Eine Cyberversicherung ersetzt keine Sicherheit, aber sie kann den finanziellen Schaden eines Vorfalls begrenzen und im Ernstfall Fachleute vermitteln, die ein KMU sonst erst suchen müsste.
Was typischerweise gedeckt ist
Eigenschäden wie Kosten für Forensik, Wiederherstellung von Daten und Systemen und Ertragsausfall durch Betriebsunterbruch; Haftpflichtansprüche Dritter, etwa nach einem Abfluss von Kundendaten; Kosten für Krisenkommunikation und rechtliche Beratung; je nach Police auch Kosten im Zusammenhang mit Erpressung. Der genaue Umfang unterscheidet sich stark zwischen Policen und gehört Punkt für Punkt geprüft.
Was Versicherer verlangen
Versicherer fragen vor Abschluss den Sicherheitsstand ab, oft mit detaillierten Fragebögen. Typische Voraussetzungen sind Mehrfaktor-Authentifizierung für E-Mail und Fernzugriffe, Sicherungen nach der 3-2-1-Regel mit einer vom Netz getrennten Kopie, zeitnahes Schwachstellenmanagement, Schutz der Endgeräte und Schulungen. Wer die Voraussetzungen nicht erfüllt, erhält höhere Prämien, Ausschlüsse oder gar keine Deckung.
Der Fragebogen zählt
Falsche oder zu optimistische Angaben im Fragebogen sind die grösste Gefahr für die Deckung. Stellt sich nach einem Vorfall heraus, dass etwa MFA nicht wie angegeben aktiviert war, kann der Versicherer Leistungen kürzen oder verweigern. Die Antworten sollten deshalb von der IT geprüft und dokumentiert werden.
Im Ernstfall
Viele Policen verlangen, dass die Notfallnummer des Versicherers vor der Beauftragung eigener Dienstleister angerufen wird. Diese Regel gehört in den Incident-Response-Plan, zusammen mit den gesetzlichen Meldepflichten. Die Vorbereitung beschreibt unsere Checkliste zur Cyberversicherung.