Der Fall Collins Aerospace zeigt eindrücklich, dass schon ein Angriff eine komplexe Kaskade an Kosten verursacht – von unmittelbaren IT-Schäden über Betriebsunterbrechungen bis hin zu Haftungsansprüchen von Passagieren oder Partnern.
Allerdings verdeutlicht dieser Fokus auf Geschäftskontinuität ein kritisches Ungleichgewicht in der aktuellen Wahrnehmung und Regulierung von Cyberrisiken. Bestehende regulatorische Rahmenbedingungen und die öffentliche Debatte neigen dazu, den Schutz personenbezogener Daten stärker zu priorisieren als die Servicekontinuität zu gewährleisten. Diese Diskrepanz entsteht, da die rechtlichen Anforderungen an die Datensicherheit klar geregelt sind, während entsprechende Vorgaben, um den laufenden Betrieb aufrechtzuerhalten, weniger klar definiert sind.
Für ein Unternehmen besteht der Unterschied beispielsweise darin, ob vertrauliche Dokumente heimlich kopiert werden oder der gesamte Betrieb lahmgelegt wird, sodass keine Geschäftstätigkeit mehr möglich ist. Während der erste Fall die Vertraulichkeit maßgeblich verletzt, kommt es im zweiten Fall zu einem vollständigen Betriebsausfall – mit unmittelbareren und weitreicherenden finanziellen Folgen. Die aktuellen Vorschriften zwingen Unternehmen jedoch oft dazu, sich stärker darauf zu konzentrieren, ob die Vertraulichkeit verletzt wurde.
In diesem Zusammenhang ist die Cyberversicherung der wirksamste Schutzmechanismus, um Betriebsunterbrechungen zu mindern. Führt ein Angriff zum Stillstand, hat nicht die Datenforensik oberste Priorität, sondern das schnelle Wiederherstellen der Dienste. Um dies zügig zu ermöglichen, stellt die Versicherung die entscheidenden finanziellen Mittel bereit. Indem sie direkt auf einen drohenden Betriebsstillstand reagiert, sichert sie die finanzielle Widerstandsfähigkeit eines Unternehmens.
Moderne Cyberversicherungen sind deshalb modular aufgebaut. Sie decken Eigenkosten wie Incident-Response-Kosten oder auch Daten- und Systemwiederherstellung ab.
Besonders wichtig für eine Fluggesellschaft oder einen Flughafen ist allerdings die Betriebsunterbrechung (BU)-Deckung. Denn die Luftfahrt ist in hohem Maße von einem Netzwerk externer Technologieanbieter abhängig, das von Passagierservicesystemen bis hin zu Flugsicherungssoftware reicht. Eine CBI-Versicherung schützt Unternehmen vor eigenen Betriebsunterbrechungsschäden, die durch einen Cyberangriff auf einen wichtigen Lieferanten entstehen. Im Detail leistet die Versicherungspolice eine Entschädigung für Folgendes:
- Entgangene Gewinne: Der Hauptvorteil von CBI ist, dass sie die Gewinne erstattet, die ohne Betriebsunterbrechung erzielt worden wären. Dies trägt dazu bei, die Finanzen eines Unternehmens in einer Phase mit reduzierten oder gar keinen Einnahmen zu stabilisieren.
- Laufende Betriebskosten: Selbst wenn ein Unternehmen nicht voll funktionsfähig ist, müssen viele Fixkosten, wie Miete, Nebenkosten und Gehälter, weiter bezahlt werden. Eine CBI-Versicherung kann dabei helfen, diese laufenden finanziellen Verpflichtungen zu erfüllen.
- Zusätzliche Kosten: Die Police kann auch die zusätzlichen Kosten abdecken, die entstehen, um die Betriebsschließung zu vermeiden oder zu minimieren und den normalen Geschäftsbetrieb wieder aufzunehmen. Dazu können die Kosten für die Materialbeschaffung bei einem teureren Lieferanten oder die Bezahlung von Überstunden gehören, um Produktionsrückstände aufzuholen.
- Reputationsmanagement: Ebenfalls übernommen werden die Kosten für PR-Maßnahmen, um Reputationsschäden zu mindern sowie Kunden und Stakeholder zu beruhigen.
- Vertragsstrafen: CBI entschädigt Unternehmen auch für die Zahlungen von Vertragsstrafen, die infolge des Betriebsausfalls entstanden sind.