Software-Sicherheitstests für Versicherer

Die Auswirkungen von Cyberkriminalität sind in der gesamten Versicherungsbranche zu spüren. Die Anbieter unterliegen immer strengeren regulatorischen Anforderungen, was die Geschäftstätigkeit behindern kann. Wenn es zu Verstößen kommt, müssen die Anbieter mit angespannten Kundenbeziehungen, kostspieligen Rechtsstreitigkeiten und behördlichen Bußgeldern rechnen. Im schlimmsten Fall könnte ein Unternehmen gezwungen sein, Insolvenz anzumelden.

Allerdings können Führungskräfte Schritte unternehmen, um solche Probleme zu verhindern, angefangen bei der Investition in Software und in ein zuverlässiges Datensicherheitsteam, das Schwachstellen proaktiv verwalten und verhindern kann. Häufige Softwaretests sind eine der effizientesten Möglichkeiten, das Risiko eines Cyber-Angriffs zu minimieren.

Gründe für Software-Sicherheitstests

Es ist ganz natürlich, sich zu entspannen, sobald Ihr Unternehmen ein effektives digitales Sicherheitssystem implementiert hat. Aber aufgrund des erhöhten Risikos, mit dem sich Anbieter von Versicherungssoftware konfrontiert sehen, kann mangelnder Schutz zu einem kostspieligen Sicherheitsbruch führen.

Versicherungsanbieter outsourcen ihren Softwarebedarf häufig an Drittanbieter. Diese Anbieter können Kosteneinsparungen anbieten, da sie die Software und die Sicherheitsdienste übernehmen. Allerdings sind Drittanbieter ein eigenes Sicherheitsrisiko und können nicht allein für die Gewährleistung Ihres Datenschutzes verantwortlich sein.

Denken Sie an den jüngsten Lösegeld-Angriff bei DXC, einem Technologieanbieter für Versicherungsunternehmen. Ein Virus sperrte Kunden aus den Systemen von DXC aus und machte es den Versicherungsgesellschaften unmöglich, normal zu arbeiten. Der Angriff wurde zwar in einem der Systeme von DXC isoliert, wodurch der Schaden möglichst gering gehalten werden konnte, doch zeigt er die Grenzen von Drittanbietern auf. Ein firmeninternes Sicherheitsteam, dessen Reaktion auf Angriffe ständig überprüft wird, ermöglicht eine proaktivere Überwachung sowie die Fähigkeit, Schwachstellen schnell zu beheben.

Ebenso steht der Ruf einer Marke auf dem Spiel, wenn es ihr nicht gelingt, die betriebliche Effizienz aufrechtzuerhalten und sie sich Online-Bedrohungen aussetzt. Wenn es zu Angriffen kommt, können Kunden das Vertrauen verlieren und zu Unternehmen abwandern, die dem Datenschutz ihrer Kunden Vorrang einräumen. Auch wenn dies auf den ersten Blick wie ein kleiner PR-Vorfall erscheinen mag, kann sich die Sicherheitslücke zu einem großen Geschäftsverlust ausweiten.

Um mögliche Verletzungen zu verhindern, sollten Versicherer ihre Software aus verschiedenen Blickwinkeln testen.

Penetrationstest

Bei Penetrationstests (Pentesting) wird ein Angriff auf ein Netzwerk oder eine Anwendung simuliert, um die Abwehrfähigkeit des Systems gegen interne und externe Angriffe zu bewerten.

Typischerweise werden bei dieser Methode sowohl manuelle als auch automatisierte Verfahren eingesetzt. Bei letzteren werden Tools verwendet, die die Effizienz deutlich steigern, was durch rein manuelles Vorgehen nicht möglich wäre.

Warum sind Penetrationstests für Versicherungsunternehmen relevant?

Pentests können dabei helfen, die Sicherheitslücken eines Unternehmens aufzudecken und wie sie in Zukunft Schaden anrichten könnten. Ein umfangreicher Pentest kann auch versteckte Schwachstellen aufdecken, die Ihre Konkurrenten möglicherweise ignorieren.

Pentests können Versicherungsunternehmen auch dabei helfen, die Effektivität ihrer IT-Sicherheitsmechanismen zu bewerten, was Angriffe verhindern kann, die Geschäftsgeheimnisse oder Kundendaten offenlegen. Mit Penetrationstests können Versicherer ihre Schwachstellen verstehen und Vorschläge erhalten, wie sie diese beheben können.

Cloud-Sicherheitsprüfung

Versicherungsunternehmen nutzen zunehmend Cloud-Dienste, um ihre sensiblen Daten zu speichern. Allerdings sind diese Dienste, die in der Regel von Drittanbietern angeboten werden, auch ein bevorzugtes Ziel für Hacker.

Cloud-Sicherheitsaudits stellen sicher, dass die vom Unternehmen betriebene Infrastruktur fehlerfrei ist und den Sicherheitsrichtlinien Ihres Unternehmens entspricht (oder diese übertrifft). Eine gründliche Prüfung kann auch Sicherheitslücken und andere Probleme aufdecken, die behoben werden sollten, um das Risiko potenzieller Angriffe zu mindern.

Warum sollten Versicherer die Sicherheit ihrer Cloud prüfen lassen?

Die Kosten, die mit diesen Sicherheitsverletzungen verbunden sind, schießen weiter in die Höhe. So wurde beispielsweise Capital One nach einem massiven Cyberangriff im vergangenen Jahr kürzlich zu einer Strafe in Höhe von 80 Millionen US-Dollar an die US-Regulierungsbehörden verurteilt. Der Grund für die Schwachstelle war dass die Berechtigungen in den Cloud-Ressourcen falsch konfiguriert und äußerst selten kontrolliert wurden.

Hätte dieses Unternehmen in eine gründliches Cloud-Sicherheitsprüfung investiert, hätte es diese unnötigen Ausgaben möglicherweise vermeiden können.

Bei der Entwicklung von Software sind Unternehmen verpflichtet, die jeweiligen Landesgesetze zur Cybersicherheit einzuhalten, wie in Deutschland die Anforderungen von DSGVO, BDSG, IT-SiG und bald auch IT-SiG 2.0. Diese Gesetze unterscheiden sich zwar von Land zu Land, verlangen aber alle, dass Unternehmen Maßnahmen zum Schutz von Kundendaten ergreifen und potenzielle Probleme offenlegen.

Die DSGVO verlangt von Unternehmen, dass sie Verstöße innerhalb von 72 Stunden melden müssen. Unternehmen, die diese Frist nicht einhalten, müssen mit erheblichen Geldstrafen rechnen. Je nach Verhältnismäßigkeit können Bußgelder bis zu einer Höhe von 20 Millionen Euro oder vier Prozent des Jahresumsatzes erhoben werden, je nachdem was höher ausfällt.

Mit der DSGVO wurde von der EU ein grundlegender Rahmen für Sicherheitsanforderungen aufgestellt. Dazu gehören Richtlinien, Verfahren und Schutzmaßnahmen, die ein betroffenes Unternehmen auf der Grundlage von Risiken und Schwachstellen implementieren muss, die während regelmäßiger Cybersicherheits-Risikobewertungen ermittelt werden.

Was ist für Versicherer das wesentlich wichtige am Compliance Management?

Erhöhte Cybersicherheit kann zu erhöhten Versicherungskosten sowie zu zusätzlichem Dokumentationsbedarf führen. Das Compliance-Management sorgt jedoch dafür, dass Versicherer mit den Aufsichtsbehörden auf gutem Fuß stehen. Dies ist selbst ein Abzeichen der Akkreditierung, das Kunden einen Grund gibt, Ihrer Marke zu vertrauen. Im Falle eines böswilligen Angriffs verringert die Einhaltung der Vorschriften außerdem die Möglichkeit übermäßiger finanzieller Strafen.

Schwachstellen-Management: So reagieren Sie auf Cyber-Angriffe

Die Sicherheitsüberwachung beinhaltet die Einführung eines ganzheitlichen Systems, das alle möglichen Schwachstellen berücksichtigt. Dazu gehören Maßnahmen zur Vorbeugung, Erkennung und Behebung potenzieller Gefahren, bevor sie sich zu großen Problemen entwickeln.

In dieser Phase gehören dazu: die Analyse tatsächlicher Bedrohungen, das Abhärten und Patchen der Hosting-Umgebung, Sicherheitsprüfungen, die Protokollüberwachung, die Untersuchung von Sicherheitsverletzungen und natürlich das Compliance-Management.

Warum sollten sich Versicherer Gedanken über Schwachstellen-Management machen?

Laut einer Willis Towers Watson-Umfrage unter mehr als 100 Führungskräften ist Cyberkriminalität mittlerweile das führende Risiko für Versicherungsunternehmen. Im Jahr 2016 wurde laut einem Bericht der Hejavec Group alle 40 Sekunden ein Unternehmen Opfer eines Ransomware-Angriffs. Cybersecurity Ventures prognostiziert, dass diese Zahl bis 2021 auf alle 11 Sekunden ansteigen wird.

Wenn bei Sicherheitsverletzungen Ransomware zum Einsatz kommt, müssen Versicherer möglicherweise eine erhebliche Gebühr zahlen, um ihre gestohlenen Daten freizugeben. Im Jahr 2019 brachen Hacker in eine ungenannte kanadische Versicherungsgesellschaft ein und installierten Malware, die sie aus ihren eigenen Daten aussperrte. Der Anbieter war gezwungen, dem Angreifer 950.000 USD zu zahlen, um die gestohlenen Dateien freizugeben.

Um sich auf das Wachstum zu konzentrieren und potenziell katastrophale Geldstrafen zu vermeiden, müssen Versicherer ihre Sicherheitsinfrastruktur kontinuierlich überwachen und bewerten.

Wenn Ihr derzeitiges internes Team Schwierigkeiten hat, erfolgreiche Software-Sicherheitstests durchzuführen, sollten Sie mit einem zuverlässigen Partner wie DataArt zusammenarbeiten. Das Outsourcing ist zwar mit zusätzlichen Kosten verbunden, kann jedoch Bußgelder und Vergleiche verhindern, die aus einem Verstoß resultieren können. Betrachten Sie es als eine Versicherungspolice für Versicherungsunternehmen - und nur eine Möglichkeit, den Bösen immer einen Schritt voraus zu sein. Kontaktieren Sie uns noch heute, um mehr über unsere Angebote für Sicherheitstests zu erfahren.