Cyberversicherung ist zu einem wichtigen Teil des Unternehmensrisikomanagements geworden, wird aber oft missverstanden. Sie ersetzt keine Sicherheitskontrollen, Incident-Response-Fähigkeiten, Governance oder operative Resilienz. Sie überträgt einen Teil des finanziellen Risikos, vorbehaltlich Ausschlüssen, Bedingungen, Limiten und Nachweispflichten.
Der Markt für Cyberversicherungen hat sich deutlich weiterentwickelt. Versicherer erwarten zunehmend, dass Unternehmen solide Basiskontrollen nachweisen, bevor eine aussagekräftige Deckung angeboten wird. Häufig geprüfte Bereiche sind Multi-Faktor-Authentifizierung, Endpoint Detection & Response, Backup-Resilienz, Schwachstellenmanagement, Kontrollen für privilegierten Zugriff, Incident-Response-Planung, Security Awareness, E-Mail-Sicherheit und das Management von Drittparteienrisiken.
Das ist eine positive Entwicklung. Versicherung sollte gute Sicherheitspraxis stärken. Sie sollte kein falsches Gefühl von Schutz erzeugen.
Unternehmen sollten Cyberversicherung als eine Ebene einer umfassenderen Resilienzstrategie behandeln. Die Police sollte zusammen mit dem Incident-Response-Plan, dem rechtlichen Eskalationsprozess, dem Ansatz zur Krisenkommunikation, dem Business-Continuity-Plan und den regulatorischen Meldepflichten überprüft werden.
Führungskräfte sollten zudem verstehen, was gedeckt ist, was ausgeschlossen ist, wann der Versicherer benachrichtigt werden muss, welche Dienstleister verwendet werden müssen und wie Nachweise für Ansprüche während eines Vorfalls gesammelt werden.
Kernaussage: Cyberversicherung kann die Wiederherstellung unterstützen, aber sie kann kein Vertrauen zurückgeben, keinen Betrieb wiederaufbauen und kein diszipliniertes Cyberrisikomanagement ersetzen.
