Cyberrisiken minimieren – Sicherheit im Schadenfall Cyberversicherung für Unternehmen

Darunter versteht man Straftaten, die sich Informations- und Kommunikationstechnik zunutze machen. Cyberkriminalität kann überall stattfinden, wo Menschen über das Internet erreichbare Informations- und Kommunikationstechnologie wie Computer, Smartphones oder andere IT-Geräte benutzen – zum Beispiel in Firmen, Behörden, zu Hause oder unterwegs. 

Diese Form der Kriminalität ist besonders gefährlich, da Täterinnen und Täter praktisch zu jeder Uhrzeit und von jedem Ort der Welt aus zuschlagen und ihre Spuren leicht verwischen können. Cyberangriffe können ganz unterschiedlich aussehen. Es kann ein Diebstahl vertraulicher Daten sein oder eine Schadsoftware, die zum Beispiel mithilfe von Spam-Mails auf den persönlichen oder geschäftlichen Computer übertragen wird. Egal wie die Cyberattacke aussieht, das Schadenpotenzial ist enorm gross.

Vom Betriebsunterbruch über den Diebstahl entscheidender Daten bis hin zu nachhaltigem Reputationsverlust – die Bandbreite an Cyberrisiken und möglichen Schäden ist gross.

• Finanzielle Schäden: Ertragsausfälle durch den Unterbruch der Geschäftstätigkeit oder hohe Kosten für die Wiederherstellung von gestohlenen oder zerstörten Datenbeständen können zu den wirtschaftlichen Konsequenzen eines Hackerangriffs gehören. Wenn dadurch die Konkurrenzfähigkeit oder auch der Aktienkurs leidet, steht schnell die betriebliche Existenz auf dem Spiel.
• Schäden aus Datenschutzverletzungen: Wer Kundendaten speichert oder verarbeitet, ist gesetzlich zu deren Schutz verpflichtet. Wenn der Datenschutz im Zuge eines Cyberereignisses verletzt und sensible Daten offengelegt oder missbraucht werden, drohen dem Betrieb rechtliche und regulatorische Sanktionen. Unternehmen, die Geschäftsbeziehungen ins europäische Ausland haben, sind zudem von den verschärften Datenschutzgesetzen der Datenschutz-Grundverordnung DSGVO betroffen. 
• Reputationsschäden: Geht ein Unternehmen nachlässig mit einem Datenvorfall oder Datenverlust um, kann das ein schwindendes Vertrauen der Öffentlichkeit, im schlimmsten Fall sogar den Verlust von Kundschaft und Geschäftspartnerinnen und -partnern bedeuten. Beides zurückzugewinnen, ist harte Arbeit.

Ein Schadenbeispiel

Die ganze Informatikinfrastruktur eines KMU wird trotz neuester Schutzsoftware von Viren befallen. Die Daten werden teilweise gelöscht und beschädigt. Das Betriebssystem und die Anwendungsprogramme müssen neu installiert und die Datensicherungen zurückgespielt werden.

Weil das System mehrere Tage lang nicht zur Verfügung steht, können die Leistungen für die Kundinnen und Kunden nicht erbracht werden und sie wechseln deswegen zur Konkurrenz. Die AXA kommt für die Kosten zur Wiederherstellung der Daten sowie für den Ertragsausfall aus der Betriebsunterbrechung auf.

Cybercrime ist häufig monetär motiviert. Angreiferinnen und Angreifer wollen sich mit dem Verkauf sensibler Daten oder durch Erpressung bereichern. Aber auch politische oder persönliche Gründe können einer Attacke auf die IT-Systeme eines Unternehmens zugrunde liegen:

• Geld: Cybercrime ist ein lohnendes Geschäft für Kriminelle – für Einzeltäterinnen und -täter genauso wie für das organisierte Verbrechen. Mit dem Diebstahl und Verkauf von personenbezogenen Daten, aber auch von Waren, der Erpressung von Lösegeld für zwangsverschlüsselte Daten oder der Manipulation von Mitarbeitenden lässt sich viel Geld verdienen.
• Datendiebstahl: Ein Angriff auf die betriebliche IT hat oftmals den Zweck, Kundendaten zu stehlen. E-Mail-Adressen, Kreditkarten- oder Zugangsdaten werden in Untergrundforen gehandelt und zum Beispiel bei weiteren Cyberangriffen zur Identitätsbestätigung missbraucht.
• Betriebsgeheimnisse: Cyberkriminelle sind auch an geistigem Eigentum oder Unternehmensgeheimnissen wie Strategien, Plänen und Rezepturen interessiert. Wer besonders innovativ oder führend in einem Geschäftsfeld ist, Patente, Copyrights oder Trademarks besitzt, läuft Gefahr, Opfer von Wirtschaftsspionage zu werden. 
• Persönliche Motive: Macht- und Kontrollgelüste können Täterinnen und Täter ebenso zu Cyberattacken veranlassen. Vielleicht will eine ehemalige Mitarbeiterin oder ein ehemaliger Mitarbeiter Ihres Unternehmens Rache nehmen, während andere  Akteurinnen und Akteure schlichtweg den Thrill suchen, Macht über ihre Opfer zu haben.
• Politische Ziele: Hacktivisten verfolgen bei ihren Aktivitäten ideologische oder politische Ziele. Etwa, indem Websites von Regierungen, Organisationen oder ganzen Branchen lahmgelegt oder mit Anfragen überflutet werden – damit sie über einen längeren Zeitraum nicht mehr besucht werden können.

Mensch: Das Gros aller Cyberrisiken erfordert eine menschliche Interaktion, weshalb die grösste Schwachstelle für Cybercrime der Mensch ist. Täterinnen und Täter greifen auf viele Social-Engineering-Tricks zurück, um Mitarbeitende von Unternehmen unwissentlich zu ihren Mittäterinnen und Mittätern zu machen. Fingierte Sicherheitsprobleme sollen den Benutzerinnen und Benutzern Login-Daten entlocken, die Vorgabe einer falschen Identität soll  zum Umleiten von Zahlungsströmen veranlassen. Zu einem umfassenden Schutz vor Cyberrisiken gehört deshalb immer die Sensibilisierung der Angestellten: Sie müssen wissen, welche Gefahren vom Internet und allen anderen Schnittstellen der Firma ausgehen können.

E-Mails: Mit Phishing-Mails versuchen Hackerinnen und Hacker, vertrauliche Daten von Unternehmensangehörigen abzufangen oder Schadsoftware ins Netzwerk einzuschleusen.

Clouds: Viele kleine und mittlere Unternehmen nehmen das Angebot externer Anbieterinnen und Anbieter in Anspruch und lagern Daten auf Clouds aus. Wenn diese manipuliert werden, teilen sich die Firmen nicht nur Arbeitsspeicher und Datenbanken, sondern auch Viren oder Trojaner.

Web: Kriminelle schaffen es immer wieder, vielbesuchte und vertrauenswürdige Websites zu hacken, um Schadsoftware in Umlauf zu bringen oder die Besucherinnen und Besucher auf schädliche Seiten weiterzuleiten.

WLAN: Die Nutzung von öffentlich zugänglichen WLAN-Access-Points ist ein ideales Einfallstor für Cyberangriffe. Vertrauliche Informationen und Passwörter sind so besonders leicht abzufangen.

Es gilt: Je höher der digitale Vernetzungsgrad, desto wichtiger eine Cyberversicherung. Auch Betriebe, die für ihre primäre Tätigkeit keinen Computer oder andere IT-Infrastruktur benötigen, sind häufig trotzdem auf digitale Services angewiesen. Es reicht, bereits für den Betrieb Onlinebanking oder Internettelefonie zu nutzen, die Termine von Kundinnen und Kunden digital zu verwalten oder auf soziale Netzwerke für das Marketing zu setzen, um dem Risiko von Cyberschäden zu unterliegen.