Frage von H. U. in Z., Treuhandunternehmer in B.: „Spektakuläre Hackerangriffe, Datendiebstähle von aussen und von Mitarbeitenden, allgegenwärtige Pishingversuche über die Mailbox: Wir leben in einer Welt voller Risiken, die mit dem Internet verbunden sind. Wie können Unternehmen in der Schweiz diese Cyberrisiken versichern?“
 

Studie der Universität St. Gallen

„Cyber Risk: Risikomanagement und Versicherbarkeit“  lautet der Titel einer Studie des Instituts für Versicherungswirtschaft der Universität St. Gallen. Darin wird im Detail aufgezeigt, wie weltweit und in der Schweiz das Cyberrisiko zu einem der grossen neuen Risiken des 21. Jahrhunderts heranwächst - und wie sich das Cyberrisiko derzeit versichern lässt.
 

Direkte und indirekte Kosten

Aus den mannigfaltigen Cyberrisiken können einem Unternehmen beispielsweise folgende direkte und indirekte Kosten entstehen:
• Wiederherstellung der Website
• Wiederherstellung von Daten
• Kosten wegen Geschäftsunterbrechung
• Rechtsstreitigkeiten
• Verluste durch Reputationsschäden
• Marktwertverlust des Unternehmens 
• Kosten wegen Verletzung der Privatsphäre von Kunden
• Klagen, weil Datenschutzbestimmungen nicht eingehalten worden sind
 

Schwierigkeiten bei der Versicherung

In der Studie der Uni St. Gallen wird aufgezeigt, wie schwierig es für die Versicherer ist, Cyberrisiken zu versichern. Wenn beispielsweise das Windows-Betriebssystem erfolgreich angegriffen wird, ist ein Grossteil der Unternehmen potenziell davon betroffen. Das ist dann so, wie analog bei der Feuerversicherung plötzlich ein Grossteil der versicherten Häuser brennen würde – eine Katastrophe für das Versicherungsprinzip, bei dem viele nichtgeschädigte Prämienzahler für einen Geschädigten aufkommen müssen. Überdies kann die Cyberversicherung Unternehmen dazu verleiten, weniger Aufwand für den Systemschutz zu betreiben. Das will der Versicherer durch eine Systemeinsicht verhindern. Diese notwendige Systemeinsicht durch den Versicherer wiederum kann aus Datenschutzgründen Unternehmen davon abhalten, überhaupt eine Cyberrisikoversicherung abzuschliessen.
 

Drei notwendige Massnahmen

Unternehmen sollten zuerst mal bei ihrem Versicherer abklären, was in den bestehenden Versicherungen im Zusammenhang mit den Cyberrisiken bereits abgedeckt ist. Enthalten sind oft Deckungen für Betriebsunterbrüche, menschliches Versagen oder die Wiederherstellung von Daten bei Datenverlusten. Die zweite Massnahme ist der bestmögliche technische Schutz der gesamten Informationstechnologie des Unternehmens und dessen laufende Aktualisierung. Die dritte Massnahme ist die rollende Ausbildung und die ständige Bewusstseinsbildung aller Mitarbeitenden im Bereich aller Cyberrisiken. Eindeutige Statistik laut der St.Galler Studie: Unternehmen mit einem kompetenten Verantwortlichen für die Cyberrisiken haben viel weniger Cyberschäden zu verkraften.
 

Eigentliche Cyberrisikoversicherungen

Der Markt für eigentliche Cyberrisikoversicherungen ist in der Schweiz noch minim. Das Prämienvolumen wird auf lediglich fünf Millionen Franken geschätzt. Es gibt auch nur wenige Anbieter. Dazu zählt beispielsweise die Zürich, die das Produkt „Cyber Security and Privacy“ vermarktet. Mittlere und grosse Unternehmen können damit fünf Cyberdeckungsbausteine einkaufen: Cyberhaftpflicht, Kostendeckung bei Verstössen gegen den Datenschutz, Datenwiederherstellung, Betriebsunterbruch nach Cyberangriff, Kostenfolgen von Cybererpressung.
 

Grosses Wachstum in Sicht

Laut der St. Galler Studie ist zu erwarten, dass der noch in den Kinderschuhen steckende Markt für Cyberrisiken in Zukunft stark wächst. Die Versicherer werden Erfahrungen sammeln und für die Unternehmen aller Grössenordnungen geeignete Deckungsbausteine zu vernünftigen Prämien entwickeln. Das Wachstum des Cyberrisikoversicherungsmarkts wiederum wird bei den Unternehmen das Bewusstsein für die Gefahren der Cyberrisiken weiter schärfen.