Wie hoch sind die durchschnittlichen Schäden einer Attacke?
Sieverding: Bei unserer Studie haben wir Unternehmen ab zehn Mitarbeitende und bis zu 50 Millionen Euro Jahresumsatz abgefragt. Und da lag die durchschnittliche Schadenhöhe nach einem erfolgreichen Cyberangriff bei 193.697 Euro. Gerade der Wiederaufbau der IT-Systeme ist immer komplexer und dauert immer länger.
Und wie hoch sind die Versicherungssummen?
Sieverding: Der höhere Mittelstand schließt in der Regel Versicherungssummen zwischen fünf bis zehn Millionen Euro ab. Dort haben wir bereits Schadenfälle gesehen, in denen diese Versicherungssumme komplett aufgebraucht wurde. Daher spielen wir mit Unternehmen, wenn es um die Absicherung geht, einen typischen Schadenfall durch. Die Fragen lauten: Welche Kosten entstünden, wenn die Wiederherstellung der IT-Systeme drei bis sechs Wochen dauern würde. Und wie hoch wäre der Ertragsausfall? Das macht rund die Hälfte bis zwei Drittel der Versicherungssumme aus. Hinzu kommt das Thema Haftpflicht: Was würde ein behördliches Verfahren bei einer Datenpanne kosten. Wir sehen in der Schadenpraxis, dass diese Fälle meistens gemeinsam auftreten: Hacker verschaffen sich Zugang zum IT-System, ziehen sensible Daten aus den IT-Systemen und verschlüsseln dann das System. Idealerweise wird das oft kombiniert mit einer Lösegeldforderung. Zur Untermauerung der Forderungen drohen die Cyberkriminellen mit der Veröffentlichung der gekaperten Daten. So kommt man meistens zu den Versicherungssummen, die oftmals dann auch komplett gebraucht werden.
Die Prämien steigen und Oliver Schulze, Head of Working Group Silent Cyber bei der Gothaer, erwartet, dass sie noch weiter zulegen.
Sieverding: Zweistellige Steigerungsraten sind da noch human. In der Spitze gab es Prämiensteigerungen von 200 bis 300 Prozent. Viele Risikoprüfungen liegen vier, fünf Jahre zurück. Und da war die Risikolage eine ganz andere. Wer damals den Schutz günstig eingekauft hat und nun auf Marktniveau gehievt wird, kann durchaus mit solchen Prämiensteigerungen konfrontiert werden. Im Marktniveau lagen die Steigerungen aber zwischen 20 bis 25 Prozent.
Wie viele Konzepte gibt es im Markt? Und wie gut sind die Vermittler auf diese eingestellt?
Sieverding: Aktuell bieten 55 Versicherer Cyberdeckungen an. 2020 betrug der Umsatz 240 Millionen Euro. In der Feuerversicherung wurden im gleichen Zeitraum sechs Milliarden Euro umgesetzt. Das zeigt, dass die Marktdurchdringung noch nicht so groß sein kann. Ich schätze, dass es zwischen 60.000 bis 80.000 Cyberpolicen gibt. Wir haben über drei Millionen Unternehmen in Deutschland. Im mittelständischen Gewerbeversicherungsmarkt dürften bis heute die meisten nicht wissen, was die Konzepte können. Das Thema ist für KMU eine große, grüne Wiese. Hinzu kommt, dass viele Vermittlerinnen und Vermittler das Produkt immer noch nicht aktiv ansprechen. Wir versuchen, hier aufzuklären. Es geht darum, dass sich alle Unternehmen mit dem Thema auseinandersetzen müssen, ob sie den Schutz benötigen. Das ist bislang nicht der Fall. Insofern empfehle ich jedem Vermittler, das Thema auf die Agenda zu nehmen und aktiv anzusprechen. Wir sehen junge, dynamische Vermittler, die Cyber nutzen, um im Gewerbesegment einen Fuß in die Tür zu bekommen. Wir hatten aber auch Schadenfälle, in dem der Kunde dann fragte, wieso er vorher nicht auf die Gefahr hingewiesen worden ist. Das kann Haftungsstreitigkeiten nach sich ziehen. Von daher lautet unsere Empfehlung: Cyberversicherungen auf die Agenda nehmen und aktiv ansprechen. In zweitägigen Boot-Camps machen wir Vermittlerinnen und Vermittler, die bislang noch nicht viele Berührungspunkte mit dem Thema hatten, fit. Welche Konzepte gibt es im Markt? Wie funktionieren sie? Welche Risikofragen werden gestellt? Welche Rückfragen können kommen und wie lassen sich diese beantworten? Ziel ist es, die Scheu vor dem Produkt zu nehmen. Spannend: In Nachgang zu solchen Schulungen haben sich die Umsatzprämien der beteiligten Vermittler bei Cyberversicherungen verdreifacht.
Das Interview führte Cash.-Redakteur Jörg Droste
