Die steigende Bedeutung der Prävention gegen Cyberrisiken

Die Prävention mit Blick auf Cyberrisiken ist für Unternehmen aller Größen und Branchen von entscheidender Bedeutung, da Cybervorfälle schwerwiegende Folgen haben können. Jedes Unternehmen gerät früher oder später ins Visier von Cyberkriminellen. Das heißt: Cybersicherheit wird immer wichtiger – auf der technischen und auf der menschlichen Ebene. Eine unverdächtig scheinende E-Mail, eine Excel-Datei im Anhang oder fehlende Updates auf den IT-Systemen – Cyberrisiken lauern überall. In einer repräsentativen Umfrage des Branchenverbandes Bitkom gaben 84 Prozent von mehr als 1.000 befragten Unternehmen an, im Jahr 2022 Ziel eines Cyberangriffs geworden zu sein. Weitere neun Prozent vermuteten dies zumindest. Kriminelle wissen: Wenn sie es nur oft genug versuchen, haben sie irgendwann Erfolg.

Daher müssen Unternehmen wirksame Cybersicherheitsmaßnahmen implementieren, um sich und ihre Vermögenswerte zu schützen und das Risiko von Cybervorfällen zu minimieren. Darüber hinaus kann eine angemessene Prävention von Cyberrisiken Unternehmen dabei helfen, gesetzliche und regulatorische Anforderungen wie die Datenschutz-Grundverordnung (DSGVO), den Rechtsakt zur digitalen Betriebsstabilität (Digital Operational Resilience Act, DORA) und die aktualisierte EU-Richtlinie zur Sicherheit von Netzwerk- und Informationssystemen (NIS-2) einzuhalten. All diese Regelwerke verlangen von Unternehmen, angemessene Cybersicherheitsmaßnahmen zum Schutz sensibler Daten umzusetzen. Wirksame Cybersicherheitsmaßnahmen sind außerdem eine Grundvoraussetzung, um verbleibende wirtschaftliche Restrisiken über eine Cyber-Versicherung abzusichern.

Florian Wrobel, Geschäftsführer der COGITANDA Risk Prevention GmbHCOGITANDA

Cyber-Versicherungen sind kein Ersatz für angemessene Cyber-Präventionsmaßnahmen

Cyber-Versicherungen federn das finanzielle Risiko eines Cyber-Angriffes ab, Angriffe abwehren oder gar den Schadenfall verhindern können sie jedoch selbstverständlich nicht. Und nicht jeder, der eine Cyber-Versicherung abschließen möchte, bekommt sie auch. Denn Versicherer verlangen von Unternehmen, dass diese nachweisbar angemessene Cybersicherheitsmaßnahmen implementiert haben, bevor die Unternehmen Cyber-Versicherungsschutz erhalten. Versicherer müssen das mit jedem Unternehmen verbundene Risiko und die Wahrscheinlichkeit eines Cybervorfalls bewerten. Diese Informationen helfen, die Kosten der Deckung und den Umfang des dem Unternehmen gebotenen Schutzes zu bestimmen. Auf Grund der hohen Bedrohungslage und der damit verbunden hohen Wahrscheinlichkeit, dass ein Unternehmen Oper eines Cyber-Angriffes wird, wird es immer wichtiger für Unternehmen, angemessene Cybersicherheitsmaßnahmen im Vorfeld nachweisen zu können. Denn dadurch wird die Wahrscheinlichkeit eines Cybervorfalls verringert und eine Cyber-Deckung erst möglich.

Wichtige Cyber-Risiko-Präventionsmaßnahmen

Präventionsmaßnahmen müssen sowohl auf technischer Ebene als auch auf organisatorischer Ebene ansetzen. Dazu bedarf es jährlicher Investitionen in Höhe von etwa fünf bis zehn Prozent des IT-Budgets. Hierbei handelt es sich in der Regel nur um einen Bruchteil der Kosten, die dem Unternehmen durch einen Schaden aufgrund eines erfolgreichen Cyber-Angriffs entstehen würden.

Auf technischer Ebene muss das Netzwerk abgesichert werden, um das Eindringen eines Angreifers zu verhindern bzw. zu erschweren. Dafür braucht man moderne Firewalls, Intrusion Detection Systeme und Antivirensoftware, die die Infizierung von Endgeräten mit Malware erkennt. Außerdem sollten die Zugriffe auf die IT-Systeme in geeigneter Form geregelt werden – z. B. über Passwortrichtlinien, durch Multi-Faktor-Authentifizierung sowie über Zugriffsbeschränkungen für Mitarbeiter. Veraltete Hard- und Software sollte schnellstmöglich ausgetauscht werden. Denn es muss sichergestellt werden, dass IT-Systeme durch Updates stets auf dem aktuellen Stand sind.

Um die Auswirkungen eines Cyber-Vorfalls zu reduzieren und eine schnelle Wiederherstellung zu gewährleisten, müssen die relevanten Daten regelmäßig gesichert werden. Diese Datensicherungen müssen ebenso vor Angriffen geschützt und das Wiedereinspielen regelmäßig getestet werden. Nur so hat man Gewissheit, dass die Datensicherung in einem Angriffsfall tatsächlich funktioniert.

Auf organisatorischer Ebene müssen alle Mitarbeiterinnen und Mitarbeiter regelmäßig in Sachen Cybersicherheit geschult werden, damit potenzielle Bedrohungen bewusst sind und vermieden werden können. Gerade dieser Punkt wird häufig unterschätzt – und Investitionen in die Cyber-Ausbildung der Mitarbeitenden werden vernachlässigt. Teurer kann Sparen kaum werden.