Wie real und alltäglich diese Gefahr ist, zeigen nicht nur die aktuellen medialen Berichterstattungen über den Cyberangriff auf die Kärntner Landesverwaltung, sondern wird auch im Cybercrime Report 2021 des Bundesministeriums für Inneres dokumentiert. Hieraus ist ersichtlich, dass die Cyber-Kriminalität im Jahr 2021 mit 46.179 Anzeigen – was einer Zunahme von 28,6 Prozent gegenüber dem Jahr 2020 entspricht – den historischen Höchstwert erreicht hat.

Wie können Gemeinden sich schützen?

Gemeinden sind somit gefordert, im Rahmen ihres Risikomanagements die Gefahr zu verringern, Opfer eines Cyberangriffes zu werden. Dies kann einerseits durch technische Schutzmaßnahmen (z. B. Investition in IT-Sicherheit, regelmäßige Sicherheitsupdates und Adaptierungen des Sicherheitsstandards, Sicherung von Fernzugriffen) und andererseits durch organisatorische Schutzmaßnahmen (z. B. Bestellung eines Verantwortlichen für die Sicherheit der Informations- und Kommunikationstechnologiesysteme, Regeln für den Umgang mit sensiblen Daten, Sensibilisierung und regelmäßige Schulung der Mitarbeiter, effektives Passwortmanagement) erfolgen.

Bei den genannten technischen und organisatorischen Schutzmaßnahmen handelt es sich grundsätzlich um präventive Schutzmaßnahmen. Was aber, wenn eine Gemeinde trotz aller Schutzmaßnahmen Opfer eines Cyberangriffes geworden ist?

In einem solchen Fall kann als weiteres Risikomanagement-Tool eine sogenannte Cyberversicherung die finanziellen Nachteile und Kosten (reine Vermögensschäden), die einer Gemeinde aus einem Cyberangriff anfallen, abfedern.

Wie in anderen Versicherungssparten gibt es allerdings auch im Bereich der Cyberversicherung leider keine „Super-Cyberversicherung“, die alle Risiken und möglichen Deckungsinhalte abbildet. Die „Cyber-Versicherungslandschaft“ ist viel mehr durch eine Produktwelt mit unterschiedlichsten Deckungskonzepten gekennzeichnet, wobei die meisten Versicherungslösungen aber zumindest folgende Kosten übernehmen:

Krisenbewältigung

• Kosten zur Feststellung von Schadenursache, Schadenhöhe und Schadenbehebung durch einen IT-Sachverständigen/Forensiker
• Kosten zur Datenwiederherstellung und Entfernung der Schadsoftware
• Rechtsberatungskosten
• Benachrichtigungskosten, die infolge einer Verletzung von datenschutzrechtlichen Vorschriften aufgrund gesetzlicher oder behördlicher Informationspflichten entstehen (z. B. datenschutzbehördlicher Auftrag, sämtliche Gemeindebürger vom Cyberangriff bzw. Datenschutzvorfall zu informieren)
• Call-Center-Kosten für die Beauftragung eines externen Call-Centers zur Beantwortung von Fragen zur Verletzung von datenschutzrechtlichen Vorschriften
• Kosten für Krisenkommunikation und PR-Maßnahmen

Betriebsunterbrechung

• Mehrkosten, die infolge der Betriebsunterbrechung für die provisorische Aufrechterhaltung oder zur Beschleunigung der Wiederaufnahme des Betriebes aufgewendet werden müssen (z. B. für die Anmietung von Computersystemen, für die Beauftragung externer Dienstleister zur Durchführung betrieblicher Aufgaben oder für die vorläufige Wiederinstandsetzung des IT-Systems)
• Kostenersatz für den während der Betriebsunterbrechung nicht erwirtschafteten Deckungsbeitrag

Haftpflicht

Dieser Deckungsbaustein ist für Gemeinden von besonderer Wichtigkeit, da in einer allfällig bestehenden Gemeindehaftpflichtversicherung für Vermögensschäden, die sich aus einem Cybervorfall ableiten, in der Regel keine Deckung besteht.

• Erfüllung von gesetzlichen Schadenersatzverpflichtungen, die der Gemeinde aufgrund eines Cyberangriffes bzw. einer Informationssicherheitsverletzung erwachsen.
• Kosten für die Feststellung und Abwehr von gesetzlichen Schadenersatzansprüchen Dritter.

Neben der erwähnten Produktvielfalt ist im Bereich der Cyberversicherung auch die derzeitige Marktsituation erwähnenswert, da diese aufgrund der aktuell sehr negativen Schadensituation von einer tiefgreifenden Änderung im Zeichnungsverhalten der Versicherungsgesellschaften gekennzeichnet ist. Die aktuelle Marktverhärtung spiegelt sich in intensiverer und präziserer Risikoerfassung, in der Voraussetzung von teilweise sehr weitreichenden IT-Security-Mindeststandards, geringeren Versicherungssummenkapazitäten sowie steigenden Selbstbehalten und Prämien wider.

Absichern ist nicht gleich vorsorgen

Eine Cyberversicherung kann keinesfalls technische und organisatorische Schutzmaßnahmen ersetzen, zumal zahlreiche dieser Schutzmaßnahmen überhaupt Voraussetzung für einen Versicherungsabschluss sind und darüber hinaus als einzuhaltende versicherungsvertragliche Obliegenheiten vereinbart gelten, um im Schadensfall den Versicherungsschutz nicht zu verlieren.

Angesichts der mit Sicherheit weiter stark steigenden Zahl an Cyberangriffen und der damit weiter korrelierenden Marktverhärtung ist jede Gemeinde, die noch keine Cyberversicherung abgeschlossen hat, gut beraten, sich intensiv damit zu beschäftigen, ob eine Cyberversicherung aus wirtschaftlicher und risikopolitischer Sicht nicht doch eine sinnvolle Ergänzung zum bestehenden kommunalen Deckungskonzept darstellt.

-M. GNESDA