Ransomware-Versicherung: Vorschreibend und restriktiv

Sichern Sie Ihr Unternehmen noch heute mit CyberHoot!!!

Jetzt anmelden

Versicherer entwickeln strengere und verbindlichere Versicherungspolicen, um die Zahl der Schadensfälle zu reduzieren und sich selbst sowie die versicherten Unternehmen besser zu schützen. In einigen Fällen werden Schadensfälle sogar komplett abgelehnt, weil sie mit Kriegshandlungen in Zusammenhang stehen.

Versicherungen sind kompliziert und für Unternehmen, die sie abschließen, zunehmend unrentabel. Um eine Cyberversicherung, einschließlich Schutz vor Ransomware , zu erhalten , müssen Unternehmen umfangreiche Fragebögen ausfüllen, in denen sie bestätigen, dass die erforderlichen Mindestvorkehrungen für Cybersicherheit getroffen wurden. Versicherer, die mit Ransomware-Ansprüchen überhäuft werden und hohe finanzielle Verluste erleiden, wehren sich zunehmend dagegen, indem sie Unternehmen für ihre Angaben im Fragebogen zur Rechenschaft ziehen und Anträge häufig ablehnen.

Vielleicht sollten sich Unternehmen mehr auf proaktive Präventionsmaßnahmen konzentrieren, anstatt auf eine reaktive Auszahlung der Cyberversicherung zu setzen.

Ransomware-Versicherung

Ransomware-Angriffe lassen sich bekanntermaßen nur schwer mit technischen Mitteln abwehren. Wie bei anderen Katastrophenereignissen haben Versicherer ein Versicherungsprodukt angeboten, das einen Teil der durch einen Ransomware-Angriff entstandenen Schäden abdeckt.

Abhängig von der Ransomware-Police sind Sie möglicherweise gegen Einkommensverluste durch Betriebsunterbrechung, die Kosten für die Wiederherstellung Ihrer Systeme, Daten und Netzwerke und möglicherweise die Kosten für die Zahlung einer Erpressungsforderung (Lösegeld) versichert.

Die genaue Auszahlung und die Bedingungen werden in Ihrem Versicherungsdokument festgelegt. Dieses Dokument beschreibt Angriffsszenarien, die vom Versicherungsschutz ausgeschlossen sind (Kriegshandlungen), sowie die erforderlichen Mindestsicherheitsmaßnahmen (Offline-Backups, Sicherheitsschulungen), die für eine erfolgreiche Schadensmeldung notwendig sind.

Richtlinienbeschränkungen und -vorschriften

Aus Sicht von CyberHoot sollten Sie die Einschränkungen (oder Ausschlüsse) Ihrer Versicherungspolice nicht als Schlupflöcher betrachten. Sehen Sie sie vielmehr als bewährte Vorgehensweisen oder grundlegende Cybersicherheitsmaßnahmen, die Sie befolgen sollten, um a) einen Ransomware-Angriff zu vermeiden und b) sicherzustellen, dass Sie im Falle eines Angriffs trotz Einhaltung aller in der Cyberversicherungspolice genannten Maßnahmen weiterhin Versicherungsschutz haben.

Mindestanforderungen für die Cybersicherheit

Beispielsweise kann Ihre Versicherungspolice die Implementierung einer Backup-Strategie für all Ihre Daten vorschreiben ( für optimale Ergebnisse empfiehlt sich die 3-2-1-Backup-Strategie von CyberHoot ). Möglicherweise müssen Sie auch die Administratorrechte der Windows-Computer Ihrer Endbenutzer entfernen. Darüber hinaus kann Ihre Police Schulungen zur Sensibilisierung der Endbenutzer für Phishing- und Social-Engineering- Angriffe vorschreiben. Viele Versicherungspolicen enthalten noch weitere Vorgaben; lesen Sie das Kleingedruckte, um alle Details zu erfahren, und ziehen Sie die Beauftragung eines Cybersicherheitsexperten, beispielsweise eines virtuellen CISO, in Betracht, um ein umfassendes Cybersicherheitsprogramm aufzubauen.

Dies alles sind angemessene und grundlegende Präventionsmaßnahmen, die in jedem grundlegenden Cybersicherheitsprogramm erforderlich sind und sowohl von der Cyber-Versicherung vorgeschrieben werden, als auch den Versicherern die Möglichkeit eröffnen, Ansprüche zu bezahlen, wenn Sie behaupten, diese Maßnahmen zu ergreifen, dies aber in Wirklichkeit nicht tun.

Versicherungsmeldeklausel

Ebenso finden Sie in Ihrem Vertrag wahrscheinlich eine Benachrichtigungsklausel, die Sie verpflichtet, Ihren Versicherer innerhalb einer bestimmten Frist über den Angriff zu informieren. Stellen Sie sicher, dass Ihr Incident-Response-Prozess (ebenfalls Bestandteil der meisten vCISO-Dienste) dokumentiert ist und eine Bestimmung zur Benachrichtigung der Versicherung enthält.

Kriegsbedingte Ausnahme

Ein weiterer häufiger Ausschluss betrifft Kriegsschäden. Versicherer behalten sich das Recht vor, die Zahlung eines Schadens zu verweigern, wenn dieser durch Krieg oder kriegsähnliche Handlungen verursacht wurde. Angesichts der aktuellen Weltlage versuchen Versicherer, sich mithilfe der Ausnahmeregelung für Kriegsschäden vor bestimmten Angriffen zu schützen.

Wenn ein Nationalstaat einen anderen angreift, kann Cyberkrieg auch außerhalb des üblichen Kriegsgeschehens Schaden anrichten. Cyberkrieg kann wahllos geführt werden; die Betroffenen sind nicht zwangsläufig staatliche Organisationen, sondern können auch Unternehmen sein, die zwischen die Fronten geraten.

Versicherer haben triftige Gründe, dieses massive Risiko auszuschließen. Es gibt jedoch einige Probleme. Zunächst stellt sich die Frage, was ein Krieg ist: Wann gilt ein Angriffsakt als kriegsbezogene Handlung? Eine weitere Schwierigkeit ist die Zuordnung, da Cyber-Angreifer in der Regel versuchen, sich bestmöglich zu tarnen. Es ist selten, dass ein Angreifer seine Beteiligung an einem Angriff offen erklärt.

Wenn ein Unternehmen Opfer eines Ransomware-Angriffs wird, wie kann der Versicherer oder der Kläger beweisen, dass ein bestimmtes Unternehmen hinter dem Angriff steckt und was die Motivation dafür war? Handfeste Beweise für die Zuschreibung sind in den meisten Fällen nahezu unmöglich. In solchen Fällen wenden sich Kläger und Versicherer an das Gericht, um eine Entscheidung zu treffen.

Die Gerichte müssen manchmal über Ansprüche entscheiden

Ansprüche aus der Ransomware-Versicherung reichen von einem Bitcoin-Lösegeld bis hin zu Millionenforderungen. Diese Kosten beinhalten keine Reputationsschäden, Ausfallzeiten, Bußgelder oder Anwaltskosten. Versicherungsunternehmen werden Sie für die Einhaltung der Vorschriften und Einschränkungen bei Ansprüchen, ob Ransomware-Angriffe oder andere Schäden, zur Rechenschaft ziehen. Sollten sie feststellen, dass Ihr Unternehmen Ihre Zusagen nicht eingehalten hat, werden sie Ihren Anspruch wahrscheinlich ablehnen. Deshalb werden so viele Ansprüche vor Gericht angefochten. Hier können sich Verfahren Monate oder sogar Jahre hinziehen und alle Beteiligten noch mehr Geld kosten.

Was bedeutet das für Ihr KMU oder Ihren MSP?

Das bedeutet, dass Sie sich nicht primär auf eine Cyberversicherung (oder Ransomware-Versicherung) verlassen sollten . Eine Cybersicherheitsversicherung spielt zwar durchaus eine Rolle, sollte aber – abhängig von den Prämien und dem Deckungsumfang – als letzte Verteidigungslinie betrachtet werden. CyberHoot empfiehlt daher dringend, Ihre internen Sicherheitsmaßnahmen zum Schutz Ihrer IT-Systeme zu verstärken. Dies bleibt Ihre erste und beste Verteidigungslinie.

Jede Cyberversicherung hat Mindestanforderungen, die Sie erfüllen müssen, damit die Versicherung greift. Wie bereits erwähnt, gehören dazu beispielsweise Schulungen zur Sensibilisierung für IT-Sicherheit , zuverlässige Datensicherungen (3-2-1) , regelmäßige Systemaktualisierungen und vieles mehr. Die folgenden Mindestmaßnahmen helfen Ihrem Unternehmen, Sicherheitslücken zu vermeiden und Ihre Chancen auf Versicherungsschutz im Schadensfall zu verbessern.

Um noch mehr darüber zu erfahren, was eine Cyberversicherung bietet, was sie abdeckt und was Sie tun müssen, besuchen Sie bitte auch unsere Artikel: Cyberversicherung Teil 1: Warum sie notwendig ist und Cyberversicherung Teil 2: Was Sie wissen müssen.

Die Botschaft von CyberHoot lautet: Bereiten Sie Ihr Unternehmen vor, indem Sie ein proaktives Cybersicherheitsprogramm entwickeln, einen erfahrenen Branchenexperten (vCISO) einsetzen und in Ihre technischen und administrativen Kontrollmechanismen investieren, um einen Sicherheitsverstoß zu verhindern. Ihre Cyber-Versicherung erfordert diese Maßnahmen ohnehin. Sie helfen Ihnen, ein Ereignis proaktiv zu verhindern und im Katastrophenfall (es sei denn, es handelt sich nachweislich um einen Kriegsakt) mit einer Versicherungsleistung zu reagieren.

CyberHoots Mindestempfehlungen zur Cybersicherheit

Die folgenden Empfehlungen helfen Ihnen und Ihrem Unternehmen, sich vor den vielfältigen Bedrohungen des täglichen Lebens zu schützen. Alle unten aufgeführten Vorschläge erhalten Sie durch die Inanspruchnahme der vCISO-Programmentwicklungsdienste von CyberHoot.

1. Kontrollieren Sie Ihre Mitarbeiter mit Richtlinien und Verfahren. Sie benötigen mindestens eine Kennwortrichtlinie, eine Richtlinie zur akzeptablen Nutzung, eine Richtlinie zum Umgang mit Informationen und ein schriftliches Informationssicherheitsprogramm (WISP).
2. Schulen Sie Ihre Mitarbeiter darin, wie sie Phishing-Attacken. Führen Sie ein Lernmanagementsystem wie CyberHoot ein, um Ihren Mitarbeitern die Fähigkeiten beizubringen, die sie benötigen, um selbstbewusster, produktiver und sicherer zu sein.
3. Testen Sie Ihre Mitarbeiter mit Phishing-Angriffen. Mit den Phishing-Tests von CyberHoot können Unternehmen ihre Mitarbeiter mit glaubwürdigen Phishing-Angriffen testen und diejenigen, die scheitern, einem Phishing-Training unterziehen.
4. Einsatz kritischer Cybersicherheitstechnologie, einschließlich Zwei-Faktor-Authentifizierung auf allen kritischen Konten. Aktivieren Sie E-Mail-SPAM-Filter, validieren Sie Backups und implementieren Sie DNS-Schutz. Antivirusund Anti-Malware auf allen Ihren Endpunkten.
5. Stellen Sie im modernen Zeitalter der Heimarbeit sicher, dass Sie die Verbindung zu Ihrem Netzwerk herstellende private Geräte verwalten, indem Sie deren Sicherheit (Patches, Virenschutz, DNS-Schutz) validieren oder ihre Verwendung vollständig verbieten.
6. Wenn Sie in den letzten zwei Jahren keine Risikobewertung durch Dritte durchführen ließen, sollten Sie jetzt eine durchführen lassen. Die Etablierung eines Risikomanagement-Rahmens in Ihrem Unternehmen ist entscheidend, um Ihre größten Risiken mit der begrenzten Zeit und dem begrenzten Geld zu bewältigen.
7. Schließen Sie eine Cyber-Versicherung ab, um sich im Ernstfall abzusichern. Eine Cyber-Versicherung unterscheidet sich nicht von einer Auto-, Feuer-, Hochwasser- oder Lebensversicherung. Sie ist für Sie da, wenn Sie sie am meisten brauchen.

Alle diese Empfehlungen, mit Ausnahme der Cyberversicherung, sind in die Produkte und virtuellen CISO-Services von CyberHoot integriert. Mit CyberHoot können Sie Ihre Mitarbeiter führen, schulen, beurteilen und testen. Besuchen Sie CyberHoot.com und registrieren Sie sich noch heute für unsere Services. Bleiben Sie zumindest durch die Anmeldung zu unseren monatlichen Cybersicherheits-Newslettern stets über die neuesten Entwicklungen informiert.

Um mehr über Cyber-Versicherungen zu erfahren, sehen Sie sich dieses kurze 5-minütige Video an:

Quelle: 

DieHackerNews

Weitere Leseempfehlungen: 

Cyber-Versicherung: Warum sie notwendig ist – Teil 1

Cyber-Versicherung: Was Sie wissen müssen – Teil 2