Ein Anruf genügt.
Den Rest erledigen wir.
Penetrationstests, Red Teaming, Sicherheitsaudits, Härtung und Incident Response. Wir platzieren die IT-Haftpflicht, die Betriebshaftpflicht mit Tätigkeitsschäden am getesteten System und Cyber bei Versicherern, die Sicherheitsdienstleister zeichnen.
Erzählen Sie uns von Ihrem Betrieb.
Persönliche Rückmeldung werktags innerhalb einer Stunde.
Was ist eine Versicherung für IT-Sicherheitsdienstleister?
Eine Versicherung für IT-Sicherheit und Penetrationstests ist das Paket aus der IT-Haftpflicht, der Betriebshaftpflicht mit Tätigkeitsschäden, Cyber und der Büroausstattung. Ihre Betriebsart hat eine Eigenheit, die keine andere hat: Die Grenze zwischen Leistung und Straftat ist die Beauftragung. Strafbar ist, wer unbefugt Zugang zu besonders gesicherten Daten verschafft. Mit Auftrag ist derselbe Vorgang Ihre Dienstleistung. Deshalb ist Ihr eigentliches Risiko nicht die Technik, sondern die Reichweite der Erlaubnis und was Sie beim Testen kaputt machen.
IT-Haftpflicht für Prüffehler
Die übersehene Lücke, die falsche Risikoeinschätzung, die Freigabe eines Systems, das kurz darauf kompromittiert wird. Reine Vermögensschäden, und prüfende Tätigkeit nimmt die Betriebshaftpflicht ausdrücklich heraus.
Betriebshaftpflicht mit Tätigkeitsschäden
Der Test, der ein Produktivsystem lahmlegt, die Datenbank, die ein Fuzzing nicht übersteht. Arbeiten an fremden Systemen sind in Standardbedingungen ausgeschlossen und müssen zurückgekauft werden.
Cyber, Daten und Befunde
Sie halten die Schwachstellenberichte Ihrer Kunden im Haus, also die Bauanleitung für einen Angriff auf sie. Ein Abfluss bei Ihnen trifft alle Ihre Kunden gleichzeitig.
Büro, Labor und Ertragsausfall
Arbeitsplätze, Testlabor, Geräte und Einrichtung gegen Feuer, Leitungswasser und Einbruch, mit Ertragsausfall im selben Vertrag.
Wer braucht eine Versicherung für IT-Sicherheitsdienstleister?
Tests an Produktionsanlagen und Medizintechnik, Arbeiten in kritischen Infrastrukturen und Aufträge außerhalb Europas betrachten wir gesondert.
Sie können trotzdem anfragen. Wir sagen Ihnen offen, ob und wie wir helfen können.
-
Penetrationstester
Die Reichweite der Beauftragung entscheidet über alles. Ein Test, der einen Host außerhalb des Scope erreicht, ist nicht mehr gedeckt und nicht mehr befugt.
-
Red Teams
Social Engineering und physische Zugänge berühren Persönlichkeitsrechte und fremdes Eigentum, nicht nur Systeme.
-
Auditoren und Zertifizierer
Wer ein System freigibt, wird nach einem Vorfall gefragt, ob er richtig geprüft hat. Der Vorwurf richtet sich auf die Prüfung, nicht auf den Angreifer.
-
Incident Response
Sie arbeiten unter Zeitdruck in einem beschädigten System, in dem jeder Eingriff Spuren vernichten kann.
-
Betriebe mit Kundenbefunden im Haus
Ihre Berichte sind die Angriffsanleitung für Ihre Kunden. Das macht Sie selbst zum attraktiven Ziel.
Eine Anfrage. Alle Versicherer. Das richtige Programm.
Expertise bei Sicherheitsdienstleistern
Wir sehen uns bei Ihnen zuerst die Beauftragung an und dann die Police, weil die eine ohne die andere wertlos ist. Ohne schriftliche Freigabe mit klarem Umfang fehlt Ihnen nicht nur die Deckung, sondern die Befugnis. Danach klären wir den zweiten Punkt: Schäden am getesteten System sind in Standardbedingungen ausgeschlossen, und bei Ihnen sind sie der naheliegende Fall.
Nachweise für Auftraggeber und Vergabe
Auftraggeber verlangen Deckungsnachweise, bevor sie Zugang gewähren, öffentliche Auftraggeber eine Haftpflicht in geeigneter Höhe. Eine gesetzliche Mindestsumme gibt es nicht. Wir liefern den Nachweis in der verlangten Form und prüfen, ob die Summe zum Wert der getesteten Umgebung passt.
Deckung, die zu Ihren Leistungen passt
Ein Betrieb mit Webtests braucht andere Summen als einer, der in Produktionsnetzen arbeitet. Wir fragen Testarten, Scope-Praxis, Produktivsysteme und Incident Response vorher ab, statt eine Standardpolice zu schicken.
Kein Vergleichsportal. Eine Ausschreibung.
Sechs Dinge, die für jede Anfrage gelten, unabhängig davon, was Sie versichern wollen.
Ein Rechner vergleicht Tarife. Wir schreiben Ihr Risiko aus.
Ein Vergleichsrechner fragt Eckdaten ab und zeigt Tarife dazu. Im Gewerbe entscheidet aber die Bedingung, nicht der Preis. Wir fragen bei den Versicherern an, die Ihren Betrieb zeichnen, auch bei denen ohne Onlinestrecke, und lesen die Bedingungen, bevor Sie unterschreiben.
Ihr Ansprechpartner kennt Versicherung aus der Praxis.
Fünf Jahre bei Marsh Deutschland, zuletzt als Client Executive für multinationale Unternehmen, danach zwei Jahre bei deas (Ecclesia Gruppe) für internationale Industrieprogramme.
Er kennt Deckung, Verhandlung und Schaden aus dem Maschinenraum und weiß, worauf ein Versicherer beim Beitrag schaut. Die Prüfung macht ein Mensch, Technologie nimmt ihm das Lesen und Aufbereiten der Unterlagen ab.
Häufige Fragen.
Welche Versicherungen brauchen IT-Sicherheitsdienstleister?
In der Regel die IT-Haftpflicht für Prüf- und Beratungsfehler, die Betriebshaftpflicht mit Tätigkeitsschäden am getesteten System, Cyber für die Befunde Ihrer Kunden und die Büroausstattung.
Ist eine Versicherung für IT-Sicherheitsdienstleister Pflicht?
Nein, eine Haftpflichtversicherung ist für IT-Sicherheitsdienstleister nicht gesetzlich vorgeschrieben. Pflicht sind die gesetzliche Unfallversicherung Ihrer Beschäftigten und die Kfz-Haftpflicht. Wichtiger als die Pflichtfrage ist bei Ihnen eine Grenze, die das Strafrecht zieht: Strafbar ist, wer unbefugt sich oder einem anderen Zugang zu Daten verschafft, die nicht für ihn bestimmt und gegen unberechtigten Zugang besonders gesichert sind. Das Wort unbefugt ist Ihre Geschäftsgrundlage. Eine schriftliche Beauftragung mit klar beschriebenem Umfang, benannten Zielsystemen und Zeitfenstern ist deshalb nicht Formalität, sondern die Voraussetzung dafür, dass Ihre Arbeit erlaubt und Ihre Deckung wirksam ist.
Was kostet eine Versicherung für IT-Sicherheitsdienstleister?
Das hängt vor allem von dem Umsatz, der Zahl der Tester, dem Anteil an Tests in Produktivumgebungen und daran, ob Sie Systeme förmlich freigeben ab. Eine belastbare Zahl gibt es nach dem ersten Gespräch, nicht aus einem Tarifrechner: Wir holen Angebote bei den Versicherern ein, die Ihren Betrieb zeichnen, und legen sie Ihnen nebeneinander. Das Erstgespräch kostet nichts.
Was passiert, wenn ein Test ein Produktivsystem lahmlegt?
Das ist Ihr naheliegender Schaden, und er ist in Standardbedingungen ausgeschlossen. Arbeiten an fremden Systemen und die daraus folgenden Vermögensschäden sind ausgenommen, und ein Ausfall im Produktivbetrieb bedeutet Stillstand beim Kunden. Dieser Rückkauf ist für Sie keine Option, sondern der Kern des Vertrags.
Wie wichtig ist der schriftliche Scope?
Er ist entscheidend, und zwar doppelt. Rechtlich trennt die Befugnis Ihre Leistung von einer Straftat; ohne Erlaubnis für ein System ist der Zugriff darauf unbefugt, auch wenn Sie es gut meinten. Versicherungsrechtlich gilt dasselbe in anderer Form: Was außerhalb der beauftragten Tätigkeit liegt, ist keine versicherte Tätigkeit. Ein Scope, der Hosts, Zeitfenster und Methoden benennt, schützt Sie an beiden Fronten.
Hafte ich für eine Lücke, die ich übersehen habe?
Möglicherweise ja, und das ist ein reiner Vermögensschaden. Wenn Ihr Kunde nach einem Vorfall sagt, Sie hätten die ausgenutzte Schwachstelle finden müssen, richtet sich der Vorwurf auf Ihre Prüfung. Entscheidend sind dann Methodik, Scope und Dokumentation. Die prüfende Tätigkeit nimmt die Betriebshaftpflicht ausdrücklich aus, deshalb braucht es die IT-Haftpflicht.
Warum brauche ich Cyber für mein eigenes Haus?
Weil Sie die Schwachstellenberichte Ihrer Kunden lagern, und das ist eine Angriffsanleitung gegen jeden einzelnen von ihnen. Ein Abfluss bei Ihnen ist deshalb nicht ein Schaden, sondern so viele, wie Sie Kunden haben. Versicherer fragen bei Ihnen besonders genau nach der eigenen Absicherung, und das zu Recht.
Ich bin schon versichert. Lohnt sich die Anfrage trotzdem?
Oft ja. Viele Verträge sind mit dem Betrieb gewachsen, ohne angepasst worden zu sein: neue Tätigkeiten, mehr Mitarbeiter, mehr Fahrzeuge, höhere Umsätze. Wir lesen Ihre bestehenden Policen mit Ihnen und sagen, was passt, was fehlt und was doppelt ist.
Zu speziell, zu schwierig,
zu spät dran?
Genau unser Fall. Sagen Sie uns, was Sie tun, und wir fragen jeden Versicherer an, der es zeichnet.
Inhaltlicher Stand: