Yahoo Finanzen Munich-Re-Cyberexperte: „Viele Manager verdrängen die Gefahr eines Hackerangriffs"
Der Munich-Re-Vorstand Torsten Jeworrek über die Bedrohung durch Cyber-Attacken und wie stark der Bereich bei Sicherheitsfirmen und Versicherungen wächst.
Für Munich-Re-Vorstand Torsten Jeworrek ist die Sache klar: Cyberrisiken gehören zu den größten Gefahren, die die digitalisierte und vernetzte Wirtschaft bedrohen, lautet sein Credo. Der promovierte Mathematiker kennt sich mit dem Thema aus wie nur wenige andere. Bei dem Rückversicherer ist er für den noch jungen Geschäftsbereich verantwortlich. Mit dem Handelsblatt sprach er über die neue Bedrohung und darüber, wie der Münchener Dax-Konzern damit umgeht.
Herr Jeworrek, die Apo-Bank wurde jüngst Opfer einer Cyberattacke. In den USA wurde die Großbank Capital One gehackt, wobei 100 Millionen Kundendaten gestohlen wurden. Sind Cyberangriffe der Bankraub des 21. Jahrhunderts?
Ja, leider muss man davon ausgehen. Es gibt einen signifikanten Teil von Cyberkriminellen, deren Anteil inzwischen schätzungsweise über 50 Prozent liegt, für die Cyberangriffe ein Geschäftsmodell sind. Viele Attacken sind einfach darauf ausgelegt, Daten von Kunden zu erlangen oder Informationen zu verschlüsseln, um damit später Geld zu erpressen.
Cyberangriffe sind ein kriminelles Geschäft geworden. Es gibt eine regelrechte Wertschöpfungskette, wo Programmierer Tools entwickeln und vermarkten, die von Hackern für Cyberangriffe eingesetzt werden. Teilweise werden dahinter auch staatliche und institutionelle Interessen vermutet.
Unterschätzen viele Firmen noch die Risiken?
Nun, wir sehen hier ja eine längere Entwicklung. Schon 2017 wurden mit dem Virus WannaCry länderübergreifend zahlreiche Firmen angegriffen. Wird das Problem dennoch unterschätzt? Im Prinzip ja, würde ich sagen. Viele Manager verdrängen die Gefahr. Mir wird das schon nicht passieren, denken noch viele. Häufig entspricht das Risikobewusstsein nicht der wirklichen Gefährdung. Beim Umdenken, dass wir uns als Unternehmen, aber auch als Privatpersonen besser schützen müssen, hat sich zwar einiges getan. Aber es passiert immer noch zu langsam.
Was sollten Firmen, gerade aus der Finanzbranche, konkret tun, um sich zu schützen?
Am Ende geht es darum, drei Dinge im Griff zu haben. Erstens muss jede Firma technologisch das Möglichste dafür tun, die IT-Infrastruktur auf dem neuesten Stand zu halten und bei jedem Update sicherstellen, dass die Sicherheitsprozesse noch funktionieren. Zweitens müssen Sie die internen Unternehmensprozesse im Griff haben.
Allen im Unternehmen muss klar sein, wie man mit externen Daten und Sicherheitsstandards wie zum Beispiel dem Password-Management umgeht – das Mitarbeiterverhalten ist eines der größten Schlupflöcher für Angreifer. Und drittens sollte geklärt sein, was im Schadensfall passiert. Denn das Risiko, gehackt zu werden, können Sie nur minimieren, aber nicht komplett ausschließen.
Gerade viele Banken, aber auch Versicherer verfügen nur über eine veraltete IT. Macht sie das besonders angreifbar?
Ja, das kann durchaus sein. Unabhängig von der Branche gilt das in den Häusern, in denen es ältere Betriebssysteme und Programme gibt, die vielleicht nicht alle immer auf dem letzten Stand sind. Wenn das der Fall ist, dann schlummern dort möglicherweise einige unerkannte Risiken.
Viele Hacker haben sich professionalisiert und arbeiten mit modernster Technik. Ist es für die Unternehmen schwer, da mitzuhalten?
Es ist sicherlich ein Wettlauf, bei dem es darum geht, wer dem anderen einen Schritt voraus ist. Die Unternehmen müssen deshalb großen Aufwand in eine gute Cybersicherung stecken. Außerdem kooperieren wir bei Munich Re in dieser Frage mit verschiedenen Technologiefirmen, die Experten auf diesem komplizierten Feld sind. Gerade mittelständische Firmen mit kleineren IT-Abteilungen kommen bei diesen Themen möglicherweise schneller an ihre Grenze und sollten deshalb externe Hilfe in Anspruch nehmen.
Munich Re arbeitet auf dem Feld mit dem israelischen Cybersicherheitsunternehmen Team 8 und der US-Cyber-IT-Firma DXC Technology zusammen. Wie sieht diese Kooperation konkret aus?
Wir müssen anerkennen, dass der bisherige Versicherungsansatz bei Cyberversicherungen nicht wie gewohnt funktioniert. Normalerweise sammeln wir Versicherer über Jahrzehnte Daten und Erfahrungen und leiten davon eine Risikobewertung und Preissetzung für die Zukunft ab. Doch Cyber ist anders.
Hier ändert sich alles so schnell, dass Daten von vor fünf oder zehn Jahren nicht taugen, um die Gefährdung unserer Kunden in naher Zukunft vorherzusagen. Deshalb sammeln wir nicht nur Daten, sondern setzen uns auch mit Profis und Technologiefirmen wie Team 8 zusammen, um das Risiko besser zu verstehen. Außerdem wollen wir gemeinsam Cyberlösungen entwickeln, die dann in den Markt gebracht werden können.
Was kann denn da ein Versicherer wie die Munich Re bieten, was Sicherheitsfirmen wie Kaspersky nicht besser können?
Ich glaube, dass jeder hier seine berechtige Rolle hat: Die Sicherheitsfirmen sind natürlich stark auf der Technologieseite unterwegs, und unsere Partner wie Team 8 aus Israel verstehen von diesem Thema jede Menge. Unsere Kompetenz bei Munich Re liegt dagegen eher in der Frage, wie man solche Lösungen in die Märkte bringt und wie die finanziellen Auswirkungen auf die Kunden bei einem Schadensfall minimiert werden können.
Im vergangenen Jahr schätzte die Munich Re, dass das Marktvolumen für Cyberversicherungen bis zum Jahr 2020 auf acht bis neun Milliarden US-Dollar ansteigt. Hält Ihr Optimismus weiter an?
Ja, auf jeden Fall. Daran glauben wir fest: Wir werden im laufenden Jahr vermutlich bis zum Jahresende bereits ein Niveau von weltweit knapp 6,8 Milliarden Dollar erreicht haben. Auf dieser Basis sind wir von unserer Prognose nicht weit entfernt, wenn man das starke Wachstum in diesem Segment berücksichtigt.
Versicherer bieten allerdings nicht nur Schutz vor Cyberattacken, sondern werden als Konzerne mit einem großen Datenschatz auch häufig attackiert. Wie häufig gibt es bei Ihnen Hackeralarm?
Jeden Monat registrieren wir mehr als 100.000 Versuche. Da sind viele simple Attacken dabei, die im System hängen bleiben. Aber auch Angriffe, die mehr Kopfzerbrechen bereiten. Allerdings lassen wir uns zusätzlich auch mitunter absichtlich attackieren von IT-Spezialisten, die wir selbst beauftragt haben, um mehr über unsere Schwächen zu lernen.
Herr Jeworrek, vielen Dank für das Interview.
