Einleitung
Die Unternehmen haben vier herausfordernde Jahre hinter sich, die durch die steigende Anzahl und Schwere von Cyber-Bedrohungen und Ransomware-Angriffen gekennzeichnet waren, gefolgt von einem Versicherungsmarkt mit steigenden Prämien und Selbstbehalten sowie einer strengen Underwriting-Prüfung. Bei der Zusammenarbeit mit unseren Kunden haben wir festgestellt, dass die Führungskräfte erkannt haben, dass sich Cyber-Ereignisse auf alle Bereiche ihres Unternehmens auswirken können. Folglich ist das Erreichen von Cyber-Resilienz ein wiederkehrendes Thema in den Vorstandsetagen, und die Bedrohung wird endlich aus einer ganzheitlichen Risikoperspektive betrachtet.
Zwischen 2020 und 2022 reagierten die Versicherer auf das enorme Ausmaß des Cyber-Risikos und die Notwendigkeit, die Rentabilität zu sichern.
Auf dem Cyber- und E&O-Markt wurden strengere Underwriting-Richtlinien eingeführt, was zu einer genaueren Prüfung der Sicherheitskontrollen, strengeren Richtlinien und einer Neubewertung des Cyber-Risikos insgesamt geführt hat.1 Nach Angaben von Aon-Kunden haben die Unternehmen auf diese strengeren Richtlinien reagiert und damit begonnen, sich stärker auf die Verbesserung der Risikoreife von Kontrollen zu konzentrieren, die von den Versicherern als kritisch oder als „Red Flag“ eingestuft wurden.
Der diesjährige Bericht dient als Leitfaden für Führungskräfte, um den Risikoreifegrad ihres Unternehmens mit dem anderer Unternehmen vergleichen zu können und um bessere Entscheidungen für den Umgang mit Cyber-Risiken in den sechs vorgestellten Risikobereichen zu treffen: Cyber-Risiken, betriebliche Risiken, Lieferkettenrisiken, Insiderrisiken, Reputationsrisiken und systemische Risiken. Dieser Bericht basiert auf Daten, die weltweit von mehr als 2.000 Aon-Kunden aus verschiedenen Regionen, Branchen und Umsatzklassen mit Hilfe von Aons Cyber Quotient (CyQu), einer globalen eSubmission- und Risikobewertungsplattform, erhoben wurden. Ergänzt werden diese CyQu-Daten durch Daten aus dem Zusatzantrag von Aon in Bezug auf Ransomware und dem Operational Technology Supplemental, die einen erweiterten Einblick in die Sicherheitskontrollen geben, die von den Versicherungsträgern als vorrangig eingestuft werden.2 Dieser Kundeninput wurde dann durch Informationen über den Markt für Cyber-Schadensfälle ergänzt und mit Kommentaren der Cyber Advisory und Digital Forensic Incident Response Teams von Aon angereichert, so dass wir mit diesem Bericht nun eine umfassende Untersuchung der Cyber-Resilienz und des Cyber-Risikos anbieten können. Die CyQu-Daten verdeutlichen, dass man weithin verstanden hat, dass gerade der Versicherungsmarkt die bereits anerkannten Kontrollen auf dem Weg zur Cyber-Sicherheitsreife entscheidend weiter vorantreibt. Die Kunden berichteten, dass sich die Cyber-Reife und dementsprechend die Vorbereitung auf eventuelle Angriffe zwischen 2020 und 2022 verbessert hat, wobei im globalen Durchschnitt eine Verschiebung von „basic“ zu „managed“ Cyber-Reife zu verzeichnen ist. Die Unternehmen haben generell Maßnahmen ergriffen, um die von den Versicherern als kritisch eingestuften Sicherheitsbereiche und -kontrollen zu stärken. Dabei hat man sich verstärkt auf das Zugriffsmanagement und auf Strategien zur Multi-Faktor-Authentifizierung (MFA) konzentriert. In diesem Zusammenhang konnten wir einen Rückgang der Ransomware-Schäden um 32 Prozent sowie einen Rückgang der Schadenhäufigkeit in der Cyber-Versicherung um insgesamt 14 Prozent im Jahr 2022 beobachten.3
Im Gegensatz dazu hatten wohl die Unternehmen aus allen Sektoren Probleme mit dem Risikomanagement für Dritte, wobei aus keinem Sektor ein „managed“ Profil gemeldet wurde. Dieses Ergebnis ist zwar nicht überraschend, bestätigt allerdings, dass dieses Thema in der Cyber-Branche an Bedeutung gewinnt: Das Risiko, das in der Lieferkette eines Unternehmens entsteht, ist komplex, und die immer stärkere Vernetzung der Technologie-Systeme erhöht das Risiko für Dritte exponentiell. Infolge dieses erhöhten Risikos, das erst kürzlich durch eine Datenpanne bei einer Lieferplattform offenkundig wurde, erwarten wir, dass viele Versicherer ihr Augenmerk in diesem Jahr auf die Gefährdung durch systemische und damit zusammenhängende Risiken und deren Auswirkungen richten werden.
Diese vorläufigen Daten markieren nur die Spitze der in diesem Bericht vermittelten Erkenntnisse. Die einzelnen Artikel sind in diesem Bericht enthalten. Dieser enthält branchenbezogene Analysen für das Finanz- und Versicherungswesen, das Gesundheitswesen und die verarbeitende Industrie, und darüber hinaus werden Nordamerika, EMEA, das Vereinigte Königreich, Lateinamerika und der asiatisch-pazifische Raum noch regional betrachtet.
Für jedes Unternehmen ist es eine große Herausforderung, den Weg zur Cyber- und letztlich zur Unternehmensresilienz zu finden. Resilienz ist eine unverzichtbare Komponente zur Risikominimierung in finanzieller, betrieblicher und reputationsbezogener Hinsicht. Sie erfordert eine ganzheitliche Sichtweise, die proaktives Risikomanagement, Reaktionsvorbereitung und Risikotransfermechanismen miteinander verbindet. Der Risikotransfer ist ein grundlegender Bestandteil der Widerstandsfähigkeit und beschränkt sich nicht nur auf die traditionelle Vermittlung von Versicherungen. Eigenmittel und alternatives Kapital sind praktikable Optionen, die für den Schutz der Bilanz in Betracht gezogen werden sollten. Unabhängig davon, ob Sie Geschäftsführer eines Fortune-100-Unternehmen oder eine kleinen bis mittelgroßen Unternehmens, das mit ähnlichen Risiken konfrontiert ist, sich aber vom Markt unterversorgt fühlt, hoffe ich, dass der vorliegende Bericht eine Ressource und ein Hilfsmittel für Ihre Entscheidungsfindung im Jahr 2023 und darüber hinaus bietet. Cyber-Resilienz ist eine Reise, die man am besten in Partnerschaft und durch Teamarbeit bewältigt.
Christian E. Hoffman
Der Globale Cyber-Champion von Aon
References
1 Aon | E&O- und Cyber-Marktbericht | Jahresmitte 2022. Snapshot der E&O- | Cyber-Versicherung zur Jahresmitte 2021 (aon.com)
2 Siehe den Artikel „Methodik“ im Bericht zur Cyber-Resilienz 2023 von Aon
3 Quelle: Risikobasierte Sicherheit, Analyse von Aon. Stand der Daten: 1. März 2023
