Homeoffice-Anteil

Warum relevant für das Underwriting

Ein erheblicher Homeoffice-Anteil verändert das Risikoprofil auf zwei unterschiedlichen Ebenen. In der Unfallversicherung ist die Abgrenzung zwischen versicherter Arbeitstätigkeit und privaten, nicht betrieblichen Vorfällen zu Hause schwieriger festzustellen als in Betriebsräumen, was die Schadenbeurteilung und in manchen Rechtsordnungen die Aufteilung zwischen Berufs- und Nichtberufsunfalldeckung beeinflusst. Im Cyberbereich erweitert eine grosse Homeoffice-Belegschaft die Angriffsfläche durch Heimnetzwerke, private Geräte und dezentrale Zugangspunkte, die in der Regel weniger kontrolliert sind als ein zentralisiertes Unternehmensnetzwerk, was die Wahrscheinlichkeit und potenzielle Schwere eines Sicherheitsvorfalls erhöht.

Erfassung und Nachweise

Underwriter fragen den Anteil der regelmässig oder dauerhaft im Homeoffice arbeitenden Mitarbeitenden, die übliche Anzahl Homeoffice-Tage pro Woche und ab, auf welche Daten, Systeme und Geräte diese Mitarbeitenden remote zugreifen. Als Nachweise dienen die HR-Richtlinie zur Remote-Arbeit mit Personalaufteilung nach Standort, das IT-Geräte- und Fernzugriffsinventar sowie die Dokumentation der auf Fernverbindungen angewendeten Sicherheitskontrollen wie VPN und Multi-Faktor-Authentifizierung.

Wirkung auf Deckung, Prämie und Bedingungen

Ein höherer Homeoffice-Anteil ohne entsprechende Endpoint- und Netzwerksicherheitskontrollen erhöht in der Regel die Cyber-Prämie und kann eine Bedingung zur Einhaltung von Mindestsicherheitskontrollen auslösen, etwa obligatorische Multi-Faktor-Authentifizierung und verschlüsselter Fernzugriff, wobei bei schwachen oder undokumentierten Kontrollen eine Ablehnung möglich ist. Im Unfallbereich wirkt sich der Anteil vor allem auf die Schadenbearbeitungspraxis und die Klarheit der Wortlaute aus statt direkt auf die Prämie, doch Versicherer können eine klare Homeoffice-Richtlinie verlangen, die versicherte Arbeitszeiten und -orte definiert.

Massnahmen

Empfohlene Massnahmen umfassen die Durchsetzung einer dokumentierten Homeoffice-Richtlinie mit klar definierten Arbeitszeiten und -orten, die verpflichtende Nutzung von VPN und Multi-Faktor-Authentifizierung für jeden Fernzugriff, ein laufend aktuelles Inventar der ausserhalb der Betriebsräume genutzten Geräte sowie Sicherheitsschulungen, die auf Homeoffice-spezifische Risiken wie Phishing und ungesicherte Heimnetzwerke ausgerichtet sind.