Versicherung gegen Hacker
14. Juli 2013
"Es war einfach nur Zufall", betont Hartmut Mai. Kurz nach den Veröffentlichungen von Whistleblower Edward Snowden brachte die Allianz Global Corporate & Speciality (AGCS) ein thematisch passendes Versicherungspaket heraus. AGCS-Vorstandsmitglied Mai kam die breite öffentliche Diskussion gerade recht. "Damit konnte man nicht unbedingt rechnen", meint Mai im Deutsche Welle-Interview, "aber das war eine gute Gelegenheit für uns".
Das Paket der Allianz Group besteht aus einem mehrstufigen Baukasten für Unternehmen, das je nach Bedarf verschiedene Risiken abdeckt. Was ist, wenn ein Hacker-Angriff dazu führt, dass die Produktion tagelang stillsteht? Was passiert, wenn der Ruf der Firma dadurch leidet? Bei solchen und weiteren Fällen verspricht die Versicherung einzuspringen.
"Großer Wachstumsmarkt"
Ganz neu ist die Idee nicht. In den USA schließen Firmen solche Cyber-Versicherungen schon häufiger ab, die Versicherten geben dort jährlich knapp eine Milliarde Euro dafür aus. In Europa und Deutschland ist der Markt aber "noch stark unterentwickelt", sagt Martin Eling vom Institut für Versicherungswirtschaft in St. Gallen in der Schweiz. Eling rechnet aber damit, dass es auch in Europa einen Bedarf im Milliardenumfang gibt, denn "es gibt viele prägnante Beispiele für Cyber-Risiken".
Nicht nur Edward Snowden hat gezeigt, dass die Sicherheit von Computersystemen oft löchrig ist wie ein Schweizer Käse. Sony zum Beispiel hatte mit einer gravierenden Sicherheitslücke bei der Spielekonsole "Playstation 3" zu kämpfen, die ans Internet angeschlossen ist. 2011 hatten Hacker das Online-Portal geknackt und konnten massenhaft persönliche Daten einsehen, darunter auch Kreditkarten-Nummern. Ein Aufsehen erregender Fall, ein großer Image-Schaden für Sony.
Ein solcher Schaden ist kaum bezifferbar und kaum bezahlbar, meint Hartmut Mai von der Allianz Group. Die "Cyber Protect" hat eine Haftungsgrenze von 50 Millionen Euro, die in einem solchen Fall schnell überschritten werden könnte. Deshalb bietet sein Unternehmen auch keine direkte Versicherung dafür an. Teil der Versicherungsleistung ist aber, dass PR-Spezialisten darauf angesetzt werden, den Schaden in der Öffentlichkeit wieder glattzubügeln. "Gegenmaßnahmen über Kommunikation" nennt Mai das.
Viele mögliche Schäden
Nicht immer muss ein Computer-Schaden so spektakulär sein wie im Fall Sony. Die neue Versicherung der Allianz Group kümmert sich auch um Eigenverschulden, "zum Beispiel, wenn ein schlecht geschulter Mitarbeiter einen Systemfehler auslöst", erklärt Hartmut Mai im Gespräch mit der DW. Wenn dadurch tage- oder wochenlang nicht produziert werden kann, sei das in der Police mitversichert.
Ein anderes Beispiel: Ein Unternehmen hat wichtige Daten in einer Cloud ausgelagert, also auf Computern eines fremden Anbieters geparkt. Wenn dieser Cloud-Betreiber die Daten - vielleicht wegen eines Hacker-Angriffs - nicht mehr liefern kann, dann hilft die Allianz Group dabei, den Betreiber in die Haftung zu nehmen.
Auch wenn ein Unternehmen durch seinen Online-Auftritt unabsichtlich gegen Markenrechte oder Patentrechte im Ausland verstößt, greift die Versicherung. "Das Internet ist weltweit, und damit ist man auch direkt im weltweiten Haftungs-Gefüge", erklärt Mai. Die "Allianz Cyber Protect" hilft auch, wenn ein Datenleck in einem Unternehmen bekannt wird und Behörden eine interne Untersuchung anfordern, die oft mit hohen Kosten verbunden ist.
Nur was für große Fische
Wie viel die Firmen für diese Versicherungsleistung zahlen müssen, ist höchst unterschiedlich. "Die Versicherungsprämie orientiert sich an der Branche, an der Größe des Unternehmens und daran, wie stark die Systeme gesichert sind", so Versicherungswirtschafts-Experte Martin Eling. Das wird von den Anbietern vorher untersucht. Bestimmte Branchen kategorisch ausschließen will die Allianz-Group nicht, auch besonders datenintensive und damit vielleicht potentiell risikoreichere nicht. Eine Bank ist aber bisher noch nicht Kunde geworden.
Trotz der Erfahrungen aus den USA und auch einiger Vorläufer-Versicherungen der Allianz-Group und anderer Anbieter ist das Versicherungsfeld noch neu. "Es gibt leider kaum Informationen zu Markterfahrungen", sagt Martin Eling. Noch gebe es relativ wenige Produkte und kaum Standards. Auch die AGCS richtet sich an einen relativ exklusiven Kreis von Firmen. Sie müssen einen Umsatz von mindestens 500 Millionen Euro vorweisen, um überhaupt als Kunde in Betracht zu kommen. Die Allianz Group will die Versicherung bald auch in anderen europäischen Ländern und später auch in Australien, Neuseeland und Asien anbieten.
Privatpersonen sind ausgeschlossen. Solche Versicherungen gibt es nur sehr selten, meint Eling. Manchmal seien Angebote aber Teil einer Hausrat-Versicherung. Dann würden zum Beispiel die Kosten für die Computer-Wiederherstellung nach einer Virenattacke erstattet.