Cyber-Versicherung

Eine Cyber-Versicherung ist aufgrund der zunehmenden Abhängigkeit von digitalen Geschäftsprozessen unverzichtbar. Die Folgen einer Cyber-Attacke können zu großen wirtschaftlichen Schäden für Sie und Ihr Unternehmen führen und leider kann es keinen hundertprozentigen Schutz gegen Hacker-Angriffe geben. Die Absicherung Ihres Unternehmens über CyberDirekt ist einfach und beansprucht nicht viel Zeit. Mit unserem Vergleichsrechner für Cyber-Versicherungen finden Sie in wenigen Minuten den besten Tarif. 

Welche Risiken sind in der Cyber-Versicherung abgedeckt?

1. Hackerangriffe

Cyber-Attacken bzw. Hackerangriffe werden in Versicherungsverträgen als “Informationssicherheitsverletzung” oder auch “Netzwerksicherheitsverletzung” bezeichnet. Eine Informationssicherheitsverletzung liegt dann vor, wenn ein definiertes Ereignis, die sog. “benannten Gefahren” der Cyber-Versicherung eingetreten sind. Einige Versicherer grenzen in den Bedingungswerken die verschiedenen Szenarien ein, deren Eintritt den Versicherungsfall auslösen können.

• Unzulässige Zugriffe oder jede unberechtigte Nutzung des IT-Systems eines Versicherten, sofern die Angriffe die Veränderung, Beschädigung, Zerstörung oder Verschlüsselung von Daten zur Folge haben
• Unerlaubte Eingriffe in das IT-System mit Zugangsdaten von Mitarbeitern, die durch Phishing erworben wurden
• Schadsoftware (Trojaner, Würmer, Viren), die sich im System des Versicherten ausbreiten
• Denial-of-Service-Angriffen, die das System des Versicherten negativ beeinträchtigen oder zum Ausfall der IT-Infrastruktur führen
• Unwissentliche Übertragung von Schadprogrammen an Dritte (Kunden, Lieferanten, Geschäftspartner)

Einige Versicherer verwenden hierbei nicht abgeschlossene Aufzählungen, was für Sie als Versicherungsnehmer vorteilhaft ist. In diesem Fall spricht man von einer “offenen Deckung” für Cyber-Risiken. In den Versicherungsbedingungen wird bei der Aufzählung der benannten Gefahren “z.B.", "u.a.” oder “nicht beschränkt auf” verwendet. 

2. Cyber-Betrug / Fake-President-Angriff

Eine seit mehreren Jahren gängige Variante von Cyber-Attacken sind sog. “Fake-President”-Angriffe. Hierbei geben sich Betrüger zum Beispiel als Geschäftsführer oder Unternehmensinhaber aus und bitten Mitarbeiter per E-Mail, SMS oder sogar durch Stimmen-Imitationssoftware fingierte Telefonanrufe darum eine kurzfristige Überweisung zu veranlassen. Dieser Fall ist in den meisten Tarifen der Cyber-Versicherung versichert oder zumindest als optionaler Baustein hinzuwählbar. Der Versicherungsschutz ist teilweise jedoch sehr unterschiedlich ausgestaltet, sodass ein Vergleich der Tarifbedingungen in jedem Fall zu empfehlen ist.

• Die meisten Versicherer setzen voraus, dass eine Netzwerksicherheitsverletzung unmittelbar mit dem Fake-President Angriff in Verbindung steht
• Der Versicherungsschutz umfasst nur die Handlungen der “Versicherten” (z.B. Mitarbeiter des Unternehmens)
• Durch die arglistige Täuschung werden irrtümliche Zahlungen zu Lasten des Versicherungsnehmers veranlasst oder die Lieferung von Waren und
  Dienstleistungen durchgeführt 
• Nicht abgedeckt sind in der Cyber-Versicherung die Handlungen sog. Repräsentanten (Geschäftsführer, Vorstände, Inhaber, Gesellschafter, Aufsichtsräte). Teilweise werden auch leitende Angestellte in den Personenkreis der Repräsentanten einbezogen. Ausschlaggebend ist die Definition in den Bedingungen der jeweiligen Cyber-Versicherung. 
• Der Versicherungsschutz ist meistens auf eine im Vergleich zur Versicherungssumme reduzierte Entschädigungsgrenze (sog. Sublimit) beschränkt.

3. Datenschutzverletzung

Eine Datenschutzverletzung kann in der Cyber-Versicherung versichert sein. In zahlreichen Fällen ist die Verletzung des Datenschutzes eine unmittelbare Folge der bereits oben beschriebenen Informationssicherheitsverletzung. Die Cyber-Versicherung erkennt eine Datenschutzverletzung, Datenrechtsverletzung, Verletzung von Datenschutzbestimmungen (es werden unterschiedliche Begrifflichkeiten verwendet, welche jedoch den gleichen Tatbestand beschreiben) auch als alleinigen Auslöser des Schadensfalls an. Grundlage für die Datenschutzverletzung ist z.B. der Verlust, eine Erstellung von unautorisierten Kopien, eine Veröffentlichung, Veränderung oder Löschung von Datensätzen. Eine Datenschutzverletzung liegt vor bei einem Verstoß gegen:

• gesetzliche Datenschutzbestimmungen wie die Datenschutzgrundverordnung (DSGVO), das Bundesdatenschutzgesetz (BDSG) oder vergleichbare ausländische Rechtsnormen zum Datenschutz;
• vertragliche Geheimhaltungspflichten wie zum Beispiel Vertraulichkeitsvereinbarungen (Non-Disclosure Agreements);
• vertragliche Vereinbarungen zur Kreditkartenverarbeitung (PCI-DSS) und gleichartiger Bezahlsysteme; 
• die den Schutz personenbezogener, persönlicher oder geschäftlicher Daten bezwecken. 

Eine interessante Erweiterung der Cyber-Versicherung hat sich mittlerweile in den Bedingungen zahlreicher Tarife etabliert, indem nicht länger ausschließlich elektronische Daten vom Versicherungsschutz umfasst sind. In diesem Fall ist die Begriffsdefinition dahingehend erweitert worden, dass der Begriff Daten sowohl elektronische als auch physische Daten (z.B. Papierakten) umfasst. Eine Cyber-Versicherung deckt in diesem Fall auch das Risiko einer Datenschutzverletzung ab, welches z.B. auf Verlust, Diebstahl oder sonstigen unbefugten Zugriff auf physische Daten zurückzuführen ist. Beispiele hierfür können der Diebstahl eines elektronischen Geräts (Laptop / Firmenhandy) oder einer Aktentasche sein.  

4. Bedienfehler 

Untern einem Bedienfehler versteht man in der Cyber-Versicherung die unsachgemäße Bedienung eines IT-Systems (d.h. Hard- und Software) durch fahrlässiges, auch grob fahrlässiges, Handeln oder Unterlassen von Mitarbeitern. Wenn diese Fehlbedienung die Veränderung, Beschädigung, Löschung, Verschlüsselung oder das Abhandenkommen von Daten zur Folge hat, ist der daraus entstehende Schaden in der Cyber-Versicherung versichert. Dabei zählen nicht nur Angestellte zu den Versicherten, sondern auch vom Unternehmen beauftragte freie Mitarbeiter oder Mitglieder der Geschäftsführung. 

Ein klassisches Beispiel für einen Bedienfehler ist das versehentlich Löschen einer Datei oder großen Menge von Kundendaten. Auch das unbeabsichtige Mitwirken eines Nutzers bei der Aktivierung oder dem Herunterladen von Schadsoftware kann unter den Tatbestand der Fehlbedienung fallen. 

5. Cyber-Erpressung

Eine Cyber-Erpressung liegt vor, wenn einem Versicherten rechtswidrig mit einer Netzwerksicherheitsverletzung, Informationssicherheitsverletzung oder mit einer Datenrechtsverletzung gedroht wird und für dessen Abwendung ein Lösegeld (meistens in Bitcoin) verlangt wird. Als Lösegeld ist dabei jede Form einer Gegenleistung anzusehen, zum Beispiel in Form von Geld, Waren und Handlungen die die Erpresser von einem Versicherten oder einer mitversicherten natürlichen Person verlangen.