Die Cyberversicherung für Unternehmen

Ein Ransomware-Angriff, der die Systeme lahmlegt, ein Abfluss von Kundendaten, ein Betrug mit gefälschter E-Mail, der eine Überweisung umleitet: IT-Vorfälle gehören heute auch für Schweizer KMU zu den konkretesten operativen Risiken. Die Cyberversicherung entstand, um die wirtschaftlichen Folgen dieser Ereignisse abzufedern. Sie ist kein Ersatz für die IT-Sicherheit, sondern ein Baustein einer Strategie zum Management digitaler Risiken.

Warum auch KMU ins Visier geraten

Viele Unternehmerinnen und Unternehmer meinen, sie seien “zu klein”, um für Angreifer interessant zu sein. Das ist ein Irrtum: Ein Grossteil der Angriffe ist automatisiert und trifft jeden mit schwacher Verteidigung. KMU sind oft gerade deshalb attraktive Ziele, weil sie weniger geschützt und eher bereit sind zu zahlen, nur um den Betrieb wiederherzustellen.

Die Folgen eines Vorfalls gehen weit über das Lösegeld hinaus:

• Betriebsunterbruch und Umsatzeinbussen während der Tage des Stillstands.
• Kosten für die Wiederherstellung der Systeme und die Rückgewinnung der Daten.
• Haftung gegenüber Kunden und Partnern für die Verletzung ihrer Daten.
• Reputationsschäden, die schwer zu beziffern sind.

Was eine Cyberpolice deckt

Die Deckungen variieren stark zwischen den Versicherern, aber die typischen Bausteine sind:

• Hilfe im Vorfall: Zugang zu forensischen IT-Spezialisten, Juristen und Krisenkommunikation, oft der konkreteste Wert in den ersten Stunden.
• Eigenschäden: Kosten für die Wiederherstellung von Daten und Systemen, Aufwendungen für den Betriebsunterbruch, in einigen Policen die verwaltete Zahlung einer Ransomware-Erpressung.
• Haftung gegenüber Dritten: Ansprüche von Kunden oder Partnern wegen der Kompromittierung ihrer Daten.
• Meldekosten und Bewältigung der Folgen einer Verletzung personenbezogener Daten.
• Zusatzdeckungen für Cyberbetrug und Social Engineering, in der Regel mit spezifischen Bedingungen und Höchstbeträgen.

Der Schweizer Rahmen des Datenschutzes

Die Revision des Bundesgesetzes über den Datenschutz (revDSG), in Kraft seit September 2023, hat die Pflichten der Unternehmen verschärft, die personenbezogene Daten bearbeiten. Dazu gehört die Pflicht, dem Eidgenössischen Beauftragten Verletzungen der Datensicherheit zu melden, die ein hohes Risiko für die betroffenen Personen mit sich bringen, sowie strengere Anforderungen an Sicherheit und Transparenz.

Eine Cyberpolice ersetzt die Compliance nicht: Sie hilft, die Kosten zu decken, die eine Verletzung verursacht, einschliesslich der Melde- und Bewältigungstätigkeiten. Doch das Unternehmen bleibt dafür verantwortlich, angemessene technische und organisatorische Massnahmen zu treffen.

Prävention vor der Police

Versicherer verlangen immer häufiger ein Mindestmass an Sicherheit, um die Deckung zu gewähren oder im Schadensfall zu zahlen. Die grundlegenden Massnahmen, die zählen:

• Backups, die regelmässig, getestet und offline oder isoliert aufbewahrt sind.
• Mehr-Faktor-Authentifizierung bei kritischen Zugängen und der E-Mail.
• Zeitnahe Updates und Patches der Systeme.
• Schulung des Personals zu Phishing und E-Mail-Betrug.
• Ein Plan zur Reaktion auf Vorfälle, definiert, bevor er gebraucht wird.

Wer sich mit soliden Verteidigungen präsentiert, erhält bessere Bedingungen und senkt schon die Wahrscheinlichkeit des Schadens selbst.

Wie man die Deckung bemisst

Die Schlüsselparameter sind der Höchstbetrag, stimmig zum möglichen Schaden aus Betriebsstillstand und Haftung, die Selbstbehalte, die Wartezeiten für den Betriebsunterbruch und der genaue Umfang der Ausschlüsse. Achten Sie auch auf die Deckung von Social-Engineering-Betrug, die oft begrenzt ist. Die Deckung ist auf die reale Abhängigkeit des Unternehmens von digitalen Systemen und auf die Sensibilität der bearbeiteten Daten abzustimmen.

Wie wir Ihnen helfen

Wir beurteilen Ihre Exposition gegenüber digitalen Risiken, Ihr Datenschutzniveau und die bestehenden Sicherheitsmassnahmen, um zu verstehen, welche Cyberdeckung sinnvoll ist und wie sie sich in Ihr gesamtes Risikomanagement einfügt. Analysieren wir Ihr digitales Risiko.