In verschiedenen Hausratversicherungen besteht Versicherungsschutz für Schäden durch Phishing, zum Teil auch für andere Formen des Onlinebetrugs (z.B. Pharming). Nicht versichert sind allerdings Schäden infolge von Spoof Mails, wenn diese nicht im Einzelfall benutzt werden, um damit Phishing zu betreiben.
Was ist Mail-Spoofing?
Beim Spoofing versucht ein Absender einen Dritten dadurch zu täuschen, indem er sich selbst als Absender einer Mailadresse oder Domain ausgibt, die ihm nicht gehört. Wenn ein Betroffener also die Mailadresse Vorname@Domain.de besitzt, kann es passieren, dass ein Dritter sich diese Domain kapert und in diesem Namen eigene Mails versendet.
Solche Spoof-Mails, die in fremdem Namen versandt werden, können dazu führen, dass eine Domain auf einer Blacklist landet. Als Folge kann es passieren, dass der Versand von Mails gestört wird. Eine typische Fehlermeldung lautet etwa
„Refused by local policy. No SPAM please!“
In der Praxis kann es auch passieren, dass eine Mail den Link auf eine URL beinhaltet, die nur fälschlich als Spam klassifiziert wurde. Dabei spielt es keine Rolle ob eine Domain privat oder gewerblich genutzt wird. Es kann aber dazu führen, dass aufgrund von Mail-Spoofing auch andere Domains der gleichen Person betroffen werden, sofern die jeweiligen IP-Adressen durch den gleichen Nutzer miteinander verbunden sind. Um herauszufinden, weshalb eine eigene Domain auf einer Blacklist steht, ist oft nicht ohne weiteres möglich.
Was ist eine Blacklist?
Eine Blacklist („Schwarze Liste“) ist eine Sammlung von E‑Mail-Adressen, Domains sowie IP-Adressen, die tatsächlich oder vermeintlich als Spam aufgefallen sind. Die Wikipedia schreibt dazu:
„Passt eine E‑Mail zu einem der aufgelisteten Datensätze in der Blacklist, kann sie beim Empfang speziell behandelt werden. Das kann Ablehnung, Verzögerung, Löschung oder Kennzeichnung als Spam (vergleiche auch Spamfilter und Greylisting) sein. Schwarze Listen können dabei lokal geführt werden oder aber auf zentralen Servern als sogenannte Realtime Blackhole List (RBL). Abhängig vom Einsatzzweck wird mitunter auch eine Kombination beider Arten verwendet.“[1]
Eine Möglichkeit zu prüfen, ob die eigene Domain auf einer Blacklist steht, bietet die Website https://mxtoolbox.com/blacklists.aspx. Gibt jemand die eigene Domain an, bietet die Seite Informationen dazu, ob man auf der Blacklist steht und aus welchem Grund.
Löschen aus der Blacklist nur durch den Provider
Wer feststellt, dass eigene Domains auf einer Blacklist stehen, sollte sich an seinen Mailprovider (z.B. Host Europe, Strato) wenden und diesen um Hilfe bitten.
Um vorbeigehend zu vermeiden, dass eigene Mails nicht abgelehnt oder als Spam angesehen werden, sollte man zunächst einen SPF Record für die eigenen Domains anlegen. Anschließend ist beim Provider ein so genannter DMARC-Record anzulegen. Dabei steht DMARC für „Domain-based Message Authentification, Reporting and Conformance”. Beim Anlegen ist sicher zu stellen, dass sich zeitgleich kein Dritter auf der eigenen Mailadresse eingeloggt hat. Die durch den DMARC-Record verursachten Änderungen können bis zu 24 Stunden Zeit in Anspruch nehmen. Sie stellen so genannte DNS-Änderungen dar, wobei DNS für „Domain Name System“ besteht.
Mitunter werden Änderungen des DNS-Eintrags auch dazu benutzt, um Pharming zu betreiben. Bei dieser Betrugsmethode versucht der Täter einen Dritten durch eine Umleitung des Internetnutzers auf gefälscht Webseiten umzuleiten. Dies dient dann dazu, vertrauliche Zugangs- und Identifikationsdaten abzugreifen.
Versicherungsschutz vorhanden?
Immer mehr Anbieter werben mit einem Cyberbaustein in ihren privaten Versicherungstarifen. Mitunter ist ein gewisser Versicherungsschutz bereits in der Grunddeckung verschiedener Hausratangebote enthalten. Beispielhaft einen tarifabhängigen Schutz für im entsprechend benannte Cybergefahren für Privatkunden bieten z. B. Die Bayerische (Hausrat Flexibel Prestige Plus: nur Phishing), InterRisk (B 28 XXL: nur Phishing), Janitos (Best Selection mit Janitos Online-Schutz: Identitätsdiebstahl, Pharming, Phishing), Konzept & Marketing (Hausratversicherung allsafe home 2.0 perfect: Phishing und Pharming) oder VHV (Klassik-Garant mit Bausteinen Exklusiv sowie Best-Leistungs-Garantie: nur Phishing).
Im Detail sind die konkreten Obliegenheiten und Bestimmungen zum jeweiligen Versicherungsschutz zu beachten.
Eine recht weitgehende Formulierung findet sich bei der Janitos:
„14.4. Identitätsdatendiebstahl
(1) Versichert sind die unter (2) erfassten Leistungsansprüche im Fall von Identitätsdatendiebstahl.
Identitätsdatendiebstahl ist das unbefugte unberechtigte Abfangen oder Ausspähen von Identitätsdaten / Berechtigungsdaten im Internet, sowie die missbräuchliche Verwendung einer fremden Identität im Internet.
Identitätsdaten / Berechtigungsdaten sind alle Angaben mit persönlichem Bezug z. B. Benutzername, Anmeldedaten, Passwörter, IPAdresse, E‑Mail-Adresse, IBAN, Sozialversicherungsnummer, Personalausweisnummer, Reisepassnummer, Führerscheinnummer, Fahrzeugschein oder Registrierungsnummer eines Fahrzeugs, Bankverbindung und Fingerabdrücke.
(2) Der Leistungsanspruch umfasst die Vermittlung folgender Leistungen durch einen vom Versicherer zu vermittelnden und zu bezahlenden Provider:
• Gezielte und individuelle Suche nach den entwendeten Daten der versicherten Person im Internet und Erstellung eines Reports mit Handlungsempfehlungen;
• Ermittlung des Webseitenbetreibers, bei dem die jeweils gestohlenen Daten gelistet und möglicherweise gehandelt werden;
• Veranlassen der Entfernung durch einen mehrstufiger Löschungs- /Änderungsauftrag bzgl. der entwendeten Daten im Internet;
• Auftrag zur Löschung der Suchvorschläge (Neuindexierungsauftrag) an Google nach Veranlassen der Entfernung eines Eintrags von Identitätsdaten der versicherten Person;
• Erstellung eines Abschlussberichts zu den Erfolgen oder Misserfolgen der erfolgten Maßnahmen.
Ein entsprechender Vertrag bezüglich der vorgenannten versicherten Leistungen kommt zwischen dem Versicherungsnehmer und dem durch den Versicherer vermittelten Dienstleistungserbringer zustande.
Somit beschränkt sich die Haftung des Versicherers auf ein Organisations‑, Auswahl- und Überwachungsverschulden.
(3) Umfang des Leistungsanspruchs:
Der Versicherungsschutz erstreckt sich höchstens auf drei Fälle im Kalenderjahr.
Der Leistungsanspruch ist auf den Höchstbetrag von EUR 5.000 für versicherte Leistungen im Kalenderjahr begrenzt.
(4) Der Leistungsanspruch entsteht bei einem begründeten und nachweisbareren Verdacht der versicherten Person.
(5) Nicht versichert sind Fälle des Identitätsdatendiebstahls
• durch eine Person, die im gleichen Haushalt des Versicherungsnehmers lebt und am Hauptwohnsitz des Versicherungsnehmers gemeldet ist;
• betreffend alle aus dem Identitätsdatendiebstahl entstehenden Schäden, die nicht im Leistungsumfang enthalten sind sowie Folgeschäden;
• die durch eine versicherte Person verursacht wurden.
Auf die sonstigen Ausschlussgründe unter Nr. 14.10. wird verwiesen.“
Der Versicherungsschutz würde nach dem Wortlaut der Bedingungen bis zu 5.000 Euro auch für Schäden durch Mail-Spoofing umfassen. Immerhin geht es hier um die missbräuchliche Verwendung der eigenen Identität im Internet. Sofern der konkrete Schaden sich ausschließlich auf den Eintrag einer oder mehrerer privater Mails in eine Blacklist beziehen sollte, dürfte Janitos bei verständiger Auslegung der Bedingungen höchstens den entsprechenden Zeitaufwand für die Löschung des Blacklist-Eintrags beinhalten. Inwiefern Janitos hier den Mindestlohn oder eine andere Bemessung für den Schaden berücksichtigt, geht aus den Bedingungen nicht hervor.
Während private Cyberdeckungen oft nur eine mehr oder minder umfangreiche Ausschnittsdeckung bieten, gewähren spezialisierte Anbieter auch Versicherungsschutz für Gewerbetreibende und Freiberufler. Beispielhaft ist Hiscox zu benennen, wo sich eben vielen anderen Berufen etwa Blogger oder Journalisten versichern lassen oder der Anbieter Beazley, der auch Versicherungsschutz für Makler und andere Finanzdienstleister bietet.
Hiscox berichtet in seinem „Hiscox Cyber Readiness Report 2020“ von einem deutlichen Rückgang der Cyberattacken auf befragte deutsche Unternehmen von 61 Prozent im Jahre 2019 auf nur noch 41 Prozent im Jahre 2020. Begründet wird dies mit entsprechend ergriffenen Gegenmaßnahmen. Während die absolute Zahl der berichteten Cyberattacken auch weltweit deutlich zurückgegangen sei, seien die durchschnittlichen Kosten je Schaden auch international stark gestiegen, in Deutschland von 9.000 Euro im Mittel im Jahre 2019 auf 72.000 Euro im Jahre 2020. Der höchste für Deutschland berichtete Schadenfall habe im Jahre 2020 insgesamt 6,2 Millionen Euro betragen[2].
Als häufigste Ursachen für Cyber-Zwischenfälle in Deutschland werden Phishing (44 Prozent), Schadprogramme (43 Prozent) sowie Schwachstellen auf der Unternehmenswebsite (34 Prozent) angegeben. Als Top-3-Ursachen für Cyber-Schäden angegeben werden von Hiscox in ihrem Report Schadprogramme (27 Prozent), unbefugter Zugriff auf Unternehmens E‑Mails (20 Prozent) sowie Ransomware (20 Prozent) [3].
„Ursache Nr. 1 der Cyber-Zwischenfälle resultiert vergleichsweise selten in konkretem Schadenfall: Phishing landet mit 17% auf Platz 8. (DE: 15% Data Destruction, 20% Data exfiltration)“ [4]
In Deutschland verfügten im Jahre 2020 nur 24 Prozent der befragten Firmen über eine eigene Cyber-Versicherung.[5] Es gibt also durchaus Potential für eine entsprechende Kundenansprache.
[1] „Schwarze Liste“ auf „wikipedia.de“. Aufzurufen unter https://de.wikipedia.org/wiki/Schwarze_Liste#Schwarze_Listen_im_Kommunikationsbereich, zuletzt aufgerufen am 18.03.2021.
[2] „HISCOX CYBER READINESS REPORT 2020“, S. 2 – 3, aufzurufen unter https://www.hiscox.de/wp-content/uploads/2020/06/Hiscox-Cyber-Readiness-Report-2020_Key-Findings.pdf, zuletzt aufgerufen am 15.04.2021
[3] „HISCOX CYBER READINESS REPORT 2020“, S. 4, aufzurufen unter https://www.hiscox.de/wp-content/uploads/2020/06/Hiscox-Cyber-Readiness-Report-2020_Key-Findings.pdf, zuletzt aufgerufen am 15.04.2021
[4] „HISCOX CYBER READINESS REPORT 2020“, S. 4, aufzurufen unter https://www.hiscox.de/wp-content/uploads/2020/06/Hiscox-Cyber-Readiness-Report-2020_Key-Findings.pdf, zuletzt aufgerufen am 15.04.2021
[5] „HISCOX CYBER READINESS REPORT 2020“, S. 10, aufzurufen unter https://www.hiscox.de/wp-content/uploads/2020/06/Hiscox-Cyber-Readiness-Report-2020_Key-Findings.pdf, zuletzt aufgerufen am 15.04.2021