Die Versicherung ist ein passives Instrument des Risikomanagements, bei dem die schadenverursachende Risikoposition erhalten bleibt. Im Falle der Cyberversicherung würde ein aktives Risikomanagement darin bestehen, IT-Systeme gegen Einbruch zu schützen. Dies ist aus verschiedenen Gründen nicht mehr möglich, neben der Technik versagt auch die Politik völlig in diesem Neuland. Das betrifft nicht nur Europa, in den USA wurde gerade der zweitgrößte Lebensversicherer Prudential erfolgreich angegriffen. Die Behörden haben 15 Millionen Dollar Belohnung für die Ergreifung der Täter ausgesetzt, sie wissen sich nicht anders zu helfen.

Neues GDV-Bedingungswerk für Cyberversicherungen

So bleibt nur die Versicherung des offensichtlich nicht vermeidbaren Risikos. Durch mobiles Arbeiten im Homeoffice und die Nutzung von Cloud Computing ist es notwendig geworden, den Versicherungsschutz entsprechend anzupassen. GDV-Hauptgeschäftsführer Jörg Asmussen betont, dass trotz dieser Neuerungen die Grundstruktur einer Cyber-Police unangetastet bleibt, mit dem Ziel, kleinen und mittleren Unternehmen einen robusten Schutz gegen Cyber-Bedrohungen zu bieten.

Wesentliche Änderungen sind:

Mobiles Arbeiten: Klarstellung, dass auch der Fernzugriff auf die Unternehmens-IT versichert ist.

Datenschutz: Berücksichtigung der DSGVO durch Deckung von Schadenersatzansprüchen bei Datenlecks.

Krieg und staatliche Angriffe: Klarstellung, dass Schäden durch Kriegshandlungen oder staatliche Cyberangriffe auf kritische Infrastrukturen ausgeschlossen sind.

Externe Dienstleister: Erweiterung des Versicherungsschutzes auf Schäden durch Störungen bei Cloud-Anbietern und anderen externen Dienstleistern, ausgenommen deren Ausfall.

IT-Sicherheitsniveau: Aktualisierung der Obliegenheiten zur Gewährleistung eines angemessenen IT-Sicherheitsniveaus.

Asmussen betont, dass insbesondere kleine und mittlere Unternehmen die Gefahren aus dem Internet häufig unterschätzen und das eigene IT-Sicherheitsniveau überschätzen. Er appelliert an Wirtschaft, Versicherer und Politik, gemeinsam für mehr Cybersicherheit zu sorgen. Die Politik sei gefordert, klare Rahmenbedingungen zu schaffen, während die Behörden schnell auf Angriffe reagieren müssten.

Das ist reines Wunschdenken. Das Bundesamt für Sicherheit in der Informationstechnik (BSI) hat jüngst die Verantwortung für ihre App mit einer nachgewiesenen Sicherheitslücke in der Online-Ausweisfunktion abgelehnt.