„Cyberversicherung ist nicht gleich Cyberversicherung“

Interview mit Gesine Froese, Regional Manager Cyber Risks DACH bei Beazley

Frau Froese, Cyberrisiken gelten als eines der größten Geschäftsrisiken für Unternehmen. Was hat sich aus Ihrer Sicht in den vergangenen Jahren am stärksten verändert?

Die Wahrnehmung der Kunden. Vor einigen Jahren waren viele Firmen noch der Auffassung, dass sie das Cyberrisiko nicht beträfe, die Vermutung, das Unternehmen sei zu klein oder zu unbekannt, wiegte Unternehmer in falscher Sicherheit. Diese Wahrnehmung hat sich grundlegend gewandelt. Eigene Erfahrungen mit Cybervorfällen, die zunehmende Digitalisierung sowie die hohe mediale Präsenz des Themas haben das Risikobewusstsein deutlich geschärft. Kunden wissen heute, dass sie ein Cyberrisiko haben. Das spiegelt sich auch im Risk & Resilience Report wider: 31% der Firmen nennen Cyber als ihr Top-Risiko, ein erneut gestiegener Wert gegenüber den Vorjahren. Gleichzeitig haben sich Cyberrisiken selbst verändert. Uns als Versicherer beschäftigt derzeit vor allem die zunehmende Systemhaftigkeit des Risikos. Die digitale Vernetzung auf technischer und kommerzieller Ebene sorgt dafür, dass ein Vorfall bei einer Organisation viele Firmen gleichzeitig treffen kann, ganz unabhängig von Umsatzhöhen, Branchen oder Standort. Durch digitale Abhängigkeiten, gemeinsam genutzte Technologien und die hohe Vernetzung unserer Wirtschaft durch Lieferkettenabhängigkeiten, beeinträchtigt ein Cybervorfall zunehmend breitflächig.

Viele Unternehmen schätzen ihre eigene Cyberresilienz sehr positiv ein. Wo sehen Sie die größten Unterschiede zwischen Selbstbild und tatsächlicher Risikolage?

Viele Unternehmen bewerten ihre Cyberresilienz auf Basis einzelner Maßnahmen, etwa Investitionen in moderne Firewalls oder Endpoint-Protection-Lösungen für Clients und Server. Diese Maßnahmen sind zweifellos wichtig, bilden aber nur einen Teil einer wirksamen Cyberrisikosteuerung ab. In der Risikoprüfung zeigt sich jedoch oft, dass in vielen Unternehmen Cyberrisikomanagement noch nicht ganzheitlich gedacht wird. Kritische Geschäftsprozesse sind nicht durchgängig abgesichert, Notfall- und Wiederanlaufpläne werden nicht regelmäßig getestet oder es fehlen Ausweichmöglichkeiten für den Ernstfall.

Unsere Studienergebnisse bestätigen diese Diskrepanz zwischen Wahrnehmung und eigentlicher Risikolage deutlich: 82% der Unternehmen glauben, gut vorbereitet zu sein, während 78% überzeugt sind, einen Angriff finanziell vollständig bewältigen zu können. Wir beobachten, dass diese deutliche Zuversicht oft im Widerspruch zur tatsächlichen operativen Resilienz steht.

Welche Bedeutung haben Cyberrisiken heute für kleine und mittelständische Unternehmen?

Für KMU sind Cyberrisiken heute genauso geschäftskritisch wie für Großkonzerne – in vielen Fällen sogar noch kritischer. Während große Unternehmen häufig über spezialisierte IT-Sicherheitsteams, etablierte Notfallprozesse und größere finanzielle Reserven verfügen, sind die Ressourcen im Mittelstand oft begrenzter. Gleichzeitig können einzelne Cybervorfälle dort existenzbedrohende Auswirkungen haben, da Ausfälle oder finanzielle Belastungen deutlich schwerer zu kompensieren sind. Der Beazley Risk & Resilience Report zeigt auf, dass sich kleinere Unternehmen oft weniger gut vorbereitet fühlen und stärker von Unterbrechungen betroffen sind.

KI verändert die Angriffsmethoden von Cyberkriminellen. Welche Entwicklungen sollten Makler ihren Kunden verständlich machen?

KI erhöht vor allem die Skalierbarkeit und Professionalität von Angriffen. Viele der grundlegenden Angriffsmethoden sind zwar nicht neu, ihre Qualität und Reichweite nehmen jedoch durch den Einsatz von KI erheblich zu. Besonders sichtbar wird dies bei Phishing- und Social-Engineering-Angriffen. KI ermöglicht es Angreifern, täuschend echte E-Mails, Nachrichten oder Stimmen zu erzeugen, die sprachlich präzise auf einzelne Personen oder Unternehmen zugeschnitten sind. Dadurch sinkt die Hürde für Cyberkriminelle, glaubwürdige Angriffe in großem Umfang durchzuführen. Die eigentliche Herausforderung für Unternehmen liegt daher weniger in einer völlig neuen Art von Risiko als vielmehr in der Geschwindigkeit und Professionalität, mit der bestehende Angriffsmethoden weiterentwickelt werden.

Für Makler ist entscheidend, diese neue Entwicklung verständlich einzuordnen. KI macht Cyberangriffe nicht unvermeidbar, sie erhöht jedoch die Anforderungen an Prävention und Resilienz. Der entscheidende Schutzfaktor bleibt deshalb häufig der Mensch. Regelmäßige Schulungen, Awareness-Maßnahmen, klar definierte Meldewege sowie die Sensibilisierung für moderne Social-Engineering-Angriffe gewinnen weiter an Bedeutung.

Welches sind die typischen Schwachstellen in Unternehmen?

Die häufigsten Schwachstellen sind überraschend konsistent: Fehlende Multi-Faktor-Authentifizierung bei Systemen, Schwächen im Patch-Management, nicht getestete Back-ups sowie unklare Verantwortlichkeiten im Ernstfall. Diese Faktoren wirken sich unmittelbar auf den Verlauf und die Schwere eines Schadenfalls aus. Sie zeigen, dass Cyberresilienz weniger die Frage einzelner Tools ist, sondern die konsequente Umsetzung von Sicherheitsmaßnahmen im Rahmen eines ganzheitlichen Risikomanagements.

Warum reicht es nicht aus, Cyberversicherung nur als finanziellen Schutz nach einem Schadenfall zu betrachten?

Cyberversicherung wird häufig noch primär als Instrument des Risikotransfers verstanden – also als finanzielle Absicherung für den Fall, dass bereits ein Schaden eingetreten ist. Diese Betrachtungsweise greift jedoch aus meiner Sicht zu kurz. Der eigentliche Mehrwert einer modernen Cyberversicherung liegt in der Unterstützung vor, während und nach einem Cybervorfall – etwa durch spezialisierte Incident-Response-Partner. Die Spezialisten bewahren im Ernstfall einen kühlen Kopf, koordinieren die richtigen Experten und unterstützen die IT und Unternehmensführung in der Begrenzung der Unternehmenskrise. Gerade die ersten 72 Stunden nach der Entdeckung eines Cyberangriffs sind häufig entscheidend für den weiteren Verlauf der Krise. Durch ihr schnelles und professionelles Management können sie das Ausmaß des Gesamtschadens, sowohl auf technischer als auch auf Kostenebene häufig erheblich begrenzen und die Wiederherstellung kritischer Geschäftsprozesse beschleunigen.

Es ist mir wichtig zu betonen, dass eine Cyberversicherung kein Ersatz für professionell gemanagte IT-Sicherheit sein kann. Ganz im Gegenteil, das Vorhandensein eines angemessenen Sicherheitsniveaus ist die Voraussetzung für einen möglichen Risikotransfer.

Unser Report hat in diesem Zusammenhang ein interessantes Paradox aufgezeigt: Nur rund ein Drittel der Unternehmen plant aktuell zusätzliche Investitionen in ihre Cybersicherheit, obwohl Cyber gleichzeitig als Top-Risiko wahrgenommen wird. Genau hier zeigt sich die Rolle von Versicherern als aktive Risikopartner, deren Policen neben der aktiven Unterstützung während der Krise auch nach und vor einem Vorfall durch aktives Risikomanagement zur Verfügung stehen. Mit genau diesem Full-Spectrum-Cyber-Ansatz ist Beazley besonders hilfreich für Kunden.

Worauf sollten Makler achten, wenn sie Lösungen für Firmenkunden prüfen oder bestehende Verträge aktualisieren?

Der wichtigste Grundsatz lautet: Cyberversicherung ist nicht gleich Cyberversicherung. Makler sollten besonders darauf achten, einen passenden Versicherungsschutz für das individuelle Kundenprofil zu finden. Anhand von einer Szenariobasierten Analyse können Makler sicherstellen, dass die Kernrisiken ihres Klienten abgedeckt werden.

Wie bereits erwähnt würde ich zudem dazu raten, einen Fokus auf die Assistance-Leistungen im Schadenfall und das Angebot der Präventionsmaßnahmen zu legen, um das Maximum aus der Police rauszuholen. Gerade bei Cyberschäden kann die Qualität der Assistance-Leistungen einen erheblichen Unterschied machen. Der Zugang zu erfahrenen Incident-Response-Spezialisten, IT-Forensikern, Krisenkommunikationsberatern und spezialisierten Rechtsanwälten kann entscheidend dazu beitragen, einen Vorfall schnell einzudämmen und die Folgen für das Unternehmen zu begrenzen.

Was raten Sie Maklern: Wie lässt sich das Thema Cyberversicherung verständlich, realistisch und ohne Panikmache vermitteln?

Gute Beratung bedeutet aus meiner Sicht informationsbasierte Beratung. Cyberrisiken verändern sich kontinuierlich, sowohl technologisch als auch regulatorisch. Angesichts der sich stetig wandelnden Bedrohungslandschaft ist es für Makler unerlässlich, ihr Wissen laufend zu aktualisieren und relevante Marktentwicklungen im Blick zu behalten.

In der Beratung hat es sich bewährt, Cyberrisiken möglichst konkret und greifbar zu machen. Statt abstrakt über Hackerangriffe oder Bedrohungslagen zu sprechen, sollten Makler gemeinsam mit ihren Kunden realistische Schadenszenarien betrachten: Was passiert, wenn die Produktion für eine Woche stillsteht? Welche Folgen hätte der Ausfall eines kritischen Dienstleisters? Wie würde sich ein erfolgreicher Ransomware-Angriff auf Umsatz, Kundenbeziehungen oder die eigene Lieferfähigkeit auswirken? Eine belastbare Einschätzung der Top-Krisen-Szenarien des individuellen Kunden inklusive einer Worst-Case-Betrachtung ermöglicht die Ableitung einer angemessenen Versicherungssumme und unterstützt eine risikoadäquate Absicherungsstrategie.

Lesen Sie auch: Prävention oder Versicherung: Die richtige Mischung bei Cyberrisiken

Interessieren Sie sich für weitere Hintergrundartikel aus der Branche? Dann abonnieren Sie das monatliche Fachmagazin AssCompact – kostenfrei für Versicherungs- und Finanzmakler.