Cyber­versicherung – Handlungsfähig nach dem Angriff

Die Vorstellung, für Angreifer zu klein zu sein, unterschätzt, wie solche Angriffe ablaufen: Schadsoftware durchkämmt automatisiert das Netz nach erreichbaren Schwachstellen – wen sie dabei findet, spielt keine Rolle. Eine gefälschte Rechnung im Postfach oder ein geöffneter Anhang genügt, und die Verschlüsselung läuft. Getroffen wird also nicht, wer bekannt ist, sondern wer erreichbar ist – und erreichbar ist jeder Betrieb, der E-Mails empfängt, online bestellt oder Kundendaten speichert.

Während die Systeme stehen, beginnt die zweite Front: Das Datenschutzrecht sieht für Vorfälle mit personenbezogenen Daten regelmäßig eine Anzeige bei der zuständigen Aufsichtsbehörde vor – die knappe Frist dafür läuft, während intern noch niemand weiß, was überhaupt passiert ist. Dazu können Dritte, deren Daten in dem Vorfall stecken, eigene Forderungen an den Betrieb richten. Wer sich nur um die Technik kümmert, versäumt die juristische Seite – und die verzeiht Verzögerungen deutlich seltener als ein Server.

Der eigentliche Wert des Vertrags liegt weniger im Geld als im Zugriff: IT-Forensik, die den Angriff eingrenzt, Rechtsberatung für die Meldepflichten, Unterstützung bei der Kommunikation mit Kundschaft und Belegschaft. Ein IT-Dienstleister, der die Server betreut, ersetzt das nicht – er kennt Ihre Systeme, aber selten das Vorgehen von Angreifern, Beweissicherung und Aufsichtsbehörden. Ohne Versicherung müssten Sie diese Spezialisten im Ernstfall erst suchen und beauftragen – zu einem Zeitpunkt, an dem jede Stunde Betriebsstillstand bedeutet.

Eine Cyberversicherung ersetzt keine IT-Sicherheit, sie setzt sie voraus: Vereinbarte Mindeststandards wie regelmäßige Datensicherungen oder ein gepflegtes Rechtekonzept gehören zum Vertrag, und Schäden über bekannte, aber nicht geschlossene Sicherheitslücken können vom Schutz ausgenommen sein. Das ist keine Schikane, sondern die Logik des Produkts – versichert wird das Restrisiko, das trotz vernünftiger Vorkehrungen bleibt. Wer den Abschluss vorbereitet, bekommt damit zugleich einen ehrlichen Blick auf den Stand der eigenen IT.