Awareness rauf, Risiko runter: Warum Cyber-Sicherheit eine ganzheitliche Prävention braucht

Dr. Florian Wrobel...ist Geschäftsführer der COGITANDA Risk Prevention GmbH© COGITANDADie Cyber-Bedrohung aus dem Netz nimmt kontinuierlich zu und wird immer komplexer. Praktisch jedes Unternehmen ist ein potenzielles Angriffsziel für Cyber-Kriminelle. Dem gegenüber stehen bei den Unternehmen häufig in die Jahre gekommene IT-Systeme, unzureichende Schutzeinrichtungen und nicht zuletzt eine Belegschaft, der es oftmals an Risikobewusstsein und Kenntnissen im Sachen IT-Sicherheit mangelt. Das sind substanzielle Sicherheitslücken, die Kriminellen als Einfallstore für Cyber-Attacken dienen.

Menschen sind von Natur aus neugierig, geben Vertrauensvorschuss, gehen Risiken ein und werden dadurch schnell zur größten Schwachstelle im Unternehmen. Wird die Belegschaft nicht regelmäßig geschult, fallen statistisch rund 30 Prozent aller Mitarbeiterinnen und Mitarbeiter eines Unternehmens schon auf einen relativ simpel gemachten Phishing-Angriff herein. Aus Unwissenheit und Sorglosigkeit werden Informationen preisgegeben oder Links und Anhänge in E-Mails geöffnet, ohne zuvor die E-Mail und ihre Details sorgfältig geprüft zu haben. Die durch den Klick auf einen Link oder das Öffnen eines Anhanges eingeschleuste Schadsoftware verschlüsselt dann zum Beispiel die Daten auf den Systemen und macht die Firmen erpressbar, ein Lösegeld zu bezahlen, um einen Code für die Entschlüsselung der gesperrten Informationen zu erhalten. Diese Zahlungen sind ärgerlich und auch ethisch einen kritischen Gedanken wert. Was die Unternehmen aber noch viel härter trifft, sind Betriebsunterbrechungen infolge von erfolgreichen Cyber-Angriffen. Diese Schäden liegen allein in Deutschland inzwischen jedes Jahr im dreistelligen Milliarden Euro Bereich.

Fehlende Einsicht behindert häufig effektives Risikomanagement

Das Ausmaß der Schäden ist verheerend, die Cyber-Risiko-Prävention wird insofern immer wichtiger. Das haben auch einige Versicherer erkannt und legen Unternehmen nahe, passende Präventionsmaßnahmen für deren Systemsicherheit durchzuführen. Nur wenige Versicherer bieten hier auch aktiv entsprechende Dienstleistungen an und wenn ja, scheitert dies oft an der fehlenden Einsicht der Kunden. Entscheider in Unternehmen tun sich schwer nachzuvollziehen, warum sie neben dem Zahlen einer Versicherungsprämie zusätzlich erheblich in Cyber-Sicherheit investieren sollen. Das liegt oftmals daran, dass sie die entsprechenden Risiken für ihren Betrieb nicht richtig einschätzen können. Gerade in kleinen und mittelständischen Unternehmen sind diese „Extra“-Kosten heute noch nicht einkalkuliert und dringend nötige Präventionsmaßnahmen werden schnell zurückgestellt auf das nächste oder übernächste Jahr. Erst wenn ein Unternehmen durch eine erfolgreiche Cyber-Attacke schwer getroffen wurde, wird das Thema schlagartig zur Chefsache.

Was hält Versicherer von adäquaten Präventionsangeboten ab?

Im Durchschnitt aller gewerblichen Unternehmen bewegen sich die Nettoprämien für eine Cyber-Police im Bereich von kaum über 5.000 Euro pro Jahr. Eine vernünftige Prävention lässt sich aus der Versicherungsprämie also nicht einmal ansatzweise quersubventionieren. Dennoch werden Versicherungskunden kleinere IT-Sicherheitsbeigaben zur Police angeboten, wie etwa „Notfallpläne“ vom Abreißblock, völlig unzureichend ausgeprägte „Penetrationstests“ oder halbgare, effekthaschende „Schwachstellen-Scans“, die dem spezifischen Bedarf der Unternehmen keinesfalls entsprechen können und sie schlimmstenfalls auch noch in falscher Sicherheit wiegen. Im Ergebnis ist festzuhalten, dass mit der Police einhergehende Präventionsmaßnahmen nicht mehr als den Vertrieb unterstützende Marketing-Gimmicks sind, die den Kunden wohlmöglich sogar mehr schaden als nutzen.