In den letzten Jahren ist es zunehmend schwieriger geworden, Cyberversicherungen abzuschließen und zu verlängern. Der Markt für Cyberversicherungen ist volatiler denn je – bedingt durch einen Anstieg sowohl der Gesamtzahl der gemeldeten Schadensfälle als auch der Arten von Cyberbedrohungen, denen die Versicherungsnehmer ausgesetzt sind. Als Reaktion auf das gestiegene Risiko haben Cyber-Versicherer ihre Zeichnungsverfahren verschärft, was wiederum die Versicherungsnehmer dazu gezwungen hat, mehr Zeit und Ressourcen in den Genehmigungsprozess zu investieren – und das bei anhaltender Ungewissheit über den Ausgang.
Es ist möglich, dass der Prozess der Risikoprüfung in den kommenden Jahren gestrafft wird, da sich der Bereich der Cyberversicherung weiter etabliert und sich das Tempo des Wandels verlangsamt. In der Zwischenzeit ist es für Unternehmen jedoch von entscheidender Bedeutung, den Prozess der Risikoprüfung bei Cyberversicherungen vollständig zu verstehen und nach Möglichkeiten zu suchen, den Verwaltungsaufwand für ihre Teams zu minimieren.
Eine kurze, aber faszinierende Geschichte der Risikoprüfung im Bereich der Cyberversicherung
Die Cyberversicherung ist ein relativ neues Segment des Versicherungsmarktes. Während Lebens- und Sachversicherungen jeweils bereits seit über 250 Jahren bestehen – und sogar die Kfz-Versicherung gibt es schon seit über 125 Jahren –, wurde die erste anerkannte „Internet-Haftpflichtversicherung“ im Jahr 1997 von AIG abgeschlossen. Tatsächlich ist die relative Neuheit dieses Segments einer der Gründe dafür, dass die Risikoprüfung bei Cyberversicherungen so komplex sein kann. In einer Branche, die sich auf die Analyse historischer Daten und die Vorhersage künftiger Trends stützt, stellt dieser Mangel an historischen Daten ein Hindernis für die Modellierung zukünftiger Risikoerwartungen dar.
In der Anfangszeit basierten die Verlustprognosen fast ausschließlich auf Bauchgefühl und dem Prinzip von Versuch und Irrtum. Dies entwickelte sich sehr schnell zu Makroansätzen, bei denen die Schadenprognosen auf den Gesamtmarktverlusten basierten, die auf einen gesamten Versichertenpool angewendet wurden. Doch als Cybervorfälle immer häufiger auftraten und die Angreifer immer raffinierter wurden, kam es zu drei Entwicklungen:
- Die Schadensfälle lagen über den Prognosen, was zu einem Anstieg der Schadenquoten und einem Rückgang der Rentabilität führte
- Die Versicherer stellten fest, dass sich das Verlustrisiko auf eine Untergruppe der Versicherungsnehmer konzentrierte und nicht gleichmäßig auf alle verteilt war
- Die Versicherer zeigten sich besorgt über systemische Risiken oder Korrelationsrisiken, bei denen ein Schadenfall im Rahmen einer Police die Wahrscheinlichkeit von Schadenfällen im Rahmen anderer Policen erhöhte
Angesichts dieser neuen Herausforderungen mussten die Versicherer die Risikobewertung um eine Mikrokomponente ergänzen. Die Versicherer mussten die Risikosituation jedes einzelnen Versicherungsantragstellers umfassend analysieren – und konnten sich nicht mehr auf ihr Verständnis des allgemeinen Marktrisikos verlassen.
Wo wir derzeit stehen: Der aktuelle Stand der Risikoprüfung
So begann die Entwicklung des heutigen Zeichnungsprozesses. Die Anträge wurden umfangreicher und komplexer, was zusätzliche Fragebögen und Anlagen erforderlich machte. Es folgten ausführliche Gespräche, Befragungen und Besichtigungen vor Ort. Zusätzlich zu diesen Änderungen begannen die Netzbetreiber, „Outside-in“-Scans der Umgebung eines Antragstellers zu nutzen, die häufig von einem externen Drittanbieter bereitgestellt wurden. Bald schon mussten Unternehmen bestimmte Mindestanforderungen erfüllen – wie beispielsweise die Einführung einer Multi-Faktor-Authentifizierung (MFA) sowie von Endpoint-Detection-and-Response-Funktionen (EDR) –, bevor ein Versicherer eine Police genehmigte.
Zwar haben diese Verbesserungen im Bereich der Risikoprüfung zu einer gewissen Individualisierung der Risikobewertung geführt, doch bestehen nach wie vor einige offensichtliche Mängel. Obwohl sich die IT-Infrastruktur während der gesamten Vertragslaufzeit in einem ständigen Wandel befindet, erfolgt die versicherungstechnische Prüfung zu einem bestimmten Zeitpunkt. Und selbst bei bester Absicht verfügen Personen, die Fragen beantworten und Formulare ausfüllen, möglicherweise nicht immer über alle erforderlichen Informationen, um korrekt zu antworten. Hinzu kommt, dass Fragen so strukturiert sind, dass sie eine einfache Zusammenfassung und Analyse ermöglichen, wodurch jedoch differenzierte Antworten ausgeschlossen oder verschleiert werden können. Und auch wenn eine Reaktion für den Großteil eines Nachlasses zutreffend sein mag, ist es in der Regel das schwächste Glied, das einen Verstoß ermöglicht.
Gleichzeitig passten die Versicherer ihre Vertragsbedingungen an, während sie gleichzeitig mehr Daten erfassten und ihre Analysen zu Cyberrisiken weiter verfeinerten. Dazu gehörte auch die naheliegende Erhöhung der Versicherungsprämien, um den höheren Schadenquoten und der Schwankungsbreite bei den Schadensfällen Rechnung zu tragen. Zudem wurden die Ausschlussklauseln in den Versicherungspolicen genauer unter die Lupe genommen, insbesondere im Zusammenhang mit den „Kriegshandlungen“-Klauseln.
In einigen Fällen sank jedoch die allgemeine Risikobereitschaft, was zu einer Senkung der individuellen Deckungssummen – und in manchen Fällen sogar zur Nichtverlängerung von Verträgen – führte. Diese jüngste Veränderung führte dazu, dass nach alternativen Möglichkeiten zur Risikoabsicherung gesucht wurde, beispielsweise durch tiefere Rückversicherungsmärkte oder über die Kapitalmärkte mithilfe von Insurance-Linked Securities (ILS), die manchmal auch als Katastrophenanleihen bezeichnet werden.
Heutzutage ist das Underwriting ein langwieriger, manuell durchgeführter und zeitaufwändiger Prozess der Datenerhebung und Sorgfaltsprüfung. Aufgrund der jüngsten Schwankungen bei den Preisen sowie bei den Versicherungsbedingungen und Deckungssummen befinden wir uns jedoch auch in einer Situation, in der die Beziehungen zwischen Versicherern und Versicherungsnehmern mitunter angespannt sein können. Während des Underwriting-Prozesses kann es vorkommen, dass jede Seite der anderen mit einem gewissen Maß an Misstrauen begegnet.
Unser Ziel: Die angestrebte Entwicklung
Unserer Ansicht nach ist die erste (und wichtigste) Veränderung, die sich allgemein auf dem Markt und im Zeichnungsprozess vollziehen muss, ein gemeinsames Verständnis von Partnerschaft zwischen den Versicherern und ihren Kunden. Beide Seiten müssen sich darüber einig sein, dass die Risikominderung in ihrem gemeinsamen Interesse liegt – und dass eine fundierte Risikoanalyse, die zu fairen Preisen und Konditionen führt, das angestrebte Ergebnis ist. Es liegt im Interesse aller Marktteilnehmer, dass diese Form der Risikoverlagerung denjenigen zur Verfügung steht, die sich für deren Nutzung entscheiden. Dies setzt sowohl angemessene Renditen für diejenigen voraus, die das Risiko übernehmen (die Versicherer), als auch akzeptable Bedingungen für diejenigen, die ihr Risiko übertragen (die Versicherten).
Sollte es gelingen, diesen partnerschaftlichen Geist zu entwickeln, sehen wir den nächsten wichtigen Schritt zur Verbesserung des Risikoprüfungsprozesses darin, elektronisch erfasste Kennzahlen aus dem Bereich hinter der Firewall bezüglich der Cybersicherheit des versicherten Unternehmens auszutauschen. Im Gegensatz zu manuell ausgefüllten Fragebögen können elektronisch erhobene Daten ein genaueres Bild der Umgebung vermitteln und den Zeit- und Arbeitsaufwand, der erforderlich ist, um ein klares Bild der Umgebung zu vermitteln, erheblich reduzieren. Die Zielkennzahlen müssen der Risikoanalyse des Versicherers angemessen sein und auf einer geeigneten Abstraktionsebene bereitgestellt werden (d. h. Anteile einer Umgebung, die ein bestimmtes Merkmal aufweisen, anstatt Daten zu einzelnen Geräten oder Hosts).
Im Idealfall würde der Versicherer, nachdem er die Kennzahlen vom Antragsteller erhalten hat, mit Einzelheiten zu den wichtigsten Ergebnissen und priorisierten Abhilfemaßnahmen antworten. Nach der Nachbesserung könnte der Antragsteller die Kennzahlen erneut einreichen, damit endgültig über die Versicherungsbedingungen entschieden werden kann. Und dank eines optimierten Prozesses, der viele der mühsamen und zeitaufwändigen Schritte überflüssig macht, können wir uns eine Zukunft vorstellen, in der Datenüberwachung und Korrekturmaßnahmen regelmäßiger als nur einmal jährlich durchgeführt werden – was dazu beiträgt, Risiken, Schadensfälle und Preise weiter zu senken.
Die Herausforderungen, denen wir uns gemeinsam stellen müssen
Die Anlaufschwierigkeiten, mit denen die Versicherer in der Anfangsphase der Marktentwicklung zu kämpfen hatten, führten zu einigen bedauerlichen Folgen. Da die Schadenquoten aufgrund der gestiegenen Anzahl von Angriffen – insbesondere, wenn auch nicht ausschließlich, im Zusammenhang mit Ransomware – stark anstiegen, litt die Rentabilität darunter. Als Reaktion darauf haben die Transportunternehmen ihre Risiken verringert und ihre Preise angehoben. Die daraus resultierenden Schwankungen bei den Kosten und der Verfügbarkeit von Cyberversicherungen führten zu Misstrauen unter den Käufern auf dem Markt.
Unter den derzeitigen Rahmenbedingungen könnte sich eine Strategie, die darauf abzielt, die Datenerhebung bei den Versicherten zu verbessern, als schwierig erweisen. Da sich der Markt zudem stabilisiert und die Risikolimits etwas gelockert werden, verschärft sich der Wettbewerb unter den Versicherern. Dies bedeutet, dass ein bestimmter Versicherer, der versucht, seine Methode der Datenerhebung zu verbessern, Gefahr läuft, Geschäft an andere Versicherer zu verlieren, die keine derartigen Anforderungen stellen.
Dies ist ein klassisches „Henne-Ei“-Problem, das durch die Skepsis auf dem Käufermarkt noch verstärkt wird. Angesichts dessen müssen die Versicherer den Gedanken der Partnerschaft mit ihren Kunden in den Vordergrund stellen. Das Thema eines besseren Datenaustauschs muss mit der Botschaft verbunden werden, Risiken insgesamt zu verringern, Fachwissen (sowohl im Bereich der Prävention als auch der Reaktion auf Vorfälle) auszutauschen und die Gesamteffizienz des Risikoprüfungsprozesses zu steigern. Dazu gehört auch die Auffassung, dass der elektronische Datenaustausch nicht darauf abzielt, neue und andere Informationen zu erfassen als diejenigen, die derzeit im Rahmen papierbasierter Prozesse erfasst werden. Vielmehr handelt es sich um eine effizientere, genauere und zeitnahere Methode zur Datenerhebung.
Das übergeordnete Ziel besteht zweifellos darin, ein besseres Verständnis für das Verlustrisiko zu fördern und die Versicherungsbedingungen entsprechend anzupassen. Die Antragsteller müssen jedoch davon überzeugt werden, dass das Verfahren zu besseren Ergebnissen führt – und nicht zu Sanktionen wegen offengelegter Mängel. Wenn man sie davon überzeugen kann, dass die Versicherer gemeinsam mit ihnen an Sanierungsmaßnahmen und der Risikominderung arbeiten wollen, entsteht daraus möglicherweise die Bereitschaft zur Mitwirkung. Ein weiterer Aspekt in diesem stark regulierten Produktsegment ist die Rolle, die Aufsichtsbehörden, Branchenverbände und möglicherweise auch Makler spielen können. Diese Abstimmung würde zu einem gemeinsamen Ergebnis führen, das den Markt für alle Beteiligten verbessert.
Um mehr über Cyberversicherungen und Strategien zu erfahren, mit denen Sie sicherstellen können, dass Ihre Police im Ernstfall auch tatsächlich zahlt, lesen Sie dieses E-Book: „ “ – „Tanium for Cyber Insurance“.
