Drei Jahre lang haben Sie für die Mehrfaktoranmeldung geworben, mit Studien, mit Vorfällen aus der Branche und mit viel Geduld. Dann schickt der Versicherer einen Fragebogen, und zwei Wochen später ist das Budget da. Warum ein Formular aus der Assekuranz mehr bewegt als jeder Sicherheitsbericht, und warum Sie sich trotzdem nicht darauf verlassen sollten, klärt dieser Kommentar.
Der Termin, den Sie nie bekommen haben
Sie als Sicherheitsbeauftragte kennen das Muster. Der Antrag auf Budget für die Mehrfaktoranmeldung wird vertagt. Der Hinweis auf ungetestete Datensicherungen wird zur Kenntnis genommen. Der Vorschlag, veraltete Systeme abzulösen, landet in der Planung für das nächste Jahr, und im nächsten Jahr wieder.
Dann kommt der Fragebogen zur Verlängerung der Cyberversicherung. 40 Fragen, Frist drei Wochen, und am Ende die Ankündigung, dass sich Prämie und Selbstbehalt nach den Antworten richten. Plötzlich sitzen Geschäftsführung, Einkauf und IT an einem Tisch, und zwar innerhalb weniger Tage.
Das ist bemerkenswert, denn inhaltlich steht in diesem Fragebogen nichts, was Sie nicht längst gesagt hätten. Individuelle Zugänge, getrennte Administratorrechte, Datensicherungen mit Trennung vom Netz und mit Wiederherstellungstests, zeitnahe Updates, Schutz vor Schadsoftware. Der Risikofragebogen des Gesamtverbands der Deutschen Versicherungswirtschaft listet genau das als Basisanforderungen. Neu ist nicht der Inhalt. Neu ist der Absender.
Warum der Versicherer gewinnt, wo Sie verlieren
Dafür gibt es drei Gründe, und alle drei sagen mehr über Organisationen aus als über Sicherheit.
Der erste Grund ist die Währung. Sie argumentieren mit Risiko, also mit einer Wahrscheinlichkeit und einem möglichen Schaden. Der Versicherer argumentiert mit einem Preis. Eine Prämie, die sich verdoppelt, ist eine Zahl im Budget des laufenden Jahres. Ein Risiko ist eine Zahl in einer Zukunft, an die niemand gern denkt.
Der zweite Grund ist die Rolle. Sie gehören zum Haus. Wer im Haus Anforderungen stellt, wird schnell als Kostentreiber wahrgenommen, der seine eigene Abteilung wichtig macht. Der Versicherer hat kein Interesse an Ihrer Wunschliste. Er will nur nicht zahlen müssen. Diese Unabhängigkeit verleiht seinem Urteil ein Gewicht, das Ihres im eigenen Haus nie bekommt.
Der dritte Grund ist die Frist. Ihre Empfehlungen haben selten ein Datum, an dem etwas passiert, wenn nichts passiert. Der Versicherungsvertrag läuft zu einem festen Termin aus. Eine Entscheidung, die nicht getroffen wird, wird damit selbst zur Entscheidung.
Meine Empfehlung ist deshalb unsentimental: Nehmen Sie diese Hilfe an. Es spielt keine Rolle, ob eine Maßnahme umgesetzt wird, weil Sie recht hatten oder weil der Versicherer es verlangt. Wichtig ist, dass sie umgesetzt wird.
Wo die Sache kippt
Genau hier beginnt aber das Problem, und deshalb ist dieser Beitrag kein Loblied auf die Assekuranz.
In vielen Häusern verschiebt sich mit der Police etwas Grundsätzliches: Sicherheit wird von einer Aufgabe zu einem eingekauften Produkt. Ich habe Geschäftsführer erlebt, die nach Abschluss einer Cyberversicherung sichtbar entspannt waren, und zwar auf eine Weise, die mir Sorge bereitet hat. Die Police lag im Schrank, und das Thema galt als erledigt.
Das ist aus drei Gründen ein Irrtum.
Erstens zahlt die Versicherung nur, wenn Sie liefern können. Die Angaben im Antrag sind keine Absichtserklärung, sondern eine vorvertragliche Anzeige nach § 19 VVG. Wer dort falsche Angaben macht, riskiert je nach Verschulden den Rücktritt des Versicherers vom Vertrag. Die im Vertrag vereinbarten Sicherheitsanforderungen sind Obliegenheiten. Nach § 28 VVG ist der Versicherer bei vorsätzlicher Verletzung leistungsfrei, bei grob fahrlässiger Verletzung darf er die Leistung entsprechend der Schwere des Verschuldens kürzen. Weist der Versicherungsnehmer nach, dass die Verletzung weder für den Eintritt des Schadens noch für dessen Umfang ursächlich war, bleibt die Leistungspflicht bestehen. Das ist eine ernste Hürde, wenn im Antrag Mehrfaktoranmeldung für alle Fernzugänge angekreuzt wurde und der Angreifer über den einen Zugang ohne zweiten Faktor hereinkam.
Zweitens ersetzt Geld keinen Betrieb. Eine Police erstattet die Kosten für die Wiederherstellung, Forensik, Rechtsberatung und Betriebsunterbrechung. Sie stellt aber nicht die Abrechnung wieder her, die seit sechs Tagen steht, und sie beantwortet auch nicht die Anrufe von Kunden und Angehörigen. Wer die Wiederanlaufzeit nicht kennt, kauft eine Versicherung gegen die falsche Größe.
Drittens ist der Risikotransfer nur eine von vier Möglichkeiten, mit einem Risiko umzugehen. Vermeiden, vermindern, übertragen, akzeptieren. Die Police ist die dritte. Wer überträgt, ohne vorher zu vermindern, zahlt dafür einen Preis. Die Prämien schwanken, und die technischen Anforderungen an die Versicherungsnehmer sind in den vergangenen Jahren deutlich gestiegen.
Noch ein Einwand gegen zu viel Begeisterung. Der Fragebogen eines Versicherers ist ein Mindeststandard, kein Sicherheitskonzept. Er fragt, was sich gut prüfen und kalkulieren lässt. Themen, die sich schlecht in Kästchen fassen lassen, kommen darin kaum vor, etwa die Frage, wie gut Ihre Fachbereiche einen Ausfall organisatorisch überbrücken oder wie belastbar Ihre Dienstleistersteuerung ist.
Wer sein Sicherheitsprogramm am Fragebogen ausrichtet, bekommt deshalb ein Haus, das gut versicherbar ist. Ob es auch gut geschützt ist, steht auf einem anderen Blatt. Die beiden Ziele überschneiden sich weitgehend, aber eben nicht vollständig.
Was daraus für Sie folgt
Die Cyberversicherung ist ein Hebel, kein Ersatz. Drei Bewegungen machen aus dem Fragebogen ein Werkzeug.
Setzen Sie sich vor der Verlängerung mit der Geschäftsführung an den Fragebogen, nicht danach. Gehen Sie jede Frage gemeinsam durch, und beantworten Sie sie ehrlich. Der Moment, in dem die Geschäftsführung zum ersten Mal selbst liest, was da gefragt wird, ist Ihr bester Termin im Jahr. Sie müssen dann nichts mehr erklären.
Versehen Sie jede Antwort, die kein klares Ja ist, mit einem Preis und einem Datum. Nicht mit einer Empfehlung, sondern mit einer Zahl und einem Termin. Damit wird aus einer Lücke eine Entscheidung, und Entscheidungen lassen sich protokollieren.
Nutzen Sie dafür den Versicherungs-Reifegradcheck, der dieser Ausgabe beiliegt. Er bildet 18 typische Anforderungen ab und bewertet jede zweifach, nämlich nach Umsetzung und nach Nachweisbarkeit. Am Ende stehen zwei Zahlen und eine Seite für die Geschäftsführung, die Sie in den Termin vor der Verlängerung mitnehmen können.
Und führen Sie den Nachweis mit, nicht nur die Antwort. Jede Zusage im Fragebogen sollte im Hause eine Datei haben, die sie belegt, mit Datum. Wie Sie diese Nachweise technisch erzeugen, zeigt der Beitrag zum Fragebogen in dieser Ausgabe. Dieser Ordner ist im Schadensfall Ihr wichtigstes Dokument, und er ist gleichzeitig Ihr Schutz gegen den Verdacht, jemand habe im Antrag geschönt.
Die eigentliche Frage
Nutzen Sie den Versicherer als Verbündeten, aber verwechseln Sie ihn nicht mit einem Sicherheitskonzept. Er stellt die richtigen Fragen, und er stellt sie zum richtigen Zeitpunkt. Beantworten muss sie Ihr Haus.
Die Frage, die nach der Unterschrift bleibt, lautet nicht, ob Sie versichert sind. Sie lautet, ob Sie im Schadensfall beweisen können, dass Ihre Antworten gestimmt haben. Wer das kann, hat eine Versicherung. Wer das nicht kann, hat eine Police.
Weiterlesen
Wie Sie die Angaben aus dem Fragebogen technisch belegen, zeigt dieser Beitrag aus Ausgabe 23:
Welche Ausfallzeiten Ihr Haus überhaupt verkraftet, klärt der Beitrag aus Ausgabe 20.
Wie Sie Ihre Dienstleister bewerten, die in fast jedem Fragebogen vorkommen, lesen Sie in Ausgabe 21:
