Cyberrisiken

Passwortdiebstahl, Datenleck, Erpressung – Cyberschäden bedrohen die deutsche Wirtschaft stärker als Naturkatastrophen oder Fachkräftemangel. So sind basierend auf einer Studie der Allianz Versicherung Cyber-Vorfälle zum dritten Mal in Folge und erstmals mit deutlichem Abstand das Hauptrisiko für Unternehmen. In 17 Ländern, darunter Australien, Deutschland, Frankreich, Indien, Japan, Großbritannien und den USA, stufen Experten die Gefahren durch Cyber-Attacken als das größte Risiko für Unternehmen ein.

Abb. 01: Top 10 Geschäftsrisiken weltweit in 2024 [Quelle: Allianz Risk Barometer 2024, basierend auf den Antworten von 3.069 Risikomanagement-Experten aus 92 Ländern und Gebieten (% der Antworten). Die Zahlen ergeben die 100%, da jeweils bis zu drei Risiken ausgewählt werden konnten]

Im Jahr 2023 ist die Anzahl der Cybervorfälle gegenüber dem Vorjahr um mehr als 50 Prozent gestiegen.

In der Finanzbranche ist das Thema längst Chefsache geworden. So betonte DZ-Bank-Chef Cornelius Riese bereits im Jahr 2023, dass Cyberresilienz und IT-Sicherheit wichtige Themen für die DZ seien und sich da unterhalb der Wahrnehmungsschwelle ganz neue Systemherausforderung entwickeln. Auch Commerzbank-Finanzchefin Bettina Orlopp führte Cyberrisiken zuletzt als "Thema Nummer eins" auf und die Präsidentin des Bundesamts für Sicherheit und Informationstechnik, Claudia Plattner, ergänzt: "Ich fürchte, wir werden da noch einiges sehen."

Zu den neuesten Taktiken der Cyberkriminellen gehören der Einsatz generativer KI für Phishing, Online-Werbung als Angriffsvektor und die immer schnellere Ausnutzung neuer Schwachstellen. 

• Angriff über Online-Werbung: Cyberkriminelle nutzen zunehmend Suchmaschinenanzeigen als Verbreitungsvektoren für Phishing-Angriffe und locken so ahnungslose Opfer auf Fake-Websites, indem sie sich als bedeutende Finanzinstitute in den USA, Großbritannien und Osteuropa ausgeben.
• Krimineller Einsatz von KI: Künstliche Intelligenz verändert zwar nicht die Art und Weise, wie Bedrohungsakteure Angriffe durchführen, doch wird sie zunehmend dafür eingesetzt, um ihre eigenen Arbeitsabläufe zu optimieren.
• Notwendigkeit besserer E-Mail-Sicherheit: Wenn Unternehmen nicht alle Schlüsselkomponenten zur Sicherung von Authentizität und Integrität der Nachrichten nutzen, werden ihre E-Mails erhöhten Bedrohungen ausgesetzt.
• Anhaltender Bedarf an schnelleren Patches: Unternehmen patchen ihre Systeme oft nur langsam, während die Angreifer neue Schwachstellen immer schneller ausnutzen, was zu einem Wettlauf zwischen Bedrohungsakteuren und Verteidigern führt. 

Auf der einen Seite wird die Cyber-Bedrohungslandschaft immer vielschichtiger, angetrieben durch den rasanten technologischen Fortschritt, wie etwa KI oder Cloud-Technologien. Auf der anderen Seite sind die globalen Industrien zunehmend abhängig von Informationstechnologien – wie dem Internet der Dinge oder digitalen Services – und damit anfällig für Cyber-Angriffe. Die Bedrohungen stellen sowohl ein Risiko für die finanzielle Stabilität von Unternehmen dar wie auch für die Sicherheit und Stabilität von Gesellschaften.

Eine immer ernstere Bedrohung der globalen Cyber-Sicherheit ist auch durch die Zunahme staatlich gesteuerter beziehungsweise beauftragter Cyber-Aktivitäten und Attacken zu befürchten. Nationalstaatliche Aktivitäten weiten sich über arglistige Desinformation und die Einflussnahme auf Wahlen hinaus auf Wirtschafts-, Militär- und politische Spionage. So ist lt. Check Point Security die Zahl an Cyberangriffen auf die Ukraine allein in den ersten drei Tagen des Krieges um 196 Prozent gestiegen – in Russland dagegen nur um etwa 4 Prozent. Insgesamt habe sich die Anzahl der Phishing-Mails in ostslawischen Sprachen versiebenfacht [Quelle: sosafe: Human Risk Review 2024].

Die schnelle Einführung neuer Technologien inklusive generativer KI hat die Angriffsfläche erweitert, wodurch die Anfälligkeit für Schwachstellen und Fehlkonfigurationen steigt. Infolgedessen müssen Organisationen ihre Sicherheitsstrategien diesbezüglich anpassen und ihre digitalen Assets effektiv schützen.

In Bezug auf die Auswirkungen von KI auf die Cyber-Sicherheit erwarten die Experten von Munich Re eine zunehmende Automatisierung und Personalisierung von Cyber-Angriffen, beispielsweise bei Phishing Mails, die durch den Einsatz von KI zunehmend global und in allen Sprachen skalierbar werden, bei geringeren Kosten und steigender Geschwindigkeit.

Was versteht man unter einem Cyberrisiko?

Als Cyberrisiko wird die Bedrohung für Unternehmen, durch moderne Informations- und Kommunikationstechnik wie Angriffe auf IT-Systeme oder Daten verstanden. Dazu zählen laut Hiscox Datenverluste und -missbrauch, Datenrechtsverletzungen, Datendiebstahl, Urheberrechtsverletzungen, Hackerangriffe sowie Betriebsunterbrechungen infolge von IT-Ausfällen.

Welche Angriffsarten gibt es?

• Malware-Angriffe infiltrieren Systeme durch bösartige Software, die darauf ausgelegt ist, die Datensicherheit und -integrität zu kompromittieren. Sobald Malware ein System infiltriert hat, kann dies zu einem Zyklus von Cyber-Vorfällen wie Datenverletzungen, Systemausfälle, finanzielle Verluste und Rufschäden führen.
  Es gibt verschiedene Arten von Malware wie Viren, Würmer, Trojaner, Ransomware und Spyware. Viren replizieren sich, indem sie sich an saubere Dateien anhängen, Würmer verbreiten sich unabhängig über Netzwerke, Trojaner tarnen sich als legitime Software, um Benutzer zu täuschen, Ransomware verschlüsselt Dateien für Lösegeld, und Spyware stiehlt sensible Informationen.
• Ein Supply-Chain-Angriff, auch Lieferkettenangriff genannt, ist ein Cyberangriff auf die Lieferkette. Anstatt ein bestimmtes Unternehmen direkt ins Visier zu nehmen, werden Lieferanten und Drittanbieter angegriffen.
• Business-E-Mail-Compromise (BEC) ist eine Art von Phishing-Betrug, um von Unternehmen Geld oder wichtige Informationen zu erbeuten. BEC ist mittlerweile eine gängige Angriffsmethode, da 70% der Organisationen versuchten BEC-Angriffen ausgesetzt sind und so oft zu erheblichen finanziellen Verlusten und Datenlecks führen. 
• Datensicherheitsverletzungen umfassen jeden unbefugten Zugriff auf sensible Informationen, die zunächst zu Datenschutzverletzungen und Sicherheitslücken und letztlich zu finanziellen Verlusten, Reputationsschäden und rechtlichen Konsequenzen für betroffene Organisationen führen. Infolgedessen investieren Organisationen zunehmend in präventive Maßnahmen wie Verschlüsselung, Zugriffskontrollen und Mitarbeitertraining.
• Infolge der Tatsache, dass die meisten Organisationen im vergangenen Jahr Insider-Bedrohungen identifiziert haben, ist es unabdingbar, robuste interne Sicherheitsmaß-nahmen und Schulungsprogramme für Mitarbeiter zur Risikominderung aufzusetzen.
• Denial of Service (DoS)-Angriffe stören die Verfügbarkeit von Diensten, indem sie Systeme oder Netzwerke mit übermäßigem Datenverkehr überlasten und sie für legitime Benutzer unzugänglich machen. 

Wo liegen die die Ursachen für die zunehmende Cyberbedrohungslage

In Deutschland 2023 sind rund 456.000 Mitarbeiter im Bereich der Cybersecurity tätig und damit überraschenderweise 1,9 Prozent weniger als im Vorjahr. Gleichzeitig ist der Personalbedarf aber um 0,4 Prozent gestiegen. Im internationalen Vergleich ist Deutschland damit das einzige Land, dass seine Cyber-Belegschaft bei wachsendem Bedarf reduziert hat – weltweit wurden in 2023 440.000 oder 8,7 Prozent neue Cybersecurity-Arbeitsplätze geschaffen (auf 5,5 Mio. angestellte oder selbständige Cybersecurity-Experten). Allerdings stieg in diesem Jahr der weltweite Bedarf an Mitarbeitern mit 12,6 Prozent ebenfalls stärker als der realisierte Personalanbau.

Mehr als 60 Prozent der Befragten aus Deutschland machen sich aufgrund der vielen Herausforderungen Sorgen um die Sicherheit ihres Unternehmens bzw. ihrer Organisation und sagen sogar, dass die aktuelle Bedrohungslage die größte der letzten fünf Jahre darstellt, vor allem wegen der aktuell negativen wirtschaftlichen Lage eine Rolle.

Erschreckend ist, dass die Hälfte der Befragten in ihrem Unternehmen nicht angemessene Instrumente und Experten sieht, um in den nächsten zwei bis drei Jahren auf Cyber-Vorfälle entsprechend reagieren zu können. Ursächlich hierfür sind vor allem fehlende Arbeitskräfte (68 Prozent) und Qualifikationsdefizite (88 Prozent). Die deutschen Cybersecurity-Mitarbeiter sehen dabei vorrangig in den Bereichen Cloud Computing Security (38 Prozent), künstliche Intelligenz / Machine Learning (32 Prozent) und digitale Forensik / Incident Response (29 Prozent) hohe Defizite.

Aufgrund der wirtschaftlichen Situation waren laut den Befragten mehr als die Hälfte der Cybersecurity-Teams in Deutschland von Budgetkürzungen, Einstellungsstopps und Entlassungen betroffen. Bei 39 Prozent wurden Schulungsprogramme und Weiterbildungen gestrichen, was sich bei zwei Dritteln der Befragten negativ auf die Produktivität und die Moral ihres Teams ausgewirkt und dazu die Arbeitsbelastung erhöht hat.

Trotz allem setzen Unternehmen aktiv Strategien zur Stärkung ihrer Cyber-Sicherheitsteams ein. So gaben 72 Prozent der Befragten in Deutschland an, dass ihre Unternehmen in die Ausbildung ihrer Mitarbeiter investieren und Zertifizierungen unterstützen (65 Prozent). Zudem unterstützen sie ihre bestehenden Teams durch Rekrutierung, Einstellung und Einarbeitung neuer Mitarbeiter (72 Prozent), um Personalengpässen vorzubeugen oder diese abzumildern und bieten flexible Arbeitsbedingungen (74 Prozent) sowie Programme zur Förderung von Vielfalt, Gleichberechtigung und Integration an (59 Prozent).

Neben der technischen Beherrschung verschiedener Fertigkeiten betonen Cybersecurity-Experten die Bedeutung nichttechnischer Eigenschaften wie Problemlösungsfähigkeiten (40 Prozent), Neugierde und Lerneifer (41 Prozent) sowie gute Kommunikationsfähigkeiten (38 Prozent) für Quer- und Neueinsteiger.

Wie hoch sind Schäden und Eintrittswahrscheinlichkeit?

Cyber-Schäden gibt es zunehmend seit der Kommerzialisierung des World Wide Web im Jahr 1991. Auch wenn nicht alle Angriffe erkannt bzw. gemeldet werden, so zeigt die nachfolgende Liste die wohl 20 größten Schäden auf.

Tab. 01: Die (wahrscheinlich) 20 größten Cyberschäden aller Zeiten

Es zeigt sich, dass es keinen Branchenschwerpunkt gibt, meist aber die Kundendaten von Unternehmen im Fokus stehen. 
Die Allianz Versicherung schätzt, dass schon in der nächsten Dekade allein Ransomware-Attacken weltweit Schäden von 265 Milliarden US-Dollar verursachen könnten – pro Jahr. Mit dem Begriff sind Attacken gemeint, bei denen Daten gestohlen oder verschlüsselt und erst gegen ein hohes Lösegeld wieder freigegeben werden.

Die steigende Anzahl an Vorfällen aufgrund von schwacher Cybersicherheit, hauptsächlich bei mobilen Endgeräten, wird laut Allianz Commercial in diesem Jahr erneut die Anzahl der Cybervorfälle erhöhen.

Laut des Reports werden Cyber-Risiken zu einer immer drängenderen Bedrohung für Unternehmen und Organisationen rund um den Globus. Nach Schätzungen der Statistikplattform Statista werden die jährlichen Kosten von Cyber-Kriminalität global von 8,15 Billionen Dollar in 2023 (allein in Deutschland betrug der Schaden lt. Bitkom in 2023 206 Mrd. €) auf 13,8 Billionen Dollar im Jahr 2028 steigen. Die Schäden bei Unternehmen und Organisationen entstehen beispielsweise durch Betriebsunterbrechungen und Folgekosten für Forensik und/oder Datenwiederherstellung sowie Schadenersatzforderungen und Reputationsschäden im Zusammenhang mit Daten-sicherheitsverletzungen.

Laut dem Global Threat Report 2024 von CrowdStrike entfallen fast zwei Drittel aller Cyberangriffe auf Nord- und Mittelamerika. Dabei ist aber zu beachten, dass es sich um bekannte Vorfälle handelt bzw. die Statistik die "regionale Erkennungsquote" nicht berücksichtigt.

Abb. 02: Regionale Verteilung von Cyberangriffen [Quelle: CrowdStrike  – Global Threat Report 2024]

Gleiches gilt für die Verteilung von Cybervorfällen nach Branchen, wenngleich es wenig überrascht, dass die Branchen Technologie, Telekommunikation, Finanzen und Regierungen am häufigsten betroffen sind, wo auch die meisten Großschäden zu verzeichnen sind.

Abb. 03: Branchenabhängige Verteilung von Cyberangriffen [Quelle: CrowdStrike  – Global Threat Report 2024]

Laut einer Studie von Cybersecurity Ventures fand im Jahr 2023 allein in Deutschland alle 39 Sekunden ein Cyberangriff statt, was über 2.200 Attacken pro Tag entspricht. Zum Vergleich: Entsprechend der Daten des Vorjahres lag die Frequenz 2022 durchschnittlich bei 44 Sekunden. 

Das Problem dabei ist, dass Schäden erst verzögert oder gar nicht registriert werden – im Gegensatz zu Feuer-, Einbruch. So schätzt das Bundeskriminalamt (BKA), dass bis zu 91,5 % aller Fälle von Cyber-Kriminalität nicht gemeldet werden. 

Wie können sich Unternehmen absichern?

Wie in allen Risikobereichen teilt sich die mögliche Absicherung in die Bereiche internes und externes Risikomanagement, um Schäden zu vermeiden, und Versicherung, um Folgen von Schäden finanziell aufzufangen.

Internes Risikomanagement: Permanente Kontrolle

Den Zweck eines Risikomanagements, die Qualität von Entscheidungen zu erhöhen, kann durch KI unterstützt werden, indem sie Datenanalysen beschleunigt und vertieft, was allerdings nicht bedeutet, dass sie frei von Fehlern ist. Trotz aller technologischen Fortschritte bleibt die menschliche Fähigkeit zur kreativen Problemlösung, Intuition und zum Verständnis komplexer Kontexte unerlässlich. Alle heutigen KI-Systeme, wie ChatGPT, bieten zwar fortgeschrittene Analytik, erfordern aber präzise Anweisungen und klar definierte Prompts.

Stefan Hunziker, Professor für Risk Management an der Hochschule Luzern, weist darauf hin, dass KI und LLMs (Large Language Models) zwar mächtige Werkzeuge sind, aber ihre Kapazität, Geschäftsmodelle und strategische Ziele vollständig zu verstehen, begrenzt ist. Fehleingaben können zu falschen Ausgaben führen, weshalb eine kontinuierliche menschliche Überwachung und Steuerung erforderlich ist. Schließlich halten Experten etwa 3 bis 6 Prozent der von KI und LLMs generierten Informationen für erfunden oder irreführend. Wenn also KI mehr als 90 Prozent der Risikoanalyse abdecken kann, so erfordern doch die verbleibenden 10 Prozent – oft die komplexesten und kritischsten Risiken – menschliches Urteilsvermögen und tiefere Einblicke. Hunziker betonte die Bedeutung der ethischen Überlegungen und der Notwendigkeit, dass Menschen im Regelkreis bleiben, um Missbrauch, Verzerrungen oder Fehlinterpretationen zu verhindern und die Kontrolle zu bewahren.

Angesichts der wachsenden Bedrohungslage priorisieren Organisationen zunehmend die Cyberresilienz durch Risikominderungs- und Transferaktivitäten. Vor allem ein hoher Reifegrad im präventiven IT-Risikomanagement ist ein wesentlicher Treiber zur Erhöhung der Cyber-Resilienz. Fast zwei Drittel der befragten Organisationen haben formale Incident-Response-Pläne oder Diskretionsmittel für das Incident-Management implementiert. Darüber hinaus haben 95 Prozent der Organisationen entweder bereits eine Cyberversicherung oder befinden sich im Prozess, eine solche innerhalb der nächsten 12 Monate abzuschließen. 

Endpunktsicherheit bleibt ein grundlegender Bestandteil von Cybersicherheitsstrategien. 66 Prozent der Organisationen verwenden moderne Endpunktsicherheitstools wie Endpoint Detection and Response (EDR) oder Extended Detection and Response (XDR). Trotz der weit verbreiteten Einführung fortschrittlicher Endpunktsicherheitstechnologien bestehen weiterhin Sichtbarkeitslücken, oft aufgrund unvollständiger Bereitstellung von Sicherheitsagenten über alle Endpunkte hinweg.

Programme zur Stärkung der "Awareness" sollten grundsätzlich zur Information über potentielle Bedrohungen eingesetzt werden. Unter den Organisationen mit solchen Programmen beinhalten 77 Prozent Phishing-Simulationen, um praktische Erfahrungen im Erkennen und Melden von Phishing-Versuchen zu bieten. Leider fehlt aber jeder vierten Organisation dieses Tool und sie verlassen sich ausschließlich auf theoretische, weniger effektive Schulungen.

Auch regelmäßige Aktualisierungen von Incident-Management-Plänen und die Durchführung von Simulationen sind entscheidend, um schnelle und effektive Reaktionen auf Sicherheitsvorfälle zu gewährleisten. Dabei sollten Organisationen ihre Incident-Response-Pläne mindestens alle sechs Monate überprüfen und aktualisieren.

Externes Risikomanagement

Der Markt für externe Cybersicherheitslösungen für Unternehmen und Regierungen ist fast ausschließlich in amerikanischer Hand – lediglich Check Point ist ein israelischer Anbieter.

Abb. 04: Marktanteile der führenden Unternehmen auf dem Cybersecurity-Markt weltweit bis zum 2. Quartal 2024 [Quelle: Statista]

Angeboten wird vorrangig eine Sicherung

• des Netzwerkes über KI-gestützte Bedrohungsprävention und globale Bedrohungsinformationen in Echtzeit,
• des Arbeitsbereichs zum Schutz von Remote-Benutzern, -Geräten und –Zugriffen und
• der Cloud-Daten über online-basierte Infrastrukturen, Anwendungen und Plattformen hinweg. 

Der Umsatz im Cybersecurity-Markt wird laut Statista weltweit für 2024 rund 172 Mrd. EUR, allein in Deutschland etwa 7,0 Mrd. EUR betragen (für die USA als größten diesbezüglichen Markt 75 Mrd. EUR). Das klingt viel, ist aber nur 1,5 Prozent der Branche für Kraftfahrzeuge und Kraftfahrzeugteile. Innerhalb des Cybersecurity-Markts dominieren die Sicherheitsdienste mit einem prognostizierten Marktvolumen für Deutschland von 3,8 Mrd. EUR. Die durchschnittlichen Ausgaben je Arbeitnehmer im Cybersecurity-Markt liegen damit in 2024 voraussichtlich bei 153 EUR.

Es wird erwartet, dass der Umsatz in Deutschland zwischen 2024 und 2028 eine jährliche Wachstumsrate von rund 7 Prozent aufweist, was zu einem prognostizierten Marktvolumen in Deutschland von knapp 10 Mrd. EUR im Jahr 2029 führt.

Unterstützend ist sicherlich eine geplante Reform des Computerstrafrechts in Deutschland, wonach zukünftig einerseits es keine Strafe mehr geben soll für das Aufspüren und Schließen von IT-Sicherheitslücken, andererseits eine Strafverschärfung geplant ist, wenn der Täter aus Gewinnsucht handelt, gewerbsmäßig oder als Mitglied einer Bande agiert oder wenn mit der Tat ein großer Verlust von Vermögen für den Betroffenen einhergeht. Ebenfalls von der geplanten Verschärfung erfasst werden sollen beispielsweise Fälle, in denen – etwa aus dem Ausland – die Funktionsfähigkeit der kritischen Infrastruktur oder die Sicherheit der Bundesrepublik oder eines Bundeslandes beeinträchtigt wird. 

Versicherung des Restrisikos

Cyberversicherungen helfen nicht nur die finanziellen Verluste zu decken, die durch Cyber-Ereignisse und -Vorfälle entstehen. Insbesondere kann die Cyber-Risikoversicherung bei den Kosten helfen, die mit der Behebung des Schadens verbunden sind, einschließlich der Bezahlung von Rechtsbeistand, Ermittlern, Krisenkommunikatoren und Kundengutschriften oder -erstattungen. Mittlerweile verlangen Cyber-Versicherer zunehmend eigene Schutzmaßnahmen der Versicherten.

Wenig überraschend wächst der weltweite Versicherungsmarkt für Cyberrisiken wie kein anderer Versicherungsmarkt.

Abb. 05: Bruttoprämien-Entwicklung des weltweiten Cyber-Versicherungsmarkt [Quelle: Munich Re Cyber-Versicherung, Risiken und Trends 2024] im Vergleich zu allen Versicherungssparten [Quelle: Statista u. a.]

Die in den letzten fünf Jahren zu vernehmende nahezu Verdreifachung der Weltmarktprämie für Cyber-Versicherung lässt sich unter anderem dem starken Engagement der Rückversicherer und dem in letzter Zeit zu beobachtenden – wenn auch noch schwachen – Interesse der Kapitalmärkte am Thema "Cyber” zuschreiben. 

Dass das starke Wachstum weiter anhält ist darauf zurückzuführen, dass bis heute nur ein Bruchteil der Cyber-Risiken versichert sind. Der Großteil des Cyber-Prämienvolumens stammt vorwiegend von Großunternehmen, während mittelständische Unternehmen ihre Cyber-Risiken oft noch selbsttragen. 

Basierend auf dem Endbenutzer wird der Markt in Gesundheitswesen, Einzelhandel, BFSI (Bundesverband freiberuflicher Sicherheitsingenieure), IT und Telekommunikation, Fertigung und andere kategorisiert. Darauf aufbauend zeigt sich, dass auf das Gesundheitswesen, den BFSI und den Handel – mit fast gleichen Anteil – rund 60% der Versicherungsprämie entfallen.

Abb. 06: Verteilung der Bruttoprämien nach Branchen (im Jahr 2023)

Für die Zukunft wird erwartet, dass die Neigung der Verbraucher zu Digitalisierung, mobilen Anwendungen und Internetbanking die Cyberrisiken erhöhen wird. Aufgrund der enormen Datenproduktion im Finanzsektor wird er weiter ein interessantes Ziel für Hacker. Dies dürfte die Nachfrage nach Cybersicherheitsversicherungen in der BFSI-Branche ankurbeln und damit das Wachstum des Segments vorantreiben. 

Das höchste Wachstum wird aber in der Gesundheitsbranche erwartet, da die Akzeptanz von Versicherungspolicen im Gesundheitswesen aufgrund der Zunahme von Datenschutzverletzungen in diesem Sektor zunimmt. 

Der deutsche Cyber-Versicherungsmarkt hat dabei im Jahr 2023 mit einem Beitragsvolumen von 309 Mio. EUR nur einen Anteil von knapp zwei Prozent bei einer durchschnittlichen Schadenquote für den Zeitraum 2021 bis 2023 von knapp 60 Prozent [Quelle: GDV].

Abb. 07: Entwicklung der Cyberversicherung in Deutschland [Quelle: GDV]

Setzt man das Bruttoinlandsprodukt von USA und Deutschland in Relation (27,4 zu 4,5 Mrd. USD, also rund 6 zu 1) und vergleicht dies mit der Cyberprämie (5,0 zu 0,3, also 17 zu 1), so kann man zu einer massiven Untersicherung für Cyberrisiken in Deutschland gelangen – dies gilt aber für die meisten Länder. In einer globalen Umfrage der Munich Re gaben 87 Prozent der befragten Manager an, dass ihr Unternehmen nicht ausreichend gegen Cyber-Risiken geschützt ist.

Die weltweit führenden Cyber-Versicherer nach Bruttoprämie sind im Jahr 2023 laut Insuramore Beazley vor allem Chubb, Munich Re und Axa, die zusammen ca. 25 Prozent der Weltmarktprämie auf sich vereinen. 

Die Akzeptanz von Cyberversicherungen nimmt weiter zu, wobei 66 Prozent der Organisationen eine aktive Versicherungs-Police haben und weitere 29 Prozent im Prozess sind, eine solche abzuschließen. 

Allerdings sieht die Munich Re die Grenzen der Versicherbarkeit bei katastrophalen systemischen Schadenereignissen erreicht und verlangt hierfür staatliche Absicherungen, da schon heute die Kapazitäten nicht ausreichen und die makroökonomische Stabilität bedroht ist. Schon heute können die größten systemischen Cyber-Risiken wie beispielsweise der Ausfall kritischer Infrastruktur oder Schäden durch einen Cyber-Krieg, nicht durch die private Versicherungswirtschaft allein getragen werden. So plädiert die Munich Re für die Einführung eines Cyber-Schutzschirmes für die Wirtschaft unter Beteiligung des Staats. Es drohten der Ausfall des Internets und der Energieversorgung und damit Betriebsunterbrechungen ähnlich wie in der Corona-Pandemie. In solchen Fällen sei wie damals ein politisches Eingreifen gefragt Die Gespräche über derartige staatliche Absicherungen sind bereits im Gange. 

Deckungsmöglichkeiten

Grundsätzlich sollte eine Versicherung gegen Cybervorfälle drei Bestandteile haben: 

Baustein 1: Eigenschadendeckung

Gehen einem Unternehmen durch einen Cyberangriff Werte verloren, steht der Betrieb still oder gibt ein Angreifer nur gegen Lösegeld Systeme oder Daten wieder frei, so liegt in dem Sinne ein Eigenschaden vor, da das Vermögen des Unternehmens selbst geschädigt ist.

Als Teil der Eigenschadendeckung ist vor diesem Hintergrund die Deckung der Kosten für die Wiederherstellung von Daten, Systemen und Netzwerken nach einem Cyberangriff zentraler Baustein einer Cyber-Versicherung. Dazu gehören auch die Kosten für forensische Untersuchungen wie auch für die Benachrichtigung von Kunden oder Behörden im Falle einer Datenschutzverletzung. 

Die Versicherung von Betriebsunterbrechungen, die die finanziellen Auswirkungen eines Cyberangriffs auf den Geschäftsbetrieb abfedert, deckt die finanziellen Verluste, die durch eine Unterbrechung des Geschäftsbetriebs entstehen, einschließlich beispielsweise der Mietkosten für alternative Arbeitsplätze und der entgangenen Gewinne. Diese Versicherung hilft, um Zeiten des Produktionsausfalls zu überbrücken und die notwendigen Maßnahmen zur Wiederherstellung ihres Geschäftsbetriebs zu ergreifen.

Eine Versicherung gegen Cyber-Erpressungen deckt die Kosten für die Zahlung von Lösegeld an Cyberkriminelle ab, falls das Unternehmen Opfer von Ransomware wird. Sie sollte auch die Kosten für die Entschlüsselung von Daten und die Wiederherstellung von Systemen abdecken.

Baustein 2: Haftpflichtdeckung

Die Cyber-Haftpflichtversicherung bietet Schutz vor den finanziellen Folgen von Schadenersatzansprüchen, die aus Datenschutzverletzungen, Verletzungen des Urheberrechts oder anderen rechtlichen Ansprüchen resultieren können. Dabei werden nicht nur die eigentlichen Schadenszahlungen abgedeckt, sondern auch die Kosten für Rechtsverteidigung und Gerichtsverfahren.

Baustein 3: Krisenmanagement

Eine schnelle und effektive Reaktion auf einen Cyberangriff kann die Auswirkungen auf das Unternehmen erheblich reduzieren und das Vertrauen der Kunden und Geschäftspartner wiederherstellen. Deshalb sollte eine Cyber-Versicherung auch Unterstützung bei der Bewältigung eines Cyberangriffs bieten, einschließlich der Bereitstellung von Experten für forensische Untersuchungen, PR-Beratung und rechtlicher Unterstützung.

Ebenfalls sollte der Cyberversicherer auch Schulungen für Mitarbeiter zur Sensibilisierung für Cyber-Sicherheitsrisiken, zudem die Aufstellung von Krisenplänen im Zuge eines umfassenden Business Continuity Managements (BCM) anbieten., um das Risiko zukünftiger Cyberangriffe zu reduzieren und die IT-Infrastruktur sicherer zu gestalten.

Fazit und Ausblick

Schon heute gibt es kaum ein Unternehmen (oder Haushalt) ohne "IT" bzw. bei einer IT-Störung liegt meist der Betrieb still. Die "künstliche Intelligenz" (Artificial Intelligence) wird die Abhängigkeit noch einmal deutlich steigern. Auch wenn die Einbruchsdiebstähle in Deutschland in den letzten beiden Jahren wieder gestiegen sind, so liegen sie in 2023 um knapp 50 Prozent unter denen in 2015. Demgegenüber haben sich im gleichen Zeitraum die Cyberangriffe mehr als verdoppelt (ohne die um ein Vielfaches höheren unbekannten Angriffe). Die kriminellen Attacken verlagern sich also sich zunehmend von der analogen in die digitale Welt. Im Umkehrschluss erfordert eine solche Entwicklung, dass sich Unternehmen (aber auch Haushalte) verstärkt um die Cybersicherheit (Versicherung alleine hilft nicht) kümmern müssen, wenngleich es keinen "100%-Schutz" geben wird. Es gilt die Erfahrung der Einbruchsdiebstähle: Kriminelle greifen dort an, wo der Schutz am geringsten erscheint.