Cyberversicherungen: Über den Service zum Abschluss

Noch haben nach einer Umfrage des Versicherungsmaklers Cyberdirekt nur rund 23 Prozent der Mittelständler Cyberschutz abgeschlossen. Dass es aber bei den meisten Betrieben nach einer Cyberattacke nicht mehr rund läuft, zeigt eine repräsentative Befragung von 518 kleiner und mittelständischer Unternehmen (KMU) durch die Sirius Campus GmbH im Auftrag der HDI Versicherung Ende 2021.

Nach einem Angriff auf die IT sind nur sieben Prozent der Unternehmen von einer Betriebsstörung verschont geblieben. Bei 18 Prozent lief der Betrieb schon im Laufe des Tages wieder. Doch immerhin gab es bei 21 Prozent einen ganzen Tag eine Störung und bei 51 Prozent dauerte diese teilweise deutlich länger an.

Und hier kommt der besondere Charakter der Cyberversicherungen zum Tragen: Sie versprechen sofortige Hilfe in der Krise. Damit sind diese Policen ein Koppelprodukt. „Eine solche umfassende Assistance-Leistung ist ansonsten nur noch bei Kidnap- and Ransom-Versicherungen anzutreffen“, erläutert Thomas Pache, Head of Cyber Solutions beim internationalen Versicherungsmakler Aon DACH-Region.

Versicherer verkaufen mit der Cyber-Police nicht nur eine Entschädigungsleistung, sondern gleichzeitig jede Menge Service. Prüfung der Cyberattacke und Neuaufsetzung des Systems gehen Hand in Hand und müssen vor allem schnell funktionieren. „Und diese Dienstleistung wird durch eine Handvoll bundesweit tätiger IT-Unternehmen erbracht, die die Versicherer beauftragt haben“, erläutert Arndt von Eicken, Managing Analyst bei der Assekurata Assekuranz Rating-Agentur.

Nicht alle Versicherer würden diesen Dienstleister überhaupt benennen. Schon das sei für Versicherungsmakler und Kunden eine hohe Intransparenz. Der Dienstleister, der eine besonders wichtige Komponente beim Cyberschutz ist, sollte bekannt und überprüfbar sein.

Eine Umfrage unter ausgewählten Cyber-Versicherern zeigt aber, dass vielfach die Transparenz in Sachen Service-Dienstleister noch stark zu wünschen übriglässt. Nur sechs der 17 Versicherer, die die Anfrage überhaupt beantwortet haben, benennen den IT-Dienstleister vorab (siehe Tabelle).

Auch in der Praxis hapert es deutlich. Elke Bachler, Head of Cyber Security Services bei Marsh Deutschland rät dazu, dass Cyberschutz und Notfallplan mit dem IT-Dienstleister beim Abschluss der Police umfassend besprochen werden. „Manche Versicherungskunden berichten, dass sie Schwierigkeiten haben, die von ihren Versicherern eingerichtete Notfall-Hotline zu erreichen oder dass deren Mitarbeiter, wenn man sie erreicht, nicht gut über den Kundenbetrieb informiert sind“, warnt Bachler.Das ist brandgefährlich. Dann werden die Abläufe im Ernstfall verlangsamt, die IT und damit der Betrieb, kann nicht mehr so schnell starten.

Seite 1: Cyberversicherung: Ein Rundum-sorglos-Paket?Seite 2: Warun effektives Krisenmanagement vor dem Schadenfall beginnt

Im schlimmsten Fall fällt eine solche Panne zumindest imageschädigend auf den Versicherungsmakler zurück. Klappt alles prima hat der Vermittler eine gute Referenz für alle Neukunden. Da aber die Qualität der IT-Dienstleister bisher von keiner Ratingagentur ausreichend gemessen wird, weil seine Leistungen nicht in den Bedingungen stehen, müssen sich Versicherungsmakler derzeit unbedingt Erfahrungswissen aneignen. Dann können sie bei der Vermittlung bei ihren Kunden punkten. „Denn oft ist gerade die Frage der Wahl eines zuverlässigen Krisenmanagements zentraler Punkt bei der Wahl der richtigen Versicherung“, sagt Frederik C. Köncke Geschäftsführer beim Versicherungsmakler Robert Schüler.

Wie wichtig Service schon vor dem Schadenfall ist, zeigt sich aktuell an der Ukraine-Krise. Denn durch den Angriffskrieg Russlands ist die von dort stammende Cyberfirma Kaspersky in negative Schlagzeilen geraten. Am 15. März 2022 warnte das Bundesamt für Sicherheit in der Informationstechnik (BSI) öffentlich vor dem Einsatz der Virenschutz-Software des russischen Anbieters.Der Grund: Ein russischer IT-Hersteller könne selbst offensive Operationen durchführen und gegen seinen Willen gezwungen werden, Zielsysteme anzugreifen oder als Werkzeug für Angriffe gegen seine eigenen Kunden missbraucht werden. Die amtliche Warnung hat Folgen: Im schlimmsten Fall, wenn tatsächlich die Kaspersky-Software das Tor zur kriegerischen Cyberattacke war, könnte der Versicherer die Leistung verweigern. „Bisher sind die Reaktionen der Assekuranzen sehr unterschiedlich“, sagt Ole Sieverding, Geschäftsführer des Versicherungsmaklers Cyberdirekt aus Berlin.

Einige Assekuranzen würden die Nutzung von Kaspersky nach der BSI-Warnung als Gefahrerhöhung bewerten, ähnlich einem Gerüst am Unternehmensgebäude, das den Einbruchsdiebstahl begünstigt. Eine solche Gefahrerhöhung müsste dem Versicherer unverzüglich mitgeteilt werden. „Ein überstürztes Abschalten einer Kaspersky-Lösung ist aber die falsche Reaktion“, so Sieverding. Man sollte besser einen Ablaufplan für einen Wechsel zu einer anderen Virensoftware erstellen und das dokumentieren.

Wenn Ihnen dieser Artikel gefällt, abonnieren Sie unseren täglichen kostenlosen Newsletter für weitere relevante Meldungen aus der Versicherungs- und Finanzbranche!

Seite 1: Mangelnde Transparenz bei Cyber-Policen?Seite 2: Effektives Krisenmanagement beginnt vor dem Schadenfall