Cyber-Risiken bedrohen Unternehmensratings

Unternehmen, die sich nicht ausreichend vor Cyber-Risiken schützen, droht im schlimmsten Fall eine Herabstufung ihres Kreditratings. Das geht aus einem aktuellen Report der Ratingagentur Standard & Poor’s hervor. Die Vorsorge vor Internetkriminalität fließt demnach mit in die Management- und Corporate-Governance-Bewertung von S&P ein, welche das Rating um ein oder sogar mehrere Notches beeinflussen kann. Zwar hat die Ratingagentur bislang noch keine Bonitätsveränderung aufgrund von gestiegenen Cyber-Risiken oder tatsächlich eingetretenen Fällen von Internetkriminalität vorgenommen. Doch S&P mahnt Nachholbedarf im Risikomanagement der Unternehmen an.

Denn Internetkriminalität kann Auswirkungen auf diverse finanzielle Kennzahlen haben, die wiederum die Kreditwürdigkeit beeinflussen: Hacker können Cash-Bestände erbeuten – wie erst kürzlich bei Ryanair geschehen. Betrüger buchten von einem Geschäftskonto der irischen Billig-Fluglinie 4,6 Millionen Euro ab. Darüber hinaus drohen Umsatzeinbußen, etwa weil Kunden nach einem Datendiebstahl das Vertrauen in die Sicherheitsvorkehrungen verlieren. Damit hatten zuletzt die US-Konzerne Target, Home Depot und Staples zu kämpfen. Auch Profitabilitäts- und Verschuldungskennzahlen können laut S&P unter Druck geraten: Nach einem Hackerangriff muss mehr Geld in die Sicherheit der Systeme investiert werden, teure Schadensersatzklagen drohen.

Cyber-Risiken: Versicherungen noch nicht weit verbreitet

Versicherungen gegen Cyber-Angriffe werden daher populärer. Der Elektronikkonzern Bosch soll im vergangenen Jahr eine solche Police abgeschlossen haben, die Schäden bis zu 100 Millionen Euro abdeckt. Weit verbreitet sind diese Versicherungen aber noch nicht, wie aus dem Report hervorgeht: Demnach schätzt der Versicherungsmakler Marsh den globalen Wert von Cyber-Deckungen auf 100 Milliarden britische Pfund (137 Mrd. Euro). Es ist außerdem eine der wenigen Versicherungen, bei der zuletzt die Prämien gestiegen sind.

Die Ratingagentur räumt allerdings auch ein, dass sich der Einfluss von Cyber-Risiken auf die Kreditwürdigkeit eines Unternehmens nur schwer quantifizieren lasse. So gebe es kaum verlässliche Muster, welche Unternehmensgröße, Branchen und Länder besonders betroffen seien. Außerdem sei das in die IT-Sicherheit investierte Geld kein guter Indikator für die Wahrscheinlichkeit eines Angriffs. Denn aufgrund der Vernetzung bestehe ein Trittbrettfahrer-Problem: Unternehmen, die viel Geld in ihre IT-Sicherheit investieren, schützen wenig gesicherte Firmen mit – umgekehrt bietet das schwächste Glied in der Kette den Angriffspunkt. Nicht umsonst sind Schnittstellen die kritischsten Punkte.

Backhaus[at]derTreasurer.de