoluten Schutz garantieren.
Das Krisenmanagement entscheidet
Wenn sich scheinbar hypothetische Risiken doch in konkrete Krisen verwandeln, kann dies vor allem mittelständische Unternehmen schnell in Existenznöte bringen. Neben den juristischen Konsequenzen beim Verlust personenbezogener Daten (wie die Informationspflicht nach §42a BDSG) sind es vor allem die Herausforderungen des Krisenmanagements, die Mittelständler überfordern. Zur Bewältigung werden neben vertrauenswürdigen Experten für IT-Forensik vor allem Krisenmanager und Kommunikationsexperten benötigt, die entsprechende Erfahrung mit Cyber-Angriffen mitbringen. Denn Cyber-Krisen unterscheiden sich in zwei entscheidenden Punkten von anderen kriminellen Angriffen auf Unternehmen: Sie erzeugen fast immer und explosionsartig Öffentlichkeit - und sie erfordern die Übersetzung komplexer technischer Sachverhalte in eine Sprache, die Kunden und Geschäftspartner verstehen.
Hierbei spielt es keine Rolle, wodurch genau die Krise ausgelöst wurde - ob durch selbst verschuldete Nachlässigkeit oder einen komplexen Cyber-Angriff. In einer Situation, in der sich viele Menschen Sorgen um den Schutz ihrer Daten machen, ist die Schuldfrage für die Öffentlichkeit unerheblich. Deshalb ist eine gute Krisenkommunikation entscheidend dafür, dass das Vertrauen von Verbrauchern, Kunden und Partnern nicht verloren geht. Die eigene Kommunikationsabteilung eines Unternehmens kann viele IT-Krisen jedoch nicht alleine handhaben und benötigt oftmals Unterstützung von außen.
Wo die Versicherung ins Spiel kommt
Findet das gesamte Krisenmanagement rasch und professionell statt, lassen sich viele Vorfälle unterhalb der öffentlichen Wahrnehmungsschwelle managen. Um aber zumindest den monetären Schaden im Rahmen des Erträglichen zu halten, bieten seit einigen Jahren auch verschiedene Versicherungsgesellschaften eigene Policen zur finanziellen Absicherung gegen Cyber-Schäden und IT-Sicherheitsrisiken an. Jedes Unternehmen muss im eigenen Fall entscheiden, wo eine Versicherung sinnvoll ist - grundsätzlich gibt es verschiedene Arten von Policen. Typische Risiken für IT-Systeme, gegen die sich Versicherungen abschließen lassen, lassen sich in sechs Bereiche aufteilen:
Malware
Hacking
Missbrauch durch Insider
Soziale Angriffe (Social Engineering)
Physische Angriffe und Verlust von Speichermedien
Fehlfunktionen
Beispiel: Cyber Risk Management by Hiscox
Der Spezialversicherer Hiscox beispielsweise listet ausgeschlossene Risiken ebenso wie die Deckungsinhalte der Versicherung explizit auf - hier ein kurzer Überblick über die entsprechenden Bedingungen:
Prüfung vor Versicherungsbeginn: Zunächst füllt der Kunde einen Fragebogen aus. Dort werden vor allem die Art und Menge der gespeicherten Daten, die Art der elektronischen Zahlungsabwicklung und die Datensicherheit abgefragt. In Einzelfällen beauftragt der Versicherer einen externen Dienstleister mit der Prüfung und Einschätzung der Datensicherheit.
Wann zahlt die Versicherung?: Die Versicherung greift, wenn entweder Datenschutzrechte von Dritten verletzt wurden, etwa durch Datenverlust oder durch einen Angriff von außen, oder wenn das eigene System von Hackern attackiert worden ist. Bei Schadensersatzansprüchen von Dritten werden diese ebenfalls vom Versicherer geprüft: Sollten diese berechtigt sein, entschädigt die Versicherung; unberechtigte Ansprüche wehrt sie im Namen des Kunden ab. Zur weiteren Schadensbegrenzung unterstützen von der Versicherung bestellte externe Dienstleister, in diesem Fall HiSolutions, das Unternehmen bei der Wiederherstellung von Daten und beim Krisenmanagement.
Foto: Hiscox
Welche Risiken sind ausgenommen?: Ausgeschlossen sind in der Regel Schäden durch Programmierfehler, Verschleiß oder Schäden durch unterbrochene Stromversorgung. Auch vorsätzlich herbeigeführte Versicherungsfälle sind nicht geschützt. Hiscox schließt jedoch nur den Vorsatz leitender Angestellter aus: Insider-Attacken durch Mitarbeiter sind also abgesichert.
Wer wird nicht versichert?: Unternehmen bestimmter Branchen werden in der Regel nicht versichert. Dazu zählen Anbieter von Bezahlsystemen, Social-Networking-Plattformen oder Anbieter pornografischer Inhalte.
Im Ernstfall
Hat sich ein Unternehmen gegen Cyber-Risiken versichert, ergibt sich im Ernstfall das im Folgenden dargestellte Szenario.
Ausgangslage: Ein kleiner IT-Dienstleister dient einer Hacker-Gruppe als Einfallstor in die Datenbank eines mittelständischen Unternehmens. Wie schon beim Angriff auf die Washington Post via Outbrain überwinden die Angreifer das schwach gesicherte System des Dienstleisters und verschaffen sich Kontrolle über die offene Schnittstelle zum Unternehmen. Den Tätern gelingt es, eine große Anzahl sensibler Kundendaten abzuschöpfen.
Das weitere Vorgehen:
Der Versicherer wird über den Schaden informiert. Über eine eingerichtete Notfall-Hotline fordert das Unternehmen zusätzlich ein Expertenteam für die Unterstützung bei der Krisenbewältigung an. Der Versicherer verständigt seine Kooperationspartner für IT-Sicherheit.
Der beauftragte IT-Sicherheitsdienstleister beginnt unverzüglich mit der Schadensbegrenzung und Sicherstellung von Beweisen. Es wird ein IT-forensisches Gutachten angefertigt.
Experten für Krisenmanagement und -kommunikation unterstützen das betroffene Unternehmen bei der Krisenbewältigung und Öffentlichkeitsarbeit, um die hohe mediale Aufmerksamkeit zu bewältigen und einem drohenden Imageschaden entgegenzuwirken.
Spezialisierte Anwälte beraten das Unternehmen bezüglich der Umsetzung der gesetzlichen Informationspflicht und stützen sich dabei auf die Ergebnisse der IT-Forensiker.
Alle bisherigen Aufwendungen sowie die Kosten für die Information der Dateninhaber und Ansprüche Dritter trägt der Versicherer.
Und danach?
Auf Wunsch der Geschäftsleitung vermittelt der Versicherer einen professionellen Dienstleister zur nachhaltigen Optimierung des IT-Sicherheitssystems. Der Versicherer subventioniert das Anliegen des Kunden und beauftragt eine externe Firma, eine umfassende Sicherheitsprüfung vorzunehmen. (sh/hal)