Das geplante Kassengesetz: Haftung trotz Zertifikat?

Wer mit Kassen-EDV bzw. Registrierkassen zu tun hat, muss sich auf neue Herausforderungen einstellen. Und auch sonst kann man hier etwas lernen, und zwar: Wenn eine Software oder ein System für einen haftungskritischen Bereich gedacht ist, verringert selbst ein Zertifikat das eigene Haftungsrisiko nicht unbedingt.

Doch der Reihe nach …

Kassensysteme bald nur noch mit BSI-Zertifikat?

Das Bundesfinanzministerium möchte durch neue gesetzliche Vorschriften verhindern, dass in Bargeld-Branchen wie der Gastronomie manipulierte Kassensysteme den Staat um Steuereinnahmen bringen. Es will deshalb verschiedene Dinge ändern:

  • Steuerprüfer sollen jederzeit eine „Kassen-Nachschau” durchführen können, und der Einsatz fehlerhafter Kassensysteme oder fehlende Kassendaten können bis zu 25.000 Euro Bußgeld kosten.
  • Außerdem sollen Kassensysteme manipulationssicher sein und alle relevanten Kassen- und Transaktionsdaten für Berechtigte – wie den Prüfer vom Finanzamt – digital abfragbar machen. Eine „technische Sicherheitseinrichtung” wird Pflicht, bestehend aus einem Sicherheitsmodul, einem Speicher für Kassendaten und einer digitalen Schnittstelle. Und das Ganze muss ein BSI-Zertifikat besitzen.

So steht es im Entwurf zum geplanten „Kassengesetz“. Leider bringt das den Betreibern und Einrichtern von Kassensystemen wohl kaum mehr Rechtssicherheit. Im Gegenteil, es erscheint schwer umsetzbar.

Zertifikat gleich ordnungsgemäß? Von wegen.

Diese Kritik an dem Projekt formuliert ein interessanter Kommentar zu dem Gesetzentwurf von Gerhard Schmidt, Diplom-Informatiker und Chefredakteur beim Forum Elektronische Steuerprüfung.

Schmidt wundert sich über die geplante Einführung vorgeschriebener Positiv-Zertifikate. Ein kurzer Seitenblick auf Buchhaltungssoftware zeigt, warum. Bislang hat die Finanzverwaltung es nämlich rundheraus abgelehnt, für Buchführungssoftware eine belastbare Positiv-Zertifizierung auszustellen, etwa in Form einer so genannten verbindlichen Auskunft. Eine solche Zertifizierung würde dem Betreiber des Programms bescheinigen, dass sein System ordnungsgemäß arbeitet, und ihn damit im Effekt von der Haftung freistellen, wenn es dann doch zu Beanstandungen kommt. Diesen Schutz will das Finanzamt aber nicht gewähren.

Statt solcher Positiv-Zertifikate der Finanzverwaltung gibt es bisher nur „Negativ-Negativ-Zertifikate” der Hersteller von Buchhaltungssoftware: So nennt Schmidt Bescheinigungen der Software-Anbieter, dass mit ihrem Programm etwa GoBD-konform gearbeitet werden kann – was aber nicht ausschließt, dass auch missbräuchliche Anwendungsweisen möglich sind. Es liegt auf der Hand, dass solche Dokumente im Zweifelsfall das Unternehmen kaum vor Ordnungswidrigkeitsverfahren und die Verantwortlichen nicht vor der persönlichen Haftung schützen (Motto: „Sie haben nicht für eine ordnungsgemäße Buchführung in Ihrem Unternehmen gesorgt, Sie haften!”).

Zurück zu den Kassensystemen: Ein BSI-Zertifikat macht bei ihnen nur Sinn, wenn es sich um ein Positiv-Zertifikat handelt, demzufolge das zertifizierte System gar nicht missbräuchlich benutzt werden kann. Diese Prüfung wäre aber praktisch kaum machbar, zumal dann nicht nur ein bestimmtes Produkt, sondern auch jede einzelne Installation überprüft oder geeicht werden müsste. Und ob das BSI für von ihm begutachtete Systeme die volle Haftung übernehmen würde? Daran meldet Schmidt Zweifel an – mit Recht.

Die Haftung wird da bleiben, wo sie jetzt schon ist … bei Ihnen

Im Endeffekt wird bei digitalen Kassensystemen zumindest aus Sicht der Haftungsfrage wohl alles so bleiben, wie es ist: Dafür, dass die Kassen ordnungsgemäß betrieben werden, haftet das Unternehmen und im Durchgriff auch dessen Organe, sprich Geschäftsführer oder Vorstände. Dafür, dass die Kassen ordnungsgemäß funktionieren und nicht beispielsweise von außen manipuliert werden, haftet aber natürlich auch derjenige, der die Systeme herstellt, plant, liefert und /oder einrichtet – und im Zweifel auch dessen Führungspersonal.

Deshalb bleibt Absicherung der Haftung weiterhin zentral. Vor Schadenersatzforderungen und Haftung schützen Elektronik- und Maschinenversicherungen, Cyber-Policen, D&O-Versicherungen (Managerhaftpflicht) sowie persönliche und betriebliche Rechtsschutzversicherungen.

Welche dieser Elemente in welcher Form für Ihren Fall relevant sind und auf welche Sie verzichten können, erfahren Sie vom Versicherungsmakler Ihres Vertrauens. Zum Beispiel von uns – rufen Sie uns an unter 30 863 926 990.

IT-Sicherheitsgesetz: Die neue Kritis-Verordnung

Erst das IT-Sicherheitsgesetz, jetzt erste Kritis-Details

Als im letzten Juli das IT-Sicherheitsgesetz in Kraft trat, blieben entscheidende Fragen offen. Das Gesetz gibt nur einen Rahmen an zusätzlichen IT-Sicherheitspflichten für Betreiber Kritischer Infrastrukturen (Kritis) vor. Diese sind unter anderem dazu verpflichtet, Cyber-Angriffe zu melden und ein IT-Sicherheitsmanagementsystem einzuführen. Unklar war bislang jedoch nicht nur, wie die Mindestsicherheitsstandards im Einzelnen aussehen sollten, sondern auch, wer eigentlich als Kritis-Anlagenbetreiber gilt.

Dazu werden nach und nach in Form von Verordnungen erlassen. Die erste davon ist jetzt da, die „Verordnung zur Bestimmung Kritischer Infrastrukturen nach dem BSI-Gesetz“ (BSI-KritisV). Sie regelt zunächst für die Sektoren Energie, Informationstechnik und Telekommunikation, Wasser sowie Ernährung, welche Dienstleistungen, Anlagen und Versorgungsgrade als kritisch eingestuft werden. Die noch fehlenden Sektoren aus dem Gesetz – Sektoren Transport und Verkehr,
Gesundheit und Finanz- und Versicherungswesen – werden dann in einer zweiten Verordnung geregelt werden.

730 Anlagen betroffen

Dem Bundesinnenministerium zufolge sind deutschlandweit 730 Anlagen aus den genannten vier Sektoren betroffen. Deren Betreiber müssen nun aktiv werden: Wenn die Verordnung in Kürze im Bundesgesetzblatt verkündet wird, beginnen wichtige Fristen zu laufen: Zwei Jahre später müssen die vom Gesetz geforderten Informationssicherheitsmanagementsysteme (ISMS) zum Schutz der jeweiligen kritischen Infrastruktur installiert sein. Und schon innerhalb von sechs Monaten muss eine Kontaktstelle zum BSI eingerichtet sein.

Allerdings sind nur Anbieter ab einer gewissen Bedeutung direkt im Visier der Verordnung. Eine dezentrale Energieerzeugungsanlage etwa gilt erst dann als Kritis-Infrastruktur, wenn sie 420 MW Nennleistung erzeugt. Ein Wasserwerk muss ein Aufkommen von 22 Mio. Kubikmeter pro Jahr haben, um betroffen zu sein, ein Lebensmittelhändler fast eine halbe Million Tonnen Ware verkaufen. Salopper ausgedrückt: die Fotovoltaik-Anlage auf dem Dach des Gewerbebaus, der Trinkwasserbrunnen im Garten oder die Currywurst-Bude um die Ecke sind nicht betroffen. Einige mittelständische und auch kommunale Versorgungsbetriebe allerdings durchaus.

und ihre Zulieferer, Dienstleister und Auftragnehmer

Überhaupt ändert sich nicht nur für die direkt betroffenen Anbieter und Betreiber etwas, die nun ein ISMS auf Basis von ISO/IEC 27001 installieren müssen. Denn damit werden ja auch die Qualifikationsanforderungen an Dienstleister, Zulieferer und Geschäftspartner verschärft. In der Liefer- beziehungsweise Vertragskette eines Kritis-Unternehmens werden die ISMS-Anforderunge alle Beteiligten direkt oder indirekt betreffen.

Vorteil: Mit der Zertifizierung sind die Hausaufgaben auch fürs Versichern gemacht

Ein Vorteil der Zertifzierung der eigenen IT-Sicherheit besteht darin, dass damit

  1. der Nachweis eines profesionellen Sicherheitsniveaus im Betrieb vorliegt und
  2. eine genaue Analyse der relevanten (Rest-)Risiken deutlich einfacher wird.

Oder mit anderen Worten: Wer eine Zertifizierung durchführt, hat damit beste Voraussetzung, um sich schnell und zu günstigen Prämien versichern, und zwar sowohl das Cyberrisiko wie auch das Haftpflichtrisiko des Unternehmens wie des Managements. Mit einer Zertifizierung hat man die Grundvoraussetzungen für Versicherungsschutz erfüllt.

Mit der ihrer Richtlinie VdS RL 3473 zur Cyber-Security für kleine und mittlere Unternehmen bieten die Versicherer allerdings ein Zertifizierungslevel an, das sich an der ISO 27001 orientiert, aber nicht die Umsetzung sämtlicher Teilaspekte verlangt. Diese kleine Lösung ist ein sinnvolles Instrument für alle „Nicht“-KRITIS Unternehmen, die einerseits ihren Verpflichtungen als Geschäftspartner nachkommen und zugleich die Voraussetzungen für eine Cyber-Versicherung schaffen wollen, ohne dabei einen für KMU unangemessenen Aufwand in Kauf zu nehmen.

Kommunale IT-Dienstleister, Cyber-Risiken und Haftungsrisiko

Technik ist immer nur ein Teil der Absicherung

Das Bewusstsein für Cyber-Gefahren wächst, auch und gerade in Verwaltungen und öffentlichen Einrichtungen. Neue Gesetze, Maßnahmen und Initiativen sollen Sicherheit schaffen. Das ist natürlich grundsätzlich positiv. Allerdings werden die IT-Dienstleister, die für Kommunen und ihre Verwaltungseinrichtungen und Versorgungsbetriebe tätig werden, dadurch vor neue Anforderungen gestellt. Parallel dazu steigt durch die juristische Entwicklung ihr Risiko, mit Haftungsansprüchen konfrontiert zu werden.

Deshalb sollten auch kommunale IT-Dienstleister ihr Interesse nicht nur auf Technologien und Strategien für Intrusion Detection, Disaster Recovery, Data Loss Prevention und ähnliches mehr legen. Technische und organisatorische Standards sind natürlich ein zentraler Teil der IT-Sicherheit. Eine wichtige Rolle können aber auch Versicherungen spielen, die vor den finanziellen Schäden und Haftungsansprüche nach einem Cyber-Angriff oder einer IT-Panne schützen, sowohl im eigenen Haus als auch beim Kunden.

Risikomanagement durch Versichern kommt in der IT-Sicherheitsdebatte oft sehr kurz. Dabei kann ein zusätzlicher Schutzring aus einer geeigneten Cyber-Police sowie aus Haftpflichtversicherungen für den IT-Betrieb und seine Geschäftsführung existenziell wichtig werden. Und zwar schon deshalb, weil eine Versicherung weder durch neue Angriffstechniken noch durch dumme Zufälle ausgehebelt werden kann – ein großer Unterschied zu jeder Technologie.

Das Risiko ist nicht mehr zu ignorieren

Auch bei Kommunal- und Stadtverwaltungen, städtischen Versorgern und anderen Verwaltungseinrichtungen entwickelt sich spätestens jetzt ein Bewusstsein dafür, wie gefährlich Cyber-Angriffe und IT-Havarien sind. Schließlich reagieren Bürger auf leichtsinnigen Umgang mit ihren Daten eben so allergisch wie auf den Ausfall öffentlicher Dienste.

Die Presse dagegen freut sich über solche Fälle: Dass die Berliner Bürgerämter durch eine neue Meldewesen-Software im Februar zunächst nicht entlastet, sondern erst recht lahmgelegt wurden, war wochenlang Medienthema: Selbst die ordnungsgemäße Durchführung der Wahlen sei bedroht, war zu lesen. Für die Politiker der Hauptstadt, das Berliner kommunale IT-Dienstleistungszentrum ITDZ oder den namentlich erwähnten Software-Hersteller keine angenehme Lektüre.

Ein anderes Beispiel liefert der Erpressungstrojaner Locky, der in Nordrhein-Westfalen auch in sechs Kliniken Dokumente und Verzeichnisse verschlüsselte und so den Klinikablauf massiv störte. Das war dann nicht nur Thema in den Abendnachrichten im Fernsehen, es rief auch das Landeskriminalamt auf den Plan, das in einer Pressemitteilung zu mehr Sicherheitsbewusstsein aufrief.

Dabei ist das Problem ja längst bekannt, und es tut sich auch etwas. Schon 2014 hat der Deutsche Städtetag einen Leitfaden zur Ausgestaltung der Informationssicherheitsleitlinie in Kommunalverwaltungen veröffentlicht, den die Arbeitsgemeinschaft kommunaler IT-Dienstleister (Vitako) erarbeitet hat. Die IT-Sicherheitsbeauftragten von Ländern und Kommunen arbeiten seit geraumer Zeit in einem eigenen Arbeitsforum bundesweit zusammen. Und in Hessen wurde vor kurzem ein Kommunales Dienstleistungszentrum Cybersicherheit initiiert, das die Kommunen beraten soll.

Dazu kommt das IT-Sicherheitsgesetz

Und natürlich ist da auch das neue IT-Sicherheitsgesetz. Die Kommunalverwaltungen selbst fallen zwar nicht unter die darin erfassten Betreiber kritischer Infrastrukturen, sie sind jedoch ausdrückliche Adressaten des KRITIS-Projekts. Und von den kommunalen Versorgungsbetrieben werden viele zum Kreis der KRITIS- Unternehmen zählen, die auf ein Informations-Sicherheits-Management-System (ISMS) nach Maßgabe von ISO 27001 verpflichtet werden.

Die genaue Abgrenzung der KRITIS-Unternehmen ist noch nicht vollständig,  die gerade beschlossene erste Kritis-Verordnung betrifft zunächst nur die Teilbereiche Energie, IT /TK, sowie Wasser und Ernährung. Nicht für die Betreiber entsprechender Anlagen liegt die Latte damit höher, auch für ihre Dienstleister und Auftragnehmer im IT-Sektor.

Für die IT-Dienstleister wächst das Haftungsrisiko – in mehrfacher Hinsicht

Von der Verwaltung beauftragte IT-Dienstleister der öffentlichen Hand stehen damit vor neuen Herausforderungen und neuen Haftungsrisiken. Das Gleiche gilt für öffentlich-rechtliche Kommunal- und Eigenbetriebe im IT-Bereich.

  • Zum einen steigt mit jedem neuen Cyber-Angriff die Gefahr, in Haftung genommen zu werden, und das um so mehr, je unverzichtbar die IT-Systeme sind, die der Anbieter liefert, installiert oder betreut. Wenn ein Hacker zuschlägt oder es zu einer Datenpanne kommt, kann daran auch ein bislang vertrauensvolles Verhältnis zum öffentlichen Kunden zerbrechen – um so mehr, wenn zum wirtschaftlichen  noch politischer Druck kommt.
    Aus einem echten oder vermeintlichen Programmierfehler oder einer mangelhaft implementierten Sicherheitsfunktion werden dann schnell Schadenersatzforderungen, die die Anwälte beschäftigt halten und dem Dienstleister große Kosten und viel Ärger einbringen können.
  • Neue verpflichtende Zertifizierungen und IT-Sicherheitslevel erhöhen das Haftungsrisiko für die Dienstleister auch schon per se. Wenn Kommunen und ihre Versorgungsbetriebe IT-Sicherheitsleitlinien erlassen, ISO 27001-Zertifizierungen oder IT-Grundschutzlevel fordern, ergeben sich für die Dienstleister, Systemhäuser sowie Software- und Hardware-Zulieferer ja nicht nur inhaltlich neue Anforderungen. Für sie entsteht auch ein zusätzliches Risiko, Pflichtverletzungen zu begehen, denn sie werden ja gesetzlich oder vertraglich auf das entsprechende Sicherheitsniveau verpflichtet.
  • Und dabei geht es nicht nur um die Haftung des Unternehmens oder Betriebs, sondern auch um eine persönliche Haftung der Verantwortlichen. Wenn ein Unternehmen von Gesetzes wegen, durch verbindliche Leitlinien für Informationssicherheit oder durch Verträge auf besondere Standards in der IT-Sicherheit festgelegt ist und diese nicht einhält, dann muss sich sehr schnell auch die Geschäftsführung verantworten.
    Eine solche Inanspruchnahme kann Existenzen vernichten: 2013 verurteilte das Landgericht München einen ehemaligen Siemens-Manager dazu, seinem früheren Arbeitgeber 15 Mio Euro Schadensersatz zu zahlen, weil er nicht für Compliance in den Geschäftsabläufen gesorgt hatte.

Gegenmittel: Unternehmen und Geschäftsführung gezielt versichern

  • Persönliche Haftung:Um die mögliche persönliche Haftung abzudecken, die schnell in existenzgefährdende Bereiche gehen kann, sollte der Vorstand oder die Geschäftsführung durch eine sogenannte D&O- Police (Managerhaftpflichtversicherung) und gegebenenfalls eine Managerrechtsschutzversicherung geschützt sein.
  • Unternehmensrisiken:Aber natürlich benötigt auch der Betrieb selbst Versicherungsschutz für den Fall einer Cyber-Attacke oder IT-Havarie – schließlich ist diese immer mit Kosten verbunden. Da diese Kosten nicht planbar und auch nicht aus Rückstellungen finanzierbar sind, bleibt nur, sie im Schadensfalls aus dem Budget, d. h. aus dem Cash Flow heraus zu bezahlen – oder aber man fängt das Risiko durch planbare Versicherungsbeiträge für eine Cyber-Versicherung auf, die zudem die Steuerlast senken. Aus betriebswirtschaftlicher Sicht und im Hinblick auf den Bilanzschutz ist das natürlich vorteilhafter.Dabei ist das Schadenspotenzial beträchtlich: Es umfasst Eigenschäden wie die Forensik zur Aufklärung des Vorfalls, die Kosten für die Wiederherstellung von Daten und Systemen, Maßnahmen zur Wiederherstellung der beschädigten Reputation und Anwaltskosten. Dazu kommen Schadenersatzforderungen und Haftungsansprüche, wenn Daten Dritter kompromittiert oder vertragliche Verpflichtungen nicht eingehalten werden.

Wenn die Versicherung nicht zur individuellen Situation passt, bietet sie keinen Schutz

Natürlich haben Betriebe im Regelfall bereits typische betriebliche Versicherungen abgeschlossen. Bestehende Sachversicherungen wie Feuer-, Elektronik- oder Maschinenversicherungen sowie die vorhandenen Betriebshaftpflichtversicherungen decken Schäden aus Cyber-Risiken jedoch nur unzureichend oder gar nicht ab. Haftpflichtpolicen beispielsweise greifen nicht, wenn der Schaden ohne eigenes Verschulden eintrat. Maschinen- und Elektronikversicherungen versichern im Regelfall keine Schadensersatzansprüche Dritter. Genau deshalb ist seit einigen Jahren das Produktspektrum der Cyber-Versicherungen entstanden, dass die Folgen digitaler Angriffe im Querschnitt abdeckt – eigene Schäden, Schadensersatzforderungen Dritter und eigene Rechtskosten.
Allerdings ist der Absicherungsbedarf immer sehr individuell. Einer der Gründe dafür, dass Unternehmen wie Kommunen sich für die Cyber-Versicherung nur allmählich erwärmen, liegt sicher im Misstrauen gegenüber Standard-Lösungen begründet. Wer gut beraten wird, muss sich darum allerdings nicht sorgen – schließlich gehört es zur Verantwortung eines Fach-Versicherungsmaklers, die Bausteine einer Police genau zum Risikoprofil des Kunden passend zu kombinieren und kritische Punkte mit den Versicherern individuell nachzuverhandeln. Dabei sollte der Makler auch dafür sorgen, dass bereits durch vorhandene Versicherungen abgedeckte Teilrisiken nicht ein zweites Mal versichert werden.

Was eine gute Cyber-Versicherung leisten sollte: Deckungen und Leistungen im Überblick

So lassen sich aus einem ganzen Spektrum einzelner Bausteine Risiken gezielt abdecken. Eine gute Police umfasst etwa folgende Punkte, soweit diese für den Versicherungsnehmer relevant sind:

Kriminalitätsrisiken, etwa

  • Angriffe durch Viren, Würmer oder Hacker
  • unautorisierter Zugriff durch Mitarbeitern auf das Finanz- und Sachvermögensschäden
  • Erpressungen und Lösegeldforderungen
  • „Kapern“ von EDV-Systemen zur Durchführung krimineller Handlungen

Schädigungen Dritter, z. B.

  • Diebstahl und Manipulation von Daten Dritter
  • Diebstahl von Know-how Dritter
  • Schadenersatzansprüche Dritter wegen Urheberrechtsverletzungen

Vermögensschäden, etwa durch

  • Betriebsunterbrechung durch Hardware-Schäden oder DoS-Attacken
  • Nichtverfügbarkeit des Cloud-Service bzw. des fremden Server-Dienstleisters
  • Mehrkosten durch veränderte Betriebsabläufe
  • Wiederherstellung des Unternehmensimage
  • Ermittlungen durch Datenschutzbehörden

Folgende Kosten sollte eine Cyber-Versicherung abdecken, soweit das Risiko in Ihrem Fall relevant ist:

  • Kosten für forensische Untersuchungen
  • Benachrichtigungen aller Betroffenen bei Datenschutzverletzungen (gesetzlich vorgeschrieben)
  • Öffentlichkeitsarbeit, Maßnahmen zur Wiederherstellung der Reputation
  • Kosten bei Erpressung
  • Beauftragung einer Sicherheitsfirma
  • Erstattung von Lösegeldzahlungen
  • Vermögensschaden-Haftpflicht aufgrund von Datenrechtsverletzung (z. B. Markteinbußen des Kunden)
  • Inanspruchnahme durch einen Dritten
  • Verletzung der Persönlichkeitsrechte Dritter durch Online-Inhalte
  • Ersatz und Wiederherstellung von Daten
  • Absicherung des Ertragsausfalls

Fazit

Die stark steigende Zahl von Cyber-Angriffen übt auch auf kommunale IT-Dienstleister Druck aus. Die Anbieter müssen sich nicht nur mit dem wachsenden Bedrohungsrisiko auseinandersetzen, sondern auch mit einem zunehmend stärker reglementierten Umfeld. In dieser Situation kann Versicherungsschutz ein wichtiger Teil des Risikomanagements sein. Allerdings bringen Versicherungen nur dann ein Plus an Sicherheit, wenn sie sich wirklich an der individuellen Situation des Betriebs ausrichten.

Falls Sie Fragen haben:

Haben Sie Interesse an Cyber-Versicherungen oder konkrete Nachfragen? Wir von der acant.service GmbH sind Spezialmakler für Cyber-Policen und D&O-Versicherungen. Sprechen Sie uns einfach an – wir stehen zu Ihrer Verfügung. Telefon: 030 863 926 990

Versicherungslücken stopfen – mit oder ohne Cyber-Versicherung

Ohne Cyber-Versicherung drohen Versicherungslücken

„Eine zusätzliche Cyber-Versicherung brauchen wir nicht. Das ist in unseren anderen Versicherungen mit drin. “

Das höre ich öfter. Tatsächlich decken viele Unternehmensversicherungen einen Teil der Risiken durch Internet, Datenverarbeitung und Vernetzung ab: Die Betriebshaftpflicht kann etwa eine Internetversicherungsklausel enthalten, die Elektronikversicherung umfasst Datenverlust und die Vertrauensschadenversicherung den Computermissbrauch durch Mitarbeiter. Wozu also eine Cyberversicherung?

Das Problem sind die vielen Versicherungslücken, die ein solcher Flickenteppich verursacht:

  • Die Haftpflichtversicherung greift nur bei Verschulden. Wenn das Unternehmen nicht dafür kann, dass die Kundendatenbank geknackt wurde, dann zahlt der Versicherer nichts. Nichts für die Ansprüche, die möglicherweise trotzdem an Ihr Unternehmen gestellt werden, und Ihre Eigenschäden schon gar nicht.
  • Die Elektronikversicherung greift nur bei einem Sachschaden. Wenn ein Mensch den Schaden herbeiführt, ersetzt der Versicherer gar nichts.
  • Die Vertrauensschadenversicherung leistet nur bei kriminellem Handeln von Vertrauenspersonen. Wenn externe Computerkriminelle zuschlagen, stehen sie ohne Versicherungsschutz da.

Wenn Cyber-Kriminelle von außerhalb des Unternehmens trotz guter Sicherheitsvorkehrungen eine bislang unbekannte Sicherheitslücke ausnutzen, um Ihre Datenbestände abzuräumen, sind die Schäden nicht versichert, selbst wenn alle drei genannten Versicherungen vorliegen!

Sinnvolle Versicherungen gibt’s nur durch individuelle Analyse

Stellen Sie sich vor, Sie haben nicht eine umfassende Feuerversicherung. Statt dessen sind viele einzelne Brand-Szenarien in unterschiedlichen Policen mitversichert. Kabelbrand in der einen, Brandstiftung durch einen Mitarbeiter in der anderen, und so weiter. Wäre das sinnvoll?

Das Versicherungsthema sollte auch im Cyber-Bereich systematisch angegangen werden:

  • Sie brauchen jemand, der zunächst einmal eine Bestandsaufnahme durchführt: Welche Risiken sind überhaupt von Bedeutung? Welche Risiken sind in Ihrem Haus bereits versichert, welche nicht (Diese Analyse gehört zu meiner Arbeit als Fachmakler für Cyber-Versicherungen und ist Teil meines Vermittlungsauftrags.)
  • Oft stellt sich heraus, dass manche Einzelrisiken gar nicht, andere dagegen doppelt versichert sind (mit doppelten Kosten). Im zweiten Schritt muss ein klares, bedarfsorientiertes Versicherungskonzept erstellt werden. Oft ist eine Cyber-Versicherung als Querschnittslösung sinnvoll, manchmal ist die Erweiterung bestehender Policen klüger. Nicht benötigte Versicherungen oder Einzeldeckungen werden gekündigt.
  • Erst jetzt, wenn der Versicherungsbedarf wirklich klar ist, kann man mit einer Ausschreibung an den Markt gehen. Danach haben Sie einen genau auf Ihre Risiken abgestimmten Versicherungsschutz. Im Idealfall sorgt der Wegfall nicht benötigter Versicherungen dafür, dass kaum Zusatzkosten entstehen.

Was bedeutet das für Ihr Unternehmen?

Das erläutere ich Ihnen am liebsten konkret und persönlich. Rufen Sie mich an und stellen Sie mir Fragen (030 863 926 990) oder schreiben Sie mir eine Nachricht.

Reputationsschaden: Eine Firma, ein Virus, 300 Mio. E-Mails

Viren-Mail, gefälschter Absender, Chaos perfekt

„Etwas Vergleichbares haben wir noch nicht erlebt. Die immensen Reaktionen haben dazu geführt, dass wir alles, alles vom Netz nehmen mussten.“

Das sagte der Geschäftsführer einer kleinen Siegener Betriebs aus der Metallbranche dem WDR, nachdem ein Mitarbeiter scheinbar innerhalb kurzer Zeit scheinbar 300 Mio. virenverseuchte Word-Dateien per E-Mail in alle Welt verschickt hatte. Dabei war das Unternehme völlig schuldlos. Der Absender war gefälscht und sollte nur die Adressaten nur zum Öffnen des Dokument verleiten.

Mit Erfolg. Bei einer Empfänger-Firma wurde sogar das Firmennetzwerk samt der Maschinensteuerungen lahmgelegt. Das Siegener Unternehmen bekam, obwohl schuldlos, die Folgen heftig zu spüren, Geschädigte aus aller Welt machten ihrem Unmut per E-Mail, telefonisch oder auch persönlich Luft. Selbst die Betriebsferien zu Weihnachten verzögerten sich aufgrund des Wirbels.

Der Reputationsschaden ist versicherbar

Den größten Schaden in solchen Fällen stellt aber meistens der Imageverlust dar: Der Reputationsschaden kann – trotz erwiesener Unschuld – erheblich sein.

Die einzige gute Nachricht im Zusammenhang mit derartigen Meldungen: Solche Schäden sind versicherbar, eine Cyber-Police deckt neben den anderen Folgeschäden auch den Reputationsschaden ab.

Die unschöne Geschichte zeigt, dass die Gefahr durch Makroviren in Office-Dokumenten (Excel, Word, PowerPoint) keine Nostalgie, sondern wieder hochaktuell ist. Ein Grund mehr, die Mitarbeiter wieder einmal auf gesundes Misstrauen gegenüber E-Mail-Anhängen einzuschwören, selbst aus scheinbar bekannter Quelle. Und vor allem auch ein Grund, konkret über eine Cyber-Versicherung nachzudenken, die in einem solchen Fall hilft, die finanziellen Schäden aufzufangen.

Falls Sie Fragen haben: Rufen Sie uns einfach an – 030 863 926 990.

NGF: Die Next Generation Firewall allein reicht nicht

Vor einiger Zeit kam ich mit Mario Husmann von Witstor.de, der auch als IT-Berater für den  Verband der Sachversicherer tätig ist, auf das Thema „Next-Generation Firewall” (NGF). Die wird ja manchmal als Allzweckwaffe in der IT-Sicherheit dargestellt. So etwas macht mich immer skeptisch.

Nun bin ich Versicherungsmakler, kein IT-Experte. Aber Mario Husmann sieht das ähnlich:

 „Die NGF ist kein pauschaler Sicherheitsgewinn. Zwar ist die neue Technologie schon sicherer. Aber: Man muss sie auch administrieren und konfigurieren können. Wer eine NGF mit den Standard-Einstellungen betreibt, öffnet damit schnell ein Einfallstor, denn die Hacker kennen die Standardeinstellungen genau.

Deshalb ist Technik für sich genommen nicht die Lösung. Schon gar nicht bei KMU ohne professionell ausgebildeten Administrator. Wichtiger als die neueste Firewall-Technik wäre es in vielen Fällen, zunächst einmal Updates einzuspielen und die Firmware aktuell zu halten. Aber wenn der  Administrator Autodidakt ist, wird er davon oft die Finger lassen. Schließlich läuft doch alles …

Nicht, dass der Mitarbeiter selbst die Schuld trägt. Die Geschäftsführung muss Bewusstsein für den Handlungsbedarf entwickeln. Sie sollte zum Beispiel wissen, dass ein Cyber-Einbruch ins Unternehmen selten sofort entdeckt wird. Viel wahrscheinlicher ist es, dass es Monate dauert, bis der unauthorisierte Zugang auffällt. Und auch dann muss sich jemand mit den Monitoring-Tools und dem Netzwerk auskennen, damit die Anomalien auffallen.

Für solche Unternehmen ist es wichtig, den VdS-Sicherheitscheck zu machen, um Schwachstellen aufzudecken. Dann lässt sich mit geringem finanziellen Aufwand Schadenbegrenzung betreiben. Dafür müssen aber zunächst die Geschäftsführer verstehen, dass die Zeit der Nebenbei-Administratoren endgültig vorbei ist und dass man mehr tun muss, als einmal teure Technik zu bestellen. Analyse und Beratung tun Not.”

Recht hat er. Für eine gute IT-Sicherheit braucht man eben IT-Sicherheitsexperten. Und für das Restrisiko, das auch die beste Technologie nicht auf Null zurückfahren kann, benötigt man eine Cyber-Versicherung. Schreiben Sie mir eine kurze Nachricht, wenn Sie Fragen oder Anmerkungen dazu haben.

Wer braucht eine Cyberversicherung und warum?

Was unterscheidet die Cyberversicherung von anderen Betriebsversicherungen?

  • Eine Cyberversicherung ist eine Querschnittslösung für alle Schäden, die sich in einem bestimmten Bereich ergeben.
  • Sie versichert ein breites Spektrum an Schadensereignissen. Damit die Cyberversicherung leistet, muss man nur eine Informationssicherheitsverletzung nachweisen und belegen, dass das Unternehmen dadurch wirtschaftliche Schäden hatte. Dagegen zahlt eine Maschinen- oder Elektronikversicherung nur, wenn ein Sachschaden eintritt. Bei einer Erpressung durch Hacker oder einem Denial-of-Service-Angriff, der die Server tagelang überlastet, gibt es aber keine Sachschäden. Eine Vertrauensschadenversicherung wiederum zahlt nur, wenn eine Vertrauensperson kriminell handelt. Ein Laptop mit wichtigen Daten kann aber auch ganz ohne Pflichtverletzung des Mitarbeiters gestohlen werden. Eine Betriebshaftpflichtversicherung bezahlt nicht, wenn auf der Website fremde Fotos oder Markenzeichen in guter Absicht, aber ohne Genehmigung verwendet werden.
  • Sie gilt weltweit.
  • Sie versichert sowohl Eigenschäden (Sachschäden, Umsatzausfall) wie auch Drittschäden (Schadenersatzansprüche).  Dabei sind viele verschiedene Kosten mitversichert, die ein Cyberangriff oder eine IT-Panne verursacht: Das Unternehmen muss feststellen, wie es dazu kam. Es muss Daten wiederherstellen und das System wieder in Betrieb nehmen. Es muss Krisen-PR betreiben, braucht Rechtsberatung und dergleichen mehr. Auch solche Kosten sind eingeschlossen oder versicherbar.

Für welche Unternehmen ist eine Cyberversicherung notwendig und sinnvoll?

Notwendig ist sie für alle. Und zwar um so mehr, je …

  • größer die Abhängigkeit von funktionierender IT für den Geschäftsbetrieb ist
  • größer die Vernetzung ist
  • wichtiger die Vertraulichkeit von Kunden- und Geschäftsdaten, Verfahren, Produktionsgeheimnissen ist

Ja, es gibt ausgefeilte technische Schutzmaßnahmen wie Firewall und Virenscanner. Diese sind auch unverzichtbar. Aber das Restrisiko lässt sich technisch nie weit genug reduzieren, um sorglos zu sein. Die Cyber-Versicherung ist der zweite, technisch nicht angreifbare Verteidigungsring um das Unternehmen. (Dafür wird sie umso günstiger, je bessere technische Vorkehrungen nachgewiesen werden können.)

Sinnvoll ist die Cyberversicherung als Bilanzschutz. Versicherungsausgaben sind Betriebsausgaben, wer ein unversichertes Schadensereignis finanziell abfangen muss, bezahlt das aus den Erträgen. Außerdem senkt die Vorsorge durch die Versicherung das Haftungsrisiko des Managements – und zwar erheblich.

Wie sollte man die passende Cyberversicherung auswählen?

Ganz einfach: Man nimmt das billigste Angebot für die benötigte Deckung. Herauszufinden, welche Risiken wirklich abgedeckt werden müssen, ist weniger einfach. Dafür braucht man eine solide Risikoanalyse. Ein guter erster Schritt ist die Selbstanalyse mit dem Quick-Check des Verbands der Sachversicherer.

Größere Unternehmen können individuelle Policen aushandeln. Für KMU sind kompakte Standard-Cyberpolicen die sinnvollste Lösung. Die Versicherer bringen zunehmend auch Branchenlösungen auf den Markt. Auch bei Standardversicherungen lassen sich zumindest Selbstbehalte und sogenannte Sublimits sinnvoll anpassen oder auswählen.

Abschließen sollte man nicht in Eigenregie. Dafür gibt es Versicherungsmakler. Die Maklergebühren zahlt die Versicherungsgesellschaft, trotzdem ist der Makler – schon gemäß gesetzlicher Verpflichtung – dem Interesse des Kunden verpflichtet.

Wie teuer sind die Versicherungsbeiträge für eine Cyberversicherung?

Das hängt natürlich von der konkreten Police, dem Deckungsumfang und Eigenbehalten ab. Bei Unternehmen mit Jahresumsätzen über 100.000 Euro liegen die Kosten jedoch im Promillebereich des Umsatzes.

Was ist im Schadensfall tun?

Rufen Sie bei Ihrem Versicherungsmakler an, der sich um das Weitere kümmert. Natürlich muss man auch Administratoren oder IT-Dienstleister informieren, wenn das noch nicht geschehen ist, und beim Verdacht auf Straftaten auch die Polizei (LKA).

Wo bekomme ich konkrete Auskünfte zum Thema Cyberversicherung?

Bei uns – wir sind einer der wenigen Fachmakler für Cyber- und IT-Risiken in Deutschland und kennen sowohl den Versicherungsmarkt wie die Risikolandschaft sehr gut. Rufen Sie uns an (030 863 926 990) oder schreiben Sie uns eine Nachricht.

Zertifizierungspflicht für Energieversorger – dafür günstigere Cyber-Versicherung

IT-Katalog, ISMS und Pflicht zur Zertifizierung für Energieversorger

Bis Januar 2018 haben Energieversorgungsunternehmen Zeit, um einen IT-Sicherheitskatalog einzuführen, ein  Informationssicherheits-Managementsystem (ISMS)  zu installieren und dies  zertifizieren zu lassen.  Einen Ansprechpartner für IT-Sicherheit müssen Sie sogar bis Ende November benennen. So will es die Bundesnetzagentur: Sie hat den Energieversorgern, d. h. allen Unternehmen und Einrichtungen, die ein Stromnetz oder Gasnetz betreiben, höhere Standards in der IT-Sicherheit verordnet.

Viel Zeit bleibt nicht

Die Frist bis 2018 sollten betroffene Unternehmen keinesfalls unterschätzen. Sie haben einiges zu tun, denn der IT-Sicherheitskatalog der Bundesnetzagentur hat durchaus umfassene Auswirkungen auf die betriebliche Abläufe – und auch nicht nur etwa die der IT-Abteilung. Zertifiziert wird beispielsweise auch die Einbindung der Geschäftsführung. Außerdem kann man damit rechnen, dass kurz vor Fristende die Zertifizierungsstellen ausgelastet sind – und zertifiziert wird nur, wer das ISMS bereits seit gewisser Zeit im Live-Betrieb hat.

Weitere Informationen

  • Bei der Bundesnetzagentur selbst gibt es ein FAQ zum IT-Sicherheitskatalog für Strom und Gasanbieter
  • Der IT-Branchenverband Bitkom und der Verband Kommunaler Unternehmen (VKU) haben einen ausführlichen Leitfaden samt Praxisbeispielen für Energieversorger veröffentlicht, der über Aufwand und die nötigen Maßnahmen informiert.

Vorteil: Schneller und günstiger zur Cyber-Versicherung

Noch liegt das Zertifikat noch gar nicht vor. Es wird, soviel steht schon fest, auf den Anforderungen der ISO 27001 und der ISO 27019 beruhen.

Immerhin hat die Zertifizierungspflicht neben der hoffentlich erhöhten Sicherheit noch einen weiteren positiven Nebeneffekt: Energieversorgungsunternehmen, die die Zertifizierung durchlaufen haben, haben damit auch ein sehr genaues Risikoprofil und einen klaren Nachweis solider Vorsorge gegen Cyber-Zwischenfälle. Und das sind beste Voraussetzungen, um ohne großen Aufwand an eine Cyber-Versicherung zu günstigen Konditionen zu kommen, die das unvermeidliche Restrisiko betriebswirtschaftlich sinnvoll auffängt.

Fragen? Anrufen!

Wir sind Experten für das Thema Cyber-Versicherung und IT-Risikomanagement. Sie erreichen uns unter 030 863 926 990 oder über das Kontaktformular.

Interview: Versichern von IT-Risiken

Vor kurzem fand der 4. IT-Sicherheitstag Mittelstand in Berlin statt. Ich hatte die Ehre, bei einem der Vorträge von Bernd Schulz, Organisator der Veranstaltung und Geschäftsführer der F1 GmbH, „mitreden“ zu dürfen.

Die  Botschaft war, ganz kurz gefasst: Wer sich optimal gegen die unvermeidlichen IT-Risiken absichern will, braucht IT-Sicherheitsmaßnahmen und Cyber-Versicherungsschutz. Die Zusammenfassung liefert unser Folder_IT-Sicherheit-Cyber-Risk.

Anschließend befragte mich Herr Schulz noch einmal zum Versichern als Strategie gegen IT-Risiken:

Die Punkte, die mir am Herzen lagen:

  • IT-Sicherheit und Cyber-Versicherung schließen sich nicht aus – sie ergänzen sich gegenseitig. Mindestsicherheitsstandards garantieren zum Beispiel, dass die Versicherung im Schadensfall auch leistet.
  • Eine Zertifizierung macht die Versicherung leichter, ist aber keineswegs Voraussetzung. Oft ist eine Zertifizierung auch zu umfassend – versichern sollte man nur die IT-Risiken, die für das eigene Unternehmen auch wirklich zentral sind
  • Eine schnelle Bestandsaufnahme der eigenen IT-Sicherheit bietet der VdS-QuickCheck.
  • Für eine sinnvolle Absicherung sollte man sich an einen Fachmakler für Cyber- und IT-Risiken wenden.

Kontrolle der Software-Lizenzen: Ja, die dürfen das.

Bei einem acant-Kunden meldet sich die Business Software Alliance – und verlangt geradezu ultimativ, sämtliche Lizenzen für alle dort eingesetzten Microsoft-Produkte nachzuweisen, Dazu Angaben, wer was wann wie nutzt. Bei einem Unternehmen mit rund 70 Mitarbeitern bzw. Arbeitsplätzen sowie diversen Servern ist das ein ganz schöner Aufwand.

Wie das denn sein kann, fragt mich der Inhaber. Und auch gleich: Ob ich weiß, was passiert, wenn irgendwo etwas doch nicht hinhaut? Er kontrolliert ja nicht jeden einzelnen Rechner persönlich.

Nun bin ich Versicherungsmakler und kein Fachanwalt für IT-Recht bzw. Urheber- und Medienrecht. Aber immerhin bin ich gelernter Volljurist. Und ich weiß: Im Urheberrechtsgesetz steht, dass im Fall von Urheberverstößen „in gewerblichem Ausmaß“ der Inhaber der Lizenz-Rechte das Recht auf „Vorlage und Besichtigung“ (§ 101a UrhG) hat. Weiter steht da wörtlich: „Besteht die hinreichende Wahrscheinlichkeit einer in gewerblichem Ausmaß begangenen Rechtsverletzung, erstreckt sich der Anspruch auch auf die Vorlage von Bank-, Finanz- oder Handelsunterlagen.“

Die Wachhunde für Software-Lizenzen von der Software Business Alliance, hinter der neben Microsoft auch Adobe, Symantec, Apple, Trend Micro und viele andere Software-Anbieter stehen, dürfen also ganz schön viel. Sogar die Buchführung kontrollieren, wenn sie einen konkreten Verdacht haben. Wenn der kontrollierte Betrieb sich weigert, können die Prüfer sich eine einstweilige Verfügung besorgen und trotzdem loslegen – das steht auch im Gesetz.

Zum Glück hat unser Kunde eine IT-Betriebsvereinbarung, die neben anderen Vorschriften zur IT-Sicherheit alle Mitarbeiter auch dazu verpflichtet, nur lizenzierte Software zu benutzen. (Beim Abschluss einer Cyber-Versicherung sind solche Regelungen ein Pluspunkt und senken die Prämie!)

Nur: Wenn dann doch irgendein Mitarbeiter ein schwarz installiertes Programm nutzt oder der Administrator gar überall Software installiert, für die gar keine ordentliche Lizenz vorliegt, haften die Geschäftsführung oder der Inhaber trotzdem. Das steht ebenfalls ausdrücklich im Urhebergesetz (§ 99 UrhG), und es ist wohl auch ohne diesen Paragraphen ableitbar.  Und noch schlimmer: Urheberrechtsverstöße führen nicht nur zu durchaus heftigen zivilrechtlichen Ansprüchen, sie sind auch eine Straftat ((§§ 106 – 110 UrhG). Da können also schnell mal eine Anzeige und ein Ermittlungsverfahren drohen.

Deshalb empfehle ich immer:

  • Lizenzen genau archivieren und Lizenzbedingungen einhalten. Man fliegt auch als „kleiner Mittelständler“ keineswegs unter dem Radar der Software-Copyright-Luftüberwachung. Nicht darauf vertrauen, dass schon niemand vorbeikommen wird!
  • Klare Vereinbarung mit allen Mitarbeitern, dass eigenmächtig installierte Programme verboten sind. Das bringt die Geschäftsführung zwar nicht aus der Schusslinie, aber zumindest kann sie dann gegen die Angestellten vorgehen, die einem den Ärger einbrocken.
  • Versichern! Zum ist eine D&O-Versicherung für den Inhaber oder die Geschäftsführer notwendig, damit das Fehlverhalten eines Administrators nicht in persönliche Haftungsansprüchen gegen den Chef mündet. Das geht schneller als gedacht.
  • Und zweitens eine Rechtsschutzversicherung einschließlich Strafrechtsschutz, damit man wenigstens die Einleitung eines Ermittlungsverfahrens (Anhörung) bzw. dessen Durchführung mit anwaltlicher Hilfe halbwegs schadlos übersteht

 

Wenn Sie Fragen dazu haben, wie Sie mit Versicherungen auch dieses Risiko in den Griff bekommen: Sie erreichen uns über 030 863 926 990 oder das Kontaktformular