Ein Ransomware-Schaden besteht aus mehreren Teilen
Ransomware kann Daten und Systeme unbenutzbar machen. Zusätzlich können Täter Daten kopieren und mit deren Veröffentlichung drohen. Selbst wenn ein Backup verfügbar ist, bleiben deshalb Fragen zur Ursache, zum möglichen Datenabfluss und zum sicheren Wiederanlauf.
Für die Cyberversicherung müssen die betroffenen Leistungen einzeln zugeordnet werden: technische Untersuchung, Datenwiederherstellung, Betriebsunterbrechung, rechtliche Unterstützung und gegebenenfalls Cybererpressung.
Welche Leistungen im Ransomware-Angebot geprüft werden sollten
- IT-Forensik zur Einordnung des Vorfalls und zur Unterstützung der Schadenbegrenzung.
- Wiederherstellung von Daten und Systemen sowie notwendige Bereinigung.
- Finanzielle Folgen eines versicherten Betriebsausfalls.
- Rechtliche Prüfung und Benachrichtigung bei betroffenen personenbezogenen Daten.
- Erpressungsbezogene Unterstützung nach den konkret vereinbarten Bedingungen.
Lösegeld ist kein verlässlicher Wiederherstellungsplan
Eine Zahlung garantiert weder die Entschlüsselung noch die Löschung gestohlener Informationen. Das BSI rät von Lösegeldzahlungen ab. Bei einem versicherten Erpressungsereignis müssen Maßnahmen zudem mit dem Versicherer und spezialisierten Fachleuten abgestimmt werden; rechtliche Verbote bleiben bestehen.
Ein Tarif mit einem Erpressungsbaustein ist deshalb nicht anhand einer möglichst hohen Zahlungssumme zu beurteilen. Der Zugang zu qualifizierter Hilfe und ein belastbarer Wiederherstellungsprozess sind mindestens ebenso wichtig.
Getrennte Backups und geübte Abläufe bleiben notwendig
Eine Sicherung hilft nur, wenn sie vom Angriff ausreichend getrennt ist und die Wiederherstellung funktioniert. Prüfen Sie außerdem, ob Zugangsdaten, Systemkonfigurationen und wichtige Kontakte außerhalb der betroffenen Umgebung verfügbar sind.
Legen Sie vorab fest, wer den Versicherer und die IT-Spezialisten kontaktiert. Änderungen an betroffenen Systemen sollten mit qualifizierter Hilfe abgestimmt werden, damit Schadenbegrenzung und Beweissicherung zusammenpassen.
Ein fiktiver Ransomware-Fall für den Tarifvergleich
Ein Handelsbetrieb kann nach einer Verschlüsselung drei Tage keine Bestellungen normal bearbeiten. Der IT-Dienstleister stellt Daten wieder her; gleichzeitig wird geprüft, ob Kundendaten abgeflossen sind.
An diesem Beispiel lässt sich Ihr Angebot prüfen: Wer beauftragt die Experten? Ab wann beginnt der Ausfallschutz? Gibt es Teilgrenzen für Benachrichtigung oder externe Dienstleister? Das Beispiel beschreibt einen möglichen Ablauf, keine zugesagte Versicherungsleistung.
Doppelte Erpressung: Verschlüsselte Systeme und gestohlene Daten
Ransomware kann zwei Probleme gleichzeitig verursachen: Daten werden unbrauchbar, und zuvor kopierte Informationen dienen als zusätzliches Druckmittel. Eine Cyberversicherung sollte deshalb nicht nur nach der Erstattung technischer Wiederherstellungskosten ausgewählt werden.
| Prüfpunkt | Bedeutung für Ihren Betrieb |
|---|---|
| Verschlüsselung | Forensik, sichere Wiederherstellung und mögliche Betriebsunterbrechung |
| Datenabfluss | Datenschutzprüfung, Information Betroffener und Haftpflicht |
| Drohung mit Veröffentlichung | Krisenkommunikation und spezialisierte Unterstützung |
| Rückkehr in den Betrieb | Konten absichern, Systeme prüfen und Nacharbeiten dokumentieren |
Eine Lösegeldzahlung garantiert weder die Entschlüsselung noch die Löschung gestohlener Kopien. Ob bestimmte Kosten einer Erpressung versichert sind und rechtlich getragen werden dürfen, muss im konkreten Fall geklärt werden. Getrennte Sicherungen und ein abgestimmter Meldeweg bleiben deshalb unverzichtbar.