Warum Makler keine Angst vor der Cyberversicherung haben sollten

Interview zur Cyberversicherung und zu einem neuen BWV-Expertenseminar mit Lars Moormann, Geschäftsführer des BWV München, und Michael Steimer, Coach für Cyberversicherungen und einer der Fachkreisleiter Cyber der Vereinigung der Versicherungsbetriebswirte (VVB).

Herr Moormann, die befürchteten Cyberattacken im Zusammenhang mit dem Ukraine-Krieg sind bisher ausgeblieben. Wiegen sich viele Firmen deshalb in einer falschen Sicherheit?

Lars Moormann: Ja, aus meiner Sicht ist es definitiv eine falsche Sicherheit. Das hängt damit zusammen, dass viele Cyberangriffe – nicht nur aus Russland – nicht an die Öffentlichkeit kommen. Unternehmen haben kein Interesse daran, dass solche Vorfälle publik werden. Und gerade kleinere und mittlere Unternehmen sind oft nicht gegen Cyberrisiken abgesichert. Laut einer Studie haben 85% der sehr kleinen KMU und Freiberufler keine angemessene Cyberversicherung. Es ist aber hinsichtlich Russland so, dass derzeit Hackergruppen verstärkt für militärische Zwecke eingesetzt werden. Eine große, sehr professionelle russische Hackergruppe hat sich aufgelöst und einzelne Bereiche scheinen sich erst neu zu formieren. Die Versicherungswirtschaft rechnet mit verstärkten Angriffen in der Zukunft.

Wer zählt für Sie zu den KMU?

LM: Das ist für mich zum Beispiel der Handwerker um die Ecke, eine Rechtsanwaltskanzlei, der Friseur. Fast jedes Unternehmen führt persönliche Daten. Aber natürlich gehören auch Unternehmen mit einigen 100 Mitarbeitern dazu und auch diese sind sehr oft nicht abgesichert.

Michael Steimer: Früher gab es mal eine Definition für das Industriegeschäft. Jeder Versicherer hat da jetzt aber seine eigene Aufteilung. Die GDV-Definition ist verbreitet; bis 50 Mio Euro Umsatz/bis 250 Mitarbeiter. Aber die Situation ist wirklich trügerisch. Nehmen wir das relativ kleine Unternehmen beispielsweise aus dem Schwarzwald aber mit weltweiten Niederlassungen und hidden champion in seinem Bereich. Diese Art Unternehmen benötigt eine Cyberabsicherung mit ähnlichen Strukturen wie die große Industrie. Manche Versicherer wie die Allianz haben darauf auch schon reagiert.

Und in der Tat ist es ein Problem, dass man wenig von „normalen“ Schäden hört, denn die kleinen Unternehmen haben große Angst vor einem Reputationsschaden. Ich bin selbst Makler und bin auch im ärztlichen Bereich tätig. Das ist der absolute Supergau, wenn ein Gynäkologe oder eine Gynäkologin den Kundinnen sagen müsste, dass ihre Daten jetzt leider irgendwo im Darknet sind. Aber in den Medien hört man davon wenig, sondern nur von den großen Sicherheitslücken, zum Beispiel von Microsoft oder Log4Shell, Krankenhäusern, Versicherern, Supermarktketten bis hin zum Bundestag. Da kann leicht der Eindruck entstehen, dass für mich beispielsweise als kleiner Steuerberater oder Versicherungsmakler das persönliche Risiko nicht so hoch ist.

Wie hoch können denn die Schäden werden?

MS: Es gibt eine Vielzahl exzellenter Studien, z. B. von Hiscox, Großmaklern und natürlich vom GDV. CyberDirekt, hat gerade eine Studie gemacht: Bei den KMU liegt der Durchschnittsschaden bei 198.000 Euro. Das kann ein kleineres mittelständisches Unternehmen oder eine Arztpraxis durchaus in Bedrängnis bringen. Cyber ist unisono laut allen Studien Top-Gefahr und wird auch so gesehen. Nur das eigene Unternehmen sehen Inhaber und Manager nicht gleichermaßen gefährdet. Aus verhaltenspsychologischer Sicht ist das ein sehr spannendes Thema. Es wundert mich immer wieder, dass zu den gestiegenen aber immer noch moderaten Preisen, zu denen man eine Cyberversicherung kriegen kann, so wenige kleinere Versicherungsnehmer diese letztlich kaufen – und auch, dass so wenige Makler ihre Kunden darauf ansprechen.

Das heißt, es ist ein Aufklärungsproblem?

MS: Ja. Ich habe neulich die AssCompact im Briefkasten gehabt, die ich übrigens immer gerne lese. Aber Cyber kam da nicht vor, mit zwei kleinen Ausnahmen. Und so ist das auch in den anderen Medien. Ich weiß nicht, warum so wenig in der Presse darüber berichtet wird. Bei Cyber liegt – salopp gesagt – das Geld auf der Straße. Und ich schwöre Ihnen, wenn Firmen einmal einen Schaden erleben, Panik ausbricht und Sie eine Cyberversicherung mit all den vielfältigen Notfall-/Hilfeangeboten vermittelt haben – dort werden Sie zum Freund fürs Leben.

Mit Blick auf AssCompact nehmen wir die Anmerkung gerne auf. Es liegt aber auch daran, dass sich die Branche bei dem Thema doch etwas bedeckt hält.

MS: Ein bisschen Enttäuschung ist vielleicht schon da. Das exorbitante , erwartete Wachstum hat sich nicht so erfüllt. Trotzdem verdoppelt sich der Markt jährlich. Also, es läuft und die besten Tage kommen noch.

Aber was liest man: Versicherer lassen ihre Kunden im Stich und man hört von Ausschlüssen aufgrund von Kriegsklauseln. Das stimmt natürlich teilweise, aber das betrifft doch nicht die kleinen KMU. Für Arztpraxen, Steuerberatungskanzleien mit zehn Mitarbeitern oder auch die Großbäckerei hat das keine große Relevanz. Und wen es interessiert, der kann bei der Assekurata nachlesen, welcher Versicherer eine Kriegsklausel hat, die einigermaßen wasserdicht ist.

Neulich gab es als Beispiel Schlagzeilen, dass die Münchener Rück (weltweit der führende Cyberversicherungsexperte) keine Risiken mehr zeichne. Joachim Wenning habe gesagt, die Münchner Rück verabschiedet sich aus dem größeren Cybergeschäft: „Nichts mehr über 100 Mio. Euro.“ Naja, ein Unternehmen mit 100 Mio. Euro Umsatz ist jetzt nicht so wahnsinnig groß, aber der Journalist hatte damals die Versicherungssumme mit dem Umsatz des Unternehmens verwechselt. Und 100 Mio Euro Versicherungssumme ist schon eine Ansage, natürlich muss da auch die IT-Security zu 100% stimmen. Die Versicherungswirtschaft hat da aufgrund der Schadenexpertise – gerade Rückversicherung als globales Schadeninformationssammelbecken – eine extrem nützliche Risikomanagement-Funktion. Ich teile völlig die Aussage meiner Exkollegen der Munich RE: Wer relevant bleiben möchte, muss Cyber anbieten! Allerdings, die IT Sicherheit muss stimmen. Allianz hatte im März auf unserer BWV/VVB-Veranstaltung gesagt, dass die allermeisten Cyberschäden mit adäquaten IT-Sicherheitsmaßnahmen verhindert werden könnten. Das ist doch – wie Brandschutz – vital im Interesse der Unternehmen.

Das Problem des reduzierten Cyberversicherungsangebots betrifft doch viele kleine Kunden gar nicht. Im Gegenteil, die Angebotsvielfalt wächst, bestehende Angebote werden regelmäßig aktualisiert. Und wenn ich einem kleinen Kunden/Freiberufler maßgeschneidert erkläre, welches Leistungspaket dahintersteckt, dann sagt dieser meist: „Na klar kaufe ich das.” Allein der Zugriff auf Krisenkommunikation, Fachanwälte und IT-Forensiker ist das wert. Bei 1 Mio. Euro Versicherungssumme kostet die Absicherung etwa 1.500 – 3.000 Euro pro Jahr. Dafür können Sie aber ruhig schlafen.

Was Makler abhält, sind häufig die Risikoerfassung und die Obliegenheiten. Versicherer versuchen dies mit Standardfragen zu lösen. Und trotzdem gibt es Ängste.

MS: Das ist ein riesengroßes Thema. Deshalb starten wir mit dem BWV auch im Herbst mit einem Seminar zur Cyberversicherung gerade für kleine Unternehmen/Freiberufler – übrigens in der Masse mit über 80% das größte Marktsegment. Es gibt Ängste, die überhaupt nicht sein müssten. Bei den Obliegenheiten ist es doch so: Viele Versicherungsnehmer haben vermutlich schon einen Virenscanner, eine Firewall, machen regelmäßig ein Back-up und spielen zeitnah Sicherheits-Updates auf. Wenn ich weiß, dass die IT für mich existenzwichtig ist, dann mache ich das doch und verwende auch ein Passwort jenseits von Passwort123. Oder auch die Verteilung von Zugangsberechtigungen für die Mitarbeiter, das ist doch auch Teil der internen Prozesse, auch bei sehr kleinen Unternehmen. Aktuelle Studien, z. B. von CyberDirekt, zeigen natürlich auch Verbesserungsbedarf bei den obigen Maßnahmen. Das Gute aber ist, dass mit relativ wenig Aufwand in kurzer Zeit viel verbessert werden kann. Auch hier kann der geschulte Makler in Grundsatzfragen helfen oder vermitteln.

Es gibt immer noch Cyberversicherer, die sehr viele Fragen haben – sinnvoll bei größeren Risiken, nicht jedoch bei sehr kleinen.

Ich habe ein Produkt mitentwickelt, bei dem der Makler sehr komfortabel mit wenigen Fragen, die primär die obigen Standards abdecken, speziell das Geschäftsmodell seines Kunden eindecken kann. Wohlgemerkt, im Bereich der kleinen KMU. Es ist ein Wording, in dem nur das drinsteht, was für die Branche des Versicherungsnehmers wirklich gebraucht wird. Ich sage immer: Wenn es ein Makler schafft, eine bAV oder eine BU mit dem Kunden durchzugehen, dann schafft dieser auch eine Cyberversicherung erfolgreich mit links. Zumal, wenn er das neue, kompakte Cyber-Expertenseminar beim BWV absolviert hat.

Wie sieht es mit dem Lösegeldthema aus?

LM: Das ist ein Thema, mit dem auch wir uns als BWV München beschäftigt haben. Wir sind ein kleines Unternehmen, aber mit vielen Daten und Referenten, die mit ihren eigenen Präsentationen auf einen USB-Stick kommen. Für uns ist Cyberversicherung ein ganz wichtiges Thema. Und ein Lösegeld für eine mögliche Datenfreigabe könnten wir aus eigener Tasche nicht zahlen. Das ist ein Themenbereich, bei dem man auf Experten angewiesen ist, die einem von Anfang an zur Seite stehen. Niemand kann ad hoc mit einem solchen Thema umgehen.

Ist dies ein gutes Thema für die Kundenansprache?

LM: Ich denke schon, weil es große Sorgen weckt. Vor allem, wenn man aufzeigt, was tatsächlich alles so passiert, weckt dies die Sensibilität für das Problem.

Halten Versicherer an Lösegeldzahlungen fest?

MS: Ich würde sagen, dass im KMU-Bereich inzwischen mindestens 80% der Versicherer Lösegeld drin haben. Das mag im Industriebereich differenzierter sein. Es ist jetzt aber nicht so, dass der Versicherer sofort zahlt. Zuerst wird auf ein ganzes Netzwerk zurückgegriffen. Es gibt eine Studie von Sophos, die zeigt, dass in einer relativ geringen Anzahl tatsächlich Geld fließt. Da findet eine sehr starke Abwägung statt. Da passieren im Hintergrund ganz viele Dinge, die ein Unternehmen allein niemals lösen könnte. Der GDV hat sich jüngst auch klar gegen einen generellen Ausschluss der Lösegeldabsicherung positioniert. Als Makler haben sie ein Problem, wenn sie dem Kunden erklären müssen, dass er nun insolvent ist, weil sie einen der wenigen Versicherer empfohlen haben, der kein Lösegeld deckt. Selbstredend ist die Argumentation hinter einem Ausschluss nachvollziehbar, als absolute ultima ratio kann ich aber nur empfehlen, die Deckung zu inkludieren. Es war ein langer Weg, bis dies mit dem Segen von BaFin und GDV überhaupt möglich wurde nach 2017.

Ein BWV-Seminar soll, wie schon erwähnt, Beratern helfen. Ein Mangel an Weiterbildungsangeboten für Cyber herrscht bisher aber auch nicht, oder?

MS: So ein Seminar speziell für Makler und Mehrfachagenten für die Beratung sehr kleiner Unternehmen und Freiberufler gibt es im Augenblick nicht. Bei der DVA gibt es u. a. ein großartiges Seminar für Schadenregulierer, für Betriebsabteilungsmitarbeiter und für Underwriter. In der Beratung kleiner Unternehmen braucht es aber weitere Themen. Deshalb bieten wir eine Kombination aus (minimal notwendigem und durchaus spannendem) IT-technischem Hintergrund, Versicherungstechnik, DSGVO, juristischen Themen und Cyberkommunikationstraining mit zertifizierten Kommunikationstrainern, die gleichzeitig die Versicherungsbranche von der Pike auf gelernt haben. Mich selbst begeistert es, zu vermitteln, was die Branche hier für großartige, neue, vielfältige Produkte entwickelt hat.

Hat die Cyberversicherung das Zeug, etwas für das Image der Branche zu tun?

LM: Diese Versicherung kann Kunden sehr viel Gutes tun. Ich glaube, es ist wichtig, das klar herauszustellen. Dafür braucht es Wissen. Versicherungsmakler und Vertriebsmitarbeiter müssen die Vorteile, die eine Cyberversicherung hat, auch kennen, um den Kunden umfassend beraten zu können. Diese Angst vor Cyberprodukten ist nach wie vor bei vielen Vertriebsmitarbeitenden da, ist aber aus meiner Sicht völlig unbegründet. Genau das wollen wir mit unserem Seminar aus der Praxis heraus unterstützen.

MS: Es ist auch tatsächlich so, dass Leute, die sich mit Cyber auskennen, Mangelware sind. Überall werden diese Leute gesucht. Insofern eröffnet das Zertifikat vom BWV auch neue Möglichkeiten. Als jemand, der sich seit Jahrzehnten auch global mit dem Wert von Versicherungen beschäftigt, waren die Ergebnisse hinsichtlich Berufsimage von Versicherungen immer traurig. Wir kennen alle die auf Umsatz getrimmten Exzesse der Vergangenheit. Bildung, auch hinsichtlich fairem, engagiertem Umgang mit Kunden ist auch Imagearbeit für die Branche. Ein großartiges Produkt wie Cyber ist hier eine gute Unterstützung.

Über das Seminar „Experte/-in Cyberversicherung (BWV)“

Das im Interview erwähnte Seminar Experte/-in Cyberversicherung (BWV) startet im Herbst und findet in fünf Modulen statt. Die ersten vier Module werden hybrid durchgeführt Das fünfte Modul findet als Praxistraining in Präsenz im BWV München statt. Fachlicher Leiter ist Cyber- und Kommunikationsexperte Michael Steimer. Weitere Informationen zu Inhalt und Kosten finden sich auf der Website des BWV München.