Die Cyberversicherung hat sich in der Landschaft der Schweizer KMU etabliert. Sie wird von Versicherungsmaklern angeboten, manchmal an einen bestehenden Vertrag angehängt, und oft innerhalb weniger Minuten unterschrieben, weil die Prämie angesichts des Risikos vernünftig erscheint.
Das Problem ist fast nie der Preis. Es liegt anderswo: Viele Unternehmen wissen nicht genau, was sie gekauft haben, und entdecken die tatsächlichen Bedingungen erst am Tag, an dem sie sie brauchen. An diesem Tag gibt es keinen Handlungsspielraum mehr.
Dieser Artikel ist weder eine Produktempfehlung noch ein Vergleich. Er beschreibt die Mechanismen, die diesen Verträgen gemeinsam sind, und vor allem die Fragen, die vor der Unterschrift zu stellen sind. Da jeder Vertrag anders ist, gilt allein die Lektüre des eigenen Vertrags.
Was deckt eine Cyberversicherung im Allgemeinen ab?
Entgegen einer verbreiteten Annahme ist eine Cyberversicherung nicht einfach ein Scheck, der im Nachhinein ausgestellt wird. Ihr wichtigster Wert zeigt sich oft in den ersten Stunden, in Form von Dienstleistungen statt Geld.
Je nach Vertrag finden sich in der Regel vier Bausteine.
Die Kosten der Reaktion auf den Vorfall. Das ist der Kern der Leistung. Der Versicherer finanziert, und organisiert manchmal, den Einsatz technischer Experten, die den Angriff analysieren und beim Wiederanlauf helfen, eine juristische Beratung für Meldepflichten und Haftungsfragen und manchmal Unterstützung in der Kommunikation. Für ein KMU ohne eigene IT-Abteilung ist dieser unmittelbare Zugang zu Spezialisten oft mehr wert als die Entschädigung selbst.
Der Betriebsunterbrechungsschaden. Dabei geht es darum, die während des Betriebsausfalls verlorene Marge ganz oder teilweise auszugleichen. Achten Sie auf die Definitionen: Verträge sehen in der Regel eine Wartefrist vor, also eine Ausfalldauer, unterhalb der nichts geschuldet ist, sowie eine maximale Entschädigungsdauer.
Der Wiederaufbau von Daten und Systemen. Die Kosten für Wiederherstellung, Neuinstallation und manchmal die erneute Erfassung verlorener Daten können übernommen werden. Dieser Posten setzt natürlich voraus, dass überhaupt etwas wiederherzustellen bleibt, was uns zu Ihren Backups zurückführt.
Die Haftpflicht gegenüber Dritten. Manche Verträge, nicht alle, decken Ansprüche von Kunden oder Partnern ab, deren Daten offengelegt wurden, sowie die Kosten der Rechtsverteidigung. Das ist ein eigenständiger Baustein, den Sie ausdrücklich prüfen müssen, wenn Ihre Tätigkeit die Verarbeitung von Daten für Dritte umfasst.
Was ist häufig ausgeschlossen oder eingeschränkt?
Ein Versicherungsvertrag wird zuerst über seine Ausschlüsse gelesen. Drei Kategorien kommen regelmässig vor und verdienen einen unbeschönigten Blick.
Grobe Fahrlässigkeit. Das ist der meistdiskutierte Ausschluss. Ein Unternehmen ohne jegliches Backup, mit seit Jahren nicht aktualisierten Systemen oder ohne Reaktion auf eine bekannte Warnung setzt sich einer Kürzung oder sogar einer Verweigerung der Leistung aus. Die Schwelle ist nicht durch eine allgemeingültige Regel festgelegt, sie hängt vom Vertrag und den Umständen ab. Merken Sie sich das Prinzip: Die Versicherung deckt ein Risiko, keinen Verzicht.
Vorfälle vor Vertragsabschluss. Ein Angriff, dessen Ursprung vor Vertragsbeginn liegt, ist in der Regel ausgeschlossen, selbst wenn er erst später entdeckt wird. Ein Eindringen kann lange unbemerkt bleiben, insbesondere bei einer kompromittierten Mailbox.
Die Zahlung von Lösegeld. Je nach Vertrag kann dies ausgeschlossen oder unter strengen Bedingungen mit vorheriger Zustimmung gedeckt sein. Gehen Sie niemals von einer bestimmten Antwort aus. Diese Frage sollte ohnehin vor dem Angriff geklärt werden, wie wir in unserem Artikel Lösegeld zahlen oder nicht erläutern.
Weitere Einschränkungen sind weniger ein Ausschluss als eine Rahmenbedingung: Selbstbehalte, Höchstgrenzen pro Schadenfall und pro Jahr, Unterlimiten für bestimmte Posten. Sie sind bei einer schnellen Lektüre der Broschüre nicht sichtbar, sondern stehen in den Vertragsbedingungen.
Der Punkt, der den Versicherungsschutz kostet: Ihre Pflichten
Hier ist die zentrale Botschaft dieses Artikels. Nicht der Umfang der Garantie bereitet in der Praxis die meisten Probleme, sondern die Pflichten, die der Vertrag Ihnen im Schadenfall auferlegt.
Zwei Pflichten kommen fast immer vor. Erstens sehr schnell melden, meist innerhalb einer kurzen Frist. Zweitens, und das ist der kontraintuitive Punkt, technisch nichts unternehmen, bevor die Zustimmung des Versicherers vorliegt, der sich häufig das Recht vorbehält, eigene Experten zu beauftragen.
Typisches Szenario: Montagmorgen, die Dateien sind verschlüsselt. Der Informatikdienstleister tut, was am naheliegendsten scheint, und installiert die Server neu, um so schnell wie möglich wieder zu starten. Drei Tage später verlangt der Versicherer die forensische Analyse. Es gibt nichts mehr zu analysieren. Der Ursprung des Angriffs kann nicht mehr festgestellt werden, ebenso wenig das Datum der Kompromittierung oder die tatsächlich abgerufenen Daten. Trennen Sie die Maschinen vom Netz, löschen Sie sie nicht, und rufen Sie an, bevor Sie wiederaufbauen.
Diese Anforderung ist keine administrative Schikane. Die Analyse der Spuren dient dazu, den Schadenfall zu qualifizieren, sein Ursprungsdatum zu bestimmen und festzustellen, welche Daten tatsächlich eingesehen wurden, was Sie ohnehin für Ihre gesetzlichen Pflichten benötigen.
In der Praxis bedeutet das, dass ein Cyberversicherungsvertrag Ihren Notfallablauf verändern muss. Die Nummer des Versicherers gehört auf die Liste der vorrangigen Anrufe, neben denen, die in wen im Angriffsfall kontaktieren aufgeführt sind, und diese Liste muss Ihren Mitarbeitenden vor dem Vorfall bekannt sein, nicht erst in einem unzugänglichen Postfach gesucht werden.
Der Fragebogen bei Vertragsabschluss ist bindend
Bevor der Versicherer Sie deckt, befragt er Sie zu Ihrer Organisation: Backups, Updates, Authentifizierung, Schulung, Dienstleister. Diese Antworten sind kein Kundenzufriedenheitsfragebogen, sie sind Teil der Risikobewertung.
Zu erklären, dass Ihre Backups regelmässig getestet werden oder dass die Zwei-Faktor-Authentifizierung überall eingerichtet ist, obwohl das nicht der Fall ist, schwächt Ihre Garantie erheblich. Am Tag des Schadenfalls ist die Überprüfung einfach, und die Folgen können von einer gekürzten Entschädigung bis zur Anfechtung des Vertrags reichen.
Die meisten ungenauen Antworten sind keine Lügen, sondern Annahmen. Die Geschäftsleitung ist überzeugt, dass die Backups getestet werden, weil der Dienstleister ihr das vor zwei Jahren so gesagt hat. Lassen Sie jede Aussage überprüfen, bevor Sie sie unterschreiben, und bewahren Sie den Nachweis dieser Überprüfung auf. Das ist für den Versicherer nützlich, und für Sie noch mehr.
Dieser Fragebogen hat übrigens einen unerwarteten Vorteil: Er ist eine kostenlose Selbstdiagnose. Jedes Kästchen, das Sie nicht ehrlich ankreuzen können, zeigt eine Sicherheitsbaustelle, die anzugehen ist. Unser Cyber-Check-up behandelt die gleichen Themen und hilft, sich auf die Übung vorzubereiten.
Welche Fragen sollten Sie vor der Unterschrift stellen?
Hier sind die Punkte, die Sie schriftlich klären lassen sollten, unabhängig vom Versicherer. Eine beruhigende mündliche Antwort ist gegenüber einer Vertragsklausel wertlos.
| Thema | Die zu stellende Frage |
|---|---|
| Meldung | Innerhalb welcher Frist muss ich melden, über welchen Kanal, und ist dieser Kanal nachts und am Wochenende erreichbar? |
| Eingriff | Darf ich meinen gewohnten Dienstleister beauftragen, oder verlangt der Versicherer seine eigenen Experten? |
| Umfang | Sind Homeoffice, private Geräte und meine Informatikdienstleister eingeschlossen? |
| Ausschlüsse | Welche technischen Anforderungen führen bei Nichteinhaltung zum Wegfall der Garantie? |
| Betriebsunterbrechung | Ab wie vielen Stunden Ausfall, für wie lange, und wie berechnet? |
| Dritte und Lösegeld | Ist die Haftpflicht gegenüber meinen Kunden gedeckt? Ist die Zahlung eines Lösegelds gedeckt, und unter welchen Bedingungen? |
Ein letzter Reflex: Verlangen Sie die vollständigen allgemeinen Geschäftsbedingungen, nicht nur das Produktblatt, und lesen Sie den Abschnitt “Pflichten der versicherten Person” vor dem Abschnitt “Leistungen”. Dort entscheidet sich Ihre Entschädigung.
Eine Versicherung ersetzt nicht die Prävention
Eine Cyberversicherung überträgt einen Teil der finanziellen Kosten eines Vorfalls. Sie überträgt nichts anderes.
Sie stellt Ihre Daten nicht an Ihrer Stelle wieder her. Sie gibt weder die Wochen der desorganisierten Tätigkeit zurück noch die Erschöpfung der Teams, die Dossiers erneut erfassen. Sie kauft nicht das Vertrauen eines Kunden zurück, der eine betrügerische Rechnung erhalten hat, die von Ihrer Adresse aus versendet wurde, noch das eines Partners, der entdeckt, dass seine Daten bei Ihnen lagen. Diese Verluste lassen sich nicht entschädigen.
Sie hat allerdings einen nützlichen Nebeneffekt. Um zu vernünftigen Bedingungen versicherbar zu sein, muss ein Mindestmass an digitaler Hygiene nachgewiesen werden. Der Vertragsabschluss treibt also dazu, das einzuführen, was ohnehin hätte eingeführt werden sollen. So gesehen ist die Versicherung weniger ein Netz als ein Ansporn.
Um abzuschätzen, was ein Ausfall für Sie bedeuten würde, gibt unser Simulator für die Kosten eines Angriffs eine nützliche Grössenordnung vor jedem Gespräch mit einem Versicherungsmakler. Und die Massnahmen, die die Wahrscheinlichkeit eines Schadenfalls wirklich verringern, sind im Themenbereich Gute Praktiken zusammengefasst.
Eine Einschränkung bleibt diesem Thema eigen. Cyberversicherungsverträge zu vergleichen erfordert, gleichzeitig das Versicherungsvokabular und die technischen Realitäten Ihres Systems zu verstehen. Nur wenige KMU verfügen über beide Kompetenzen im Haus, und genau deshalb unterschreiben so viele von ihnen, ohne zu wissen, was sie kaufen. Den Vertrag von jemandem prüfen zu lassen, der weiss, was die technischen Anforderungen konkret bedeuten, verhindert, die Ausschlüsse erst am Tag des Schadenfalls zu entdecken. Die weiteren Reflexe, die im Voraus vorzubereiten sind, werden im Themenbereich Auf einen Angriff reagieren und in was in den ersten 24 Stunden zu tun ist beschrieben.