Warum der Fragebogen so wichtig ist
es geht hier um den Risikofragebogen für unsere WirtschaftsschutzPolice und CyberRisk Police.
Auf den ersten Blick mag dieses Dokument lang und detailliert erscheinen.
Das hat jedoch einen guten Grund:
Wenn es um den Schutz Ihres Unternehmens vor Cyber-Angriffen und Wirtschaftskriminalität
geht, reicht ein oberflächlicher Blick nicht aus.
Die Bedrohungslage hat sich in den letzten Jahren dramatisch verändert. Hackerangriffe,
Ransomware (Erpressungstrojaner) und Betrugsmaschen wie der „Fake-President-Trick“ sind längst
keine Seltenheit mehr, sondern gehören zum Alltag der deutschen Wirtschaft.
Um Ihnen einen Versicherungsschutz zu bieten, der im Ernstfall wirklich greift, müssen wir Ihr individuelles Risiko
genau verstehen.
Unser Ziel ist Transparenz und Sicherheit
Dieser Fragebogen ist nicht dazu da, Hürden aufzubauen. Er ist ein Instrument der Risikoermittlung.
Er hilft uns, Ihren aktuellen Sicherheitsstandard zu bewerten und Ihnen genau den
Versicherungsschutz anzubieten, der zu Ihrem Unternehmen passt. Gleichzeitig dient er Ihnen als
eine Art „Gesundheitscheck“ für Ihre eigene IT- und Unternehmenssicherheit.
pietschgesprochen: Klartext statt Fachchinesisch
Wir wissen, dass viele Begriffe aus der IT-Sicherheit und der Versicherungswelt schwer greifbar sind.
Deshalb haben wir nachfolgend die wichtigsten Themenblöcke des Fragebogens für Sie
übersetzt. Wir erklären Ihnen, warum wir bestimmte Dinge fragen und was genau damit gemeint ist.
Nehmen Sie sich die Zeit, den Fragebogen in Ruhe – idealerweise gemeinsam mit Ihrem ITVerantwortlichen
oder Ihrem externen IT-Dienstleister – auszufüllen. Je präziser Ihre Angaben sind,
desto verlässlicher ist Ihr Schutz im Schadenfall.
Sollten Sie bei einzelnen Fragen unsicher sein, zögern Sie nicht, uns anzusprechen. Wir sind für Sie
da – pietschgedacht und pietschversichert.
Die wichtigsten Begriffe einfach erklärt:
Der Fragebogen ist in verschiedene Abschnitte unterteilt. Im Folgenden erläutern wir die zentralen
Fragen aus dem Bereich der Cyber Versicherung (Abschnitt D und E) sowie der
Vertrauensschadenversicherung (Abschnitt F).
- Schutz von Benutzerkonten und Zugängen
Zwei- bzw. Multifaktorauthentifizierung (MFA)
Ein Passwort allein reicht heute nicht mehr aus. Wenn Hacker ein Passwort erbeuten, haben sie freie
Bahn. Bei der Multifaktorauthentifizierung müssen Sie sich durch einen zweiten Schritt ausweisen –
ähnlich wie beim Online-Banking, wo Sie neben der PIN noch eine Freigabe über eine App auf Ihrem
Smartphone benötigen. Wir fragen danach, weil MFA eine der wirksamsten Methoden ist, um
unberechtigte Zugriffe auf Ihr Firmennetzwerk zu verhindern.
Administrative Benutzerkonten
Administratoren haben die „Schlüssel zum Königreich“. Sie dürfen Programme installieren,
Einstellungen ändern und auf alle Daten zugreifen. Wenn ein solches Konto gehackt wird, ist der
Schaden maximal. Deshalb dürfen Administratoren-Konten nicht für das normale, tägliche Arbeiten
(wie E-Mails lesen oder im Internet surfen) genutzt werden. Dafür ist das Risiko einer Infektion durch
einen falschen Klick viel zu hoch. - IT-Betrieb und Netzwerkschutz
Sicherheitspatches und Schwachstellenmanagement
Software ist nie fehlerfrei. Wenn Hersteller Sicherheitslücken in ihren Programmen entdecken, stellen
sie sogenannte „Patches“ (Pflaster) oder Updates zur Verfügung. Hacker suchen gezielt nach
Unternehmen, die diese Updates noch nicht installiert haben, und dringen durch diese offenen Türen
ein. Wir fragen ab, ob Sie Updates zügig installieren, denn ein gut gepflegtes System ist deutlich
schwerer anzugreifen.
Verschlüsselte Zugriffe (VPN)
Wenn Ihre Mitarbeiter von zu Hause oder von unterwegs auf das Firmennetzwerk zugreifen, darf
diese Verbindung nicht offen wie eine Postkarte durch das Internet geschickt werden. Eine VPNVerbindung
(Virtual Private Network) funktioniert wie ein blickdichter, sicherer Tunnel zwischen dem
Laptop des Mitarbeiters und Ihrem Firmenserver. Besonders Zugriffe zur Fernsteuerung von
Computern (das sogenannte RDP-Protokoll) dürfen niemals ungeschützt aus dem Internet erreichbar
sein. - Der Ernstfall: Backup und Wiederherstellung
Backup-Management (Datensicherung)
Wenn ein Erpressungstrojaner Ihr System verschlüsselt, ist ein gutes Backup Ihre
Lebensversicherung. Wichtig ist dabei: Das Backup darf nicht dauerhaft mit dem Hauptsystem
verbunden sein. Denn wenn der Virus das Hauptsystem befällt, verschlüsselt er das verbundene
Backup gleich mit. Wir fragen danach, ob Ihre Datensicherung räumlich oder technisch getrennt ist
und ob Sie regelmäßig testen, ob sich die Daten im Notfall auch wirklich wiederherstellen lassen. Ein
Backup, das sich nicht einspielen lässt, ist wertlos.
IT-Notfallplanung
Wissen Ihre Mitarbeiter, was zu tun ist, wenn plötzlich alle Bildschirme schwarz werden? Ein
Notfallplan regelt, wer sofort informiert werden muss, welche Systeme zuerst wieder hochgefahren
werden und wie der Betrieb in der Zwischenzeit weiterlaufen kann. Ein solcher Plan reduziert das
Chaos und minimiert die Ausfallzeiten und damit die finanziellen Verluste für Ihr Unternehmen.
Warum fragen wir nach Cloud-Dienstleistern?
Viele Unternehmen lagern ihre IT in die Cloud aus (z. B. Microsoft 365, externe Server). Das ist oft
sicher, bedeutet aber nicht, dass Sie aus der Verantwortung sind. Wenn Ihr Dienstleister gehackt
wird oder ausfällt, steht Ihr Betrieb still. Mit dem Zusatzbaustein „Betriebsunterbrechung in Folge
nicht nutzbarer IT-Dienstleistungen“ können Sie genau dieses Risiko finanziell absichern. - Spezielle Sicherheitstechnologien (Für größere Unternehmen)
Wenn Ihr Unternehmen einen Jahresumsatz von über 100 Mio. EUR hat oder Sie eine sehr hohe
Versicherungssumme wünschen, fragen wir im Abschnitt E nach fortgeschrittenen
Sicherheitstechnologien.
Hier ein kurzer Überblick über die wichtigsten Kürzel:
– EDR / XDR (Endpoint Detection and Response): Das ist gewissermaßen der große Bruder des
klassischen Virenscanners. Diese Software blockiert nicht nur bekannte Viren, sondern beobachtet
das Verhalten der Computer im Netzwerk und schlägt Alarm, wenn etwas Ungewöhnliches
passiert.
– SIEM (Security Information and Event Management): Ein zentrales System, das alle
Sicherheitsprotokolle aus dem Unternehmen sammelt und nach verdächtigen Mustern durchsucht.
– PenTests (Penetrationstests): Sie beauftragen „gute Hacker“, um kontrolliert in Ihr eigenes System
einzubrechen. So finden Sie Sicherheitslücken, bevor es die Kriminellen tun.
Schutz vor Wirtschaftskriminalität
Im Abschnitt F des Fragebogens geht es um die Vertrauensschadenversicherung. Hierbei steht nicht der Hackerangriff von außen im Fokus, sondern die Gefahr von innen (durch Mitarbeiter) oder durch gezielte Täuschung (Betrug). Wir fragen hier nach Ihren internen Kontrollmechanismen.
Vier-Augen-Prinzip und Aufgabentrennung
Ein Mitarbeiter sollte niemals allein den gesamten Prozess von der Bestellung bis zur Bezahlung einer Ware kontrollieren. Wenn dieselbe Person Aufträge erstellt, den Wareneingang bucht und die Rechnung freigibt, ist die Gefahr von Veruntreuung groß. Das Vier-Augen-Prinzip (zwei Personen müssen zustimmen) und die Trennung von Aufgaben (z. B. Trennung von Kasse und Buchhaltung) sind die effektivsten Mittel gegen interne Betrugsfälle.
Schutz vor dem „Fake-President-Trick“
Eine der häufigsten Betrugsmaschen funktioniert so:
Ein Mitarbeiter in der Buchhaltung erhält eine E-Mail, die scheinbar vom Geschäftsführer stammt. Darin wird er angewiesen, sofort eine hohe Summe für eine „geheime Firmenübernahme“ ins Ausland zu überweisen. Alternativ geben sich Betrüger als langjährige Lieferanten aus und teilen mit, dass sich ihre Bankverbindung geändert hat. Deshalb fragen wir im Bogen gezielt: Werden Anweisungen zur Änderung von Bankdaten immer überprüft? Nehmen Sie eine Rückbestätigung auf einem anderen Weg vor? (Beispiel: Die Änderungsanfrage kommt per E-Mail, Sie rufen den Lieferanten unter der Ihnen bekannten Nummer an, um die Änderung zu bestätigen).
Die Zusatzbausteine im Überblick
Auf den letzten Seiten des Fragebogens finden Sie Erläuterungen zu den Zusatzbausteinen.
Diese ermöglichen es Ihnen, Ihren Schutz individuell zu erweitern. Besonders wichtig sind:
– Cyber-Diebstahl: Schützt Sie, wenn Kriminelle nach einem Cyber-Angriff direkt Gelder oder Wertpapiere
stehlen (z. B. durch Manipulation Ihrer Rechnungen).
– Löse-/Erpressungsgeld: Deckt die Kosten, falls Ihr Unternehmen durch Ransomware lahmgelegt wird und
professionelle Verhandlungsführer eingeschaltet werden müssen. (Achtung: Zahlungen bedürfen immer
der vorherigen Zustimmung des Versicherers).
– Betriebsunterbrechung in Folge nicht korrekter Daten: Greift, wenn kein Hacker am Werk war, sondern
ein geplantes Software-Update durch einen eigenen Fehler misslingt und der Betrieb stillsteht.
Wie geht es nun weiter?
Wir hoffen, diese Erläuterungen haben Ihnen geholfen, den Hintergrund unserer Fragen besser zu
verstehen. Die Sicherheit Ihres Unternehmens ist ein fortlaufender Prozess, und der erste Schritt ist immer eine ehrliche Bestandsaufnahme.
Ihre nächsten Schritte:
– Fragebogen ausfüllen: Bitte beantworten Sie die Fragen im Risikofragebogen so präzise wie möglich.
Ziehen Sie bei technischen Fragen unbedingt Ihre IT-Abteilung oder Ihren externen ITDienstleister hinzu.
– Offene Punkte klären: Wenn Sie bei bestimmten Fragen feststellen, dass Ihre aktuellen
Sicherheitsmaßnahmen noch Lücken aufweisen (z. B. fehlendes Backup-Konzept oder keine Zwei- Faktor-
Authentifizierung), ist das kein Beinbruch. Es zeigt Ihnen lediglich, wo Sie in naher Zukunft nachbessern
sollten. Sprechen Sie uns gerne darauf an.
– Unterschrift und Rücksendung: schicken Sie den Fragebogen rechtsverbindlich unterschrieben an
uns zurück. Fügen Sie gegebenenfalls die Anlage für weitere mitzuversichernde Unternehmen bei.
Wir sind für Sie da.
Sollten Sie beim Ausfüllen des Fragebogens an einer Stelle nicht weiterkommen oder Fragen zur Auslegung eines Begriffs haben, rufen Sie uns einfach an. Gemeinsam klären wir die Details, damit Sie am Ende genau das Angebot erhalten, das Ihr Unternehmen optimal absichert.
Cyber-Risikofragebogen
Alle relevanten Angaben kompakt in einem PDF-Dokument. Laden Sie den Fragebogen herunter und füllen Sie ihn in Ruhe aus.