https://www.faz.net/-gqe-7xqsp

Cyber-Attacken : Schaden durch Hacker wird immer größer

Die Produktion wird immer vernetzter. Die Gefahr von Angriffen von außen nimmt zu. Bild: ddp

Der Hackerangriff auf Sony führt der Welt wieder vor, wie anfällig große Computernetze für Attacken sind. Kürzlich konnte auch ein Hochofen nach einem Angriff nicht mehr richtig gesteuert werden. Versicherer entdecken das Risiko als künftiges Geschäftsfeld.

          4 Min.

          Manchmal braucht es ein mediales Großereignis, um das Bewusstsein für ein Problem zu schaffen. Der Hackerangriff auf das Unternehmen Sony Pictures führt der Welt vor, wie anfällig große Computernetze für Attacken von Spezialisten sind. Der wirtschaftliche Schaden ist enorm: Der fertige Spielfilm „The Interview“ - überhaupt erst der Grund des kriminellen Aktes - wird vorerst nicht in amerikanischen Kinos zu sehen sein, weil die „Guardians of Peace“, wie sich die Hackergruppe mit angeblichen Kontakten nach Nordkorea nennt, Morddrohungen ausgesprochen hat. Das FBI hat Nordkorea nun erstmals direkt für den Hackerangriff auf Sony verantwortlich gemacht. Es gebe genügend Informationen, die diesen Rückschluss erlaubten, teilte die amerikanische Bundespolizei am Freitag mit. Auf den Sony-Manager lastet zudem ein großer Reputationsschaden, da aus ihrem E-Mail-Verkehr pikante Äußerungen über berühmte Schauspieler veröffentlicht wurden.

          Philipp Krohn
          Redakteur in der Wirtschaft, zuständig für „Menschen und Wirtschaft“.

          Einnahmeverluste, Reputationsrisiken, Datendiebstahl - all dies sind Kategorien, mit denen sich in zunehmendem Maße auch die deutsche Industrie beschäftigt. Vor allem die technologischen Möglichkeiten durch das Internet und die Vernetzung von Wertschöpfungsketten machen das Produzierende Gewerbe anfälliger für Hackerangriffe. An den Datenschnittstellen zwischen Lieferanten und Herstellern entstehen Einfallstore, die Industrie 4.0 zu einem sensiblen Gebilde werden lassen. Durch die Entwicklung zu einer vernetzteren Produktion, die spontan auf Daten zugreifen kann, entsteht das Potential, Kundenbedürfnisse individueller zu befriedigen. Doch selbst bei der geeignetsten Architektur der Informationstechnik lässt sich das Risiko krimineller Eingriffe nicht aus der Welt schaffen.

          Diese Risikolage beschäftigt seit diesem Jahr auch die Versicherungswirtschaft immer intensiver. Vor drei Jahren begann sie, unter Online-Händlern und in der Industrie ein Bewusstsein zu schaffen für das Cyberrisiko, gegen das sie eigens Cyberversicherungen geschaffen hat. Der Markt ist noch überschaubar. Einer Schätzung des Versicherungsmaklerverbands VDVM zufolge betrug das Prämienvolumen in Deutschland im Oktober zwischen 5 und 7 Millionen Euro. Damals war von rund 100 Policen hierzulande die Rede. Seither habe es aber weitere Abschlüsse gegeben, ist von Anbietern zu hören, so dass aktuell eine Zahl von 140 Versicherungen durch den Markt geistert.

          Der ferngesteuerte Hochofen

          Die Versicherer hatten in den vergangenen Jahren vor allem auf Risiken wie Folgeschäden aus Datendiebstahl und den Reputationsschaden im Internet abgehoben, gegen den ihre Policen Schutz gewähren sollten. „In diesem Jahr gab es aber mehr Nachfrage aus dem Produzierenden Gewerbe als aus dem Online-Handel“, sagt Robert Dietrich, Hauptbevollmächtigter des Spezialversicherers Hiscox in Deutschland. Bei der Zahl der Verträge, nicht aber unbedingt beim Prämienvolumen, sieht sich das britische Unternehmen als Marktführer in Deutschland. Denn das Produkt, das seit diesem Sommer auf Wunsch der industriellen Mittelständler auch das Risiko von Betriebsunterbrechungen deckt, richtet sich besonders an mittelgroße Unternehmen.

          Im Dezember zog die Allianz nach. Ihre neue Police zahlt ebenfalls, wenn die Produktion durch Hackerangriffe stillgelegt wird. „Die digitale Fabrik ist vielerorts bereits Realität“, begründete Martin Zschech von der Industrieversicherungs-Tochtergesellschaft AGCS diese Erweiterung. „Softwareprobleme oder IT-Ausfälle lassen Bänder stillstehen und sorgen für kostspielige Betriebsunterbrechungen.“ Erst am Donnerstag hat das Bundesamt für Sicherheit in der Informationstechnik (BSI) berichtet, ein deutsches Stahlwerk sei jüngst durch einen Hackerangriff geschädigt worden. Ein Hochofen konnte nicht geregelt heruntergefahren werden. Das Einfallstor war das Büronetzwerk, über das sich die Angreifer in die Produktions-IT vorgearbeitet haben.

          Versicherer sollten die zweite Verteidigungslinie hinter der IT-Sicherheit sein, um Cyberangriffe abzuwehren, sagte der frühere Hiscox-Chef Robert Hiscox einmal. Damit die Industriebetriebe aber Versicherungsschutz erhalten können, müssen sie wichtige Grundlagen erfüllen. „Im Mittelstand hat beispielsweise vielfach eine große Zahl an Mitarbeitern freien Zugang auf die Netzwerke“, sagt Robert Dietrich von Hiscox. Auf Geräten wie Druckern, die an Netzwerke angeschlossen sind, fehle häufig Sicherheitssoftware.

          Je mehr sich das Produzierende Gewerbe auf Industrie 4.0 zu bewegt, desto anfällig wird der gesamte Prozess. „Früher hatte die Produktion einen definierten Anfang und ein definiertes Ende. Davor und dahinter war die Logistik“, sagt Steffen Zimmermann, Geschäftsführer Produkt- und Know-how-Schutz des Maschinenbauverbands VDMA. „Nun fließen zwischen den Wertschöpfungsstufen Daten und Informationen. Angreifer erhalten direkten Zugriff auf Maschinen.“ Die Folgen könnten sein: Know-how-Diebstahl, Produktionsausfälle, Gefährdung von Umwelt, Menschen und Maschinen. Versicherungsschutz könne erst dort ansetzen, wo die IT-Sicherheit aufhört. Ob vor allem kleinere Betriebe tatsächlich eine Cyberdeckung erwerben werden, sieht Zimmermann indes eher skeptisch. Der Vergleich mit Manager-Haftpflichtversicherungen (D&O), die Unternehmen gegen finanzielle Folgen von Managementfehlern schützen und vielerorts zum Standard gehören, hinkt aus seiner Sicht. „Bei Cyberrisiken fehlt im Vergleich die persönliche Betroffenheit.“

          Noch zu oft drehten sich Gespräche mit möglichen Kunden und Versicherern um die bekannten Hackerklischees, beklagt Jochen Körner, Deutschland-Geschäftsführer des Versicherungsmaklers Marsh. „Sie sind aber nicht der Kern des Themas.“ Zu wenig würden die Risiken für die Gewinn-und-Verlust-Rechnung in Augenschein genommen, die durch Betriebsunterbrechungen entstehen können. Zu unklar blieben Versicherer und Makler bei der Frage, was schon durch bestehende Policen gedeckt ist. Löst ein Hackerangriff ein Feuer aus, zahlt schon jetzt die Feuerversicherung. „Wir müssen uns immer fragen, ob wir mit unseren Lösungen das wahre Risiko abbilden. Wenn aufgrund eines Cyberangriffs eine Betriebsunterbrechung entsteht und ein Gewinn entgeht, sind wir noch nicht sehr gut darin, den Schaden zu definieren“, sagt Körner.

          Auch andere Makler erkennen noch großen Nachholbedarf. „Wir wissen oft zu wenig über IT-Standards und liegen deshalb noch fünf Jahre hinter dem Bedarf zurück“, sagt Achim Fischer-Erdsiek, der sich mit seiner neugegründeten Unternehmensberatung Prorisk ausschließlich auf zwei Risiken spezialisiert hat: Cyber und Geothermie. „Durch das fehlende Wissen reicht unsere Dienstleistungstiefe nicht für das vorhandene Produktangebot“, sagt er. Deshalb sieht er die Gefahr, dass Versicherer die Herausforderungen nicht zügig genug in den Griff bekommen, nach einigen Jahren vom Markt verschwinden und den Eindruck verbreiten könnten, Cyberrisiken seien nicht versicherbar. So wie ein Makler über die Standards einer Sprinkleranlage zum Feuerschutz Bescheid wissen müsse, müsse er sich auch mit der IT-Architektur vertraut machen, um zum Gesprächspartner auf Augenhöhe zu werden. In seiner Funktion als Vorstand des Maklerverbands VDVM arbeitet er mit vielen Gesprächspartnern an präziseren Standards in der IT-Sicherheit.

          Für Sony ist das Kind erst einmal in den Brunnen gefallen. Als Großkonzern muss das japanische Unternehmen ohnehin eine ganz andere Sicherheitsarchitektur aufbauen als industrielle Mittelständler. Dass unauffällige Unternehmen aber weniger im Fokus krimineller Angreifer stehen als größere, ist unwahrscheinlich. Echte Schadensfälle sind nämlich manchmal ganz banal: Ein Online-Händler, der auf eine positive Google-Bewertung angewiesen ist, tauchte kürzlich gar nicht mehr bei Google auf. In der URL-Adresse hatte ein Unbekannter pornographische Begriffe eingebaut. Dahinter stand womöglich ein direkter Wettbewerber.

          Cyber-Angriffe : Tipps für Unternehmen gegen Internet-Attacken

          Weitere Themen

          Die Flut und das Geld

          FAZ Plus Artikel: Katastrophenhilfe : Die Flut und das Geld

          Der Staat verspricht, nach dem Hochwasser in Rheinland-Pfalz und Nordrhein-Westfalen alle Schäden auszugleichen. Wozu braucht es dann aber das Geld aus Spenden und Versicherungen?

          Russland will wieder zurück nach oben

          FAZ Plus Artikel: Raumfahrt : Russland will wieder zurück nach oben

          Während die Amerikaner privat ins All reisen können, ist von der ruhmreichen russischen Raumfahrt nicht mehr viel übrig – auch hier bekommen sie Sanktionen zu spüren. Um wieder groß zu werden, braucht es Unterstützung vom Nachbarn China.

          Topmeldungen

          Am 17. Juli in Erftstadt: Armin Laschet ist lachend zu sehen, während Bundespräsident Frank-Walter Steinmeier ein Pressestatement gibt.

          Laschet und die Flut : Das Lachen des Landesvaters

          Als das Wasser kam, wollte der Kanzlerkandidat der Union helfen, zuhören – und vielleicht auch Wahlkampf treiben. Dann wuchs der Druck und alles kam anders.
          Liebe Bürger*innen: Das Wahlprogramm der Grünen benutzt konsequent Genderformen mit Genderstern.

          Gendern im Wahlprogramm : Zwangsbeglückung der Sprachgemeinschaft

          Aus den Bürgern werden die Bürger*innen: Das Wahlprogramm der Grünen benutzt konsequent Genderformen mit Genderstern – dabei lehnt die Mehrheit der Deutschen das „Gendern“ ab. Ein Gastbeitrag.

          Newsletter

          Immer auf dem Laufenden Sie haben Post! Abonnieren Sie unsere FAZ.NET-Newsletter und wir liefern die wichtigsten Nachrichten direkt in Ihre Mailbox. Es ist ein Fehler aufgetreten. Bitte versuchen Sie es erneut.
          Vielen Dank für Ihr Interesse an den F.A.Z.-Newslettern. Sie erhalten in wenigen Minuten eine E-Mail, um Ihre Newsletterbestellung zu bestätigen.