Was sind Cyberrisiken?
Püster: Cyberrisiken sind die Risiken, die einem Unternehmen durch seine gespeicherten digitalen Informationen und vorhandenen IT-Bestandteile entstehen. Je wichtiger digitale Geräte, Technologien, Abläufe und Daten im Arbeitsalltag sind, desto verheerender sind die Auswirkungen, wenn sie ausfallen, beschädigt oder gestohlen werden. Zum Beispiel wenn ein Datenträger versehentlich gelöscht wird, wenn ein Kurzschluss oder ein Feuer einen Server außer Betrieb setzen oder ein Angriff von Cyberkriminellen das gesamte Unternehmensnetzwerk unbenutzbar macht.
Wie lassen sich Cyberrisiken verringern?
Püster: Gegen Cyberrisiken und ihre negativen Auswirkungen lassen sich Vorkehrungen treffen. Eine besonders wichtige Rolle spielen Schutzmaßnahmen gegen Angriffe durch Cyberkriminelle. Denn solche Attacken werden immer häufiger, vielfältiger und gravierender. Zugleich verringern viele Schutzmaßnahmen gegen solche Angriffe auch die negativen Auswirkungen anderer Cyberrisiken. So sind externe Datensicherungen hilfreich, wenn alle Unternehmensdaten von Cyberkriminellen verschlüsselt wurden und ebenso, wenn ein Brand den Server beschädigt hat.
Wie verbreitet sind Angriffe durch Cyberkriminelle?
Püster: Angriffe durch Cyberkriminelle sind nicht nur häufig, sie sind alltäglich – insbesondere in Form von Spam- oder Phishing-E-Mails. Erfolgreiche Attacken sind ebenfalls häufig. Laut einer repräsentativen Studie des Digitalverbands Bitkom haben Cyberangriffe 2020/2021 bei 89 Prozent der befragten Unternehmen einen Schaden verursacht. Eine steigende Tendenz solcher Angriffe bestätigt der Jahresbericht 2021 des Bundesamts für Sicherheit in der Informationstechnik (BSI). Unter anderem wuchs die Zahl der Schadprogramme gegenüber dem Vorjahr um rund 22 Prozent an.
Welche Unternehmen sind besonders anfällig für Cyberangriffe?
Püster: Kleine und mittlere Unternehmen (KMUs) sind besonders anfällig für Cyberangriffe. Zum einen, weil 99,4 Prozent aller deutschen Unternehmen zu den KMUs zählen. Kleinstunternehmen – mit bis zu neun Mitarbeitenden – machen hiervon die überwiegende Mehrheit aus: 81,9 Prozent.
Zum anderen ist in Klein- und Kleinstunternehmen häufig niemand explizit für IT-Sicherheit zuständig. Selten gibt es ein ganzheitliches IT-Schutzkonzept oder Schulungen von Mitarbeitenden zum Thema IT-Sicherheit. Die verwendete Technik – Hard- und Software – ist nicht immer auf dem neuesten Stand und auch Vorbereitungen auf eventuelle Cyberattacken sind eher die Ausnahme als die Regel. Unternehmen, in denen mehrere dieser Bedingungen zutreffen, sind besonders anfällig für Cyberangriffe und die dadurch entstehenden Schäden.
Was ist die größte Cybergefahr für KMUs?
Püster: Die mit Abstand größte Gefahr in Bezug auf die Cybersicherheit von KMU besteht darin, die existierenden Risiken nicht zu erkennen. Denn je geringer das Risikobewusstsein ist, desto weniger Schutzmaßnahmen werden ergriffen – desto wahrscheinlicher werden erfolgreiche Cyberangriffe und desto unwahrscheinlicher eine frühe Schadensbegrenzung. Oft liegt die Ursache dieser Fehleinschätzungen in dem Irrglauben, das eigene Unternehmen sei für Cyberkriminelle zu klein und zu uninteressant.
Aus Sicht der Cyberkriminellen ist jedoch jedes Unternehmen mit Internetanbindung ein attraktives Angriffsziel. Zum Beispiel um Kundschaftsdaten zu stehlen und im Darknet zu verkaufen oder den Zugang zum Online-Banking auszuspionieren. Außerdem ist jedes Unternehmen, das seine IT zum Arbeiten braucht, potenziell durch Verschlüsselungs-Software erpressbar. Viele Attacken erfolgen nach dem Prinzip Gießkanne mit automatisch verschickten E-Mails an hunderttausende von Empfängern. Gezielte, aufwendigere Angriffe sind zudem möglich, wenn ein KMU etwa ein Zulieferunternehmen ist, über das Cyberkriminelle sich Zugang zu einem größeren Unternehmen erhoffen.
Welche Konsequenzen haben Cybervorfälle?
Püster: Durch Cyberangriffe können Kosten entstehen für mehrtägige Betriebsausfälle, für das Ersetzen von Hard- und Software, für IT-Dienstleistungen und den Zusatzaufwand, um beispielsweise verlorene Daten anhand von Akten zu rekonstruieren. Hinzu kommen ggf. Bußgelder aufgrund von Verstößen gegen die DSGVO, Vertragsstrafen, Zahlungsausfälle und belastete oder sogar beendete Geschäftsbeziehungen.
Denn sperrt etwa eine Verschlüsselungs-Software die gesamte Unternehmens-IT, sind auch Bestelleingänge, Buchungen, Terminkalender, Kundschafts- und Kontaktdaten nicht mehr zugänglich. Dann können viele Kunden und Partnerunternehmen nicht einmal über die Ausfälle und Verzögerungen informiert werden.
Der Schaden für Image und Geschäftsbeziehungen wird zusätzlich dadurch vergrößert, dass selten genau absehbar ist, wann der geregelte Betrieb wieder aufgenommen werden kann. Denn das IT-System muss gründlich bereinigt, überprüft und eventuell sogar neu aufgesetzt werden. Der Grund dafür ist, dass Cyberkriminelle häufig weitere Schadsoftware tief im System verstecken, um später erneut anzugreifen.
Wie können Unternehmen sich schützen?
Püster: Um Cybergefahren nachhaltig abwehren zu können, ist ein ganzheitliches Cybersicherheitskonzept erforderlich, das sich aus präventiven Maßnahmen, einem umfassenden Notfallmanagement und der richtigen Bewertung der bestehenden Cyberrisiken zusammensetzt. Unternehmen sollten großen Wert darauf legen, einen soliden IT-Grundschutz etwa nach den Vorgaben des BSI aufzubauen. Dieser beinhaltet Maßnahmen, um Cyberangriffe zu verhindern. Eine 100prozentige Absicherung gegen Cyberangriffe kann er jedoch nicht bieten, deshalb gehören auch Maßnahmen zur Schadensbegrenzung nach erfolgreichen Angriffen zum IT-Grundschutz.
Elementare Bestandteile des präventiven IT-Grundschutzes sind sichere Passwörter, Antiviren-Programme, Firewalls und das umgehende Einspielen von Updates. Von großer Wichtigkeit sind Schulungen der Mitarbeitenden, auch um die häufigsten Cyberattacken erfolgreich abzuwehren: Angriffe durch teilweise sehr raffiniert gefälschte E-Mails. Bei 70 Prozent der erfolgreichen Cyberangriffe gegen Unternehmen waren laut einer Sophos-Studie E-Mails das Einfallstor.
Besonders wichtig zur Schadensbegrenzung nach einem Cyberangriff sind ein Notfallplan und Datensicherungen (Backups). Der Notfallplan ermöglicht schnelles, zielgerichtetes Handeln, sobald ein Cyberangriff erkannt wurde. Aktuelle Datensicherungen – von denen mindestens eine vom System getrennt aufbewahrt werden muss – sorgen dafür, dass der Betrieb nach einem Angriff schnellstmöglich wieder aufgenommen werden kann. Eine Cyberversicherung kann zudem die finanziellen Schäden eines Angriffs auffangen.
Cyberversicherungen: Cyberrisiken identifizieren und einschätzen
Püster: Cyberrisiken sind anspruchsvolle Risiken, die sich zudem dynamisch entwickeln. Neue Bedrohungen verändern die Lage ständig. Aktuell schätzen Cyberversicherer das Risiko eines Unternehmens anhand von Fragebögen ein. Je nach Versicherer werden dabei unterschiedlich viele Fragen zum IT-Grundschutz gestellt. Mehr und genauere Fragen ermöglichen eine präzise Risikoeinschätzung.
Bei der Beantwortung dieser Fragen wünschen sich Unternehmen oft Beratung. Hier können externe Dienstleister wie Perseus Technologies helfen. Zugleich können sie als Schnittstelle zwischen Versicherungen und Unternehmen agieren. Indem sie eine fundierte Risikoeinschätzung vornehmen und die Unternehmen durch Beratung, Präventionsprogramme und Notfallhilfe bei der Verbesserung ihrer Cybersicherheit unterstützen.
Wie kann eine zukünftige Versicherbarkeit sichergestellt werden?
Püster: In Anbetracht steigender Angriffszahlen und Schadensummen wird eine möglichst genaue Risikoeinschätzung immer wichtiger. Zum einen zur präzisen Kohortenbildung, zum anderen um abzugleichen, wie sich die erhobenen Faktoren in Schadenfällen auswirken.
Um spätere Anpassungen der Prämien zu vermeiden, müssen die Versicherungsbedingungen zudem konkreter und anspruchsvoller gestaltet werden.
Für Versicherer werden Unternehmen, die Ihre Risiken aktiv minimieren, immer attraktiver. Daher fördern immer mehr Versicherer Risikominimierungen, unter anderem durch Kooperationen mit Dienstleistern wie Perseus. In diesem Zusammenhang gewinnen wiederkehrende Risikoeinschätzungen an Bedeutung, unter anderem um positive Entwicklungen eines Unternehmens zu erkennen.
Für Unternehmen und Versicherungsmakler wäre zudem eine Standardisierung der Risikoeinschätzung wünschenswert, um die unterschiedlichen Angebote einfacher vergleichbar zu machen. Für Versicherer hätte sie den Vorteil, interne Ressourcen effizienter nutzen zu können.
