Was ist aus Ihrer Sicht aktuell die größte Herausforderung für die Zukunft der Cyberversicherung – und wo liegt gleichzeitig die größte Chance?
Die größte Herausforderung ist das Kumulrisiko. Cyberversicherung wird kalkuliert wie ein Risiko, das sich unabhängig über das Portfolio verteilt – und genau das tut es häufig nicht. Was ich in der Praxis sehe, ist das Gegenteil: Die Angriffe der letzten Jahre kamen in Wellen, und in jeder Welle war der Einstiegspunkt bei allen Betroffenen derselbe. Eine Schwachstelle in einer weit verbreiteten VPN- oder Firewall-Appliance, eine Lücke in einem File-Transfer-Produkt, ein kompromittierter RMM-Zugang bei einem IT-Dienstleister oder ein kompromittiertes Softwarepaket (Lieferketten-Angriff).
Die Chance liegt genau darin. Kumulrisiken dieser Art lassen sich nicht wegzeichnen, sondern nur aktiv managen – und das heißt konkret: eigenes Monitoring, ein tatsächlich höheres Sicherheitsniveau im Portfolio und die Priorisierung von Reaktionsfähigkeit statt Eintrittswahrscheinlichkeit. Hohe Kosten entstehen letztlich nicht durch den Angriff selbst, sondern erst durch eine lange Wiederherstellungszeit.
Wenn Sie einen Blick auf die nächsten drei bis fünf Jahre werfen: Wie wird sich die Cyberversicherung grundlegend verändern?
Die Cyberversicherung wird zunehmend selbst Präventions- und Sicherheitslösungen anbieten, statt nur Policen auszustellen. Der Kostentreiber im Schaden ist nicht die Verschlüsselung, sondern die Ausfalldauer – und die Ausfalldauer entscheidet sich vor allem daran, ob ein Angriff nach zwei Stunden erkannt und eingedämmt oder erst nach drei Monaten überstanden ist. Jeder Euro in Detektion und Vorbereitung spart im Schaden ein Vielfaches. Kein Versicherer, der seine eigene Schadenstatistik liest, kann diese Rechnung ignorieren.
Konkret erwarte ich, dass Deckung und Sicherheitsleistung zusammenwachsen: EDR- und MDR-Bausteine, die über die Police kommen; strengere Vorgaben insbesondere zum Notfall- und Wiederanlaufmanagement (BCM); und mehr eigene IT-Forensik-Teams bei den Versicherern selbst.
Wenn Sie den Teilnehmenden nur eine Botschaft mitgeben dürften: Welche wäre das – und warum?
Eine Cyberversicherung ist wichtig – aber sie ersetzt nicht die Vorbereitung auf den Angriff.
Ich sage das ausdrücklich nicht als Kritik an der Versicherung. Ich habe genug Vorfälle gesehen, in denen die Deckung ein Unternehmen wirtschaftlich gerettet hat. Aber was die Police nicht ersetzt, ist alles, was in den ersten Tagen wirklich weh tut. Ein Angriff bedeutet: Die Geschäftsführung trifft nach vier Nächten mit je drei Stunden Schlaf Entscheidungen mit enormer Tragweite. Die IT-Abteilung arbeitet durch und wird gleichzeitig gefragt, warum das passiert ist. Alles steht: Kunden rufen an, Lieferanten setzen Fristen, die Presse fragt, die Aufsichtsbehörde will innerhalb kurzer Zeit eine Meldung – und die Belegschaft kann nicht arbeiten und fragt sich, ob die Gehälter noch ausbezahlt werden können.
Deshalb würde ich jedem Teilnehmenden mitgeben: Schließen Sie die Versicherung ab und behandeln Sie sie als das, was sie ist, nämlich als finanzielle Absicherung des Restrisikos, nicht als Ersatz für Vorbereitung und Detektionsfähigkeit. Wer sich vorbereitet, erlebt den Vorfall als ein paar anstrengende Tage. Wer es nicht tut, erlebt ihn als schlimme Monate.