„Das eine, perfekte Cyber-Versicherungsprodukt gibt es nicht“

Es gibt kaum eine Woche, die ohne Schlagzeilen im Cyberbereich auskommt. Wie wirken solche Schlagzeilen in der Praxis? Steigern sie die Nachfrage oder sorgt das eher für Abstumpfung und Desinteresse?

Die allgegenwärtige Berichterstattung zu der Cyber-Gefahrenlage hält das Thema im Fokus der Öffentlichkeit, insbesondere auch bei den Entscheidern in der Wirtschaft.

Jörg Wälder, CEO der Cogitanda GroupDie „Einschläge kommen stetig näher“, so wird das Thema zu recht aufgenommen. Die Frage steht im Raum: Was bedeutet das für mein Unternehmen, was bedeutet das für meine private Situation? Die Antwort hierauf kann nur heißen, dass man sich mit dem Risiko beschäftigen muss. Man muss die eigene Risikosituation einzuschätzen lernen, sie positiv beeinflussen können, einen Partner finden, der einem im Ernstfall den wirtschaftlichen Schaden abnimmt.

Die regelmäßige Erinnerung an das Thema durch die Medien sorgt für einen stetigen Anstieg der Nachfrage nach Cyber-Präventions- und Versicherungsdienstleistungen. Das ist gut für uns als Anbieter und gut für die, die diese Dienstleistungen nachfragen. Nichts zu unternehmen in Sachen Cyber-Risiken, ist heute keine Option mehr.


Der Acronis Cyber Threats Report 2020 kam zu der Einschätzung, dass 2021 das ‚Jahr der Erpressung‘ wird. Und wie zum Beweis wurde der Axa-Konzern angegriffen und erpresst, nachdem er verkündete, keine Erpressungszahlungen mehr im Rahmen der Cyberdeckung zu leisten. Haben Sie Verständnis für die Entscheidung der Axa? Welches Ausmaß haben solche Ransomware-Angriffe?

Das Jahr 2021 ist das Jahr der Cyber-Erpressung, diese Prognose aus 2020 hat sich ohne Zweifel erfüllt.

Die Entscheidung der Axa, nicht mehr auf erpresserische Forderungen nach Ransomware-Attacken einzugehen, was sich nach unserer Kenntnis allerdings nur auf ihren Heimatmarkt Frankreich bezieht, finden wir interessant. Die Diskussion über das Thema sollte in der Branche geführt werden, idealerweise unter Einbezug der Wirtschaft und der Politik.

Es wäre allerdings blauäugig anzunehmen, dass die Gefahr durch Ransom-Angriffe damit vom Tisch zu bekommen wäre. Ein weiteres Ausufern lässt sich durch eine solche Maßnahme vermutlich aber eindämmen, weil sie die Wahrscheinlichkeit der Zahlung von Erpressungsgeldern reduziert.

Eine Eindämmung des Schadenvolumens durch Ransomware-Angriffe ist ein wichtiges Ziel, da Ransom-Angriffe inzwischen für deutlich über die Hälfte aller Schadenaufwände in der Cyber-Versicherung stehen dürften.

Auch in Deutschland gab es solche Erpressungsfälle. Der Landkreis Bitterfeld hat nach einem Angriff auf die öffentliche Verwaltung sogar den Katastrophenfall ausgerufen. Unterschätzen gerade Behörden die Gefahr?

Dass Behörden die Gefahr unterschätzen, würde ich nicht sagen wollen. Es liegt vielmehr in der Natur der Sache, dass Behörden sich in Sachen IT-Sicherheit schwerer tun.

Die Aufgabenstellungen von Behörden sind vielschichtig, die Systemlandschaften einzelner Bereiche heterogen, Budgets sind knapp und können kurzfristig im akuten Bedarfsfall kaum reallokiert werden, IT-Spezialisten fehlen häufig, die Entscheidungswege sind im Vergleich zu klassischen Unternehmen eher länger.

Die negativen Wirkungen erfolgreicher Angriffe auf Behörden können für das Gemeinwesen enorm sein, hier sollten die Prioritäten sowohl in puncto Budgets und Umsetzungszeitschienen dringend neu gedacht werden.

Wie schätzen Sie die aktuelle Marktsituation in Deutschland ein? Haben Firmen den Absicherungsbedarf erkannt beziehungsweise wo sehen Sie noch Lücken?

Wir denken schon, dass sich die Entscheider in den Unternehmen vom Grundsatz her bewusst sind, dass es hier Absicherungsbedarf gibt.

Das Thema ist technisch sehr anspruchsvoll, mit Blick auf die klassische Ausbildung von Unternehmenslenkern eher neu, es ist im Alltag zunächst einmal kaum sichtbar, aber wenn es sich bemerkbar macht, dann schlägt das Unheil häufig gleich mit voller Wucht zu.

Man kann vielleicht eine Analogie zum Umgang mit dem Thema Atomkraft herstellen. Keine Sorge, das wird jetzt keine politische Ausführung. Die Analogie liegt darin, dass man Radioaktivität nicht sehen, schmecken, riechen kann, das Risiko von Kernreaktoren für den Nicht-Spezialisten nicht einschätzbar ist. Man weiß, da liegt ein gewisses Risiko, aber da man das Thema nicht versteht, wird es gerne verdrängt. Ähnlich verhält es sich mit dem Thema der Cyber-Risiken.

Wir beobachten jetzt aber doch eine deutliche Zunahme der Bereitschaft bei den Verantwortlichen in Unternehmen, sich dem Thema zu stellen. Um sie beim Verstehen, positiven Beeinflussen und dem Transfer der wirtschaftlichen Risiken aus Cyber-Risiken und Vorfällen zu unterstützen, dafür gibt es die COGITANDA. Wir machen nichts anderes, kennen uns in der Materie also sehr gut aus.

Insgesamt lässt sich beobachten, dass in der recht jungen Sparte Cyberschutz nun die Schäden eintreten. Wie ist Ihre Einschätzung? Werden die Prämien teurer?

Die Prämien steigen, teilweise sogar deutlich. Wie Sie richtig sagen, ist die Schadenlast spürbar angestiegen. Das führt unausweichlich zu höheren Prämien. Haupttreiber hierbei sind die eben schon erwähnten Ransom-Schadenfälle.

Es gibt aber nicht nur das Phänomen der steigenden Prämien. Daneben steht die Frage, ob einzelne Unternehmen überhaupt noch Versicherungsschutz bekommen können, wenn ihre IT-Systeme nicht in der erforderlichen Form abgesichert sind. Die Frage von Cyber-Risiko-Prävention wird eines der wichtigsten Themen in den nächsten Jahren werden.