Herr Schartner, es waren große baden-württembergische Unternehmen in den Schlagzeilen, deren Produktionen durch gezielte Cyberangriffe lahmgelegt wurden. Betreffen diese Fälle eigentlich nur große Firmen oder kann das auch den Bäcker von nebenan treffen? Wie kann man sich dagegen schützen?

Schartner: Grundsätzlich können Cyberattacken jeden treffen. Die Unternehmensgröße spielt dabei selten eine Rolle. Häufig erfolgen Erstinfektionen über den Massenversand von E-Mails, die eine Schadsoftware wie Emotet im Gepäck haben. Dabei haben die Kriminellen oft noch kein konkretes Ziel im Visier. Auch bei der weiteren Infektion suchen sich Cyberkriminelle in der Regel den einfachsten Weg. Oft nutzen sie dabei Sicherheitslücken in weitverbreiteter Software aus. Nicht immer sind Hacker darauf aus, mit einer Attacke Millionen zu erbeuten. Viele kleinere Erfolge bei geringerem Aufwand erweisen sich ebenfalls als durchaus lukrativ. Man muss es also so sehen: Warum sollten Kriminelle Aufwand betreiben, um ein einzelnes großes Unternehmen zu hacken, wenn es leichter ist, viele kleinere zu infizieren und entsprechend Beute zu machen?

Deshalb gilt: Egal wie groß, Unternehmen müssen das Thema Cyber-Security ernst nehmen. Es gibt Dienstleister wie uns, die die Unternehmen dabei unterstützen und IT-Infrastrukturen überwachen. So können Angriffe frühzeitig erkannt, abgewehrt oder mögliche Schäden auf ein Minimum reduziert werden.

Herr Markowsky, nicht nur Unternehmen sind im Visier von Cyberkriminellen, sondern auch Privatpersonen. Wie kann sich ein ganz normaler Anwender mit durchschnittlichen Computerkenntnissen vor solchen Angriffen schützen? Haben Sie Tipps im Umgang mit Computer, Tablet und Smartphone?

Markowsky: Oberstes Gebot ist, die Klassiker zu berücksichtigen: Neben einer aktiven Firewall und aktueller Antivirensoftware sind vor allem Updates für sämtliche im Einsatz befindliche Software wichtig. Das gilt für das Betriebssystem genauso wie für die Apps auf dem Smartphone. Mit diesen Aktualisierungen stellen die Hersteller sicher, dass Sicherheitslücken geschlossen werden. Zudem sollten sichere und für jeden Account eigene Kennwörter zum Einsatz kommen.

Und wer regelmäßig Back-ups macht, stellt sicher, dass nicht alle Daten weg sind, wenn doch mal was schiefgeht. Vor allem ist es aber wichtig, dass der Nutzer vor dem Gerät aktiv mitdenkt. Wer allzu vorschnell auf Links klickt und Dateianhänge unbekannter E-Mail-Absender öffnet und überall sofort seine Daten preisgibt, spielt mit dem Feuer. Dennoch bleibt auch bei noch so viel Argwohn immer ein Restrisiko. Cyberkriminelle denken sich immer wieder neue Methoden aus, da kann selbst der vorsichtigste Nutzer noch zum Opfer werden.

Inzwischen gibt es deshalb auch Cyberversicherungen für private Internetnutzer, die Restrisiken abdecken können. Inwieweit sich das lohnt, muss sicherlich im Einzelfall entschieden werden. Unternehmen sollten sich allemal über entsprechende Maßnahmen informieren.

Herr Ohlicher, man sagt ja, in Deutschland kann man sich gegen alles versichern. Gilt das auch für Cyberkriminalität? Und wenn ja, betrifft das nur Firmen oder auch Privatpersonen, und, ganz ehrlich, lohnt sich das?

Ohlicher: Wenn man eine pauschale Aussage treffen will, dann ganz klar: Ja. Lassen Sie mich die Aussage jedoch noch ein wenig spezifizieren.

Bei der Cyberkriminalität handelt es sich um Straftaten, bei denen die Täter moderne Informationstechniken (Computer, Smartphones oder andere IT-Geräte) nutzen. Einen Schutz gegen diese Kriminellen können wir (noch) nicht bieten. Jedoch bieten wir Versicherungsschutz für die sofortige Hilfe und mögliche finanzielle Folgen einer solchen Straftat an.

Nehmen wir als Beispiel das aktuell größte Bedrohungsszenario: Sie bekommen als Firma eine Bewerbungsmail mit einem Anhang („Bewerbung.pdf“) und öffnen diesen. Bei diesem Anhang handelt es sich jedoch nicht um die angenommene PDF-Datei mit den Bewerbungsunterlagen, sondern um eine Schadsoftware, die je nach Art der Programmierung verschiedene Auswirkungen haben kann, wie z. B. die Verschlüsselung von Daten, die Löschung von Daten, den Datendiebstahl.

Genau hier kommt eine Cyberversicherung mit ihren drei Hauptinhalten ins Spiel. Mit einer Soforthilfe – 24 Stunden am Tag , 7 Tage die Woche, 365 Tage im Jahr – und einer telefonischen Hotline, online und vor Ort. Im Rahmen dieser Hilfe besteht u. a. eine Kostenübernahme für IT-Forensik (um was für einen Vorfall handelt es sich, wie kam es zu dem Cybervorfall und wie lässt sich die Sicherheitslücke schließen?), für IT-Dienstleistungen (z. B. Datenentschlüsselung, Wiederbeschaffung von Daten, Datensicherung) und Krisenmanagement und juristischen Beistand (z. B. Meldung an Behörden, Kunden, Betroffene).

Soweit eine kurzfristige Lösung nicht möglich ist und Ihr Betrieb stillsteht, besteht Versicherungsschutz für einen unmittelbar durch eine Betriebsunterbrechung entstandenen Ertragsausfallschaden (z. B. fortlaufende Kosten und Betriebsgewinn). Im Falle des Verlusts von Daten Dritter können Ansprüche an Sie geltend gemacht werden. Die daraus entstehende Entschädigung und/oder Kosten für die Abwehr unberechtigter Ansprüche werden von der Versicherung geprüft und übernommen.

Das Risiko im privaten Bereich hat andere Schwerpunkte wie beispielsweise Identitätsmissbrauch, Ersatz für Verluste bei Interneteinkäufen oder den Missbrauch von Zahlungskarten. Stellen Sie sich vor, Daten oder Bilder von Ihnen oder Ihren Kindern gelangen gegen Ihren Willen ins Internet. An wen wenden Sie sich? Auch hier gibt es eine 24/7/365-Hotline, die Ihnen hilft, die Daten/Bilder im Internet zu löschen.

Lohnt sich also eine Cyberversicherung?

Ohlicher: Letztlich muss dies jeder für sich selbst entscheiden. Nimmt man jedoch die Zahlen* des Bundesamtes für Sicherheit in der Informationstechnik für das Jahr 2019 mit 114.000.000 neuen Schadprogrammen in einem Jahr und 110.000 Infektion pro Tag in deutschen Systemen in die Betrachtung auf, stellt sich für mich nicht die Frage, wen es mit einem Cyberangriff treffen kann, sondern nur, wann es zu einem Vorfall kommt. Und genau in diesem Zeitpunkt ist es wichtig, einen verlässlichen Partner an seiner Seite zu haben, der IT-Dienstleister, Krisenmanager und juristischen Beistand in sich vereint und dabei gleichzeitig noch persönliche oder finanzielle Folgen eines Cyberangriffs abdeckt. Dieses Wissen im Hintergrund lässt mich zumindest ein wenig ruhiger schlafen, weshalb ich eine Cyberversicherung definitiv als lohnend erachte.

* Quelle: Die Lage der IT-Sicherheit in Deutschland 2019; Bundesamt für Sicherheit in der Informationstechnik (BSI).