- Startseite
-
GDV legt neue Cyber-Musterbedingungen vor
Der Gesamtverband der Deutschen Versicherungswirtschaft (GDV) hat seine Musterbedingungen für die Cyberrisikoversicherung stark überarbeitet. Der Handlungsbedarf dürfte groß gewesen sein, denn trotz der dynamischen Entwicklungen im Bereich Cyberkriminalität mit einer deutlichen Zunahme von Angriffen in den vergangenen Jahren und veränderter Rahmenbedingungen waren die Bedingungen seit der Erstveröffentlichung im Jahr 2017 unverändert geblieben.
Stark veränderte Rahmenbedingungen machten Neufassung erforderlich
Der GDV zählt selbst relevante Veränderungen auf: mehr Beschäftigte arbeiten mobil, Anwendungen werden zunehmend über Cloud-Computing angeboten, die Datenschutzgrundverordnung hat neue Schadenersatzansprüche bei Datenlecks geschaffen. „Die neuen Musterbedingungen tragen diesen Entwicklungen Rechnung“, sagt GDV-Hauptgeschäftsführer Jörg Asmussen. An der grundlegenden Struktur einer Cyber-Police nach GDV-Musterbedingungen ändere sich hingegen nichts. Sie biete kleinen und mittleren Unternehmen umfassenden Versicherungsschutz gegen Cyberangriffe.
Marktlage beim Cyberschutz bleibt angespannt
Das blendet jedoch die tatsächlich angespannte Marktlage aus. Eine Bafin-Umfrage brachte unlängst ans Licht, dass das Geschäft für die Anbieter von Cyberpolicen weiterhin meist nicht rentabel ist. Cyberversicherungsschutz ist zudem wegen gesunkener Kapazitäten oft schwer zu bekommen, die Preise sind exorbitant gestiegen. Zudem haben die Versicherer hohe Mindestvoraussetzungen für die IT der von ihnen abzusichernden Unternehmen. Gerade an diesem Punkt wurde nun offenbar sogar nachgeschärft. „Die vom versicherten Unternehmen zu erfüllenden Obliegenheiten wurden neu formuliert, um den aktuellen technischen Stand abzubilden und das Verständnis beim Leser zu verbessern“, heißt es vom Verband.
Ausschluss bei staatlichen Hackerangriffen
Welchen Einfluss die neuen, unverbindlichen Musterbedingungen auf diese Gemengelage haben, bleibt abzuwarten. Festzustellen sind jedenfalls erhebliche Änderungen. So ist der Kriegsausschluss deutlich detaillierter definiert und das nicht zum Vorteil der Kunden. Der GDV schreibt dazu: „Die Neufassung stellt klar, dass ein Krieg im Sinne der Bedingungen nicht den Einsatz physischer Waffengewalt voraussetzt. Schäden durch Kriegshandlungen sind auch dann ausgeschlossen, wenn der Krieg mit digitalen Mitteln geführt wird. Darüber hinaus formulieren die neuen Musterbedingungen einen Ausschluss für staatliche Cyberangriffe. Demnach sind Schäden ausgeschlossen, die eine direkte oder indirekte Folge eines erfolgreichen staatlichen Angriffs auf kritische Infrastrukturen sind.“
Weitere Änderungen der Musterbedingungen
Der GDV listet noch eine Reihe weiterer Veränderungen auf:
Mobiles Arbeiten: Die neuen Musterbedingungen stellen klar, dass auch der Fernzugriff auf die Unternehmens-IT versichert ist.
Verletzung von Datenschutzgesetzen: Seit 2018 räumt die Datenschutzgrundverordnung (DSGVO) den Betroffenen eines Datenlecks ein Recht auf Schadenersatz ein. Da von einem solchen Datenleck oft viele Menschen betroffen sind, können diese Zahlungen sehr hoch ausfallen. Dieses Risiko wird in der Neufassung der Musterbedingungen mitversichert.
Externe Dienstleister: Schäden infolge einer Störung bei externen Dienstleistern wie Cloud-Anbietern, Rechenzentren oder Software-as-a-Service-Lösungen waren vom Versicherungsschutz bislang ausgeschlossen. Diese Einschränkung wird in den neuen Musterbedingungen größtenteils aufgehoben: Werden beim Dienstleister gespeicherte Daten manipuliert, mit Schadsoftware infiziert oder für unberechtigte Personen zugänglich, besteht Versicherungsschutz. Weiterhin ausgeschlossen bleibt hingegen der Ausfall des Dienstleisters, also die fehlende Verfügbarkeit der Daten.
Unterschätzte Gefahren und überschätztes Sicherheitsniveau
„Eine Cyberversicherung kann das Risiko eines Hackerangriffs absichern – ein solcher Schutz setzt aber ein gewisses Maß an IT-Sicherheit voraus. Wir werden daher weiter aktiv daran arbeiten, die IT-Sicherheit der deutschen Wirtschaft zu verbessern“, sagt Asmussen. Gerade in kleinen und mittleren Unternehmen werde die Gefahren aus dem Internet aber häufig unterschätzt und das Niveau der eigenen IT-Sicherheit überschätzt.
Neben Wirtschaft und Versicherern müsse aber auch die Politik ihren Beitrag leisten, indem sie klare Zuständigkeiten und Rahmenbedingungen für mehr Cybersicherheit schaffe, forder der Interessenverband. Die zuständigen Behörden sollten großflächige Angriffe auf Privatpersonen und Unternehmen schnell erkennen, bekannt machen und idealerweise auch Hinweise zur Abwehr des Angriffs geben. Staatsanwaltschaften und Polizeibehörden sollten sowohl als Partner der Betroffenen agieren als auch einen hohen Ermittlungs- und Fahndungsdruck auf die Täter ausüben. So seien gemeinsam Erfolge im Kampf gegen Cyberkriminelle möglich.
