Mit den persönlichen Daten aller 3,9 Millionen Kunden sowie umfangreichen Informationen aus Krankenakten würde ein Cyberangriff auf den australischen Krankenversicherer Medibank das Unternehmen teuer zu stehen kommen. Mindestens 25 Millionen AUD (16 Millionen Euro) will der größte private Krankenversicherer des Landes beispielsweise für Hilfsangebote an seine Kunden ausgeben. Hierin sind noch nicht einmal die Kosten von Schadensersatzansprüchen und Rechtsstreitigkeiten enthalten. Der Versicherer musste seine Prognose für das laufende Geschäftsjahr zurücknehmen.
Glück im Unglück. Der Angriff sei kein Ransomware-Angriff, bei dem Cyberkriminelle Daten oder Systeme verschlüsseln, so das Unternehmen. Daher kann der normale Geschäftsbetrieb fortgesetzt werden. Die Kosten muss weiterhin der Versicherer tragen, eine Cyber-Versicherung hat er nach eigenen Angaben nicht abgeschlossen.
Kriminelle fordern Lösegeld für verschlüsselte Daten
Cyberkriminelle greifen Unternehmen zunehmend mit Ransomware an. Mit Hilfe sogenannter Ransomware verschlüsseln sie Daten auf fremden Rechnern und verlangen Lösegeld, um die Daten wieder freizugeben. Laut einem aktuellen Bericht der Allianz-Tochtergesellschaft Allianz Global Corporate & Specialty (AGCS) gab es im vergangenen Jahr 623 Millionen solcher Ransomware-Angriffe, doppelt so viele wie im Jahr 2020.
Angriffe auf ihre Systeme schaden Unternehmen mehr denn je. „Die Kosten von Ransomware-Angriffen sind gestiegen, da Kriminelle größere Unternehmen, kritische Infrastrukturen und Lieferketten ins Visier genommen haben“, sagte Scott Seiss, Global Head of Cyber bei AGCS und Group Leader des Cyber Competence Center der Allianz. Laut AGCS machen Schäden aus Ransomware-Angriffen mehr als die Hälfte aller Cyber-Versicherungsschäden aus, die AGCS in den letzten zwei Jahren bei anderen Unternehmen versichert hat.
Im vergangenen Jahr meldeten Unternehmen, die Cyber-Versicherungen bei AGCS abgeschlossen haben, mehr als tausend Cyber-Versicherungsansprüche. 2020 wurden 1114 Fälle registriert, 2019 849. Dem Bericht zufolge hat sich die Beschwerdetätigkeit in diesem Jahr stabilisiert. Die Schwankungen der Cyberschäden im Laufe eines Jahres sind atemberaubend. Im Jahr 2021 verzeichnete AGCS fast 60 Prozent der Schäden im vierten Quartal.
Kriminelle verschlüsseln nicht mehr nur Daten. Sie wenden jetzt Taktiken an, die die betroffenen Unternehmen doppelt oder sogar dreifach erpressen. Bei ihren Angriffen stehlen sie sensible Daten, für die sie noch mehr Lösegeld verlangen. Wenn die Angreifer die Daten von Geschäftspartnern oder Kunden vortäuschen, machen sie laut Cyberreport auch Ansprüche gegen diese geltend.
Erpresser studieren vorher die Finanzen der Unternehmen
Im Jahr 2021 hat sich die Zahl der wiederholten Ransomware-Angriffe versechsfacht. im ersten Halbjahr erreichte der Verlust 590 Millionen Dollar (594 Millionen Euro). AGCS Global Cyber Underwriting Lead Marek Stanislavski sagt: „Die Lösegeldforderungen sind jetzt in Ordnung. Gruppen investieren Ressourcen, um den ‚richtigen‘ Betrag zu ermitteln.“ Also schauen sie sich zuerst die Finanzen des Unternehmens an, bevor sie Ansprüche geltend machen.
Zudem geraten dem Bericht zufolge kleine und mittelständische Unternehmen zunehmend ins Visier von Erpressern. Während große Unternehmen ihre Cybersicherheit stärken, fehlen kleineren Unternehmen die finanziellen Mittel.
Viele Unternehmen betrachten Cybervorfälle als eines der wichtigsten Geschäftsrisiken. Sorgen bereiten den Versicherern auch die Rubrik, in der Unternehmen tiefrote Zeiten schreiben. Laut Versicherungsverband GDV lag die Schaden-Kosten-Quote im vergangenen Jahr bei knapp 124 Prozent. Das bedeutet, dass die Versicherer für jeden eingenommenen Euro Prämien 1,24 Euro für Schäden und Aufwendungen aufwenden mussten.
Bei weitem bekommt es nicht jedes Unternehmen, das eine Versicherung kaufen möchte
Die Versicherer haben die Preise stark angehoben. Bei AGCS stiegen sie ebenfalls um rund 40 Prozent. Derzeit sieht der Anbieter keine Marktflaute. Zudem prüfen Versicherer vor Vertragsabschluss die Cybersicherheit von Unternehmen genau. Längst nicht jedes Unternehmen, das eine Police kaufen möchte, bekommt eine. Viele Unternehmen gelten mittlerweile als nicht versicherbar. Rund drei Viertel aller Anfragen in Deutschland lehnt die Allianz-Tochter ab.
Der Versicherer stellte in dem Bericht weitere Trends fest. Beim sogenannten Business Email Compromise (BEC) nutzen Betrüger Phishing-E-Mails, um E-Mails oder Social Engineering, um Daten zu stehlen oder nicht autorisierte Übertragungen vorzunehmen. Kriminelle nutzen zunehmend künstliche Intelligenz für Angriffe. Sie verwenden gefälschte Video- und Audioaufnahmen, die sich als Manager ausgeben, um Mitarbeiter dazu zu bringen, Geld auf ihre Konten zu überweisen.
Auch die Cybersicherheitsbranche leidet unter Fachkräftemangel. Dem Bericht zufolge gibt es weltweit fast 3,5 Millionen offene Stellen für IT-Sicherheit in Unternehmen. Ein Cyberangriff muss nicht immer so teuer werden wie beim australischen Versicherer Medibank. Die Schweizer Versicherungsgesellschaft Baloise wurde im April dieses Jahres durch einen Hack leicht gestört. Einige betroffene IT-Systeme mussten isoliert werden, was jedoch nur zu kurzfristigen Vertriebsausfällen führte.
Der Cyber-Vorfall wirkt jedoch bis heute nach. Unternehmensdaten werden weiterhin im Dark Web angeboten. „Das sind etwa ein Dutzend Kopien der Pässe der Mitarbeiter, die an der Dienstreise teilgenommen haben“, sagte der Sprecher. Die betroffenen Mitarbeiter und die Datenschutzbehörde wurden umgehend informiert.
