Für Makler
CyberDirekt Marktanalyse 2024: Risikofragen
2024 ist das Jahr der Produktanpassungen auf dem Cyber-Markt. Unsere Analyse von führenden Anbietern zeigt, dass zukünftig bei der Wahl einer Cyberversicherung neben Preis und Leistungen auch die Risikofragen stärker in den Fokus rücken müssen.
Die Anforderungen an die IT-Mindeststandards von Unternehmen unterschieden sich extrem
Die aktuelle Bedrohung durch Cyber-Kriminalität hat einen neuen Höchststand erreicht. Insbesondere für die rund 2,6 Millionen kleinen und mittleren Unternehmen in Deutschland ist das Thema Cyber-Sicherheit von existenzieller Bedeutung. Nicht nur die Zahl der Angriffe hat in den vergangenen Jahren stetig zugenommen, auch die verursachten Kosten für betroffene Organisationen schnellen in die Höhe. Allein für 2023 beläuft sich der durch Cyber-Attacken verursachte Schaden laut Bitkom auf mehr als 148 Milliarden Euro.
Vor diesem Hintergrund ist eine Absicherung gegenüber Cyber-Risiken entscheidend. Neben Investitionen in eine bessere IT-Infrastruktur gehört hierzu insbesondere auch die Wahl der richtigen Cyberversicherung. Allerdings ist und bleibt der Markt hier sehr dynamisch, was sich in einer vielfältigen und sich schnell verändernden Produktlandschaft widerspiegelt. Die Wahl der richtigen Cyberversicherung kann dadurch für Makler, Vermittler und Unternehmen zur Herausforderung werden.
Etwa 85% der Anbieter haben allein in diesem Jahr auf dem CyberDirekt-Marktvergleich ihre Produktkonzepte aktualisiert. Dabei sehen wir Anpassungen in unterschiedlichen Richtungen und auf verschiedenen Produktebenen: Während sich einige Versicherer, wie bspw. die AXA, fast vollständig aus dem Markt zurückziehen oder eine strengere Zeichnungspolitik fahren, gibt es ebenso Akteure, die sich über günstigere Preise und teils mit besseren Bedingungen am Markt positionieren.
Darüber hinaus sind auch neue Versicherer zu verzeichnen, die mit ihren jungen Produktkonzepten frischen Wind in den deutschen Markt bringen. Dies ist sicherlich auch ein Grund dafür, dass etablierte Anbieter ihre Konzepte neu denken und anpassen. Die zusätzlichen Kapazitäten steigern den Wettbewerb und das breite Angebotsspektrum weicht den Markt weiterhin zugunsten von kleinen und mittleren Unternehmen auf.
Gleichzeitig ist hierdurch der Markt für Cyberversicherungen aber noch heterogener geworden, als dies ohnehin schon der Fall war (vgl. CyberDirekt Marktanalyse 2023 zu den Versicherungsbedingungen). Einzelne Produkte unterscheiden sich nicht nur deutlich dahingehend, was konkret versichert ist bzw. welche Leistungen im Schadensfall erbracht werden. Versicherer stellen darüber hinaus in ihren Risikofragen extrem unterschiedliche Anforderungen an die IT-Mindeststandards der zu versichernden Unternehmen.
Aus unserer Sicht wird gerade den Risikofragen bei der Wahl einer Cyberversicherung immer noch zu wenig Beachtung geschenkt. Der Fokus liegt oft zu stark auf einem reinen Preisvergleich. Mit dieser Analyse wollen wir erreichen, dass neben Preis und Leistung vor allem auch die Risikofragen stärker in die Entscheidungsfindung einfließen. Deshalb haben wir die Risikoprüfungen von 17 führenden Anbietern von Cyberversicherungen qualitativ analysiert und daraus abgeleitet, welche IT-Sicherheitsstandards für Unternehmen besonders relevant sind, um auch zukünftig den bestmöglichen Versicherungsschutz zu erhalten.
WENIGER IST OFT MEHR
Anzahl der Risikofragen sagt nichts darüber aus, wie einfach diese zu beantworten sind
Alle Cyber-Versicherer stellen vor Vertragsschluss Risikofragen, um den IT-Reifegrad von Antragstellern zu prüfen. Die Anzahl der Fragen variiert hierbei von lediglich einer bis zu 21 Fragen. Allerdings sagt die bloße Anzahl an Fragen nichts direkt darüber aus, wie schnell bzw. einfach diese zu beantworten sind. Denn rund zwei Drittel (64%) der Anbieter prüfen mit nur einer Frage gleich mehrere Anforderungen. So stellt ein Versicherer beispielsweise sechs Risikofragen, die tatsächlich zwölf unterschiedliche technische sowie allgemeine Anforderungen an den IT-Reifegrad einer Organisation stellen.
VIELE POLICEN MIT WENIG AUFWAND ZU HABEN
Sehr differenzierte Definition von Umsatzklassen
Die Anforderungen an IT-Sicherheitsstandards sind zunächst abhängig von der Branche und dem Umsatz eines Unternehmens. In Bezug auf den Umsatz differenzieren etwa ein Drittel (35%) der Versicherer ihre Risikoprüfung anhand von Umsatzbändern. Das heißt, alle Unternehmen, die zur gleichen Umsatzgruppe gerechnet werden, müssen auch die gleichen Risikofragen beantworten, wobei branchenspezifische Zusatzfragen möglich sind.
Die Wahl von Umsatzbändern zeigt sich unter den analysierten Versicherern sehr heterogen. Insgesamt gibt es 14 verschiedene Umsatzbänder, die zwischen 2,5 und 100 Mio. Euro liegen. Das am häufigsten gewählte Umsatzband (29% der Versicherer) ist hierbei 0 bis 10 Mio. Euro Jahresumsatz. Es gibt aber auch Anbieter, die deutlich kleinere Umsatzgruppen (z.B. 0 bis 2,5 Mio. Euro) definieren.
Tendenziell steigen hierbei die Anforderungen, je höher der Jahresumsatz eines Unternehmens ist. Für die meisten Anbieter sind bei der Risikobeurteilung 10 Mio. Euro Umsatz eine wesentliche Grenze für mehr Fragen. Allerdings gibt es auch Ausnahmen. So stellt etwa ein Versicherer bei einem Jahresumsatz bis zu 10 Mio. Euro ähnlich viele Anforderungen bzw. Risikofragen wie andere Anbieter bei einem Umsatzband bis zu 50 Mio. Euro.
Für Makler wie Unternehmen empfiehlt es sich daher, die Risikoprüfung der Anbieter genau unter die Lupe zu nehmen und das Maß an Anforderungen vor diesem Hintergrund zu evaluieren. Nicht wenige Versicherer bieten Tarife, die mit relativ geringem Aufwand hinsichtlich der Beantwortung von Risikofragen verbunden sind.
HANDEL & PRODUKTION IM FOKUS
Risikofragen abhängig von Branche
Einige Anbieter lassen bei der Prüfung des IT-Reifegrades branchenspezifische Risikofragen mit einfließen. Spezifische Anforderungen betreffen insbesondere die Branchen Produktion und Handel. So fragen knapp ein Fünftel (18%) der Anbieter bei produzierenden Betrieben nach, ob eine Trennung von Informationstechnologie (IT) und operative Technologie (OT) vorliegt, und weiter, ob der Zugriff auf die entsprechenden Systeme über eine Multi-Faktor-Authentifizierung gesichert ist.
Beim Handel ist für gut zwei Fünftel (41%) der Anbieter die Angabe wichtig, welchen Teil der Online-Umsatz am Gesamtumsatz eines Unternehmens ausmacht. Diese Information ist hinsichtlich des Betriebsunterbrechungsrisikos besonders relevant und wird vermehrt auch bei Unternehmen anderer Branchen abgefragt. Hierbei zeigen sich jedoch sehr unterschiedliche Toleranzgrenzen. Während manche Anbieter einen Online-Umsatz zwischen 30-50 Prozent am Gesamtumsatz tolerieren, definiert ein Anbieter eine konkrete Summe als Grenze. Werden die gesetzten Grenzen überschritten, lehnen Anbieter den Antrag entweder ab oder erhöhen die zu zahlende Prämie.
NICHTS IST FÜR ALLE RELEVANT
Zwei Kategorien von Risikofragen
In ihren Risikofragen konzentrieren sich die Anbieter grundsätzlich auf zwei Kategorien: Technische und Allgemeine Risikofragen.
Die Technischen Risikofragen haben wir für mehr Übersichtlichkeit anhand der abgefragten Anforderungen in 19 und die Allgemeinen Risikofragen in 12 Unterkategorien aufgeschlüsselt. Auffallend ist, dass von allen untersuchten technischen und allgemeinen Risikofragen keine Kategorie von allen Versicherern abgefragt wird. Es gibt aber insbesondere bei den technischen Risikofragen einige Themen, die für die Mehrheit der Anbieter relevant sind und deshalb besonders häufig abgefragt werden. Die Top 5 der technischen Risikofragen haben wir im folgenden Teil genauer analysiert.
MANCHE MÖGEN ES GANZ GENAU
Top 5 der Technischen Risikofragen
Fünf Anforderungen an die IT-Sicherheit von Unternehmen haben sich als Standard etabliert und werden in der Folge von der Mehrheit der Versicherer abgefragt. Allerdings zeigen sich teils große Unterschiede in der Fragestellung auf. Während einige Anbieter mit ihren Fragen eher vage bzw. oberflächlich bleiben, fordern andere Anbieter konkrete und detaillierte Informationen zu bestehenden Sicherheitslösungen. An einigen Beispielen werden diese Unterschiede im Folgenden beleuchtet.
(1) Firewall und Antiviren-Lösung
Fast alle (94%) Versicherer fordern von Antragstellern eine aktive Firewall und Antiviren-Lösung. Während manche Anbieter lediglich vage danach fragen, ob eine Antivirensoftware im Einsatz ist, wollen andere Anbieter konkret Auskunft darüber, für welche IT-Systeme und Anwendungen Schutz vor Schadsoftware besteht, welche Firewallstrukturen verwendet werden (bspw. “Schutz auf Servern und Clients” sowie an “allen Netzübergängen zum Internet”), ob und in welcher Regelmäßigkeit Updates für Firewall und Antivirenprogramme durchgeführt werden.
Zwei Versicherer nennen in ihren Anforderungen sogar explizit die Notwendigkeit einer Endpoint Detection and Response (EDR) Sicherheitslösung, um nicht nur herkömmliche Malware zu erkennen, sondern darüber hinaus proaktiv Endgeräte auf potenziell verdächtiges Verhalten zu überwachen. Zusätzlich differenzieren einige Anbieter ihre Frage je nach Zugehörigkeit zu einem bestimmten Umsatzband. Bei höherem Jahresumsatz werden die Fragen tendenziell komplexer und mehr Anforderungen gestellt. So fordern mehrere Anbieter etwa automatische Update-Funktionen und ein Versicherer schließt Produkte des Unternehmens Kaspersky Lab als Schutzmaßnahmen aus.
Achten Sie darauf, dass sich Ihre Firewall und Antivirenlösung automatisch aktualisieren und idealerweise auch die Erkennung und Reaktion bei Anomalien (Endpoint Detection and Response, EDR) umfassen.
(2) Datensicherung
Eine Risikofrage zur Datensicherung stellen 88% Prozent der Versicherer. Auch hier zeigen sich deutliche Unterschiede in der Komplexität der Fragestellung. So wird einerseits lediglich sehr vage abgefragt, ob ein Antragsteller Backups durchführt. Andererseits gibt es aber auch Versicherer, die konkrete Informationen darüber haben wollen, welche Daten (“geschäftskritische” Daten von bspw. Mitarbeitern, Kunden, Geschäftspartnern) gespeichert werden, wo (bspw. Cloud oder offline) diese gespeichert werden, wie häufig (bspw. täglich oder wöchentlich) eine Datensicherung stattfindet und welche Merkmale die Sicherung sonst noch aufweist (bspw. manipulationssichere Aufbewahrung, Administratorenrechte oder wie viele Datengenerationen gespeichert werden). Zudem fragen drei Anbieter konkret nach einer mindestens jährlichen Prüfung auf Funktionsfähigkeit.
Stellen Sie sicher, für geschäftskritische Daten mindestens täglich eine Datensicherung durchzuführen, die Sie idealerweise manipulationssicher für mindestens einen Monat aufbewahren und jährlich auf Funktionsfähigkeit testen.
(3) Patchmanagement
Anforderungen an regelmäßige Softwareupdates decken 71% der Versicherer mit ihren Risikofragen ab. Während in einigen Fällen lediglich die Vorgabe besteht, dass vom Hersteller bereitgestellte Updates zeitnah eingespielt werden müssen, werden andere Anbieter wesentlich konkreter und fordern, dass Sicherheitspatches in einem bestimmten zeitlichen Rahmen nach Veröffentlichung (bspw. unverzüglich, nicht später als zwei Wochen, innerhalb von 30 Tagen, mindestens monatlich) installiert werden. In einigen Fällen ist zudem ein automatisierter Patchmanagement-Prozess gefordert und 18% der Versicherer konkretisieren, wo Updates aufgespielt werden müssen (“Computersystem”, “auf Servern und Clients”, “Betriebssystemen und Anwendungen”).
Geschäftskritische Sicherheitsupdates sollten auf allen Servern und Clients innerhalb von 14 Tagen standardmäßig aufgespielt werden. Wenn Sie Server selbst betreiben, sollten Sie dies ebenfalls für diese Betriebssysteme und geschäftskritische Dienste sicherstellen.
(4) Berechtigungskonzept
Mehr als die Hälfte (53%) der Versicherer prüft über die Risikofragen, ob ein Antragsteller ein funktionierendes Rechte- und Rollenkonzept als Schutzmaßnahme etabliert hat. Wird teils nur vage die Frage nach aktiven Zugangskontrollen gestellt, gehen viele Versicherer weiter und fordern abgestufte Rechtekonzepte mit administrativen Zugängen ausschließlich für IT-Verantwortliche sowie separate Benutzerkonten für administrative Aufgaben. Dass jeder Mitarbeiter nur über die für die eigenen Tätigkeiten notwendigen Berechtigungen und entsprechend passwortgeschützte Zugänge verfügt, hat sich in der Summe bei den meisten Anbietern als Mindestanforderung für die IT-Sicherheit etabliert.
Erlauben Sie administrative Zugänge ausschließlich Administratoren und stellen Sie sicher, dass diese Zugänge ausschließlich zur Erledigung administrativer Tätigkeiten vorbehalten sind. Darüber hinaus sollte es eine zusätzliche Trennung von Adminkonten zu Domain-Adminkonten und Cloud-Adminkonten geben.
(5) Fernzugriffe / Multi-Faktor-Authentifizierung
Fast jeder zweite (47%) Anbieter fordert von Antragstellern die Absicherung von Systemen durch eine Multi-Faktor-Authentifizierung (MFA). Im einfachsten Fall wird pauschal eine MFA verlangt, wohingegen einige Versicherer konkret darauf eingehen, welche Systeme (bspw. solche mit vertraulichen Unternehmens- und Mitarbeiterdaten oder alle Systeme, die über das Internet erreichbar sind) durch MFA gesichert sein müssen.
Manche Anbieter fordern zudem konkret, dass MFA für den externen Zugriff auf Unternehmens-E-Mails via Webportale oder Applikationen bestehen muss. Die Verbindung zu Firmennetzwerken über abgesicherte Zugangsmöglichkeiten wie VPN fordern lediglich zwei Anbieter. Ein Versicherer nimmt die MFA-Anforderungen nur für Unternehmen ab 25 Mio. Euro Jahresumsatz in seine Risikofragen auf.
Aktivieren Sie bei Fernzugriffen auf das Unternehmensnetzwerk und bei der Benutzeranmeldung zu geschäftskritischen Cloud-Diensten und Online-Anwendungen, wie Web-Mail oder Sharepoint, mindestens eine Zwei-Faktor-Authentifizierung (2FA).
IM SCHADENFALL LIEBER KONKRET
Vage versus spezifische Risikofragen
Die Wahl zwischen spezifischen oder vagen Risikofragen hängt von den konkreten Zielen und Bedürfnissen des einzelnen Versicherers sowie Versicherungsnehmers ab. Beide Fragetypen bieten Antragstellern sowohl Vor- als auch Nachteile, wobei unter dem Strich sowohl für Versicherer als auch Unternehmen gelten kann: Je konkreter die Formulierung einer Risikofrage, desto mehr Sicherheit besteht hinsichtlich der Anforderungen bei beiden Parteien. Dies schafft Klarheit in der Schadenbearbeitung und vermeidet Deckungsstreitigkeiten.
Pro spezifische Fragen:
- Genauere Risikobewertung: Spezifische Fragen führen im Idealfall zu detaillierten Antworten, die es dem Versicherer erlauben, eine präzise Risikobewertung und eine genauere Prämienkalkulation durchzuführen.
- Vermeidung von Missverständnissen: Antragsteller geben detailliert Auskunft und laufen nicht Gefahr, dass wichtige Details übersehen oder zu ihrem Nachteil falsch interpretiert werden.
Contra spezifische Fragen:
- Überlastung des Versicherungsnehmers: Vage Fragen können den Prozess der Antragstellung vereinfachen und den Versicherungsnehmer weniger belasten, insbesondere wenn dieser über begrenztes Fachwissen verfügt oder keinen hohen IT-Reifegrad hat.
- Mangelnde Flexibilität: Eine vage Formulierung bietet eine flexiblere Auslegung der Anforderung und vermeidet so die Pflicht unterjährige Veränderungen direkt an den Versicherer zu melden (Stichwort: Gefahrerhöhung)
SCANS MACHEN SCHULE
Aktuelle Entwicklungen
Schwachstellenscans etablieren sich als Instrument zur Risikoprüfung
Externe Sicherheitsüberprüfungen, mit denen die IT-Infrastruktur von Organisationen über das Internet auf potenzielle Einfallstore für Cyber-Kriminelle untersucht wird, nehmen immer mehr an Bedeutung zu und unterstützen Versicherer bei der Risikobeurteilung. Schwachstellen, die im Zuge dieser Scans entdeckt werden, können die Qualität des Versicherungsschutzes beeinflussen und womöglich Nachbesserungen notwendig machen. Unternehmen, die ein gutes Ergebnis erzielen, haben in der Regel eine größere Auswahl und eine bessere Verhandlungsposition hinsichtlich der Versicherungsbedingungen.
Ein Nebeneffekt der Scans ist, dass Unternehmen meist weniger Risikofragen beantworten müssen. Einige Anbieter stellen die Ergebnisse der Scans auch zur Verfügung und ermöglichen es den geprüften Unternehmen, Schwachstellen einzusehen und zu beheben. Aktuell herrscht jedoch noch rechtliche Unklarheit darüber, ob negative Scan-Ergebnisse und eine ausbleibende Behebung von Schwachstellen im Schadenfall nicht zum Nachteil des Versicherungsnehmers ausgelegt werden könnten.
Vor allem neue Marktteilnehmer nutzen vermehrt Scan-Technologien und tragen dazu bei, dass sich Scans, neben bereits bekannten Risikoaudits und Fragebögen, als weiteres optionales Instrument der Risikoprüfung etablieren. So nutzen auch drei von drei neuen Anbietern auf unserem CyberDirekt-Marktvergleich die Scan-Technologie zur Beurteilung der IT-Sicherheit von Antragstellern.
Mitarbeiterschulungen bekommen immer mehr Relevanz
Die meisten Anbieter legen immer mehr Wert auf regelmäßige Mitarbeiterschulungen bzw. Maßnahmen zur Erhöhung des Bewusstseins für Cyber-Risiken bei Mitarbeiterinnen und Mitarbeitern in Unternehmen. Sieben von 17 (41%) Anbietern schließen diese Anforderung im Rahmen ihrer Risikoprüfung mit ein. Im Gegenzug werden von einigen Versicherern regelmäßig durchgeführte IT-Sicherheitstrainings für Beschäftigte mit verbesserten Vertragsbedingungen honoriert. So wird beispielsweise eine Reduzierung des Selbstbehaltes um bis zu 50% je Schadenfall geboten, wenn mindestens einmal jährlich entsprechende Trainings durchgeführt werden.
Unser Fazit
Auch in diesem Jahr ist der Markt für Cyberversicherungen äußerst dynamisch. Die fortschreitende Digitalisierung und die rasante Weiterentwicklung neuer Technologien bieten Unternehmen neue Chancen, bergen aber auch steigende Cyber-Risiken. Der Versicherungsmarkt verfolgt diese Veränderungen genau und viele Anbieter nehmen ihre Erkenntnisse zum Anlass, ihre Produkte entsprechend anzupassen. Rund 85% der Versicherer haben dies in den ersten drei Quartalen in 2024 getan, sei es durch Anpassungen in den Bedingungen, Kapazitäten, Risikoprüfungen oder Prämien.
Wie unsere Analyse zeigt, legen Versicherer zunehmend Wert auf Mindeststandards in der IT-Sicherheit. In der Summe haben fast alle Versicherer ihre Anforderungen erhöht und den Umfang ihrer Risikofragen entsprechend ausgeweitet, um den IT-Reifegrad von Unternehmen besser bewerten zu können. Allerdings unterscheiden sich aufgrund unterschiedlicher Schadenerfahrungen die Risikofragen der einzelnen Anbieter deutlich. Während für die einen vor allem technische Themen wie Antivirenlösungen, Datensicherung oder Patchmanagement stärker in den Fokus rücken, priorisieren die anderen eher allgemeine Themen wie die Vertragshistorie oder den Umgang mit sensiblen Daten.
Das Resultat ist ein Dschungel aus Risikofragen, den es für Makler und Unternehmen zu bezwingen gilt. Neben dem Preis und der Leistung müssen deshalb bei der Wahl der richtigen Cyberversicherung auch die Risikofragen verstärkt in den Fokus rücken. Denn diese sind die entscheidende Hürde, die es für eine erfolgreiche Absicherung des Unternehmens zu nehmen gilt und Unsicherheit in der Schadenregulierung erspart. Mehr Risikofragen sollten dabei nicht von Anbeginn ein Ausschlusskriterium sein. Einige Versicherer stellen zwar auf den ersten Blick (zu) viele Fragen, jedoch lassen sich diese verhältnismäßig einfach beantworten. Während andere Anbieter zwar nur wenige Fragen in ihre Risikoprüfung aufnehmen, in diesen aber sehr detaillierte Anforderungen abfragen, die vom Antragsteller gegebenenfalls nicht vollständig erfüllt werden.
In jedem Fall sollte die Beantwortung der Risikofragen mit großer Sorgfalt erfolgen, um Konflikte mit dem Versicherer (und dem Gesetz) zu vermeiden. Werden grob fahrlässige Angaben gemacht, eingeforderte Informationen bewusst verschwiegen oder liegt gar eine arglistige Täuschung vor, können hieraus erhebliche Nachteile für den Versicherungsnehmer entstehen. Diese reichen von einer sofortigen Kündigung des Vertrages über den Wegfall der Leistungspflicht bis hin zur Rückforderung bereits gezahlter Leistungen und ggf. gar einer strafrechtlichen Verfolgung im Falle von Betrugsverdacht.
Grundsätzlich geht eine gute Absicherung einher mit Investitionen in die eigene IT-Sicherheit. Manche Anbieter schaffen von sich aus Anreize für diese Investitionen, indem sie Rabatte auf Prämienzahlungen oder den Selbstbehalt gewähren. Hier wäre es wünschenswert, wenn zukünftig weitere Versicherer diesem Beispiel folgen. Dies würde gerade kleinen und mittelständischen Unternehmen zugutekommen, die oftmals mangels Ressourcen noch keine hohe IT-Resilienz vorweisen können. Spezialmakler können hier helfen und sind hier auch in der Pflicht, Kunden die wachsende Bedeutung der IT-Sicherheit für den Abschluss einer Cyberversicherung zu vermitteln und ihnen entsprechende Möglichkeiten zur Schaffung höherer IT-Resilienz aufzuzeigen.
Zu guter Letzt lohnt ein Blick auf die Risikofragen der Versicherer selbst für diejenigen Unternehmen, die aktuell (noch) keine Cyberversicherung abschließen möchten. Schließlich lassen sich aus den Schaden-erprobten Anforderungen der Versicherer konkrete Rückschlüsse ziehen, wie die eigene IT-Sicherheit ein “versicherbares” Mindestmaß erreicht.
Hintergründe und Aktuelles zum Thema Cyber-Sicherheit
Besuchen Sie unseren Ressourcen-Hub
Finden Sie Whitepaper, Studien, Webinare und
andere Ressourcen zum Thema Cyber-Sicherheit.
Wie ist eine Cyberversicherung aufgebaut?
Was verbirgt sich hinter Eigenschäden, Drittschäden, Betriebsunterbrechung und unterstützenden Maßnahmen?
So reagieren Sie richtig bei einem Cyber-Angriff
Lernen Sie die fünf wichtigsten Schritte, um die Auswirkungen einen Cyber-Attacke so gering wie möglich zu halten.