Thought Leadership
Wenn IT-Protokolle den Versicherungspayout blockieren: Wie minimale Konfigurationsfehler im Active Directory zum Verlust des Cyber-Schutzes führen.
Die Regulierung von Schäden nach schwerwiegenden Cyber-Sicherheitsvorfällen hat im Verlauf der letzten Jahre ein neues Niveau der formalen und technischen Härte erreicht. In der Frühphase des Cyber-Versicherungsmarktsegments basierte der Abschluss einer Police primär auf der Einreichung von jährlichen Selbsterklärungen. Unternehmen beantworteten pauschale Fragebögen im PDF-Format und erhielten basierend auf diesen Angaben ihren Deckungsschutz. Diese Praxis der ungeprüften Vertrauensvorschüsse ist im aktuellen Marktumfeld weitgehend verdrängt worden. Angesichts steigender Schadenssummen durch Ransomware-Kampagnen und hochentwickelte Supply-Chain-Angriffe haben Erst- und Rückversicherer ihre Schadenprüfungsprozesse spürbar professionalisiert.
Tritt heute ein Schadensfall ein, schicken Assekuranzen zunehmend spezialisierte IT-Forensiker und Auditoren in das betroffene Unternehmen. Deren Aufgabe besteht nicht mehr nur darin, das Ausmaß des Schadens zu taxieren oder bei der Wiederherstellung zu helfen. Die Auditoren führen eine detaillierte Überprüfung der historischen Protokolldaten und Konfigurationsdateien durch. Sie gleichen die im System nachweisbaren technischen Realitäten mit den Zusicherungen ab, die das Management beim Vertragsabschluss oder der letzten Erneuerung der Police gegeben hat.
Weicht der reale Zustand der IT-Infrastruktur von den vertraglich vereinbarten Sicherheitsstandards ab, können Versicherer diese Diskrepanz nutzen, um eine Regulierung des Schadens wegen Verletzung vertraglicher Obliegenheiten oder falscher Angaben zu verweigern. Die Lücke zwischen der behaupteten und der beweisbaren Sicherheit wird damit zu einem erheblichen finanziellen Risiko für den Versicherungsnehmer.
Der Fall Travelers gegen ICS und seine strukturellen Lehren
Die praktische Tragweite dieser Überprüfungspraxis lässt sich an einem realen Fall aus der jüngeren Rechtsgeschichte illustrieren: der Auseinandersetzung zwischen der Travelers Property Casualty Company of America und dem Elektronikfertigungsunternehmen International Control Services, Inc. (ICS) mit Sitz in Decatur, Illinois.
Travelers reichte am 6. Juli 2022 vor dem US-Bundesgericht für den Central District of Illinois eine Klage auf Rescission (Vertragsaufhebung) und Feststellung ein. Hintergrund: ICS hatte in seinem Versicherungsantrag angegeben, dass Mitarbeiter und Dritte für den Zugriff auf E-Mail, Fernzugriffe auf das Firmennetzwerk sowie den Zugang zu Endpunkten, Servern, Netzwerkinfrastruktur und Verzeichnisdiensten eine Multifaktor-Authentifizierung (MFA) benötigten. Nachdem ICS im Mai 2022 (nach eigenen Angaben bereits zum zweiten Mal innerhalb von zwei Jahren) von einer Ransomware-Attacke getroffen wurde, ließ Travelers den Vorfall forensisch untersuchen.
Die Untersuchung ergab laut Travelers eine deutliche Diskrepanz zu den Angaben im Antrag: MFA sei tatsächlich ausschließlich auf der Firewall aktiv gewesen, nicht jedoch auf den Servern und anderen Systemen, also genau dort, wo der Ransomware-Angriff ansetzte. Travelers argumentierte, es hätte die Police bei Kenntnis dieser Lücke gar nicht erst ausgestellt, und die Falschangabe habe die Risikoeinschätzung materiell beeinflusst.
Wichtig für die rechtliche Einordnung: Der Fall endete nicht mit einem streitigen Gerichtsurteil, sondern mit einer einvernehmlichen Einigung. Ende August 2022 einigten sich Travelers und ICS darauf, dem Gericht eine gemeinsame Erklärung vorzulegen, wonach die Cyber-Police (mit einer Deckungssumme von rund einer Million US-Dollar) rückwirkend ab Vertragsbeginn als null und nichtig gilt. Beide Seiten trugen ihre eigenen Kosten. Ein inhaltliches Urteil zur Beweislage gab es damit nicht. Der Fall ist, wie mehrere Fachbeiträge betonen, in seiner Reichweite auf seine konkreten Umstände beschränkt und begründet keinen allgemeinen Präzedenzfall im engeren juristischen Sinn. Dennoch gilt er in der Branche als eines der ersten und bekanntesten öffentlich gewordenen Beispiele dafür, dass MFA-Falschangaben im Antragsverfahren den gesamten Versicherungsschutz kosten können.
Der Fall verdeutlicht exemplarisch, dass unvollständige Angaben oder mangelnde Kontrollwartung im Ernstfall zur vollständigen Entwertung des Versicherungsschutzes führen können, auch ohne dass es dafür je zu einer gerichtlichen Klärung der Schuldfrage kommen muss.
Identitätsmanagement als Einfallstor: Verwaiste Konten und MFA-Ausnahmen
Die Analyse von Schadensfällen zeigt, dass es selten die komplexen, hochspezialisierten Schwachstellen sind, die zum Verlust des Versicherungsschutzes führen. Häufiger scheitern Unternehmen an grundlegenden Prozessen des Identitäts- und Zugriffsmanagements innerhalb des Microsoft Active Directorys. Ein häufiges Fehlermuster ist die Existenz sogenannter verwaister Konten. Dabei handelt es sich um Benutzerkonten von ehemaligen Mitarbeitern, Dienstleistern oder Praktikanten, die das Unternehmen bereits verlassen haben.
Vergisst die IT-Abteilung im Rahmen des On- und Offboarding-Prozesses, diese Konten im Active Directory zu deaktivieren und aus den Berechtigungsgruppen für virtuelle private Netzwerke zu entfernen, verbleiben diese Zugänge als latente Schwachstellen im System. Da für vermeintlich inaktive Konten bei internen Systemumstellungen oft keine Multifaktor-Authentifizierung erzwungen wird, können sie ein attraktives Ziel für Angreifer sein.
Nutzen Cyber-Kriminelle ein solches verwaistes Konto für den Erstzugang, rekonstruieren Forensiker des Versicherers diesen Pfad häufig anhand der Event-Logs des Domänencontrollers. Der Auditor vergleicht diesen Befund mit der Klausel im Versicherungsvertrag, die eine lückenlose MFA-Abdeckung für alle Nutzer vorschreiben kann. Die Argumentation der Assekuranz ist in solchen Fällen oft rein formal: Das Unternehmen hat vertraglich zugesichert, dass jeder aktive Zugang geschützt ist; das Logfile zeigt das Gegenteil.
Die Mechanismen des Kausalitäts- und Obliegenheitsnachweises
Neben reinen Benutzerkonten geraten zunehmend funktionale System- und Dienstkonten (Service Accounts) in den Fokus von Versicherungsprüfern. Diese Konten werden für automatisierte Prozesse, Daten-Backups oder die Kommunikation zwischen verschiedenen Softwareanwendungen genutzt. Da diese Konten maschinell agieren, ist die Implementierung einer klassischen, interaktiven Multifaktor-Authentifizierung technisch oft komplex oder unmöglich.
Unterschreiben IT-Leiter eine Versicherungsklausel, die pauschal festlegt, dass alle privilegierten Konten über MFA geschützt sein müssen, ohne explizite Ausnahmen für administrative Dienstkonten vertraglich zu vereinbaren, entsteht ein Risiko: Im Schadensfall isolieren Auditoren häufig relevante Windows-Ereignis-IDs, etwa die ID 4624 für erfolgreiche Anmeldevorgänge, und analysieren den verwendeten Anmeldetyp.
Wird dabei festgestellt, dass ein hochprivilegiertes Dienstkonto ohne die im Vertrag geforderten kompensierenden Sicherheitskontrollen über ein unsicheres Protokoll aus dem Internet erreichbar war, kann dies als materielle Verletzung der Vertragsklauseln gewertet werden. Viele Cyber-Policen enthalten Wartungsklauseln, die die kontinuierliche Aufrechterhaltung der deklarierten Sicherheitsarchitektur zu einer Bedingung für den Deckungsschutz machen. Ein administrativer Drift im Alltag kann die Schutzwirkung der Police damit schleichend aufheben.
Typische Fehlkonfigurationen und ihre möglichen Konsequenzen
Für IT-Controlling und Systemadministration ist es sinnvoll, die technische Konfiguration der Systeme kontinuierlich mit den rechtlichen Klauseln der Versicherung abzugleichen. Einige der kritischsten Diskrepanzen zwischen administrativen Versäumnissen und möglichen versicherungsrechtlichen Folgen:
Bleiben inaktive Konten ausgeschiedener Mitarbeiter im Status „Aktiv“, zeigt sich das im Logfile typischerweise durch Anmeldungen (Event-ID 4624) ohne erkennbare Korrelation zu aktuellen HR-Daten. Auditoren werten das häufig als Verletzung der Pflicht zur Bereinigung von Zugriffsrechten. Im Extremfall kann das zur vollständigen Ablehnung der Schadensregulierung führen.
Existieren Ausnahme-Regeln für administrative VPN-Zugänge ohne MFA-Zwang, fehlt in den Remote-Access-Logs oft der entsprechende RADIUS- oder Authentifizierungs-Eintrag. Wurde im Antrag eine globale MFA-Garantie zugesichert, kann dieser Bruch im schlimmsten Fall zur rückwirkenden Anfechtung oder Aufhebung der gesamten Police führen, ähnlich wie im Fall Travelers/ICS.
Verfügen Dienstkonten über Domänen-Administrator-Rechte ohne Restriktionen, zeigt sich das etwa durch Event-ID 4672 bei eigentlich automatisierten Standardprozessen. Auditoren sehen darin oft eine Verletzung des Prinzips der minimalen Rechtevergabe, was zu einer Reduktion der Deckungssumme wegen Mitverschuldens führen kann.
Werden Zugangsdaten unverschlüsselt in Skripten auf Servern gespeichert, lässt sich das über Dateizugriffs-Logs auf Klartext-Konfigurationsdateien nachvollziehen. Das kann als grobe Fahrlässigkeit bei der Verwahrung von Berechtigungen gewertet werden und im Ernstfall den Einbehalt des Payouts für Folgeschäden der Kompromittierung nach sich ziehen.
Werden kritische Sicherheits-Patches verzögert eingespielt, fehlen im Windows-Update-Log oft über längere Zeiträume, teils über 90 Tage, Einträge zu bekannten CVEs. Versicherer können das als Nichtbeachtung vertraglicher Patch-Management-Fristen werten und Schäden ausschließen, die über die bekannte Lücke entstanden sind.
Leitfaden zur kontinuierlichen Härtung und Übereinstimmung der IT-Infrastruktur
Um den Verlust des Versicherungsschutzes durch schleichende Konfigurationsfehler im laufenden Betrieb zu verhindern, sollten Unternehmen von einer punktuellen hin zu einer kontinuierlichen Überprüfung ihrer IT-Governance übergehen. Ein strukturiertes Umsetzungsprogramm kann die technische Konfiguration permanent mit den rechtlichen Rahmenbedingungen der Versicherung synchronisieren:
Schritt 1: Ein automatisierter Abgleich aller Active-Directory-Konten mit den aktiven Personaldaten der HR-Abteilung sollte regelmäßig, idealerweise wöchentlich, erfolgen. Konten von Mitarbeitern, die das Unternehmen verlassen haben, sollten über automatisierte Workflows am letzten Arbeitstag systemseitig gesperrt und in eine isolierte Organisationseinheit ohne Zugriffsrechte verschoben werden.
Schritt 2: Ein strikter Richtlinien-Scan für alle externen Schnittstellen und Firewall-Regeln ist empfehlenswert. Jede Abweichung von den vertraglich zugesicherten Sicherheitsstandards, etwa das temporäre Deaktivieren von Sicherheitsfiltern für Wartungsarbeiten, sollte dokumentiert und zeitlich befristet werden.
Schritt 3: Alle administrativen Dienstkonten sollten regelmäßig revidiert werden. Die Berechtigungen dieser Konten sollten nach dem Prinzip der minimalen Rechtevergabe so weit reduziert werden, dass sie nur die für ihre spezifische Funktion notwendigen Systempfade ansprechen können.
Schritt 4: Regelmäßige Audits der eigenen Protokollierungsinfrastruktur helfen sicherzustellen, dass die für den Nachweis der Compliance erforderlichen Event-Logs nicht nur lokal auf den Servern existieren, sondern manipulationsgeschützt in ein zentrales Archiv übertragen werden. Nur so kann ein Incident-Response-Team im Schadensfall die Einhaltung vertraglicher Pflichten gegenüber Auditoren nachvollziehbar belegen.
Schritt 5: Vor jeder geplanten Erneuerung oder Anpassung der Cyber-Versicherungspolice sollte die IT-Leitung die realen Konfigurationsberichte der Endpunkte, Firewalls und Identitätssysteme sichten und verifizieren, sodass der nachweisbare Ist-Zustand der Infrastruktur mit den Antworten im Fragebogen übereinstimmt.
Die Verzahnung von technischer Administration und versicherungsrechtlicher Compliance ist ein zunehmend wichtiger Baustein des kaufmännischen Risikomanagements. Cyber-Versicherungen sind ein wichtiges Instrument zur finanziellen Absicherung, funktionieren aber nicht als bedingungslose Auffangnetze für organisatorische Mängel. Disziplin bei der Verwaltung des Identitätsmanagements und ein nachvollziehbarer Nachweis der Einhaltung vereinbarter Schutzmechanismen erhöhen die Wahrscheinlichkeit, dass eine Police im Krisenfall tatsächlich die erwartete finanzielle Absicherung bietet.
