Die Verlängerung der Cyberpolice galt im Haus als Formsache. Dann kommt ein Brief, der keine Bestätigung enthält, sondern eine Absage. Ein Angebot gibt es noch, zur fünffachen Prämie und mit Auflagen, die binnen Wochen zu erfüllen sind. Wie aus diesem Schock die wirksamste Sicherheitsinitiative der Firmengeschichte wurde, erzählt dieses Fallbeispiel.
Die folgende Geschichte ist ein fiktives Fallbeispiel. Personen und Unternehmen sind frei erfunden. Die Abläufe, Widerstände und Entscheidungen entsprechen Situationen, wie sie in der Praxis häufig vorkommen.
Ein Donnerstag im Oktober
Die jährliche Erneuerung der Cyberpolice galt im Unternehmen jahrelang als reine Formsache. Bis an jenem Donnerstag ein schmuckloser Brief des Versicherers eintraf. Statt der erwarteten Bestätigung stand dort eine Absage. Verbunden war sie mit der Option, den Schutz zur fünffachen Prämie und unter sofortigen Auflagen aufrechtzuerhalten. Ohne Nachweise zu Mehrfaktoranmeldung, getrennten Datensicherungen und Patchzyklen stufte der Versicherer den traditionsreichen Betrieb als unkalkulierbares Risiko ein.
Was im Büro der Geschäftsführung als bürokratischer Schock begann, wurde zum Startschuss für eine der schmerzhaftesten und zugleich wirksamsten Veränderungen der Firmengeschichte.
Die Unterlagen, die es nicht gab
Geschäftsführer Thomas Reimann rief noch am selben Vormittag seinen IT-Leiter an. Die erste Frage war naheliegend: „Wie kann das sein, wir haben doch alles?“
Michael Ostermann, seit elf Jahren im Haus und nebenbei als Informationssicherheitsbeauftragter benannt, brauchte für die Antwort keine Vorbereitung. Er sagte, was er seit drei Jahren sagte. Eingerichtet sei vieles. Belegen könne er wenig. Die Mehrfaktoranmeldung gelte für das Postfach, nicht für den Fernzugang der beiden Softwarehäuser. Die Datensicherung laufe täglich, liege aber auf einem Server im selben Netz. Und wann zuletzt eine Wiederherstellung geprobt worden sei, wisse er nicht, weil es dafür kein Protokoll gebe.
Reimann hörte diese Sätze nicht zum ersten Mal. Er hörte sie zum ersten Mal an einem Tag, an dem sie eine Zahl hatten.
Der Reflex
Der erste Impuls im Führungskreis war der übliche. Man wechselt den Versicherer. Der Einkauf holte drei Angebote ein, und zwei Wochen später lagen drei Fragebögen auf dem Tisch. Sie unterschieden sich im Umfang, nicht im Kern. Alle wollten dasselbe wissen. Individuelle Zugänge, getrennte Administratorrechte, Mehrfaktoranmeldung für Fernzugriffe, vom Netz getrennte und getestete Sicherungen, aktuelle Systeme, Schutz vor Schadsoftware.
Ostermann erinnerte sich später an diesen Moment als den eigentlichen Wendepunkt. Nicht der Brief habe die Wende gebracht, sondern die Erkenntnis, dass es keinen Anbieter gab, bei dem die Fragen einfacher waren. Der Markt hatte sich verändert, und das Haus hatte diese Veränderung nicht mitbekommen.
Die zweite Erkenntnis war unangenehmer. Auch der bisherige Versicherer hatte in den Vorjahren Fragen gestellt. Jemand hatte sie beantwortet, im Zweifel mit Ja. Niemand hatte diese Antworten je geprüft.
Die Liste, die niemand sehen wollte
Reimann traf eine Entscheidung, die Ostermann überraschte. Er bat ihn, den umfangreichsten der drei Fragebögen zu nehmen und ihn ehrlich zu beantworten, ohne Rücksicht darauf, wie das Ergebnis aussehe. Dazu je Nein den Aufwand und einen Termin.
Das Ergebnis passte auf zwei Seiten. Von 40 Fragen konnte Ostermann elf mit einem belegbaren Ja beantworten. Bei 14 war die Maßnahme vorhanden, aber unvollständig oder nicht nachweisbar. 15 waren ein klares Nein. Die Summe der geschätzten Kosten lag im niedrigen fünfstelligen Bereich, verteilt über neun Monate. Der größte Posten war nicht die Technik, sondern die Arbeitszeit.
Die Vorlage ging an den Beirat. Ostermann rechnete mit Widerstand, und er kam. Der kaufmännische Leiter fragte, ob man nicht erst einmal den günstigsten Anbieter nehmen und die Auflagen später erfüllen könne. Die Antwort gab an diesem Tag nicht Ostermann, sondern Reimann. Er sagte, dass man dann eine Police habe, die im Schadensfall nicht zahle, und dass ihm das schlechter gefalle als gar keine Police.
Der Preis
Die Monate danach waren unangenehm. Die Mehrfaktoranmeldung für die Fernzugänge der beiden Softwarehäuser führte zu drei Beschwerden und einem Eskalationsgespräch. Ein Dienstleister erklärte, sein Support funktioniere so nicht. Er funktionierte dann doch, nachdem Ostermann eine Schleuse eingerichtet hatte, über die sich die Techniker anmelden.
Die getrennte Datensicherung kostete Geld und war im Budget des laufenden Jahres nicht vorgesehen. Der erste vollständige Wiederherstellungstest dauerte statt der geplanten vier Stunden zwei Tage, weil die Reihenfolge der Systeme niemand kannte. Und die Abkündigung von zwei alten Servern verschob ein Projekt im Vertrieb um ein Quartal.
Ostermann selbst zahlte auch. Er musste in zwei Sitzungen einräumen, dass die Antworten der Vorjahre unter seiner Mitwirkung entstanden waren. Das war der unangenehmste Teil, und er hat ihn nicht ausgelassen.
9 Monate später
Beim nächsten Antrag sah die Tabelle anders aus. 32 Fragen mit einem belegbaren Ja, sechs mit dokumentierten Einschränkungen, zwei mit einem Nein und einer Begründung. Dazu ein Ordner mit Auswertungen aus den Systemen, jede mit Datum.
Der neue Versicherer nahm den Antrag an. Die Prämie lag rund vierzig Prozent über der alten, deutlich unter der geforderten Verfünffachung, und der Selbstbehalt blieb tragbar. Der Makler sagte einen Satz, den Reimann seitdem gern zitiert. Es sei nicht der Fragebogen gewesen, der überzeugt habe, sondern der Ordner dahinter.
Wichtiger als die Prämie war etwas anderes: Im Februar fiel ein Fachverfahren aus, aus banalen technischen Gründen. Der Wiederanlauf dauerte knapp fünf Stunden, und er verlief geordnet, weil alle Beteiligten ihn ein halbes Jahr zuvor geprobt hatten. Niemand rechnete dieses Ereignis der Versicherung zu. Es war trotzdem ihr Verdienst.
Was Ostermann heute anders macht
Er führt den Nachweisordner nicht mehr zur Verlängerung, sondern einmal im Quartal. Die Auswertungen laufen automatisch und landen außerhalb der Produktivumgebung. Er sagt, das sei die beste halbe Stunde seines Quartals, weil er damit jederzeit auskunftsfähig sei, gegenüber dem Versicherer, dem Wirtschaftsprüfer und der Geschäftsführung.
Und er geht den Fragebogen inzwischen gemeinsam mit Reimann durch, bevor er ihn ausfüllt. Nicht, weil Reimann die Antworten kennt, sondern weil er beim Lesen der Fragen jedes Jahr an derselben Stelle stehen bleibt und fragt, ob das bei uns wirklich so ist.
Was Sie daraus mitnehmen können
Die Geschichte ist erfunden, der Ablauf ist es nicht. Drei Punkte lohnen die Übertragung auf Ihr Haus.
Der Fragebogen kommt in jedem Fall, und er kommt mit einer Frist. Die Frage ist nur, ob Sie ihn zum ersten Mal lesen, wenn Sie ihn beantworten müssen.
Ein belegbares Nein ist wertvoller als ein ungeprüftes Ja. Das gilt im Antrag, im Schadensfall und im eigenen Haus.
Und der größte Gewinn dieser Geschichte steht in keiner Police. Er bestand darin, dass ein Haus zum ersten Mal wusste, wie lange sein Wiederanlauf wirklich dauert.
Weiterlesen
Wie Sie die Nachweise für jede Frage des Fragebogens mit Bordmitteln erzeugen, zeigt der Beitrag „So belegen Sie die Angaben im Versicherungsfragebogen technisch“ aus Ausgabe 23.
Warum der Versicherer im Budgetgespräch mehr bewegt als jeder Bericht, lesen Sie in folgendem Beitrag:
