Cyber-Risiken durch Datenschutz: Unternehmen zahlen Lehrgeld

Jetzt passiert es: Wer die Cyber-Versicherung für einen Marketing-Gag der Versicherungswirtschaft gehalten hat, wird für diese Fehleinschätzung bestraft. Besonders Verstöße gegen die Datenschutz-Grundverordnung werden hart geahndet. Erste Geldbußen schrecken die Unternehmensmanager auf.

Bis zu 20 Millionen Euro oder 4 Prozent des weltweiten Jahresgruppenumsatzes: Diese Zahlen gehen vielen Managern nicht mehr aus den Köpfen. Denn so teuer kann es werden, wenn ein Unternehmen gegen die EU-Datenschutz-Grundverordnung verstößt. 400.000 Euro muss ein Krankenhaus in Portugal zahlen, 135.000 Euro der Flughafen London Heathrow, 20.000 Euro die deutsche Chat- und Spieleplattform Knuddels.de. Dass die Aufsichtsbehörden durchgreifen, führt in diesem Jahr zu einer steigenden Nachfrage nach Cyber-Versicherungen. Denn wenn Unternehmen nachweisen können, dass sie technisch-organisatorische Maßnahmen eingeführt haben, um ihre Risiken in den Griff zu bekommen, wird dies von den Aufsichtsbehörden positiv berücksichtigt. Die Dienstleistungen, die mit dem Abschluss einer Cyber-Versicherung eingekauft werden, dienen oft als Nachweis dieser Maßnahmen.

Gleichzeitig steigen in dieser Versicherungssparte die Schadenzahlen. Schuld daran sind Verschlüsselungstrojaner wie Wanna-Cry und NotPetya. Die Versicherungswirtschaft ist alarmiert: Cyber-Kriminelle sind äußerst kreativ und geschickt. Ihre Angriffe können nicht vorhergesehen werden. Die Angst vor hohen Versicherungsschäden ist groß.

Die Versicherer schauen daher bei den Unternehmenskunden in diesem Jahr genau hin, wie gut die Risikovorsorge und das Risikomanagement dort etabliert sind. Häufig werden die hohen Anforderungen dafür nicht erfüllt. Die Versicherer werden den Unternehmen daher geringere Deckungssummen zur Verfügung stellen. Auch werden sie Elemente der Absicherung von Cyber-Risiken, die in anderen Versicherungssparten enthalten sind, zunehmend streichen.

Für die Unternehmenskunden bedeutet dies, dass eine Absicherung von Cyber-Risiken über eine Stand-alone-Cyber-Versicherung unausweichlich wird. Voraussetzung dafür ist, dass die Unternehmen ihre bestehenden Risiken professionell analysieren und diese Analyse den Versicherern präsentieren. Auch setzen die Versicherer bestimmte technische Standards in den Unternehmen voraus.

Werden diese Voraussetzungen nicht erfüllt, schränken die Versicherer den Deckungsschutz inhaltlich ein, stellen den Unternehmen nicht die gewünschten Kapazitäten zur Verfügung – oder sichern im schlimmsten Fall die Risiken eines Unternehmens nicht mehr ab.