Beschlussvorlage - VO/1/0162/2020

Sachverhalt:

Eine Cyberversicherung mindert den finanziellen Schaden bei einem erfolgreichen Hackerangriff auf die IT der Verwaltung. Zusätzlich werden Service-Leistungen erbracht.

Unser Kommunalversicherer (KSA / OKV) hat in Kooperation mit dem Spezialversicherer Hiscox SA. eine Cyberversicherung angeboten. Der KSA übernimmt dabei die Haftpflichtansprüche, die aus Cyber-Risiken resultieren. Die OKV i. V. m. der Hiscox SA reguliert den Eigenschaden der durch Cyber-Risiken entstehen kann. Dabei wird eine Versicherungssumme zwischen 250 TE und 1 Mio. EUR angeboten. Das Amt hat sich aus wirtschaftlichen Gründen für eine Versicherungssumme in Höhe von 500 T€ entschieden; 250 T€ = 5 T€ Prämie / 500 T€ = 6 TE Prämie.

Der Versicherungsschutz umfasst folgende Cyber-Schäden:

•  Netzwerksicherheitsverletzung;

•  Bedienfehler;

•  Datenrechtsverletzung;

•  Cyber-Erpressung;

•  Rechtsverletzung durch Werbung und Marketing.

Folgende Leistungen (Auszug) werden erbracht:
 

1. Soforthilfe im Notfall

• eine Experteneinschätzung zur geschilderten Lage,

• Empfehlungen für Sofortmaßnahmen zur Schadensbegrenzung,

• Empfehlungen für Sofortmaßnahmen zur Ursachenermittlung sowie

• eine erste Bewertung der bisherigen Maßnahmen.

2. Cyber-Eigenschaden

2.1. Kosten für IT-Forensik

2.2. Kosten für Krisenmanagement- und Public-Relations-Maßnahmen

2.3. Wiederherstellungskosten

2.4. Benachrichtigungskosten

2.6. Lösegeld

2.11. Strafrechtsschutz

2.13. Sicherheitsanalyse und Sicherheitsverbesserungen

2.14. Schadenminderungskosten

Die Versicherung stellt alle Dienstleistungen (Experten) direkt bereit. Im Schadensfall kann so unmittelbar auf Knowhow zugegriffen werden.

Die Amtsverwaltung hat im Jahr 2019 eine Cyberversicherung abgeschlossen. Im Zuge der Haushaltsberatungen 2020 wurde der Abschluss dieser Versicherung hinterfragt. Daher wurde der Beschlussauszug nebst Hauptsatzung alt und der Versicherungsschein an die Kommunalaufsichtsbehörde übermittelt. Die KAB hat dazu wie folgt geantwortet:

„die Wertgrenzen für die Entscheidungen und die Formbedürftigkeit liegen bei wiederkehrenden Leistungen nach Ihrer Hauptsatzung bei 500 € monatlich (§4 Abs. 2 Nr. 1; § 7 der Hauptsatzung), also bei 6000 € jährlich. Die Wertgrenzen wurden überschritten, sodass ein Beschluss des Amtsausschusses erforderlich ist. Zudem ist die Schriftform nach der KV einzuhalten. Ich bitte Sie, den entsprechenden Beschluss herbeizuführen und die Schriftform zu heilen.“

Die Wertgrenzen wurden irrtümlich außer Acht gelassen, da zum Zeitpunkt des Vertragsabschlusses die kommunalrechtlichen Vorschriften (§ 22 Abs. 4 Nr. 3 sowie § 39 Abs. 2 KV M-V) nicht rechtskonform angewendet wurden.

Die jährliche Versicherungsprämie liegt bei 6.021,40 EUR und übersteigt damit den in der alten Hauptsatzung für wiederkehrende Zahlungen festgelegten Betrag um 21,40 EUR. Über den Abschluss der Versicherung hat deshalb gem. Hauptsatzung alt der Amtsausschuss zu befinden. Der Auftrag ist vom Amtsvorsteher und einem seiner Vertreter zu unterzeichnen und zu siegeln.

Die Verwaltung empfiehlt den Abschluss der Versicherung. Im Schadensfall ist eine externe Beratung durch Fachleute absolut notwendig. Das Fachwissen im Haus bzw. bei unserem IT-Dienstleister reicht möglicherweise nicht aus, um einen Angriff auf die IT zu bewältigen. Zunehmend werden auch öffentliche Verwaltungen gezielt angegriffen. Auf heise.de wurden dazu zahlreiche Artikel veröffentlicht – hier einige Beispiele:
 

Stadt Brandenburg: https://www.heise.de/newsticker/meldung/Cyberangriff-auf-Verwaltung-Stadt-Brandenburg-teilweise-vom-Netz-4645577.html

Stadt Potsdam: https://www.heise.de/newsticker/meldung/Moegliche-Cyberattacke-Stadt-Potsdam-nimmt-Server-der-Verwaltung-vom-Netz-4644047.html

Stadt Alsfeld: https://www.heise.de/newsticker/meldung/Loesegeld-fuer-Daten-Alsfelder-Stadtverwaltung-nach-Erpressungsversuch-offline-4627537.html

Stadt Homburg: https://www.heise.de/newsticker/meldung/Schadsoftware-Befall-Stadtverwaltung-von-Bad-Homburg-ebenfalls-betroffen-4620590.html

Ein besonderes schwerer Fall betraf das Kammergericht Berlin: https://www.heise.de/newsticker/meldung/Emotet-Berliner-Kammergericht-bleibt-bis-2020-weitgehend-offline-4569544.html

Die Artikel verdeutlichen, dass auch die Amtsverwaltung trotz aller Sicherheitsmaßnahmen ein Opfer von Hackern werden kann. Das Beispiel Kammergericht Berlin zeigt, dass solche Attacken die gesamte IT der Verwaltung schädigen können. Ohne eine Versicherung, müssten alle Kosten über den Amtshaushalt finanziert werden. Das soll durch den Abschluss der Cyber-Versicherung vermieden werden.

Beschlussvorschlag:

Der Amtsausschuss beschließt den Abschluss einer Cyber-Versicherung bei der Gesellschaft „Ostdeutsche Kommunalversicherung auf Gegenseitigkeit“ (OKV). Die Versicherungssumme beträgt 500 T€, die Versicherungsprämie beträgt 6.021,40 € jährlich., Laufzeit 10.03. 2019 bis 01.01. 2021 mit jährlicher Verlängerung.

Finanzielle Auswirkungen:

Ausgaben in Höhe von 6.021,40 € veranschlagt im Produktsachkonto 10/11404/5624