Als russische Truppen am 24. Februar in die Ukraine einmarschierten, konzentrierten sich westliche Militärexperten auf die Truppenstärke und die Bewaffnung. Die Politiker berieten intensiv über die Auswirkungen auf Europa. Und Cyberversicherungsmakler – die sich an Policen mit „Kriegsausschlussklauseln“ klammerten – machten sich Gedanken darüber, wie sie diesen Vorfall bezeichnen sollten.
Nachrichtenmedien von ABC bis zur BBC bezeichneten das Geschehen als „Konflikt“, als „Invasion“ oder – wie Russland es bevorzugt – als „militärische Sonderoperation“. Kein echter Krieg. Schließlich lichtete sich der sprachliche Nebel. Die westliche Welt begann, das Wort „Krieg“ in den Mund zu nehmen und den Angriff als das zu bezeichnen, was er ist. Für Cyberversicherungsunternehmen schien dies die Angelegenheit zu ihren Gunsten zu klären, während die Versicherungsnehmer, die Angst vor russischen Cyberangriffen hatten, im Regen stehen gelassen wurden.
Die Nachfrage nach Cyberversicherungen unter hat in den letzten Jahren zugenommen, was auf den dramatischen Anstieg von Cyberangriffen und die Sorge der Unternehmen um Prävention zurückzuführen ist. Der Anteil der Versicherungskunden, die sich für einen Cyber-Versicherungsschutz entschieden haben, stieg laut einer aktuellen Analyse des Government Accounting Office ( ) mit dem Titel „ “ von 26 % im Jahr 2016 auf 47 % im Jahr 2020.
In den meisten Versicherungspolicen ist der Versicherungsschutz für Kriegshandlungen ausgeschlossen. Allerdings kann sich die Durchsetzung solcher „Kriegs“-Klauseln als schwierig erweisen. So bekennen sich feindlich gesinnte Nationalstaaten beispielsweise selten, wenn überhaupt, zu Cyberangriffen auf ausländische Regierungen und Unternehmen. Zudem bieten Länder wie Russland und Nordkorea Cyberkriminellen-Syndikaten und Hacktivisten Unterschlupf, deren Angriffe – selbst wenn sie im Interesse des Mutterlandes erfolgen – nicht als Kriegshandlungen angesehen werden.
Die Versicherer gehen kein Risiko ein. Viele arbeiten derzeit an neuen Klauseln, um ihre Risiken durch eine Ausweitung der Deckungsausschlüsse abzusichern. „Chubb hat seine Strategie, den Versicherungsschutz für großflächige Ereignisse einzuschränken, öffentlich bekannt gegeben“, und ein weiterer Markt erwägt dieselbe Strategie, erklärte Monica Tigleanu, Senior Cyber Underwriter beim deutschen Rückversicherungsriesen Munich Re, kürzlich in einem Interview mit „
“ gegenüber Endpoint.
„Auf dem Versicherungsmarkt herrscht eine große Sensibilität gegenüber systemischen Risiken“, erklärt sie, „und Ausschlüsse sind eine weitere Möglichkeit, dieses Risiko zu steuern.“
Dies sollte die Versicherungsnehmer in Alarmbereitschaft versetzen, ebenso wie die Warnung von Präsident Biden vom Montag: „Je mehr Putin mit dem Rücken zur Wand steht, desto drastischer könnten die Maßnahmen sein, die er ergreift …“ „Eines der Mittel, auf die er meiner Ansicht nach, unserer Ansicht nach, am ehesten zurückgreifen wird, sind Cyberangriffe.“ Für den Fall, dass noch Zweifel bestanden, fügte er hinzu: „Das Ausmaß der russischen Cyberkapazitäten ist beträchtlich, und sie werden zum Einsatz kommen.“
Das bedeutet, dass der Druck auf Führungskräfte aus den Bereichen Wirtschaft, Technologie und Cybersicherheit noch nie so groß war wie heute. Sie müssen digitale Risiken erkennen und mindern, ihre Mitarbeiter über den Wert einer ordnungsgemäßen Cyberhygiene aufklären und dabei genau berechnen, wofür ihre Versicherer im Falle eines unvermeidlichen Sicherheitsvorfalls aufkommen werden und wofür nicht.
Ob Krieg oder kein Krieg – sie müssen darauf vorbereitet sein.
Warum ist „ “ ( ) der Ausschluss von Krieg in Ihrer Cyber-Versicherungspolice?
Kriegsausschlussklauseln tauchten erstmals im Jahr 1930s als Reaktion auf den Spanischen Bürgerkrieg in Versicherungsverträgen auf. Manchen mag dies wie eine Ausrede erscheinen – lediglich eine weitere Möglichkeit für Versicherungsgesellschaften, sich vor der Zahlung an ihre Kunden zu drücken. Das eigentliche Ziel dieser Ausschlüsse besteht jedoch darin, die Versicherer vor Ereignissen zu schützen, die so katastrophal sind, dass sie bei dem Versuch, alle Schadensfälle zu begleichen, in den Konkurs getrieben würden. Das schützt auch den Rest von uns. Eine Versicherung hat keinen Sinn, wenn die finanziellen Mittel Ihrer Versicherungsgesellschaft dadurch aufgebraucht werden.
Die Versicherer hatten die ursprünglichen Kriegsklauseln jedoch während eines tatsächlichen Krieges ausgearbeitet, als es zu konkreten Personen- und Sachschäden kam. Ein Cyberkrieg ist schwerer zu erkennen.
„. Auf dem Versicherungsmarkt herrscht eine große Sensibilität gegenüber systemischen Risiken, und Ausschlussklauseln sind eine weitere Möglichkeit, dieses Risiko zu steuern.“Monica Tigleanu, leitende Cyber-Versicherungssachverständige, Munich Re
Es ist zudem schwieriger zu definieren. Im Jahr 2013 bezeichnete der ehemalige CIA-Direktor Michael Hayden eine Welle staatlich geförderter Cyberangriffe, die ihren Ursprung in China hatten , als vergleichbar mit Hiroshima. Ein Jahr später erklärte Senator John McCain (Republikaner aus Arizona), der Hackerangriff Nordkoreas auf Sony Pictures Entertainment sei „
„, eine neue Form der Kriegsführung.“ „Das ist nicht der Fall“, sagte Präsident Obama, der den Hackerangriff auf Sony im Film „
“ als „Cybervandalismus“ und „keinen Kriegshandlung“ bezeichnete.
Drei Jahre später wurde auch der Cyberangriff „NotPetya“, von dem Unternehmen weltweit betroffen waren und der Schäden in Höhe von 2 bis 10 Milliarden US-Dollar verursachte, als Vandalismus eingestuft, obwohl sowohl die US-amerikanische als auch die britische Regierung den Angriff dem russischen Militär zuschrieben.
NotPetya hatte den Finanzsektor der Ukraine ins Visier genommen. Doch dank der weltweit vernetzten Computernetzwerke verbreitete es sich rasend schnell und erlangte globale Bekanntheit. Der Pharmakonzern Merck & Co. gab an, durch den Angriff Verluste in Höhe von 1,4 Milliarden US-Dollar erlitten zu haben. Doch die fast drei Dutzend Versicherungsgesellschaften wiesen den Anspruch unter Berufung auf den Kriegsausschluss zurück.
Merck verklagte seine Cyber-Versicherer – und gewann
Im vergangenen Dezember entschied ein Richter in New Jersey zugunsten des Pharmariesen. Der Richter am Bundesgericht für Handelssachen ( ) entschied , dass sich die Kriegsausschlussklausel auf bewaffnete Konflikte beziehe. Der Richter wies ferner darauf hin, dass die Versicherer, hätten sie die Zahlung von Entschädigungen für derartige Cyberangriffe vermeiden wollen, den Wortlaut hätten ändern müssen, um diese Ereignisse zu definieren.
Die Versicherungspolice von Merck war eine sogenannte Allgefahrenversicherung. Wie Michael Bahar, Partner im Bereich Prozessführung bei Eversheds Sutherland und ehemaliger stellvertretender Rechtsberater des Nationalen Sicherheitsrates, kürzlich in einem Bericht der „ “ unter schrieb: „All-Risks-Policen sind darauf ausgelegt, Schutz vor Sachschäden zu bieten; dennoch schließen viele vor 2018 abgeschlossene Policen Cyberrisiken weder ausdrücklich noch stillschweigend aus und bieten daher möglicherweise Versicherungsschutz, der in der Versicherungsbranche als ‚Silent Cyber‘ bezeichnet wird.“
Vor diesem Hintergrund riet Bahar, dass Unternehmen angesichts des Merck-Falls sowie aufgrund der neuen geopolitischen Instabilität und des erhöhten Risikos von Cyberangriffen ihre Versicherungspolicen genau prüfen sollten, „um einen ausreichenden Versicherungsschutz sicherzustellen“.
Heutzutage greifen Unternehmen häufig auf spezielle Cyber-Versicherungen zurück. Tatsächlich wurden die NotPetya-Schadensersatzansprüche von Unternehmen mit solchen Policen nicht abgelehnt.
Doch die Versicherer sind besorgt. Die Zahl der Ransomware- -Angriffe steigt weiterhin rasant an. Die Versicherungsprämien steigen (um 130 % in den USA und um 92 % im Vereinigten Königreich im vierten Quartal des Jahres 2021, laut Marsh, einem führenden Versicherungsunternehmen). „Sollte die Cyberkriminalität ungehindert weiterzukeilen, wird [die Versicherung] unerschwinglich werden“, erklärte Adrian Cox, CEO des in London ansässigen Versicherers Beazley, im vergangenen Monat in der Rubrik „ “ der Financial Times .
Stärken Sie Ihren Schutz durch grundlegende Cyber-Hygiene
Zwar kann kein Sicherheitsexperte eine Zukunft ohne Cyberangriffe (oder die daraus möglicherweise resultierenden Rechtsstreitigkeiten) garantieren, doch gibt es einige grundlegende Maßnahmen zur Cybersicherheit , die Führungskräfte aus Wirtschaft und Technologie ergreifen können, um ihr Risiko zu senken.
- Lesen Sie das Kleingedruckte. Zunächst sollten Sie Ihre Versicherungspolicen genau prüfen, um festzustellen, ob diese den für Sie passenden Versicherungsschutz gegen Cyberrisiken bieten. „Und wo Zweifel bestehen“, merkt Rechtsanwalt Bahar an, „sollten Sie sich um mehr Klarheit bemühen.“
Die Lloyd’s Market Association, ein Versicherungsfachverband für den Marktplatz „Lloyd’s of London“, hat im November vier neue Klauseln ausgearbeitet, die die standardmäßige Kriegsausschlussklausel in künftigen Cyber-Versicherungspolicen ersetzen oder ergänzen könnten. Derzeit ist unklar, ob einer der 350 Makler den neuen Wortlaut übernommen hat.
- Achten Sie auf Cybersicherheit. Dies ist nicht nur ein enthusiastischer Ratschlag, den man ignorieren kann, wie etwa die Anfeuerungsrufe Ihres Peloton-Trainers. „Cyber-Versicherungsgesellschaften fordern nun ‚bessere Anforderungen an die Cyber-Hygiene der Versicherungsnehmer, wie beispielsweise die Multi-Faktor-Authentifizierung‘“, erklärt Fitch Ratings in einem Beitrag auf Fitch Wire mit dem Titel „“ (Fitch: Cyber-Versicherungsgesellschaften fordern strengere Sicherheitsmaßnahmen von Versicherungsnehmern) von Anfang dieses Monats.
- Bewerten Sie Ihr Cyberrisiko. Ein Cyber-Risiko-Score von „ “ ( ) kann ein Unternehmen auf Schwachstellen in seiner Cybersicherheitsstrategie aufmerksam machen und vermeidbare Fehler aufzeigen, wie beispielsweise das Versäumnis, Software-Updates von „“ ( ) zu installieren oder die Konfigurationen von „“ () zu verwalten. Die Risikobewertung hebt auch Ihre Stärken hervor. Ähnlich wie eine Visitenkarte oder ein Marketinginstrument ist dies eine Möglichkeit, Versicherern, Vorständen und Partnern in der Lieferkette die Cybersicherheitsmerkmale Ihres Unternehmens zu präsentieren. Selbst eine niedrige Risikobewertung ist von Nutzen, da sie den Sicherheitsverantwortlichen die präzisen und notwendigen Daten liefert, um neue Prioritäten zu setzen und die IT-Budgets aufzustocken.
- Automatisieren Sie, wo immer es möglich ist. Das kann man gar nicht oft genug betonen. IT-Abteilungen sind unterbesetzt; die Mitarbeiter sind ausgebrannt. Automatisierungstools verringern das Risiko menschlicher Fehler; sie unterstützen Ihr Sicherheitsteam, indem sie manuelle Vorgänge durch Skripte und maschinell verwaltete Konfigurationsdateien ersetzen. Sie können eine Vielzahl von Routineaufgaben bewältigen, von der Passwortzurücksetzung über das Patch-Management bis hin zur Erkennung und Abwehr von Bedrohungen. Sie können die Reaktion auf Vorfälle unter verbessern, indem sie Bedrohungsinformationen aus verschiedenen Quellen bündeln, und die Tatsache, dass auch Hacker unter diese Tools nutzen (man denke nur an NotPetya), spricht Bände.
Automatisierungstools übermitteln zudem Informationen an Versicherungsgesellschaften und belegen damit, dass Ihre Sicherheitssysteme trotz geringer Personalausstattung oder eines begrenzten Budgets zügig und regelmäßig Konfigurationen vornehmen, Patches installieren und Passwörter zurücksetzen.
[Lesen Sie auch: Warum wir den Weltpassworttag nach wie vor brauchen]
- Bauen Sie ein gutes Verhältnis zu Ihrem Underwriter für Cyberversicherungen auf. Versicherer stellen höhere Anforderungen an ihre Kunden. Tatsächlich werden die Fragebögen, die zur Festlegung der Tarife verwendet werden, immer umfangreicher und detaillierter. Verstehen Sie das bitte nicht falsch. „Wenn Sie das Gefühl haben, ins Kreuzverhör genommen zu werden … dann liegt das daran, dass wir uns ein möglichst gutes Bild [von Ihrem Unternehmen] machen müssen“, erklärte Paul Gooch, Cyber-Versicherungssachverständiger bei Tokio Marine Kiln, in Dale Petersons Podcast „ : Unsolicited Response“ ( ). „Versuchen Sie bitte, dies nicht als Konfrontation zu betrachten.“
Dieser letzte Ratschlag gilt sowohl in Kriegs- als auch in Friedenszeiten. So leicht es auch fällt, sich Versicherer als sich die Hände reibende „ “-Mr. Burns vorzustellen , die darauf aus sind, ihren Kunden so viel Geld wie möglich abzupressen, so ist die Realität doch weniger farbenfroh. Würden die Versicherer alle Kunden ablehnen und alle Ansprüche zurückweisen, gäbe es diesen Markt nicht.
Monica Tigleanu, Cyber-Versicherungsmathematikerin bei Munich Re, pflichtete dem bei. „Es ist wichtig, dass die Gemeinschaft die Risikoprüfer darüber aufklärt, warum sie bestimmte Entscheidungen getroffen haben“, sagte sie. „Wir müssen lediglich die bestehenden Kontrollmechanismen verstehen, die diesen Vermögensinhabern Widerstandsfähigkeit verleihen.“
