Cybercrime-Risiken bei Ihren Unternehmerkunden und Kreditengagements

Cybercrime ist ein wichtiges Thema für Unternehmen, und das nicht erst, seit der Branchenverband Bitkom jedes Jahr den geschätzten Schaden durch Cyberangriffe öffentlich macht – aktuell jährlich 206 Milliarden Euro, davon allein 72 % durch reine Cyberattacken. Zum Größenvergleich: Das deutsche BIP lag 2023 bei 4.122,2 Milliarden Euro. Oder noch anders ausgedrückt: Wäre dieser Schaden eine Branche, wäre sie die sechstgrößte in Deutschland.

Automobilindustrie – 506,15 Milliarden Euro
Chemisch-pharmazeutische Industrie – 261,2 Milliarden Euro.
Maschinenbau – 244 Milliarden Euro.
Elektrotechnikbranche – 225 Milliarden Euro.
Ernährungsindustrie – 219 Milliarden Euro.

Dennoch wird dem Thema in Gesprächen zwischen Finanzberatern und Familienunternehmen bislang wenig Aufmerksamkeit geschenkt. Warum das so ist und wie Sie als Finanzdienstleister das Thema bei diesen wichtigen Kunden forcieren können, erfahren Sie heute in diesem Artikel.

Die Cybercrime-Sachlage

Im deutschsprachigen Raum gibt es aktuell vier Arten, wie Unternehmer auf das Thema Cybercrime blicken:

Kein Gespür für Cybersicherheit und die eigene Angreifbarkeit
Wichtig, aber niedrige Priorität, weil andere Schwerpunkte im Tagesgeschäft
Erkenntnis und Wille vorhanden, aber es fehlt das interne Personal in Quantität und Qualität
Schutz gegen Cybercrime bereits umgesetzt

Bei Unternehmern der ersten drei Arten merkt man immer wieder, dass es meist bei Absichtsbekundungen bleibt, wenn man als Finanzberater das Thema anspricht. Vonseiten der Finanzdienstleister wird das Thema nämlich durchaus angesprochen, meist im Rahmen der Jahres- und Strategiegespräche. Und auch an Unternehmerveranstaltungen zu diesem Thema geizt die Finanzindustrie bei weitem nicht. Vorträge jeglicher Couleur inkl. Live-Hackerangriffe etc. wurden und werden von nahezu jedem Institut, jeder IHK und jedem Branchenverband angeboten. Doch aus den oben genannten Gründen kommt es oft nicht zur Umsetzung.

Um zu verstehen, wie wichtig das Thema ist, reicht es bereits, mal den Telekom Sicherheitstacho zu verfolgen. Hier werden verwundbare Lockvogel-Systeme an das Internet angeschlossen, um in Echtzeit Cyberangriffe gegen diese vermeintlich lukrativen Ziele nachzuvollziehen.

Die EU hat bereits mit neuen Richtlinien wie NIS‑2 auf das gestiegene Cybersicherheits-Risiko reagiert und es gibt klare Vorschriften, die festlegen, inwieweit bei angriffsbedingten Schäden auf schlecht geschützte Systeme eine Geschäftsführerhaftung besteht.

Gerade in mittelständischen Betrieben hält sich hartnäckig die Annahme, dass Cybersicherheit nur ein Thema für Großunternehmen ist. Ein Trugschluss, selbst wenn wir die gehäuften Schäden durch Ransomware-Angriffe in den letzten Jahren ignorieren. Denn auch die „Kleinen“ sind oft mit den „Großen“ eng verwoben. Als Zuliefererbetrieb bekommt man zum Beispiel geheime Produktionsdetails von seinen Kunden – also kann man im Gegenzug zu Cybersicherheits-Maßnahmen verpflichtet werden. Ähnlich haben wir es beim Thema ESG und Nachhaltigkeit gesehen.

Was kann geleistet werden?

Wie bei ESG und Nachhaltigkeit sieht man als Außenstehender auch oft nicht das ganze Bild von der Situation der Unternehmer. Da wird dann davon ausgegangen, dass eine Firma nur wollen muss, um sich abzusichern. Dass aber nicht jeder Betrieb jederzeit Top-IT-Fachkräfte finden bzw. jeden Preis für externe Dienstleister zahlen kann – das verstehen die Wenigsten.

Ich sehe oft, dass sich Geschäftsführer/Unternehmer mit ihren kaufmännischen Leitern, IT-Chefs und Firmenkundenberatern, häufig flankiert durch richtig gute Versicherungskollegen „vom Fach“, zusammensetzen, um das Thema durchzudiskutieren. Aber wirklich in die Tiefe können sie alle nicht gehen, weil keiner von ihnen ein ausgewiesener Sicherheitsexperte ist. Als Finanzberater kann man in letzter Instanz oft doch nur eine Cyberversicherung anbieten, für die der Kunde jedoch bei genauer Prüfung gar nicht qualifiziert ist, weil diese bereits zum Schutz des Versicherers eine gewisse IT-Sicherheit voraussetzt. Doch um diese Sicherheitsvorkehrungen in die Wege zu leiten, benötigt es wiederum fachkundige Experten, die Angriffsvektoren identifizieren und ganzheitliche Sicherheitslösungen ausarbeiten. Und zu den Angriffsvektoren zählen nicht nur Phishing-E-Mails, sondern auch Zukunfts-Risiken – zum Beispiel täuschend echte Deep-Fake-Videoanrufe, wie sie vor kurzem einem Unternehmen in Hong Kong zum Verhängnis wurden.

Wir müssen aber gar nicht ins so weit entfernte Hong Kong schauen. Erst neulich berichtete mir ein Experte aus der IT-Cyber-Security-Branche, dass bei einem fingierten Angriff in einem Familienunternehmen 46 von 50 Mitarbeiter des Unternehmens nicht nur die täuschend echte, perfekt formulierte E‑Mail geöffnet haben, sondern ein großer Teil dann auch noch routiniert Logindaten eingegeben hat. Eben weil alles so „richtig“ und „echt“ aussah. Folge: Der – in diesem Fall fingierte – Angreifer hatte innerhalb von Minuten Zugang zum gesamten Unternehmen inkl. Geheiminformationen. Und auch die Möglichkeit, alles komplett „abzuschließen“.

Ein anderer Cyber-Experte berichtete mir, dass allen Mitarbeitern einer Firma eine „ganz ganz tolle App“ angepriesen wurde, mit der man aus seinem Selfie ein eigenes Emoji machen kann. Es kam, wie es kommen musste. Zahlreiche Personen haben ohne zu zögern die App heruntergeladen. Ohne zu hinterfragen, warum eine Bildgenerator-App Zugriff auf Kontakte, Dateien, Musik etc. haben möchte (schauen Sie dazu gerne auch mal in unseren Artikel zu Temu).

Gehen wir mal davon aus, dass entsprechendes Fachpersonal gefunden werden konnte und eine Versicherung umsetzbar ist. Dann ist es im Weiteren wichtig, zu wissen, dass sich die Versicherungsbedingungen oft nur auf den Lösegeldbetrag beziehen. Verlangt eine Ransomware-Gruppe also 10.000 Euro in Kryptowährung, dann zahlt die Versicherung diese 10.000 Euro. Doch was, wenn die Firma aufgrund des Angriffs wochenlang komplett von ihren Systemen abgeschnitten ist? Was, wenn hochsensible Daten entwendet wurden wie es zum Beispiel bei Motel One vor kurzem geschehen ist? Was, wenn keine Backups zur Wiederherstellung der Systeme bereitstehen? Was, wenn Lieferfristen nicht eingehalten werden konnten (wodurch enorme Strafzahlungen entstehen), wenn E‑Mail-Konten gesperrt und Telefonnummern abgeschaltet wurden etc.? Viele Versicherungen springen für diese kaum voraussehbaren kaskadierenden Kosten gar nicht ein. Wie leicht das zur Insolvenz führen kann, ist nach meiner Einschätzung noch nicht tief im Bewusstsein vieler Unternehmer verankert – und auch nicht in den Kreditprozessen der Banken. Oder rechnen Sie, liebe Leserinnen und Leser aus den Bereichen Vorstand, Banksteuerung, Risikomanagement und Marktfolge-Aktiv (Kreditabteilung) automatisch mit entsprechenden Kreditausfällen, wenn die Kunden-Systeme nicht ausreichend geschützt sind? Was passiert dann eigentlich, wenn ein Unternehmen durch so einen Angriff zahlungsunfähig wird und Sie einen Kreditausfall, sagen wir mal in Höhe von 5 Mio. Euro zu verzeichnen haben und abschreiben müssten? Wie würde die BaFin in so einem Fall mit Ihnen diskutieren, wenn sich z.B. herausstellt, dass in den Kreditbedingungen so eine Absicherung nicht verankert wurde?

Der Aufwand für den Unternehmer

Stellen Sie sich vor, Ihr Kunde befindet sich inmitten eines groß angelegten Wertschöpfungsprozesses. Dann bekommt er als Zulieferer von seinen Kunden Vorgaben gemacht, welche Maßnahmen er in den Bereichen ESG und Nachhaltigkeit durchzuführen hat. Diese Anforderungen treffen womöglich auf eine IT-Infrastruktur, die gar nicht in der Lage ist, sie logistisch zu erfassen. Also muss eine komplett neue IT-Infrastruktur aufgebaut werden, um ESG- und Nachhaltigkeitssoftware zu installieren. Dadurch enthält das gesamte System wiederum noch mehr sensible Daten über Abläufe, Lieferketten, Mischverhältnisse, Wareneinsatz etc. – und wird immer interessanter als Ziel für Cyberkriminelle. Also fordert der Kunde wiederum ein, dass der Zulieferer nun ein gewisses Level an Cybersicherheit vorweisen muss… Diese Vorgabe wird mit Sicherheit weit über das Maß einer Absicherung gegen Massenspams hinausgehen. Denn dann geht es um gezielte Spionage, Sabotage und Erpressung.

Und jetzt stellen Sie sich vor, all diese Komplexitäten treffen auf ein Unternehmen mit 50 Mitarbeitern. Ein Unternehmen, in dem vielleicht nur eine einzige Person für die IT verantwortlich ist – und das auch nur, weil sie unter allen Mitarbeitern noch am wenigsten ahnungslos ist, wenn es um Detailfragen der Informatik geht. Oder böse ausgedrückt: Die Person bekommt schon Herzrasen, wenn es wieder ein Softwareupdate gibt und es nicht sofort funktioniert.

Was bedeutet das für Finanzdienstleister?

Die gesteigerte Notwendigkeit von Cybersicherheit kann Ihrem Institut zusätzliche Erträge versprechen – durch Kredite oder Versicherungen. Allerdings erfordert sie auch, dass Sie Ihre Kreditengagements überprüfen. Denn gehen Ihre Kreditnehmer aufgrund eines Cyberangriffs insolvent, dann bleiben Sie hinterher auf Ihrem Kreditengagement sitzen, wie oben skizziert.

Ich rate Ihnen, sowohl im Interesse Ihrer Unternehmerkunden als auch in Ihrem eigenen Interesse, Ihre Unternehmerkunden über die Risiken eines Cyberangriffs zu informieren. Da viele Unternehmer erfahrungsgemäß diese Informationen aufnehmen, aber dann nicht handeln, kann es sinnvoll sein, hier Dienstleister einzuschalten, die zum Beispiel (mit Einverständnis!) Angriffspunkte beim Unternehmen suchen. Viele Dienstleister, die diesen Service anbieten, bieten dann auch Schulungen an („Nicht auf Links in E‑Mails klicken“), nehmen Sicherheitsupdates für den Kunden vor oder überwachen die IT des Unternehmens sogar durchgehend. Lassen Sie Ihre Unternehmerkunden nicht mit der Erkenntnis allein, sondern bieten Sie gleich Lösungen mit an, die über eine Versicherung hinausgehen, sodass die eigentlichen Auslöser und nicht nur die Symptome bekämpft werden können!