Abo
  • Services:
Anzeige
Brennt ein Gebäude, kann der Schaden nach festen Kriterien ermittelt werden - bei Cyberangriffen noch nicht.
Brennt ein Gebäude, kann der Schaden nach festen Kriterien ermittelt werden - bei Cyberangriffen noch nicht. (Bild: Gene Blevins/Reuters)

Versicherung: Feuer, Wasser, Cybercrime

Brennt ein Gebäude, kann der Schaden nach festen Kriterien ermittelt werden - bei Cyberangriffen noch nicht.
Brennt ein Gebäude, kann der Schaden nach festen Kriterien ermittelt werden - bei Cyberangriffen noch nicht. (Bild: Gene Blevins/Reuters)

Der Cyberangriff ist vorbei, doch wie groß ist der Schaden? Anders als bei Bränden oder Überschwemmungen können Unternehmen das nicht nach Schutzstandards ermitteln. Das wollen die Versicherer jetzt ändern - belastbare Zahlen fehlen ihnen aber noch.

Anzeige

Wie sicher ist ein Unternehmen gegen Cyber-Risiken? Mit einem Prüf- und Zertifizierungsverfahren will die Versicherungswirtschaft in Zukunft diese Frage beantworten. Unter Leitung der VdS Schadenverhütung, deren Alleingesellschafter der Versichererverband GDV ist, soll ein einheitlicher Standard etabliert werden. Das Prüfverfahren soll die IT-Sicherheit in einem Unternehmen nach festen Kriterien auditieren und zertifizieren. Auf der Cebit im März sollen sie vorgestellt werden.

Als Anbieter von Policen gegen Cyber-Kriminalität auf der einen und als lukratives Angriffsziel von Hackern auf der anderen Seite hat die Versicherungswirtschaft im doppelten Sinne ein Interesse daran, einen festen Standard zur Beurteilung von Cyber-Risiken zu erarbeiten, wie er in anderen Sparten selbstverständlich ist - zum Beispiel in der Feuerversicherung.

Know-how von "30.000 Jahren Berufserfahrung"

Auch in der Abwehr von Naturgefahren, etwa Überschwemmungen, oder von Einbruch und Diebstahl haben sich Schutzstandards etabliert. Die in solchen Richtlinien zusammengetragenen Schritte zur Vorbeugung von Schäden können von Unternehmen umgesetzt und durch einen unabhängigen Dritten testiert und zertifiziert werden. Für das verbleibende Restrisiko wird dann der Versicherungsschutz eingekauft. Genau diese Lücke soll der neue Cyber-Standard schließen.

Aber kann tatsächlich ein Schutzstandard für Cyber-Risiken etabliert werden, die komplex und dynamisch sind? Auf belastbares Zahlenmaterial kann nämlich noch gar nicht zurückgegriffen werden. Zu jung ist dafür der Cyber-Versicherungsmarkt. "Vor diesem Henne-Ei-Problem steht die Versicherungswirtschaft jedoch immer, wenn neue Deckungen angeboten werden", heißt es dazu aus der VdS-Zentrale in Köln. Deshalb will das Institut mit der Cyber-Richtlinie auch gleichzeitig belastbare Statistiken generieren.

"Wir gehen davon aus, dass diese statistischen Daten ab 2017 der Wirtschaft zur Verfügung gestellt werden können", sagt VdS-Sprecher Norbert Bernigau. Einstweilen hoffen die Macher, dass das Know-how und die Praxis von "mehr als 2.500 IT-Fachleuten" mit "circa 30.000 Jahren Berufserfahrung" für den Beginn eine erfolgreiche Basis stellen wird.

Erarbeitet werden die zertifizierten IT-Sicherheits-Richtlinien unter anderem gemeinsam mit dem Verband Deutscher Versicherungs-Makler (VDVM). "Sie werden dem Thema Cyber-Policen nochmals einen Schub geben", hofft Sven Erichsen, der für den VDVM die Standards mitgestaltet hat. Er sieht in der Testierung Vorteile besonders im Underwriting.

Das Sicherheitsaudit sei ein "vernünftiger Nenner" und "genau der richtige Weg", auf den sich Versicherer und Kunden bei der Einschätzung des Risikos einigen könnten, sagt Erichsen. Auf Basis dieser Einschätzung kann der Versicherer seinem potenziellen Kunden ein Angebot für eine Cyber-Deckung unterbreiten.

Der Mittelstand ist zu sorglos

Die Leitlinien wurden dabei auf kleine und mittlere Unternehmen (KMU) zugeschnitten. Bei Versicherern und Maklern, die Cyber-Policen vertreiben, gelten sie als lukrative Zielgruppe. Während sich viele Großkonzerne bereits gegen Cyber-Schäden eingedeckt haben, herrscht im Mittelstand vielerorts eine digitale Sorglosigkeit vor.

Selbst wenn die Sensibilität für Gefährdungen vorhanden sei, würden angemessene Sicherheitsmaßnahmen nicht konsequent umgesetzt, konstatierte das Bundesamt für Sicherheit in der Informationstechnik (BSI) in seinem Ende 2014 vorgestellten Bericht zur Lage der IT-Sicherheit in Deutschland. "So zeigt es sich, dass die Systeme der KMU - wie die Systeme der Bürger - häufig selbst gegen einfache Angriffe nur unzulänglich geschützt sind", warnt das BSI. Das BSI selbst veröffentlicht sogenannte IT-Grundschutz-Kataloge, die ebenfalls eine Zertifizierung ermöglichen.

Genau auf jenen Katalogen, speziell der ISO 27000er Reihe, basiert der VdS-Standard. Er ist sogar "bewusst unterhalb des IT-Grundschutzes des BSI" gehalten, sagt Bernigau. Da aber "über 99 Prozent der Unternehmen in Deutschland zu den KMU" zählten, könne nicht wirklich von einer Begrenzung gesprochen werden. Aktuell befindet sich der neue Cyber-VdS-Standard mit der Nummer 3473 noch in Entwicklung. Pünktlich zur Cebit, der weltweit größten IT-Messe, soll die Richtlinie der Öffentlichkeit vorgestellt werden.


eye home zur Startseite
derdiedas 31. Jan 2015

wenn es deren eigenen Daten sind, von mir aus. Aber wie mit Kundendaten umgegangen wird...



Anzeige

Stellenmarkt
  1. OPITZ CONSULTING Deutschland GmbH, verschiedene Standorte
  2. HIT Hanseatische Inkasso-Treuhand GmbH, Hamburg
  3. LivingData GmbH, Landshut, Nürnberg
  4. BENTELER-Group, Düsseldorf


Anzeige
Top-Angebote
  1. (u. a. Far Cry Primal Digital Apex Edition 22,99€, Total War: WARHAMMER 16,99€ und Total War...
  2. 259€ + 5,99€ Versand

Folgen Sie uns
       


  1. Fahrdienst

    London stoppt Uber, Protest wächst

  2. Facebook

    Mark Zuckerberg lenkt im Streit mit Investoren ein

  3. Merged-Reality-Headset

    Intel stellt Project Alloy ein

  4. Teardown

    Glasrückseite des iPhone 8 kann zum Problem werden

  5. E-Mail

    Adobe veröffentlicht versehentlich privaten PGP-Key im Blog

  6. Die Woche im Video

    Schwachstellen, wohin man schaut

  7. UAV

    Matternet startet Drohnenlieferdienst in der Schweiz

  8. Joint Venture

    Microsoft und Facebook verlegen Seekabel mit 160 Terabit/s

  9. Remote Forensics

    BKA kann eigenen Staatstrojaner nicht einsetzen

  10. Datenbank

    Börsengang von MongoDB soll 100 Millionen US-Dollar bringen



Haben wir etwas übersehen?

E-Mail an news@golem.de


Anzeige
E-Paper-Tablet im Test: Mit Remarkable machen digitale Notizen Spaß
E-Paper-Tablet im Test
Mit Remarkable machen digitale Notizen Spaß
  1. Smartphone Yotaphone 3 kommt mit großem E-Paper-Display
  2. Display E-Ink-Hülle für das iPhone 7

Parkplatz-Erkennung: Bosch und Siemens scheitern mit Pilotprojekten
Parkplatz-Erkennung
Bosch und Siemens scheitern mit Pilotprojekten
  1. Community based Parking Mercedes S-Klasse liefert Daten für Boschs Parkplatzsuche

Optionsbleed: Apache-Webserver blutet
Optionsbleed
Apache-Webserver blutet
  1. Apache-Sicherheitslücke Optionsbleed bereits 2014 entdeckt und übersehen
  2. Open Source Projekt Oracle will Java EE abgeben

  1. wie kommt ihr darauf, dass QI bei anderen...

    Lutze5111 | 20:09

  2. Re: Lumia 950 hat schon 1709...

    Jesterfox | 20:09

  3. Re: Aber PGP ist schuld ...

    snape_case | 19:58

  4. Unzureichende Ladungssicherung!

    Vögelchen | 19:56

  5. Re: 197 MBit/s über vodafone.de Speedtest - 30...

    RedRose | 19:45


  1. 15:37

  2. 15:08

  3. 14:28

  4. 13:28

  5. 11:03

  6. 09:03

  7. 17:43

  8. 17:25


  1. Themen
  2. A
  3. B
  4. C
  5. D
  6. E
  7. F
  8. G
  9. H
  10. I
  11. J
  12. K
  13. L
  14. M
  15. N
  16. O
  17. P
  18. Q
  19. R
  20. S
  21. T
  22. U
  23. V
  24. W
  25. X
  26. Y
  27. Z
  28. #
 
    •  / 
    Zum Artikel