Cyber-Versicherungspolicen lehnen häufig Ansprüche im Zusammenhang mit Krieg und Terrorismus ab. Das liegt daran, dass die Rückerstattung von Unternehmen für die weit verbreitete Verwüstung, die sich aus einem Cyberwar ergibt, viele Versicherer aus dem Geschäft nehmen würde. Aber einige häufige Formen von katastrophalen Risiken werden jetzt verneint, da kriegsbedingt bald die Verantwortung der Regierung für die Minderung werden könnte.
Im Juli empfahl das U.S. Government Accountability Office (GAO), dass die Abteilungen von Homeland Security und dem Treasury beurteilen, ob ein bundesstaatlicher „Backstop“ erforderlich ist – insofern die staatliche Versicherung den Ernteausfall abdeckt – für Cyber-Versicherungspolicen, die vor Angriffen auf kritische Infrastruktur schützen. Private Versicherer haben zunehmend versucht, Ransomware und andere Cyberverluste auszugleichen, indem sie sie als Kriegshandlungen klassifiziert haben.
Für Versicherer fühlen sich Cyberangriffe auf kritische Infrastrukturen wie eine Form der Kriegsführung an, wenn Nationstaaten das Chaos sponsern und leiten.
„Versicherer sind nicht in der Lage, Kriegshandlungen abzudecken“, sagt Sridhar Manyem, Direktor für Branchenforschung und -analyse bei AM Best, einer globalen Ratingagentur, die sich auf die Versicherungsbranche konzentriert. „Deshalb sind Act-of-War-Ausschlüsse seit mehr als 100 Jahren Standard.“ Kriegsausschlüsse zum Versicherungsschutz ergaben sich im Jahr 1930s als Reaktion auf den spanischen Bürgerkrieg.
Zum Beispiel haben Versicherer zunehmend Ansprüche für Cyberangriffe abgelehnt, die ihren Ursprung in der Ukraine und Russland haben, weil die beiden Nationen in bewaffneten Konflikten verwickelt sind. Rechtsanwälte für kritische Infrastrukturorganisationen in den USA weisen jedoch darauf hin, dass die Vereinigten Staaten nicht technisch mit einer Nation im Krieg sind, zumindest nicht im traditionellen Sinne. Daher argumentieren sie, dass Angriffe aus Russland aus der gleichen Perspektive betrachtet werden sollten wie jede andere Bedrohungsquelle.
Rechtliche Schlachten formen Ausschlüsse
Versicherer verlassen sich bereits auf die Erstattung aus dem US -amerikanischen Terrorism Risk Insurance Program (TRIP), das nach 11.9. gegründet wurde, um Terrorakte und Cyberangriffe zu zeichnen, die „gewalttätig oder zwanghafter Natur“ sind. Das Problem mit TRIP: Die meisten Cyberangriffe gelten nicht als Kriegs- oder Terrorismushandlungen im Rahmen des Programms, selbst wenn sie zu katastrophalen Verlusten führen.
„Versicherer sind nicht ausgestattet, um Kriegshandlungen abzudecken.“Sridhar Manyem, Direktor für Branchenforschung und -analyse, AM Best
Eine große Meinungsverschiedenheit über die Interpretation der Deckungsgrenzen wurde 2017 vor Gericht verhandelt, als der Pharmagigant Merck Versicherer wegen Schäden in Höhe von 1,4 Milliarden US-Dollar im Zusammenhang mit dem NotPetya -Malware-Angriff verklagte, der russischen Militärhackern zugeschrieben wurde. Im Jahr hat Merck den Fall durchgesetzt Januar 2022, als ein Gericht in New Jersey entschied, dass der Kriegsausschluss nur für bewaffnete statt für Cyber-Kriegsführung galt. Merck hatte eine Erstattung seiner Cyberangriffskosten durch eine All-Risk-Immobilienversicherung beantragt, im Gegensatz zu einer eigenständigen Cyber-Police.
Die Entscheidung ist wahrscheinlich nicht das letzte Wort in der Geschichte. Da Ransomware und die Kompromittierung geschäftlicher E-Mails (Business E-Mail Compromise, BEC) gestiegen sind, haben Versicherer sowohl bei eigenständigen Cyber-Policen als auch bei solchen, die mit anderen Arten von Versicherungen verpackt sind, höhere Verluste verzeichnet. Für jeden Dollar an Versicherungsschutz verlieren Versicherer jetzt etwa 65 Cent für eigenständige und verpackte Cyber-Versicherungen.
Das ist mehr als das Doppelte der sogenannten „Verlustquoten“, die in 2017 gesehen wurden, was laut einer Studie von AM Best bei 27,5 Cent für verpackte und 35,4 Cent für eigenständige Policen lag. Verlustquoten von 65 Cent auf den Dollar liegen weit über dem Komfortniveau der meisten Versicherer.
[Lesen Sie auch: Russlands Cyberwar zielt auf kritische westliche Infrastruktur ab]
„Versicherung ist, wie es derzeit praktiziert wird, normalerweise der Leiter, den sie gewinnen, und der andere, der ebenfalls gewinnt“, sagt Eric Gyasi, Cybersicherheitsexperte und Anwalt, der Untersuchungen zur Reaktion auf Vorfälle im Namen von Unternehmen leitet, die große Cyberangriffe und Eindringlinge für Stroz Friedberg, ein Aon-Unternehmen, erleiden. „Cyber hat dieses Modell ziemlich stark überarbeitet.“
Das mit Cyber-Versicherung verbundene Risiko hat den Nachteil, nicht so leicht diversifizierbar zu sein wie andere Deckungsarten. Überschwemmungsversicherung in Betracht ziehen. Wenn eine größere Überschwemmung einen Bundesstaat trifft, hilft das Einkommen, das in Staaten ohne schwere Überschwemmung generiert wird, die Verluste eines Versicherers auszugleichen.
Cyberangriffe sind jedoch selten auf einen Ort beschränkt. Wenn weit verbreitete Angriffe wie NotPetya auf kritische Infrastrukturen treffen, kann jede Organisation mit anfälliger Hardware oder Software betroffen sein. Versicherer können sich aus dieser Art von Risiko nicht diversifizieren.
Cyber-Versicherer leiten den Schmerz weiter
Infolge des dramatischen Anstiegs der Cyberkriminalität haben einige Versicherer die Zinsen und Selbstbeteiligungen erhöht, die Ausschlüsse versteift und die Arten von Unternehmen reduziert, die sie abdecken möchten. Einige Versicherer, darunter Lloyd’s of London, haben angekündigt , dass sie keine Cyberangriffe mehr abdecken werden, die auf die Staaten der Nation zurückzuführen sind. Lloyd’s hat auch angeblich damit begonnen, seine etwa 100 Syndikatsmitglieder davon abzuhalten, dieses Jahr Cyber-Geschäfte zu schreiben. Gleichermaßen ist Chubb mit einer Strategie an die Öffentlichkeit gegangen , um die Abdeckung für weit verbreitete Cybersicherheitsereignisse zu begrenzen.
„Versicherung ist, wie sie derzeit praktiziert wird, normalerweise der Kopf, den sie gewinnen, und der Schluss, dass sie auch gewinnen. Cyber hat dieses Modell ziemlich stark überarbeitet.“Eric Gyasi, Vice President of Engagement Management, Stroz Friedberg
Gyasi sagt, dass sich Streitigkeiten über Kriegs- und Terrorismusausschlüsse wahrscheinlich verschlimmern werden, bevor sie sich verbessern. Cyber-Versicherung ist eine junge Form der Deckung, und in gewisser Weise fliegen Versicherer blind. Die versicherungsmathematischen Modelle , die Versicherer verwenden, um Risiken vorherzusagen, sind im Fluss. Sie leiden auch unter einem Mangel an Daten, da viele, wenn nicht die meisten Cyberangriffsopfer von Unternehmen es vermeiden, Vorfälle zu melden. Regeln und Anforderungen für den Versicherten entwickeln sich in der Zwischenzeit weiter.
Gleichzeitig sind Hacking-Versuche gegen kritische Infrastruktur laut GAO komplexer und häufiger geworden. Dies wurde schmerzhaft deutlich, als ein Ransomware- Angriff gegen Colonial Pipeline den Ölfluss an die Ostküste im Jahr 2021 unterbrach.
[Lesen Sie auch: Ransomware schlägt gegen die Cyber-Versicherungsbranche]
Beobachter wie Gyasi von Stroz Friedberg sagen, dass solche schrecklichen Vorfälle erklären, warum die Bundesregierung ein System entwerfen muss, wie die FDIC eine Einlagenversicherung für Banken anbietet, um zu gewährleisten, dass Cyber-Versicherung Angriffe auf kritische Infrastruktur abdeckt, unabhängig davon, ob sie als kriegsbezogen betrachtet werden.
„Wenn ich Recht habe, muss die Bundesregierung für einige dieser Probleme einen Backstop einlegen“, behauptet er. „Die weitreichenden und tiefen Auswirkungen eines kritischen Infrastrukturausfalls erfordern eine Art gemeinsamer Verantwortung zwischen der Regierung und den Spediteuren.“
Dazu muss die Fed entscheiden, wie die nationale kritische Infrastruktur definiert ist: „Das eigentliche Problem ist, dass sich dieser Raum so schnell verändert“, sagt Gyasi. „Es ist wie zu versuchen, einen Beitrag in den Boden zu kleben und zu entdecken, dass er schnell ist.“
