Eine Cyber-Versicherung übernimmt vereinbarte Kosten und Forderungen, die aus Angriffen, Datenverlust oder Betriebsunterbrechung im digitalen Umfeld entstehen.
Sie ist kein Ersatz für Schutzmaßnahmen, sondern eine finanzielle Absicherung für den Fall, dass diese nicht ausreichen.
Der konkrete Schutz steht im Vertrag und nicht im Namen des Produkts.
Bedeutung von Cyber-Versicherungen
Für viele Organisationen ist die Police der Unterschied zwischen einem beherrschbaren Vorfall und einem Liquiditätsproblem.
Sie verschafft Geld und oft auch Zugang zu Spezialisten, während die eigene IT den Betrieb wiederherstellt.
Schutz vor finanziellen Verlusten
Schutz vor finanziellen Verlusten deckt je nach Vertrag Forensik, Benachrichtigung Betroffener, Rechtsberatung und entgangene Deckungsbeiträge während eines Stillstands.
Was genau erstattet wird, ergibt sich aus Deckungssumme, Selbstbehalt und den genannten Auslösern.
Zugang zu Cybersicherheitsexperten
Zugang zu Cybersicherheitsexperten bedeutet, dass der Versicherer im Schadenfall Forensik, Verhandlung bei Erpressung und Kommunikation vermittelt.
Diese Hilfe ist nur dann erreichbar, wenn der Vorfall so gemeldet wird, wie der Vertrag es verlangt.
Arten von Cyber-Versicherungen
Policen unterscheiden danach, ob sie eigene Schäden der Versicherungsnehmerin decken oder Forderungen Dritter.
Viele Verträge mischen beides, ziehen aber für jeden Teil andere Grenzen.
Cyber-Eigenschadenversicherung
Die Cyber-Eigenschadenversicherung zielt auf Kosten im eigenen Haus, etwa Wiederherstellung, Unterbrechung und Krisenberatung.
Sie zahlt nicht automatisch jeden Umsatzrückgang, sondern nur Positionen, die der Vertrag benennt.
Cyber-Versicherung für Dritte
Die Cyber-Versicherung für Dritte deckt Ansprüche von Kunden, Partnern oder Betroffenen, die dem Unternehmen einen Sicherheitsvorfall zurechnen.
Typisch sind Abwehrkosten und anerkannte Schadenersatzforderungen, soweit keine Ausschlüsse greifen.
Was deckt eine Cyber-Versicherung ab?
Der Deckungsumfang ist eine Liste von Ereignissen und Kostenarten, nicht ein pauschaler Schutz gegen jedes digitale Unglück.
Vor Abschluss lohnt der Vergleich dieser Liste mit den eigenen Systemen und Verträgen.
Datenschutzverletzungen und Datenschutzmanagement
Datenschutzverletzungen und Datenschutzmanagement umfassen Untersuchung, Meldung und Betreuung der betroffenen Personen, wenn personenbezogene Daten unbefugt offengelegt wurden.
Die Police folgt dabei den im Vertrag beschriebenen Kosten und nicht automatisch jeder behördlichen Auflage.
Multimedia-Haftung
Multimedia-Haftung betrifft Ansprüche aus Inhalten, die das Unternehmen veröffentlicht, etwa wegen Urheberrechts oder Persönlichkeitsrechts.
Sie ist enger als eine allgemeine Betriebshaftpflicht und greift nur für die genannten Medienrisiken.
Erpressungshaftung
Erpressungshaftung bezieht sich auf Kosten rund um digitale Erpressung, einschließlich der Entscheidung, ob und wie mit den Tätern umgegangen wird.
Versicherer knüpfen das oft an eigene Spezialisten und an ein Verbot eigenmächtiger Zahlungen.
Haftpflicht für Netzwerksicherheit
Haftpflicht für Netzwerksicherheit deckt Forderungen, weil eigene Systeme andere geschädigt haben, etwa durch weitergeleitete Angriffe oder unsichere Dienste.
Voraussetzung bleibt, dass der Vorfall unter die Definition der Police fällt.
Was deckt eine Cyberversicherung nicht ab?
Ausschlüsse sind so wichtig wie die Deckungsbausteine, weil sie den erwarteten Schutz im Schadenfall wieder entziehen.
Häufig liegen sie bei künftigen Erträgen, beim Ruf und bei geplanten Verbesserungen der eigenen Technik.
Verlust zukünftiger Einnahmen
Verlust zukünftiger Einnahmen ist oft nicht gedeckt, auch wenn ein Vorfall Kunden dauerhaft vertreibt.
Ersetzt werden eher messbare Unterbrechungen in einem kurzen Fenster als ein langfristig kleineres Geschäft.
Reputationsschaden
Reputationsschaden durch verlorenes Vertrauen, sinkende Nachfrage oder öffentliche Kritik bleibt in vielen Policen außerhalb der Erstattung.
Manche Verträge zahlen Kommunikationshilfe, ohne den bleibenden Imageschaden selbst zu bewerten.
Kosten im Zusammenhang mit der Verbesserung interner Technologiesysteme
Kosten für die Verbesserung interner Technologiesysteme gelten meist als Investition und nicht als Schaden.
Eine Police bezahlt die Rückkehr auf den vorherigen Stand eher als ein moderneres Netz, das man danach haben möchte.
Wie man eine Cyber-Versicherung auswählt
Die Auswahl beginnt beim eigenen Risiko und nicht beim günstigsten Beitrag.
Deckung, Ausschlüsse und Nebenpflichten müssen zur Größe, zu den Daten und zu den Abhängigkeiten der Organisation passen.
Risikobewertung
Die Risikobewertung nennt die Systeme, Daten und Ausfälle, die einen großen Schaden auslösen würden.
Erst diese Liste zeigt, welche Bausteine der Police überhaupt relevant sind.
Versicherungsschutz verstehen
Versicherungsschutz verstehen heißt, Auslöser, Ausschlüsse, Meldefristen und Pflichten vor dem Vorfall zu lesen.
Unklare Formulierungen sollten vor der Unterschrift geklärt werden, nicht erst bei der ersten Forderung.
Kosten vergleichen
Kosten vergleichen berücksichtigt Beitrag, Selbstbehalt, Deckungssumme und die Hilfe im Schadenfall gemeinsam.
Eine billigere Police mit engen Auslösern kann im Ernstfall teurer sein als ein höherer Beitrag mit passender Deckung.
Schlussfolgerung
Eine Cyber-Versicherung ist sinnvoll, wenn sie zu den realen Ausfällen passt und die Organisation ihre Melde- und Sicherungspflichten erfüllen kann.
Sie ergänzt die Abwehr und nimmt ihr nicht die Arbeit ab.