Verschärfter Kriterienkatalog bei IT-Security-Versicherungen

Neue Versicherungspolicen

In den Jahren 2020 und 2021 waren die Schäden durch Hacker-Attacken so groß wie noch nie. Die Versicherungen reagieren mit deutlichen Anpassungen der Anforderungen für ihre IT-Security-Versicherungspolicen. Was gibt es dabei zu beachten? Was sind die wichtigsten Forderungen der Versicherungsunternehmen?

Im Jahre 2020 stiegen die Schäden durch Hacker sprunghaft, auf 223 Mrd. Euro, an. Im Vorjahr wurden Schäden im Wert von 103 Mrd. verzeichnet. Die Cyberversicherer reagierten darauf mit höheren Preisstellungen, detaillierteren Prüfungen der Sicherheitskontrollen bei den Versicherungsnehmern oder Einschränkungen des Versicherungsschutzes.

Umfang der Risikoabdeckung

Eine IT-Security-Versicherung deckt im Grunde die unmittelbaren Kosten eines Hacker-Angriffs ab. Die einzelnen Angebote der Assekuranzen können dabei aber erheblich voneinander abweichen. Der Versicherungsschutz deckt dabei im Prinzip vier Hauptrisiken ab: Unterbrechung des Netzwerkbetriebs, Haftung für Netzwerksicherheit und Datenschutz, Medienhaftung sowie Fehler und Auslassungen. Eine Haftung für Netzwerksicherheit und Datenschutz kann sowohl Eigen- als auch Fremdkosten betreffen.

Vor allem Unternehmen, die Kundendaten bzw. persönlich identifizierbare Informationen sowie personenbezogene Daten online erstellen, speichern und verwalten, profitieren von einer solchen IT-Security-Versicherung. Auch Online-Händler und Fertigungsbetriebe sollten über einen geeigneten Versicherungsschutz nachdenken, da Ausfälle durch Hacker-Angriffe zu beträchtlichen Umsatzeinbußen und Kundenabwanderungen führen können.

Folgende Fälle werden aber meist durch Schadensregulierungen ausgeschlossen: finanzieller Schaden durch den Verlust von geistigem Eigentum, potentielle entgangene Gewinne, Kosten zur Wiederherstellung der Reputation, Kosten für die Verbesserung interner Technologiesysteme (inkl. Software- oder Sicherheits-Upgrades nach einer Hacker-Attacke).

Kriterienkatalog der Sicherheitsaudits

Fragen der Assekuranzen, die häufig bei der Beantragung einer IT-Security-Versicherung für einen Sicherheitsaudit gestellt werden:

Regelmäßige Sicherheitskopien:
Um Hacker-Angriffe einigermaßen unbeschadet zu überstehen, ist eine entscheidende Voraussetzung, die Wiederherstellung von Daten. Denn selbst der Entschlüsselungsprozess nach einem Ransomware-Angriff und der Aushändigung einer Entschlüsselung würde zu viel Zeit in Anspruch nehmen.

Vorhaltung verschlüsselter Backups:
Die Sicherheitsaudits der Assekuranzen überprüfen nicht nur, ob die Kunden ihre Sicherheitskopien verschlüsselt und getrennt von ihrem System aufbewahren, sondern auch, ob sie offline bzw. durch einen Cloud-Service gespeichert werden. Außerdem wird ein Augenmerk auf die Wiederherstellungs- und Wiederherstellungstests der wichtigsten Konfigurationen und Daten gelegt.
Aus der Erfahrung heraus, befassen sich Unternehmen erst mit dem Wiederherstellungsprozess, wenn der Hacker-Angriff schon geschehen ist. Deshalb fordern Versicherer, dass Unternehmen über einen komplett durchgetesteten Notfallwiederherstellungsplan verfügen.

Zwei-Faktor-Authentifizierung:
In diesen Zeiten sind die Risiken erhöht, dadurch, dass Teile der Belegschaft im Homeoffice arbeiten. Durch eine Zwei-Faktor-Authentifizierung  soll sichergestellt werden, dass sich nur berechtigte Personen von außerhalb in das Unternehmen einwählen können. Die Zwei-Faktor-Authentifizierung bezeichnet den Identitätsnachweis eines Users per Kombination zweier unterschiedlicher und unabhängiger Komponenten.

Bei Verwendung von Office 365:
Die Versicherungen empfehlen bei der Nutzung von Office 365 auf die Advanced threat Protection zu setzen. Des Weiteren sollten die Zugänge für alle Benutzer durch eine Zwei-Faktor-Authentifizierung abgesichert werden.

E-Mail-Zugriff auf einem fremden Gerät:
Wenn es den Mitarbeitern gestattet wird, separate, meist private Geräte zu verwenden, so wird auch hier eine Zwei-Faktor-Authentifizierung verlangt.

SPF bei eingehenden E-Mails: Die E-Mail-Authentifizierungstechnik Sender Policy Framework (SPF) dient dazu, Spammer daran zu hindern, Nachrichten zu versenden.

Kontodaten verändern:
Die Zwei-Faktor-Authentifizierung wird ebenso für die externen Finanz- oder Banktransaktionen als auch für die Änderung von Kontodaten wie beispielsweise Kontonummern, Telefonnummern oder zur Anforderung von Kontaktinformationen empfohlen.

PII-Datensätze im Netzwerk:
Es muss ein Überblick zu den persönlich identifizierbaren Informationen, abhängig der Branche, Unternehmen und den im Netzwerk gespeicherten Daten erstellt werden.
Zu diesen sensiblen Daten gehören zum Beispiel der vollständige Name, der Führerschein, die Adressdaten, Kreditkarteninformationen, Reisepassdaten, Finanzinformationen und medizinische Daten.

Installation kritischer Patches prüfen:
Es empfiehlt sich, Updates vor der Installation zu testen, um sicher zu stellen, dass keine unerwünschten Ereignisse eintreten.

Security Operations Center (SOC):
Meist wird eine spezialisierte Abteilung gefordert, deren Aufgabe darin besteht, Cyber-Bedrohungen zu überwachen, zu erkennen, zu untersuchen und darauf zu reagieren. Falls diese Ressourcen nicht gestellt werden können, sollte ein Drittanbieter beauftragt werden.Ransomware-Angriffe rechtzeitig erkennen:
Folgende Aktivitäten sollten zur Verhinderung eines Ransomware-Angriffes ergriffen werden: Antivirensoftware zu nutzen, Sicherheitssoftware und Datenbanken auf dem neuesten Stand halten, regelmäßig Server und Workstations nach veralteten Tools scannen, normalen Usern keine Administratorrechte erteilen, Mitarbeiterschulungen durchführen und Intrusion Detection- und Intrusion Prevention-Systeme installieren und konfigurieren.