„Verantwortliche sollten ihren Fokus stärker auf Cyberresilienz verlagern“

ITD: Herr Huber, das Risiko von Cyberattacken steigt - und damit die Nachfrage nach Cyberversicherungen. Wie sinnvoll ist eine solche Versicherung für Unternehmen?
Huber: Eine Cyberversicherung ist die Rettungsleine im Katastrophenfall, wenn Dritte ins Netz eingebrochen und Daten und Dienste korrumpiert haben. Die Versicherung hilft betroffenen Firmen, essenzielle erste Rettungsmaßnahmen zu finanzieren: Sie decken die Kosten für Ersatz-Hardware oder die Stundensätze der externen und teuren Sicherheitsexperten. Wofür Firmen die Zahlungen der Versicherungen auf keinen Fall einsetzen sollten: Lösegeldzahlungen. Denn es könnten juristische Folgen drohen. Der Grund: Die USA und Großbritannien haben im Februar 2023 sieben Russen sanktioniert, die in Trickbot involviert sein sollen - einer der profiliertesten Cybercrime-Gruppe weltweit. Mit den Sanktionen gegen sieben führende Mitglieder von Trickbot erhöhen beide Länder nicht nur den Druck auf die Ransomware-Angreifer. In einer Stellungsname wird zudem betont, dass es nun verboten sei, diesen Individuen Ransom zu zahlen – auch in Form von Krypto-Gütern.

Es ist zu erwarten, dass westliche Behörden ihren Druck auf weitere Ransomware-Gruppen ausweiten werden. Von Ransomware betroffene Firmen werden ihre gekaperten Systeme auf mittlere Sicht kaum noch freikaufen können, ohne massive juristische Risiken fürchten zu müssen. Ein Teil der Cyberversicherung, der mögliche Ransomware-Zahlung abdeckt, verliert damit seinen Mehrwert.

ITD: Welchen Schaden kann ein erfolgreicher Cyberangriff auf ein Unternehmen oder eine Behörde verursachen?
Huber: Die Praxis hat leider gezeigt, dass betroffenen Firmen die Insolvenz drohen kann, während Behörden sogar den Katastrophenfall ausrufen mussten. Der Fahrradhersteller Prophete ist nach einem Cyberangriff in die Insolvenz gerutscht. Und der Katastrophenfall nach einem Hackerangriff auf die Landkreisverwaltung Anhalt-Bitterfeld hat deutschlandweit für Schlagzeilen gesorgt. Die Schäden sind existenzbedrohend und die Statistiken aller Sicherheitsbehörden und Security-Anbieter sprechen von Verlusten in Milliardenhöhe. Der Branchenverband Bitkom e.V. gab die Cybercrime-Schäden in Deutschland im Wirtschaftsschutzbericht 2021 mit 223.5 Mrd. Euro jährlich an.

ITD: Welche Risiken sind von einer Cyberversicherung ausgeschlossen?
Huber: Das ist immer abhängig von den jeweiligen Verträgen, die beide Parteien miteinander vereinbaren. Unser Unternehmen hat die Ransomware Warrantees einiger Anbieter untersucht und die allgemeinen Geschäftsbedingungen durchleuchtet. Wenn Geschädigte einen Garantieanspruch geltend machen wollen, sollten sie das Kleingedruckte kennen. Die Garantien der wichtigsten Anbieter decken z.B. keine Schadsoftware ab, die von Dritten durch eine Lücke in der Systemsicherheit in die internen Systeme eingeschleust wurde. Wenn beispielsweise ein Hacker aus dem Ausland einbricht und Malware einschleust, ist dies nicht abgedeckt. Versichert ist auch keinerlei Malware, die von Mitarbeitern durch eine Verletzung der Systemsicherheit in die internen Systeme eingeschleust wird, z.B. durch bestimmte Arten von Phishing.

Meine Sorge ist, dass Organisationen ein falsches Gefühl von Sicherheit vermittelt bekommen, wenn sie diese Garantien unterzeichnen. Die Allgemeinen Geschäftsbedingungen zeigen deutlich, dass diese Garantien nicht nach dem Prinzip „Fire and Forget“ funktionieren. Die Wahrheit ist, dass es für viele Kunden eine große Herausforderung wäre, alle Bedingungen zu erfüllen, um von einer Auszahlung zu profitieren. Wäre ich Anwalt bei einem Kunden, würde ich die Geschäftsbedingungen durchleuchten, bevor ich entscheide, ob diese Garantien meinem Unternehmen echten Schutz bieten.

ITD: Wenn Garantien also nicht helfen, sich gegen Ransomware zu schützen, was dann?
Huber: Bisher fokussieren die meisten CISOs ihre Budgets darauf, hohe Abwehrmauern zu errichten. Einer globalen Cybersicherheitsstudie von Deloitte zufolge werden 80 Prozent ihrer Ressourcen darauf verwendet, nur 20 Prozent fließen in Schadensbegrenzung. Verantwortliche sollten ihren Fokus stärker auf Cyberresilienz verlagern – das ist die Fähigkeit, auch während einer gerade erfolgreich laufenden Attacke die wichtigsten Elemente im Betrieb aufrechtzuerhalten und parallel die Attacke analysieren zu können. Diese Disziplinen sind im Standardregelwerk NIST zu Cybersecurity und den Schritten „Schutz; Erkennen; Reagieren; Wiederherstellen“ zusammengefasst.

Moderne Data Security und Management-Lösungen wie Cohesity können diese Disziplinen abdecken, indem sie regelmäßig Backups aller Produktionsdaten in Snapshots ablegen. Früher betrachteten Firmen solche Backups als ihre Versicherung gegen Verlust, Diebstahl oder Beschädigung von Daten. Cyberangriffe haben diese Sicht für immer geändert, denn Backups sind jetzt die ultimative Versicherungspolice gegen Cyberangriffe, indem sie wichtige Security-Operating-Prozesse und Sicherheitsanalysten bei ihrer Aufgabe unterstützen.

Bildquelle: Cohesity