Es hilft das beste IT-Sicherheitssystem nichts, wenn der Mitarbeiter oder auch Chef die falsche E-Mail öffnet und damit Hackern die digitale Tür ins Unternehmen öffnet. Knapp die Hälfte der deutschen Unternehmen ist in den vergangenen zwölf Monaten Opfer eines Cyberangriffs geworden. Je höher der Grad der Digitalisierung im Unternehmen, desto größer die Cybergefahr.
Ein Kommentar von Miriam Marx, Head of Financial Lines bei MRH Trowe, Rechtsanwältin, im Rahmen der Euroforum Jahrestagung: Cyber-Insurance 2022.
Und dass die Digitalisierung unsere Zukunft bestimmt, ist allen klar. Es ist also nicht verwunderlich, dass deutsche Unternehmen kaum etwas so sehr fürchten, wie einen Cyberangriff. Das bestätigt das Risk-Barometer von Deutschlands führendem Versicherer Allianz. Nur Betriebsunterbrechungen bereiten mehr Sorgen. Dennoch scheint die deutsche Wirtschaft kaum etwas gegen die Gefahr aus dem Netz zu unternehmen.
Studien bestätigen, dass rund jedes zweite Unternehmen in Deutschland notwendige Maßnahmen zur Cybersicherheit nicht ausreichend umsetzt. Dabei besteht eine gesetzliche Pflicht der Geschäftsleitung zu einer Sicherstellung der Cybersicherheit im Zuge der Unternehmenskontrolle und Compliance.
§§ 93 AktG, 43 GmbHG etwa inkludieren die Sorgfaltspflicht zur Sicherstellung der Cybersicherheit in den Haftungsnormen für Vorstände und Geschäftsführer; heißt, bei einem Verstoß können sie haftbar gemacht werden.
Das Management eines Unternehmens muss sich also zwingend dem Thema Cybersicherheit annehmen. Die Verantwortung für die digitale Sicherheit eines Unternehmens liegt bei der Geschäftsleitung. Auch wenn die Maßnahmen operativ an die IT-Abteilung delegiert werden können, ist das Management verpflichtet, etwaige Maßnahmen zur Risikosteuerung und -minimierung zu treffen und auch zu überwachen. Diese beginnen bei der Situationsanalyse: Wie ist die Qualifikation der Mitarbeiter, an die Aufgaben und Verantwortungen in diesem Bereich delegiert werden? Wie wird die andauernde Beobachtung der getroffenen Maßnahmen und des Bedrohungsumfeldes generell durchgeführt? Die Ergebnisse dieser Analyse sollten im nächsten Schritt zu konkreten Handlungen führen. Die Situationsanalyse ist kein einmaliger Schritt. Wie bei jedem Software-Update auf dem Mobiltelefon oder Notebook ist auch hier eine regelmäßige Evaluation und Anpassung der Maßnahmen nötig. Denn nichts ändert sich schneller als der digitale Wandel.
Sechs Punkte sind bei der Risikosteuerung von Cyberangriffen wichtig
- 1. Festschreibung von Verantwortlichkeiten, Weisungs- und Kontrollstrukturen, Berichtspflichten innerhalb des Unternehmens und der Abteilungen
- 2. Gewährung entsprechender Befugnisse innerhalb der Geschäftsleitung
- 3. Mapping der IT- Infrastruktur innerhalb des Unternehmens
- 4. Notfallplan: Was ist von wem im Notfall zu tun?
- 5. Je nach Unternehmensgröße Verpflichtung eines permanenten CIO 6. Regelmäßige Schulungen für die Mitarbeitenden
Vor allem der letzte Punkt ist entscheidend. Die Schulung der Mitarbeitenden – und hier sind alle inbegriffen. Der Mensch ist in der IT-Sicherheitskette nach wie vor das schwächste Glied. Aber selbst bei der besten Risikoanalyse und eines ausgefeilten Cyberkonzepts kann eine absolute Sicherheit nie gegeben sein, denn es ist allzu oft menschliches Versagen und einfach nur Unbedarftheit wie ein schneller Klick auf den falschen Button, der ein System folgenschwer schädigt.
Der Sosafe Awareness Report 2022 zeigt, dass Awareness-Schulungen das Risiko von Cyberangriffen im Unternehmen um 90 Prozent reduzieren können. Zusätzlichen Schutz bietet der Abschluss einer Cyberversicherung. Hierin sind häufig sogar Kosten für Präventivmaßnahmen wie Awareness-Schulungen abgedeckt. Darüber hinaus neben der finanziellen Schadenregulierung auch Kosten für die Schadenforensik nach einem Cyberangriff.
Vor allem mit Blick auf die Compliance-Richtlinien im Unternehmen ist es essenziell, sich mit dem Thema Cybersicherheit, Cyberangriffen, Risikominimierung und entsprechenden Maßnahmen und Versicherungslösungen auseinanderzusetzen. In privaten Hausrat- und Haftpflichtversicherungen gehören Cyberrisiken seit einiger Zeit zum Standardprogramm. Warum tun sich Unternehmen damit so schwer?
Die Gefahr aus dem Netz ist allgegenwärtig und wer hier leichtfertig mit umgeht, riskiert nicht nur hohe Schäden für Unternehmen, sondern sieht sich auch persönliche Haftungsrisiken ausgesetzt. Allerdings schützt keine Versicherung vor dem Schaden und dem Ärger, den ein Cyberangriff im Unternehmen anrichtet. Allein deshalb sind regelmäßige, verpflichtende Schulungen für alle Mitarbeiter auf allen Ebenen die beste Prävention.
Themen:
LESEN SIE AUCH
HDI Global unterstützt NIS-2-Richtlinie mit eigenen Services
HDI Global bietet den exklusiven Zugang zu den Dienstleistungen, die sicherheitskritische Bereiche abdecken, wie zum Beispiel Business Continuity, Kryptographie, Authentifizierung, Vorfallmanagement und Notfallkommunikation.
Verhaltensregeln beachten sichert Ansprüche im Schadensfall
Eine Cyberversicherung schützt im Falle eines Hackerangriffs umfassend vor Eigen- und Fremdschäden und einer Betriebsunterbrechung aufgrund von Cyberschäden. Sie ist ein Muss für jede gewerbliche Beratung. Worauf Vermittler während der Beratung besonders hinweisen sollten.
“Der Versicherungsmarkt bröckelt: Pflicht-Cyberversicherungen als Rettungsanker für Unternehmen?“
Trotz regelmäßiger Warnungen ergreifen viele Unternehmen nicht die notwendigen Maßnahmen, um ihre IT-Infrastruktur effektiv abzusichern. Die Passivität führt zu immensen wirtschaftlichen Schäden und bringt auch den Versicherungsmarkt ins Wanken. Ziehen sich Versicherer aus dem Segment zurück, entsteht eine fatale Entwicklung für die Unternehmen und den Markt.
DORA-Compliance mit KI-basierter Software sicherstellen
„Fabasoft DORA“ unterstützt Finanzunternehmen dabei, die Anforderungen des Digital Operational Resilience Act (DORA) der EU mit einem digitalen Auslagerungsmanagements zu erfüllen.
Deutscher Mittelstand zwei Monate vor NIS-2-Start unvorbereitet
Kurz vor Inkrafttreten der NIS-2-Richtlinie zur Cybersicherheit am 17.10.2024 ist das Thema bei vielen Unternehmen nicht in der Chefetage angekommen. Aktuellen Zahlen der Bundesregierung zufolge sind in Deutschland rund 29.500 Unternehmen von der neuen EU-Richtlinie betroffen. Finanzchef24 geht von bis zu 40.000 betroffenen Unternehmen aus.
Descartes startet mit parametrischer Cyberversicherung
Descartes Underwriting aus Paris bringt in Kooperation mit seiner Tochtergesellschaft Descartes Insurance eine parametrische Lösung zur Absicherung von Cyberrisiken auf den deutschen Markt. Die Cyberlösung richtet sich an Unternehmen mit einem Umsatz zwischen 50 Mio. Euro und 1,5 Mrd. Euro.