Cyber-Risiken. 
Fünf Erkenntnisse, die Entscheidern bewusst sein sollten.

Ein Cyber-Vorfall muss nicht immer ein spektakulärer Hackerangriff sein. Schon ein unzufriedener Mitarbeiter, der vertrauliche Daten an einen Konkurrenten schickt, oder ein Bedienfehler können für Firmen zu Betriebsunterbrechungen und Reputationsschäden führen. Der Allianz Risk Barometer 2017 zeigt, wie die Bedeutung von Cyber-Risiken für Unternehmen zunimmt. Hier fünf Erkenntnisse, die Entscheidern bewusst sein sollten.

Zum fünften Mal in Folge nannten die Entscheider Betriebsunterbrechungen als grösstes Risiko – 37 Prozent der Befragten weltweit bezeichneten diese als die grösste Gefahr für Firmen. Doch die Bedeutung von Cyber-Risiken nimmt Jahr für Jahr rasant zu. In ihnen sehen mittlerweile 30 Prozent der Teilnehmer grosse Gefahren. 2013 noch nahmen sie Rang 15 mit nur 6 Prozent der Antworten ein. Ein Jahr später kletterten sie schon auf Rang 8. 2015 entwickelten sie sich zum Risiko mit dem grössten Aufwärtstrend und erreichten Platz 5. Obwohl das Thema in diesem Jahr im Ranking nicht weiter aufgestiegen ist, liegt es nur noch einen Prozentpunkt hinter dem zweitwichtigsten Risiko, den Marktentwicklungen, zurück. In Grossbritannien und Deutschland sehen die Befragten in Cyber-Vorfällen bereits die grösste Gefahr für Unternehmen.

Nach Ansicht der Befragten werden Cyber-Gefahren weiter an Wichtigkeit gewinnen. Auf die Frage nach den wichtigsten möglichen Risiken der nächsten zehn Jahre nannten 42 Prozent der Befragten Cyber-Vorfälle. Es folgen die Risiken der neuen Technologien mit 40 Prozent und Risiken der Marktentwicklungen mit 33 Prozent. Besonders die wachsende Komplexität von Cyber-Attacken als Folge der zunehmenden Digitalisierung wird von den Unternehmen am stärksten gefürchtet. Dies sagten 45 Prozent der Befragten.

Cyber-Risiken stehen oft auch als Auslöser hinter anderen Gefahren für Unternehmen – zum Beispiel hinter den gefürchteten Betriebsunterbrechungen. Die Befragten nannten Cyber-Vorfälle an vierter Stelle als mögliche Ursache für einen Stillstand der Produktion – nach Feuer und Explosionen, Naturkatastrophen und Lieferantenausfall. Insgesamt 29 Prozent der Entscheider nannten sie als mögliche Ursache für eine Betriebsunterbrechung. «Viele der Datenvorfälle in der letzten Zeit konnten in der Folge mit einer Betriebsunterbrechung in Zusammenhang gebracht werden», kommentiert Volker Münch, Global Practice Group Leader, Property Underwriting, AGCS, das Ergebnis der Befragung. Nach Ansicht der Befragten können Cyber-Vorfälle zudem für 50 Prozent der Top 10 der globalen Risiken ein Auslöser sein.

Auch die Verschärfung von Datenschutzregelungen trägt dazu bei, dass Cyber-Vorfälle beim Risikomanagement an vorderster Stelle stehen. Denn bei Nichteinhaltung der Vorschriften zum Umgang mit Daten von Kunden und Angestellten drohen zunehmend schärfere Strafen. So wird am 25. Mai 2018 in der gesamten Europäischen Union die Datenschutz-Grundverordnung (EU-DSGVO) verbindlich werden. Unternehmen ab 250 Mitarbeitern müssen dann ihre Datenverarbeitung dokumentieren und einen Datenschutzbeauftragten benennen. Datenlecks sollen innerhalb von 72 Stunden den Behörden gemeldet werden. Unternehmen, welche die Vorschriften grobfahrlässig verletzen, können mit Strafzahlungen von bis zu 4 Prozent des Jahresumsatzes oder 20 Millionen Euro belangt werden – je nachdem, welche Zahl höher ist. Auch Schweizer Firmen, die Kunden in der EU bedienen, drohen dann empfindliche Strafen. Zudem werden die EU-Vorschriften auch in der Revision des Schweizer Datenschutzgesetzes berücksichtigt, die sich zurzeit in der Vernehmlassung befindet. «Die Kosten zur Einhaltung der Rechtsvorschriften werden hoch sein; die Strafen bei Nichteinhaltung könnten noch höher ausfallen», sagt Nigel Pearson, Global Head of Fidelity, AGCS.

Trotzdem messen gerade kleine und mittlere Unternehmen Cyber-Risiken noch geringe Bedeutung zu. Bei diesen rangieren sie nur auf Platz 6 – während sie in fast allen Branchen unter den Top 3 der wichtigsten Unternehmensrisiken figurieren. «Viele dieser Unternehmen unterschätzen das Risiko einer Cyber-Attacke. Sie haben häufig auch nicht die notwendigen Kompetenzen im Unternehmen und sind deshalb nicht für den Fall der Fälle vorbereitet», sagt Bruno Spicher, Leiter Unternehmensversicherungen der Allianz Suisse.