Erfolgreiche digitale Angriffe müssen nicht technischer Natur sein. Unternehmen nehmen dabei meist fälschlicherweise an, sie wären auch gegen moderne Betrugsformen abgesichert – ein Trugschluss. © Freepik/poppet07
Nikolaus Kittinger, Head of Specialty Sales bei Aon Austria, über Cyberversicherungen und Vertrauensschadenversicherungen.
Was passiert, wenn der digitale Angriff nicht im Serverraum beginnt, sondern im Posteingang der Geschäftsführung? Moderne Täter nutzen glaubwürdige Szenarien, um Zahlungen umzulenken, ganz ohne technischen Vorfall. Die größte Schwachstelle liegt dann oft außerhalb der IT.
In vielen Unternehmen gilt noch immer das Bild vom klassischen Cyberangriff. Verschlüsselte Server, blockierte Produktion und ein Erpressermail. Auf dieser Vorstellung basieren auch zahlreiche Cyberversicherungen. Sie stellen auf ein klar technisches Ereignis ab, meist auf eine Verletzung der Informationssicherheit, und bilden diese Szenarien in der Regel sehr ordentlich ab. Die Realität entwickelt sich jedoch weiter. Zusätzlich zu den technischen Vorfällen entsteht ein erheblicher Teil der Schäden heute ganz ohne vorherigen Systemzugriff. Angreifer setzen direkt beim Menschen an. Täuschend echte Mails, saubere Sprache, stimmige Absender und ein geschickt aufgebauter Zeitdruck reichen aus, um interne Kontrollen zu unterlaufen. Wird eine Zahlung auf ein betrügerisches Konto freigegeben oder eine Transaktion lediglich scheinbar im Sinn der Geschäftsleitung autorisiert, fehlt häufig genau jenes technische Ereignis, das viele Cyberversicherungen voraussetzen. Aus Sicht der Polizze liegt dann kein gedeckter Cyberfall vor. Aus Sicht des Unternehmens ist es aber ein sehr realer Vermögensschaden, der unmittelbar in der Bilanz spürbar wird.
Warum es zwei Säulen braucht
Der Anstieg solcher Fälle lässt sich recht einfach mit den Entwicklungen und der Verfügbarkeit von KI-Modellen begründen. Früher mussten Täter sich oft mühsam in Systeme vorkämpfen, Kommunikationsabläufe beobachten und den optimalen Moment für eine Attacke abpassen. Heute genügen frei verfügbare Tools, um in perfekter Sprache glaubwürdige Social-Engineering-Angriffe in Serie zu produzieren. Besonders hilfreich – aus Sicht der Angreifer – ist dann noch eine ausgiebige LinkedIn-Präsenz der Geschäftsleitung: So bekommt man einen perfekten Überblick über die Verantwortlichkeiten, den Schreibstil und aktuelle Projekte.
Doch wie sichert man sich dagegen ab? Einige Cyberversicherungen enthalten zwar Bausteine für Betrugsszenarien, die dort vorgesehenen Summen sind jedoch oft begrenzt und der Selbstbehalt vergleichsweise hoch. Dazu steht die Versicherungssumme in der Regel sowohl für den eigentlichen Cyberangriff als auch für den Betrug nur einmal zur Verfügung. Treffen in einem Geschäftsjahr ein technischer Vorfall und ein unabhängiger Betrugsfall zusammen, ist der finanzielle Puffer schnell ausgeschöpft.
Eine eigenständige Vertrauensschadenversicherung setzt deshalb an anderer Stelle an. Sie stellt nicht auf eine Verletzung der IT-Sicherheit ab, sondern auf strafbare Handlungen zum Nachteil des Vermögens des Versicherungsnehmers. Damit lassen sich deutlich mehr Szenarien erfassen, inklusive Handlungen von Repräsentanten (Geschäftsführung, IT-Leiter etc.), die in Cyberdeckungen grundsätzlich ausgeschlossen wären.
Für Unternehmen ist ein zweisäuliger Ansatz daher unverzichtbar. Die Cyberversicherung deckt technische Vorfälle ab, die Vertrauensschadenversicherung schützt das Unternehmen vor modernen Betrugsformen, die ganz ohne IT-Ereignis entstehen. Erst das Zusammenspiel zweier eigenständiger Polizzen mit klaren Bedingungen, eigenen Versicherungssummen und getrennten Selbstbehalten schafft ein robustes und zeitgemäßes Sicherheitskonzept, das der heutigen Risikolandschaft wirklich gerecht wird. (NK)
Der Autor Nikolaus Kittinger ist Head of Specialty Sales bei Aon Austria. Nähere Informationen finden Sie unter www.aon-austria.at.