IT- Unternehmen

Was muss bei der Absicherung von IT Betrieben beachtet werden?

Häufig führen Schäden im Einsatzbereich der IT und Telekommunikation zu einem Vermögensschaden des Kunden oder eines sonstigen Dritten. Programmierfehler in einer Warenwirtschaftssoftware, fehlerhafte Implementierung einer Software oder Sicherheitslücke in einem IT-System können finanzielle Schäden hervorrufen, die in ihrer Höhe nicht zu unterschätzen sind. Daher ist die Vermögensschadenhaftpflichtversicherung einer der wichtigsten Bestandteile der IT-Haftpflicht.
 

Welche Deckung kann ich meinem Kunden anbieten?

• Eigenschadenversicherung
• Vermögensschadenhaftpflicht
• Betriebshaftpflichtversicherung
• Produkthaftpflichtversicherung

Was kann passieren?

Ein mögliches Schadenszenario könnte sich wie folgt abspielen. Bei der Implementierung einer Software zur Steuerung des Warenbestandsystems eines Großlagers wurden Datensätze aus dem Altsystem fehlerhaft übertragen. Aktuelle Anpassungen von Warenlieferungen wurden gar nicht erfasst. Mit hohem Aufwand mussten die tatsächlichen Warenströme manuell ermittelt werden. Es entstand ein Vermögensschaden in Höhe von rund 95.000 Euro
 

Welche Absicherungen spielen für Kunden noch eine wichtige Rolle?

Bei IT Unternehmen spielt sich vieles im World Wide Web ab. Das bedeutet das selbst diese Betriebe, stets Opfer einer Cyber Attacke sein können. Neben der Haftpflicht-Deckung, sollten diese Unternehmen auch gegen Eigenschäden und Betriebsausfall infolge eines Cyber Angriffes aufgeklärt und auch abgedeckt sein.

Cyber Risiken– Von digitalem Gewürm, Blockaden und anderen Unliebsamkeiten…

Was soll mir denn schon groß passieren!? Wie hoch kann ein Schaden schon sein? Nach wie vor unterschätzen

Unternehmen die sogenannten Cyber-Risiken. Dabei können insbesondere Datenverluste oder Hackerangriffe

für das Unternehmen zu einem großen finanziellen Schaden führen. Die durchschnittlichen Kosten eines deutschen

Unternehmens nach einem Datenverlust belaufen sich auf etwa 4,8Mio. €. Das Bundeskriminalamt veröffentlichte

in seinem Bericht zur Bundeslage fast 65.000 Fälle in 2013 -und das sind nur die Fälle, die auch zur Anzeige

gebracht wurden! Nicht ohne Grund rangiert das Cyber Risiko 2015, bei den TOP 10 der Gefahren für Unternehmen, auf 

dem 5. Platz.

Für mich als mittelständisches Unternehmen treffen doch Schadenszenarien wie:

- Verlust von 27.000 Datensätze der Barclays Bank gar nicht

zu! Außerdem habe ich doch Schutz über meine Haftpflicht-, Sach- oder Vertrauensschadenversicherungen!

Immer wieder trifft man auf diese Aussagen des Kunden. Wer kann sich schon in so ein abstraktes Thema reinversetzen?

Meist nur Unternehmen, die schon geschädigt worden oder in der IT Branche tätig sind. 

Die Bedrohung aus dem Internet ist für Unternehmen aller Branchen und Größen präsent. Für Hacker und Datendiebe ist

ein DAX-Unternehmen aus dem Telekommunikationsbereich ebenso ein Ziel wie ein mittelständischer

Futtermittelhersteller. Mit im Durchschnitt rund 41.000 Euro Kosten pro verursachendem Angriff können auch 

mittelständische Unternehmen in Deutschland schnell an den Rand ihrer Existenz geraten.

Um sich ein besseres Bild über die Gefahr zu machen, schauen Sie sich doch einfach die neuesten Attacken an.

Artikel und Hintergründe zu den vielfältigen Hackerangriffen, liefert Ihnen der Spiegel-Online in der Rubrik

Netzwelt.

Für welchen Kunden wäre eine Cyber-Deckung denn eigentlich interessant?

Auch wenn es sich um ein Thema handelt, mit dem sich alle auseinandersetzen sollten, empfiehlt es sich vor allem für

Unternehme, die:

• personenbezogene und vertrauliche Daten speichern, bearbeiten oder verwalten
• von Computer-Netzwerken, digitalen Informationen oder dem Internet abhängig sind
• Online- Geschäfte tätigen und über das Internet Waren oder Dienstleistungen verkaufen
• Informationen elektronisch veröffentlichen

Welchen Gefahrenquellen stehe ich als Unternehmer eigentlich gegenüber?

Jeden Tag tauchen rund 350.000 neue Varianten von Schadsoftware im Internet auf. Um sicher zu stellen, dass wir

einen gemeinsamen Wissensstand haben, lassen Sie uns zunächst sechs typische Gefahrenarten näher betrachten:

Trojaner und Würmer

Sie sind der Klassiker unter den Cyber- Schädlingen: Viren und Trojaner nisten sich unbemerkt in Computern ein und klauen persönliche Daten und/oder 

infizieren E-Mails. Jeden Tag gibt es hunderttausende neue Versionen dieser Schadsoftware, vor denen sich Nutzer mit aktuellen 

Anti-Viren-Programme schützen könnten. Das Problem: Die Hälfte aller Schädlinge bleibt unbemerkt.

Viren- Baukästen

Viren-Baukästen (Exploit Kits) sind Programme, die die Entwicklung individueller Schadsoftware ermöglichen und

Cyberangriffe praktisch automatisieren. Die Programme können Drive-by-Downloads initiieren und nutzen eine Vielzahl

weiterer Verbreitungswege, um Computer zu infizieren. Typisch für Viren-Baukästen ist ihre einfache Handhabung, die

sie auch für technische Laien benutzbar macht.

Phishing 

Möglichst viele sensible Daten in kurzer Zeit bekommen, dieses Ziel steckt auch hinter Phishing. Gefälschte Mails

enthalten Links zu Online- Händlern, Bezahldiensten, Paketdiensten oder sozialen Netzwerken. Dort geben die Opfer 

dann nichtsahnend ihre persönlichen Daten preis. Häufig holt sich aber auch ein unerkannter Trojaner die

vertraulichen Informationen.

Denial-of-Service-Attacken

Bei Denial-of-Service-Attacken (Angriffe zur Blockierung eines Dienstes) geht es darum, einen Webserver oder einen

Internetdienst so auszulasten, dass er im Internet nicht mehr erreichbar ist. Um das zu erreichen, werden

massenhaft Datenpakete an den entsprechenden Server geschickt. Die Attacken werden immer unvorhersehbarer und

effizienter, weil sie an unterschiedlichsten Stellen der IT-Infrastruktur ansetzen. Denial-of-Service-Angriffe

werden mitunter auch als Ablenkungsmanöver eingesetzt, um gleichzeitig Schadsoftware zu aktivieren und zum Beispiel

sensible Daten oder geistiges Eigentum zu stehlen.

Physischer Verlust

Genauso gefährlich wie Angriffe auf IT-Systeme ist der Verlust von Datenträgern. Entweder werden Notebooks, Tablets

oder Smartphones gestohlen oder ihre Besitzer verlieren sie versehentlich. Vor allem auf Reisen kommen immer wieder

Geräte abhanden und nur ein Teil findet sich wieder an. Der Zugang zu den Geräten sollte durch sichere Passwörter

geschützt und sensible Daten sollten verschlüsselt werden. Zudem können Inhalte mit entsprechenden Tools auch 

aus der Ferne gelöscht werden, sofern das Gerät online ist. 

Datenverlust 

Wichtigste Folge von Cyberangriffen ist der Verlust sensibler Daten. Ganz egal, wie die Informationen

Abhandenkommen, die Folgen können verheerend sein. So können Kreditkartendaten missbraucht, beim Online-Banking 

Überweisungen getätigt oder der Besitzer der Daten mit einer Veröffentlichung sensibler Informationen erpresst

werden.

Besteht nicht bei vielen Einzelversicherungen bereits Deckung?

In der Betriebshaftpflicht sind Ansprüche eines geschädigten Dritten, wegen Datenverlust, Datenveränderung und

Datenschutzverletzung, abgesichert. Einige Versicherer leisten auch, wenn der VN Persönlichkeits- und Namensrechte

verletzt.

In der Sach-und technischen Versicherung werden meist die Kosten für Wiederherstellung der Daten und betriebsfertigen Programmen erstattet.

Eine Vertrauensschaden Police kommt meist für die IT-Forensik und für die Wiederherstellungskosten nach einem

Hackerangriff auf. Es gibt auch Deckungen am Markt, die für Kosten eines Sicherheits-und PR Beraters aufkommt.

Sogar Geld und Vermögenswerte in elektronischer Form sind absicherbar. 

Die Kidnap & Ransom (K&R) Deckungen leisten bei Erpressung und Bedrohung. Belohnung für Hinweise zur Ergreifung

der Erpresser ist auch Inhalt der Deckung. 

Aber reicht das aus? Wir sagen nein!

Was ist mit den Eigenschäden infolge von Datenwiederherstellung und Ertragsausfall, sowie Kosten für Forensik, für die Sicherung

der Reputation und der Krisenkommunikation?

Cyber-Policen schießen derzeit wie Pilze aus dem Boden und die nächsten Produktgeber stehen auch schon mit Ihren

Tarifen in den Startlöchern.

Was ist denn nun von essenzieller Bedeutung? Was muss eine Cyber-Deckung vorweisen?

Die Komplexität von Cyberrisiken führt dazu, dass auch der Versicherungsschutz diesen Herausforderungen angepasst

werden muss. Dabei kristallisieren sich zunehmend zwei grundsätzliche Bausteine der Absicherung heraus:

1. Haftpflicht

Folgende Pflichtverletzungen sind deckungsrelevant: 

Datenangriff

Schädigung von Drittsystemen oder unberechtigter Zugang zu einem Drittsystem durch eine Cyber-Attacke auf ein

System des versicherten Unternehmens

Rechtsverletzung

Verletzung oder widerrechtliche Verwendung von geistigem Eigentum durch Versicherte aufgrund von Cyber-Aktivitäten

dieser.

Ausspähung

Unberechtigter Zugang zu sensiblen, personenbezogenen Daten Dritter über ein System eines versicherten Unternehmens.

Verhinderter Zugang

Beeinträchtigung oder Verhinderung des berechtigten Zugangs von Kunden zu einem System eines versicherten

Unternehmens als Folge einer Cyber- Attacke auf die Systeme des versicherten Unternehmens.

Rufschädigung

Verleumdung, üble Nachrede oder jede andere Art der Diffamierung oder Verunglimpfung von Personen, Produkten

oder Dienstleistungen oder Beeinträchtigung der Privatsphäre von Personen durch Cyber-Aktivitäten eines

versicherten Unternehmens.

2. Eigenschäden

Versichert sind Eigenschäden im Zusammenhang mit einem Hacker-Angriff, DoS-Attacke, Computermissbrauch,

Diebstahl von Datenträgern sowie einer sonstigen Datenrechtsverletzung. Dazu gehören z.B.:

Computer-Forensik-Spezialisten

IT Forensiker unterstützen Sie bei der kriminalistischen Beweissicherung. Sie führen eine forensische Computer-und

Datenträgeruntersuchung durch. Mit modernster Hard-und Softwarekommen sie Tätern auf die Spur. Sie spüren auch

eventuelle Sicherheitslecks auf und treffen Maßnahmen zur Datensicherheit.

Benachrichtigungskosten

Wird ein Unternehmen ausgespäht, müssen die betroffenen Personen benachrichtigt werden. Kontodaten,

Identifikationsdaten oder Sicherheitscodes geändert werden. Diese Kosten werden übernommen, meist sogar auch die

Überwachungsdienstleistung von beispielsweise dem betroffenen Konto.

Kreditschutz-und Kreditüberwachungsservices

Ob wegen eines Büro Diebstahls oder eines Cyber Raubzugs: Sind die Kreditkarten weg, zieht das auch Folgeschäden

nach sich. Denn die Überwachung und der Schutz der verlorengegangenen Karten sind eine wichtige und auch

kostspielige Begleiterscheinung.

Wiederherstellung von Daten und Netzwerken

Unter diesem Punkt verbergen sich Kosten, die im Zusammenhang mit der Wiederherstellung oder Reparatur der

IT-Systeme stehen.

Reputationsschäden und Kosten für Krisenkommunikation

Ist der Ruf erst ruiniert, lebt es sich ganz kompliziert. So lautet zwar kein Sprichwort, aber so sieht die

Wirklichkeit aus. Ist der gute Ruf eines Unternehmens oder einer Marke ernsthaft bedroht, müssen Gegenmaßnahmen

eingeleitet werden. Kosten für Werbemaßnahmen, um das Vertrauen der Kunden nach einem Schaden zu erhalten oder

wiederzuerlangen werden übernommen. Ebenso gehört die Erstattung der Kosten für das Krisenmanagement dazu.

Cyber Erpressung

Erpressungen und Lösegeldforderungen waren immer schon wichtige Teile krimineller Aktivitäten. Mit der heutigen,

globalen Internet-Wirtschaft haben die Kriminellen ihre Vorgehensweise angepasst und versuchen, mit so genannter

„Ransomware“ Geld zu erpressen. Ransomware nennt man Schadprogramme, die von Cyberkriminellen genutzt werden, um

Geld von ihren Opfern zu erpressen – entweder durch das Verschlüsseln von Daten oder durch das Blockieren des

Computers.

Cyber Vandalismus

Das Verändern, Beschädigen, Löschen oder Zerstören von Daten. Dies kann durch einen gezielten Angriff durchgeführt

werden oder durch ein mit Trojaner infiziertes Programm.

Betriebsunterbrechung und Folgeschaden

Hacker blockieren die Homepage eines mittelständischen Online-Vertriebs. Nichts geht mehr! Durch die

Betriebsunterbrechung werden mehrere Tage lang alle Bestellungs-und Zahlungsvorgänge unterbunden. Die Folge sind

spürbare Umsatzeinbrüche.