Cyberreife als Erfolgsfaktor: EMEA auf dem Weg zur digitalen Resilienz

Trotz anhaltender Unterschiede zwischen den einzelnen Ländern hat Europa im Jahr 2024 einen Aufschwung in Hinblick auf Cybersicherheit erlebt. Der Markt entwickelte sich weg von datenzentrierten Vorschriften hin zu einem stärkeren Fokus auf Resilienz, insbesondere auf die Fähigkeit von Unternehmen, Cyberangriffen standzuhalten, sich schnell zu erholen und Betriebsunterbrechungen zu vermeiden. Wir beobachteten einen Fortschritt bei der effektiven Implementierung von Sicherheitskontrollen, insbesondere im Hinblick auf die Bewältigung und Wiederherstellung nach Ransomware-Angriffen. Ebenfalls festzustellen war die Weiterentwicklung des Cyberversicherungsmarktes, sowohl in Bezug auf Zeichnungskapazitäten und Deckungsumfang als auch im Zusammenspiel mit regulatorischen Anforderungen, die zunehmend zur Stärkung der Resilienz beitragen.

Europa war im Jahr 2024 von mehreren schweren, systemischen Cybervorfällen betroffen, verschärft durch zunehmende geopolitische Spannungen, die zur wachsenden Volatilität und erhöhten Risiken führten. Der britische National Health Service wurde im Verlauf des Jahres mehrfach Ziel von Angriffen, darunter im Juni eine Ransomware-Attacke auf einen Anbieter für pathologische Dienstleistungen. Dieser Vorfall hatte weitreichende Folgen: Termin- und Behandlungsausfälle, Verzögerungen bei Bluttransfusionen sowie gestörte Laborabläufe.1 Der Ausfall von CrowdStrike im Juli 2024 war ein eindrücklicher Beleg für das Schadenpotenzial vernetzter digitaler Lieferketten. Weltweit waren mehr als 8,5 Millionen Systeme betroffen. Der Ausfall legte über mehrere Tage hinweg Betriebsabläufe lahm und beeinträchtigte unter anderem den Flugverkehr, Krankenhäuser sowie Finanzdienstleistungen.2

Die zunehmende geopolitische Volatilität begünstigt das Auftreten aggressiverer, teils staatlich gesteuerter oder unterstützter Cyberakteure. Kritische Infrastrukturen rückten dabei verstärkt ins Visier. Zwischen Januar 2023 und Januar 2024 wurden weltweit mehr als 420 Millionen Cyberangriffe auf kritische Infrastrukturen registriert – im Schnitt rund 13 Angriffe pro Sekunde, mit unterschiedlichem Schweregrad.3 Diese Angriffe ereigneten sich weltweit, wobei die USA, gefolgt vom Vereinigten Königreich und Deutschland, besonders betroffen war.4 Angesichts der zunehmenden wirtschaftlichen Konkurrenz zwischen den USA und China ist künftig mit einem Anstieg kommerzieller Cyberspionage zu rechnen, die sich wahrscheinlich auch auf Europa auswirken wird. Viele Versicherungsgesellschaften reagieren bereits auf diese Entwicklungen. Am Markt herrscht zunehmend Einigkeit darüber, dass Schäden, die durch staatlich unterstützte Cyberangriffe verursacht werden, dann als nicht versicherbar gelten, wenn sie zu massiven oder systemischen Störungen führen, etwa solchen, die ein ganzes Land betreffen.

Technische Kontrollen werden strenger, doch die Risiken, durch die Abhängigkeit von Dritten, nehmen weiter zu.

Im Jahresverlauf hat sich eine engagiertere und resilientere Kundenbasis entwickelt, da Unternehmen erhebliche Fortschritte bei der Implementierung technischer Maßnahmen und der Absicherung digitaler Infrastruktur erzielt haben. Aon-Kunden in ganz Europa erzielten einen globalen Aon-Risikowert von 2,53 von 4 Punkten. Dieser Wert misst die Vorbereitung in sechs kritischen Bereichen der Cybersicherheit und ist eine wichtige Kennzahl. Die besten Ergebnisse erzielten die Unternehmen in den Bereichen Endpunktsicherheit, Netzwerksicherheit und Zugriffskontrolle. Wenig überraschend waren sie am schlechtesten auf das Management von Drittparteirisiken und die Stärkung der eigenen Geschäftsresilienz vorbereitet.

Cyber-Domains | EMEA-Daten 2024

Gesamtrisikobewertung 2.53

Ransomware-Angriffe hielten 2024 in ganz Europa an. Zwar haben die Strafverfolgungsmaßnahmen der letzten Jahre zur Zerschlagung von Ransomware-Gruppen geführt, aber auch Dutzende von Splittergruppen hervorgebracht und so das Umfeld destabilisiert.

Mit der zunehmenden Häufigkeit von Ransomware-Angriffen verlagerten die Angreifer ihren Fokus zunehmend auf kleinere Organisationen. Trotzdem ging die Schwere vieler Angriffe zurück, eine Entwicklung, die auf verbesserte Cybersicherheitskontrollen und eine höhere organisatorische Resilienz zurückzuführen ist. Weltweit sank der Anteil der gezahlten Lösegeldsummen im Verhältnis zu den geforderten Summen von 41 Prozent im Jahr 2023 auf 28 Prozent. Zudem verringerte sich die durchschnittliche Lösegeldsumme um 77 Prozent. Dieser Rückgang der Schwere der Angriffe ist zwar vielversprechend, dennoch macht die zunehmende Häufigkeit von Ransomware-Vorfällen deutlich, dass klare Leitlinien für die Meldung und Bearbeitung von Vorfällen unerlässlich sind.

Das Risiko durch Dritte, also potenzielle Gefahren, die von Lieferanten, Dienstleistern oder Partnern ausgehen, bleibt eine zentrale Herausforderung. Dieses Ergebnis sollte für viele Unternehmen ein Weckruf sein. Die Ereignisse des Jahres 2024 verdeutlichen die potenziellen Auswirkungen einer Sicherheitsverletzung durch Dritte auf nachgelagerte Bereiche.

Auch beim Management der Geschäftsresilienz – einschließlich Backups, Incident Response und Business Continuity Management – schnitten die Unternehmen unterdurchschnittlich ab. Phishing- und Social-Engineering-Angriffe nahmen im Jahr 2024 um ein Drittel zu und machten gemeinsam mit Identitätsdiebstahl und Account-Hacking fast ein Fünftel der primären Angriffsvektoren aus. Die Mehrheit der untersuchten großen Telekommunikations-, Finanzdienstleistungs- und E-Commerce-Anbieter verzeichnete einen Anstieg der Betrugsangriffe, zu denen Identitätsmissbrauch und Account-Hacking gehören.5,6 Vor diesem Hintergrund ist davon auszugehen, dass Unternehmen künftig verstärkt in Betrugsprävention, sowie in Richtlinien und Verfahren zur Steigerung der Widerstandsfähigkeit investieren werden, um die Gesamtumgebung zu schützen.

Cyberversicherungen und regulatorische Vorgaben treiben die Weiterentwicklung des Cyberrisikomanagements voran.

Im Laufe des Jahres 2024 forderten zunehmend strengere Cyber-Vorschriften von immer mehr Unternehmen, ihre Cyberrisiken zu identifizieren, zu bewerten und zu mitigieren. Die überarbeitete EU-Richtlinie zur Netz- und Informationssicherheit (NIS 2) erweiterte den Anwendungsbereich auf 18 Sektoren, darunter Energie, Verkehr, Gesundheit, Finanzen und digitale Infrastruktur. Sie umfasst sowohl wesentliche als auch wichtige Unternehmen innerhalb dieser Sektoren. Zudem verpflichtet NIS 2 die EU-Mitgliedstaaten zur Entwicklung nationaler Cybersicherheitsstrategien und zur grenzüberschreitenden Zusammenarbeit bei Reaktion und Durchsetzung.

Eine weitere EU-Rechtsvorschrift ist die Verordnung über die digitale Betriebsresilienz (DORA). Sie legt spezielle Anforderungen an die Cybersicherheit von Finanzinstituten wie Banken, Versicherungsgesellschaften und Investmentfirmen fest. Ziel ist es, den europäischen Finanzsektor im Falle einer schwerwiegenden Betriebsstörung resilienter zu machen.

Im Jahr 2024 verstärkten viele Unternehmen im Zuge regulatorischer Anforderungen ihre Bemühungen, Cyberversicherungen abzuschließen und sich Zugang zu entsprechenden Lösungen zu sichern. All dies trug zur Verbesserung der Cybersicherheit bei. Gleichzeitig sahen sich Versicherungsgesellschaften einem zunehmenden Wettbewerb konfrontiert. Der europäische Markt für Cyberversicherungen war dank zahlreicher neuer Marktteilnehmer und einer Flut von neuem Kapital im Bereich der Cyberversicherungen so offen und dynamisch wie nie zuvor. Dies führte zu sinkenden Prämien und erweitertem Deckungsumfang sowie zu einer Zunahme an Verlängerungen und neuen Käufern.

Änderungen der Cyber-Prämien pro Quartal 2020–2025

Durchschnittliche Veränderung gegenüber dem Vorjahr (gleiche Kunden)

Cyber monatliches Pricing über alle Layer hinweg

Durchschnittliche Veränderung gegenüber dem Vorjahr (gleiche Kunden)

Auch in unerwarteten Bereichen – etwa bei Drittparteirisiken – wurde der Versicherungsschutz ausgeweitet. Zahlreiche Generalagenten bieten inzwischen Komplettlösungen und Bundles an, beispielsweise die Kombination von Threat Hunting oder Endpoint Detection and Response (EDR) mit einer umfassenden reaktiven Cyberversicherung in einem Gesamtpaket.

Angesichts des anhaltenden Wettbewerbs sind Versicherungsgesellschaften gefordert, ihre Produkte und Versicherungsleistungen kontinuierlich weiterzuentwickeln und innovativ zu gestalten. Insbesondere im Schadenmanagement stehen sie vor neuen Herausforderungen: Sie müssen zunehmend komplexe Lieferkettenansprüche bearbeiten, ein dauerhaft hohes Meldeaufkommen und komplexe Betriebsunterbrechungsschäden bewältigen.

Empfohlene Maßnahmen:

• Führen Sie eine datengestützte Analyse der Cyberrisiken in Ihrem Unternehmen durch. Stärken Sie die Bereiche Third-Party- und Business-Resilience.
• Etablieren Sie regelmäßiges Horizon Scanning und arbeiten Sie mit Branchenkollegen zusammen, um branchenspezifische Herausforderungen und Bedrohungen zu identifizieren. Arbeiten Sie daran, Schwachstellen gegenüber diesen Bedrohungen zu schließen oder zu reduzieren.
• Schließen Sie eine umfassende Cyberversicherung ab, die Risiken in der Lieferkette berücksichtigt und abdeckt. Nutzen Sie Feedback aus dem Versicherungsmarkt, um Ihre Cybersicherheitsplanung zu optimieren.
• Stellen Sie vor dem Einsatz von KI-Technologien sicher, dass robuste Kontrollen für Datensicherheit und Governance vorhanden sind. Definieren Sie klare Anwendungsfälle für alle KI-Implementierungen und bewerten Sie die damit verbundenen Risiken gründlich, um geeignete Strategien zur Risikominderung zu entwickeln.
• Entwickeln Sie Richtlinien für den Einsatz von KI und spüren Sie Schatten-KI oder die unbefugte Nutzung von KI-Tools und -Technologien durch Mitarbeitende auf. Führen Sie eine interne Schulungs- und Sensibilisierungskampagne durch.