Lange waren die europäischen Großkonzerne skeptisch, wenn es um den Abschluss von Cyber-Versicherungen ging: Zu geringe Versicherungssummen, die den Schaden nur zum Bruchteil abdecken, kaum Nutzen für das Unternehmen. Doch jetzt denken wichtige Konzerne um.
Der Flugzeughersteller Airbus hat gerade seine erste Cyber-Versicherung abgeschlossen, sagte Airbus-Manager Philippe Cotelle bei einer Fachkonferenz der SZ. Er ist Chef der Abteilung für Versicherung und Risikomanagement.
Auch der Technologie-Konzern Siemens und der Automobilzulieferer ZF Friedrichshafen beschäftigen sich mit den Policen. "Zur Risikominimierung gehört am Ende vielleicht auch die Versicherung", sagte Wolfgang Klasen, der bei Siemens den Bereich Forschung und Entwicklung für Embedded Security leitet. "Wir sind im Entscheidungsprozess", sagte Klasen. "Das ist bei uns ein Thema." Ähnlich bei ZF Friedrichshafen: "Wir prüfen momentan sehr intensiv, ob wir eine Police abschließen", sagte IT-Chef Jürgen Sturm auf der Konferenz.
Allerdings - einfach nur glücklich mit den vorhandenen Angeboten der Versicherer sind die Konzerne nicht. Airbus-Manager Cotelle fordert von den Anbietern mehr Transparenz darüber, was genau versichert und was ausgeschlossen ist. "Wir brauchen Klarheit, für was die Deckung gilt", sagte Cotelle.
Das Interesse europäischer Konzerne an Cyber-Versicherungen markiert einen Wendepunkt für das junge Geschäftsfeld. Während solche Policen für US-Unternehmen selbstverständlich sind, schlossen deutsche Großunternehmen kaum Verträge ab.
Doch inzwischen haben die Konzerne begriffen, dass sie trotz technischer Hochrüstung mit erfolgreichen Angriffen rechnen müssen. Zwar haben sie selbst Experten, die die Systeme wieder ans Laufen bringen. Aber die Spezialisten der Versicherer sammeln Erfahrungen aus zahlreichen Schadenfällen und können im Notfall zusätzliche Hilfe bieten. Wer schon viele Male mit einem Erpressungstrojaner im IT-System zu tun hatte, kann nützlich sein.
Bisher kam für ZF eine Cyber-Versicherung nicht infrage. "Ich bin jetzt einige Jahre IT-Entscheider und habe mich bislang immer dagegen entschieden", sagte Sturm. "Als erste Policen auf in den Markt kamen, war meine Überlegung, dass die monetäre Abdeckung in Relation zum Schaden sehr gering ist." Bei einer massiven Attacke auf den Konzern sei die Versicherungssumme zwar hilfreich. "Doch angesichts des Gesamtschadens, ist das eigentlich nur ein Trostpflaster."
Große Attacken wie der gegen die Hotel-Gruppe Marriott verursachen Millionen-Schäden
Zudem habe der Automobilzulieferer einen Teil der Gefahren wie das Betriebsausfallrisiko über andere Policen abgesichert. "Heute denke ich anders", sagte der Manager. Eine Cyber-Versicherung könne ein wichtiger Mosaikstein in der Absicherung sein. "Wenn man betroffen ist, geht es auch darum, dass man schnell aus der Krise herauskommt", sagte Sturm. Cyberversicherer könnten ZF mit Schadenerfahrungen von anderen Kunden sowie mit ihrem Netzwerk aus IT-Fachleuten bei der Krisenbewältigung unterstützen.
Dennoch bleibt die Kritik in der Industrie an der Höhe der Summen. Große Cyberattacken wie der aktuelle Hackerangriff auf die Marriott-Hotelgruppe verursachen Schäden im Milliardenhöhe, doch die angebotenen Versicherungssummen überschreiten selten 500 Millionen Dollar.
Bei Siemens hatte der Stuxnet-Vorfall im Jahr 2010 zu einem Umdenken bei der IT-Sicherheit geführt, berichtete Siemens-Manager Klasen. Der Computerwurm hatte weltweit Industrietechnologie von Siemens infiziert. Stuxnet war mutmaßlich konzipiert worden, um das iranische Atomprogramm anzugreifen. "Nach Stuxnet gab es einen Ruck im Konzern und es wurde viel, viel mehr Geld für das Thema Sicherheit zur Verfügung gestellt." Heute kümmern sich bei Siemens rund 1 300 Mitarbeiter in verschiedenen Geschäftseinheiten darum.