Wer bezahlt den Schaden? Und wenn ja, wieviel?

Datenschutz wird in der digitalisierten Welt von heute relevanter – und immer anspruchsvoller. Dazu kommen Cyberrisiken und neue Bedrohungsszenarien.

Carmen de la Cruz, Co-Leiterin der Rechtskommission von swissICT, sprach über die präventiven Vorkehrungen, die man auf dem Gebiet Datenschutz treffen sollte. «Mit der DSGVO ergeben sich neue Anforderungen insbesondere an KMU», erklärte sie. Diese Anforderungen werden mit dem neuen Schweizer Datenschutzgesetz in Kraft treten – wann dies der Fall sein wird, ist noch unbekannt.

Ihre zentrale Botschaft betraf den vorsichtigen Umgang mit Personendaten. «Da geht es um alles, was mit vernünftigem technischem Aufwand Personen zugeordnet werden kann – Personalien, Logfiles, IP-Adressen etc.» Hier sei es besonders wichtig, sich um adäquaten Schutz zu bemühen – nicht zuletzt, weil Versicherungen bei mangelhaften Massnahmen Zahlungen verweigern können.

Im Notfall: Die Cybersecurity Legal Checklist

Was man tun sollte, wenn es zu einem Cyber Incident kommt, erklärte Roland Mathys, der Co-Leiter der Rechtskommission von swissICT. Zu diesem Zweck präsentierte er die Cybersecurity Legal Checklist, eine Notfallplan, der zeigt, was zu tun ist und in welcher Reihenfolge. «Man sollte natürlich schon vorher gut aufgestellt sein, die Leute sensibilisieren, vielleicht ein dezidiertes Team für solche Fälle aufstellen», schickte Roland Mathys voraus.

Die ersten Schritte bestehen darin, die Dimension des Angriffs und der drohenden Gefahr abzuschätzen und die eigenen Notifikationspflichten wahrzunehmen. Bei Ransomware-Angriffen muss man sich Fragen: Lösegeld zahlen oder nicht? Roland Mathys rät zur Zurückhaltung, würde es aber nicht ausschliessen: «Das kann manchmal der einfachste und kostengünstigste Weg sein, die Bedrohung aus der Welt zu schaffen.» Das wahrscheinlich Wichtigste: Am Ende Learnings daraus ziehen, damit sich das Ereignis möglichst nicht wiederholt.

Der Fallschirm für alle Fälle: Versicherungen

Ist der Schaden da, ist man froh um eine gute Absicherung. Darüber sprach Christian Dünner, COO beim swissICT-Versicherungspartner esurance. Für IT-Unternehmen sei es aufgrund der Affinität zu Cyberrisiken oft schwieriger, diesbezüglich Schutz zu erhalten. «Provokativ gesagt: Die Gesellschaften versichern lieber eine Schreinerei oder eine Bäckerei gegen Cyberrisiken als eine IT-Firma», erklärte Christian Dünner.

Dennoch gibt es auch für IT-Betriebe gute Lösungen. Dadurch erhält man nicht nur einen «Fallschirm», sondern auch einen Partner, der einen in Krisensituationen berät. Wird zum Beispiel Erpressungsgeld verlangt, kann man mit der Versicherung besprechen, was das geringere Übel ist: Bezahlen oder eben nicht. Solche Zahlungen können dann auch Teil einer Versicherungsdeckung sein. Die Versicherung hilft je nach Deckungspaket auch bei weiteren Kosten, die eine Cyberattacke mit sich bringen kann (Vermögens- und Reputationsschäden, Gerichtskosten, Datenwiederherstellung etc.).

Bild:  Adobe Stock

Disclaimer: Dieser Artikel erscheint im Rahmen der Partnerschaft mit esurance, einem Mitglied von swissICT. Gemeinsam mit esurance und dem Label swiss made software bietet swissICT seit April 2020 branchenspezifische und kostengünstige Versicherungslösungen an. Alle Informationen rund um dieses Angebot finden Sie unter www.swissict.ch/esurance