Der Risikofragebogen der Cyberversicherung ist die ehrlichste Sicherheits-Checkliste, die es gibt. Der Grund ist einfach: Hier hat jemand eigenes Geld im Spiel. Entsprechend genau wird gefragt.
Die sieben Punkte, um die es fast immer geht
1. Phishing-resistente Zwei-Faktor-Anmeldung
Für alle Zugänge von außen. Wichtig ist das Wort davor: Eine SMS als zweiter Faktor reicht vielen Versicherern nicht mehr, weil sie sich abfangen lässt. Gefragt sind App-basierte Verfahren oder Hardwareschlüssel.
2. Feste Fristen für Sicherheitsupdates
Üblich sind vierzehn Tage für kritische und dreißig Tage für sonstige Lücken. Entscheidend ist nicht nur, dass Sie patchen, sondern dass Sie belegen können, in welcher Frist Sie es tun.
3. Angriffserkennung auf den Endgeräten
Mit Alarmierung, nicht nur ein klassischer Virenscanner. Der Unterschied: Ein Scanner erkennt bekannte Schadsoftware. Eine Angriffserkennung meldet auch ungewöhnliches Verhalten, etwa wenn nachts jemand beginnt, Dateien zu verschlüsseln.
4. Sicherungen nach dem Muster drei, zwei, eins, eins, null
Drei Kopien, auf zwei verschiedenen Medien, eine davon außer Haus, eine unveränderbar, und null Fehler im Wiederherstellungstest. Der letzte Teil ist der, an dem es meistens scheitert.
5. Getrennte Administratorkonten
Wer mit einem Konto arbeitet, das gleichzeitig volle Rechte hat, gibt einem Angreifer alles auf einmal. Getrennte Konten sind aufwendiger im Alltag und genau deshalb wirksam.
6. Nachweisbare Schulung der Mitarbeitenden
Zu Phishing, wiederkehrend und dokumentiert. Ein einmaliger Vortrag vor drei Jahren zählt nicht.
7. Ein Notfallplan, der geprobt wurde
Nicht einer, der existiert. Die entscheidende Frage lautet: Wer ruft wen an, wenn morgens nichts mehr geht, und liegt diese Liste irgendwo außerhalb der betroffenen Systeme?
Tipp
Rechnen Sie mit sechs bis acht Wochen
Wenn mehrere dieser Punkte fehlen, ist das kein Nachmittagsprojekt. Zwei-Faktor-Anmeldung einzuführen bedeutet, jeden Mitarbeitenden einmal abzuholen. Unveränderbare Sicherungen bedeuten unter Umständen einen neuen Speicherort. Ein geprobter Notfallplan bedeutet, dass tatsächlich einmal geprobt wird.
Planen Sie das also nicht in die Woche vor Ablauf Ihrer Police.
Was Sie in Berichten getrost überlesen können
Es kursiert die Zahl, dass ein hoher Anteil der Cyberschäden von Versicherern abgelehnt werde. Sie stammt aus Anbietermaterial, nicht aus einer neutralen Untersuchung. Wir zitieren sie deshalb nicht, und Sie sollten Anbietern misstrauen, die es tun.
Der sachliche Punkt bleibt trotzdem richtig: Eine Police hilft nur, wenn die Angaben im Antrag stimmen und die zugesagten Maßnahmen umgesetzt sind. Genau das wird im Schadensfall geprüft. Deshalb ist die Dokumentation der Nachweise mindestens so wichtig wie die Maßnahme selbst.
Auch ohne Versicherungsabsicht sinnvoll
Selbst wenn Sie keine Police abschließen wollen: Gehen Sie den Fragebogen einmal durch. Er ist kostenlos, dauert eine Stunde und liefert Ihnen eine ehrliche Standortbestimmung. Was Sie damit machen, entscheiden Sie danach.