Cyberversicherung

Das hängt vom Wortlaut der Police ab, nicht vom Wort „Cyber“ im Namen. Policen unterscheiden sich darin, was sie decken: Kosten der Vorfallsbewältigung, Wiederherstellung der Systeme, Betriebsunterbrechung, Ansprüche Dritter und in manchen Policen auch das Lösegeld selbst. Sie unterscheiden sich auch bei Ausschlüssen, Selbstbehalt, Wartezeit, ab der Unterbrechungsschäden zählen, und bei den Sicherheitsbedingungen, die Sie im Antrag angegeben haben, etwa Multi-Faktor-Authentifizierung (MFA) und Offline-Backups. Eine Lösegeldzahlung kann zudem rechtlich beschränkt sein, zum Beispiel wenn die Täter auf einer Sanktionsliste stehen; dann kann der Versicherer diesen Teil ablehnen, auch wenn der Rest gedeckt ist. Lesen Sie die Deckung vor einem Vorfall mit Ihrem Makler, notieren Sie die Hotline des Versicherers und die Meldebedingungen, und prüfen Sie, ob jede angegebene Maßnahme tatsächlich besteht. NetSenX entscheidet nicht über die Deckung, aber seine Alarme und das Audit-Log, in jedem Plan, helfen zu zeigen, was überwacht wurde und wann die ersten Anzeichen auftraten.

Ja, sie können helfen festzustellen, was wann geschah, und davon hängen sowohl der Schadenfall als auch eine etwaige Datenschutzmeldung ab. Netzwerkaufzeichnungen können zeigen, wann ungewöhnliche Verbindungen begannen, welche Geräte beteiligt waren, ob ein Gerät in regelmäßigen Abständen einen externen Server kontaktierte und ob große Datenmengen das Netz verließen. Das hilft, einen reinen Verschlüsselungsangriff von einem zu unterscheiden, bei dem auch Daten abflossen. Damit das zählt, müssen die Aufzeichnungen den fraglichen Zeitraum abdecken, verlässliche Zeitstempel tragen und vor späteren Änderungen geschützt sein; legen Sie die Aufbewahrung also fest, bevor Sie sie brauchen, und halten Sie Kopien außerhalb der betroffenen Systeme. NetSenX bewahrt Alarme für die Alarmhistorie Ihres Plans auf und führt ein Audit-Log der Aktionen und Änderungen im Konto. Es zeichnet Metadaten auf, nicht den Inhalt verschlüsselter Sitzungen: Es zeigt, dass und wohin Daten abflossen, nicht, was die Dateien enthielten. Ob eine Aufzeichnung einem bestimmten Versicherer genügt, klären Sie mit Ihrem Makler.

Möglicherweise, je nachdem, was Sie angegeben haben und wie die Police formuliert ist. Antragsformulare fragen oft nicht nur, ob ein Überwachungswerkzeug installiert ist, sondern auch, wer seine Alarme prüft und wie schnell; eine Antwort, die nicht der Wirklichkeit entsprach, kann die Deckung nach einem Vorfall mindern oder entfallen lassen. Lesen Sie den Wortlaut mit Ihrem Makler und beschreiben Sie Ihre Aufstellung so, wie sie tatsächlich ist, einschließlich Abenden, Wochenenden und Urlaubszeiten. Schließen Sie dann die Lücke: Benennen Sie eine Person und eine Vertretung für Alarme, legen Sie fest, was dringend ist, schreiben Sie auf, wer wen anruft, und testen Sie es. Kann das niemand im Haus übernehmen, kann es ein Managed Service Provider (MSP). Ein Werkzeug hilft nur, wenn jemand die Alarme rechtzeitig sieht. NetSenX erklärt jeden Alarm verständlich, sodass auch Nicht-Fachleute ihn einordnen können, und ab dem Pro-Plan kann es Alarme an Slack oder einen Webhook senden, damit sie die diensthabende Person erreichen. Das Audit-Log hält Aktionen und Änderungen im Konto fest.

Meist, weil die Fakten nach dem Vorfall nicht zu dem passen, was vorher angegeben oder verlangt wurde. Typische Gründe sind eine im Antrag genannte Sicherheitsmaßnahme, die fehlte oder nur teilweise bestand, etwa MFA für E-Mail, aber nicht für den Fernzugang; eine verspätete Meldung an den Versicherer; ein Ereignis, das unter einen Ausschluss fällt, etwa Krieg oder eine ungepatchte bekannte Schwachstelle, wenn die Police das vorsieht; Schäden außerhalb der Deckung, etwa ein nicht versicherbares Bußgeld; oder Dienstleister, die ohne Zustimmung des Versicherers beauftragt wurden. Senken Sie das Risiko jetzt: Beantworten Sie den Fragebogen mit der Person, die die Systeme betreibt, bewahren Sie Nachweise auf, dass jede Maßnahme wirkt, legen Sie das Meldeverfahren des Versicherers zum Notfallplan und informieren Sie Ihren Makler über Änderungen. NetSenX kann keinen Schadenfall durchsetzen. Es hilft bei einem Teil: einer datierten Aufzeichnung dessen, was das Netz zeigte, und der Aktionen und Änderungen in Ihrem Konto.

Meist Nachweise für drei Dinge: dass ein versichertes Ereignis eintrat, was es kostete und dass die Bedingungen der Police erfüllt waren. Rechnen Sie damit, eine Zeitleiste des Vorfalls vorzulegen, den Forensik- oder Incident-Response-Bericht, Rechnungen der Dienstleister, Kosten für Wiederherstellung und Überstunden, Zahlen zum Umsatzausfall während der Unterbrechung, etwaige Meldungen an Behörden oder Kunden sowie Belege, dass angegebene Maßnahmen wie MFA, Backups und Überwachung am Tag des Vorfalls bestanden. Was genügt, entscheiden Police und Schadenbearbeiter; fragen Sie also früh nach und führen Sie laufend eine Liste. Sichern Sie Logs und betroffene Systeme, bevor Sie neu aufsetzen, denn ein gelöschter Server zeigt später nichts mehr. NetSenX liefert einen Baustein: Alarme mit Zeitstempeln und betroffenen Geräten, aufbewahrt für die Alarmhistorie Ihres Plans (30 Tage im Free-Plan, länger in bezahlten Plänen), und ein Audit-Log der Aktionen und Änderungen im Konto. Endpunkt-Forensik oder eine Schadenbewertung liefert es nicht.

Oft ja, oder er redet zumindest mit. Viele Policen geben Zugang zu einem Netzwerk aus Incident-Response-Dienstleistern, Anwälten und Wiederherstellungsspezialisten, und manche erstatten die Kosten nur dann voll, wenn Sie diese nutzen oder der Versicherer einen anderen Dienstleister vorab genehmigt. Klären Sie das vor einem Vorfall: Lesen Sie die Klausel zu Assistance-Leistungen, notieren Sie die Hotline und wer sie anrufen darf, und fragen Sie, ob Ihr bisheriger IT-Dienstleister oder Managed Service Provider (MSP) mit dem Dienstleister des Versicherers zusammenarbeiten kann. Im Vorfall rufen Sie den Versicherer früh an, bevor Sie irgendetwas unterschreiben, und halten Sie Absprachen schriftlich fest. Klären Sie auch, wem der Forensikbericht gehört, denn er kann an den Versicherer gehen. NetSenX ist kein Incident-Response-Dienstleister und steht in keinem Versicherernetzwerk. Es kann den Helfern einen Ausgangspunkt geben: welche Geräte wann Alarme auslösten und welche externen Adressen sie kontaktierten.

In den meisten Antragsformularen taucht eine kurze Liste auf, auch wenn jeder Versicherer seine eigene festlegt. Rechnen Sie mit Fragen zu Multi-Faktor-Authentifizierung (MFA) für E-Mail, Fernzugang und Administratorkonten; zu Backups, die offline oder unveränderbar gehalten und per Wiederherstellung getestet werden; zu zeitnahem Patchen, besonders von Systemen, die aus dem Internet erreichbar sind; zu Endpoint Detection and Response (EDR) auf Laptops und Servern; zu E-Mail-Filterung und Schulung der Mitarbeitenden; zu eingeschränkten Administratorrechten; zu einem Notfallplan; und zu einer Form der Überwachung mit einer benannten Person, die reagiert. Antworten Sie für das ganze Unternehmen, nicht für den am besten geführten Teil, und notieren Sie den Nachweis hinter jedem „Ja“. Der Antrag ist Teil des Vertrags, eine falsche Antwort wiegt daher schwerer als eine offengelegte Lücke. NetSenX deckt einen Teil der Überwachungsfrage ab: In jedem Plan, auch im Free-Plan, erkennt es C2-Beaconing, Scans, laterale Bewegung und ungewöhnlich hohe ausgehende Datenmengen in den überwachten Segmenten. Es ist weder MFA noch EDR noch ein Backup und ersetzt diese nicht.

Bei den meisten Versicherern ist sie heute fast eine Voraussetzung, zumindest für E-Mail, Fernzugang und Administratorkonten. Multi-Faktor-Authentifizierung (MFA) fügt der Anmeldung einen zweiten Schritt hinzu, etwa einen Code aus einer App oder einen Hardwareschlüssel, sodass ein gestohlenes Passwort allein das Konto nicht öffnet. Fragebögen wollen oft wissen, wo genau MFA erzwungen wird, und das Detail zählt: MFA für E-Mail, aber nicht für das VPN, oder für Nutzer, aber nicht für Administratoren, kann nach einem Vorfall aus einem „Ja“ eine Falschangabe machen. Listen Sie jeden Zugangsweg zu Ihren Systemen auf, erzwingen Sie MFA auf jedem, dokumentieren Sie Ausnahmen und teilen Sie sie Ihrem Makler mit. Ein Netzwerksensor kann MFA nicht prüfen, denn Anmeldeereignisse stehen in den Logs Ihres Identitätssystems und VPNs. NetSenX selbst bietet Zwei-Faktor-Authentifizierung in jedem Plan, auch im Free-Plan, für den Zugang zum NetSenX-Konto und prüft MFA in Ihren anderen Systemen nicht.

Viele fragen danach für alle Laptops und Server, manche auch, welchen Anteil der Geräte es abdeckt; prüfen Sie also die genaue Frage. Endpoint Detection and Response (EDR) ist Software auf jedem Rechner, die Prozesse und Dateien beobachtet und eine Maschine isolieren kann. Auf vielen Geräten läuft sie nicht, etwa auf Druckern, Kameras, Telefonen, Gebäudesteuerungen oder Industrieanlagen, und sie fehlt überall dort, wo jemand die Installation vergessen hat. Antworten Sie mit echten Zahlen: Zählen Sie Ihre Geräte, zählen Sie die mit EDR und erklären Sie den Rest und wie er geschützt ist, etwa durch Netztrennung. Netzwerkerkennung ist die übliche Ergänzung, weil sie den Verkehr jedes Geräts in einem überwachten Segment sieht, mit oder ohne Agent. NetSenX ist diese Ergänzung: Es beobachtet Geräte und Verbindungen, nicht Prozesse in einem Host, und ist kein EDR. Seine Netzwerkkarte zeigt die in jedem überwachten Segment gesehenen Geräte und hilft so, diejenigen zu finden, die in Ihrer EDR-Zählung fehlen.

Vor allem, ob Sie ohne Zahlung wiederherstellen könnten und wie schnell ein Angriff auffiele. Typische Fragen betreffen Backups (offline oder unveränderbar, getrennt von Ihren normalen Administratorkonten, und wann zuletzt eine Wiederherstellung getestet wurde), MFA für Fernzugang und E-Mail, wie schnell kritische Patches eingespielt werden, ob ein Remote-Desktop aus dem Internet erreichbar ist, ob Administratorrechte beschränkt sind, ob Endpunkte EDR haben und ob jemand Alarme überwacht und darauf reagiert. Manche Versicherer fragen auch nach einem Ransomware-Ablaufplan und danach, wer über eine Lösegeldforderung entscheidet. Ransomware gehen meist Tage der Vorbereitung im Netz voraus: Der Angreifer meldet sich bei seinem Server, scannt und bewegt sich zwischen Rechnern. Dieses Zeitfenster kann Netzwerkerkennung verkürzen. NetSenX meldet diese Schritte in jedem Plan und erklärt sie verständlich, blockiert aber keinen Verkehr und stellt keine Daten wieder her; die Antwort auf die erste Frage bleiben Backups und ein getesteter Wiederanlaufplan.

Meist, weil sich die Risikoeinschätzung des Versicherers geändert hat, nicht wegen eines einzelnen fehlenden Werkzeugs. Häufige Gründe sind Antworten im Verlängerungsfragebogen, die eine Lücke zeigen, etwa fehlende MFA beim Fernzugang oder kein getestetes Backup; ein Schaden oder Vorfall im vergangenen Jahr; eine Veränderung im Geschäft, etwa neue Länder, mehr Daten oder Zukäufe; offene Systeme, die der Versicherer beim Scannen Ihrer aus dem Internet erreichbaren Adressen gefunden hat; und eine geänderte Risikobereitschaft des Versicherers für Ihre Branche. Bitten Sie Ihren Makler um die konkreten Gründe schriftlich, beheben Sie, was sich beheben lässt, dokumentieren Sie es und bitten Sie um eine neue Prüfung oder gehen Sie mit den Nachweisen zu anderen Versicherern. Kreuzen Sie nichts an, was Sie nicht belegen können. NetSenX kann bei einem Punkt helfen: Es zeigt, dass Überwachung besteht, und liefert Aufzeichnungen der Alarme aus den überwachten Segmenten. Es scannt Ihre aus dem Internet erreichbaren Systeme nicht so, wie Versicherer es tun, und kann weder Deckung noch Preis garantieren.

Manche fragen danach und einige wenige machen sie zur Bedingung, viele fragen aber nur, ob Überwachung besteht und wer reagiert. Lesen Sie die genaue Frage: „24/7-Überwachung“ meint im Fragebogen eines Versicherers meist, dass ein Mensch Alarme zu jeder Stunde prüft, oft über ein Security Operations Center (SOC) oder einen Managed Provider, und nicht nur, dass Software ständig läuft. Angriffe werden oft auf Nächte, Wochenenden und Feiertage gelegt, wenn niemand hinsieht; deshalb ist das den Versicherern wichtig. Können Sie nicht jede Stunde besetzen, sagen Sie das ehrlich und beschreiben Sie, was Sie tun: Alarme aufs Telefon, ein Bereitschaftsplan, ein MSP-Vertrag oder eine Reaktionszeit, die Sie wirklich einhalten. NetSenX analysiert den Verkehr in den überwachten Segmenten ununterbrochen und meldet Alarme zu jeder Stunde, ab dem Pro-Plan auch an Slack oder einen Webhook. Lesen und handeln muss trotzdem ein Mensch; eine personell besetzte Überwachung bietet NetSenX nicht.

Für sich allein meist nicht, denn Versicherer meinen mit 24/7-Überwachung in der Regel, dass ein Mensch zu jeder Stunde reagieren kann. Software, die den Verkehr ständig analysiert und Alarme sendet, ist die erste Hälfte; die zweite ist jemand, der den Alarm um drei Uhr nachts erhält, versteht und handeln kann, etwa ein Gerät vom Netz trennt oder einen Dienstleister anruft. Ob eine Aufstellung mit Alarmen auf ein Bereitschaftstelefon zählt, hängt vom Wortlaut des Versicherers ab; beschreiben Sie sie also genau und fragen Sie Ihren Makler, statt das Feld anzukreuzen. Halten Sie die Reaktionszeit fest, die Sie außerhalb der Bürozeiten wirklich einhalten, und testen Sie sie einmal mit einem absichtlich ausgelösten Alarm. NetSenX liefert die erste Hälfte: ununterbrochene Analyse in den überwachten Segmenten, verständlich erklärte Alarme und ab dem Pro-Plan die Zustellung an Slack oder einen Webhook. Die zweite Hälfte sind Ihr Bereitschaftsplan, Ihr MSP oder ein Security Operations Center.

Das kann Teil der Antwort sein, wenn der Dienstleister sich tatsächlich verpflichtet, zu jeder Stunde zu beobachten und zu reagieren, und der Vertrag das festhält. Ein vertretbares „Ja“ entsteht durch die Leistung, nicht durch die Software: eine schriftliche Reaktionszeit, Abdeckung von Nächten und Wochenenden, eine klare Liste dessen, was der Dienstleister selbst tun darf, etwa ein Gerät isolieren, und regelmäßige Berichte an Sie. Lassen Sie sich die Vertragsklauseln geben, gleichen Sie sie mit Ihrem Makler mit der Frage des Versicherers ab und legen Sie den Vertrag zu Ihren Policenunterlagen. NetSenX unterstützt dieses Modell: Jeder Kunde hat einen eigenen Mandanten, in der Datenbank von anderen Kunden getrennt; ab dem Pro-Plan können Alarme an das Slack des Dienstleisters oder einen Webhook gehen; und Teamverwaltung mit Rollen gibt es ab dem Starter-Plan, sodass der Dienstleister in Ihrem Konto mit eigenen Zugängen arbeiten kann. White-Label-Berichte gibt es im Enterprise-Plan per Vertrag. Die Überwachungszusage selbst gibt der Dienstleister, nicht NetSenX.

Er sollte festlegen, wer beobachtet, wann, wie schnell reagiert wird und was der Dienstleister tun darf. Ein Security Operations Center (SOC) ist ein Team, das Sicherheitsalarme überwacht und darauf reagiert, intern oder als Dienstleistung eingekauft. Fragen Versicherer danach, suchen sie einige konkrete Punkte: Abdeckungszeiten einschließlich Nächten und Wochenenden; eine Reaktionszeit für dringende Alarme, festgehalten als Service Level Agreement (SLA); welche Systeme und Datenquellen abgedeckt sind; welche Maßnahmen der Dienstleister ohne Rückfrage ergreifen darf, etwa ein Gerät isolieren oder ein Konto sperren; wie und wann Sie informiert werden; und was bei Ausfällen des Dienstleisters selbst geschieht. Achten Sie darauf, dass der Umfang im Vertrag dem angegebenen Umfang entspricht, denn ein SOC, das nur Ihre Firewall sieht, deckt Ihre Laptops nicht ab. NetSenX kann eine der Datenquellen eines solchen Teams sein, mit Alarmen an Slack oder einen Webhook ab dem Pro-Plan und SIEM-Export ab dem Business-Plan. SOC-Dienstleistungen verkauft NetSenX nicht.

Meist, ob Sie verdächtige Aktivität in Ihrem Netz bemerken würden und wer darauf reagiert, nicht ob eine Firewall installiert ist. Eine Firewall filtert Verkehr am Rand; Netzwerküberwachung betrachtet den durchlaufenden Verkehr, auch zwischen internen Geräten, und meldet Muster wie ein Gerät, das in regelmäßigen Abständen einen externen Server kontaktiert, einen Rechner, der viele andere abtastet, oder ungewöhnliche ausgehende Datenmengen. Oft folgen Fragen zur Abdeckung (welche Standorte und Segmente), zur Prüfung der Alarme und zur Aufbewahrung der Aufzeichnungen. Antworten Sie mit dem tatsächlichen Umfang: Listen Sie auf, welche Netze überwacht werden und welche nicht, etwa eine Außenstelle oder das Gäste-WLAN. NetSenX ist Network Detection and Response (NDR): In jedem Plan erkennt es Beaconing, Scans, laterale Bewegung und ungewöhnlich hohe ausgehende Datenmengen in den überwachten Segmenten, über einen Agenten unter Linux oder macOS oder einen Sensor an einem SPAN/TAP-Port. Segmente, die nicht angebunden sind, sieht es nicht.

Nachweise, dass die Überwachung besteht, abdeckt, was Sie angeben, und dass auf sie reagiert wird. Versicherer verlangen beim Antrag selten Belege, wohl aber bei der Verlängerung, bei einer Prüfung oder nach einem Schaden; sammeln Sie sie also laufend. Nützlich sind eine kurze Beschreibung, was wie überwacht wird, mit einem Netzplan, auf dem die überwachten Segmente markiert sind; der Name der Person oder des Dienstleisters, der Alarme prüft, und die vereinbarten Reaktionszeiten; einige aktuelle Alarme mit den ergriffenen Maßnahmen; und ein regelmäßiger zusammenfassender Bericht. Bewahren Sie diese bei Ihren Policenunterlagen auf und aktualisieren Sie sie, wenn sich das Netz ändert. NetSenX kann einen Teil davon liefern: die Netzwerkkarte mit den in jedem überwachten Segment gesehenen Geräten, in jedem Plan; PDF-Berichte ab dem Starter-Plan; und ein Audit-Log der Aktionen und Änderungen im Konto, in jedem Plan. Es zertifiziert Ihre Überwachung nicht, und ob ein Nachweis akzeptiert wird, entscheidet der Versicherer.

Ja, als ein Nachweis unter mehreren, aber NetSenX zertifiziert nichts, und was akzeptiert wird, entscheidet der Versicherer. PDF-Compliance-Berichte gibt es ab dem Starter-Plan. Zusammen mit der Alarmhistorie helfen sie zu zeigen, dass die Überwachung lief, was sie fand und wann. Ergänzen Sie jeden Bericht um den Kontext, den ein Versicherer braucht: welche Segmente überwacht wurden und welche nicht, wer die Alarme prüfte und was bei den wichtigen geschah. Ein Bericht aus einem Überwachungswerkzeug sagt nichts über Ihre Backups, MFA oder Ihr Patchen, und danach fragen Versicherer meist zuerst. Exportieren Sie nach einem Vorfall die relevanten Alarme zügig, damit sie über die Alarmhistorie Ihres Plans hinaus erhalten bleiben (30 Tage im Free-Plan, länger in bezahlten Plänen, unbegrenzt im Enterprise-Plan). Ab dem Pro-Plan lassen sich Alarme auch über die API in Ihr eigenes Archiv übernehmen.

Manchmal hilft sie, aber kein Werkzeug garantiert einen niedrigeren Preis, und die Prämie hängt viel stärker von Branche, Umsatz, Schadenhistorie und den grundlegenden Maßnahmen ab. Versicherer bepreisen das Risiko, das sie in Ihren Antworten sehen, und zunehmend auch in eigenen Scans Ihrer aus dem Internet erreichbaren Systeme. Überwachung mit jemandem, der reagiert, kann dieses Bild verbessern, besonders wenn Ihre bisherige Antwort „Nein“ lautete; MFA, getestete Backups und Patchen wiegen aber meist schwerer. Wenn Sie Netzwerkerkennung einführen, sagen Sie es Ihrem Makler bei der Verlängerung, beschreiben Sie den Umfang und wer Alarme prüft, und legen Sie einen Nachweis wie einen Bericht bei. Fragen Sie, ob der Versicherer Nachlässe für bestimmte Maßnahmen gewährt und welchen Beleg er braucht. Kaufen Sie kein Werkzeug nur für den Fragebogen: Ein Überwachungswerkzeug, das niemand beachtet, kann Ihnen nach einem Schaden schaden. Die Kern-Erkennung von NetSenX gibt es in jedem Plan, auch im Free-Plan, sodass Sie echte Überwachung beschreiben können, bevor Sie etwas bezahlen; eine Prämienänderung kann NetSenX nicht versprechen.

Allenfalls teilweise, und das hängt vom nationalen Recht und von der Police ab. NIS2 macht die Leitungsorgane der erfassten Einrichtungen dafür verantwortlich, Risikomanagementmaßnahmen im Bereich Cybersicherheit zu billigen und ihre Umsetzung zu überwachen, und das nationale Recht knüpft Folgen daran: In Deutschland haften Geschäftsleitungen nach § 38 Abs. 2 BSIG bei Verletzung dieser Pflicht nach den gesellschaftsrechtlichen Regeln. Eine D&O-Versicherung (Directors and Officers) kann Abwehrkosten und Schadensersatz decken, den ein Geschäftsleiter der Gesellschaft oder Dritten schuldet. Bußgelder sind eine andere Frage: Ob sie überhaupt versicherbar sind, entscheiden nationales Recht und öffentliche Ordnung, und viele Policen schließen sie aus. Prüfen Sie mit Ihrem Makler drei Punkte: ob die D&O-Police Cyberereignisse ausschließt oder auf die Cyberpolice verweist, ob Bußgelder gedeckt sind, soweit das Recht es zulässt, und wie beide Policen zusammenwirken. Die Versicherung nimmt Ihnen die Pflicht selbst nicht ab, also die Maßnahmen zu billigen und zu überwachen. NetSenX spielt beim Versicherungsschutz keine Rolle.