Mit Meltdown und Spectre sind jüngst zwei neue Bedrohungen bekannt geworden, welche die IT-Branche erschüttern. Die Sicherheitslücken existierten bereits in 10 Jahre alten Prozessoren, sie wurden vor über einem halben Jahr entdeckt, aber erst jetzt veröffentlicht. Es könnte also bereits Exploits (kleine Schadprogramme) geben, die diese Lücke ausnutzen.
Im Unterschied zu den meisten Sicherheitslücken werden hier keine Schwachstellen in der Software, sondern in der des Prozessors, also des Computer-Rechenkerns, ausgenutzt. Das Vorgehen bei der Attacke ist sehr komplex, führt aber letztendlich dazu, dass ein Angreifer Daten auf dem angegriffenen Rechner auslesen kann. Insbesondere in einer Cloud gibt es ein erhöhtes Risiko, da Daten innerhalb der Cloud potentiell von anderen Benutzern ausgelesen werden könnten.
Da sich eine der möglichen Angriffsvektoren durch ein Update des Betriebssystems schließen lässt, ist es jetzt wichtig, dass sowohl auf Seiten der Hersteller, als auch auf Seiten der Unternehmen schnell gehandelt wird. Nur mit den Updates lassen sich die Sicherheitslücken schließen.
Als Versicherungsunternehmen lassen sich hieraus verschiedene Konsequenzen ableiten:
Es gibt keine totale Sicherheit
Auch Komponenten, die heute als sicher gelten und die seit Jahren in unzähligen Computern verbaut werden, können von einem Moment zum anderen zum Sicherheitsrisiko werden. Dies zeigt gut die Volatilität der Bedrohungen. Wie schwerwiegend und wie viele solcher Lücken in einem Jahr gefunden werden, lässt sich kaum voraus sehen. Ob sich die Daten der Vergangenheit hierbei für eine Prognose eignen wird sich erst im Laufe der Jahre zeigen.
Geschwindigkeit zählt
Nach der Entdeckung einer Sicherheitslücke wird sowohl auf Seiten der Angreifer, als auch auf Seiten der Verteidiger an einer Lösung gearbeitet. Je schneller die Sicherheitslücke geschlossen ist, desto geringer ist das Risiko für Unternehmen und Versicherer. Das Angebot von Assistance-Leistungen die Kunden helfen, auf bekannte Sicherheitslücken zu reagieren, hat für Versicherer zwei Vorteile. Zum einen kann Geld gespart werden, in denen mögliche Schadenfälle verhindert werden. Zum anderen kann sich der Versicherer durch das zusätzliche Angebot auf dem Markt von der Konkurrenz abheben.
Abhängigkeiten können zu Problemen führen
Auch wenn der Kunde eines Versicherers selber sehr schnell auf Bedrohungen reagiert: die derzeitigen Sicherheitslücken zeigen, dass die Abhängigkeiten, zu Cloud- oder Rechenzentrums-Anbietern durchaus relevant sind. Nicht alle Maßnahmen können auf Seiten der Kunden getroffen werden, einige Maßnahmen müssen auch auf Seiten dieser Dienstleister getroffen werden. Für den Versicherer bedeutet dies, dass auch diese in die Risikobewertung mit einfließen sollten, da es hier unmittelbare Auswirkungen auf die Sicherheit der Kunden gibt. Auch hier sind natürlich Assistance-Leistungen möglich: eine Beratung der Kunden bei der Auswahl von geeigneten und sicheren Anbietern hilft sowohl den Kunden, als auch den Versicherern.
Die derzeitigen Entwicklungen zeigen mal wieder, wie schnelllebig die Branche ist und welche Relevanz Cyber-Versicherungen auch in Zukunft haben werden. Mit jeder neuen Bedrohung wird wieder deutlich, dass man sich nicht gegen alle Bedrohungen schützen kann und eine Cyber-Versicherung zwingend zu einem IT-Sicherheitskonzept gehören sollte.
Beste Grüße
Felix
