<\/p>\n\n\n\n Lieber Herr Schudra, k\u00f6nnen Sie uns etwas zu Ihrem Hintergrund erz\u00e4hlen?<\/strong><\/p>\n\n\n\n Gerne. Ich habe tats\u00e4chlich keinen technischen Background, sondern bin gelernter Volkswirt. Seit \u00fcber 13 Jahren bin ich im ERGO-Konzern in verschiedenen Funktionen unterwegs, davon 9 Jahre im Vertrieb und 3 Jahre in zentralen Funktionen. Ende 2019 bot sich dann die M\u00f6glichkeit, eine neue Herausforderung im Bereich Cyber anzunehmen \u2013 und diese habe ich gerne angenommen.<\/p>\n\n\n\n <\/p>\n\n\n\n Wie sehen Sie den Markt f\u00fcr Cyberversicherungen \u2013 zur\u00fcckblickend und aktuell?<\/strong><\/p>\n\n\n\n Ich habe den Markt berufsbedingt nun seit 2 Jahren intensiv kennengelernt. Trotzdem f\u00fchlt sich diese objektiv \u00fcberschaubare Zeit an wie eine kleine Ewigkeit, weil eben enorm viel Bewegung im Cyber-Markt ist. Gef\u00fchlt w\u00f6chentlich gibt es neue Klauseln, neue Marktteilnehmer, extrem dynamische Bedrohungslagen, Kapazit\u00e4ten und die Preise schwanken in kurzer Zeit teilweise um mehr als 50 Prozent. Das macht es auf der einen Seite spannend, auf der anderen Seite aber auch schwer planbar. Diese Unsicherheit liegt in gro\u00dfen Teilen auch an der fehlenden technischen Expertise in den meisten Unternehmen \u2013 ob gro\u00df oder klein. Zudem ist das Bewusstsein f\u00fcr die eigene Bedrohungssituation teilweise nicht oder nur marginal vorhanden. Hier sitzen die Versicherer, Kunden und deren Makler im gleichen Boot. Nat\u00fcrlich ist der berechtigte Wunsch bei gro\u00dfer Unsicherheit an die Assekuranz, geeignete L\u00f6sungen f\u00fcr einen Risikotransfer anzubieten. Das ist langfristig und nachhaltig allerdings nur m\u00f6glich, wenn die Risiken transparent und auch versicherbar sind.<\/p>\n\n\n\n <\/p>\n\n\n\n Was sollte man als mittelst\u00e4ndisches Unternehmen eher \u00fcber organisatorische und was \u00fcber technische Ma\u00dfnahmen abdecken, und welche Cyberrisiken soll man versichern?<\/strong><\/p>\n\n\n\n Die Frage ist treffend formuliert \u2013 denn die Themen m\u00fcssen aufeinander aufbauen. Ohne einen gewissen Grad an technischer und organisatorischer Cybersicherheit wird es vermutlich schwer werden, zuk\u00fcnftig Versicherungsschutz zu erhalten. Wenn Sie Ihr Auto nicht abschlie\u00dfen, ist der Diebstahl der Aktentasche vom Beifahrersitz auch nicht versichert. Insgesamt ist es, und da unterscheiden sich die Branchen sicherlich voneinander, definitiv sinnvoll, sich f\u00fcr die Ausnahmesituationen Schutz \u00fcber eine Versicherung einzuholen. Nur wenige Unternehmen werden es sich leisten k\u00f6nnen, eigene Krisenmanager, PR-Berater und IT-Forensiker vorzuhalten. Dieses Netzwerk bringen die Versicherer mit und die Kosten werden auch \u00fcbernommen. Genauso verh\u00e4lt es sich bei pr\u00e4ventiven Ma\u00dfnahmen. Es ist sehr gut m\u00f6glich, diese auch in Kooperation mit dem Versicherer zu installieren. Der Aufwand f\u00fcr das Installieren von Ma\u00dfnahmen kann andernfalls insbesondere kleinere Mittelst\u00e4ndler \u00fcberfordern.<\/p>\n\n\n\n <\/p>\n\n\n\n Zu welchen Pr\u00e4ventionsma\u00dfnahmen w\u00fcrden Sie insbesondere produzierenden Unternehmen raten?<\/strong><\/p>\n\n\n\n Auf jeden Fall Schulungen f\u00fcr alle Mitarbeiterinnen und Mitarbeiter in Bezug auf Cyber-Betrug und Phishing sowie ein regelm\u00e4\u00dfiges \u00dcberpr\u00fcfen des Status Quo anhand von objektiven Kriterien \u2013 eine Art Bestandsaufnahme, je nach Komplexit\u00e4t 1-2 mal pro Jahr.<\/p>\n\n\n\n <\/p>\n\n\n\n Sollte man die Zahlung von L\u00f6segeld bei Ransomwareangriffen \u00fcberhaupt versichern? Oder einfach konsequent nicht bezahlen?<\/strong><\/p>\n\n\n\n Insgesamt muss man konstatieren, dass auch ohne die Erstattung der Kosten durch den Versicherer eine L\u00f6segeldzahlung unter Umst\u00e4nden eine Option sein kann, weil sie l\u00e4ngerfristige Betriebsunterbrechungen verhindert oder eine angedrohte Ver\u00f6ffentlichung sensibler Daten im Raum steht. Das h\u00e4ngt stark vom Einzelfall ab, eine pauschale Aussage ist nicht m\u00f6glich. Was aber grunds\u00e4tzlich gilt: Am Ende lohnt es sich immer, \u00fcber Spezialisten mit den Angreifern in Kontakt zu treten! Nicht selten k\u00f6nnen die Forderungen deutlich reduziert und Informationen zum Eintrittspunkt oder Angriffshergang gewonnen werden. Das wiederum hilft enorm bei der Wiederherstellung von Daten und der Wiederaufnahme des Betriebs, unabh\u00e4ngig von der Zahlung eines L\u00f6segeldes.<\/p>\n\n\n\n <\/p>\n\n\n\n Welche technischen Entwicklungen im Bereich Cybersecurity finden Sie besonders interessant?<\/strong><\/p>\n\n\n\n Tats\u00e4chlich finde ich das Thema Outside-In Scans ein wenig unterbewertet. Diese Scans erm\u00f6glichen von au\u00dfen einen Blick auf die \u00f6ffentlich sichtbaren Schnittstellen der Unternehmen \u2013 eine Website oder ein Mailserver zum Beispiel. Mit einfachem Hinschauen kann man damit leicht Schwachstellen erkennen, \u00e4hnlich w\u00fcrde ein Angreifer auch vorgehen. Meines Erachtens kann solch ein Instrument helfen, der Dynamik einer Bedrohungslage zumindest in Teilen Herr zu werden und offene Sicherheitsl\u00fccken schnell zu erkennen. Allerdings muss sich hier auch noch einiges tun, die Ergebnisse der verschiedenen Anbieter sind noch sehr heterogen.<\/p>\n\n\n\n <\/p>\n\n\n\n Gibt es Branchen oder Arten von Unternehmen, die besonders schwierig versicherbar sind?<\/strong><\/p>\n\n\n\n Nat\u00fcrlich. Man kann schon konstatieren, dass insbesondere Unternehmen mit Ums\u00e4tzen ab einem zweistelligen Millionenbetrag langsam komplexer werden und auch immer h\u00f6here Abh\u00e4ngigkeiten von einer funktionierenden IT-Infrastruktur bestehen. Wenn dann noch Zuk\u00e4ufe von Unternehmen oder Niederlassungen die Komplexit\u00e4t der Infrastruktur erh\u00f6hen, wird es schwierig.<\/p>\n\n\n\n Um es konkret auf Branchen zu beziehen: Logistiker und das produzierende Gewerbe sind normalerweise deutlich anf\u00e4lliger als z.B. das Baunebengewerbe. Zudem sind Gewerbe mit einer hohen Anzahl an sensiblen Daten grunds\u00e4tzlich exponierter, z.B. \u00c4rzte oder auch Steuerberater und Anw\u00e4lte.<\/p>\n\n\n\n <\/p>\n\n\n\n Gibt es 2-3 Aspekte, die nicht v\u00f6llig offenkundig sind, auf die mittelst\u00e4ndische Unternehmen bei Cyberpolicen aber achten sollten? Was sind vielleicht Tricks und Kniffe?<\/strong><\/p>\n\n\n\n Das ist pauschal schwer zu beantworten. Generell sollte man neben dem obligatorischen Check der Bedingungen und Obliegenheiten immer die Frage stellen, welcher Dienstleister im Schadenfall zur Verf\u00fcgung steht und ob der Versicherer diesen obligatorisch vorschreibt. Wichtig ist auch, die Obliegenheiten und die Fragen w\u00e4hrend der Anbahnungsphase zu verstehen und im Zweifel nachzufragen. Ein gemeinsames Verst\u00e4ndnis, was der Versicherer denn genau wissen m\u00f6chte oder voraussetzt, ist enorm wichtig.<\/p>\n\n\n\n <\/p>\n\n\n\n Stimmt es, dass Cyber-Versicherungen im Schadensfall nicht bezahlen, wenn z.B. bestimmte Ma\u00dfnahmen nicht rechtzeitig durchgef\u00fchrt wurden, oder im Vorfeld falsche Angaben \u00fcber die IT gemacht wurden?<\/strong><\/p>\n\n\n\n Das greift den Sachverhalt der vorangehenden Frage sehr gut auf. \u00c4hnlich wie in allen anderen Versicherungssparten, z.B. der Krankenversicherung, m\u00fcssen die angefragten Sachverhalte im Vorfeld wahrheitsgem\u00e4\u00df beantwortet werden. Im Schadenfall ist h\u00e4ufig sehr schnell ersichtlich, wie der Angriff ablief und ob die Sicherheitsmechanismen, die im Vorfeld angegeben wurden, auch wirklich vorhanden sind. Ein anderes Beispiel, die Sachversicherung in Feuer: Wenn es gebrannt hat und am Schadenort kein Feuerl\u00f6scher auffindbar ist, ist die Diskussion vorprogrammiert. Eine Versicherung setzt ja h\u00e4ufig auf einem Grundstock an Sicherheitsvorkehrungen auf. Wenn diese nicht gegeben sind, w\u00e4re die Versicherung unter Umst\u00e4nden gar nicht zustande gekommen.<\/p>\n\n\n\n <\/p>\n\n\n\n Gibt es sonstige Falschaussagen oder Halbwahrheiten, denen Sie oft auch von Experten begegnen?<\/strong><\/p>\n\n\n\n Hier f\u00e4llt mir wieder das Outside-In-Scanning ein. Das eine solche Ma\u00dfnahme alleinstehend keine Aussage zur Cybersecurity herstellt \u2013 korrekt. Dass es keinen Sinn macht, sehr regelm\u00e4\u00dfig von au\u00dfen auf die eigene Infrastruktur zu schauen, um Schwachpunkte zu identifizieren \u2013 nein, das teile ich nicht.<\/p>\n\n\n\n <\/p>\n\n\n\n Aus heutiger Sicht: Werden die Pr\u00e4mien vermutlich eher weiter steigen, oder mit zunehmender Durchdringung von Security-Ma\u00dfnahmen in Unternehmen langfristig wieder sinken (inflationsbereinigt etc.)?<\/strong><\/p>\n\n\n\n Die ber\u00fchmte Glaskugel habe ich nat\u00fcrlich auch nicht. Aber ich gehe davon aus, dass sich der Trend zur Pr\u00e4mienerh\u00f6hung fortsetzen wird. Die sp\u00fcrbare Marktverh\u00e4rtung h\u00e4ngt unmittelbar mit der stark gestiegenen Anzahl an Cyber-Sch\u00e4den in den vergangenen Monaten zusammen. Insofern ist davon auszugehen, dass die Kosten und Bedingungen, zu denen sich Kunden in der Vergangenheit Cyberschutz einkaufen konnten, nicht in jedem Fall bestehen bleiben. Es wird darum gehen, bestehende Risiken durch ein aktives Risikomanagement transparent und versicherbar zu gestalten.<\/p>\n\n\n\n <\/p>\n\n\n\n![\"\"](\"https:\/\/cybercompare.com\/wp-content\/uploads\/2023\/09\/schudra_alexander.jpg\")