Cyberversicherung: Fragebogen im Ingenieurbüro – eine Fallstudie

Inhalt in Kürze

• Ein Ingenieurbüro mit rund 15 Mitarbeitenden in Norddeutschland sucht eine Cyberversicherung. Die Versicherer schicken detaillierte technische Fragebögen. Die Sorge des Geschäftsführers: Im Ernstfall zahlt die Versicherung nicht, weil eine Antwort nicht gestimmt hat.
• Vereinbart ist ein klares Verfahren: Der Kunde leitet uns die Fragebögen weiter, wir beantworten die technischen Fragen in der dafür vorgesehenen Spalte und übernehmen die Rückfragen der Versicherer.
• Vorher werden Lücken geschlossen: Zwei-Faktor-Anmeldung und VPN werden für alle Nutzer Pflicht, der Gerätebestand wird bereinigt, und wir schreiben einen Leitfaden für den Fall eines befallenen Rechners.
• Der Fragebogen fragt nach dem Ist-Zustand. Wer erst nach dem Ausfüllen aufräumt, hat womöglich Angaben gemacht, die nicht stimmen. Deshalb gehören Aufräumen und Ausfüllen zusammen.

Eine Cyberversicherung abzuschließen sieht nach einer kaufmännischen Aufgabe aus. Dann kommt der Fragebogen, und auf einmal geht es um Administratorkonten, Patch-Verfahren und Wiederanlaufkonzepte. Diese Fallstudie zeigt, wie ein Ingenieurbüro und wir als IT-Partner den Cyberversicherung-Fragebogen angehen – und was davon schon steht und was noch läuft.

Cyberversicherung und Fragebogen: die Ausgangslage im Ingenieurbüro

Das Ingenieurbüro ist seit Längerem Kunde bei uns. Wir betreuen die Arbeitsplätze, den Endpunktschutz mit zentralem Gerätebericht und die Fernwartung. Beim regelmäßigen Betreuungsgespräch brachte der Geschäftsführer ein neues Thema mit: Er sucht eine passende Cyberversicherung.

Die Versicherer, die infrage kommen, verlangen sehr genaue technische Angaben. Fragebögen, technische Nachweise, Listen mit Ausschlüssen. Der Geschäftsführer sah den Aufwand, für jeden Versicherer wieder neu Informationen einzusammeln, und bat um Unterstützung.

Dazu kam eine Sorge: Wenn er eine Frage falsch beantwortet oder eine Anforderung nicht erfüllt, zahlt die Versicherung im Ernstfall womöglich nicht. Dann hätte er Beiträge gezahlt für einen Schutz, der nicht greift.

Beim Durchgehen der eigenen IT kamen dazu drei Punkte auf den Tisch, die der Kunde selbst benannte:

• Der VPN-Tunnel funktionierte nicht überall, unter anderem auf einem neuen Rechner.
• Seit rund anderthalb bis zwei Jahren fehlte eine verlässliche Übersicht, wer Zugang hat und wer nicht.
• Der Gerätebericht des Endpunktschutzes passte nicht zur Wirklichkeit: alte Desktops, die niemand mehr nutzt, generische oder falsche Gerätenamen, doppelte Einträge.

Und ein vierter Punkt war ihm wichtig: ein klarer Notfallplan. Wer wird informiert, wenn etwas passiert? Und wie kommt man von einem befallenen Rechner wieder zu einem sauberen Arbeitsplatz?

Was im Fragebogen der Cyberversicherung steckt

Jeder Versicherer hat seinen eigenen Fragebogen. Eine gute Orientierung bietet aber der unverbindliche Muster-Fragebogen des GDV für kleine und mittlere Unternehmen (Stand Dezember 2019). Der Gesamtverband der Versicherungswirtschaft staffelt die Fragen nach Jahresumsatz:

Wer Berufs- oder Betriebsgeheimnisse Dritter verarbeitet, rutscht laut GDV-Muster unabhängig vom Umsatz in eine höhere Kategorie. Ob das für ein Ingenieurbüro zutrifft, das mit Unterlagen seiner Auftraggeber arbeitet, sollte man vor dem Ausfüllen klären. Zusatzfragen gibt es nur für Bereiche, die zutreffen – etwa eigener Online-Shop oder vernetzte Produktionsanlagen.

Die Fragen selbst klingen einfach. „Hat jeder Nutzer und Administrator eine eigene, mit einem individuellen Passwort geschützte Zugangskennung?“ So lautet die vereinfachte Formulierung im GDV-Muster. Wer seit rund zwei Jahren keine verlässliche Übersicht hat, wer Zugang hat, kann Fragen wie „Überprüfen Sie regelmäßig, ob alle Zugänge noch benötigt werden?“ (B5) nicht guten Gewissens mit Ja beantworten.

Anzeigepflicht und Obliegenheiten: zwei verschiedene Dinge

Für die Sorge des Geschäftsführers sind zwei Begriffe wichtig. Wir erklären sie hier allgemein, eine Rechtsberatung ist das nicht.

Die Anzeigepflicht vor Vertragsschluss. Nach § 19 Versicherungsvertragsgesetz muss der Versicherungsnehmer die ihm bekannten Gefahrumstände anzeigen, nach denen der Versicherer in Textform gefragt hat. Verletzt er diese Pflicht, kann der Versicherer zurücktreten. Hat er weder vorsätzlich noch grob fahrlässig gehandelt, ist der Rücktritt ausgeschlossen; der Versicherer kann dann mit einer Frist von einem Monat kündigen.

Die Obliegenheiten während der Laufzeit. Die GDV-Musterbedingungen AVB Cyber in der Fassung von Februar 2024 listen in Abschnitt A1-16 auf, was vor einem Schaden einzuhalten ist: individuelle Zugänge, Mindestanforderungen an Passwörter, getrennte Administratorkonten, Schutz gegen Schadsoftware, ein Patch-Management-Verfahren und eine mindestens wöchentliche Datensicherung mit regelmäßig geprüfter Wiederherstellung. Was eine verletzte Obliegenheit für die Leistung bedeutet, regelt § 28 VVG: Bei Vorsatz kann der Versicherer leistungsfrei sein, bei grober Fahrlässigkeit kann er die Leistung kürzen.

Welche technischen Anforderungen Versicherer heute stellen, haben wir ausführlich in Cyber-Versicherung: technische Voraussetzungen der Versicherer beschrieben. Was eine Police trotz erfüllter Anforderungen nicht zahlt, steht in Cyberversicherung: Diese Ausschlüsse zahlen Ihre Police nicht. Diese Fallstudie setzt einen Schritt früher an: beim Ausfüllen selbst.

Fragebogen-Thema für Fragebogen-Thema: wo das Büro steht

Wir haben die Themen des GDV-Musters (Kürzel in Klammern) neben die Lage beim Kunden gelegt. Der Status ist bewusst ehrlich: Vieles ist vereinbart, aber noch nicht umgesetzt.

Zwei Zeilen stehen auf „offen“. Das ist kein Makel, sondern der Grund, warum wir den Fragebogen nicht einfach ausfüllen und abschicken.

Was vereinbart ist

Aus dem Gespräch sind fünf Arbeitspakete entstanden.

1. Fragebogen gemeinsam beantworten: Der Kunde schickt uns die Unterlagen der Versicherer, die infrage kommen. Wir beantworten die technischen Fragen, soweit wir sie beantworten können – im Fragebogen ist dafür eine eigene Spalte vorgesehen. Rückfragen der Versicherer laufen direkt über uns. Fragen zu Systemen, die das Büro nicht nutzt, lassen wir aus.
2. Zwei-Faktor-Anmeldung und VPN für alle: Beides wird für jeden Nutzer verpflichtend, Administratorkonten zwingend mit zweitem Faktor. Die Einrichtung stimmen wir mit jedem Mitarbeitenden einzeln ab. Der Start richtet sich nach der Verfügbarkeit der internen Ansprechperson.
3. Erst Updates, dann VPN: Vor der Freischaltung melden sich alle an ihren Rechnern an und spielen die ausstehenden Updates ein. So ist jedes Gerät auf aktuellem Stand, bevor es per VPN ins Firmennetz darf.
4. Gerätebestand bereinigen: Alte und ungenutzte Geräte fliegen aus der Verwaltung und aus dem Endpunktschutz – Agent deinstallieren, Lizenz freigeben. Gerätenamen werden einheitlich, jedes Gerät bekommt den richtigen Nutzer. Der Kunde liefert fehlende Angaben und prüft die Liste danach. Alte Rechner werden nach dem Umzug auf neue Geräte plattgemacht.
5. Leitfaden für einen befallenen Rechner: Wir schreiben ihn. Inhalt: Gerät auf Werkszustand zurücksetzen oder Windows neu installieren, Benutzer neu anlegen, Daten aus dem Backup zurückspielen. Begleitet wird das per Telefon und Fernwartung, statt das Gerät einzuschicken. Dazu Vorbereitungen wie Backups und Zugangsdaten und der Umgang mit kompromittierten Konten.

Ein sechster Punkt ist eine Option: ein rund um die Uhr besetztes Sicherheitszentrum. Dazu weiter unten mehr.

Warum die Geräteliste zur Versicherung gehört

Die Bereinigung des Gerätebestands klingt nach Hausputz. Sie ist aber die Grundlage für zwei Dinge. Erstens kann man Fragen wie „Haben alle Computer einen Schutz gegen Schadsoftware?“ nur beantworten, wenn man weiß, welche Computer es gibt. Zweitens zählt sie im Ernstfall.

Das BSI beschreibt in seinem Papier zur Bedrohungslage durch Ransomware eine aktuelle Übersicht über möglichst alle Geräte als wichtige Voraussetzung, um infizierte Geräte schnell zu finden. Ein Bericht mit doppelten Einträgen und Geräten, die es nicht mehr gibt, kostet in dieser Situation Zeit.

Die Meldekette im Ernstfall

Der Leitfaden für einen befallenen Rechner ist in Arbeit. Das Schaubild unten verbindet die Schritte, die er abdecken soll, mit dem, was zwei Quellen für die Zeit davor verlangen. Die IT-Notfallkarte des BSI nennt drei Botschaften: Ansprechpartner kennen, entscheidende Informationen sofort weitergeben, Gegenmaßnahmen nur nach Absprache. Die AVB Cyber verlangen in Abschnitt B3-3, den Schaden dem Versicherer unverzüglich anzuzeigen, Weisungen einzuholen und das Schadenbild unverändert zu lassen, bis der Versicherer eine Veränderung gestattet.

Der vierte Schritt ist hervorgehoben, weil er vor dem fünften kommen muss. Wer einen befallenen Rechner sofort plattmacht, verändert das Schadenbild, bevor der Versicherer davon weiß. Die AVB Cyber erlauben Veränderungen ohne Freigabe nur, wenn sie unumgänglich sind, und dann mit nachvollziehbarer Dokumentation. Was Ihr eigener Vertrag dazu sagt, steht in Ihren Versicherungsbedingungen.

Wie ein vollständiger Notfallplan aufgebaut ist, zeigt unser Beitrag zum IT-Notfallplan für den Mittelstand. Als Vorlage zum Ausfüllen gibt es die IT-Notfallplan-Vorlage.

Zwei-Faktor-Anmeldung: warum für alle und nicht nur für den Chef

Vereinbart ist die Zwei-Faktor-Anmeldung für alle Nutzer, nicht nur für ausgewählte Konten. Die GDV-Musterbedingungen nennen sie als Beispiel für zusätzlichen Schutz bei Servern, die aus dem Internet erreichbar sind. Auch ein VPN-Zugang ist ein aus dem Internet erreichbarer Weg ins Firmennetz.

Das BSI zur Zwei-Faktor-Authentisierung beschreibt den Nutzen schlicht: Nach dem richtigen Passwort folgt eine weitere Schranke. So erhalten Unbefugte keinen Zugang, nur weil sie an ein Passwort gekommen sind. Hardwaregestützte Verfahren bieten laut BSI ein hohes Maß an Sicherheit.

Welche Verfahren wir für Unternehmen empfehlen und welche nicht, steht in MFA und Passwort-Sicherheit für Unternehmen.

Wir starten jede Zusammenarbeit mit einer Cyber-Risikoanalyse gemeinsam mit der Geschäftsführung. Nicht um Angst zu machen, sondern um ehrlich zu sehen, wo Sie stehen — und was als Erstes passieren muss.

Jens HagelGründer, hagel IT-Services GmbH

Option MDR: was ein überwachtes Sicherheitszentrum leistet und was nicht

Im Gespräch haben wir eine weitere Möglichkeit angesprochen: Managed Detection and Response, kurz MDR. Gemeint ist ein Sicherheitszentrum, das die Geräte rund um die Uhr überwacht und in dem Menschen auf Alarme reagieren. Wir reichen dazu ein Angebot nach; der Kunde wägt Kosten und Nutzen ab. Entschieden ist noch nichts.

Wichtig war uns die Einordnung. MDR ist ein Baustein in einem Gesamtschutz, zu dem Patch-Management, Zwei-Faktor-Anmeldung und Backups gehören.

Bei diesem Kunden bleibt MDR eine Option; die fünf vereinbarten Pakete laufen unabhängig davon. Welche Bausteine wir für Sicherheit insgesamt anbieten, finden Sie unter Cybersecurity für Unternehmen in Hamburg.

Was wir daraus gelernt haben

Für einen Geschäftsführer ohne IT-Hintergrund lässt sich der Fall auf vier Lehren bringen:

• Der Fragebogen ist ein Test Ihrer Übersicht. Wer nicht weiß, welche Geräte und Zugänge es gibt, kann die Fragen nicht sicher beantworten. Die Geräteliste kommt vor der Versicherung.
• Antworten Sie nur, was heute stimmt. Was vereinbart, aber noch nicht umgesetzt ist, gehört nicht als „Ja“ in den Bogen. Kennzeichnen Sie es als geplant – oder setzen Sie es um, bevor Sie unterschreiben.
• Lassen Sie die technischen Fragen von dem beantworten, der die Technik betreut. Und lassen Sie die Rückfragen des Versicherers dort landen. Sie behalten die Entscheidung, aber nicht die Rätselei.
• Legen Sie die Meldekette fest, bevor etwas passiert. Wer meldet wem, wann wird der Versicherer informiert, wer gibt das Zurücksetzen frei? Diese Reihenfolge kann darüber entscheiden, ob Sie Ihre Pflichten aus dem Vertrag einhalten.

Für Planungs- und Ingenieurbüros haben wir die typischen IT-Themen auf einer eigenen Seite gesammelt: IT für Architekten und Ingenieurbüros. Wie eine Risikoanalyse mit der Geschäftsführung abläuft, zeigt die Fallstudie zur Cyber-Risiko-Analyse im Mittelstand.

Ihr nächster Schritt

Liegt bei Ihnen ein Fragebogen einer Cyberversicherung auf dem Tisch, oder steht die Verlängerung an? Dann gehen wir in einem kurzen Gespräch durch, welche Fragen Sie heute guten Gewissens mit Ja beantworten können und was vorher noch passieren sollte.

Weiterführende Quellen

• GDV: Musterbedingungen AVB Cyber, Stand Februar 2024
• GDV: Muster-Fragebogen zur Risikoerfassung für KMU, Stand Dezember 2019
• Versicherungsvertragsgesetz § 19 – Anzeigepflicht
• Versicherungsvertragsgesetz § 28 – Verletzung einer vertraglichen Obliegenheit
• BSI: Zwei-Faktor-Authentisierung
• BSI: IT-Notfallkarte „Verhalten bei IT-Notfällen“
• BSI: Ransomware – Bedrohungslage