Versicherung gegen Cyberangriffe auf Unternehmen

Kein Internetzugang, kein Zugriff auf Datenbanken, nicht einmal mehr Telefon: Der Kosmetikhersteller Beiersdorf musste im Sommer vergangenen Jahres nach einem Hackerangriff für mehrere Tage auf weite Teile seiner Infrastruktur verzichten, die Produktionsprozesse stockten. Bei der Reederei Møller-Mærsk fielen nach einer Cyber-Attacke die IT-Systeme aus, der Containerschiffsverkehr geriet weltweit aus dem Takt. Das hat Folgen: Die Reederei erwartet durch die Attacke der Malware „NotPetya“ Verluste in dreistelliger Millionenhöhe. Um finanzielle Schäden künftiger Attacken abzufedern, habe man eine Cyber-Versicherung abgeschlossen, teilte die Reederei mit.

Für die Versicherungsbranche ist die Angst vor Cyber-Attacken ein neuer, lukrativer Geschäftszweig. Weltweite Angriffe durch Schadsoftware treiben die Nachfrage nach Cyber-Assekuranzen. Darüber können Unternehmen neben eigenen Schäden, etwa durch Produktionsausfälle, auch Drittschäden versichern – wenn etwa eine Mail aus dem eigenen Netzwerk einen Virus an einen Geschäftspartner weiterträgt. Zudem bieten viele Policen im Ernstfall die Hilfe spezialisierter Anwälte oder IT-Forensiker.

Nicht jeder bekommt sein Wunschlimit

Derzeit tasten sich Unternehmen und Versicherer an die neue Risikogruppe heran. Das Problem der Versicherer: Während sie für Kfz- oder Brandschutzversicherungen langjährige Statistiken zu Schadenshöhen und Eintrittswahrscheinlichkeiten haben, fehlen solche Daten für Cyber-Angriffe. Daher lässt sich schwer berechnen, was eine Versicherung kosten soll. „Die Kosten liegen derzeit zumeist in einer breiten Spanne zwischen 0,5 und 1,5 Prozent der Versicherungssumme“, sagt Johannes Behrends, Leiter der Abteilung für Cyber-Risiken bei dem Versicherungsmakler Aon Risk Solutions. Ob sich ein Unternehmen am oberen oder unteren Rand bewegt, hängt unter anderem von seiner Größe, der Zahl und Verteilung seiner Standorte, dem Zustand seiner IT-Infrastruktur – und natürlich von der Branche ab.

Mehr zum Thema Finanzierung finden Sie auf unserer Themenseite.

Als besonders gefährdet stufen die Versicherer Handelsunternehmen und Banken ein, bei denen viele personenbezogene Daten lagern. Auch Infrastrukturunternehmen wie Energieversorger oder Krankenhäuser gelten als riskant. Unternehmen aus diesen Branchen müssen mit höheren Prämien kalkulieren und damit rechnen, nicht zwingend ihr Wunschlimit zu bekommen. „Wir kennen Unternehmen aus der Energiebranche, die sich gern höher versichert hätten, aber nicht genügend Zusagen bekommen haben“, sagt Lukas Nazaruk, Leiter des Geschäftsbereichs Financial & Professional Services bei dem Versicherungsmakler Marsh.

Versicherer scheuen Klumpenrisiko

Um keine Klumpenrisiken einzukaufen, halten sich viele Versicherer bei Cyber-Policen noch zurück, beobachtet auch Aon-Spezialist Behrends: „Versicherer, die sonst dreistellige Deckungssummen stellen, zeichnen im Cyber-Bereich deutlich kleinere Volumina.“ Die Versicherungskonsortien würden dadurch größer. Laut Behrends korrelieren die angefragten Deckungssummen meist mit der Umsatzgröße: „Unternehmen mit bis zu 250 Millionen Euro Umsatz schließen in der Regel Versicherungssummen bis zu 10 Millionen Euro ab.“ Aon hat errechnet, dass theoretisch eine Maximalsumme von knapp 1,1 Milliarden Euro versicherbar wäre, wenn alle Anbieter von Cyber-Versicherungen weltweit zusammenarbeiteten. Dies ist aber nicht realistisch.

Für mittelständische Unternehmer ist das Thema Cyber-Attacken nicht nur wegen der möglichen finanziellen Folgen für die Firma, sondern auch aus persönlicher Perspektive wichtig: Sie sind als Geschäftsführer oft in letzter Instanz für IT-Sicherheit und Datenschutz verantwortlich. „Die Bereiche sind sehr fehleranfällig und komplex, das Haftungsrisiko ist daher hoch“, sagt Martin Zschech, Regional Head für Financial Lines bei der Allianz Global Corporate & Specialty, dem Industrieversicherer der Allianz Gruppe. Seit dem 25. Mai müssen Unternehmen zudem die Vorgaben der Europäischen Datenschutz-Grundverordnung (EU-DSGVO) erfüllen. Werden sensible Daten von Kunden oder Geschäftspartnern gestohlen, können diese Schadensersatz fordern. Das steigert die Nachfrage nach Policen.

Marsh-Experte Nazaruk sieht die Cyber-Police als erstes Bollwerk, das die Geschäftsführung eines Mittelständlers vor möglichen Haftungsfällen schützen kann. „Alles, was dort abgesichert ist, vermindert das persönliche Risiko für den Chef signifikant“, sagt er. Noch offen ist, ob mittelständische Unternehmen die Bußgelder von ihren Geschäftsführern zurückfordern dürfen. Eine D&O-Versicherung für das Management sollte daher nicht nur in größeren Unternehmen zum Standard gehören. „Im Mittelstand gibt es D&O-Versicherungen im einstelligen Millionen-Euro-Bereich“, sagt Nazaruk. Als Faustregel für kleine Unternehmen gelte, dass 1 Million Euro Versicherungssumme jährlich rund 1.000 Euro Prämie kostet.

Cyber-Versicherung

In Deutschland sind Cyber-Versicherungen verstärkt erst seit den spektakulären Hackerangriffe der vergangenen Jahre gefragt. Sie sichern Eigenschäden wie Produktionsausfälle ab, aber auch Drittschäden bei Geschäftspartnern. Oft bieten sie auch ein Netzwerk an Experten, das im Fall eines Cyber-Angriffes unterstützt. Die maximal über Konsortien erzielbare Deckungssumme liegt Expertenschätzungen zufolge um die 500 Millionen Euro.

D&O

Die Managerhaftpflicht (Directors-and-Officers-Versicherung, D&O) soll die Geschäftsführung vor Haftungsfällen schützen. Das Unternehmen schließt die Versicherung für seine Führungskräfte ab. Die Deckungssummen für Manager im Mittelstand liegen zumeist im mittleren einstelligen bis unteren zweistelligen Millionen-Euro-Bereich.

VSV

Die Vertrauensschadenversicherung (VSV) sollte Unternehmen ursprünglich vor einem „Griff in die Kasse“ schützen. Sie kann aber auch bei Fake-President-Attacken greifen, die in den vergangenen Jahren deutlich zugenommen haben.

Quelle: Markt und Mittelstand

Dass Kriminelle immer neue Maschen ersinnen, um Unternehmen um ihr Geld zu bringen, hat einer weiteren Versicherung Aufwind gegeben: Fake-President-Attacken, bei denen sich Betrüger als Vorgesetzte ausgeben, um Mitarbeiter zu Zahlungen zu verleiten, lassen sich über eine Vertrauensschadenversicherung (VSV) abdecken. Für Fake-President-Attacken nutzen Betrüger meist gefälschte E-Mails, lassen aber die IT-Systeme im Regelfall unversehrt.

Die Cyber-Versicherung greift daher üblicherweise nicht. Die VSV sollte Unternehmen ursprünglich vor Diebstahl durch Mitarbeiter schützen. „Solche Schäden haben nach wie vor einen erheblichen Anteil an den gemeldeten Fällen. Wir stellen aber fest, dass der Anteil von Betrugsfällen durch Dritte, zu denen Fake-President-Fälle zählen, seit einigen Jahren deutlich steigt“, sagt Björn Albert,Leiter Vertrauensschadenversicherung bei Euler Hermes Deutschland. Die VSV deckt den „Betrug durch Dritte“ ab, egal ob die Betrüger sich als Vorgesetzte oder Zulieferer ausgeben oder eine ganz neue Betrugsvariante entwickeln.

Mehr Daten, besserer Überblick

Allianz-Experte Zschech sieht derzeit eine große Nachfrage nach Policen. Er geht davon aus, dass sich der Markt für Cyber-Versicherungen in jedem Fall noch entwickeln werde – auch mit Blick auf die Preismodelle. „Die Versicherer müssen erst noch Erfahrungen sammeln“, sagt er.

Wenn die Zahl der Schadensfälle steigt, kann die Assekuranz auf einer besseren, valideren Datenbasis kalkulieren. Die Folge für mittelständische Unternehmen: Aller Voraussicht nach werden die Versicherer versuchen, steigende Prämien an ihre Kunden weiterzureichen. Angesichts der Schäden, die durch Cyber-Attacken drohen, dürften sich nur wenige Mittelständler trauen, an der Versicherungsprämie zu sparen.