Cyberversicherer geben sich nicht mehr mit dem Nachweis zufrieden, dass Mitarbeitende geschult wurden. Sie verlangen zunehmend Belege dafür, dass menschliches Risiko gemessen und reduziert wird. Diese Verschiebung verändert Anträge, Prämien und Erneuerungsgespräche.

Cyberversicherungen haben jahrelang technische Kontrollen bewertet: Firewalls, Endpoint-Schutz, Backups. Inzwischen legen Underwriter denselben Maßstab an das menschliche Risiko an – und vielen Organisationen fehlen noch die Nachweise, dass es unter Kontrolle ist.

Der Versicherungsmarkt stellt heute andere Fragen

Anträge für Cyberversicherungen bestanden früher überwiegend aus einfachen Ja-Nein-Fragen: Ist eine Firewall vorhanden? Werden Backups gepflegt? Ist Antivirensoftware im Einsatz? Policen wurden häufig danach bepreist, ob Kontrollen existierten, und nicht danach, wie wirksam sie Risiko senkten.

Das ändert sich. Steigende Ransomware-Schäden, Betriebsunterbrechungsschäden und regulatorische Sanktionen haben Versicherer gezwungen, Risiko strenger zu bewerten. Viele schwere Sicherheitsvorfälle beginnen nicht mit einer versagenden technischen Kontrolle, sondern mit kompromittierten Zugangsdaten, Social Engineering oder schwachen Identitätspraktiken.

Underwriting-Fragen werden deshalb konkreter und verhaltensbezogener. Versicherer fragen etwa, wie flächendeckend Multi-Faktor-Authentifizierung tatsächlich erzwungen wird, wie sich Phishing-Ergebnisse entwickeln und ob inaktive Konten erkannt und entfernt werden. Antragsteller, die aktuelle und fortlaufende Nachweise liefern können, sind besser aufgestellt, um wirksames Risikomanagement zu belegen.

Warum Angreifende weiter beim Menschen ansetzen

Security-Teams haben ihre technischen Abwehrmaßnahmen deutlich gestärkt. Firewalls, Endpoint Detection und Zero-Trust-Architekturen sind ausgereift. Als Reaktion darauf konzentrieren sich Angreifende immer stärker auf eine Kontrolle, die sich kaum standardisieren lässt: menschliches Urteilsvermögen.

Wirksames Social Engineering ist darauf ausgelegt, alltäglich zu wirken. Eine bösartige Anfrage kann wie ein Passwort-Reset, eine Rechnung oder der Anruf einer Kollegin aussehen. Statt Misstrauen auszulösen, nutzt sie vertraute Verhaltensweisen und etablierte Prozesse aus. Aktuelle Vorfälle zeigen, warum Versicherer diese Exposition zunehmend als wesentliches Underwriting-Thema behandeln.

‍

Diese Vorfälle beruhten nicht auf neuartigen Exploits. Sie beruhten auf überzeugender Identitätsvortäuschung, schwacher Identitätsprüfung oder kompromittierten Zugangsdaten – genau die Expositionen, die Human Risk Intelligence erkennen soll, bevor daraus Schadensfälle werden.

Was die Daten über menschliches Risiko zeigen

Branchenforschung erklärt, warum messbare Reduktionen des menschlichen Risikos für Underwriting- und Erneuerungsgespräche immer relevanter werden. Die folgenden Zahlen verdeutlichen Umfang, Beständigkeit und finanzielle Auswirkung menschlich bedingter Cyberexposition.

‍

Wie Underwriter menschliches Risiko bewerten

Erneuerungsfragebögen sind länger, detaillierter und stärker auf Verhalten und Identität ausgerichtet. Underwriter verlangen zunehmend Nachweise über:

• den Anteil privilegierter und administrativer Konten, bei denen Multi-Faktor-Authentifizierung aktiv erzwungen und nicht lediglich verfügbar ist
• Klick- und Meldequoten aus Phishing-Simulationen über mehrere Zyklen hinweg, nicht nur ein einzelnes aktuelles Ergebnis
• Prozesse zum Erkennen, Prüfen und Deaktivieren inaktiver Konten
• Monitoring und Remediation exponierter oder kompromittierter Zugangsdaten
• fortlaufende, rollenspezifische Security-Awareness-Trainings statt einer einzelnen jährlichen Compliance-Übung

Zusammengenommen sind diese Fragen eine praktische Bewertung von Human Risk Intelligence, selbst wenn der Begriff nicht fällt. Organisationen, die mit aktuellen, überprüfbaren Daten antworten können, sind besser in der Lage, Underwriting-Entscheidungen zu stützen und Fragen zu Ausschlüssen, Prämien oder der Deckung von Social Engineering zu beantworten.

Den Antrag stärken: Was Versicherer sehen wollen

Fortlaufende Nachweise zum menschlichen Risiko verbessern mehr als die Darstellung eines Antrags. Sie geben Underwritern überprüfbare Informationen – und Überprüfbarkeit ermöglicht eine sicherere Risikobewertung und Bepreisung.

Prämien durch messbare Risikoreduktion senken

Auch Prämiengespräche verlagern sich vom Nachweis von Aktivität zum Nachweis von Ergebnissen. Dass eine Organisation Trainings eingekauft oder eine jährliche Phishing-Übung durchgeführt hat, ist hilfreich, zeigt aber nicht, ob die Exposition tatsächlich sinkt. Makler sind deutlich besser aufgestellt, wenn sie eine nachhaltige Risikoreduktion belegen können.

Die relevantesten Kennzahlen entsprechen denen, die Security-Verantwortliche ohnehin zur Bewertung ihrer Programme nutzen:

• ein sinkender Human-Risk-Score über Abteilungen und die gesamte Organisation hinweg, statt einer statischen Abschlussquote von Trainings
• sich verbessernde Phishing-Simulationstrends, mit steigenden Meldequoten und fallenden Klickraten
• eine steigende Abdeckung der Multi-Faktor-Authentifizierung bei privilegierten und administrativen Konten, nicht nur unternehmensweite Durchschnittswerte
• eine bessere Cyberhygiene als Zeichen dafür, dass Angriffswege mit hoher Wahrscheinlichkeit geschlossen werden

Verbesserungen bei diesen Kennzahlen können Erneuerungsgespräche stärken, indem allgemeine Zusicherungen durch einen belegbaren Risikotrend ersetzt werden. Sie helfen Versicherern zudem einzuschätzen, wie wirksam eine Organisation genau jene Expositionen reduziert, die am ehesten zu einem Schadensfall führen.

Den Schadenprozess nach einem Vorfall unterstützen

Der Wert dieser Nachweise endet nicht mit dem Abschluss der Police. Nach einem Vorfall prüfen Versicherer unter Umständen, ob zum Schadenzeitpunkt angemessene Kontrollen bestanden. Historische Risikoscores, Remediation-Nachweise und ein zeitlicher Verlauf der Abdeckung durch Multi-Faktor-Authentifizierung sind ein deutlich belastbarerer Nachweis als ein jährliches Trainingszertifikat allein.

Die regulatorischen Erwartungen entwickeln sich in dieselbe Richtung. Unter Rahmenwerken wie GDPR können Sanktionen 20 Millionen EUR oder 4 % des weltweiten Jahresumsatzes erreichen. Eine dokumentierte Aufzeichnung darüber, wie menschliches Risiko erkannt und gesteuert wird, kann daher nicht nur Versicherungsgespräche stützen, sondern auch breitere Governance- und Compliance-Anforderungen. Über all diese Funktionen hinweg wird die gemeinsame Anforderung immer klarer: aktuelle Nachweise auf Ebene einzelner Personen statt einer Momentaufnahme einmal im Jahr.

‍

Die Board-Kennzahl der Zukunft

Cybersecurity-Governance und das Underwriting von Cyberversicherungen laufen auf dieselbe Anforderung zu: eine glaubwürdige, belastbare Zahl, die zeigt, dass menschliches Risiko sich über die Zeit in die richtige Richtung entwickelt. Historisch wurde Sicherheitsleistung über technische Indikatoren wie Patch-Quoten und Endpoint-Abdeckung gemessen. Künftig werden Führungskräfte zunehmend belegen müssen, dass menschliches Risiko mit derselben Sorgfalt gemessen, überwacht und reduziert wird.

Organisationen, die heute echte Sichtbarkeit auf ihre menschliche Angriffsfläche aufbauen, senken nicht nur die Wahrscheinlichkeit eines kostspieligen Vorfalls. Sie gehen mit Nachweisen statt mit Zusicherungen in ihre nächste Erneuerung und zahlen für das Risiko, das sie tatsächlich tragen, statt für das Risiko, das ein Underwriter ihnen ersatzweise unterstellen muss. Erfahren Sie mehr über Human Risk Intelligence oder buchen Sie eine Demo, um zu sehen, wie es eine stärkere Position bei der Cyberversicherung unterstützt.

‍