Viele Führungskräfte haben den Eindruck, dass sich Versicherungsgesellschaften aus dem Cyber-Markt zurückziehen, da die Schadenszahlungen infolge der stark gestiegenen Zahl von Ransomware-Angriffen sprunghaft angestiegen sind.
Nun, das stimmt nicht ganz.
Zwar deuten vereinzelte Berichte darauf hin, dass einige kleinere Versicherer den Versicherungsschutz im Bereich Cybersicherheit einschränken oder ganz streichen, doch sind die meisten Versicherer, Makler und Rückversicherer, die von Endpoint befragt wurden, nach wie vor sehr stark in diesem Bereich vertreten. Tatsächlich gibt Fitch Ratings, eine Ratingagentur für Versicherer, an, dass der US-amerikanische Markt für Cyber-Versicherungs en im Wert von 4,8 Milliarden US-Dollar im Jahr 2021 um 74 % gewachsen ist. GlobalData prognostiziert, dass die Bruttobeiträge mehr als 20 Milliarden US-Dollar um 2025 betragen werden.
„Die Cyberversicherung hat sich zum am schnellsten wachsenden Segment des US-amerikanischen Schaden- und Unfallversicherungsmarktes entwickelt, da sich wandelnde Bedrohungen die Nachfrage nach Versicherungsschutz angeheizt haben“, sagt Gerry Glombicki, Senior Director bei
Fitch Ratings.
Obwohl der Markt auf den ersten Blick gesund erscheint, steht die Cyberversicherungsbranche nun an einem Scheideweg. Die Versicherer erzielen nach wie vor Gewinne, überarbeiten jedoch gleichzeitig ihre Risikoprüfungsmodelle grundlegend, um mit dem sich wandelnden Risikoprofil Schritt zu halten.
Das Fazit für Finanzvorstände und andere Führungskräfte, die nach entsprechenden Versicherungslösungen suchen: Cyberversicherungen sind nach wie vor weit verbreitet, doch Unternehmen müssen höhere Prämien zahlen und zusätzliche Hürden überwinden, um im Gegenzug einen deutlich geringeren Versicherungsschutz zu erhalten.
Was deckt eine Cyberversicherung ab?
Führungskräfte, die noch relativ neu in diesem Bereich sind, sollten wissen, dass eine Cyberversicherung ähnlich wie jede andere Art von Versicherung funktioniert. Unternehmen beantragen den Versicherungsschutz bei Maklern oder Versicherern. Die Versicherer bewerten die Sicherheitslage eines Antragstellers, um sicherzustellen, dass jeder Antragsteller grundlegende Vorsichtsmaßnahmen gegen Cyberangriffe trifft, die zu erheblichen Ausfallzeiten und Einnahmeausfällen führen könnten.
„Wir gehen davon aus, dass die meisten unserer Kunden alle fünf bis sieben Jahre mit einer Art Cyberangriff konfrontiert werden.“David Anderson, Leiter des Bereichs Cybersicherheit in den USA bei McGill and Partners
Die Versicherer stützen sich auf sich ständig ändernde Modelle, um zu ermitteln, in welcher Höhe sie Versicherungsschutz gewähren möchten und zu welchem Tarif. Wenn alles in Ordnung ist, wird die Police ausgestellt, und der Versicherer überträgt in der Regel einen Teil des mit dieser Police verbundenen Risikos an ein Rückversicherungsunternehmen . Der Rückversicherungsmarkt ermöglicht es den Versicherern, noch mehr Verträge abzuschließen und ihr Geschäft weiter auszubauen.
Laut David Anderson, dem Leiter des Bereichs Cyber-Versicherungen in den USA beim Rückversicherungsmakler McGill and Partners, war die Risikoprüfung in der Vergangenheit ein schneller und unkomplizierter Prozess. Bewerber könnten gefragt werden, ob sie über Antiviren- (AV) und Datensicherungsfunktionen verfügen.
„Wenn sie das täten, würde der Versicherer sagen: ‚Großartig, hier ist ein Angebot, ich wünsche Ihnen noch einen schönen Tag‘“, sagt Anderson. „Nun heißt es: ‚Zeigen Sie es mir.‘“ „Der Kreditprüfungsprozess ist wesentlich intensiver, langwieriger und eingehender geworden.“
Ransomware-Angriffe verändern alles
Die Bedrohung durch Ransomware hat die Rahmenbedingungen sowohl für Versicherer als auch für die von ihnen geschützten Unternehmen verändert. Betrachten Sie einige der Statistiken:
- Die Zahl der gemeldeten Ransomware-Angriffe stieg im vergangenen Jahr um fast 51 % im Vergleich zu 2020.
- Die bereinigten Verluste beliefen sich auf insgesamt mehr als 49 Millionen US-Dollar, was einem Anstieg von fast 69 % gegenüber den 29,2 Millionen US-Dollar im Jahr 2020 entspricht.
- Die durchschnittlichen Lösegeldzahlungen beliefen sich auf 812 000 $ im Jahr 2021, verglichen mit 170 000 $ im Jahr 2020.
- Ransomware war in 75 % aller Cyber-Versicherungsansprüche im ersten Halbjahr 2021 beteiligt.
Die Versicherer sind besorgt über diese Entwicklungen sowie über die zunehmende Raffinesse und die schiere Dreistigkeit von Cyberangriffen.
Bei den Angreifern in Fall 2021 zeigte sich ein beunruhigender Trend hinsichtlich des Ausmaßes ihrer Forderungen und der Berichten zufolge erhaltenen Beträge: Kaseya VSA (70 Millionen US-Dollar gefordert); Acer (50 Millionen US-Dollar gefordert); das Versicherungsunternehmen CNA Financial (40 Millionen US-Dollar gezahlt); Kia Motors (20 Millionen US-Dollar gefordert); und Colonial Pipeline (4,4 Millionen US-Dollar gezahlt).
Um dieser Welle krimineller Aktivitäten entgegenzuwirken, verschärfte die Versicherungsbranche die Zeichnungsbedingungen erheblich, um das gestiegene Schadenvolumen einzudämmen, das laut Fitch in den letzten drei Jahren jährlich um 100 % angestiegen war.
Mehr bezahlen für weniger Cyberversicherung
In einem ersten Schritt erhöhte die Branche die Prämiensätze für direkt abgeschlossene Versicherungen um 74 % im Jahr 2021. Laut Berater Smith zahlen US-Unternehmen derzeit im Durchschnitt 1 485 Dollar pro Jahr bzw. 124 Dollar pro Monat für eine Cyber-Versicherung. „Die Preise steigen deutlich schneller als in anderen gewerblichen Geschäftsbereichen“, heißt es in einem Bericht von Fitch.
Gleichzeitig hat der Branchen , die Deckungssummen für Cyberversicherungen – also den Höchstbetrag, den er im Schadensfall zahlt – für viele Branchen von 10 Millionen US-Dollar auf 5 Millionen US-Dollar gesenkt und gleichzeitig die Selbstbehalte, auch als „Retentions“ bezeichnet, angehoben, wie die National Association of Insurance Commissioners (NAIC) berichtet. Tatsächlich berichten Branchenexperten, dass sie in den letzten ein bis zwei Jahren Fälle beobachtet haben, in denen die Selbstbeteiligung von etwa 25 000 Dollar auf bis zu 250 000 Dollar gestiegen ist.
Darüber hinaus werden die Versicherer bei der Auswahl der Branchen, für die sie bereit sind, Risiken zu übernehmen, immer wählerischer. Es werde „nahezu unmöglich“, Branchen zu versichern, die überproportional stark betroffen seien, wie beispielsweise Regierung, Bildung, Gesundheitswesen und Versorgungsunternehmen, so Kirsten Bay, Geschäftsführerin von Cysurance, einem auf Cyberversicherungen für kleine und mittelständische Unternehmen spezialisierten Unternehmen. Auch als Managed-Service-Provider (MSP) können Sie eine gute Versicherungsdeckung getrost vergessen.
„Das bedeutet jedoch nicht, dass keine Kapazitäten vorhanden sind“, sagt sie. „Das bedeutet, dass es wesentlich schwieriger werden wird, die Obergrenze von 5 Millionen Dollar zu erreichen, die Sie tatsächlich benötigen.“ „Beispielsweise könnten sie eine Deckungssumme von 3 Millionen Dollar anbieten, dafür deutlich mehr berechnen und Ihnen mitteilen, dass die restlichen 2 Millionen Dollar aus einer Selbstbehaltversicherung stammen müssen.“
Einige Versicherer versuchen sogar, hohe Auszahlungen zu begrenzen, indem sie die Größe der Unternehmen, für die sie bereit sind, Versicherungsschutz zu gewähren, einschränken – mitunter sogar erheblich –, so Kurt Suhs, Geschäftsführer von Cyber Special Ops, einem Concierge-ähnlichen Dienst, der Unternehmen bei der Bewältigung von Cyberangriffen unterstützt. Er sagt, dass Versicherer Makler unter Druck setzen könnten, Policen in Milliardenhöhe abzuschließen, und den Versicherungsschutz auf Unternehmen mit einem Umsatz von höchstens 250 Millionen Dollar beschränken könnten.
Beweisen Sie es, oder Sie verlieren es
In der Regel verschärfen die Fluggesellschaften ihre Zulassungsvoraussetzungen. So wie jemand, der eine Lebensversicherung beantragt, sich möglicherweise einer ärztlichen Untersuchung unterziehen und seine Krankengeschichte offenlegen muss, um für bestimmte Prämientarife in Frage zu kommen, verlangen Cyberversicherer von Unternehmen, dass sie grundlegende Standards der Cyberhygiene erfüllen: .
„Einige Versicherer haben entweder das Volumen der von ihnen gezeichneten Cyber-Versicherungen reduziert oder sich sogar vollständig aus dem Markt zurückgezogen.“Tom Johansmeyer, Leiter von PCS, einem Geschäftsbereich von Verisk
Zu den bewährten Verfahren gehören in der Regel die Mehrfaktor-Authentifizierung (MFA), Endgeräteschutz, eine leistungsfähige Antivirensoftware, aktuelle, redundante und Offline-Sicherungen sowie Programme zur Sensibilisierung und Schulungen im Bereich Sicherheit. Auch für Versicherer gewinnen Cyber-Risikobewertungen zunehmend an Bedeutung. Sollte eine Organisation nicht alle erforderlichen Kriterien erfüllen, muss sie wahrscheinlich mit höheren Tarifen, einem eingeschränkten Versicherungsschutz oder einer Ablehnung des Antrags rechnen.
„Das sind genau die Datenpunkte, die jeder Underwriter mittlerweile als entscheidend für das Bestehen oder Nichtbestehen betrachtet“, sagt Anderson von McGill and Partners. „Das Fehlen von MFA ist beispielsweise ein absolutes No-Go.“ „Wenn Sie keine Fernzugriffsmöglichkeit haben, sind Sie nicht versicherbar.“
Die steigende Zahl der Anforderungen an die Cyber-Hygiene kann für Führungskräfte frustrierend sein, so Bay von Cysurance. Sie sagt jedoch, dass diese Einschränkungen den CISOs auch die Gelegenheit bieten, mit ihrer Führungsspitze über die Notwendigkeit zu sprechen, mehr Mittel für Cybersicherheits-Upgrades im gesamten Unternehmen bereitzustellen.
Lesen Sie auch: Wie CISOs über Cyberrisiken sprechen können, damit CEOs ihnen tatsächlich zuhören
„Sicherheitsexperten müssen mit ihren Führungskräften intensiver über den Nutzen von Investitionen in die Cybersicherheit und die damit verbundenen finanziellen Auswirkungen auf das Unternehmen sprechen“, sagt sie. „Ich denke, angesichts der aktuellen Entwicklungen im Bereich der Cyberversicherung und der zunehmenden Verbreitung von Ransomware ist dieses Gespräch heute einfacher denn je.“
Zusätzlich zu den Sicherheitsanforderungen erweitern die meisten Versicherer die Liste der Fälle, für die sie keinen Versicherungsschutz gewähren – die sogenannten „Ausschlüsse“. Da sie beispielsweise aus den Erfahrungen mit „ 11.9. “ und der Pandemie gelernt haben, sind nur wenige private Versicherer bereit, Verluste zu tragen, die durch Cyberkriege oder Infrastrukturausfälle entstehen.
Das bundesweite „Terrorism Risk Insurance Program“ (TRIP) könnte Versicherern dabei helfen, einen Teil der Verluste aus Cyberterrorismus-Angriffen zu decken. Die Vorschriften darüber, was als terrorismusbezogener Vorfall gilt, sind jedoch sehr eng gefasst und für Unternehmen zum gegenwärtigen Zeitpunkt nicht hilfreich. Vor diesem Hintergrund hat das US-Rechnungsprüfungsamt (Government Accountability Office, GAO) kürzlich empfohlen, dass das Finanzministerium und das Ministerium für Innere Sicherheit die Notwendigkeit einer staatlichen Versicherungsabsicherung im Rahmen des „ “ prüfen sollten – ähnlich wie die Regierung beispielsweise Ernteversicherungen subventioniert –, um insbesondere den Mangel an Versicherungsschutz für Organisationen im Bereich der kritischen Infrastruktur zu beheben.
Die Verringerung des Risikos von Schadensfällen durch Cyberangriffe mittels höherer Prämien und Ausschlussklauseln hat der Cyberversicherungsbranche laut Fitch dabei geholfen, ihre direkte Schadenquote – also den Anteil der an die Geschädigten gezahlten Entschädigungen – von 72 % im Jahr 2020 auf 65 % im vergangenen Jahr zu senken. Kürzlich berichtete das „Wall Street Journal“, wie Vertreter des Weißen Hauses die Anwendung von strengeren Prüfkriterien bei der Genehmigung inmitten einer Welle von Angriffen durch Nationalstaaten begrüßten, insbesondere seit dem russischen Einmarsch in die Ukraine.
Strengere Richtlinien haben jedoch auch dazu geführt, dass Cyberversicherungen nicht mehr in demselben Umfang wie bisher verfügbar sind, was laut Anderson ein wesentlicher „Grund dafür ist, dass die Menschen glauben, der Versicherungsschutz würde schwinden“.
Soll man eine Cyberversicherung abschließen oder nicht?
Die Wahrnehmung, dass keine Versicherungen verfügbar sind, wird wahrscheinlich bestehen bleiben, da die Versicherer ihre Geschäftsmodelle weiterhin anpassen, um rentabel zu bleiben, sagt Tom Johansmeyer, Leiter von PCS, einem Geschäftsbereich des Datenanalyse- und Risikobewertungsunternehmens Verisk, der sich auf die Berechnung versicherter Sachschäden durch Katastrophen spezialisiert hat. Obwohl es den Anschein hat, als würden sie voll und ganz auf Cyberversicherungen setzen, „haben einige Versicherer entweder das Volumen der von ihnen gezeichneten Cyberversicherungen reduziert oder sich sogar ganz aus dem Markt zurückgezogen“, sagt er.
Die Folge für Unternehmen, fügt er hinzu, könnte eine sich vergrößernde „Lücke im Cyberversicherungsschutz“ sein. Selbst wenn Unternehmen oder Behörden Anspruch auf eine bestimmte Deckungssumme haben, erhalten sie möglicherweise nicht genug, um potenzielle Verluste zu decken.
Lesen Sie auch: Wie lassen sich Verluste von Anfang an minimieren? IT und Sicherheit vereinen
Der Rückgang des Versicherungsschutzes hat einige Organisationen dazu veranlasst, zu hinterfragen, ob sie eine Cyberversicherung benötigen oder ob sie im Falle eines Vorfalls die Kosten einfach aus eigener Tasche bezahlen könnten. „Wir haben mit einem Schulbezirk gesprochen, dessen Versicherungsprämie von 1 Million Dollar auf 2 Millionen Dollar pro Jahr stieg, obwohl dort weder Verluste noch Schadensfälle zu verzeichnen waren“, sagt Suhs von Cyber Special Ops. „Sie begannen, sich zu fragen: ‚Lohnt es sich, sich selbst zu versichern?‘“ „Ich glaube, dass dies heutzutage von immer mehr Organisationen so gehandhabt wird.“
Angesichts des Ausmaßes der Verluste, die Unternehmen im Falle eines schwerwiegenden Cyberangriffs erleiden könnten, empfiehlt jedoch nicht jeder den Ansatz der Selbstversicherung.
„Wir gehen davon aus, dass die meisten unserer Kunden alle fünf bis sieben Jahre mit einer Art Cyberangriff konfrontiert werden“, sagt Anderson. „Selbst bei den heutigen Preisen und Prämien ist der Abschluss einer Versicherung langfristig wahrscheinlich ein recht gutes Geschäft, wenn man davon ausgeht, dass man in einen Unfall verwickelt wird und dadurch Kosten entstehen.“
