Wir sind doch viel zu klein – wer greift denn uns an?
Bei automatisierten Angriffen hat niemand Sie ausgesucht, und deshalb schützt Größe nicht. Gefunden wird, was eine Lücke hat, nicht wer bekannt ist.
Programme suchen das Netz nach offenen Zugängen, veralteten Systemen und Zugangsdaten ab, die anderswo abgeflossen sind. Dabei wissen sie nicht, wessen Tür sie gerade öffnen. Größe kommt in dieser Rechnung gar nicht vor.
Getroffen werden können Sie außerdem, ohne gemeint zu sein, etwa über
- Ihren IT-Dienstleister,
- einen Kunden oder
- einen Zulieferer, dessen Postfach übernommen wurde.
Was kostet das?
Ohne Ihre Zahlen wäre jeder Betrag geraten, deshalb nenne ich Ihnen die Größen, aus denen sich der Beitrag ergibt.
- Ihr Umsatz
- Ihre Branche
- die gewählte Versicherungssumme
- der Selbstbehalt
- Ihr IT-Sicherheitsniveau
Das IT-Sicherheitsniveau ist die einzige dieser Größen, an der Sie im Betrieb etwas ändern können. In den Ausschreibungen, die ich führe, hängen daran zwei Dinge.
- der Preis
- die Auflagen, unter denen überhaupt gezeichnet wird, also der Versicherer das Risiko übernimmt
Richtet ein Betrieb vor dem Antrag eine getrennte Datensicherung ein und ordnet den Zugang zu seinen Systemen, kann er mit einem anderen Angebot rechnen als ohne diese Vorbereitung.
Zahlt die Versicherung das Lösegeld?
In den Werken, die ich vergleiche, ist die Erstattung enthalten, allerdings mit drei Einschränkungen.
- im Rahmen der Versicherungssumme
- in angemessener Höhe
- allein in Abstimmung mit dem Versicherer. Wer ohne diese Abstimmung zahlt, riskiert die Erstattung.
Dazu gehören drei Hinweise.
- Musterbedingungen: Selbstverständlich ist diese Deckung nicht, denn die Musterbedingungen der Sparte schließen Lösegeld ausdrücklich aus. Der Einschluss ist eine Abweichung davon.
- Sanktionslisten: Es ist verboten, Personen und Organisationen, die auf einer Sanktionsliste stehen, Geld bereitzustellen, aus welchem Anlass auch immer.
- Sicherheitsbehörden: Die deutschen Sicherheitsbehörden sprechen sich öffentlich gegen Lösegeldzahlungen aus. Eine Zahlung ist auch keine Zusage, dass die Daten zurückkommen.
Ich rate Ihnen an dieser Stelle nichts. Ich sage Ihnen, was im Vertrag steht und was im Ernstfall vor jeder Entscheidung zu klären ist.
Zahlt die Cyberversicherung, wenn wir auf eine gefälschte Zahlungsaufforderung hereinfallen?
Für das überwiesene Geld meist nicht. Die Musterbedingungen der Cybersparte schließen den Abfluss von Geld aus, auch wenn vorher jemand in Ihre Systeme eingedrungen ist. Manche Tarife schließen solche Überweisungen über einen Zusatzbaustein wieder ein, mit begrenzter Summe und oft nur nach einem echten Angriff auf Ihre Systeme.
Gemeint sind zum Beispiel die E-Mail des angeblichen Geschäftsführers, der eine eilige Überweisung verlangt, oder die echt wirkende Lieferantenrechnung mit geänderter Bankverbindung.
- Ohne Angriff kein Fall: Fällt jemand ohne Angriff auf Ihre Systeme auf eine täuschend echte E-Mail herein, zahlt die Cyberversicherung in der Regel nicht.
- Vertrauensschadenversicherung: Sie ersetzt vor allem Schäden durch Betrug oder Untreue eigener Mitarbeiter. Täuschen Außenstehende Ihre Mitarbeiter, etwa mit der falschen Chef-Mail, ist das nur versichert, wenn der Vertrag es ausdrücklich einschließt, meist mit eigener Summe. Manche Verträge knüpfen das an Prüfschritte, etwa einen Rückruf vor der Zahlung.
- Was die Cyberversicherung trotzdem leistet: War Ihr E-Mail-Konto oder Ihr System tatsächlich kompromittiert, ist das ein eigener Versicherungsfall. Dafür kommen je nach Vertrag die IT-Forensik und die Wiederherstellung Ihrer Systeme in Betracht.
Welcher Vertrag diesen Fall trägt und mit welcher Summe, gehört deshalb vor dem Abschluss geklärt, nicht danach.
Was verlangt der Versicherer von uns, bevor er zeichnet?
Gefragt wird nach Ihrer IT-Sicherheit. Wichtiger ist, was aus Ihren Antworten wird, denn dahinter stehen zwei verschiedene Regelwerke.
In den Anträgen, die mir vorliegen, wird nach diesen Punkten gefragt. Wie weit die Fragen gehen, hängt vom Versicherer ab.
- Datensicherung
- Virenschutz
- Firewall
- das Einspielen von Updates
- wer welche Rechte auf Ihren Systemen hat
Für Ihre Angaben gilt im Einzelnen Folgendes.
- Angaben im Antrag: Falsche oder unvollständige Angaben auf die Fragen im Antrag verletzen die vorvertragliche Anzeigepflicht nach §§ 19 bis 22 VVG. Je nach Verschulden drohen Rücktritt, Kündigung oder eine rückwirkende Anpassung des Vertrages, bei Arglist auch die Anfechtung. Die Leistung kann dadurch ganz entfallen, wird aber nicht anteilig nach dem Verschulden gekürzt.
- Laufende Sicherheitsvorschrift: Bindet das Werk eine Angabe zusätzlich als laufende Sicherheitsvorschrift ein, gilt diese Pflicht dauerhaft. Wer sie grob fahrlässig verletzt, muss nach § 28 VVG mit einer Kürzung rechnen, die sich nach der Schwere des Verschuldens bemisst. Wie hoch sie ausfallen darf, begrenzt jedes der verglichenen Werke. Bei vorsätzlicher Verletzung ist der Versicherer leistungsfrei (§ 28 Abs. 2 Satz 1 VVG).
- Ursächlichkeit: Gekürzt werden darf nicht, soweit das Versäumnis für den Schaden nicht ursächlich war, es sei denn, es wurde arglistig gehandelt.
- Umfang der Pflichten: Die einen Werke schreiben die üblichen technischen Schutzmaßnahmen ausdrücklich als Dauerpflicht fest, andere verlangen von alldem nichts. Eines staffelt die Datensicherung nach Ihrem Umsatz, wöchentlich unterhalb einer Grenze, täglich darüber.
Deshalb gehe ich die Fragen mit Ihnen durch, statt sie abhaken zu lassen.
Unsere IT liegt beim Dienstleister – haftet nicht der?
Er haftet Ihnen nach dem Vertrag, den Sie mit ihm geschlossen haben. Diese Haftung nimmt Ihnen aber nicht alles ab.
- Haftungsgrenze: Die erste Frage ist, ob dieser Vertrag seine Haftung der Höhe nach begrenzt. Gibt es eine solche Grenze, trägt er Ihren Ausfall nur bis zu dieser Höhe.
- Nachweis: Nachzuweisen haben Sie die Pflichtverletzung, entlasten muss er sich dann selbst.
- Datenschutz: Gegenüber den Menschen, deren Daten bei Ihnen liegen, haften Sie als Verantwortlicher, auch wenn der Dienstleister die Server betreibt. Diese Haftung lässt sich vertraglich nicht ausschließen. Soweit der Dienstleister verantwortlich ist, können Sie ihn im Innenverhältnis in Rückgriff nehmen.
- Stillstand: Der Stillstand bleibt Ihr Schaden. Er läuft in Ihrem Betrieb auf, gleich wer ihn am Ende ersetzt.
Ob dieser Stillstand versichert ist, steht weiter oben unter den Unterschieden.
Müssen wir einen Angriff melden?
Sobald personenbezogene Daten betroffen sind, in aller Regel ja.
Für die Meldung an die zuständige Aufsichtsbehörde nach Art. 33 DSGVO gilt Folgendes.
- Frist: „unverzüglich und möglichst binnen 72 Stunden“, nachdem Ihnen die Verletzung bekannt wurde. Die 72 Stunden sind kein Spielraum, gemeldet wird unverzüglich. Wer diese Frist überschreitet, muss die Verzögerung begründen.
- Fristbeginn: der Moment, in dem im Betrieb hinreichend sicher feststeht, dass personenbezogene Daten betroffen sind
- Keine Meldepflicht: wenn ein Risiko für die Betroffenen voraussichtlich nicht besteht
Ist ein hohes Risiko zu erwarten, kommt die Benachrichtigung der Betroffenen selbst hinzu.
- Bestimmte Sektoren: Die schärferen Fristen des NIS-2-Umsetzungsgesetzes, also des deutschen Gesetzes, das die NIS-2-Richtlinie der EU umsetzt, treffen nur Betriebe bestimmter Sektoren. Dort gelten sie in der Regel erst ab einer Größenschwelle, für einzelne Einrichtungen dagegen ohne jede Schwelle. Wer in keinem dieser Sektoren tätig ist, fällt nicht darunter.
- Polizei: Eine Anzeige ist gesetzlich freiwillig. Ob Ihr Vertrag sie verlangt, steht in den Obliegenheiten.
Die Beratung zu Meldung und Fristen gehört in den geprüften Werken zu den Krisenleistungen. Auch deshalb ist im Ernstfall die erste Nummer die des Versicherers und nicht die des IT-Betreuers.
