Wer heute auf gelegentliche Penetration-Tests setzt, erhält Momentaufnahmen – sozusagen Fotos von gestern, während sich seine Angriffsoberfläche angesichts der Vielzahl neuer Releases, neuer Services und neuer Schnittstellen wie ein Live-Stream verhält und täglich verändert. Dies ist die eindrückliche Message von Sandra Känzig, CISO der Helvetia Baloise Gruppe, und Sandro Nafzger in einem gemeinsamen Referat zum Tag der Versicherer.
Wie viel Sicherheit braucht eine Gesellschaft – und wie viel Risiko ist sie bereit zu tragen? Diese Frage stellte man sich an diesem Event des Schweizerischen Versicherungsverbands SVV in der Tonhalle St. Gallen. Unter anderem sollte Versicherbarkeit auch aus dem Blickwinkel der Cybersicherheit betrachtet werden.
Was das bedeutet, machte Sandro Nafzger gleich zu Beginn deutlich: Mithilfe von KI könnten Angreifer Schwachstellen auf Knopfdruck finden, während bei den Verteidigern im Umgang mit Schwachstellen noch vieles manuell und sehr langsam funktioniere. «Angreifer sind heute sage und schreibe hundertmal schneller darin, Schwachstellen zu finden und damit umzugehen als die Verteidiger», so Nafzger. Sein Aufruf an die Verteidiger: «Nutzt intelligente und autonome Systeme – so wie es die Angreifer tun!»
«Die meisten Unternehmen in diesem Raum zählen wohl noch auf traditionelle Testmethoden wie Pentests», glaubt hingegen Sandra Känzig. Diese hätten zwar ihren Platz, doch ausreichend seien sie bei weitem nicht. «Wenn das Foto zweimal im Jahr gemacht wird, sind wir zwar compliant, aber nicht sicher.» Das Problem: Heutige Pentests skalieren nicht. Klassische Tester sind zeitintensiv und damit teuer, während automatische Scanner oberflächlich und unflexibel sind. Doch seit Januar 2025 gibt es mit dem Digital Operational Resilience Act (DORA) eine EU-Verordnung, die von Unternehmen im Finanzsektor sowie deren kritische IT-Drittanbieter wie Cloud-Provider kontinuierliches, bedrohungsorientiertes Testen verlangt.
Um diesen hohen Anforderungen zu genügen, ist die Helvetia Baloise Gruppe seit 2021 in einer bewährten Partnerschaft mit Bug Bounty Switzerland. Seit 2025 setzt der Versicherer auch auf den Cyber Resilience Shield. Was dies dem Unternehmen konkret bringt, machte Känzig mit ein paar Zahlen deutlich: 450 Assets der Gruppe werden kontinuierlich von rund 500 ethischen Hackern geprüft. Dabei haben sie bisher über hundert validierte Sicherheitslücken gefunden, darunter sechs hochkritische! Und die Zahl steigt weiterhin an. Im ersten Halbjahr 2026 wurden bereits wieder über vierzig Lücken gefunden.
Gefunden wurde beispielsweise eine kritische Lücke im produktiven E-Banking. «So hat sie ein ethischer Hacker gefunden, bevor es ein unethischer tun konnte», erklärte Känzig. Für sie ist klar: Mit herkömmlichen Methoden ein- oder zweimal im Jahr ein grünes Häkchen für die Compliance zu setzen, mag gestern genügt haben. Heute, im Zeitalter von KI, reicht es nicht mehr: «Dies ist kein Compliance-Thema. Es geht um Überlebensfähigkeit.» Känzigs Ermahnung deshalb an das Publikum: «Lassen Sie Ihre Systeme kontinuierlich von ethischen Hackern testen — bevor es die unethischen tun!»
Oder wie es Sandro Nafzger zum Schluss auf den Punkt brachte: In der Cybersecurity gibt es zwei Möglichkeiten, bislang unbekannte Sicherheitslücken zu finden. Entweder vor dem Angriff – oder danach.
Wir alle ziehen das Davor dem Danach vor.
