Ransomware schreibt Cyber-Versicherungspolicen um

Die aktuelle Ransomware-Kriminalitätswelle erschüttert den Cyber-Versicherungsmarkt, und das ist eine schlechte Nachricht für Unternehmen, die Policen kaufen oder erneuern. Die Tarife sind gestiegen, die Verfügbarkeit ist knapp und die Bedingungen sind strenger. Wenn es einen Silberstreif am Horizont gibt, dann ist es der, dass die Versicherer die Standards für die Cybersicherheit anheben könnten, wie sie es in so unterschiedlichen Bereichen wie Brandschutz und Zahlungskarten getan haben.

Cyber-Versicherungsmarkt im Umbruch

Mehrere Trends wirken sich darauf aus, ob und wie Unternehmen ihre Daten und Geschäftsabläufe angesichts der zunehmenden Ransomware-Risiken versichern können. Einer davon:

• Mehr Opfer: Die Zahl der Ransomware-Angriffe stieg 2020 um 35 %,[1] und der Anstieg wird sich 2021 fortsetzen.
• Größere Lösegelder: Ein Versicherungsunternehmen gab an, dass sich das durchschnittliche Lösegeld, das von seinen Versicherungsnehmern gefordert wurde, in der ersten Jahreshälfte 2021 auf etwa 1,2 Millionen US-Dollar verdreifacht hat, verglichen mit 450.000 US-Dollar im Jahr zuvor.[2] Gleichzeitig werden viele kleinere Unternehmen mit fünfstelligen Forderungen konfrontiert.
• Weitere Käufer: Im Vereinigten Königreich beispielsweise hat die Regierung Cyber Security Breaches Survey 2021 berichtet, dass 43 % der Unternehmen eine Cyberversicherung haben, gegenüber 32 % im vorherigen Bericht.[3]
• Weniger Anbieter: Laut der Ransomware Task Force haben sich einige Versicherer aus dem Cyber-Versicherungsmarkt zurückgezogen, so dass etwa 20 große Unternehmen übrig geblieben sind, die den Großteil der Policen ausstellen.[4] Viele von ihnen haben weniger Kapazitäten, um Policen auszustellen, als sie zuvor hatten.
• Höhere Tarife: Die Tarife für die Cyber-Rückversicherung - also der Betrag, den die Rückversicherer den Versicherern für ihre eigene Versicherung in Rechnung stellen - sind bis zur Erneuerungssaison Mitte 2021 um bis zu 40 % gestiegen.[5] Da diese Kosten weitergegeben werden, wurde erwartet, dass die Versicherungsnehmer in diesem Jahr je nach Branche und anderen Risikofaktoren mit einem Anstieg von 15 % bis 50 % rechnen müssen.[6]
• Verschärfte Bedingungen: Versicherungsnehmer müssen immer strengere Cybersicherheitsstandards erfüllen oder mehr bezahlen. Bestimmte Arten von Risiken werden von der Deckung ausgeschlossen.

Was deckt die Ransomware-Versicherung ab?

Die Deckung für Ransomware variiert, kann aber unmittelbare Kosten für Forensik, Verhandlungen, Lösegeld, Betriebsunterbrechung, Wiederherstellungsbemühungen, die Einhaltung gesetzlicher Vorschriften und Abhilfemaßnahmen umfassen. Die Liste der Dinge, die in der Regel nicht abgedeckt sind, kann Schäden am geistigen Eigentum, am Ruf und am Geschäftspotenzial umfassen.

Selbst wenn die Kosten gedeckt sind, kann es Obergrenzen für die Höhe der Lösegeldzahlung durch den Versicherer geben. Darüber hinaus erklären sich die Versicherten - ähnlich wie bei einer Selbstbeteiligung in der Krankenversicherung - oft im Voraus bereit, einen Teil des Lösegelds zu zahlen, um dafür niedrigere Tarife zu erhalten.

Die Versicherungsgesellschaften verlangen auch detailliertere Informationen über die Sicherheitskontrollen und -verfahren ihrer Kunden, Audits, Penetrationstests, Backups, Pläne zur Gewährleistung der Geschäftskontinuität, Risikomanagement für Dritte und vieles mehr. Je besser diese Informationen sind, desto niedriger könnten Ihre Tarife sein und desto größer ist die Chance, dass Sie Ihren Anspruch geltend machen können. Die Versicherer verfolgen auch Informationen über Bedrohungen und führen ihre eigenen Scans von Schwachstellen im Internet durch.

Regulatorische Risiken wirken sich weiter auf die Cyber-Versicherung aus

Ein großer Versicherer gab im Mai bekannt, dass er die Ransomware-Zahlungen für neue Versicherungsnehmer in Frankreich nicht mehr abdeckt, was zum Teil auf die dortige Debatte über die Rechtmäßigkeit von Ransomware-Zahlungen zurückzuführen ist. [7] Gesetzgeber in mindestens drei US-Bundesstaaten haben ebenfalls vorgeschlagen, Ransomware-Zahlungen zu verbieten. Viele Politiker und Branchenführer haben sich jedoch gegen eine solche Maßnahme ausgesprochen, da sie eine existenzielle Bedrohung für Ransomware-Opfer darstelle.

Sechs von 10 Unternehmen geben an, dass sie Lösegeld zahlen würden. [8] Aus Sicht der Opfer und Versicherer kann die Zahlung von Lösegeld weniger kosten als die Kosten für Betriebsunterbrechungen und andere Schäden. Sicherheits- und Strafverfolgungsbehörden weisen jedoch darauf hin, dass das Geld häufig zur Finanzierung künftiger Ransomware-Angriffe verwendet wird.

Außerdem haben Regierungsbehörden wie das Office of Foreign Assets Control des US-Finanzministeriums davor gewarnt, dass die Zahlung von Lösegeld gegen ihre Vorschriften verstoßen könnte, wenn das Geld an sanktionierte Personen geht. In einer Analyse wurde errechnet, dass 15 % der Ransomware-Zahlungen im letzten Jahr mit einem Sanktionsrisiko verbunden waren. [9]

In den letzten Monaten haben größere Ransomware-Angriffe auch Forderungen nach einer Meldepflicht für Vorfälle an die Behörden hervorgerufen. Und das US-Ministerium für Heimatschutz (DHS) hat zwei Richtlinien herausgegeben, in denen Eigentümer und Betreiber kritischer Infrastrukturen aufgefordert werden, spezielle Maßnahmen zum Schutz vor Ransomware-Angriffen zu ergreifen.

Einige sehen diese Entwicklungen als ein Zeichen dafür, dass sich Mindestsicherheitsstandards ausbreiten könnten. "Leider zögern Unternehmen oft, in die Cybersicherheit zu investieren, es sei denn, dies ist gesetzlich vorgeschrieben, so dass eine Regulierung als wahrscheinlich unvermeidlich angesehen werden muss", sagte Carl Wearn, Leiter der Abteilung Risk & Resilience, E-Crime & Cyber Investigation bei Mimecast.

Die durch diese Diskussionen geschaffene Unsicherheit erhöht die regulatorischen Risiken der Versicherer, die bereits vor dem Auftreten von Ransomware zunahmen. Der Anstieg der Datenschutzbestimmungen in den letzten Jahren ist ein Beispiel, das auch auf Ransomware zutrifft, da bei einem Ransomware-Angriff so viele persönliche Daten verschlüsselt und/oder gestohlen werden. Unternehmen, die nicht genug tun, um diese Daten zu schützen, können nach Vorschriften wie dem kalifornischen Consumer Privacy Act mit Strafen belegt werden.

Versicherer verstärken Sicherheitsmanagement

Versicherungsunternehmen haben ihre Dienstleistungen für Cyber-Versicherungsnehmer ausgeweitet, um ihr eigenes Risiko zu verringern, indem sie ihren Kunden helfen, ihre Sicherheitsvorkehrungen zu verbessern. Zu den kostenlosen oder ermäßigten Dienstleistungen zur Vorbeugung und Minderung von Cyber-Risiken können gehören:

• Instrumente zur Selbsteinschätzung
• Ausbildung der Mitarbeiter
• Planung der Reaktion auf Vorfälle
• Tabletop-Übungen
• Unterstützung bei der Einhaltung der Vorschriften
• Partnerschaften mit Technologieunternehmen
• Sicherheitswarnungen
• Rechtliche Warnhinweise

Kürzlich haben sieben Cyber-Versicherungsunternehmen ein Joint Venture gegründet, um Bedrohungen und bewährte Praktiken zu sammeln und zu analysieren, mit Behörden im Bereich Ransomware zusammenzuarbeiten und die Minderung von Cyber-Risiken auf dem gesamten Markt zu verbessern. [10] "Der Cyber-Versicherungsmarkt schließt sich um bestimmte Grundkontrollen als Voraussetzung für die Versicherbarkeit zusammen", so die Ransomware Task Force.

In der Vergangenheit hat die Branche mit solchen Forderungen und Anreizen erfolgreich Maßstäbe für den Brandschutz und andere Risiken gesetzt. "In jedem Fall hat der Versicherungssektor Risikomanagementpraktiken und -technologien identifiziert und unterstützt, die die Kurve gebogen und ein erhebliches Risiko zum beiderseitigen Nutzen des Versicherten und des Versicherers gemildert haben", schreibt die Task Force.

Die Quintessenz

Ransomware erschwert den Abschluss von Cyber-Versicherungen und treibt die Tarife in die Höhe, ohne dass ein Ende in Sicht ist. Aber auch die Versicherer reagieren mit Strategien, die ihren Kunden helfen, Angreifer abzuwehren.

[1] " Versicherer müssen den Ansatz für den "düsteren" Cyber-Versicherungsmarkt völlig neu überdenken ," Insurance Journal

[2] " Koalition veröffentlicht Bericht über Cyber-Versicherungsansprüche, der den Anstieg der Ransomware-Nachfrage im Jahr 2021 detailliert beschreibt ," Koalition

[3] " Cyber Security Breaches Survey 2021 ," UK Department for Digital, Culture, Media & Sport

[4] " RTF-Bericht: Bekämpfung von Ransomware ," Institut für Sicherheit + Technologie

[5] " Globale Cyber-Rückversicherungsraten steigen in der Juli-Erneuerung um bis zu 40 % ," Insurance Journal

[6] " 2021 Cyber Insurance Market Conditions Report ," Gallagher

[7] " Frankreichs größter Versicherer übernimmt keine Ransomware-Zahlungen mehr ," CPO Magazine

[8] " Ransomware: Zu viele Unternehmen sind immer noch bereit zu zahlen, wenn sie angegriffen werden ," ZDNet

[9] " 15% aller Ransomware-Zahlungen im Jahr 2020 bergen das Risiko von Sanktionsverstößen ," Chainalysis

[10] " Konsortium führender Cyber-Versicherer kündigt die Einführung von CyberAcuView an ," CyberAcuView