„Haben Sie schon den Erfolg Ihrer Digitalisierung versichert?“

Neue Technologien und die digitale Transformation in Unternehmen bringen nicht nur Vorteile, sondern stellen das Management vor neue Herausforderungen. Insbesondere das Risiko von Cyberangriffen steigt mit der fortschreitenden Digitalisierung. Der österreichische Versicherungsmarkt hat auf diese neuen Risiken reagiert und bietet vermehrt Versicherungen gegen Schäden aus Cyberangriffen an.

Von Mag. (FH) Mikhail Arshinskiy MSc, Mag. Karin Mair CFE, Mag. Shahanaz Müller BA, Ilse Herndl LL.B. (WU)
01. September 2017 / Erschienen in Compliance Praxis 3/2017, S. 34

1. Einleitung

Digitalisierung betrifft uns alle: Unternehmen befinden sich in einem Digitalisierungsprozess und arbeiten an innovativeren Produkten sowie Dienstleistungen, Privatpersonen profitieren von Trends, wie dem autonomen Fahren und „Smart Living“. Die Unternehmen stehen beim Digitalisierungsprozess vor der Herausforderung, datenbezogene Systeme und neue Technologien zu entwickeln sowie einzusetzen, grundlegende datenbezogene Prozesse zu überarbeiten und gleichzeitig datenschutzrechtliche Vorschriften zu berücksichtigen. Stetig steigen damit für Unternehmen die Anforderungen an Cyber-Security-Maßnahmen. Denn das organisierte Verbrechen nutzt die Digitalisierung für neue Formen der (Cyber-)Kriminalität. Doch auch die besten Cyber-Security-Maßnahmen bieten keinen hundertprozentigen Schutz vor Angriffen, sodass ein gewisses Restrisiko bestehen bleibt.

Um im Falle eines Angriffs die Schäden so gering wie möglich zu halten, gehört der Abschluss einer Cyber-Versicherung in den USA mittlerweile zum Versicherungsportfolio eines jeden Unternehmens. Dies ist ua auch auf die zwingende Meldepflicht von Cyber-Angriffen bzw Datenschutzverletzungen zurückzuführen, die es in den USA schon seit 2002 gibt.¹

Im Vergleich dazu sind in Österreich erst rund 3 Prozent gegen Cyberangriffe versichert, wobei davon auszugehen ist, dass sich diese Zahl in den nächsten Jahren deutlich erhöhen wird.² Diese Entwicklung ist einerseits vor dem Trend der Digitalisierung zu sehen, da sich Unternehmen mit ihrem Datenhaushalt näher befassen und teilweise grundlegende datenbezogene Prozesse überarbeiten (müssen). Andererseits werden Unternehmen mit Inkrafttreten der EU-Datenschutz-Grundverordnung (DSGVO) im Mai 2018 nun auch dazu verpflichtet, Datenschutzverletzungen an die Aufsichtsbehörde und gegebenenfalls auch an die Betroffenen zu melden.³

Im vorliegenden Beitrag werden unterschiedliche Ausprägungen des Begriffs Cybercrime dargestellt. Anschließend wird anhand eines Fallbeispiels auf die wesentlichen Parameter, Chancen und Risiken von Cyber-Versicherungen für Unternehmen eingegangen.

2. Cybercrime – Definition und Ausprägungen

Dass das Thema Cybercrime auch für österreichische Unternehmen von Relevanz ist, zeigt die aktuelle Studie des Allianz Risk Barometers, einer zum sechsten Mal in 55 Ländern durchgeführten Umfrage, wonach Cyber- und IT-Risiken mit 32 Prozent die zweitgrößte Gefahr für österreichische Unternehmen darstellen.⁴ In der Finanzindustrie steigt diese sogar auf 40 Prozent.⁵ Auch das Bundeskriminalamt verzeichnete 2016 eine Zunahme von 30,9 Prozent an Anzeigen von Cyberdelikten.⁶

Wie bereits kurz angedeutet, zeichnet sich der Begriff Cybercrime durch seine stetige Weiterentwicklung, unterschiedliche Ausprägungen und eine Vielzahl an Angriffsmöglichkeiten aus. Es ist also nicht verwunderlich, dass sich dem österreichischen StGB keine (umfassende) gesetzliche Definition des Begriffs entnehmen lässt. Diverse damit zusammenhängende Tatbestände wurden im StGB einerseits im fünften („Verletzung der Privatsphäre und bestimmter Berufsgeheimnisse“) und im sechsten Abschnitt („Strafbare Handlungen gegen fremdes Vermögen“) normiert, die im Wesentlichen aus der am 23. November 2001 von Österreich unterzeichneten Cyber-Crime-Konvention des Europarats resultieren.

Eine mögliche Definition findet sich im Gabler Wirtschaftslexikon sowie im Jahresbericht des BKAs wieder, wonach unter Cybercrime jegliche Vergehen subsumiert werden, die unter Verwendung des Internets und mit Hilfe von Informations- und Kommunikationstechnik begangen werden.⁷ Gemeinsames Merkmal einiger österreichischer Cybercrime-Tatbestände ist, dass diese nur mit Ermächtigung des Verletzten verfolgt werden (zB §§ 118, 119a StGB).

Die meisten Cyberdelikte werden durch sog Ransomware⁸ (auch Krypto-Trojaner genannt) oder Denial of Service (DoS)⁹-Attacken begangen,¹⁰ wobei diese auf einen rasant wachsenden, professionell ausgestatteten kriminellen Wirtschaftszweig zurückzuführen sind. Das Ziel dieser Cyberangriffe ist nicht immer die Vermögensbereicherung des Angreifers, sondern oft auch die reine Zerstörung von Daten oder Sabotage. Grundsätzlich kann jedes Unternehmen Ziel eines Cyberangriffs werden und hat auch seinen Preis im „Darknet“,Der Begriff Darknet bzw. Darknet Markt bezeichnet den im Internet betriebenen Schwarzhandel. Gezahlt wird üblicherweise mit Bitcoins oder ähnlichen anonymen Währungen. ¹¹ wo um wenige US-Dollar ua Ransomware-Toolkits¹² oder Bot-Netze¹³ sowie gestohlene Datensätze erworben werden können.

Mögliche Schäden, die aus einem Cyberangriff resultieren, sind in erster Linie der Datenverlust bzw Datendiebstal, die laut aktueller Ponemon Institute Studie „Cost of Cyber Crime Study & the Risk of Business Innovation 2016“ als die teuerste Folge eines Cyberangriffs qualifiziert werden.¹⁴ Weitere Schäden, die aus einem Angriff resultieren, sind Datenschutzverletzungen, Ertragsausfälle durch Betriebsunterbrechungen, Entzug von geistigem Eigentum und massive Reputationsschäden. Hinzukommen auch Kosten für Leistungen iZm IT-Forensik, Rechtsberatung und PR- bzw Krisenmanagement, die im Schadensfall unentbehrlich sind. Die durchschnittlich dafür pro Angriff anfallenden Kosten belaufen sich laut einer aktuellen Studie „2016 Cyber Claims Study“ von NetDiligence auf rund 357.000 USD.¹⁵

Zwar gibt es mittlerweile einige Publikationen zur Quantifizierung der Schäden, die durch Cybercrime verursacht werden, allerdings sind diese vor dem Hintergrund zu sehen, dass eine Vielzahl von Cyberangriffen weder von den Unternehmen aufgearbeitet noch gemeldet wird und dadurch die Dunkelziffer weitaus höher sein kann. In einer Studie von McAfee und CSIS wurde der global verursachte Schaden im Jahr 2014 auf rund 400 Mrd USD weltweit geschätzt.¹⁶ Aus der bereits zuvor zitierten Studie von NetDiligence¹⁷ geht hervor, dass die Kosten eines Angriffs bis zu 15 Mio USD betragen können, wobei die höchsten Schäden die Finanzbranche treffen.¹⁸ Der Versicherer Lloyd‘s warnte in einem jüngst veröffentlichten Report „Counting the cost – Cyber exposure decoded“¹⁹ davor, dass die Schäden von Cyberattacken die Wirtschaft „mehrere Dutzend Milliarden Dollar kosten“ können und damit „so teuer wie der Hurrikan ‚Sandy‘ im Jahr 2012“ seien. Diese Zahlen verdeutlichen, dass ein Cyberangriff existenzbedrohende Ausmaße annehmen kann und dieses Risiko daher von den Unternehmen nicht außer Acht gelassen werden sollte.

3. Cyber-Versicherungen – Chancen, Risiken und Herausforderungen

Aufgrund des wachsenden Risikopotenzials von Cyberangriffen wählen immer mehr Unternehmen die Option des Risikotransfers²⁰ (Risikoüberwälzung) durch den Abschluss einer Cyber-Versicherung. Das Wesensmerkmal einer Versicherung besteht darin, dass diese als „ein geeignetes Mittel zur Deckung eines eventuellen Bedürfnisses nach Eintritt von Schäden"²¹ fungiert. Um für das Unternehmen eine optimale Abdeckung von Cyber- und IT-Risiken zu erzielen, sind gewisse Parameter vor dem Abschluss einer Cyber-Versicherung zu berücksichtigen, auf die nachfolgend eingegangen wird.

Fallbeispiel: Ransomware

Da die Software über einen längeren Zeitraum nicht aktualisiert wurde, verschaffen sich Hacker Zugang zum IT-System eines Krankenhauses. Dadurch gelingt es ihnen, zahlreiche Computer und medizinische Geräte durch Verschlüsselung sämtlicher Patientendaten lahmzulegen. Die Hacker verlangen für die Entschlüsselung der Daten eine größere Summe Geld in Form von Bitcoins. Außerdem kann nicht ausgeschlossen werden, dass eventuell personenbezogene (Gesundheits-)Daten entwendet wurden.

3.1. Definition

Analog zum Begriff „Cybercrime“ existiert für den Terminus „Cyber-Versicherung“ weder eine einheitliche noch anerkannte Definition, da es sich um ein relativ neues und noch im Wandel befindliches Produkt handelt. Eine mögliche Definition findet sich im Gabler Versicherungslexikon, in dem diese als „Versicherung von Eigen- und Drittschäden, die durch externe Angriffe aus dem Internet oder fahrlässigen Datenverlust verursacht wurden“²², definiert werden.

Derzeit gibt es im Gegensatz zu Deutschland in Österreich noch keine einheitlichen Versicherungsstandards für Cyber-Versicherungen, wodurch die am Markt angebotenen Versicherungsprodukte erhebliche Unterschiede aufweisen.

Auch die Versicherungen selbst befinden sich derzeit mit ihren Produkten in einer Art „Probephase“, da auch sie auf wenig bis gar keine Erfahrungswerte zurückgreifen können. Dies zeigt sich einerseits daran, dass neben den unterschiedlichen Bezeichnungen, die von „Hacker-Versicherung“ bis hin zu „Cybercrime-Versicherung“ reichen, auch die angebotenen Leistungen und Deckungsmöglichkeiten stark variieren. Auf die wesentlichen Bestandteile wird im Folgenden eingegangen.

3.2. Deckungsumfang und Bestandteile einer Cyber-Versicherung

Grundsätzlich besteht die Wahl zwischen einer eigenen Cyber-Versicherung und einer Erweiterung von bestehenden Versicherungen um Cyberrisiken (zB Betriebshaftpflicht- oder Betriebsunterbrechungsversicherung). Vorteil einer eigenen Cyber-Versicherung ist mitunter die Betreuung aus einer Hand, was insbesondere im Schadensfall von Vorteil sein kann. Zudem können aber auch gewisse Risiken nicht im Rahmen bestehender Versicherungen erweitert werden (zB Kosten für IT-Forensik und andere Support-Leistungen).

Was wird nun von einer Cyber-Versicherung gedeckt und welche Risiken sind überhaupt versicherbar? Bestehende Versicherungsprodukte weisen einen modularen Aufbau auf und umfassen idR Komponenten einer Haftpflicht-, Sach- und Betriebsunterbrechungsversicherung und stellen sowohl eine Eigen- als auch Drittschadensversicherung dar. Somit handelt es sich bei der Cyber-Versicherung meistens um eine Schadensversicherung (§§ 49 ff VersVG) mit Bestandteilen der Aktiven- sowie der Passivenversicherung.²³

Von einer Cyber-Versicherung können beispielsweise nachfolgende Risiken und (Eigen- bzw Fremd-)Schäden abgedeckt werden:

Ertragsausfälle durch eine Betriebsunterbrechung in Folge eines Cyberangriffs,
Kosten für die Daten-, Software- und Systemwiederherstellung,
Vermögenschäden aus einer Datenschutzrechtsverletzung (ua Kosten für Benachrichtigungen der Dateninhaber und Meldepflichten, Ansprüche Dritter aufgrund einer Datenschutzverletzung),
Vertragsstrafen und Strafschadenersatz („punitive“ bzw „exemplary damages“),
Lösegeld und Kosten aufgrund eines Ransomware-Angriffs bzw einer Cyber-Erpressung,
Vermögenschäden aus der Verletzung von Persönlichkeitsrechten, Urheberechten und Markenrechten,
Vermögenschäden wegen strafbarer Handlungen (zB aufgrund von Täuschungen Dritter, Stichwort „Fake President Fraud“).²⁴

Zusätzlich bieten Cyber-Versicherungen auch die Deckung von Support-Leistungen im Schadensfall an. Die Leistungen reichen von der Übernahme der Kosten für die Analyse durch IT-Forensiker, PR- und Krisenberatung bis hin zur Übernahme von Rechtsanwaltskosten. Hier verfügen die meisten Versicherungen über bestimmte Kooperationspartner, die vom Versicherungsnehmer in Anspruch genommen werden können. Zudem wird oft eine 24/7 Support-Hotline bereitgestellt, um den Versicherungsnehmer im Schadensfall optimal und zeitnah zu betreuen.

Abhängig vom jeweiligen Versicherer ist es möglich, auch nur einzelne Support-Leistungen bzw Risiken zu versichern und die Deckung individuell zu gestalten. Meistens gibt es sogenannte Basis-Deckungen, die dann durch Zusatz-Bausteine auf weitere Risiken erweitert werden können.

Fallbeispiel: Ransomware

Das Management hat vor kurzem eine Cyber-Versicherung für das Krankenhaus abgeschlossen. Inkludiert wurde neben einer Cyber-Haftpflicht und Cyber-Eigenschaden-Komponente auch der Ersatz von Support-Leistungen im Schadensfall.

3.3. Wesentliche Parameter für den Abschluss einer Polizze

In der Regel werden vor Abschluss einer Polizze gemeinsam mit dem Versicherer das bestehende Risiko und dessen Eintrittswahrscheinlichkeit erhoben, zB in Form von Fragebögen. Im Fokus stehen hierbei insbesondere bestehende Sicherheitsmaßnahmen und unternehmensinterne Standards. Darauf aufbauend werden anschließend vom Versicherer ein möglicher Deckungsumfang sowie die Prämie kalkuliert.

Ermittlung des Risikos und des Versicherungsbedarfs

Abseits der Risikoermittlung durch oder gemeinsam mit dem Versicherer sollte das bestehende Risiko im Rahmen des Risikomanagements stets unternehmensintern evaluiert werden.

Die Risiken hängen sehr stark ua von Unternehmensgröße, -art und -branche ab. So wird bei einem Dienstleistungsunternehmen, das idR viele personenbezogene Daten verwaltet bzw verwendet, das Risiko eines Ransomware-Angriffs deutlich größer sein als jenes einer DoS-Attacke. Produktions- oder Warenhandelsunternehmen werden hingegen anfälliger für eine DoS-Attacke sein. Der Versicherungsnehmer sollte daher ua folgende Fragen beantworten können: Welche Daten sind besonders wichtig oder gefährdet, welche Arten von Cybercrime sind eine Bedrohung und wie können Daten aus dem Unternehmen abfließen?

Ausgehend vom konkreten Risiko sollte definiert werden, gegen welche Gefahren die Versicherung abzuschließen ist bzw welcher Versicherungsbedarf besteht. Zudem sollte ermittelt werden, welche Support-Leistungen der Versicherte tatsächlich benötigt und in Anspruch nehmen wird. Beispielsweise wird die Inanspruchnahme von PR- und Krisenmanagement für ein Unternehmen nur dann von Relevanz sein, wenn das Reputationsrisiko entsprechend hoch ist.

Eventuell sind gewisse Risiken auch schon von bestehenden Polizzen abgedeckt, beispielsweise bei Betriebshaftpflicht- oder Betriebsunterbrechungsversicherungen. Um etwaige Mehrfach- oder Doppelversicherungen²⁵ zu vermeiden und einen verlässlichen Versicherungsschutz zu gewährleisten, sollte ein genauer Vergleich zu bereits bestehenden Polizzen vom Versicherungsnehmer vorab vorgenommen werden.²⁶

Zu achten ist hier insbesondere auf Subsidiaritätsklauseln in den Versicherungsverträgen, welche dazu führen, dass die Deckung aus einem Vertrag dann nicht greift, wenn schon aus einem anderen Versicherungsvertrag eine Deckung besteht.²⁷ Solche Klauseln in Versicherungsverträgen sind grundsätzlich zulässig und auch üblich. Problematisch sind insbesondere Fälle, in denen beide Versicherungsverträge Subsidiaritätsklauseln enthalten. Dies könnte dazu führen, dass beide Versicherer die Leistung im Schadensfall verweigern.

Fallbeispiel: Ransomware

Ein Krankenhaus verarbeitet ua Gesundheitsdaten²⁸, die als besonders schutzwürdige personenbezogene Daten²⁹ iSd EU-Datenschutz-Grundverordnung gelten. Dies erhöht beispielsweise das Risiko eines Ransomware-Angriffs und einer Datenschutzverletzung. Andererseits sinkt beispielsweise das Risiko eines DoS-Angriffes, da kein Online-Shop oder eine betriebsnotwendige Website betrieben wird.

Vergleich der am Markt angebotenen Versicherungsprodukte

Wie bereits dargelegt, unterscheiden sich die derzeit am Markt angebotenen Versicherungen erheblich und es liegen derzeit noch keine allgemeinen Versicherungsbedingungen dazu vor. Die Unterschiede sind teilweise eklatant und betreffen die angebotenen Deckungssummen, Prämien und Deckungsbausteine. Auch sind einige Versicherungsprodukte nur auf gewisse Branchen ausgerichtet, beispielweise auf kleine und mittlere Betriebe.

Dies erfordert einen Vergleich der am Markt angebotenen Versicherungen, sodass ein auf das Unternehmensrisiko abgestimmtes Produkt gewählt werden kann.

Unterschiedliche Definitionen in Versicherungsbedingungen

Derzeit unterscheiden sich in den Versicherungsprodukten am Markt auch die Definitionen der einzelnen Tatbestände, wie zB Cyber-Erpressung, Hacker-Angriff, Informationssicherheitsverletzung oder Netzwerksicherheitsverletzung, da es für diese Fachbegriffe oft noch keine allgemein gültigen Definitionen gibt. Häufig wird auch in den Versicherungsbedingungen auf weitere Fachbegriffe verwiesen. Um mögliche Deckungslücken zu vermeiden, sollten die Definitionen und Versicherungsbedingungen vor Vertragsabschluss auf mögliche Missverständnisse und Unklarheiten gesichtet werden.

Fallbeispiel: „Fake President Fraud“

Im Zuge der IT-forensischen Analysen wird festgestellt, dass sich im Krankenhaus ein „Fake President Fraud“-Fall ereignet hat. Aufgrund einer manipulierten E-Mail und eines vorgetäuschten Anrufs im Namen des Vorstands tätigte eine Mitarbeiterin der Buchhaltung eine Überweisung iHv 200.000 EUR für den angeblichen Erwerb eines neuen medizinischen Geräts. Das Management des Krankenhauses macht nun den Vermögensschaden im Rahmen seiner Cyber-Versicherung geltend. Der Versicherer weist den Anspruch jedoch zurück und verweigert die Deckung, da ein solcher Fall nicht von den Versicherungsbedingungen umfasst ist.³⁰

Vorabüberlegungen zu Cyber-Security-Schutzmaßnahmen

Trotz der Möglichkeit des Risikotransfers durch Abschluss einer Cyber-Versicherung gibt es einige Maßnahmen, die ein Unternehmen unabhängig treffen sollte bzw aufgrund gesetzlicher Verpflichtungen zu implementieren hat.³¹ Zuvor wurde bereits dargelegt, dass das zu versichernde Risiko und der konkrete Versicherungsbedarf oftmals mit Hilfe von Musterfragebögen vom Versicherten abgefragt werden. Eine der geläufigsten Fragen hierbei betrifft bereits im Unternehmen implementierte IT-Schutzmaßnahmen, da angebotene Prämien und Versicherungssummen stark mit den bestehenden Schutzmaßnahmen zusammenhängen.³²

Best Practices iZm Cybercrime

Mögliche technische Maßnahmen zur Reduzierung des Risikos sind ua die regelmäßige Erstellung von Backups, die Verschlüsselung von Daten, regelmäßige Passwortänderungen, regelmäßige Softwareupdates, die Einführung von Firewalls und Antivirensoftware. Abseits der technischen Möglichkeiten sollten auch organisatorische Maßnahmen gesetzt werden, wie Verhaltensrichtlinien, die Entwicklung eines „Incident-Response-Plans“,³³ kontinuierliche Überprüfungen (zB „Penetration Tests“) und eine klare Verteilung von Zuständigkeiten.

Wichtig ist auch, dass das Cyber-Risiko nicht als reine IT-Frage gesehen, sondern ganzheitlich im Unternehmen betrachtet wird. Das Verhalten der Mitarbeiter und ihr Bewusstsein („Awareness“) sind dabei ein wesentlicher Faktor für den Schutz vor Cyberangriffen. Viele aktuelle Methoden von Cybercrime richten sich dezidiert an einzelne Mitarbeiter oder eine bestimmte Gruppe im Unternehmen (zB E-Mail-Phishing, Social-Engineering). Mit Hilfe von regelmäßigen Schulungen und Trainings kann die Awareness der Mitarbeiter gesteigert und dadurch das Risiko minimiert werden.

Schließlich besteht die Möglichkeit, durch Zertifizierungen (zB ISO 27001, EuroPrise, SOC2) den Nachweis eines Sicherheitsstandards und einer regelkonformen Datenverarbeitung zu erbringen.

Inanspruchnahme von Supportleistungen durch Externe

Die meisten Cyber-Versicherungen beinhalten auch die Abdeckung von Supportleistungen, wie zB die Kosten für IT-Forensiker, Rechtsanwälte, PR-Krisenmanagement und Sachverständige. Hier sollte vor Beauftragung externer Berater und Dienstleister darauf geachtet werden, ob es Einschränkungen in den Versicherungsbedingungen gibt.

Beispielsweise kann vereinbart sein, dass die Kosten für IT-Forensiker nur für einen bestimmten Zeitraum ersetzt werden. Bei Cyber-Versicherungen besteht idR auch eine Einschränkung auf bestimmte Kooperationspartner des Versicherers: Dies zeigt sich daran, dass der Versicherte angehalten ist, sich die Beauftragung der Kooperationspartner vom Versicherer genehmigen zu lassen oder die Dienstleister im Versicherungsschein (Polizze) bereits angeführt werden. In vielen bis dato offerierten Cyber-Versicherungen wird zumindest eine Vorauswahl von Externen durch den Versicherer vorgenommen. Sofern solche Einschränkungen bestehen, sollte beim Abschluss der Versicherung jedenfalls auch auf die Qualifikation der vom Versicherer angebotenen Dienstleister geachtet werden, um eine optimale Unterstützung im Schadensfall sicherzustellen. Auch ist zu bedenken, dass man hier uU nicht mit einem bereits vertrauten Unternehmen zusammenarbeiten kann und der Versicherer die Entscheidung trifft.

Grundsätzlich stellt sich bei der Inanspruchnahme externer Dienstleister die Frage, in wessen Auftrag dieses Unternehmen tätig wird und wie daher der Auftragsgegenstand definiert wird. Im Fokus des Versicherers wird neben einer kostensparenden und schnellen Aufarbeitung auch die Frage des Verschuldens bzw der Verletzung von Obliegenheiten durch den Versicherungsnehmer stehen. Auf der anderen Seite ist der Versicherungsnehmer an einer schnellen und vertrauenswürdigen Aufklärung interessiert, allerdings möchte er auch von den Leistungen seines Versicherungsschutzes Gebrauch machen.

Fallbeispiel: Ransomware

Der Vorstand des betroffenen Krankenhauses verständigt umgehend ein auf IT-Forensik spezialisiertes Beratungsunternehmen, um die Sicherheitslücke zu schließen, den Krankenhausbetrieb wiederherzustellen und den potenziellen Schaden zu ermitteln. Erst im Anschluss informiert er den im Versicherungsschein angeführten Betreuer der bestehenden Cyber-Versicherung. Der Versicherer verweigert im Anschluss die Deckung der Kosten für externe Leistungen, da die Beauftragung nicht vorab genehmigt wurde.

Obliegenheiten und Risikoausschlüsse

Versicherungsbedingungen determinieren idR gewisse Obliegenheiten des Versicherungsnehmers, bei deren Missachtung der Versicherer unter Umständen leistungsfrei wird. Unterschieden wird zwischen primären Obliegenheiten (§ 6 Abs 1a und 2 VersVG), welche schon vor Eintritt eines Versicherungsfalls gelten, und sekundären Obliegenheiten (§ 6 Abs 3 VersVG), die das Verhalten ab Eintritt eines Versicherungsfalls betreffen.³⁴ Hier ist beispielsweise eine Schadensminderungspflicht oder verpflichtende Anzeige des Versicherungsfalls beim Versicherer innerhalb bestimmter Fristen zu nennen. Auch werden gewisse Risiken explizit in den Versicherungsbedingungen ausgeschlossen, beispielsweise ein aufgrund der Verwendung einer unerprobten bzw nicht zertifizierten Software entstandener Schaden oder der Ausschluss von nicht zielgerichteten Angriffen auf das Unternehmen.

Fallbeispiel: Ransomware

Die konsultierten IT-Forensiker kommen zur Erkenntnis, dass es sich bei dem Ransomware Angriff um keinen zielgerichteten Angriff auf das Krankenhaus handelte, sondern es zufällig Opfer der Schadsoftware wurde. Aufgrund dessen verweigert der Versicherer die Deckung der entstandenen Schäden unter Berufung auf den Ausschluss von willkürlichen bzw nicht zielgerichteten Angriffen.

4. Conclusio

Das Risiko eines Cyberangriffs ist vielfältig, die Folgen sowohl für Unternehmen als auch Privatpersonen nur schwer abschätzbar. Grundsätzlich sollten Unternehmen insbesondere im Zuge des Digitalisierungsprozesses geeignete Sicherheitsmaßnahmen implementieren, um ihre Daten und Systeme entsprechend zu schützen. Die Definition und Gestaltung dieser Maßnahmen hängen maßgeblich von unterschiedlichen Faktoren, wie beispielsweise der Unternehmensgröße sowie -branche ab.

Diese Cyber-Security-Maßnahmen können zwar das Risiko eines Angriffs verringern, bieten jedoch keinen vollumfänglichen Schutz. In Anbetracht der enormen Schäden, die durch Cybercrime verursacht werden können, sollten Unternehmen die Möglichkeit eines Risikotransfers durch Abschluss einer Cyber-Versicherung prüfen. Es gilt jedoch zu bedenken, dass Cyber-Versicherungen ein relativ neues Produkt darstellen und derzeit in Österreich noch keine allgemeinen Versicherungsbedingungen oder -standards vorliegen, was erhebliche Unterschiede in der Begriffsdefinition bzw den angebotenen Leistungsumfängen zur Folge hat. Die bei Versicherungsabschluss zu beachtenden Parameter reichen daher von der Risikoevaluierung bis hin zur Inanspruchnahme von externen Support-Leistungen.

Digitalisierung ist eine Reise in noch unerforschte und unbekannte Gebiete der Zukunft. So wie man vor einer spannenden Reise den Abschluss einer Reiseversicherung prüft, sollen auch Unternehmen sich mit dem Risikomanagement im Bereich der Digitalisierung proaktiv auseinandersetzen und geeignete Maßnahmen treffen.

Fußnoten

Derzeit haben fast alle US-Bundesstaaten eine Meldepflicht (Data/Security Notification Laws) für Cyber Angriffe / Datenverletzungen normiert. Vgl für den US-Bundestaat California, https://oag.ca.gov/ecrime/databreach/reporting (03.08.2017). ^
Vgl Pfluger, Versicherungen entdecken Cybercrime als Thema, http://derstandard.at/2000051053298/Versicherungen-entdecken-Cybercrime-als-Thema (03.08.2017). ^
Art 33 und 34 EU-DSGVO. Die EU-Datenschutz-Grundverordnung tritt mit 28. Mai 2018 unmittelbar in Kraft. Begleitend wurde dazu Ende Juni 2017 das Datenschutz-Anpassungsgesetz 2018 vom Nationalrat beschlossen, das ebenfalls mit 28. Mai 2018 in Kraft tritt und das Datenschutzgesetz 2000 (DSG 2000) ersetzt. ^
Allianz Risk Barometer 2017, https://www.allianz.at/ueber-allianz/media-newsroom/news/aktuelle-news/20170111pa-risk-barometer-2017/ (03.08.2017). ^
Ebd. ^
Sicherheit 2016 – Kriminalitätsentwicklung in Österreich, http://www.bmi.gv.at/cms/BK/publikationen/krim_statistik/2016/Web_Sicherheit_2016.pdf (03.08.2017). ^
Vgl Gabler Wirtschaftslexikon, http://wirtschaftslexikon.gabler.de/Archiv/1408492/cybercrime-v3.html; Cybercrime Jahresbericht 2015 des Bundeskriminalamts, http://www.bmi.gv.at/cms/BK/publikationen/files/30102016_Cybercrime_2015.pdf (03.08.2017). ^
Ransomware ist eine spezielle Art von Schadsoftware, durch die Daten und Systeme am PC verschlüsselt werden. Im Anschluss wird für die Entschlüsselung der Daten ein Lösegeld (engl. ransom) verlangt. Vgl Bericht Cyber Sicherheit 2016 des Bundeskriminalamts, https://www.bka.gv.at/DocView.axd?CobId=63191 (03.08.2017). ^
Bei einem Denial of Service (DoS)-Angriff (engl. Dienstverweigerung) wird zB der Onlineshop eines Unternehmens durch eine Vielzahl von inszenierten Anfragen lahmgelegt. Anschließend wird ein Lösegeld für die Nutzung des Systems verlangt. Für weitere Details, Vgl Bericht Cyber Sicherheit 2016 des Bundeskriminalamts, https://www.bka.gv.at/DocView.axd?CobId=63191 (03.08.2017). ^
Vgl Cybercrime Jahresbericht 2015 des Bundeskriminalamts, http://www.bmi.gv.at/cms/BK/publikationen/files/30102016_Cybercrime_2015.pdf (03.08.2017). ^
Vgl ausführlicher zu Darknet Märkten: Schmitz, Was ist das Darknet im Vergleich zum offenen Internet?, http://www.security-insider.de/was-ist-das-darknet-im-vergleich-zum-offenen-internet-a-586479/ (03.08.2017). ^
Vgl Augusten, Erpressersoftware: Wie Ransomware entwickelt und verbreitet wird, http://www.security-insider.de/wie-ransomware-entwickelt-und-verbreitet-wird-a-509579/ (03.08.2017). ^
Ein Bot-Netz besteht aus mehreren miteinander verbundenen Computersystemen. Diese werden idR von einem kontrollierenden Server ferngesteuert und beispielsweise für DoS-Angriffe oder Spam-Verbreitungen verwendet. Der Zugriff auf einzelne Systeme erfolgt meistens widerrechtlich und bleibt bei den Besitzern oft unbekannt. Vgl Cybercrime Jahresbericht 2015 des Bundeskriminalamts, http://www.bmi.gv.at/cms/BK/publikationen/files/30102016_Cybercrime_2015.pdf (03.08.2017). ^
Ponemon Institute, Cost of Cyber Crime Study & the Risk of Business Innovation 2016, https://www.ponemon.org/local/upload/file/2016%20HPE%20CCC%20GLOBAL%20REPORT%20FINAL%203.pdf (03.08.2017). ^
Net Diligence, 2016 Cyber Claims Study, https://netdiligence.com/wp-content/uploads/2016/10/P02_NetDiligence-2016-Cyber-Claims-Study-ONLINE.pdf (03.08.2017). ^
McAfee/CSIS, Net Losses: Estimating the Global Cost of Cybercrime – Economic impact of cybercrime II, https://csis-prod.s3.amazonaws.com/s3fs-public/legacy_files/files/attachments/140609_rp_economic_impact_cybercrime_report.pdf (03.08.2017). ^
Vgl Fn 21. ^
Ebd. ^
LLOYD’S, Counting the cost – Cyber exposure decoded, Emerging Risks Report 2017 Technology, https://www.lloyds.com/news-and-insight/risk-insight/library/technology/countingthecost (03.08.2017); APA, Große Cyber-Attacken kosten mehrere Dutzend Milliarden Dollar, http://derstandard.at/2000061415423/Grosse-Cyber-Attacken-kosten-mehrere-Dutzend-Milliarden-Dollar (03.08.2017). ^
Ausführlicher zum Begriff des Risikotransfers: Nguyen/Romeike, Versicherungsgswirtschaftslehre Grundlagen für Studium und Praxis (2013), 11, 18; Albrecht, Risikotheorie der Versicherung, in Wagner (Hrsg), Gabler Versicherungslexikon2 (2017) 778. ^
Farny, Theorie der Versicherung, B. Fortentwicklung der Theorie der Versicherung, in Farny/Helten/Koch/Schmidt (Hrsg), Handwörterbuch der Versicherung (1988) 867. ^
Wagner/Jost, Versicherungssparten, - zweige und –formen, in Wagner, Gabler Versicherungslexikon2 202. ^
Bei der Aktivenversicherung wird ein konkreter Vermögensgegenstand bzw. eine Gruppe von Gegenständen versichert (zB Haushaltsversicherung). Hingegen schützt eine Passivenversicherung vor bestehenden oder möglichen neuen Verbindlichkeiten (zB Haftpflichtversicherung); Vgl Schauer, Das österreichische Versicherungsvertragsrecht3 (1995) 3. ^
Siehe dazu Fallbeispiel „CEO Fraud / Fake President Fraud“. Diese Schäden werden oft nicht von Cyber-Versicherungen gedeckt und können (oft nur) durch eine Vertrauensschadenversicherung (VSV) abgedeckt werden. Vgl Gruber, Grundlagen der Vertrauensschadenversicherung, wbl 2017, 317; Koch, „Eine Cyber-Polizze wird Standard sein“, http://www.schwaebische.de/wirtschaft/aktuelle-nachrichten_artikel,-%E2%80%9EEine-Cyber-Police-wird-Standard-sein%E2%80%9C-_arid,10698104.html (03.08.2017). ^
In Bezug auf die Schadensversicherungsbestandteile der Cyber Versicherung, Vgl §§ 59 ff. VersVG. ^
Vgl Drave, Cyberrisiken als Herausforderungen für das Risikomanagement, VersicherungsPraxis 06/2015, 34. ^
Vgl ausführlicher Schauer in Fenyves/Schauer (Hrsg), VersVG – Versicherungsvertragsgesetz (3.Lfg, 2016) § 59 Rz. 49 ff. ^
Art 4 Z. 15 EU-DSGVO; § 36 Z. 14 DSG. ^
Art 9 EU –DSGVO; § 39 DSG. ^
Es handelt sich dabei um einen Vermögensschaden aus einer strafbaren Handlung von Dritten bzw. der Täuschung durch Dritte. Dieser ist oft nicht von den angebotenen Cyber Versicherungen gedeckt und kann meistens nur durch eine Vertrauensschadenversicherung (VSV) abgedeckt werden; Vgl Gruber, wbl 2017, 317. ^
Beispielsweise Datenschutzrechtliche Parameter (Mit Inkrafttreten der DSGVO müssen Unternehmen Datenschutz durch geeignete technische und organisatorische Maßnahmen (Art 25 und 32 EU-DSGVO; § 54 DSG gewährleisten.). ^
Vgl Hafen, So lassen sich IT-Risiken im Unternehmen versichern, com!Professional 3/2016, 117. ^
Dabei handelt es sich um einen Vorfallsplan, der u.a. Abläufe, Vorgehensweise und Zuständigkeiten im Falle eines Cyber Angriffes regelt. Vgl dazu auch ISO/IEC 27035-2:2016 als Teil einer ISO 27001-Zertifizierung, https://www.iso.org/standard/62071.html (03.08.2017). ^
Vgl dazu ausführlich: Fenyves in Fenyves/Schauer, VersVG (1.Lfg, 2014) § 6 Rz 68 ff und 100 ff. ^

Autoren

1595952463281_Mikhail-Arshinskiy-c-Deloitte-Oesterreich-85px.jpg

Mag. (FH) Mikhail Arshinskiy MSc

Mag. (FH) Arshinskiy, MSc., FRM, zeichnet als Director & National Leader Analytic & Forensic Technology bei Deloitte Forensic in Wien ua für die Entwicklung und Anwendung fortschrittlicher Analysem...

Mag. Karin Mair CFE

Mag. Karin Mair, CFE, Partnerin, zeichnet als Managaging Partnerin bei Deloitte Österreich für Financial Advisory und Risk Advisory verantwortlich. Ihre Expertise liegt ua in der Begleitung von kom...

Mag. Shahanaz Müller BA

Mag. Shahanaz Müller, BA, CAMS, Partnerin, leitet den Bereich Geldwäscheprävention (AML/CFT) und Sanktions-Compliance bei Deloitte Österreich. Aufgrund ihrer fundierten Erfahrung, fachlichen Expert...

679_Ilse_Herndl_(c)_Deloitte_Oesterreich_web.jpg

Ilse Herndl LL.B. (WU)

Ilse Herndl, LL.B. (WU) ist Manager bei Deloitte Forensic in Wien und im Bereich Regulatory Technology Advisory tätig. Ihre Beratungsschwerpunkte liegen in den Bereichen der Prävention von Geldwäsc...

{"name":"„Haben Sie schon den Erfolg Ihrer Digitalisierung versichert?“","contenttype":"text/html","templateName":"content-page","headmeta":"<meta charset=\"utf-8\">\n<meta http-equiv=\"X-UA-Compatible\" content=\"IE=edge\">\n<meta name=\"viewport\" content=\"width=device-width, initial-scale=1\">\n\n\n\n\n\n <title>„Haben Sie schon den Erfolg Ihrer Digitalisierung versichert?“</title>\n \n\n <meta name=\"description\" content=\"Neue Technologien und die digitale Transformation in Unternehmen bringen nicht nur Vorteile, sondern stellen das Management vor neue Herausforderungen. Insbesondere das Risiko von Cyberangriffen steigt mit der fortschreitenden Digitalisierung. Der österreichische Versicherungsmarkt hat auf diese neuen Risiken reagiert und bietet vermehrt Versicherungen gegen Schäden aus Cyberangriffen an.\"/>\n\n <meta property=\"og:image\" content=\"/templates/test-migration/duplicate-pages/Seite-34-39-OPTIONAL.jpg\"/>\n <meta property=\"og:image:height\" content=\"553\"/>\n <meta property=\"og:image:width\" content=\"828\"/>\n <meta property=\"og:site_name\" content=\"CompliancePraxis\"/>\n <meta property=\"og:url\" content=\"/Themen/Recht_Haftung/Archiv/-Haben_Sie_schon_den_Erfolg_Ihrer_Digitalisierung_versicher.html\"/>\n <meta property=\"og:type\" content=\"website\"/>\n <meta property=\"og:locale\" content=\"de_DE\">\n <meta property=\"og:description\" content=\"Neue Technologien und die digitale Transformation in Unternehmen bringen nicht nur Vorteile, sondern stellen das Management vor neue Herausforderungen. Insbesondere das Risiko von Cyberangriffen steigt mit der fortschreitenden Digitalisierung. Der österreichische Versicherungsmarkt hat auf diese neuen Risiken reagiert und bietet vermehrt Versicherungen gegen Schäden aus Cyberangriffen an.\"/>\n","title":"„Haben Sie schon den Erfolg Ihrer Digitalisierung versichert?“","teaser":"Neue Technologien und die digitale Transformation in Unternehmen bringen nicht nur Vorteile, sondern stellen das Management vor neue Herausforderungen. Insbesondere das Risiko von Cyberangriffen steigt mit der fortschreitenden Digitalisierung. Der österreichische Versicherungsmarkt hat auf diese neuen Risiken reagiert und bietet vermehrt Versicherungen gegen Schäden aus Cyberangriffen an.","pagecontent":"<h2>1. Einleitung</h2> \n<p> Digitalisierung betrifft uns alle: Unternehmen befinden sich in einem Digitalisierungsprozess und arbeiten an innovativeren Produkten sowie Dienstleistungen, Privatpersonen profitieren von Trends, wie dem autonomen Fahren und „Smart Living“. Die Unternehmen stehen beim Digitalisierungsprozess vor der Herausforderung, datenbezogene Systeme und neue Technologien zu entwickeln sowie einzusetzen, grundlegende datenbezogene Prozesse zu überarbeiten und gleichzeitig datenschutzrechtliche Vorschriften zu berücksichtigen. Stetig steigen damit für Unternehmen die Anforderungen an Cyber-Security-Maßnahmen. Denn das organisierte Verbrechen nutzt die Digitalisierung für neue Formen der (Cyber-)Kriminalität. Doch auch die besten Cyber-Security-Maßnahmen bieten keinen hundertprozentigen Schutz vor Angriffen, sodass ein gewisses Restrisiko bestehen bleibt. </p> \n<p> Um im Falle eines Angriffs die Schäden so gering wie möglich zu halten, gehört der Abschluss einer Cyber-Versicherung in den USA mittlerweile zum Versicherungsportfolio eines jeden Unternehmens. Dies ist ua auch auf die zwingende Meldepflicht von Cyber-Angriffen bzw Datenschutzverletzungen zurückzuführen, die es in den USA schon seit 2002 gibt.<q class=\"aloha-cite-wrapper aloha-cite--1690348404736457965\" note=\"Derzeit haben fast alle US-Bundesstaaten eine Meldepflicht (Data/Security Notification Laws) für Cyber Angriffe / Datenverletzungen normiert. Vgl für den US-Bundestaat California, https://oag.ca.gov/ecrime/databreach/reporting (03.08.2017).\" data-cite-id=\"-1690348404736457965\"><sup id=\"cite-ref--1690348404736457965\" contenteditable=\"false\"><a class=\"aloha-cite-index footnodelink\" href=\"#cite-note--1690348404736457965\">1</a></sup></q> </p> \n<p> Im Vergleich dazu sind in Österreich erst rund 3 Prozent gegen Cyberangriffe versichert, wobei davon auszugehen ist, dass sich diese Zahl in den nächsten Jahren deutlich erhöhen wird.<q class=\"aloha-cite-wrapper aloha-cite-7937348401689114147\" note=\"Vgl Pfluger, Versicherungen entdecken Cybercrime als Thema, http://derstandard.at/2000051053298/Versicherungen-entdecken-Cybercrime-als-Thema (03.08.2017).\" data-cite-id=\"7937348401689114147\"><sup id=\"cite-ref-7937348401689114147\" contenteditable=\"false\"><a class=\"aloha-cite-index footnodelink\" href=\"#cite-note-7937348401689114147\">2</a></sup></q> Diese Entwicklung ist einerseits vor dem Trend der Digitalisierung zu sehen, da sich Unternehmen mit ihrem Datenhaushalt näher befassen und teilweise grundlegende datenbezogene Prozesse überarbeiten (müssen). Andererseits werden Unternehmen mit Inkrafttreten der EU-Datenschutz-Grundverordnung (DSGVO) im Mai 2018 nun auch dazu verpflichtet, Datenschutzverletzungen an die Aufsichtsbehörde und gegebenenfalls auch an die Betroffenen zu melden.<q class=\"aloha-cite-wrapper aloha-cite-7696305935556155768\" note=\"Art 33 und 34 EU-DSGVO. Die EU-Datenschutz-Grundverordnung tritt mit 28. Mai 2018 unmittelbar in Kraft. Begleitend wurde dazu Ende Juni 2017 das Datenschutz-Anpassungsgesetz 2018 vom Nationalrat beschlossen, das ebenfalls mit 28. Mai 2018 in Kraft tritt und das Datenschutzgesetz 2000 (DSG 2000) ersetzt.\" data-cite-id=\"7696305935556155768\"><sup id=\"cite-ref-7696305935556155768\" contenteditable=\"false\"><a class=\"aloha-cite-index footnodelink\" href=\"#cite-note-7696305935556155768\">3</a></sup></q> </p> \n<p> Im vorliegenden Beitrag werden unterschiedliche Ausprägungen des Begriffs Cybercrime dargestellt. Anschließend wird anhand eines Fallbeispiels auf die wesentlichen Parameter, Chancen und Risiken von Cyber-Versicherungen für Unternehmen eingegangen. </p> \n<h2>2. Cybercrime – Definition und Ausprägungen</h2> \n<p> Dass das Thema Cybercrime auch für österreichische Unternehmen von Relevanz ist, zeigt die aktuelle Studie des Allianz Risk Barometers, einer zum sechsten Mal in 55 Ländern durchgeführten Umfrage, wonach Cyber- und IT-Risiken mit 32 Prozent die zweitgrößte Gefahr für österreichische Unternehmen darstellen.<q class=\"aloha-cite-wrapper aloha-cite-7057211068913870369\" note=\"Allianz Risk Barometer 2017, https://www.allianz.at/ueber-allianz/media-newsroom/news/aktuelle-news/20170111pa-risk-barometer-2017/ (03.08.2017).\" data-cite-id=\"7057211068913870369\"><sup id=\"cite-ref-7057211068913870369\" contenteditable=\"false\"><a class=\"aloha-cite-index footnodelink\" href=\"#cite-note-7057211068913870369\">4</a></sup></q> In der Finanzindustrie steigt diese sogar auf 40 Prozent.<q class=\"aloha-cite-wrapper aloha-cite-8524391287482529554\" note=\"Ebd.\" data-cite-id=\"8524391287482529554\"><sup id=\"cite-ref-8524391287482529554\" contenteditable=\"false\"><a class=\"aloha-cite-index footnodelink\" href=\"#cite-note-8524391287482529554\">5</a></sup></q> Auch das Bundeskriminalamt verzeichnete 2016 eine Zunahme von 30,9 Prozent an Anzeigen von Cyberdelikten.<q class=\"aloha-cite-wrapper aloha-cite-8994304332248012571\" note=\"Sicherheit 2016 – Kriminalitätsentwicklung in Österreich, http://www.bmi.gv.at/cms/BK/publikationen/krim_statistik/2016/Web_Sicherheit_2016.pdf (03.08.2017).\" data-cite-id=\"8994304332248012571\"><sup id=\"cite-ref-8994304332248012571\" contenteditable=\"false\"><a class=\"aloha-cite-index footnodelink\" href=\"#cite-note-8994304332248012571\">6</a></sup></q> </p> \n<p> Wie bereits kurz angedeutet, zeichnet sich der Begriff Cybercrime durch seine stetige Weiterentwicklung, unterschiedliche Ausprägungen und eine Vielzahl an Angriffsmöglichkeiten aus. Es ist also nicht verwunderlich, dass sich dem österreichischen StGB keine (umfassende) gesetzliche Definition des Begriffs entnehmen lässt. Diverse damit zusammenhängende Tatbestände wurden im StGB einerseits im fünften <i>(„Verletzung der Privatsphäre und bestimmter Berufsgeheimnisse“)</i> und im sechsten Abschnitt („Strafbare Handlungen gegen fremdes Vermögen“) normiert, die im Wesentlichen aus der am 23. November 2001 von Österreich unterzeichneten Cyber-Crime-Konvention des Europarats resultieren. </p> \n<p> Eine mögliche Definition findet sich im Gabler Wirtschaftslexikon sowie im Jahresbericht des BKAs wieder, wonach unter Cybercrime jegliche Vergehen subsumiert werden, die unter Verwendung des Internets und mit Hilfe von Informations- und Kommunikationstechnik begangen werden.<q class=\"aloha-cite-wrapper aloha-cite--7205078388078916171\" note=\"Vgl Gabler Wirtschaftslexikon, http://wirtschaftslexikon.gabler.de/Archiv/1408492/cybercrime-v3.html; Cybercrime Jahresbericht 2015 des Bundeskriminalamts, http://www.bmi.gv.at/cms/BK/publikationen/files/30102016_Cybercrime_2015.pdf (03.08.2017).\" data-cite-id=\"-7205078388078916171\"><sup id=\"cite-ref--7205078388078916171\" contenteditable=\"false\"><a class=\"aloha-cite-index footnodelink\" href=\"#cite-note--7205078388078916171\">7</a></sup></q> Gemeinsames Merkmal einiger österreichischer Cybercrime-Tatbestände ist, dass diese nur mit Ermächtigung des Verletzten verfolgt werden (zB §§ 118, 119a StGB). </p> \n<p> Die meisten Cyberdelikte werden durch sog Ransomware<q class=\"aloha-cite-wrapper aloha-cite--4152601911616896221\" note=\"Ransomware ist eine spezielle Art von Schadsoftware, durch die Daten und Systeme am PC verschlüsselt werden. Im Anschluss wird für die Entschlüsselung der Daten ein Lösegeld (engl. ransom) verlangt. Vgl Bericht Cyber Sicherheit 2016 des Bundeskriminalamts, https://www.bka.gv.at/DocView.axd?CobId=63191 (03.08.2017).\" data-cite-id=\"-4152601911616896221\"><sup id=\"cite-ref--4152601911616896221\" contenteditable=\"false\"><a class=\"aloha-cite-index footnodelink\" href=\"#cite-note--4152601911616896221\">8</a></sup></q> (auch Krypto-Trojaner genannt) oder Denial of Service (DoS)<q class=\"aloha-cite-wrapper aloha-cite-3711485408363027397\" note=\"Bei einem Denial of Service (DoS)-Angriff (engl. Dienstverweigerung) wird zB der Onlineshop eines Unternehmens durch eine Vielzahl von inszenierten Anfragen lahmgelegt. Anschließend wird ein Lösegeld für die Nutzung des Systems verlangt. Für weitere Details, Vgl Bericht Cyber Sicherheit 2016 des Bundeskriminalamts, https://www.bka.gv.at/DocView.axd?CobId=63191 (03.08.2017).\" data-cite-id=\"3711485408363027397\"><sup id=\"cite-ref-3711485408363027397\" contenteditable=\"false\"><a class=\"aloha-cite-index footnodelink\" href=\"#cite-note-3711485408363027397\">9</a></sup></q>-Attacken begangen,<q class=\"aloha-cite-wrapper aloha-cite--2856260814930418805\" note=\"Vgl Cybercrime Jahresbericht 2015 des Bundeskriminalamts, http://www.bmi.gv.at/cms/BK/publikationen/files/30102016_Cybercrime_2015.pdf (03.08.2017).\" data-cite-id=\"-2856260814930418805\"><sup id=\"cite-ref--2856260814930418805\" contenteditable=\"false\"><a class=\"aloha-cite-index footnodelink\" href=\"#cite-note--2856260814930418805\">10</a></sup></q> wobei diese auf einen rasant wachsenden, professionell ausgestatteten kriminellen Wirtschaftszweig zurückzuführen sind. Das Ziel dieser Cyberangriffe ist nicht immer die Vermögensbereicherung des Angreifers, sondern oft auch die reine Zerstörung von Daten oder Sabotage. Grundsätzlich kann jedes Unternehmen Ziel eines Cyberangriffs werden und hat auch seinen Preis im „Darknet“,Der Begriff Darknet bzw. Darknet Markt bezeichnet den im Internet betriebenen Schwarzhandel. Gezahlt wird üblicherweise mit Bitcoins oder ähnlichen anonymen Währungen. <q class=\"aloha-cite-wrapper aloha-cite-428062582389480936\" note=\"Vgl ausführlicher zu Darknet Märkten: Schmitz, Was ist das Darknet im Vergleich zum offenen Internet?, http://www.security-insider.de/was-ist-das-darknet-im-vergleich-zum-offenen-internet-a-586479/ (03.08.2017).\" data-cite-id=\"428062582389480936\"><sup id=\"cite-ref-428062582389480936\" contenteditable=\"false\"><a class=\"aloha-cite-index footnodelink\" href=\"#cite-note-428062582389480936\">11</a></sup></q> wo um wenige US-Dollar ua Ransomware-Toolkits<q class=\"aloha-cite-wrapper aloha-cite--3434259794984199237\" note=\"Vgl Augusten, Erpressersoftware: Wie Ransomware entwickelt und verbreitet wird, http://www.security-insider.de/wie-ransomware-entwickelt-und-verbreitet-wird-a-509579/ (03.08.2017).\" data-cite-id=\"-3434259794984199237\"><sup id=\"cite-ref--3434259794984199237\" contenteditable=\"false\"><a class=\"aloha-cite-index footnodelink\" href=\"#cite-note--3434259794984199237\">12</a></sup></q> oder Bot-Netze<q class=\"aloha-cite-wrapper aloha-cite-791938719722301438\" note=\"Ein Bot-Netz besteht aus mehreren miteinander verbundenen Computersystemen. Diese werden idR von einem kontrollierenden Server ferngesteuert und beispielsweise für DoS-Angriffe oder Spam-Verbreitungen verwendet. Der Zugriff auf einzelne Systeme erfolgt meistens widerrechtlich und bleibt bei den Besitzern oft unbekannt. Vgl Cybercrime Jahresbericht 2015 des Bundeskriminalamts, http://www.bmi.gv.at/cms/BK/publikationen/files/30102016_Cybercrime_2015.pdf (03.08.2017).\" data-cite-id=\"791938719722301438\"><sup id=\"cite-ref-791938719722301438\" contenteditable=\"false\"><a class=\"aloha-cite-index footnodelink\" href=\"#cite-note-791938719722301438\">13</a></sup></q> sowie gestohlene Datensätze erworben werden können. </p> \n<p> Mögliche Schäden, die aus einem Cyberangriff resultieren, sind in erster Linie der Datenverlust bzw Datendiebstal, die laut aktueller Ponemon Institute Studie „Cost of Cyber Crime Study & the Risk of Business Innovation 2016“ als die teuerste Folge eines Cyberangriffs qualifiziert werden.<q class=\"aloha-cite-wrapper aloha-cite--3996407831788126908\" note=\"Ponemon Institute, Cost of Cyber Crime Study & the Risk of Business Innovation 2016, https://www.ponemon.org/local/upload/file/2016%20HPE%20CCC%20GLOBAL%20REPORT%20FINAL%203.pdf (03.08.2017).\" data-cite-id=\"-3996407831788126908\"><sup id=\"cite-ref--3996407831788126908\" contenteditable=\"false\"><a class=\"aloha-cite-index footnodelink\" href=\"#cite-note--3996407831788126908\">14</a></sup></q> Weitere Schäden, die aus einem Angriff resultieren, sind Datenschutzverletzungen, Ertragsausfälle durch Betriebsunterbrechungen, Entzug von geistigem Eigentum und massive Reputationsschäden. Hinzukommen auch Kosten für Leistungen iZm IT-Forensik, Rechtsberatung und PR- bzw Krisenmanagement, die im Schadensfall unentbehrlich sind. Die durchschnittlich dafür pro Angriff anfallenden Kosten belaufen sich laut einer aktuellen Studie „2016 Cyber Claims Study“ von NetDiligence auf rund 357.000 USD.<q class=\"aloha-cite-wrapper aloha-cite-6607934381395515725\" note=\"Net Diligence, 2016 Cyber Claims Study, https://netdiligence.com/wp-content/uploads/2016/10/P02_NetDiligence-2016-Cyber-Claims-Study-ONLINE.pdf (03.08.2017).\" data-cite-id=\"6607934381395515725\"><sup id=\"cite-ref-6607934381395515725\" contenteditable=\"false\"><a class=\"aloha-cite-index footnodelink\" href=\"#cite-note-6607934381395515725\">15</a></sup></q> </p> \n<p> Zwar gibt es mittlerweile einige Publikationen zur Quantifizierung der Schäden, die durch Cybercrime verursacht werden, allerdings sind diese vor dem Hintergrund zu sehen, dass eine Vielzahl von Cyberangriffen weder von den Unternehmen aufgearbeitet noch gemeldet wird und dadurch die Dunkelziffer weitaus höher sein kann. In einer Studie von McAfee und CSIS wurde der global verursachte Schaden im Jahr 2014 auf rund 400 Mrd USD weltweit geschätzt.<q class=\"aloha-cite-wrapper aloha-cite-5106827799579179316\" note=\"McAfee/CSIS, Net Losses: Estimating the Global Cost of Cybercrime – Economic impact of cybercrime II, https://csis-prod.s3.amazonaws.com/s3fs-public/legacy_files/files/attachments/140609_rp_economic_impact_cybercrime_report.pdf (03.08.2017).\" data-cite-id=\"5106827799579179316\"><sup id=\"cite-ref-5106827799579179316\" contenteditable=\"false\"><a class=\"aloha-cite-index footnodelink\" href=\"#cite-note-5106827799579179316\">16</a></sup></q> Aus der bereits zuvor zitierten Studie von NetDiligence<q class=\"aloha-cite-wrapper aloha-cite--3183008170253328384\" note=\"Vgl Fn 21.\" data-cite-id=\"-3183008170253328384\"><sup id=\"cite-ref--3183008170253328384\" contenteditable=\"false\"><a class=\"aloha-cite-index footnodelink\" href=\"#cite-note--3183008170253328384\">17</a></sup></q> geht hervor, dass die Kosten eines Angriffs bis zu 15 Mio USD betragen können, wobei die höchsten Schäden die Finanzbranche treffen.<q class=\"aloha-cite-wrapper aloha-cite--2795169563831512405\" note=\"Ebd.\" data-cite-id=\"-2795169563831512405\"><sup id=\"cite-ref--2795169563831512405\" contenteditable=\"false\"><a class=\"aloha-cite-index footnodelink\" href=\"#cite-note--2795169563831512405\">18</a></sup></q> Der Versicherer Lloyd‘s warnte in einem jüngst veröffentlichten Report „Counting the cost – Cyber exposure decoded“<q class=\"aloha-cite-wrapper aloha-cite-6772407083968315346\" note=\"LLOYD’S, Counting the cost – Cyber exposure decoded, Emerging Risks Report 2017 Technology, https://www.lloyds.com/news-and-insight/risk-insight/library/technology/countingthecost (03.08.2017); APA, Große Cyber-Attacken kosten mehrere Dutzend Milliarden Dollar, http://derstandard.at/2000061415423/Grosse-Cyber-Attacken-kosten-mehrere-Dutzend-Milliarden-Dollar (03.08.2017).\" data-cite-id=\"6772407083968315346\"><sup id=\"cite-ref-6772407083968315346\" contenteditable=\"false\"><a class=\"aloha-cite-index footnodelink\" href=\"#cite-note-6772407083968315346\">19</a></sup></q> davor, dass die Schäden von Cyberattacken die Wirtschaft „mehrere Dutzend Milliarden Dollar kosten“ können und damit „so teuer wie der Hurrikan ‚Sandy‘ im Jahr 2012“ seien. Diese Zahlen verdeutlichen, dass ein Cyberangriff existenzbedrohende Ausmaße annehmen kann und dieses Risiko daher von den Unternehmen nicht außer Acht gelassen werden sollte. </p> \n<h2>3. Cyber-Versicherungen – Chancen, Risiken und Herausforderungen</h2> \n<p> Aufgrund des wachsenden Risikopotenzials von Cyberangriffen wählen immer mehr Unternehmen die Option des Risikotransfers<q class=\"aloha-cite-wrapper aloha-cite-5705911932689295022\" note=\"Ausführlicher zum Begriff des Risikotransfers: Nguyen/Romeike, Versicherungsgswirtschaftslehre Grundlagen für Studium und Praxis (2013), 11, 18; Albrecht, Risikotheorie der Versicherung, in Wagner (Hrsg), Gabler Versicherungslexikon2 (2017) 778.\" data-cite-id=\"5705911932689295022\"><sup id=\"cite-ref-5705911932689295022\" contenteditable=\"false\"><a class=\"aloha-cite-index footnodelink\" href=\"#cite-note-5705911932689295022\">20</a></sup></q> (Risikoüberwälzung) durch den Abschluss einer Cyber-Versicherung. Das Wesensmerkmal einer Versicherung besteht darin, dass diese als „ein geeignetes Mittel zur Deckung eines eventuellen Bedürfnisses nach Eintritt von Schäden\"<q class=\"aloha-cite-wrapper aloha-cite-435075774024388614\" note=\"Farny, Theorie der Versicherung, B. Fortentwicklung der Theorie der Versicherung, in Farny/Helten/Koch/Schmidt (Hrsg), Handwörterbuch der Versicherung (1988) 867.\" data-cite-id=\"435075774024388614\"><sup id=\"cite-ref-435075774024388614\" contenteditable=\"false\"><a class=\"aloha-cite-index footnodelink\" href=\"#cite-note-435075774024388614\">21</a></sup></q> fungiert. Um für das Unternehmen eine optimale Abdeckung von Cyber- und IT-Risiken zu erzielen, sind gewisse Parameter vor dem Abschluss einer Cyber-Versicherung zu berücksichtigen, auf die nachfolgend eingegangen wird. </p> <div class=\"text-stoerer\">\n\t\t<div class=\"w-100 card-body\">\n\t\t\t<h2 class=\"card-title text-uppercase\">Fallbeispiel: Ransomware</h2>\n\t\t\t<div class=\"card-text \"><p> Da die Software über einen längeren Zeitraum nicht aktualisiert wurde, verschaffen sich Hacker Zugang zum IT-System eines Krankenhauses. Dadurch gelingt es ihnen, zahlreiche Computer und medizinische Geräte durch Verschlüsselung sämtlicher Patientendaten lahmzulegen. Die Hacker verlangen für die Entschlüsselung der Daten eine größere Summe Geld in Form von Bitcoins. Außerdem kann nicht ausgeschlossen werden, dass eventuell personenbezogene (Gesundheits-)Daten entwendet wurden. </p></div>\n\t\t</div>\n</div>\n \n <p> <b>3.1. Definition</b> </p> \n <p> Analog zum Begriff „Cybercrime“ existiert für den Terminus „Cyber-Versicherung“ weder eine einheitliche noch anerkannte Definition, da es sich um ein relativ neues und noch im Wandel befindliches Produkt handelt. Eine mögliche Definition findet sich im Gabler Versicherungslexikon, in dem diese als „Versicherung von Eigen- und Drittschäden, die durch externe Angriffe aus dem Internet oder fahrlässigen Datenverlust verursacht wurden“<q class=\"aloha-cite-wrapper aloha-cite--7944189978361619142\" note=\"Wagner/Jost, Versicherungssparten, - zweige und –formen, in Wagner, Gabler Versicherungslexikon2 202.\" data-cite-id=\"-7944189978361619142\"><sup id=\"cite-ref--7944189978361619142\" contenteditable=\"false\"><a class=\"aloha-cite-index footnodelink\" href=\"#cite-note--7944189978361619142\">22</a></sup></q>, definiert werden. </p> \n <p> Derzeit gibt es im Gegensatz zu Deutschland in Österreich noch keine einheitlichen Versicherungsstandards für Cyber-Versicherungen, wodurch die am Markt angebotenen Versicherungsprodukte erhebliche Unterschiede aufweisen. </p> \n <p> Auch die Versicherungen selbst befinden sich derzeit mit ihren Produkten in einer Art „Probephase“, da auch sie auf wenig bis gar keine Erfahrungswerte zurückgreifen können. Dies zeigt sich einerseits daran, dass neben den unterschiedlichen Bezeichnungen, die von „Hacker-Versicherung“ bis hin zu „Cybercrime-Versicherung“ reichen, auch die angebotenen Leistungen und Deckungsmöglichkeiten stark variieren. Auf die wesentlichen Bestandteile wird im Folgenden eingegangen. </p> \n <p> <b>3.2. Deckungsumfang und Bestandteile einer Cyber-Versicherung</b> </p> \n <p> Grundsätzlich besteht die Wahl zwischen einer eigenen Cyber-Versicherung und einer Erweiterung von bestehenden Versicherungen um Cyberrisiken (zB Betriebshaftpflicht- oder Betriebsunterbrechungsversicherung). Vorteil einer eigenen Cyber-Versicherung ist mitunter die Betreuung aus einer Hand, was insbesondere im Schadensfall von Vorteil sein kann. Zudem können aber auch gewisse Risiken nicht im Rahmen bestehender Versicherungen erweitert werden (zB Kosten für IT-Forensik und andere Support-Leistungen). </p> \n <p> Was wird nun von einer Cyber-Versicherung gedeckt und welche Risiken sind überhaupt versicherbar? Bestehende Versicherungsprodukte weisen einen modularen Aufbau auf und umfassen idR Komponenten einer Haftpflicht-, Sach- und Betriebsunterbrechungsversicherung und stellen sowohl eine Eigen- als auch Drittschadensversicherung dar. Somit handelt es sich bei der Cyber-Versicherung meistens um eine Schadensversicherung (§§ 49 ff VersVG) mit Bestandteilen der Aktiven- sowie der Passivenversicherung.<q class=\"aloha-cite-wrapper aloha-cite--7535225488116816742\" note=\"Bei der Aktivenversicherung wird ein konkreter Vermögensgegenstand bzw. eine Gruppe von Gegenständen versichert (zB Haushaltsversicherung). Hingegen schützt eine Passivenversicherung vor bestehenden oder möglichen neuen Verbindlichkeiten (zB Haftpflichtversicherung); Vgl Schauer, Das österreichische Versicherungsvertragsrecht3 (1995) 3.\" data-cite-id=\"-7535225488116816742\"><sup id=\"cite-ref--7535225488116816742\" contenteditable=\"false\"><a class=\"aloha-cite-index footnodelink\" href=\"#cite-note--7535225488116816742\">23</a></sup></q> </p> \n <p> Von einer Cyber-Versicherung können beispielsweise nachfolgende Risiken und (Eigen- bzw Fremd-)Schäden abgedeckt werden: </p> \n <p> \n </p><ul> \n <li> <p> Ertragsausfälle durch eine Betriebsunterbrechung in Folge eines Cyberangriffs, </p></li> \n <li> <p> Kosten für die Daten-, Software- und Systemwiederherstellung, </p></li> \n <li> <p> Vermögenschäden aus einer Datenschutzrechtsverletzung (ua Kosten für Benachrichtigungen der Dateninhaber und Meldepflichten, Ansprüche Dritter aufgrund einer Datenschutzverletzung), </p></li> \n <li> <p> Vertragsstrafen und Strafschadenersatz („punitive“ bzw „exemplary damages“), </p></li> \n <li> <p> Lösegeld und Kosten aufgrund eines Ransomware-Angriffs bzw einer Cyber-Erpressung, </p></li> \n <li> <p> Vermögenschäden aus der Verletzung von Persönlichkeitsrechten, Urheberechten und Markenrechten, </p></li> \n <li> <p> Vermögenschäden wegen strafbarer Handlungen (zB aufgrund von Täuschungen Dritter, Stichwort „Fake President Fraud“).<q class=\"aloha-cite-wrapper aloha-cite-706695634605791132\" note=\"Siehe dazu Fallbeispiel „CEO Fraud / Fake President Fraud“. Diese Schäden werden oft nicht von Cyber-Versicherungen gedeckt und können (oft nur) durch eine Vertrauensschadenversicherung (VSV) abgedeckt werden. Vgl Gruber, Grundlagen der Vertrauensschadenversicherung, wbl 2017, 317; Koch, „Eine Cyber-Polizze wird Standard sein“, http://www.schwaebische.de/wirtschaft/aktuelle-nachrichten_artikel,-%E2%80%9EEine-Cyber-Police-wird-Standard-sein%E2%80%9C-_arid,10698104.html (03.08.2017).\" data-cite-id=\"706695634605791132\"><sup id=\"cite-ref-706695634605791132\" contenteditable=\"false\"><a class=\"aloha-cite-index footnodelink\" href=\"#cite-note-706695634605791132\">24</a></sup></q> </p></li> \n </ul> \n <p> Zusätzlich bieten Cyber-Versicherungen auch die Deckung von Support-Leistungen im Schadensfall an. Die Leistungen reichen von der Übernahme der Kosten für die Analyse durch IT-Forensiker, PR- und Krisenberatung bis hin zur Übernahme von Rechtsanwaltskosten. Hier verfügen die meisten Versicherungen über bestimmte Kooperationspartner, die vom Versicherungsnehmer in Anspruch genommen werden können. Zudem wird oft eine 24/7 Support-Hotline bereitgestellt, um den Versicherungsnehmer im Schadensfall optimal und zeitnah zu betreuen. </p> \n <p> Abhängig vom jeweiligen Versicherer ist es möglich, auch nur einzelne Support-Leistungen bzw Risiken zu versichern und die Deckung individuell zu gestalten. Meistens gibt es sogenannte Basis-Deckungen, die dann durch Zusatz-Bausteine auf weitere Risiken erweitert werden können. </p> \n <div class=\"text-stoerer\">\n\t\t<div class=\"w-100 card-body\">\n\t\t\t<h2 class=\"card-title text-uppercase\">Fallbeispiel: Ransomware</h2>\n\t\t\t<div class=\"card-text \"><p> Das Management hat vor kurzem eine Cyber-Versicherung für das Krankenhaus abgeschlossen. Inkludiert wurde neben einer Cyber-Haftpflicht und Cyber-Eigenschaden-Komponente auch der Ersatz von Support-Leistungen im Schadensfall. </p></div>\n\t\t</div>\n</div>\n \n <p> <b>3.3. Wesentliche Parameter für den Abschluss einer Polizze</b> </p> \n <p> In der Regel werden vor Abschluss einer Polizze gemeinsam mit dem Versicherer das bestehende Risiko und dessen Eintrittswahrscheinlichkeit erhoben, zB in Form von Fragebögen. Im Fokus stehen hierbei insbesondere bestehende Sicherheitsmaßnahmen und unternehmensinterne Standards. Darauf aufbauend werden anschließend vom Versicherer ein möglicher Deckungsumfang sowie die Prämie kalkuliert. </p> \n <p> <i>Ermittlung des Risikos und des Versicherungsbedarfs</i> </p> \n <p> Abseits der Risikoermittlung durch oder gemeinsam mit dem Versicherer sollte das bestehende Risiko im Rahmen des Risikomanagements stets unternehmensintern evaluiert werden. </p> \n <p> Die Risiken hängen sehr stark ua von Unternehmensgröße, -art und -branche ab. So wird bei einem Dienstleistungsunternehmen, das idR viele personenbezogene Daten verwaltet bzw verwendet, das Risiko eines Ransomware-Angriffs deutlich größer sein als jenes einer DoS-Attacke. Produktions- oder Warenhandelsunternehmen werden hingegen anfälliger für eine DoS-Attacke sein. Der Versicherungsnehmer sollte daher ua folgende Fragen beantworten können: Welche Daten sind besonders wichtig oder gefährdet, welche Arten von Cybercrime sind eine Bedrohung und wie können Daten aus dem Unternehmen abfließen? </p> \n <p> Ausgehend vom konkreten Risiko sollte definiert werden, gegen welche Gefahren die Versicherung abzuschließen ist bzw welcher Versicherungsbedarf besteht. Zudem sollte ermittelt werden, welche Support-Leistungen der Versicherte tatsächlich benötigt und in Anspruch nehmen wird. Beispielsweise wird die Inanspruchnahme von PR- und Krisenmanagement für ein Unternehmen nur dann von Relevanz sein, wenn das Reputationsrisiko entsprechend hoch ist. </p> \n <p> Eventuell sind gewisse Risiken auch schon von bestehenden Polizzen abgedeckt, beispielsweise bei Betriebshaftpflicht- oder Betriebsunterbrechungsversicherungen. Um etwaige Mehrfach- oder Doppelversicherungen<q class=\"aloha-cite-wrapper aloha-cite-8621471435704981179\" note=\"In Bezug auf die Schadensversicherungsbestandteile der Cyber Versicherung, Vgl §§ 59 ff. VersVG.\" data-cite-id=\"8621471435704981179\"><sup id=\"cite-ref-8621471435704981179\" contenteditable=\"false\"><a class=\"aloha-cite-index footnodelink\" href=\"#cite-note-8621471435704981179\">25</a></sup></q> zu vermeiden und einen verlässlichen Versicherungsschutz zu gewährleisten, sollte ein genauer Vergleich zu bereits bestehenden Polizzen vom Versicherungsnehmer vorab vorgenommen werden.<q class=\"aloha-cite-wrapper aloha-cite-5166986824293216255\" note=\"Vgl Drave, Cyberrisiken als Herausforderungen für das Risikomanagement, VersicherungsPraxis 06/2015, 34.\" data-cite-id=\"5166986824293216255\"><sup id=\"cite-ref-5166986824293216255\" contenteditable=\"false\"><a class=\"aloha-cite-index footnodelink\" href=\"#cite-note-5166986824293216255\">26</a></sup></q> </p> \n <p> Zu achten ist hier insbesondere auf Subsidiaritätsklauseln in den Versicherungsverträgen, welche dazu führen, dass die Deckung aus einem Vertrag dann nicht greift, wenn schon aus einem anderen Versicherungsvertrag eine Deckung besteht.<q class=\"aloha-cite-wrapper aloha-cite-5704846660514242683\" note=\"Vgl ausführlicher Schauer in Fenyves/Schauer (Hrsg), VersVG – Versicherungsvertragsgesetz (3.Lfg, 2016) § 59 Rz. 49 ff.\" data-cite-id=\"5704846660514242683\"><sup id=\"cite-ref-5704846660514242683\" contenteditable=\"false\"><a class=\"aloha-cite-index footnodelink\" href=\"#cite-note-5704846660514242683\">27</a></sup></q> Solche Klauseln in Versicherungsverträgen sind grundsätzlich zulässig und auch üblich. Problematisch sind insbesondere Fälle, in denen beide Versicherungsverträge Subsidiaritätsklauseln enthalten. Dies könnte dazu führen, dass beide Versicherer die Leistung im Schadensfall verweigern. </p> \n <div class=\"text-stoerer\">\n\t\t<div class=\"w-100 card-body\">\n\t\t\t<h2 class=\"card-title text-uppercase\">Fallbeispiel: Ransomware</h2>\n\t\t\t<div class=\"card-text \"><p> Ein Krankenhaus verarbeitet ua Gesundheitsdaten<q class=\"aloha-cite-wrapper aloha-cite-4583368917318639174\" note=\"Art 4 Z. 15 EU-DSGVO; § 36 Z. 14 DSG.\" data-cite-id=\"4583368917318639174\"><sup id=\"cite-ref-4583368917318639174\" contenteditable=\"false\"><a class=\"aloha-cite-index footnodelink\" href=\"#cite-note-4583368917318639174\" draggable=\"false\">28</a></sup></q>, die als besonders schutzwürdige personenbezogene Daten<q class=\"aloha-cite-wrapper aloha-cite--1599530348049743935\" note=\"Art 9 EU –DSGVO; § 39 DSG.\" data-cite-id=\"-1599530348049743935\"><sup id=\"cite-ref--1599530348049743935\" contenteditable=\"false\"><a class=\"aloha-cite-index footnodelink\" href=\"#cite-note--1599530348049743935\" draggable=\"false\">29</a></sup></q> iSd EU-Datenschutz-Grundverordnung gelten. Dies erhöht beispielsweise das Risiko eines Ransomware-Angriffs und einer Datenschutzverletzung. Andererseits sinkt beispielsweise das Risiko eines DoS-Angriffes, da kein Online-Shop oder eine betriebsnotwendige Website betrieben wird. </p></div>\n\t\t</div>\n</div>\n \n <p> <i>Vergleich der am Markt angebotenen Versicherungsprodukte</i> </p> \n <p> Wie bereits dargelegt, unterscheiden sich die derzeit am Markt angebotenen Versicherungen erheblich und es liegen derzeit noch keine allgemeinen Versicherungsbedingungen dazu vor. Die Unterschiede sind teilweise eklatant und betreffen die angebotenen Deckungssummen, Prämien und Deckungsbausteine. Auch sind einige Versicherungsprodukte nur auf gewisse Branchen ausgerichtet, beispielweise auf kleine und mittlere Betriebe. </p> \n <p> Dies erfordert einen Vergleich der am Markt angebotenen Versicherungen, sodass ein auf das Unternehmensrisiko abgestimmtes Produkt gewählt werden kann. </p> \n <p> <i>Unterschiedliche Definitionen in Versicherungsbedingungen</i> </p> \n <p> Derzeit unterscheiden sich in den Versicherungsprodukten am Markt auch die Definitionen der einzelnen Tatbestände, wie zB Cyber-Erpressung, Hacker-Angriff, Informationssicherheitsverletzung oder Netzwerksicherheitsverletzung, da es für diese Fachbegriffe oft noch keine allgemein gültigen Definitionen gibt. Häufig wird auch in den Versicherungsbedingungen auf weitere Fachbegriffe verwiesen. Um mögliche Deckungslücken zu vermeiden, sollten die Definitionen und Versicherungsbedingungen vor Vertragsabschluss auf mögliche Missverständnisse und Unklarheiten gesichtet werden. </p> \n <div class=\"text-stoerer\">\n\t\t<div class=\"w-100 card-body\">\n\t\t\t<h2 class=\"card-title text-uppercase\">Fallbeispiel: „Fake President Fraud“</h2>\n\t\t\t<div class=\"card-text \"><p> Im Zuge der IT-forensischen Analysen wird festgestellt, dass sich im Krankenhaus ein „Fake President Fraud“-Fall ereignet hat. Aufgrund einer manipulierten E-Mail und eines vorgetäuschten Anrufs im Namen des Vorstands tätigte eine Mitarbeiterin der Buchhaltung eine Überweisung iHv 200.000 EUR für den angeblichen Erwerb eines neuen medizinischen Geräts. Das Management des Krankenhauses macht nun den Vermögensschaden im Rahmen seiner Cyber-Versicherung geltend. Der Versicherer weist den Anspruch jedoch zurück und verweigert die Deckung, da ein solcher Fall nicht von den Versicherungsbedingungen umfasst ist.<q class=\"aloha-cite-wrapper aloha-cite--1684741271334201828\" note=\"Es handelt sich dabei um einen Vermögensschaden aus einer strafbaren Handlung von Dritten bzw. der Täuschung durch Dritte. Dieser ist oft nicht von den angebotenen Cyber Versicherungen gedeckt und kann meistens nur durch eine Vertrauensschadenversicherung (VSV) abgedeckt werden; Vgl Gruber, wbl 2017, 317.\" data-cite-id=\"-1684741271334201828\"><sup id=\"cite-ref--1684741271334201828\" contenteditable=\"false\"><a class=\"aloha-cite-index footnodelink\" href=\"#cite-note--1684741271334201828\" draggable=\"false\">30</a></sup></q> </p></div>\n\t\t</div>\n</div>\n \n <p> <i>Vorabüberlegungen zu Cyber-Security-Schutzmaßnahmen</i> </p> \n <p> Trotz der Möglichkeit des Risikotransfers durch Abschluss einer Cyber-Versicherung gibt es einige Maßnahmen, die ein Unternehmen unabhängig treffen sollte bzw aufgrund gesetzlicher Verpflichtungen zu implementieren hat.<q class=\"aloha-cite-wrapper aloha-cite-173931565082547328\" note=\"Beispielsweise Datenschutzrechtliche Parameter (Mit Inkrafttreten der DSGVO müssen Unternehmen Datenschutz durch geeignete technische und organisatorische Maßnahmen (Art 25 und 32 EU-DSGVO; § 54 DSG gewährleisten.).\" data-cite-id=\"173931565082547328\"><sup id=\"cite-ref-173931565082547328\" contenteditable=\"false\"><a class=\"aloha-cite-index footnodelink\" href=\"#cite-note-173931565082547328\">31</a></sup></q> Zuvor wurde bereits dargelegt, dass das zu versichernde Risiko und der konkrete Versicherungsbedarf oftmals mit Hilfe von Musterfragebögen vom Versicherten abgefragt werden. Eine der geläufigsten Fragen hierbei betrifft bereits im Unternehmen implementierte IT-Schutzmaßnahmen, da angebotene Prämien und Versicherungssummen stark mit den bestehenden Schutzmaßnahmen zusammenhängen.<q class=\"aloha-cite-wrapper aloha-cite-8711641052501520968\" note=\"Vgl Hafen, So lassen sich IT-Risiken im Unternehmen versichern, com!Professional 3/2016, 117.\" data-cite-id=\"8711641052501520968\"><sup id=\"cite-ref-8711641052501520968\" contenteditable=\"false\"><a class=\"aloha-cite-index footnodelink\" href=\"#cite-note-8711641052501520968\">32</a></sup></q> </p> \n <p> <i>Best Practices iZm Cybercrime</i> </p> \n <p> Mögliche technische Maßnahmen zur Reduzierung des Risikos sind ua die regelmäßige Erstellung von Backups, die Verschlüsselung von Daten, regelmäßige Passwortänderungen, regelmäßige Softwareupdates, die Einführung von Firewalls und Antivirensoftware. Abseits der technischen Möglichkeiten sollten auch organisatorische Maßnahmen gesetzt werden, wie Verhaltensrichtlinien, die Entwicklung eines „Incident-Response-Plans“,<q class=\"aloha-cite-wrapper aloha-cite--5627299181536072150\" note=\"Dabei handelt es sich um einen Vorfallsplan, der u.a. Abläufe, Vorgehensweise und Zuständigkeiten im Falle eines Cyber Angriffes regelt. Vgl dazu auch ISO/IEC 27035-2:2016 als Teil einer ISO 27001-Zertifizierung, https://www.iso.org/standard/62071.html (03.08.2017).\" data-cite-id=\"-5627299181536072150\"><sup id=\"cite-ref--5627299181536072150\" contenteditable=\"false\"><a class=\"aloha-cite-index footnodelink\" href=\"#cite-note--5627299181536072150\">33</a></sup></q> kontinuierliche Überprüfungen (zB „Penetration Tests“) und eine klare Verteilung von Zuständigkeiten. </p> \n <p> Wichtig ist auch, dass das Cyber-Risiko nicht als reine IT-Frage gesehen, sondern ganzheitlich im Unternehmen betrachtet wird. Das Verhalten der Mitarbeiter und ihr Bewusstsein („Awareness“) sind dabei ein wesentlicher Faktor für den Schutz vor Cyberangriffen. Viele aktuelle Methoden von Cybercrime richten sich dezidiert an einzelne Mitarbeiter oder eine bestimmte Gruppe im Unternehmen (zB E-Mail-Phishing, Social-Engineering). Mit Hilfe von regelmäßigen Schulungen und Trainings kann die Awareness der Mitarbeiter gesteigert und dadurch das Risiko minimiert werden. </p> \n <p> Schließlich besteht die Möglichkeit, durch Zertifizierungen (zB ISO 27001, EuroPrise, SOC2) den Nachweis eines Sicherheitsstandards und einer regelkonformen Datenverarbeitung zu erbringen. </p> \n <p> <i>Inanspruchnahme von Supportleistungen durch Externe</i> </p> \n <p> Die meisten Cyber-Versicherungen beinhalten auch die Abdeckung von Supportleistungen, wie zB die Kosten für IT-Forensiker, Rechtsanwälte, PR-Krisenmanagement und Sachverständige. Hier sollte vor Beauftragung externer Berater und Dienstleister darauf geachtet werden, ob es Einschränkungen in den Versicherungsbedingungen gibt. </p> \n <p> Beispielsweise kann vereinbart sein, dass die Kosten für IT-Forensiker nur für einen bestimmten Zeitraum ersetzt werden. Bei Cyber-Versicherungen besteht idR auch eine Einschränkung auf bestimmte Kooperationspartner des Versicherers: Dies zeigt sich daran, dass der Versicherte angehalten ist, sich die Beauftragung der Kooperationspartner vom Versicherer genehmigen zu lassen oder die Dienstleister im Versicherungsschein (Polizze) bereits angeführt werden. In vielen bis dato offerierten Cyber-Versicherungen wird zumindest eine Vorauswahl von Externen durch den Versicherer vorgenommen. Sofern solche Einschränkungen bestehen, sollte beim Abschluss der Versicherung jedenfalls auch auf die Qualifikation der vom Versicherer angebotenen Dienstleister geachtet werden, um eine optimale Unterstützung im Schadensfall sicherzustellen. Auch ist zu bedenken, dass man hier uU nicht mit einem bereits vertrauten Unternehmen zusammenarbeiten kann und der Versicherer die Entscheidung trifft. </p> \n <p> Grundsätzlich stellt sich bei der Inanspruchnahme externer Dienstleister die Frage, in wessen Auftrag dieses Unternehmen tätig wird und wie daher der Auftragsgegenstand definiert wird. Im Fokus des Versicherers wird neben einer kostensparenden und schnellen Aufarbeitung auch die Frage des Verschuldens bzw der Verletzung von Obliegenheiten durch den Versicherungsnehmer stehen. Auf der anderen Seite ist der Versicherungsnehmer an einer schnellen und vertrauenswürdigen Aufklärung interessiert, allerdings möchte er auch von den Leistungen seines Versicherungsschutzes Gebrauch machen. </p> \n <div class=\"text-stoerer\">\n\t\t<div class=\"w-100 card-body\">\n\t\t\t<h2 class=\"card-title text-uppercase\">Fallbeispiel: Ransomware</h2>\n\t\t\t<div class=\"card-text \"><p> Der Vorstand des betroffenen Krankenhauses verständigt umgehend ein auf IT-Forensik spezialisiertes Beratungsunternehmen, um die Sicherheitslücke zu schließen, den Krankenhausbetrieb wiederherzustellen und den potenziellen Schaden zu ermitteln. Erst im Anschluss informiert er den im Versicherungsschein angeführten Betreuer der bestehenden Cyber-Versicherung. Der Versicherer verweigert im Anschluss die Deckung der Kosten für externe Leistungen, da die Beauftragung nicht vorab genehmigt wurde. </p></div>\n\t\t</div>\n</div>\n \n <p> <i>Obliegenheiten und Risikoausschlüsse</i> </p> \n <p> Versicherungsbedingungen determinieren idR gewisse Obliegenheiten des Versicherungsnehmers, bei deren Missachtung der Versicherer unter Umständen leistungsfrei wird. Unterschieden wird zwischen primären Obliegenheiten (§ 6 Abs 1a und 2 VersVG), welche schon vor Eintritt eines Versicherungsfalls gelten, und sekundären Obliegenheiten (§ 6 Abs 3 VersVG), die das Verhalten ab Eintritt eines Versicherungsfalls betreffen.<q class=\"aloha-cite-wrapper aloha-cite-6151523060371079493\" note=\"Vgl dazu ausführlich: Fenyves in Fenyves/Schauer, VersVG (1.Lfg, 2014) § 6 Rz 68 ff und 100 ff.\" data-cite-id=\"6151523060371079493\"><sup id=\"cite-ref-6151523060371079493\" contenteditable=\"false\"><a class=\"aloha-cite-index footnodelink\" href=\"#cite-note-6151523060371079493\">34</a></sup></q> Hier ist beispielsweise eine Schadensminderungspflicht oder verpflichtende Anzeige des Versicherungsfalls beim Versicherer innerhalb bestimmter Fristen zu nennen. Auch werden gewisse Risiken explizit in den Versicherungsbedingungen ausgeschlossen, beispielsweise ein aufgrund der Verwendung einer unerprobten bzw nicht zertifizierten Software entstandener Schaden oder der Ausschluss von nicht zielgerichteten Angriffen auf das Unternehmen. </p> \n <div class=\"text-stoerer\">\n\t\t<div class=\"w-100 card-body\">\n\t\t\t<h2 class=\"card-title text-uppercase\">Fallbeispiel: Ransomware</h2>\n\t\t\t<div class=\"card-text \"><p> Die konsultierten IT-Forensiker kommen zur Erkenntnis, dass es sich bei dem Ransomware Angriff um keinen zielgerichteten Angriff auf das Krankenhaus handelte, sondern es zufällig Opfer der Schadsoftware wurde. Aufgrund dessen verweigert der Versicherer die Deckung der entstandenen Schäden unter Berufung auf den Ausschluss von willkürlichen bzw nicht zielgerichteten Angriffen. </p></div>\n\t\t</div>\n</div>\n \n <h2>4. Conclusio</h2> \n <p> Das Risiko eines Cyberangriffs ist vielfältig, die Folgen sowohl für Unternehmen als auch Privatpersonen nur schwer abschätzbar. Grundsätzlich sollten Unternehmen insbesondere im Zuge des Digitalisierungsprozesses geeignete Sicherheitsmaßnahmen implementieren, um ihre Daten und Systeme entsprechend zu schützen. Die Definition und Gestaltung dieser Maßnahmen hängen maßgeblich von unterschiedlichen Faktoren, wie beispielsweise der Unternehmensgröße sowie -branche ab. </p> \n <p> Diese Cyber-Security-Maßnahmen können zwar das Risiko eines Angriffs verringern, bieten jedoch keinen vollumfänglichen Schutz. In Anbetracht der enormen Schäden, die durch Cybercrime verursacht werden können, sollten Unternehmen die Möglichkeit eines Risikotransfers durch Abschluss einer Cyber-Versicherung prüfen. Es gilt jedoch zu bedenken, dass Cyber-Versicherungen ein relativ neues Produkt darstellen und derzeit in Österreich noch keine allgemeinen Versicherungsbedingungen oder -standards vorliegen, was erhebliche Unterschiede in der Begriffsdefinition bzw den angebotenen Leistungsumfängen zur Folge hat. Die bei Versicherungsabschluss zu beachtenden Parameter reichen daher von der Risikoevaluierung bis hin zur Inanspruchnahme von externen Support-Leistungen. </p> \n <p> Digitalisierung ist eine Reise in noch unerforschte und unbekannte Gebiete der Zukunft. So wie man vor einer spannenden Reise den Abschluss einer Reiseversicherung prüft, sollen auch Unternehmen sich mit dem Risikomanagement im Bereich der Digitalisierung proaktiv auseinandersetzen und geeignete Maßnahmen treffen. </p>\n \n \n \n \n \n","sidecolumn":null,"storiesmain":null,"storiesoverview":null,"headerimage":"","headertitle":"<h1 class=\"contentheader \">„Haben Sie schon den Erfolg Ihrer Digitalisierung versichert?“</h1>","stoerercontainer":null,"stoerercontainer2":null,"stoererwerbebanner":"","insiderheads":null,"overviewunternehmenimage":null,"overviewunternehmentitle":null,"buttonviewall1":null,"buttonviewall2":null,"superelement":null,"topstory":null,"netzwerkpartnerlogoleiste":"","metadata":"<div class=\"info\"><eval>>partials/themes-startpage/newsauthors data=(renderNewsAuthors \"151,182,183,309,514:Ilse.Herndl@autorenprofil.at\" userinfo)</eval>\n<br>01. September 2017 / Erschienen in Compliance Praxis 3/2017, S. 34</div>","footnotes":"<div class=\"footnote v-spacer footnote-editor-preview \"><h3>Fußnoten</h3><ol><li id=\"cite-note--1690348404736458000\"><span>Derzeit haben fast alle US-Bundesstaaten eine Meldepflicht (Data/Security Notification Laws) für Cyber Angriffe / Datenverletzungen normiert. Vgl für den US-Bundestaat California, https://oag.ca.gov/ecrime/databreach/reporting (03.08.2017). <a class=\"external\" target=\"_blank\" href=\" \"> </a></span>   <a class=\"footnodelink\" href=\"#cite-ref--1690348404736458000\">^</a></li><li id=\"cite-note-7937348401689115000\"><span>Vgl Pfluger, Versicherungen entdecken Cybercrime als Thema, http://derstandard.at/2000051053298/Versicherungen-entdecken-Cybercrime-als-Thema (03.08.2017). <a class=\"external\" target=\"_blank\" href=\" \"> </a></span>   <a class=\"footnodelink\" href=\"#cite-ref-7937348401689115000\">^</a></li><li id=\"cite-note-7696305935556155000\"><span>Art 33 und 34 EU-DSGVO. Die EU-Datenschutz-Grundverordnung tritt mit 28. Mai 2018 unmittelbar in Kraft. Begleitend wurde dazu Ende Juni 2017 das Datenschutz-Anpassungsgesetz 2018 vom Nationalrat beschlossen, das ebenfalls mit 28. Mai 2018 in Kraft tritt und das Datenschutzgesetz 2000 (DSG 2000) ersetzt. <a class=\"external\" target=\"_blank\" href=\" \"> </a></span>   <a class=\"footnodelink\" href=\"#cite-ref-7696305935556155000\">^</a></li><li id=\"cite-note-7057211068913871000\"><span>Allianz Risk Barometer 2017, https://www.allianz.at/ueber-allianz/media-newsroom/news/aktuelle-news/20170111pa-risk-barometer-2017/ (03.08.2017). <a class=\"external\" target=\"_blank\" href=\" \"> </a></span>   <a class=\"footnodelink\" href=\"#cite-ref-7057211068913871000\">^</a></li><li id=\"cite-note-8524391287482530000\"><span>Ebd. <a class=\"external\" target=\"_blank\" href=\" \"> </a></span>   <a class=\"footnodelink\" href=\"#cite-ref-8524391287482530000\">^</a></li><li id=\"cite-note-8994304332248013000\"><span>Sicherheit 2016 – Kriminalitätsentwicklung in Österreich, http://www.bmi.gv.at/cms/BK/publikationen/krim_statistik/2016/Web_Sicherheit_2016.pdf (03.08.2017). <a class=\"external\" target=\"_blank\" href=\" \"> </a></span>   <a class=\"footnodelink\" href=\"#cite-ref-8994304332248013000\">^</a></li><li id=\"cite-note--7205078388078917000\"><span>Vgl Gabler Wirtschaftslexikon, http://wirtschaftslexikon.gabler.de/Archiv/1408492/cybercrime-v3.html; Cybercrime Jahresbericht 2015 des Bundeskriminalamts, http://www.bmi.gv.at/cms/BK/publikationen/files/30102016_Cybercrime_2015.pdf (03.08.2017). <a class=\"external\" target=\"_blank\" href=\" \"> </a></span>   <a class=\"footnodelink\" href=\"#cite-ref--7205078388078917000\">^</a></li><li id=\"cite-note--4152601911616896000\"><span>Ransomware ist eine spezielle Art von Schadsoftware, durch die Daten und Systeme am PC verschlüsselt werden. Im Anschluss wird für die Entschlüsselung der Daten ein Lösegeld (engl. ransom) verlangt. Vgl Bericht Cyber Sicherheit 2016 des Bundeskriminalamts, https://www.bka.gv.at/DocView.axd?CobId=63191 (03.08.2017). <a class=\"external\" target=\"_blank\" href=\" \"> </a></span>   <a class=\"footnodelink\" href=\"#cite-ref--4152601911616896000\">^</a></li><li id=\"cite-note-3711485408363027500\"><span>Bei einem Denial of Service (DoS)-Angriff (engl. Dienstverweigerung) wird zB der Onlineshop eines Unternehmens durch eine Vielzahl von inszenierten Anfragen lahmgelegt. Anschließend wird ein Lösegeld für die Nutzung des Systems verlangt. Für weitere Details, Vgl Bericht Cyber Sicherheit 2016 des Bundeskriminalamts, https://www.bka.gv.at/DocView.axd?CobId=63191 (03.08.2017). <a class=\"external\" target=\"_blank\" href=\" \"> </a></span>   <a class=\"footnodelink\" href=\"#cite-ref-3711485408363027500\">^</a></li><li id=\"cite-note--2856260814930418700\"><span>Vgl Cybercrime Jahresbericht 2015 des Bundeskriminalamts, http://www.bmi.gv.at/cms/BK/publikationen/files/30102016_Cybercrime_2015.pdf (03.08.2017). <a class=\"external\" target=\"_blank\" href=\" \"> </a></span>   <a class=\"footnodelink\" href=\"#cite-ref--2856260814930418700\">^</a></li><li id=\"cite-note-428062582389480960\"><span>Vgl ausführlicher zu Darknet Märkten: Schmitz, Was ist das Darknet im Vergleich zum offenen Internet?, http://www.security-insider.de/was-ist-das-darknet-im-vergleich-zum-offenen-internet-a-586479/ (03.08.2017). <a class=\"external\" target=\"_blank\" href=\" \"> </a></span>   <a class=\"footnodelink\" href=\"#cite-ref-428062582389480960\">^</a></li><li id=\"cite-note--3434259794984199000\"><span>Vgl Augusten, Erpressersoftware: Wie Ransomware entwickelt und verbreitet wird, http://www.security-insider.de/wie-ransomware-entwickelt-und-verbreitet-wird-a-509579/ (03.08.2017). <a class=\"external\" target=\"_blank\" href=\" \"> </a></span>   <a class=\"footnodelink\" href=\"#cite-ref--3434259794984199000\">^</a></li><li id=\"cite-note-791938719722301400\"><span>Ein Bot-Netz besteht aus mehreren miteinander verbundenen Computersystemen. Diese werden idR von einem kontrollierenden Server ferngesteuert und beispielsweise für DoS-Angriffe oder Spam-Verbreitungen verwendet. Der Zugriff auf einzelne Systeme erfolgt meistens widerrechtlich und bleibt bei den Besitzern oft unbekannt. Vgl Cybercrime Jahresbericht 2015 des Bundeskriminalamts, http://www.bmi.gv.at/cms/BK/publikationen/files/30102016_Cybercrime_2015.pdf (03.08.2017). <a class=\"external\" target=\"_blank\" href=\" \"> </a></span>   <a class=\"footnodelink\" href=\"#cite-ref-791938719722301400\">^</a></li><li id=\"cite-note--3996407831788126700\"><span>Ponemon Institute, Cost of Cyber Crime Study & the Risk of Business Innovation 2016, https://www.ponemon.org/local/upload/file/2016%20HPE%20CCC%20GLOBAL%20REPORT%20FINAL%203.pdf (03.08.2017). <a class=\"external\" target=\"_blank\" href=\" \"> </a></span>   <a class=\"footnodelink\" href=\"#cite-ref--3996407831788126700\">^</a></li><li id=\"cite-note-6607934381395515000\"><span>Net Diligence, 2016 Cyber Claims Study, https://netdiligence.com/wp-content/uploads/2016/10/P02_NetDiligence-2016-Cyber-Claims-Study-ONLINE.pdf (03.08.2017). <a class=\"external\" target=\"_blank\" href=\" \"> </a></span>   <a class=\"footnodelink\" href=\"#cite-ref-6607934381395515000\">^</a></li><li id=\"cite-note-5106827799579179000\"><span>McAfee/CSIS, Net Losses: Estimating the Global Cost of Cybercrime – Economic impact of cybercrime II, https://csis-prod.s3.amazonaws.com/s3fs-public/legacy_files/files/attachments/140609_rp_economic_impact_cybercrime_report.pdf (03.08.2017). <a class=\"external\" target=\"_blank\" href=\" \"> </a></span>   <a class=\"footnodelink\" href=\"#cite-ref-5106827799579179000\">^</a></li><li id=\"cite-note--3183008170253328400\"><span>Vgl Fn 21. <a class=\"external\" target=\"_blank\" href=\" \"> </a></span>   <a class=\"footnodelink\" href=\"#cite-ref--3183008170253328400\">^</a></li><li id=\"cite-note--2795169563831512600\"><span>Ebd. <a class=\"external\" target=\"_blank\" href=\" \"> </a></span>   <a class=\"footnodelink\" href=\"#cite-ref--2795169563831512600\">^</a></li><li id=\"cite-note-6772407083968315000\"><span>LLOYD’S, Counting the cost – Cyber exposure decoded, Emerging Risks Report 2017 Technology, https://www.lloyds.com/news-and-insight/risk-insight/library/technology/countingthecost (03.08.2017); APA, Große Cyber-Attacken kosten mehrere Dutzend Milliarden Dollar, http://derstandard.at/2000061415423/Grosse-Cyber-Attacken-kosten-mehrere-Dutzend-Milliarden-Dollar (03.08.2017). <a class=\"external\" target=\"_blank\" href=\" \"> </a></span>   <a class=\"footnodelink\" href=\"#cite-ref-6772407083968315000\">^</a></li><li id=\"cite-note-5705911932689295000\"><span>Ausführlicher zum Begriff des Risikotransfers: Nguyen/Romeike, Versicherungsgswirtschaftslehre Grundlagen für Studium und Praxis (2013), 11, 18; Albrecht, Risikotheorie der Versicherung, in Wagner (Hrsg), Gabler Versicherungslexikon2 (2017) 778. <a class=\"external\" target=\"_blank\" href=\" \"> </a></span>   <a class=\"footnodelink\" href=\"#cite-ref-5705911932689295000\">^</a></li><li id=\"cite-note-435075774024388600\"><span>Farny, Theorie der Versicherung, B. Fortentwicklung der Theorie der Versicherung, in Farny/Helten/Koch/Schmidt (Hrsg), Handwörterbuch der Versicherung (1988) 867. <a class=\"external\" target=\"_blank\" href=\" \"> </a></span>   <a class=\"footnodelink\" href=\"#cite-ref-435075774024388600\">^</a></li><li id=\"cite-note--7944189978361619000\"><span>Wagner/Jost, Versicherungssparten, - zweige und –formen, in Wagner, Gabler Versicherungslexikon2 202. <a class=\"external\" target=\"_blank\" href=\" \"> </a></span>   <a class=\"footnodelink\" href=\"#cite-ref--7944189978361619000\">^</a></li><li id=\"cite-note--7535225488116817000\"><span>Bei der Aktivenversicherung wird ein konkreter Vermögensgegenstand bzw. eine Gruppe von Gegenständen versichert (zB Haushaltsversicherung). Hingegen schützt eine Passivenversicherung vor bestehenden oder möglichen neuen Verbindlichkeiten (zB Haftpflichtversicherung); Vgl Schauer, Das österreichische Versicherungsvertragsrecht3 (1995) 3. <a class=\"external\" target=\"_blank\" href=\" \"> </a></span>   <a class=\"footnodelink\" href=\"#cite-ref--7535225488116817000\">^</a></li><li id=\"cite-note-706695634605791100\"><span>Siehe dazu Fallbeispiel „CEO Fraud / Fake President Fraud“. Diese Schäden werden oft nicht von Cyber-Versicherungen gedeckt und können (oft nur) durch eine Vertrauensschadenversicherung (VSV) abgedeckt werden. Vgl Gruber, Grundlagen der Vertrauensschadenversicherung, wbl 2017, 317; Koch, „Eine Cyber-Polizze wird Standard sein“, http://www.schwaebische.de/wirtschaft/aktuelle-nachrichten_artikel,-%E2%80%9EEine-Cyber-Police-wird-Standard-sein%E2%80%9C-_arid,10698104.html (03.08.2017). <a class=\"external\" target=\"_blank\" href=\" \"> </a></span>   <a class=\"footnodelink\" href=\"#cite-ref-706695634605791100\">^</a></li><li id=\"cite-note-8621471435704982000\"><span>In Bezug auf die Schadensversicherungsbestandteile der Cyber Versicherung, Vgl §§ 59 ff. VersVG. <a class=\"external\" target=\"_blank\" href=\" \"> </a></span>   <a class=\"footnodelink\" href=\"#cite-ref-8621471435704982000\">^</a></li><li id=\"cite-note-5166986824293216000\"><span>Vgl Drave, Cyberrisiken als Herausforderungen für das Risikomanagement, VersicherungsPraxis 06/2015, 34. <a class=\"external\" target=\"_blank\" href=\" \"> </a></span>   <a class=\"footnodelink\" href=\"#cite-ref-5166986824293216000\">^</a></li><li id=\"cite-note-5704846660514243000\"><span>Vgl ausführlicher Schauer in Fenyves/Schauer (Hrsg), VersVG – Versicherungsvertragsgesetz (3.Lfg, 2016) § 59 Rz. 49 ff. <a class=\"external\" target=\"_blank\" href=\" \"> </a></span>   <a class=\"footnodelink\" href=\"#cite-ref-5704846660514243000\">^</a></li><li id=\"cite-note-4583368917318639000\"><span>Art 4 Z. 15 EU-DSGVO; § 36 Z. 14 DSG. <a class=\"external\" target=\"_blank\" href=\" \"> </a></span>   <a class=\"footnodelink\" href=\"#cite-ref-4583368917318639000\">^</a></li><li id=\"cite-note--1599530348049744000\"><span>Art 9 EU –DSGVO; § 39 DSG. <a class=\"external\" target=\"_blank\" href=\" \"> </a></span>   <a class=\"footnodelink\" href=\"#cite-ref--1599530348049744000\">^</a></li><li id=\"cite-note--1684741271334201900\"><span>Es handelt sich dabei um einen Vermögensschaden aus einer strafbaren Handlung von Dritten bzw. der Täuschung durch Dritte. Dieser ist oft nicht von den angebotenen Cyber Versicherungen gedeckt und kann meistens nur durch eine Vertrauensschadenversicherung (VSV) abgedeckt werden; Vgl Gruber, wbl 2017, 317. <a class=\"external\" target=\"_blank\" href=\" \"> </a></span>   <a class=\"footnodelink\" href=\"#cite-ref--1684741271334201900\">^</a></li><li id=\"cite-note-173931565082547330\"><span>Beispielsweise Datenschutzrechtliche Parameter (Mit Inkrafttreten der DSGVO müssen Unternehmen Datenschutz durch geeignete technische und organisatorische Maßnahmen (Art 25 und 32 EU-DSGVO; § 54 DSG gewährleisten.). <a class=\"external\" target=\"_blank\" href=\" \"> </a></span>   <a class=\"footnodelink\" href=\"#cite-ref-173931565082547330\">^</a></li><li id=\"cite-note-8711641052501521000\"><span>Vgl Hafen, So lassen sich IT-Risiken im Unternehmen versichern, com!Professional 3/2016, 117. <a class=\"external\" target=\"_blank\" href=\" \"> </a></span>   <a class=\"footnodelink\" href=\"#cite-ref-8711641052501521000\">^</a></li><li id=\"cite-note--5627299181536072000\"><span>Dabei handelt es sich um einen Vorfallsplan, der u.a. Abläufe, Vorgehensweise und Zuständigkeiten im Falle eines Cyber Angriffes regelt. Vgl dazu auch ISO/IEC 27035-2:2016 als Teil einer ISO 27001-Zertifizierung, https://www.iso.org/standard/62071.html (03.08.2017). <a class=\"external\" target=\"_blank\" href=\" \"> </a></span>   <a class=\"footnodelink\" href=\"#cite-ref--5627299181536072000\">^</a></li><li id=\"cite-note-6151523060371079000\"><span>Vgl dazu ausführlich: Fenyves in Fenyves/Schauer, VersVG (1.Lfg, 2014) § 6 Rz 68 ff und 100 ff. <a class=\"external\" target=\"_blank\" href=\" \"> </a></span>   <a class=\"footnodelink\" href=\"#cite-ref-6151523060371079000\">^</a></li></ol></div>\n","eventsmain":null,"eventsoverview":null,"eventsoverviewjson":null,"event":"","eventdates":"000-000","footer":"<footer class=\"d-flex flex-column flex-xl-row\">\n\t<span class=\"sr-only\">Footer</span>\n\t<ul class=\"nav footer-nav flex-row pb-4 pb-xl-0 w-100\" id=\"footernavigation\" role=\"navigation\">\n\t\t\t\t\t\t\t</ul>\n\t<div class=\"copyright flex-md-shrink-1 text-left text-md-right\">\n\t\t\t\t<img src=\"/static/compliance_praxis/files/images/LexisNexis.png\" alt=\"LexisNexis\">\n\t\t<p></p>\t</div>\n</footer>\n","footerglobal":"<eval>{cpConfigLoader \"global\" \"footer\"}</eval>","footerjson":null,"onetrust":null,"ogimagefallback":null,"ogimagefallbackheight":null,"ogimagefallbackwidth":null,"cpcouponlist":null,"taggedthemes":["Banken- und Versicherungen","IP-Compliance","Compliance Officer","Compliance Organisation"],"taggedcategories":["Recht & Haftung"],"taggedorganizers":[],"taggedexhibitors":[],"taggedlecturers":[],"taggedmoderators":[],"taggedparticipants":[],"taggedauthors":["151","182","183","309","514:Ilse.Herndl@autorenprofil.at"],"taggedmagazine":["Compliance Praxis 3/2017"],"taggedmagazinepage":"34","taggedadvertorial":[],"taggingcontainer":null,"authorsdetails":"<div><eval>>partials/content-page/authorsdetails</eval></div>","participantsdetails":null,"contactsdetails":null,"portalapp":"cpshop,cprelatedarticles,","sidecolumninsider":null,"sidecolumnthemen":null,"sidecolumnevents":null,"sidecolumnglobal":"\t<eval>{cpConfigLoader \"stoerer\" \"sidecolumnthemen\"}</eval>\n\t\t\t\t\t\t<eval>> partials/applications/cprelatedarticles applicationtag=\"cprelatedarticles\"</eval>\n\t\t\t","sidecolumntop":"<div class=\"row\"></div>","sidecolumnbottom":"<div class=\"row\"></div>","premium":null,"oecov":null,"textimage":null,"upcompanytaggedevents":null,"upcompanyadvertorialarticles":null,"personprofile":null,"cms_id":1356,"usermodule":null,"cpuseraccount":null,"meshroles":["anonymous"],"taggingusers":null,"magentoshopapp":"\n"}

„Haben Sie schon den Erfolg Ihrer Digitalisierung versichert?“

1. Einleitung

2. Cybercrime – Definition und Ausprägungen

3. Cyber-Versicherungen – Chancen, Risiken und Herausforderungen

Fallbeispiel: Ransomware

Fallbeispiel: Ransomware

Fallbeispiel: Ransomware

Fallbeispiel: „Fake President Fraud“

Fallbeispiel: Ransomware

Fallbeispiel: Ransomware

4. Conclusio

Fußnoten

Autoren

Mag. (FH) Mikhail Arshinskiy MSc

Mag. Karin Mair CFE

Mag. Shahanaz Müller BA

Ilse Herndl LL.B. (WU)

Compliance bedeutet Lösungen zu finden

Neues Gesetz für mehr Sicherheit im Netz

Compliance Praxis Presseschau, 22.03.

Compliance Praxis Presseschau, 24.09.