Thomas Kress: „Täter verdienen an Unsicherheit und Zeitdruck“

Thomas Kress

Wie gut ein Unternehmen auf einen Cyberangriff vorbereitet ist, lässt sich Kress zufolge nicht allein an vorhandenen Sicherheitsmaßnahmen ablesen. Entscheidend sei vielmehr, die tatsächlichen digitalen Abhängigkeiten und die Folgen eines Ausfalls zu kennen.

„Die Geschäftsführung hört, dass Backups vorhanden sind, und nimmt an, der Betrieb könne nach einem Angriff kurzfristig weiterlaufen. Ein wiederhergestellter Server bedeutet jedoch nicht, dass Anwendungen, Schnittstellen und Berechtigungen funktionieren. Erst dann zeigt sich, ob aus gesicherten Daten wieder ein arbeitsfähiger Prozess entsteht.“

Pauschale Antworten schaffen falsche Sicherheit

Auch Risikofragebögen können aus Sicht von Kress ein unvollständiges Bild vermitteln. Für Makler komme es deshalb darauf an, hinter pauschalen Angaben die tatsächliche Umsetzung von Sicherheitsmaßnahmen zu hinterfragen.

„Makler müssen dafür keine technischen Audits durchführen. Sie sollten aber konkrete Anschlussfragen stellen. Welche Zugänge sind tatsächlich durch starke Mehrfaktorauthentifizierung geschützt? Wann wurde die Wiederherstellung zuletzt praktisch getestet? Wer entscheidet bei einem Vorfall? Gibt es einen Kommunikationsweg außerhalb der eigenen IT? Konkrete Antworten sind aussagekräftiger als eine lange Liste eingekaufter Sicherheitsprodukte.“

Wenn der Stillstand zum eigentlichen Schaden wird

Bei Ransomware richtet Kress den Blick weniger auf die Lösegeldforderung als auf die wirtschaftlichen Folgen einer Betriebsunterbrechung. Besonders problematisch werde es, wenn Unternehmen den Aufwand für einen sicheren Wiederanlauf unterschätzen.

„Viele Unternehmen unterschätzen, wie lange ein geordneter Wiederanlauf dauert. Systeme einfach wieder einzuschalten, wäre fahrlässig. Zuerst muss geklärt werden, wie die Täter eingedrungen sind, welche Konten betroffen sind und ob Schadsoftware oder Hintertüren zurückgeblieben sind.“

Versicherung ersetzt keine Vorbereitung

Eine Cyberversicherung kann laut Kress im Ernstfall finanzielle Folgen begrenzen und den Zugang zu spezialisierten Dienstleistern erleichtern. Ihre Möglichkeiten enden jedoch dort, wo es im Unternehmen selbst an belastbaren Vorkehrungen und klaren Verantwortlichkeiten fehlt.

„Die Grenze ist ebenso klar: Eine Polizze macht aus einem ungetesteten Backup kein funktionierendes Backup und aus einem Notfallplan auf Papier noch keinen beherrschbaren Wiederanlauf. Wenn das Unternehmen seine kritischen Systeme nicht kennt, Berechtigungen nie überprüft wurden und niemand Entscheidungen treffen darf, bleibt es trotz Versicherung operativ handlungsunfähig. Versicherungsschutz und Cybersicherheit dürfen deshalb nicht getrennt betrachtet werden.“

Makler müssen Fakten von Annahmen unterscheiden

Für die Beratung bedeutet das aus Sicht von Kress nicht, dass Makler selbst zu IT-Spezialisten werden müssen. Ihre Aufgabe sieht er vielmehr darin, gemeinsam mit dem Kunden zu klären, wie belastbar die Angaben zum tatsächlichen Sicherheitsniveau sind.

„Angaben im Antrag müssen geprüft werden, denn Management, IT und externe Dienstleister gehen häufig von unterschiedlichen Umsetzungsständen aus. Der Makler muss keine Firewall konfigurieren. Er sollte aber erkennen, ob Antworten auf Fakten oder nur auf Annahmen beruhen.“

Handlungsfähigkeit entscheidet über Versicherbarkeit

Vollständige Sicherheit hält Kress für kein realistisches Ziel. Unternehmen sollten sich stattdessen darauf vorbereiten, Angriffe frühzeitig zu erkennen, ihre Ausbreitung zu begrenzen und den Betrieb kontrolliert wiederherstellen zu können.

„Täter verdienen an Unsicherheit und Zeitdruck. Wer seine Abhängigkeiten kennt, Angriffe begrenzen kann und den Wiederanlauf beherrscht, nimmt ihnen genau diesen Hebel. Das ist auch der Kern einer seriösen Versicherbarkeit. Nicht die Zahl der Sicherheitsprodukte entscheidet über die Qualität des Risikos, sondern die nachgewiesene Fähigkeit, im Ernstfall handlungsfähig zu bleiben.“

Das gesamte Interview lesen Sie in der AssCompact Oktober-Ausgabe!