05.09.2022 Sparten/Produkte

HDI-Studie: Optimierungspotenzial beim Cyberschutz

Damit Cyberpolicen erst gar nicht in Anspruch genommen werden, setzen die Versicherer vermehrt auf Prävention. Eine HDI-Studie will nun herausgefunden haben, dass vor allem eine Kombination von Maßnahmen, die auf Technik, Organisation und den Faktor Mensch zielen, bei KMU den Schutz deutlich verbessert.

Die eigenen Anstrengungen der Unternehmen zum Schutz vor Cyberattacken können einen signifikaten Einfluss auf Häufigkeit und Schadenhöhe haben. (Foto: © Monster Ztudio - stock.adobe.com)
Die eigenen Anstrengungen der Unternehmen zum Schutz vor Cyberattacken können einen signifikaten Einfluss auf Häufigkeit und Schadenhöhe haben.
(Foto: © Monster Ztudio - stock.adobe.com)

Versicherer warnen seit Jahren immer wieder vor Cyberangriffen. In der Folge betonen die Anbieter gerne, dass es ohne ihre Deckungskonzepte nicht geht. Tatsächlich erweist sich die Sparte aufgrund steigender Schadenzahlungen aus Sicht der Branche aber als wenig gewinnträchtig. Vielleicht ist das ein Grund, warum die Versicherer vermehrt auch die aus Ihrer Sicht zu geringen Anstrengungen von Unternehmen kritisieren, ihre IT vor externen Attacken zu schützen. Durch verschiedene Serviceleistungen wollen sie, so der allgemeine Tenor, die Präventionsmaßnahmen ihrer Kunden unterstützten und den Schadenfall gar nicht erst eintreten lassen.

Kombinierte Präventionsmaßnahmen halbieren Schadenhöhe

 

Auch die HDI Versicherung sieht in Präventionsmaßnahmen nach eigener Aussage einen wirksamen Schutz gegen Cyberangriffe und deren Folgen. Wenig überraschend kommt eine von Hannoveranern beauftragte Studie des Beratungsunternehmens Sirius Campus unter Freiberuflern sowie IT- und Versicherungsentscheidern von mehr als 500 kleinen und mittelständischen Unternehmen (KMU) zu dem Ergebnis, dass es beträchtliches Potenzial zur Verbesserung der Cyberabwehr gibt. Dabei zeige die Studie, dass erst eine Kombination aus technischen Vorkehrungen und organisatorischen Regeln mit Maßnahmen zur Mitarbeitersensibilisierung einen möglichst wirksamen Schutz verspricht. So waren 31 Prozent aller befragten Unternehmen in der letzten Zeit von erfolgreichen Cyberangriffen betroffen. Von denjenigen, die mehr als zehn der untersuchten Präventionsmaßnahmen einsetzen, waren es lediglich 18 Prozent. Noch signifikanter war der Unterschied bei der durchschnittlichen Schadenhöhe: Sie lag bei den 23 Prozent der befragten Unternehmen, die mehr als zehn Maßnahmen einsetzten, bei 54.000 Euro, im Vergleich zu durchschnittlich 95.000 Euro bei der Betrachtung aller betroffenen KMU.

Technische Maßnahmen an erster Stelle, aber allein nicht ausreichend

 

Laut Studie sind technische Maßnahmen die gängigsten Vorkehrungen, mit denen sich Unternehmen gegen Bedrohungen aus dem Cyberraum schützen. Firewalls, Spam-Schutz und automatische Datensicherungen durch Backups werden am häufigsten verwendet. So gaben 83 Prozent der Befragten an, dass sie Firewalls installiert hätten, 81 Prozent nannten Spam-Schutz und 80 Prozent automatisierte Backups. Seltener eingesetzt werden zum Beispiel Multi-Faktor Authentifizierungen (55 Prozent) oder verschlüsselte Zugänge zum Unternehmensnetzwerk zum Beispiel über VPN (66 Prozent). Technische Maßnahmen hätten für die Unternehmen den Vorteil, dass sie einen guten Basisschutz böten und häufig mit einem überschaubaren Aufwand umzusetzen seien.

Ausreichend ist das laut der Studienautoren allerdings nicht. Das zeigten sowohl Untersuchungen als auch die Schadenbilder von erfolgreichen Cyberangriffen. Die ebenso erforderlichen organisatorischen Präventionsmaßnahmen umfassen zum Beispiel verbindliche Passwort-Standards oder Schwachstellen-Scans der IT und im weiteren Sinne auch die Vorbereitung von Notfallmaßnahmen für einen Cyberangriff. Am weitesten verbreitet (bei 72 Prozent der KMU) sind verbindliche Standards für den Umgang mit Passwörtern. Kritischer sieht es dagegen in Sachen Notfallmanagement aus. So sind die Zuständigkeiten bei einem Cyberangriff lediglich bei 55 Prozent der Unternehmen eindeutig festgelegt.

Nachholbedarf bei der IT-Kompetenz der Mitarbeiter

 

Angriffe, die auf die Schwachstelle „Mensch“ zielen, sind laut Studie in der Praxis für den Angreifer am erfolgversprechendsten. „Im Rahmen der Studie wurden von betroffenen Unternehmen Angriffsmethoden wie Phishing-Mails oder Social Engineering mit Abstand am häufigsten genannt. Denn Mitarbeiter, die E-Mail-Anhänge von Unbekannten öffnen oder auf zweifelhafte Links klicken, können Kriminellen unkontrollierte Zugänge in die IT-Systeme öffnen“, sagt Malte Dittmann der HDI Versicherung AG. Umso überraschender sei das Ergebnis, dass nur knapp die Hälfte (48 Prozent) der befragten Unternehmen mindestens einmal jährlich Mitarbeiterschulungen zur Cybersicherheit einsetzt. Ein Viertel (25 Prozent) der KMU testen ihre IT-Sicherheit durch simulierte E-Mailangriffe.

Nachholbedarf gibt es anscheinend auch in Sachen Notfallmanagement. So zeigt die Studie, dass nur 55 Prozent der KMU Zuständigkeiten im Angriffsfall festgelegt haben. Einen Notfallplan besitzen 49 Prozent der Unternehmen. Notfallübungen werden nur von 34 Prozent der Befragten absolviert. Gefragt wurde, wie bei den anderen Themen auch, ob die Betriebe die Maßnahmen dauerhaft oder nach Bedarf einsetzen.

Risiko-Audits erhöhen die Informationssicherheit

 

Cyberrisiken sind laut der HDI-Studie extrem dynamisch und immer im Einzelfall zu bewerten. „Eine individuelle Beurteilung der Risiken durch ein Cyber-Sicherheitsaudit ist deshalb auch für KMU von zentraler Bedeutung“, so Dittmann. Tatsächlich wünscht sich auch die Hälfte aller Befragten eine externe Bewertung ihrer Cyberrisiken durch ein Audit als Zusatzleistung einer Cyberversicherung. Dadurch werden laut Anbieter mögliche Schwachstellen der IT-Infrastruktur festgestellt und potenzielle Gegenmaßnahmen aufgezeigt.


Weitere Artikel

Listing

23.09.2022 Sparten/Produkte

Getsafe startet mit digitaler Tierkrankenversicherung

Das Insurtech Getsafe weitet sein Produktportfolio aus. Der Leistungsumfang der neuen Tierkrankenversicherung für Hunde und Katzen kann indes nicht voll überzeugen. Wichtiger scheint für das Unternehmen ohnehin der dieses Jahr erfolgte Einstieg in die Personenversicherung und die Expansion ins Ausland.

> weiterlesen
Listing

19.09.2022 Sparten/Produkte

Cyberrisiken: Industrie greift zur Selbsthilfe

Steigende Schadensvolumina machen Cyberversicherungen für die Assekuranz zunehmend uninteressant. Sie erhöhen steig die Preise und ziehen Kapazitäten zurück. Mehrere große Industriekonzerne haben sich jetzt zusammengetan, um das Risiko selbst zu schultern.

> weiterlesen
Listing

14.09.2022 Sparten/Produkte

GDV-Statistik: Cyber­ver­si­che­rer rutschen in die roten Zahlen

Die Schadenzahlungen in der Cyberversicherung sind 2021 massiv auf 137 Millionen gestiegen. Die Einnahmen konnten damit nicht Schritt halten, sodass die Branche erstmals Minus machte. Überraschend ist der Zwischenstand für 2022. Statt eines befürchteten Anstiegs aufgrund des Ukraine-Krieges gab es bisher weniger Schäden.

> weiterlesen