Nachdem die Prämien für Cyberversicherungen während der Pandemie, als plötzlich alle im Homeoffice arbeiten mussten, auf ein extremes Niveau gestiegen waren, sind sie inzwischen deutlich gesunken. Sie haben richtig gelesen: ist deutlich gesunken.
Was hat sich also geändert, und wo liegt der Haken?
Ein aktueller Bericht „ “ von Howden, einem in Großbritannien ansässigen Versicherungsmakler und Versicherer, hat gezeigt, dass die Prämien für Cyberversicherungen weltweit seit ihrem Höchststand Mitte 2022 um 15 % gesunken sind, und dies trotz einer zunehmend schwierigen Bedrohungslage. Neben den Rückgängen, die je nach Region unterschiedlich ausfallen, stellt Howden fest, dass die Kapazitäten gestiegen sind und die Versicherer nun eher bereit sind, Deckungssummen zu erhöhen , die mit Ransomware verbundenen Deckungsbeschränkungen aufzuheben und die Selbstbehalte zu senken. Unterdessen sanken die Prämien in den USA im zweiten Quartal dieses Jahres um 5 %; laut dem in New York ansässigen Versicherungsunternehmen Marsh war dies das fünfte Quartal in Folge, in dem ein Rückgang der Prämien zu verzeichnen war.
Howden und Branchenexperten führen die Preisrückgänge in erster Linie auf die Reifung der Branche und den zunehmenden Wettbewerb zurück. Tatsächlich geht S&P Global Berichten zufolge davon aus, dass die Absicherung gegen Cyberrisiken mittlerweile zu den am schnellsten wachsenden Versicherungsprodukten zählt und bis zum Jahr 2025 voraussichtlich ein Volumen von 20 Milliarden US-Dollar überschreiten wird, gegenüber etwa 15 Milliarden US-Dollar im Jahr 2023.
Das war noch vor wenigen Jahren nicht der Fall, als die Zinsen ihren Höchststand erreichten. Die Cyberversicherung war zu jener Zeit im Vergleich zu Hausrat-, Lebens- und Kfz-Versicherungen noch ein relativ neues Produkt. Die Versicherer hatten noch nicht herausgefunden, welche Prämien sie verlangen mussten, um einen Gewinn zu erzielen.
Während der Pandemie verschlimmerte sich die Lage erheblich, da Millionen von Arbeitnehmern plötzlich von zu Hause aus arbeiten mussten, was die Bedenken hinsichtlich des Datenschutzes verstärkte und zu einem sprunghaften Anstieg der Cyberkriminalität führte . Einige Versicherer reagierten darauf mit einer Einschränkung des Versicherungsschutzes, der Einführung von Ausschlussklauseln (insbesondere für Ransomware-Angriffe) sowie mit Prämienerhöhungen. Andere Fluggesellschaften haben sich ganz aus diesem Geschäft zurückgezogen.
Nun sieht die Lage ganz anders aus. Bislang zeigen die Unternehmen jedoch kein Interesse – zumindest nicht vollständig. Und dafür gibt es einen guten (wenn auch nicht ganz stichhaltigen) Grund.
Ein stabilisierter Markt für Cyberversicherungen
Die Versicherer haben ihre Geschäftsmodelle inzwischen weitgehend ausgereift, wissen, wie sie Gewinne erzielen können, und konkurrieren um neue Kunden – auch wenn weiterhin erhebliche Sicherheitsvorfälle auftreten.
“„Die Kosten für Cyberversicherungen sinken weiterhin, trotz anhaltender Angriffe, zunehmender geopolitischer Instabilität und der zunehmenden Verbreitung von generativer KI.“Sarah Heild, Leiterin des Bereichs Cyber-Einzelhandel bei Howden
„Die positive (sic) Entwicklung hat sich bis ins Jahr 2024 fortgesetzt, wobei die Kosten für Cyberversicherungen trotz anhaltender Angriffe, zunehmender geopolitischer Instabilität und der zunehmenden Verbreitung von Gen-AI- weiter gesunken sind“, erklärte Sarah Heild, Leiterin des Bereichs Cyber-Retail bei Howden, in einer Stellungnahme. „Die Grundlagen für einen ausgereiften Cybermarkt, dessen Kern Innovation und durch Bekanntheit getriebenes Wachstum bilden, sind nun geschaffen.“
Übersetzung: Die Cyberversicherungsbranche hat ihre Risikoprüfungsmodelle nun endlich ausgereift, sodass sich die Lage stabilisiert hat. Die Gewinne im Versicherungsgeschäft sind hoch und werden voraussichtlich auf diesem Niveau bleiben. Und die Versicherer werben um Kunden, indem sie auf die zunehmenden Cyberrisiken hervorheben und gleichzeitig attraktive Angebote für den Versicherungsschutz gegen diese Risiken unterbreiten.
[Lesen Sie auch: 5 Mythen – und Fakten – rund um die Cyberversicherung]
Das klingt nach einem Käufermarkt. Und dennoch machen nur wenige Käufer davon Gebrauch. Zwar zeigen die Daten, dass die meisten Entscheidungsträger im Bereich Sicherheitstechnologie in Unternehmen über eine Form von Cyber-Versicherungsschutz verfügen, doch laut Forrester hatte nur jeder Vierte eine eigenständige Police von 2023.
Warum Cyberversicherungen auf Skepsis stoßen
Ilia Kolochenko, Partner bei Platt Law LLP – einer auf Cybersicherheit spezialisierten Anwaltskanzlei mit Sitz in Washington, D.C., und New York – sowie Geschäftsführer von ImmuniWeb, einem weltweit tätigen Unternehmen für Anwendungssicherheit, führt als einen der Hauptgründe an, dass viele Unternehmen das Produkt nicht verstehen. Manche betrachten dies als eine Entweder-oder-Situation: Entweder schließt man eine Cyberversicherung ab, um sich gegen einen Vorfall abzusichern, oder man investiert in Cybersicherheitstechnologie, um Vorfälle zu verhindern. Aber Sie tun nicht beides. Kolochenko erklärt, dass andere Unternehmen den Motiven der Versicherer schlichtweg skeptisch gegenüberstehen. Sie befürchten, dass die Versicherer im Falle eines Cybervorfalls auf alle möglichen versteckten Klauseln, Obergrenzen, Beschränkungen und Ausschlüsse verweisen werden, um eine Zahlung zu vermeiden, wodurch sie im Stich gelassen würden.
“Bei komplexen Produkten wie Cyberversicherungen bedeutet ein Preisrückgang in der Regel, dass sich etwas geändert hat. Wenn sich etwas verbessert hat, dann eher zugunsten des Versicherers als zugunsten des Versicherten.”Ilia Kolochenko, Partner bei Platt Law LLP
Und das hat durchaus seine Berechtigung. Die Zahl der Schadensfälle steigt zweifellos – so gab Marsh beispielsweise unter bekannt, dass seine Kunden in den USA und Kanada im Jahr 2023 insgesamt 1 800 Cyber-Versicherungsansprüche geltend gemacht haben, was einen Rekord für das Unternehmen darstellt. Dennoch heißt es auf Security Boulevard unter , dass 99 % der Unternehmen, die in jenem Jahr Schadensfälle meldeten, keine vollständige Erstattung erhielten, da ihre Ausgaben die Versicherungssummen überstiegen. Laut Embroker, einem Unternehmen für gewerbliche Versicherungen, liegen die Deckungsgrenzen im Bereich zwischen 500 000 und 5 Millionen US-Dollar pro Schadensfall. IBM hingegen berichtete , dass die weltweiten Durchschnittskosten einer Datenpanne im Jahr 2024 bei 4,88 Millionen US-Dollar lagen, was einem Anstieg von 10 % gegenüber dem Vorjahr entspricht.
Kolochenko berichtet von einem Chief Information Security Officer (CISO) bei „ “ ( ) in einem Unternehmen, das Opfer eines Datenlecks wurde, einen Anspruch aus der Cyberversicherung geltend machte und angenehm überrascht war, als sein Versicherer die gesamten Kosten übernahm, ohne Fragen zu stellen.
„Er war überglücklich und sagte: ‚Wir sollten wohl damit beginnen, unser Budget für Cybersicherheit zu kürzen.‘“ „Wir brauchen diese Sicherheitsmaßnahmen nicht mehr; wir haben ja eine Cyberversicherung!“
Dann ließ die Begeisterung nach. Einige Monate später rief der Kunde Kolochenko in großer Panik an, um ihm mitzuteilen, dass sein Unternehmen erneut Opfer eines Cyberangriffs geworden sei und Hilfe benötige.
„Er sagte zu mir: ‚Hören Sie, Ilia, gemäß unserem Vertrag ist pro Kalenderjahr nur ein Vorfall versichert.‘ Dies ist unser zweiter Vorfall. Es handelt sich um eine Datenpanne bei „ “, die als Katastrophe von großem Ausmaß einzustufen ist, und wir werden wahrscheinlich Verluste in Millionenhöhe erleiden. Unser Versicherer schickt uns jedoch höflich in die Hölle und erklärt, er habe bereits mehrere tausend Dollar für unseren früheren Schadenfall gezahlt. „Was sollen wir tun?“
Halten Sie die Augen weit offen
Kolochenko ist der Ansicht, dass solche Horrorgeschichten Unternehmen nicht davon abhalten sollten, den Abschluss einer Cyberversicherung in Betracht zu ziehen, insbesondere angesichts der derzeit niedrigeren Prämien. Das sollten sie tatsächlich. Er weist jedoch darauf hin, dass Unternehmen politische Optionen mit klarem Blick bewerten und sich die Zeit nehmen müssen, diese zu verstehen, da sie komplex sein können.
“Sie können Ihren IT-Leiter hinzuziehen und ein ziemlich fachspezifisches Gespräch darüber führen, was in dieser Anwendung steckt.“Peter Hedberg, Vizepräsident für Cyber-Versicherungsgeschäft, Corvus Insurance
„Neben einem Treffen Ihres Versicherungsbeauftragten und Ihres Finanzvorstands mit Ihrem Versicherer können Sie auch Ihren IT-Leiter hinzuziehen und eine ziemlich fachspezifische Diskussion darüber führen, was in diesem Antrag steht“, sagt Peter Hedberg, Vizepräsident für Cyber-Risikoprüfung bei Corvus Insurance. „Wenn sie sich mit solchen Themen eingehend befassen können, ist das ein Zeichen dafür, dass es sich um einen ziemlich guten Agenten handelt.“ „Denn jetzt geht es um technische Details.“
Das gilt umso mehr, wenn die Preise sinken.
„Wenn die Preise für einfache Konsumgüter wie eine Dose Cola oder ein GM-Auto sinken, ist das für die Verbraucher in der Regel eine gute Sache“, sagt Kolochenko. „Bei komplexen Produkten wie Cyberversicherungen bedeutet ein Preisrückgang jedoch wahrscheinlich, dass sich etwas geändert hat.“ Wenn sich etwas verbessert hat, ist es wahrscheinlicher, dass dies eher für den Versicherer als für den Versicherten von Vorteil war. Wenn ein Angebot zu gut erscheint, um wahr zu sein, könnte es doch wahr sein. „Ich empfehle jedoch stets, die Allgemeinen Geschäftsbedingungen genau zu prüfen, mit Ihrem Versicherer zu sprechen und sicherzustellen, dass Sie sich einig sind, sowie die gesamte schriftliche Korrespondenz mit ihm über Ihr gemeinsames Verständnis der Vertragsklauseln und deren Bedeutung aufzubewahren.“
Eine sorgfältige Prüfung bedeutet nicht, dass lediglich ein Mitarbeiter des Unternehmens die Unterlagen durchsieht oder einen Versicherungsmakler anruft. Vielmehr wird darin vorgeschlagen, eine multidisziplinäre Gruppe von Fachleuten einzubeziehen – genau wie bei Versicherungsgesellschaften.
„Die Cyberversicherung ist eine Mischung aus Wissenschaft, Kunst und Recht“, sagt Kolochenko. „Bei der Bewertung von Richtlinien müssen unbedingt Technikexperten, Risikofachleute und Juristen mit Erfahrung im Bereich Cybersicherheit einbezogen werden.“
