Angriff auf die Unternehmens-EDV – Cyber-Sicherheit wird für Unternehmen immer existentieller

Die Liste der bekannt gewordenen kriminellen Angriffe auf Websites ist lang – und sie wird täglich länger. Von der Dunkelziffer der geheim gehaltenen Attacken ganz zu schweigen.

Nachdem immer mehr Umsatz im oder über das Internet abgewickelt wird, Wirtschaft also quasi dort stattfindet, war es nur eine Frage der Zeit, bis sich auch Wirtschaftskriminelle bzw. die organisierte Kriminalität dieses Geschäftsfeldes annehmen: Inzwischen ist hier eine kriminelle
Szene entstanden, die sich ihre Dienste sehr gut bezahlen lässt.

Cyber-Attacken können in unterschiedlichster Form auftreten: So kann der Internet-Auftritt eines Unternehmens verändert werden, um dort dann bestimmte Botschaften zu platzieren. Oder Hardware wird in ein Unternehmen eingeschleust, die bewusst fehlerhaft arbeitet
und / oder Fremdsteuerung von außen erlaubt, so dass die Unternehmens-EDV kompromittiert wird. Auch materielle Angriffe (Zerstören, Sabotage, Ausschalten von Hardware – z. B. Kabel-, Antennen- und Satellitenverbindungen) sind keine Seltenheit. Besonders häufig sind sogenannte Denial-of-Service-Attacken, um fremde Dienste zu stören oder gar vollständig zu blockieren: So werden beispielsweise Homepages bzw. Online- Services durch gezielt gesteuerte gleichzeitige sinnlose Anfragen lahmgelegt, da die Datenflut vom zuständigen Server nicht mehr verarbeitet werden kann.

Immer häufiger sind Urheber dieser Attacken nicht Externe, sondern vielmehr eigene (oder ehemalige) Mitarbeiter. Doch werden diese Angriffe nicht immer absichtlich initiiert: Oft ist einfach Fahrlässigkeit im Umgang mit Informationen ursächlich für die herbeigeführte Verletzbarkeit. Geht ein Laptop oder Smartphone mit sensiblen (Kunden-)Daten verloren oder wird das Gerät gestohlen, liegt bereits der Tatbestand einer  Datenrechtsverletzung (der Betroffenen) vor. Vom gezielten Ausspähen nicht ausreichend geschützter Endgeräte ganz zu schweigen. Wie können sich Unternehmen vor diesen Attacken schützen? Tatsächlich wohl nur bedingt. Zunächst sollte eine Risikoanalyse erfolgen: Welche Konsequenzen hat es für mein Unternehmen, wenn es (im Internet oder generell) für einen bestimmten Zeitraum nicht erreichbar ist? Wie
steht es um meine Reputation, wenn sensible Daten gestohlen oder aber zumindest ausspioniert werden? Je größer der befürchtete Schaden ausfällt, desto mehr sollte in Sicherheit investiert werden. Zudem sollten Unternehmer ihre IT auf den Prüfstand stellen: Zunächst sollten Unternehmen die technische Sicherheit ihrer EDV prüfen und ggf. ausbauen; auch ist zu hinterfragen, welche Notfallmaßnahmen im Falle einer Attacke einzuleiten sind und inwieweit das Unternehmen hierauf vorbereitet ist; schließlich ist zu überdenken, inwieweit die bestehende Struktur durch einen Versicherungsschutz ergänzt werden soll.

Kosten und Schadenersatzansprüche, die Ihrem Unternehmen aufgrund nicht abgewehrter Hackerangriffe entstehen, bzw. solche, denen Sie aufgrund einer solchen Attacke möglicherweise durch von Ihrem Hause – mittelbar – geschädigte Dritte (Unternehmen oder Privatpersonen) ausgesetzt sind, sind mittlerweile bei rund 15 Versicherungsgesellschaften im deutschen Markt versicherbar.

Die Deckungskonzepte der Anbieter ähneln sich. Unterschiede finden sich – wie so oft – im Kleingedruckten. Grundsätzlich gibt es zwei große Deckungsblöcke, den einen für Eigen- und den anderen für Fremdschäden. Zu den Eigenschäden gehören die Positionen, die den Schaden im
eigenen Haus ausgleichen sollen: Dies sind beispielsweise Schadensuchkosten, Wiederherstellungskosten, Betriebsausfallkosten, Erpressung, Lösegeld, PR-Kosten oder Kosten für Forensik.

Unter die Fremdschäden fallen alle Haftpflichtansprüche, die von außen an das mutmaßlich Schaden verursachende Unternehmen herangetragen werden und durch eine Daten- oder andere Cyber- Rechtsverletzung verursacht wurden.

Oft sind die Deckungskonzepte als Bausteinpolice aufgebaut, so dass individuell benötigte Bausteine ausgewählt werden können und der eingekaufte Versicherungsschutz auf die Bedürfnisse des Unternehmens abgestimmt werden kann. Um eine solche Krise schnell wieder in
den Griff zu bekommen, arbeiten die Versicherer regelmäßig mit IT-Dienstleistern zusammen. Diese kommen (spätestens) im Leistungsfall in Ihr Haus und unterstützen Sie beim Krisenmanagement sowie bei einer schnellen Schadenfeststellung und -beseitigung; auch sind Betroffene
und Behörden zu informieren und der Gesamtschaden soll möglichst gering gehalten werden. Selbstverständlich sind auch die Leistungen des externen Dienstleisters im Rahmen einer Cyber-Police mitversicherbar.

Eine zu 100 Prozent sichere IT gibt es nicht: Ein gewisses Restrisiko wird leider immer bleiben. Wenn Sie dieses Restrisiko versichern wollen, sind wir gern Ihr Ansprechpartner. (CF)