Warum Garantieleistungen von Cyber Security-Anbietern keine Cyberversicherung ersetzen

Immer mehr Anbieter von Cyber-Sicherheitslösungen werben mit sogenannten Cyber Warranties oder Garantieleistungen - finanziellen Zusagen für den Fall, dass trotz ihrer Technologie ein Cyber-Angriff erfolgreich ist. Für Unternehmen klingt das verlockend: Sie investieren in ihre IT-Sicherheit und erhalten gleichzeitig eine Art „Absicherung“.

Doch dieser Eindruck täuscht. Garantieleistungen sind kein Ersatz für eine Cyberversicherung. Sie sind freiwillige Zusagen eines Herstellers - und decken nur einen Bruchteil der Risiken ab, die ein Unternehmen im Ernstfall treffen. Wer in der Annahme, eine Garantieleistung würde ausreichend finanziellen Schutz bieten, auf eine Cyberversicherung verzichtet, begeht einen existenzbedrohenden Fehler. 

Mit Cyber Warranties ergänzen einige Cyber Security-Anbieter ihre Sicherheitslösungen um eine finanzielle Leistungszusage für bestimmte Cyber-Vorfälle. Damit können sie das Vertrauen in die Wirksamkeit ihrer eigenen Lösung unterstreichen und Kunden eine zusätzliche Absicherung bieten.

Wie diese Garantien ausgestaltet sind, unterscheidet sich jedoch von Anbieter zu Anbieter erheblich. Die jeweiligen Bedingungen bestimmen unter anderem,

• welche Cyber-Vorfälle erfasst sind,
• welche Kosten übernommen werden,
• welche Voraussetzungen das Unternehmen erfüllen muss,
• welche Ausschlüsse bestehen und
• bis zu welcher Höhe Leistungen erbracht werden.

Hier sind zwar durchaus Überschneidungen zu einer Cyberversicherung auszumachen, ein wesentlicher Unterschied sollte aber beachtet werden. Eine Garantie ist in der Regel eine freiwillige Zusage des Herstellers, keine regulierte Versicherungsleistung. Cyber Security-Anbieter unterliegen nicht der Aufsicht durch die BaFin und nicht dem Versicherungsvertragsgesetz. Der Anbieter entscheidet nach eigenen, selbst definierten Bedingungen, ob, in welchen Fällen und in welcher Höhe er zahlt.

Deckungsumfang der Cyberversicherung deutlich größer

Garantieleistungen sind typischerweise eng an die jeweilige Security-Lösung und die vom Anbieter definierten Ereignisse und Voraussetzungen geknüpft. Welche Angriffsszenarien tatsächlich erfasst sind und für welche finanziellen Schäden eine Kompensation erfolgt, variiert je nach Anbieter. 

So greift bei vielen Security-Dienstleistern die Garantie ausschließlich dann, wenn das konkrete Security-Produkt bzw. die Technologie des Anbieters versagt hat. Erfolgt der Angriff über einen anderen Weg - etwa über einen nicht abgedeckten Endpunkt, einen Drittanbieter in der Lieferkette oder schlicht menschliches Fehlverhalten infolge von Social Engineering - greift die Garantie nicht.

Eine Cyberversicherung deckt, abhängig von den vereinbarten Bedingungen, ein deutlich breiteres Spektrum an Cyber-Vorfällen und daraus resultierenden Eigenschäden, Drittschäden und Servicekosten ab.

Welche Kosten werden tatsächlich übernommen?

Nach einem schweren Cyber-Angriff entsteht selten nur eine einzelne Kostenposition. Ein Ransomware-Vorfall kann beispielsweise gleichzeitig Kosten für die technische Untersuchung, die Wiederherstellung von Systemen, rechtliche Beratung und eine längere Betriebsunterbrechung verursachen.

Abhängig vom konkreten Versicherungsvertrag kann eine Cyberversicherung beispielsweise folgende Bereiche umfassen:

• IT-Forensik und Incident Response
• Wiederherstellung von Daten und Systemen
• Betriebsunterbrechung
• Datenschutz- und Rechtsberatung
• Haftpflichtansprüche Dritter
• Krisenkommunikation und PR-Unterstützung
• Kosten im Zusammenhang mit Cyber-Erpressung

Garantieleistungen können ebenfalls einzelne dieser Bereiche erfassen. Welche davon tatsächlich abgedeckt sind, hängt von dem einzelnen Anbieter ab. Nicht selten beschränken sich die Garantien nur auf einen kleinen Ausschnitt - und zudem meist nur auf direkte, klar dem Produktversagen zuordenbare Kosten.

Voraussetzungen und Ausschlüsse

Garantiezusagen sind häufig an sehr strikte technische und organisatorische Voraussetzungen geknüpft. Dazu können beispielsweise die Nutzung bestimmter Sicherheitsfunktionen, regelmäßiges Patchen, Backups oder der Einsatz von Multi-Faktor-Authentifizierung gehören. Schon eine kleine Abweichung - die im Unternehmensalltag leicht passiert - kann genügen, damit der Anspruch erlischt.

Unternehmen sollten deshalb genau prüfen, welche Voraussetzungen sie nicht nur zum Zeitpunkt des Vertragsabschlusses, sondern gegebenenfalls auch während der gesamten Laufzeit erfüllen müssen.

Auch Cyberversicherungen stellen Anforderungen an die IT-Sicherheit eines Unternehmens und enthalten vertragliche Obliegenheiten und Ausschlüsse. Allerdings werden diese im Rahmen des Versicherungsvertrags und des zugrunde liegenden Risikotransfers geregelt.

Geringere Deckungssumme bei Cyber-Garantien 

Besonders aufmerksam sollten Unternehmen bei der beworbenen Höhe einer Garantie sein. Die zugesagten Summen sind meist gedeckelt und liegen häufig deutlich unter den tatsächlichen Kosten eines größeren Sicherheitsvorfalls. 

Studien zu den Gesamtkosten von Cyber-Vorfällen zeigen regelmäßig sechs- bis siebenstellige Beträge, wenn die Kosten für Betriebsunterbrechung, Wiederherstellung von Daten und Systemen, Reputationsschäden und rechtliche Folgen eingerechnet werden. Eine gedeckelte Garantiesumme erreicht diese Dimension selten. Entscheidend ist deshalb weniger die beworbene Gesamtsumme als die Frage, wie viel davon im konkreten Schadensfall tatsächlich zur Verfügung steht, da einzelne Schadenskategorien oft mit deutlich niedrigeren Sublimits gedeckelt sind.

Wer entscheidet im Ernstfall?

Der Anspruch auf eine Garantieleistung richtet sich nach den individuell festgelegten Bedingungen des Anbieters. Unternehmen sollten deshalb vorab klären, wer im Schadensfall über die Leistung entscheidet, welche Nachweise nötig sind und welche Fristen gelten. Manche Anbieter behalten sich sogar vor, selbst zu beurteilen, ob sie zahlen - ein klarer Interessenkonflikt, den es bei einer unabhängig regulierten Versicherung nicht gibt.

Das soll nicht heißen, dass Garantieleistungen wertlos sind. Im Gegenteil: Gute Sicherheitslösungen mit einer solchen Zusage sind ein sinnvoller Baustein der Prävention und können sogar helfen, die Versicherungsprämie zu senken, da sie das Risiko messbar reduzieren.

Die sinnvolle Kombination sieht so aus:

• Prävention: Sicherheitslösungen und -dienstleister minimieren die Wahrscheinlichkeit eines erfolgreichen Angriffs.
• Risikotransfer: Die Cyberversicherung fängt die finanziellen Folgen auf, die trotz aller Prävention durch Cyber-Vorfälle entstehen können.

Wer nur auf eine Sicherheitslösung inklusive Garantie setzt, verzichtet auf den zweiten, entscheidenden Baustein: eine Cyberversicherung. 

Fünf Fragen, die Unternehmen bei einer Cyber-Garantie stellen sollten

Bevor ein Unternehmen eine Garantieleistung als Bestandteil seiner Cyber-Risikostrategie einplant, sollte es mindestens folgende Fragen beantworten:

1. Welche Cyber-Ereignisse lösen die Garantie aus?
Sind beispielsweise Ransomware, Business Email Compromise, Social Engineering, Datenschutzverletzungen und Betriebsunterbrechungen erfasst?

2. Welche Kosten werden tatsächlich übernommen?
Geht es ausschließlich um technische Wiederherstellungskosten oder auch um Forensik, Betriebsunterbrechung, Rechtsberatung und Haftpflichtansprüche?

3. Welche Voraussetzungen müssen dauerhaft erfüllt sein?
Welche Anforderungen bestehen beispielsweise hinsichtlich Patching, MFA, Backups oder der Konfiguration der Security-Lösung?

4. Welche Sublimits, Selbstbehalte und Ausschlüsse gibt es?
Wie viel der beworbenen Garantiesumme steht für einen konkreten Vorfall tatsächlich zur Verfügung?

5. Welche Unterstützung erhalte ich im Ernstfall?
Erhalte ich ausschließlich eine finanzielle Leistung oder auch Zugang zu Incident Response-, Forensik-, Rechts- und Krisenmanagement-Experten?

Erst wenn diese Fragen beantwortet sind, lässt sich beurteilen, welchen tatsächlichen Beitrag eine Garantie zur Absicherung des Unternehmens leistet.