7 Die Verlängerung Ihrer Cyberversicherung bringt ein bekanntes Szenario mit sich. Die gute Nachricht: Ihr Versicherer verlängert die Police. Die schlechte: Die Prämien steigen um 40 %, und die Underwriter verlangen neue technische Anforderungen an Ihre Speicherinfrastruktur. Für Unternehmen ist das inzwischen Routine. Cyberversicherer sind keine passiven Prüfer mehr. Sie gestalten die Anforderungen an die Infrastruktur aktiv mit. Für Führungskräfte ist das Einschränkung und Chance zugleich. Die geforderten Kontrollen umzusetzen, erfordert Investitionen und Disziplin. Diese Anforderungen entsprechen jedoch dem, was Sie für Sicherheit und Compliance ohnehin tun sollten. Dieser Beitrag zeigt, was Underwriter verlangen, wie Sie Kontrollen für die Prüfung nachweisen und welche Architekturentscheidungen die Prämien senken und zugleich die Resilienz stärken. Der Wandel: Underwriter verlangen Nachweise statt Versprechen Vor fünf Jahren stützte sich das Underwriting auf Fragebögen. Haben Sie eine Zwei-Faktor-Authentifizierung? Führen Sie Penetrationstests durch? Unternehmen antworteten mit „Ja“, und die Prämien richteten sich danach. Heute wollen Underwriter Nachweise. Sie wollen Audit-Logs und Ergebnisse von Wiederherstellungstests sehen. Sie wollen Ihre tatsächliche Architektur sehen, nicht die behauptete. Dieser Wandel hat sich nach aufsehenerregenden Ransomware-Angriffen beschleunigt. Unternehmen, die sich „starke Sicherheit“ bescheinigten, erlitten massive Sicherheitsvorfälle und Datenverluste. Die Underwriter erkannten, dass Fragebögen nicht ausreichen. Heute verlangen sie konkrete, überprüfbare technische Kontrollen – vor allem für Datenschutz und Backup-Resilienz. Speziell zum Speicher stellen Underwriter Fragen, die Ihr Team womöglich nur schwer beantworten kann: Können Sie nachweisen, dass Backup-Daten unveränderlich sind und von Angreifern weder gelöscht noch verschlüsselt werden können? Wie hoch ist Ihr getestetes RTO für Produktionsdaten? Dokumentieren Sie erfolgreiche Wiederherstellungstests der letzten 12 Monate? Wie wird das Schlüsselmaterial für die Verschlüsselung geschützt? Ist das Schlüsselmanagement vom Datenmanagement getrennt? Gibt es Audit-Trails, die zeigen, wer wann auf Backup-Daten zugegriffen hat? Können Sie nachweisen, dass keine unbefugten Änderungen vorgenommen wurden? Wie sieht Ihre Aufbewahrungsrichtlinie für Backups der verschiedenen Datenklassen aus? Bewahren Sie unveränderliche Kopien mindestens ein Jahr lang auf? Diese Fragen bestimmen konkrete Entscheidungen zur Speicherarchitektur und zu betrieblichen Abläufen. Was Underwriter heute verlangen: die technische Checkliste Die Anforderungen von Cyberversicherungen konzentrieren sich auf fünf zentrale Speicherkontrollen. Unternehmen, die eine robuste Abwehr aufbauen, sollten den Ransomware-Schutz für Backups und unveränderliche, wiederherstellbare Backups als Rahmen für diese Erwartungen verstehen. Unveränderliche Backup-Kopien. Underwriter verlangen Backups, die für einen festgelegten Zeitraum weder gelöscht noch verschlüsselt oder verändert werden können. Das bedeutet WORM-Speicher, zeitbasierte Unveränderlichkeit oder per Air Gap isolierten Offline-Speicher. Der Mechanismus ist weniger wichtig als das Ergebnis: Angreifer können Backups selbst mit gültigen Zugangsdaten nicht zerstören. Die meisten verlangen eine unveränderliche Aufbewahrung von mindestens einem Jahr. Wer weiß, was Immutable Storage ist, welche Vorteile er bietet und wie er umgesetzt wird , kann diese Anforderung in eine Architektur übersetzen. Getestete und dokumentierte Wiederherstellungsfähigkeit. Backups sind wertlos, wenn Sie nicht tatsächlich wiederherstellen können. Underwriter verlangen Nachweise erfolgreicher Wiederherstellungstests. In der Regel bedeutet das vierteljährliche Tests (monatlich für kritische Systeme) mit dokumentierten Ergebnissen zu Wiederherstellungszeit und Datenintegrität. Getestet werden sollte mit Produktionsdaten oder repräsentativen Daten, nicht nur mit Testdaten. Sie sollten Berichte vorhalten, die eine erfolgreiche Wiederherstellung und Validierung belegen. Trennung der Backup-Infrastruktur von der Produktion. Backup-Systeme sollten keine Administratorzugänge, Netzwerkpfade oder Sicherheitsgruppen mit der Produktion teilen. Wird die Produktion kompromittiert, dürfen Angreifer keinen Zugriff auf die Backups erhalten. Das bedeutet getrennte Speicherkonten, getrennte Subnetze für den Backup-Datenverkehr und getrennte Identitätskontrollen. Manche Underwriter verlangen per Air Gap isolierte Systeme ohne Netzwerkverbindung zur Produktion. Multi-Faktor-Authentifizierung für die Backup-Administration. Jeder Benutzer und jedes Dienstkonto mit Zugriff auf den Backup-Speicher muss MFA nutzen. Das umfasst Konten für Backup-Software, Speicheradministratoren und Disaster-Recovery-Teams. MFA sollte auf der Speicherebene durchgesetzt werden, nicht nur auf Anwendungsebene. Hardware-Sicherheitsschlüssel sind zeitbasierten Einmalpasswörtern vorzuziehen, da sie phishingresistent sind. Umfassende Audit-Trails und Verschlüsselung. Underwriter verlangen den Nachweis, dass Backups mit starken Algorithmen verschlüsselt sind (mindestens AES-256) und jeder Zugriff protokolliert wird. Audit-Trails müssen erfassen, wer wann zu welchem Zweck auf welche Daten zugegriffen hat. Schützen Sie die Audit-Logs selbst (mit unveränderlichem Speicher oder einem zentralen SIEM), damit Angreifer keine Spuren löschen können. Bewahren Sie Logs mindestens ein Jahr auf, bei sensiblen Daten oder in regulierten Branchen länger. Diese fünf Anforderungen bilden das Fundament. Unternehmen, die sie konsequent nachweisen, erhalten günstige Verlängerungskonditionen. Wer das nicht kann, muss mit Prämienerhöhungen oder Einschränkungen des Versicherungsschutzes rechnen. Underwriter-Anforderungen in Architekturentscheidungen übersetzen Die konkreten Architekturentscheidungen variieren je nach Umgebung, doch einige Grundsätze gelten überall: Wählen Sie unveränderlichen Backup-Speicher strategisch. Objektspeicher mit nativem WORM oder zeitbasierter Unveränderlichkeit ist betrieblich effizient. Statt auf organisatorische Kontrollen oder separate, per Air Gap isolierte Systeme zu setzen, verhindert native Unveränderlichkeit auf der Speicherebene versehentliche oder böswillige Änderungen. Machen Sie Unveränderlichkeit zu einem zentralen Auswahlkriterium bei der Bewertung von Backup-Plattformen. Schaffen Sie Trennung durch mehrere Speicherdomänen. Backup-Speicher sollte in eigenen Konten (Cloud) oder Pools (On-Premises) getrennt von den Produktionsdaten liegen. Backup-Administratoren sollten eigene Zugangsdaten nutzen und sich über separate Identitätsanbieter oder eigene MFA-Geräte authentifizieren. Der Backup-Netzwerkverkehr sollte über eigene Subnetze und Sicherheitsgruppen laufen. Das erhöht die Komplexität etwas, verringert aber den Schadensradius bei einer kompromittierten Produktion erheblich. Machen Sie Wiederherstellungstests zum festen Betriebsablauf. Planen Sie monatliche Tests für kritische Daten und vierteljährliche für alle anderen. Automatisieren Sie, wo möglich. Testen Sie in Staging-Umgebungen mit produktionsähnlichen Datensätzen. Prüfen Sie die Integrität mit Prüfsummen oder Signaturen. Erfassen Sie die Ergebnisse automatisch. Veröffentlichen Sie Berichte darüber, welche Systeme getestet wurden, welche Wiederherstellungszeit erreicht wurde und wie die Verifizierung ausfiel. Diese Berichte sind Ihre Nachweise bei der Underwriting-Prüfung. Investieren Sie in Speicher mit nativen Audit-Funktionen. Setzen Sie das Audit-Logging nicht nachträglich obendrauf. Wählen Sie Speichersysteme mit integrierten, manipulationssicheren Audit-Trails. S3-kompatibler Objektspeicher sollte detaillierte Zugriffsprotokolle mit Operationen, Zeitstempeln und der Identität des Anfragenden liefern. Die Logs sollten unveränderlich sein (in WORM-Speicher geschrieben) und für Monitoring und Aufbewahrung in Ihr zentrales SIEM eingebunden werden. Bauen Sie Verschlüsselung als grundlegende Ebene auf. Wählen Sie Speichersysteme, die standardmäßig AES-256-Verschlüsselung im Ruhezustand erzwingen. Verwalten Sie die Schlüssel getrennt von den Daten mit einem dedizierten Key-Management-System. Beschränken Sie den Schlüsselzugriff auf möglichst wenige Administratoren. Dokumentieren Sie Verschlüsselungsalgorithmus, Schlüssellänge und Rotationsrichtlinie für Ihre Underwriting-Unterlagen. Kontrollen für die Prüfung durch Underwriter dokumentieren Halten Sie diese Unterlagen bereit, wenn Underwriter Nachweise anfordern: Architekturdokumentation. Erstellen Sie ein Diagramm und eine schriftliche Beschreibung, die die Trennung der Backups von der Produktion, die Durchsetzung von MFA und die Datenflüsse zeigen. Nennen Sie die konkreten Produkte und Versionen für Backup-Software, Speicher und Schlüsselmanagement. Beschreiben Sie die Konfiguration von Zugriffskontrolle und Audit-Logging. Dokumentation der Wiederherstellungstests. Führen Sie einen vierteljährlichen (oder monatlichen) Testplan. Dokumentieren Sie für jeden Test, welche Daten wiederhergestellt wurden, welche Systeme die Wiederherstellung durchgeführt haben, wie lange sie tatsächlich dauerte und wie die Prüfung der Datenintegrität ausfiel. Fügen Sie Screenshots oder Logs bei, die die erfolgreiche Wiederherstellung und mit den Originaldaten übereinstimmende Prüfsummen zeigen. Schlägt ein Test fehl, dokumentieren Sie Ursache und Behebung. Beispiele für Audit-Logs und Aufbewahrungsrichtlinie. Legen Sie Beispiele für Zugriffe auf den Backup-Speicher vor (Lese-, Schreib- und Löschvorgänge) – mit Zeitstempel, Identität des Anfragenden und Details zur Operation. Dokumentieren Sie die Aufbewahrungsrichtlinie (in der Regel mindestens ein Jahr) und wie die Logs geschützt werden (unveränderlicher Speicher, zentrales SIEM). Dokumentation des Schlüsselmanagements. Dokumentieren Sie, wie Verschlüsselungsschlüssel erzeugt, gespeichert und rotiert werden. Erläutern Sie, wer Zugriff hat (es sollten nur sehr wenige Administratoren sein) und wie dieser Zugriff kontrolliert wird. Nutzen Sie ein Key Management in der Cloud, dokumentieren Sie, wie Sie verhindern, dass Cloud-Anbieter auf Ihre Daten zugreifen – indem Sie Ihren eigenen Key Encryption Key (KEK) in einem Hardware-Sicherheitsmodul (HSM) verwalten. Richtlinie zu Aufbewahrung und Unveränderlichkeit der Backups. Dokumentieren Sie, wie lange Backups der verschiedenen Datenklassen aufbewahrt werden und warum. Erläutern Sie, wie die Unveränderlichkeit durchgesetzt wird (WORM-Speicher, zeitbasierte Unveränderlichkeit oder per Air Gap isolierte Offline-Speicherung). Legen Sie technische Details und Nachweise vor, dass Änderungen und Löschungen verhindert werden. Underwriter prüfen diese Unterlagen beim Underwriting und bei der jährlichen Überprüfung der Police. Unternehmen mit umfassender, aktueller Dokumentation erhalten schnellere Zusagen und bessere Verlängerungskonditionen. Die wirtschaftliche Seite: niedrigere Prämien, höhere Resilienz Die erforderlichen Infrastrukturinvestitionen sind erheblich, aber bezifferbar, und der Nutzen übersteigt oft die Kosten. Nehmen wir ein mittelgroßes Finanzdienstleistungsunternehmen mit 50 Terabyte kritischer Daten. Die Einführung von Speicher für unveränderliche Backups, redundanten Systemen mit getrennten Zugangsdaten und MFA, vierteljährlichen Tests und zentralem Audit-Logging könnte je nach vorhandener Infrastruktur 500.000 $ bis 1.000.000 $ kosten. Sinken die Prämien dadurch von 1.000.000 $ auf 700.000 $ pro Jahr, amortisiert sich die Investition in 1–2 Jahren. Danach summieren sich die Einsparungen. Noch wichtiger: Sie gewinnen eine wirklich resiliente Backup- und Wiederherstellungsfähigkeit. Schlägt Ransomware zu, lassen sich unveränderliche Backups nicht zerstören, und die Backup-Systeme sind von der kompromittierten Produktion isoliert. Diese Wiederherstellungsfähigkeit ist weit mehr wert als die eingesparten Prämien. Sie macht den Unterschied zwischen einem eingedämmten Vorfall und einer Katastrophe. Der Weg nach vorn: Underwriter-Anforderungen als Fundament nutzen Betrachten Sie die Anforderungen der Underwriter nicht als Compliance-Last, sondern als maßgebliche Orientierung für eine verantwortungsvolle Speicherarchitektur. Underwriter haben Einblick in Tausende von Unternehmen und Angriffsmustern. Ihre Anforderungen spiegeln Kontrollen wider, die Datenverlust verhindern und eine schnelle Wiederherstellung ermöglichen. Frameworks wie die fünf Stufen unzerstörbarer Cyber-Resilienz (auf Englisch) liefern Blaupausen, um diese Erwartungen zu erfüllen. Fordern Sie zunächst die konkreten Anforderungen Ihres Underwriters an und gleichen Sie Ihre Architektur damit ab. Priorisieren Sie Lücken nach geschäftlicher Kritikalität und betrieblicher Umsetzbarkeit. Planen Sie Wiederherstellungstests fest in Ihren Kalender ein. Dokumentieren Sie, was Sie umgesetzt haben. Steht die Verlängerung an, können Sie belegen, dass Ihr Unternehmen Resilienz und Sicherheit priorisiert. Ihr Underwriter sieht überprüfbare technische Kontrollen statt bloßer Behauptungen. Die Prämien spiegeln das geringere Risiko wider. Vor allem aber ist Ihr Unternehmen dann tatsächlich resilient. Der Einklang zwischen Ihren Sicherheitspraktiken und den Erwartungen der Underwriter schafft echten Mehrwert. Stellen Sie diesen Einklang bewusst her, und die Anforderungen der Cyberversicherung stärken das Fundament, auf das Ihr Unternehmen angewiesen ist. Weiterführende Artikel Was ist Immutable Storage? Definition, Vorteile und Funktionsweise Was ist das NIST Cybersecurity Framework? Best Practices für Identitäts- und Zugriffsmanagement (IAM) Multi-Faktor-Authentifizierung (MFA): Was sie ist und wie sie funktioniert EU Cyber Resilience Act Objektspeicher als Teil Ihres Anti-Ransomware-Arsenals (auf Englisch) Leitfaden zu Disaster Recovery as a Service
