Computerkriminalität

Die grössten Risiken der heutigen Zeit

Text: P romrisk AG, Bild: Redaktion

Die Cyber-Risiken sind nicht zu unterschätzen, insbesondere darum, weil heutige Betriebe immer moderner ausgestattet  und mittlerweile auch Maschinen und Anlagen mit dem IT-System verbunden sind. Ebenso speichert ein Metallbaubetrieb wichtige Daten wie z.B. Kundenaufträge, Planungen oder auch Personaldaten. Damit steigt das Risiko für Unternehmen, einen Cyber-Schaden zu erleiden, sei es durch einen beabsichtigten oder unbeabsichtigten technischen Fehler, durch eigene Mitarbeiter, einen Angriff von Cyber-Kriminellen oder sonstige Ursachen. Experten schätzen, dass jährlich über 90% der Unternehmen Cyber-Attacken ausgesetzt sind. In der Schweiz wurden im Jahr 2022 Total 33 345 Angriffe polizeilich registriert, wobei die Dunkelziffer wesentlich höher ausfallen dürfte. Die Aufklärungsrate bei Ransomware-Angriffen z.B. beträgt lediglich 1,3%. Daraus resultierende Datenverluste oder IT-Störungen können zu immensen finanziellen Auswirkungen führen.

Was genau sind Cyber-Risiken?

Das Wort «Cyber» ist heutzutage in aller Munde, doch was bedeutet es eigentlich? Cyber stammt aus dem Englischen und steht für alles, was mit der virtuellen Welt zu tun hat. Kurz zusammengefasst steht Cyber-Risiko für drei Verletzungen im Zusammenhang mit Daten:
• Eigenschäden (Entfernung von Schadsoftware, Wiederherstellungskosten, Betriebsausfall etc.);
• Drittschäden (Datenverlust, Datenschutzverletzung etc.);
• Erpressung/Lösegelder.

Reale Schadenbeispiele von Metallbaubetrieben

Beispiel 1 Fremdschäden

Ausgangslage:
Die Muster Metallbau AG ist eine klassische und mittelgrosse Metallbaufirma mit eigenem Server und wöchentlichem Backup.

Schaden:
Die Muster Metallbau AG wurde von einem Hacker angegriffen. Mittels eines Trojaners wurden sensible Daten von Kunden und Lieferanten gestohlen und vom Hacker unerlaubt veröffentlicht. Einige der Kunden und Lieferanten tragen einen Imageschaden davon und stellen der Muster Metallbau AG einen Schadenersatzanspruch .

Problematik:
Für die Muster Metallbau AG entsteht ein reiner Vermögensschaden gegenüber Dritten. In der klassischen Betriebshaftpflichtversicherung sind reine Vermögensschäden grundsätzlich ausgeschlossen.

Folge:
Die Muster Metallbau AG muss für den entstandenen Schaden selbst aufkommen.

Lösung:
Abschluss einer entsprechenden Cyber-Police mit Einschluss der Fremdschäden.

 

Beispiel 2 Social Engineering (Fake President)

Ausgangslage:
Die Muster Metallbau AG ist eine klassische, grössere Metallbaufirma mit 30 Mitarbeitenden.

Schaden:
Ein Mitarbeiter aus der Buchhaltung der Muster Metallbau AG bekommt eine sichere E-Mail eines Lieferanten, welcher behauptet, dass eine Eillieferung, die der Chef dringend erwartet, erst versendet werden kann, wenn der offene Betrag in Höhe von CHF 22 500.– sofort überwiesen wird. Eine Stunde nach Erhalt dieser E-Mail erfolgt ein Telefonanruf des «Lieferanten», der nochmals mit Nachdruck auf die Überweisung drängt.

Problematik:
Der Buchhaltungsmitarbeiter ist überfordert, da er über die Knappheit der angeblichen Lieferung (Material) Bescheid weiss und sein Chef als Choleriker bekannt ist. Er möchte nicht, dass die vom Chef vermeintlich bestellte Lieferung seinetwegen nicht rechtzeitig ankommt, und überweist deshalb per Sofortüberweisung den geforderten Betrag.

Folge:
Der bezahlte Betrag von CHF 22 500.– ist verloren.

Lösung:
Abschluss einer entsprechenden Cyber-Police mit der Deckung Social-Engineering.
  

Was kann dagegen unternommen werden?

Firmen sind lukrative Ziele für Betrüger. Im Vergleich zu Privatpersonen lassen sich in der Regel auf einen Schlag grössere Summen entwenden. Deshalb wenden die Angreifer mehr Zeit auf und die Angriffe erfolgen gezielter und professioneller als bei Privatpersonen. Dabei stehen vor allem die Finanzabteilungen im Fokus. Die Betriebshaftpflichtversicherung deckt Schäden, welche einem Dritten durch Verschulden des Versicherten entstehen. Allerdings werden grundsätzlich ausschliesslich Personen- und Sachschäden sowie die daraus entstehenden Folgeschäden versichert, nicht aber Vermögensschäden, welche üblicherweise im Zusammenhang mit Cyber-Risiken anfallen. Hier greifen die Cyber-Risk-Versicherungslösungen. Die Cyber-Risk-Versicherung deckt sowohl Schäden, die der Versicherte einem Dritten verursacht (Drittschaden), als auch Schäden, die beim Versicherten selbst entstehen (Eigenschaden). Eigenschaden entsteht beispielsweise durch kriminelle Handlungen Dritter, bei denen Daten des Versicherten beschädigt oder vernichtet werden oder die Geschäftsaktivität beeinträchtigt oder gar unterbrochen wird. Erpressungsversuche mit sog. Ramsonware, mittels deren Daten verschlüsselt und für deren Entschlüsselung eine Lösegeldzahlung gefordert wird, kommen ebenfalls vor.

 

«Die Cyber-Risk-Versicherung deckt sowohl Schäden, die der Versicherte einem Dritten verursacht (Drittschaden), als auch Schäden, die beim Versicherten selbst entstehen (Eigenschaden).»  

 

In Schadenfällen decken Cyber-Risk-Versicherungen regelmässig den Ausgleich berechtigter sowie die Abwehr unberechtigter Schadenersatzansprüche Dritter. Die Wiederherstellungskosten des IT-Systems bei durch einen Cyber-Angriff beschädigten, blockierten oder zerstörten Daten, Programmen und Netzwerken werden ebenfalls erstattet. Bei Betriebsunterbruch werden der Ertragsausfall sowie weitere Kosten, welche zur Fortführung der Betriebsaktivitäten erforderlich sind, gedeckt. Erpressungszahlungen können in die Cyber-Police miteingeschlossen werden. Aber nicht nur der Ausgleich des durch den Cyber-Vorfall direkt verursachten Schadens, sondern auch Kosten wie diejenigen für die Beauftragung eines professionellen Krisenmanagements, von externen Computer-Forensik-Analysten, PR-Experten und spezialisierten Anwälten werden regelmässig gedeckt. Abschliessend möchten wir auf den wichtigen Punkt hinweisen, dass die Versicherungsnehmer auch bei einem allfälligen Schadenfall mit ihrem bestehenden IT-Partner zusammenarbeiten können. Diese Versicherung übernimmt dann die Kosten Ihres IT-Partners für sie.  

Die PROMRISK AG weiss Rat

Die PROMRISK AG, der offizielle Verbandsbroker des AM Suisse, hat sich seit Aufkommen dieses Themas intensiv mit den Cyber-Risiken auseinandergesetzt. Cyber-Versicherungen sind erst seit wenigen Jahren auf dem Markt, die Produkte unterscheiden sich von Versicherungsgesellschaft zu Versicherungsgesellschaft enorm. Wichtig ist, dass nicht jedes Cyber-Produkt zu jedem Betrieb passt. Es muss individuell je nach Betrieb das Risiko analysiert und dafür ein geeigneter Versicherungspartner gefunden werden. Deshalb erstellen wir jedes Jahr einen neuen und umfangreichen Cyber-Vergleich aller Versicherungsgesellschaften, sodass wir immerzu auf das aktuell beste Produkt je nach Bedarf zurückgreifen können. Hierzu zählen auch die Obliegenheiten im Schadenfall sowie das Ausfüllen des Cyber-Fragebogens.

Wir haben uns auf die Cyber-Risiken der Metallbaubranche spezialisiert und helfen und beraten Sie gerne.

Tel. 044 851 55 66 oder info@promrisk.ch   

www.promrisk.ch