Was verlangt eine Cyberversicherung von unserer IT?

Die Versicherung zahlt. Zurückholen muss man die Daten trotzdem selbst.

Vor allem Grundlagen, die ohnehin sinnvoll sind: Mehr-Faktor-Anmeldung, getrennt aufbewahrte und wiederherstellbare Backups, zeitnahe Updates, Virenschutz und Firewall, geregelte Zugriffsrechte und geschulte Mitarbeiter. Die eigentliche Falle ist nicht die Liste, sondern der Fragebogen: Eure Antworten müssen stimmen, und zwar auch noch an dem Tag, an dem der Schaden eintritt.

Was Versicherer typischerweise abfragen

Die folgende Liste haben wir mit einem Versicherungsfachmann zusammengestellt. Einzelne Anbieter weichen ab. Maßgeblich ist immer euer eigener Antrag.

• Mehr-Faktor-Anmeldung für alle Administratorkonten, zunehmend auch für alle Mitarbeiter, vor allem beim Zugriff von außen und auf E-Mail
• Eigene Zugänge für jeden Mitarbeiter, keine Sammelkonten, und Rechte nur so weit, wie sie gebraucht werden
• Schulung der Mitarbeiter zu Betrugsmails und Angriffen, mindestens einmal im Jahr
• Vollständige Datensicherung mindestens wöchentlich, wiederherstellbar, und so aufbewahrt, dass dasselbe Ereignis nicht Original und Sicherung zugleich treffen kann
• Sicherheitsupdates innerhalb kurzer Frist, oft wenige Tage nach Erscheinen
• Aktueller Virenschutz auf allen Systemen
• Firewall für alle Geräte, die beruflich im Internet sind
• Schutz sensibler und personenbezogener Daten, etwa durch Verschlüsselung

Nichts davon ist exotisch. Aber jeder Punkt ist eine Aussage, die ihr im Antrag mit Unterschrift bestätigt.

Die eigentliche Falle: der Fragebogen

Ein Antrag wird einmal ausgefüllt, meist von der Geschäftsführung, oft unter Zeitdruck und mit dem Gefühl, dass „das ja alles da ist". Dann vergehen zwei Jahre. Ein neuer Server kommt dazu, eine Fernwartung wird ohne zweiten Faktor eingerichtet, die Sicherung läuft seit Wochen mit Fehlern.

Tritt jetzt ein Schaden ein, prüft der Versicherer, ob die Angaben gestimmt haben. Stimmen sie nicht, kann er die Leistung kürzen oder ganz verweigern. Wie weit das im Einzelfall geht, ist eine Rechtsfrage, die euer Versicherungsmakler beantwortet, nicht wir. Die technische Seite ist dagegen unser Handwerk: dass jede Angabe im Antrag zutrifft, dass sie belegbar ist, und dass sie auch nach zwei Jahren noch stimmt.

Was eine Cyberversicherung leistet

Die meisten Tarife stehen auf vier Säulen, in unterschiedlicher Stärke:

1. Eigenschäden: Kosten für Fachleute, Datenschutzanwälte, Wiederherstellung und die Benachrichtigung Betroffener
2. Betriebsunterbrechung: entgangener Ertrag und Mehrkosten, solange der Betrieb steht
3. Drittschäden: Ansprüche von Kunden oder Partnern, etwa nach einem Datenabfluss
4. Hilfe im Ernstfall: eine Notfallnummer und ein Team, das bei der Eindämmung hilft

Was sie nicht leistet: die Daten zurückzubringen. Das kann nur eine Sicherung, die vorher funktioniert hat. Wie wir Sicherungen betreiben und prüfen, steht unter Backup und Wiederherstellung.

Ein Punkt, der sich widerspricht

Manche Fragebögen verlangen noch einen regelmäßigen Kennwortwechsel, obwohl das BSI davon inzwischen abrät. Steht es in eurem Vertrag, gilt es für euch. Wir setzen es dann um und sagen dir, wie es sich mit den übrigen Regeln verträgt, siehe Passwortregeln im Betrieb.

Was wir zusagen können, und was nicht

Wir können dir nicht versprechen, dass ein Versicherer zahlt. Das entscheidet er. Wir können dafür sorgen, dass du jede technische Frage im Antrag guten Gewissens beantworten kannst, und dass es so bleibt.

Kurz beantwortet