Cyber- und Vertrauensschäden: Laissez-faire trifft auf kriminelle Energie

Wenn man die Corona-Pandemie auch einmal positiv betrachten möchte, wird von vielen die Flexibilisierung der Arbeitswelt als Argument vorgebracht. Statt jeden Tag ins Büro zu müssen, haben viele Angestellte ihre Arbeit ins heimische Wohnzimmer verlegt. Kommuniziert mit den Kollegen wird per E-Mail oder Messenger, Meetings und Präsentationen können bequem aus den eigenen vier Wänden wahrgenommen werden.  

Es ist nicht weniger als eine Revolution der Arbeitswelt, deren Auswirkungen auch nach Ausklingen der Pandemie weiter Bestand haben werden. Laut einer Umfrage des Fraunhofer Instituts unter 500 Unternehmen gab die große Mehrheit (71 Prozent) an, ihren Angestellten auch nach der Pandemie Home-Office ermöglichen zu wollen. Unternehmen wie Vodafone wollen ihren Mitarbeitern vollkommen freistellen, von wo sie arbeiten wollen – ob im Büro, von zuhause oder von jedem anderen Ort ist den Mitarbeitern dabei freigestellt.  

Diese Freizügigkeit birgt jedoch auch ihre Risiken. Denn noch immer haben sich zahlreiche Unternehmen nicht oder nur unzureichend auf die Risiken des mobilen Arbeitens eingestellt. „Nur acht Prozent der Unternehmen, in denen mobil gearbeitet wird, haben ihre IT-Sicherheits- und Datenschutzregeln überarbeitet. Nur sieben Prozent haben in zusätzliche IT-Sicherheit investiert“, erklärt GDV-Hauptgeschäftsführer Jörg Asmussen und beruft sich dabei auf mehrere Umfragen, die der Verband zum Thema in Auftrag gegeben hat.

Riskant sei es vor allem, wenn Unternehmen ihren Angestellten erlauben, ihre Arbeit mit privaten Laptops oder Tablets zu verrichten – Geräte, die in der Regel wesentlich schlechter geschützt sind als die firmeneigene IT, warnte Hiscox-Manager Ole Sieverding auf einer GDV-Veranstaltung an diesem Dienstag. Welche Probleme hieraus resultieren können, machte Sieverding, der auch Mitglied der GDV-Projektgruppe Cyberversicherung ist, an einem konkreten Beispiel deutlich.  

Ein Arzt hatte sich mittels Fernzugriffssoftware einen Zugriff auf seinen Praxis-Rechner eingerichtet. Eines Tages merkte er, wie seine Maus verrückt spielte und sich ohne sein Zutun zahllose Fenster auf seinem Desktop öffneten. Eine Analyse durch den Versicherer ergab, dass Unbekannte einen sogenannten „Keylogger“ auf dem Privat-PC des Arztes installiert hatten – mit diesem Programm war es den Tätern möglich, die Tastatureingaben des Arztes nachzuvollziehen und auf diese Weise dessen Passwörter auszulesen. So gewannen die Täter auch Zugriff auf den Dienst-PC des Arztes und damit auch auf sämtliche sensible Daten seiner Patienten. Der Schaden lag laut Sieverding im mittleren fünfstelligen Bereich – der Vertrauensverlust seitens der Patienten noch nicht eingerechnet.  

Kein Einzelfall. In vielen Fällen machen es die Firmen Cyber-Kriminellen sehr leicht. Laut GDV-Umfragen lässt es jedes zweite Unternehmen zu, dass die mobile Arbeit auf privaten Geräten erledigt wird. In einem Viertel der Unternehmen werden Messenger-Dienste wie WhatsApp zur internen Kommunikation genutzt. Jedes zwanzigste Unternehmen gestattet es sogar, dass ihr Mitarbeiter geschäftliche E-Mails von ihren privaten Accounts verschicken. „Cyberkriminelle nutzen die neuen Schwachstellen ganz gezielt für ihre Angriffe aus“, warnt Sieverding, der vielen Unternehmen immer noch eine mangelnde Risikowahrnehmung diagnostiziert.  

Seite 1: Firmen machen es Cyberkriminellen oft zu leichtSeite 2: Auswirkungen auf die Vertrauensschadenversicherung

Neben der Cyberversicherung hat das mobile Arbeiten auch Auswirkungen auf die Vertrauensschadenversicherung. „Treiber sind hier die Compliance-Vorschriften“, erklärt Rüdiger Kirsch, Betrugsexperte beim Kreditversicherer Euler Hermes. Gemäß dem Motto „Im Dunkeln ist gut munkeln“ werden insbesondere Betrügereien durch die eigenen Mitarbeiter wesentlich erleichtert – schließlich entfällt beispielsweise das Risiko, beim Fälschen von Rechnungen von einem Kollegen überrascht zu werden, im Home-Office komplett.  

Auch das Risiko, Opfer von Betrügern von außerhalb des Unternehmens zu werden, ist durch das mobile Arbeiten größer geworden, berichtet Kirsch und präsentiert ebenfalls ein Beispiel. So war die Buchhalterin eines Krankenhauses von der privaten Mailadresse ihres Chefs dazu angewiesen worden, Zahlungen in Höhe von 350.000 Euro für angebliche Wertpapierkäufe freizugeben. Über den Vorgang sollte die Frau absolutes Stillschweigen bewahren, hieß es in der E-Mail ihres vorgeblichen Chefs. Die Buchhalterin tat wie ihr geheißen und überwies den Betrag auf ein ungarisches Konto – ohne Rücksprache mit ihrem Chef zu halten.  

Zwar konnte die Versicherung den Betrag später mithilfe eines auf derartige Fälle spezialisierten Anwalts sichern. Doch häufig ist in solchen Fällen das Geld verloren und der Täter auf und davon. „Die Chance, das Geld zurückzuholen, besteht vielleicht in 30 Prozent der Fälle. In den übrigen Fällen bleiben die Unternehmen auf dem Schaden sitzen“, so Kirsch.  

Dabei wären derartige Fälle leicht zu vermeiden. „So waren im vorliegenden Fall sowohl der CEO als auch der CFO telefonisch zu erreichen“, berichtet Kirsch. „Allerdings hatte die Buchhalterin die privaten Telefonnummern der beiden Manager nicht.“ Zum anderen zeigt sich an diesem Fall, dass Unternehmen bestehende Compliance-Regeln im mobilen Arbeiten nicht vollständig befolgen, sondern „flexibel“ auslegen. Laut GDV-Umfrage ist das bei zwölf Prozent der 300 befragten mittelständischen Unternehmen der Fall.  

Noch ist die große Schadenwelle bei den Vertrauensschadenversicherern ausgeblieben. So hätten die Versicherer im vergangenen Jahr zwar mehr Schadenfälle, jedoch geringere Schadensummen verzeichnet. In diesem Jahr deuten die ersten Monate jedoch auf eine deutliche Zunahme bei der Schadenshöhe hin. Zudem, bemerkt Kirsch, würden viele Schäden erst zeitverzögert nach Monaten oder gar Jahren festgestellt. Gut möglich also, dass die große Corona-Schadenwelle erst noch kommt.

Seite 1: Firmen machen es Cyberkriminellen oft zu leichtSeite 2: Auswirkungen auf die Vertrauensschadenversicherung

Wenn Ihnen dieser Artikel gefällt, abonnieren Sie unseren täglichen kostenlosen Newsletter für weitere relevante Meldungen aus der Versicherungs- und Finanzbranche!