Die komplexe Landschaft der Cyber-Risiken

Die durchschnittlichen Kosten von Cyber-Verstößen haben sich Schätzungen zufolge zwischen 2014 und 2017 nahezu verdreifacht – Tendenz steigend. Während die Bedrohung immer komplexer wird, mangelt es vielen Wirtschaftsführern an einem Bewusstsein für Cyber-Gefahren. In den vergangenen fünf Jahren sind 92% der Unternehmen Opfer eines Cyberverstoßes geworden, wie eine Lloyd’s-Umfrage unter mehr als 350 Entscheidungsträgern in ganz Europa zeigt. Doch nur 42% befürchten, dass es noch einmal zu einem Zwischenfall kommen könnte. Ein gemeinsamer Bericht von KPMG in Großbritannien, der internationalen Anwaltskanzlei DAC Beachcroft und Lloyd’s-Versicherern zeigt neben verschiedenen Cyber-Bedrohungen auch Wege auf, um diese zu entschärfen.

Globaler Hacker-Angriff mit Milliarden-Schaden

Auf Basis eines hypothetischen Hacks kommt Lloyd's zu dem Schluss, dass ein globaler Hackerangriff einen Schaden von bis zu 120 Mrd. US-Dollar anrichten könnte.  Das wäre eine ähnliche Summe wie jene bei großen Naturkatastrophen wie Horricane Sandy oder Hurricane Katrina. Die durchschnittliche Schadenshöhe, die beim Hack eines Cloud-Services angerichtet werden kann, liege bei 53 Mrd. US-Dollar.

Spezifische Gefahren je nach Branche

Die Art der Cyberangriffe variiert je nach Branche und unterliegt stetigem Wandel. Einige Beispiele:

• Der „CEO Fraud“, eine Betrugsmasche, bei der falsche Identitäten genutzt werden, um Unternehmen zur Überweisung von Geld zu veranlassen, hat bereits zu erheblichen finanziellen Schäden geführt.
• Der Finanzdienstleistungssektor ist das bevorzugte Ziel organisierter Cyber-Kriminalität, aber auch der Einzelhandel gerät immer stärker ins Visier.
• Dienstleistungsunternehmen wie Kanzleien und Wirtschaftsprüfer werden immer häufiger gehackt, um an deren Kunden heranzukommen – oftmals große Konzerne.
• Auch Erpressungstrojaner (Ransomware) und Dienstblockaden (DDoS) richten sich vor allem gegen Unternehmen im Gesundheitswesen und in der Medien- und Unterhaltungsindustrie.
• Der öffentliche Sektor und der Telekommunikationssektor sind besonders sensibel für Cyberangriffe mit Spionageabsichten.

Treibende Kräfte der Cyber-Risiken

Der Bericht identifiziert vier treibende Kräfte, die auf Cyber-Risiken einwirken und deren Komplexität erhöhen. 

Europäische Regulierung: Regierungen erkennen Cyber-Risiken als wachsende Bedrohung und reagieren mit neuen Gesetzen, um die Sicherheit und Widerstandsfähigkeit elektronischer Netzwerke, Systeme und Daten zu verbessern. Damit dürften sich auch Strafen und Sanktionen gegen Unternehmen erhöhen, die den neuen Anforderungen nicht nachkommen. In Europa ist hier unter anderem die neue Datenschutz-Grundverordnung (DSGVO) zentral.

Tendenzen in der Rechtsprechung: Unternehmen werden bei Sicherheitsverstößen zunehmend mit rechtlichen Ansprüchen von Individuen und Organisationen konfrontiert, etwa was persönliche Daten und Privatsphäre betrifft. Mit Inkrafttreten der DSGVO im Mai 2018 wird sich diese Tendenz noch verstärken.

Sicherheit in der Lieferkette: Globale, technologieabhängige Lieferketten bergen Möglichkeiten für Cyberkriminelle, sich über das schwächste Glied in die Kette einzuschleusen. Cyberrisiken sind nicht nur IT-Risiken, sondern haben potenzielle Auswirkungen auf das gesamte Unternehmen und werden daher wichtiger Bestandteil des Risikomanagements. 

Internet der Dinge (IoT): Immer mehr Geräte und Prozesse werden an das Netzwerk angebunden, womit auch das Potenzial für Hacker-Angriffe, Schadsoftware und „Denial of Service”-Attacken steigt. Diese Entwicklung wird einen neuen Cyber-Markt generieren, der auf Konsumenten fokussiert ist, aber auch neue Haftungsbereiche für verschiedene Branchen hervorbringen. 

Vier Schritte für Unternehmen

Die Experten geben Unternehmen vier Möglichkeiten mit, wie sie sich auf Cyberangriffe vorbereiten und Cyberrisiken reduzieren können:

1. Sich ein klares Bild von den speziellen Gefährdungen für das Unternehmen verschaffen. Dazu gehören die unmittelbaren und langfristigen Kosten – von der Reputation, dem Wert der Daten bis hin zu Angriffspunkten in der Lieferkette und Führungskräfte-Profilen.
2. Gegenwärtige und zukünftige Bedrohungen bewerten. Beides wird von Versicherern analysiert, um den passenden Versicherungsschutz anzubieten.
3. Dafür sorgen, dass alle Mitarbeiter und Führungskräfte umfassend über die Cyberrisken informiert sind, denen das Unternehmen ausgesetzt ist. Ein entsprechendes Risikomanagement und eine sicherheitsbewusste Unternehmenskultur fördern.
4. Beim Abschluss von Cyberversicherungen auf die Beratung durch Experten setzen.