Cyberrisiken: Mittelständler sind meist unzureichend abgesichert

Memet K., Inhaber einer kleinen Kfz-Werkstatt mit angeschlossenem Reifenhandel, traut seinen Augen kaum, als eines Morgens eine Meldung auf seinem Firmenrechner erscheint: „Wir sind eine internationale Hacker-Gruppe und haben uns Zugang zu Ihrem Netzwerk verschafft.“ Tatsächlich können weder er noch seine Mitarbeiter auf die Kunden- und Vertragspartnerdaten zugreifen. Auch die mit dem Internet verbundenen Maschinen und Messgeräte sowie der Online-Auftritt des Betriebs sind lahmgelegt. Die Hacker fordern 100.000 Euro für die Wiederfreigabe der Firmendaten.

Durch den mehrtägigen Betriebsausfall kann K. seinen vertraglichen Verpflichtungen gegenüber Kunden und Geschäftspartnern nicht nachkommen. Diese nehmen ihn nun aufgrund entstehender Schäden in Haftung. Zusätzlich muss K. die Datenpanne der Landesdatenschutzbehörde melden, welche daraufhin ein Bußgeld in Höhe von 5.000 Euro verhängt.

Fehleinschätzung vieler Mittelständler: „Cyberrisiken betreffen uns nicht“

Fälle wie dieser zeigen: Ein Cyberangriff kann jeden treffen. Viele kleine und mittelständische Unternehmen (KMU) glauben, zu klein oder zu unwichtig zu sein, um das Interesse von Cyberkriminellen zu wecken. Ein Irrtum, der sie teuer zu stehen kommen kann. Denn ohne funktionierende IT kann heute kaum ein Mittelständler mehr arbeiten – ganz gleich in welcher Branche. Laut einer aktuellen Forsa-Befragung von 300 KMU sagen 63%, dass sie sehr stark oder eher stark eingeschränkt wären, wenn ihre IT mehrere Tage ausfallen würde. Bei zwei Dritteln der Unternehmen, die schon einmal von Schadsoftware befallen waren, dauerte es drei Tage oder länger, bis sie ihre Systeme wiederhergestellt hatten. Eine Zeitspanne, in der viele Betriebe in ernste finanzielle Bedrängnis geraten.

Die zunehmende Internetkriminalität ist jedoch nicht die einzige Gefahr. Ein erhebliches Risiko geht auch von den unzähligen und teils sehr komplexen Rechtsvorschriften aus, die Unternehmen im Umgang mit ihrer IT und mit Daten beachten müssen. EU-DSGVO, IT-Sicherheitsgesetz 2.0, Gesetzesnovellen – kaum eine Unternehmerin oder ein Manager kann hier immer den Überblick behalten oder gar sicherstellen, dass alle Mitarbeitenden die Regeln und Gesetze beachten. Unwissenheit schützt jedoch nicht vor Strafe: Bei Verstößen gegen den Datenschutz drohen nach der DSGVO empfindliche Bußgelder von bis zu 20 Mio. Euro oder bis zu 4% des Vorjahresumsatzes. Zudem können die Manager persönlich haftbar gemacht werden – eine Tatsache, die vielen Führungskräften nicht bewusst ist. Denn durch ihr Handeln oder auch Unterlassen kann ein strafrechtlicher Tatbestand begründet werden.

Cyberrechtsschutz ergänzend zur Cyberrisikoversicherung

Viele Betriebe gehen davon aus, dass Cyberrisiken von ihren Bestandsversicherungen abgedeckt sind oder eine separate Cyberpolice sie ausreichend schützt. Das ist ein Irrglaube, da herkömmliche Sachversicherungen rechtliche Risiken oft nur unzureichend abdecken. Immer dann, wenn eigene Schadenersatzansprüche geltend gemacht werden sollen, zum Beispiel wenn ein Unternehmen seinen IT-Sicherheitsdienstleister in Haftung nehmen will, schützt eine Sachversicherung in der Regel nicht. Zudem schließt eine Cyberrechtsschutzversicherung wichtige Lücken in den Bereichen Verwaltungs-, Straf- und Bußgeldverfahren.

Es wird deutlich: KMU benötigen eine Absicherung zur Wahrnehmung ihrer rechtlichen Interessen. Spezielle Cyberrechtsschutzversicherungen wie JurCyber von ROLAND Rechtsschutz setzen dort an, wo der klassische Cyberschutz endet. Solche Lösungen beinhalten neben der Interessenwahrnehmung bei Schadenersatz- und Unterlassungsansprüchen einen umfassenden Verwaltungsrechtsschutz, der unter anderem anwaltliche Hilfe bei Anhörungen der Behörden bietet. Bei Vertragsstreitigkeiten können Mittelständler ebenso auf rechtliche Unterstützung zurückgreifen, wie wenn der Cyberversicherer die vereinbarte Leistung versagt. Unternehmen, die in ihre Digitalisierung und IT-Sicherheit investieren und dabei Fördermittel nutzen, können den enthaltenen Subventionsrechtsschutz für Förderprogramme nutzen. Eine 24-stündige IT-Notfall-Hotline rundet das Angebot ab.

Services zur Prävention und für den Ernstfall

Diese IT-Notfall-Hotline ist auch Leistungsbestandteil des ROLAND Schutzbriefs WebSecure Gewerbe. Dieser enthält zahlreiche Soforthilfen für den Ernstfall. Neben der telefonischen Beratung durch erfahrene IT-Experten können die Schutzbriefinhaber auch eine telefonische Rechtsberatung durch Rechtsanwälte aus dem Partneranwaltsnetz in Anspruch nehmen. Bei Bedarf kümmern sich geschulte IT-Forensiker vor Ort um die Wiederherstellung versehentlich gelöschter Daten. Zusätzlich können betroffene Unternehmen den Reputationsschaden analysieren lassen und eine Löschung rufschädigender Inhalte im Internet beauftragen. Damit es gar nicht erst zu einer Datenpanne oder einem Cyberangriff kommt, bietet WebSecure Gewerbe zusätzliche Präventivleistungen. Dazu zählen die Bereitstellung eines Webinars zur IT-Sicherheit, eines Online-Schutz-Radars sowie die Vermittlung von Datenschutzschulungen und Cloud-Security-Workshops.

Fall- und Rechenbeispiele für das Kundengespräch

Wie können Makler und Vermittler ihre Kunden nun für Cyberrisiken und die Notwendigkeit einer zusätzlichen Absicherung neben der Haftpflichtversicherung sensibilisieren? Zwei Argumente sollten beim Kundengespräch im Fokus stehen. Erstens: Kein Unternehmen ist zu klein oder zu unwichtig, um Opfer eines Cyberangriffs zu werden. Fünf von sechs Mittelständlern fehlen laut einer GdV-Studie die einfachsten IT-Schutzmaßnahmen. Das macht sie zu einem leichten Ziel. Zweitens: Angesichts sich ständig ändernder regulatorischer Anforderungen ist es auch bei größter Sorgfalt kaum möglich, Verstöße gänzlich zu vermeiden. Im Stress unaufmerksam auf einen verdächtigen E-Mail-Anhang geklickt oder Kundendaten unverschlüsselt weitergeleitet – derartige Fehler sind menschlich, können für das Unternehmen aber teure Folgen haben.

Konkrete Fallbeispiele wie das eingangs beschriebene verdeutlichen die Bedeutung der Cyberrechtsschutzversicherung im Verkaufsgespräch. Selbstverständlich gehört dazu auch immer ein „Happy End“. Memet K. konnte die Sperrung des Computers und die Verschlüsselung der Daten mit der Soforthilfe von WebSecure Gewerbe erfolgreich auflösen. JurCyber half ihm, durch Vermittlung eines spezialisierten Rechtsanwalts, die Ansprüche der Betroffenen abzuwehren und erfolgreich gegen den Bußgeldbescheid zu klagen. Zusätzlich konnte im Rahmen der aktiven Strafverfolgung ein Täter ermittelt werden, der für die entstandenen Schäden in Regress genommen wurde. Die Gesamtkosten in Höhe von rund 12.000 Euro hat sein Versicherer übernommen.

Ein konkretes Rechenbeispiel hilft, um Kosten und Nutzen ins Verhältnis zu setzen. Viele KMU denken, dass Cyberpolicen sehr teuer sind. Tatsächlich richtet sich die Prämie aber nach der Mitarbeiterzahl und ist darum auch für Selbstständige und kleine Betriebe erschwinglich. Oft bewegt sich die Prämie zwischen 100 und 200 Euro. Ein geringer Betrag, wenn man bedenkt: Im Durchschnitt kostet ein Cyberangriff deutsche Unternehmen 330.000 Euro.

Den Artikel lesen Sie auch in AssCompact 03/2020 und in unserem ePaper.