Cyber-Versicherung: Ein praktischer Leitfaden

Eine Cyber-Versicherung kann finanzielle Folgen bestimmter IT-Sicherheitsvorfälle abfedern. Sie ersetzt weder technische Schutzmaßnahmen noch einen Notfallplan. Welche Ereignisse, Kosten und Haftungsansprüche versichert sind, ergibt sich ausschließlich aus dem konkreten Vertrag.

Welche Bereiche werden typischerweise geprüft?

Je nach Tarif können Bausteine für eigene Kosten, Ansprüche Dritter und Betriebsunterbrechungen enthalten sein. Häufig geht es um:

• IT-Forensik und Unterstützung bei der Eindämmung eines Vorfalls,
• Wiederherstellung von Daten und Systemen,
• Krisenkommunikation und rechtliche Erstberatung,
• bestimmte Ertragsausfälle nach einer versicherten Unterbrechung,
• versicherte Haftpflichtansprüche wegen Datenschutz- oder Netzwerksicherheitsverletzungen.

Diese Aufzählung ist keine Deckungszusage. Sublimits, Selbstbehalte, Wartezeiten und Ausschlüsse können einzelne Leistungen begrenzen.

Welche Grenzen sind besonders wichtig?

Anträge enthalten regelmäßig Fragen zu Mehrfaktor-Authentifizierung, Backups, Updates, Fernzugängen und Berechtigungen. Unzutreffende oder später nicht mehr aktuelle Angaben können den Schutz beeinträchtigen. Ebenfalls zu prüfen sind bekannte Vorfälle, veraltete Systeme, Lösegeldzahlungen, Vertragsstrafen und Schäden bei externen IT-Dienstleistern.

Angaben für einen belastbaren Vergleich

Bereiten Sie mindestens folgende Informationen vor:

1. Branche, Umsatz, Beschäftigte und wichtigste Standorte,
2. Art und Umfang verarbeiteter Daten,
3. geschäftskritische Systeme und maximale tolerierbare Ausfallzeit,
4. Backup-Konzept einschließlich letzter Wiederherstellungsprobe,
5. Mehrfaktor-Authentifizierung, Patch- und Berechtigungsmanagement,
6. bisherige Vorfälle und bekannte Sicherheitslücken,
7. Anforderungen aus Kunden- und Lieferantenverträgen.

Was ist bei einem Vorfall zu tun?

Aktivieren Sie den internen Notfallplan, isolieren Sie betroffene Systeme soweit fachlich vertretbar und dokumentieren Sie Zeiten und Maßnahmen. Informieren Sie den im Vertrag genannten Notfallkontakt beziehungsweise Ihren Makler frühzeitig. Ob eine Meldung an Datenschutzbehörden oder betroffene Personen erforderlich ist, sollte mit zuständigen Datenschutz- und Rechtsexperten geprüft werden.

Eine kompakte Schrittfolge finden Sie in unserem Ratgeber zum Cyber-Schadenprozess. Für kleine Betriebe haben wir außerdem technische und organisatorische Mindestmaßnahmen zusammengestellt.