Cyber-Versicherungspolicen lehnen Ansprüche im Zusammenhang mit Krieg und Terrorismus häufig pauschal ab. Das liegt daran, dass die Entschädigung von Unternehmen für die weitreichenden Schäden, die durch einen Cyberkrieg entstehen würden, viele Versicherer in den Ruin treiben würde. Doch einige gängige Formen katastrophaler Risiken, die derzeit als kriegsbedingt abgelehnt werden, könnten bald in den Zuständigkeitsbereich der Regierung fallen, um deren Auswirkungen zu mindern.
Im Juli empfahl das US-Rechnungsprüfungsamt ( , GAO) , dass das Ministerium für Innere Sicherheit und das Finanzministerium prüfen sollten, ob für Cyberversicherungen, die vor Angriffen auf kritische Infrastrukturen schützen, eine „Sicherheitsnetz“-Regelung auf Bundesebene erforderlich ist – ähnlich wie bei staatlichen Versicherungen gegen Ernteausfälle. Private Versicherer versuchen zunehmend, Schäden durch Ransomware und andere Cyberangriffe auszugleichen, indem sie diese als Kriegshandlungen einstufen.
Für Versicherer kommen Cyberangriffe auf kritische Infrastrukturen einer Form der Kriegsführung gleich, wenn Nationalstaaten das Chaos fördern und lenken.
„Versicherer sind nicht dafür ausgerüstet, Versicherungsschutz für Kriegshandlungen zu gewähren“, sagt Sridhar Manyem, Leiter der Abteilung für Branchenforschung und -analyse bei AM Best, einer weltweit tätigen Ratingagentur mit Schwerpunkt auf der Versicherungsbranche. „Aus diesem Grund sind Ausschlussklauseln für Kriegshandlungen seit mehr als 100 Jahren Standard.“ Ausschlüsse von Kriegsschäden aus dem Versicherungsschutz wurden im Jahr 1930s als Reaktion auf den Spanischen Bürgerkrieg eingeführt.
So haben Versicherer beispielsweise zunehmend Schadensersatzansprüche im Zusammenhang mit Cyberangriffen abgelehnt, die ihren Ursprung in der Ukraine und in Russland haben, da sich diese beiden Länder in einem bewaffneten Konflikt befinden. Rechtsanwälte von Organisationen, die in den USA kritische Infrastrukturen betreiben, weisen jedoch darauf hin, dass sich die Vereinigten Staaten technisch gesehen mit keiner Nation im Krieg befinden, zumindest nicht im herkömmlichen Sinne. Daher, so argumentieren sie, sollten Angriffe aus Russland unter denselben Gesichtspunkten betrachtet werden wie jede andere Bedrohungsquelle.
Rechtsstreitigkeiten bestimmen die Ausschlussklauseln
Insurers already depend on reimbursement from the federal Terrorism Risk Insurance Program (TRIP), which was established after 11.9. to underwrite acts of terrorism and cyberattacks that are “violent or coercive in nature.” Das Problem mit TRIP: Die meisten Cyberangriffe gelten im Rahmen des Programms nicht als Kriegshandlungen oder Terrorakte, selbst wenn sie katastrophale Verluste zur Folge haben.
„Versicherer sind nicht dafür ausgerüstet, Versicherungsschutz für Kriegshandlungen zu gewähren.“Sridhar Manyem, Leiter der Abteilung für Branchenforschung und -analyse bei AM Best
Eine erhebliche Meinungsverschiedenheit hinsichtlich der Auslegung von Deckungsgrenzen führte im Jahr 2017 zu einem Gerichtsverfahren, als der Pharmakonzern Merck Versicherungsgesellschaften wegen der Deckung von Verlusten in Höhe von 1,4 Milliarden Dollar im Zusammenhang mit dem Malware-Angriff „ “ („NotPetya“) verklagte, der russischen Militärhackern zugeschrieben wurde. In der Rechtssache „ Januar 2022“, , setzte sich Merck in dem Fall durch, in dem ein Gericht in New Jersey entschied, dass der Kriegsausschluss nur für bewaffnete Kriege und nicht für Cyberkriege gelte. Merck hatte versucht, die Kosten für den Cyberangriff über eine Allgefahren-Sachversicherung erstattet zu bekommen, anstatt über eine eigenständige Cyberversicherung.
Es ist unwahrscheinlich, dass dieses Urteil das letzte Wort in dieser Angelegenheit sein wird. Da die Zahl der Angriffe durch die Ransomware „ “ ( ) sowie durch „Business Email Compromise“ (BEC) () und „Business Email Compromise“ (BEC) ( ) sprunghaft angestiegen ist, verzeichnen Versicherer höhere Verluste sowohl bei eigenständigen Cyber-Versicherungen als auch bei solchen, die mit anderen Versicherungsarten gebündelt sind. Für jeden Dollar Versicherungssumme, den sie anbieten, verzeichnen die Versicherer derzeit Verluste in Höhe von etwa 65 Cent bei eigenständigen und im Paket angebotenen Cyberversicherungen.
Das ist mehr als doppelt so hoch wie die sogenannten „Schadenquoten“ im Jahr 2017, die laut einer Studie von AM Best unter dem Titel „ “ bei 27,5 Cent für Kombinationspolicen und bei 35,4 Cent für Einzelpolicen lagen. Schadenquoten von 65 Cent pro Dollar liegen weit über dem für die meisten Versicherer akzeptablen Niveau.
[Lesen Sie auch: Russlands Cyberkrieg zielt auf kritische Infrastrukturen im Westen ab]
„Das Versicherungswesen, wie es derzeit praktiziert wird, funktioniert in der Regel so, dass die Versicherer in jedem Fall gewinnen“, sagt Eric Gyasi, ein Experte für Cybersicherheit und Rechtsanwalt, der im Auftrag von Stroz Friedberg, einem Unternehmen der Aon-Gruppe, Untersuchungen im Rahmen der Incident-Response-Maßnahmen für Unternehmen leitet, die Opfer groß angelegter Cyberangriffe und -einbrüche geworden sind. „Die Cyberwelt hat dieses Modell ziemlich auf den Kopf gestellt.“
Das mit einer Cyberversicherung verbundene Risiko hat den Nachteil, dass es sich nicht so leicht streuen lässt wie bei anderen Versicherungsarten. Ziehen Sie den Abschluss einer Hochwasserversicherung in Betracht. Sollte ein Bundesstaat von einer schweren Überschwemmung heimgesucht werden, tragen die in Bundesstaaten ohne schwere Überschwemmungen erzielten Einnahmen dazu bei, die Verluste eines Versicherers auszugleichen.
Cyberangriffe beschränken sich jedoch selten auf einen einzigen Ort. Wenn groß angelegte Angriffe wie NotPetya kritische Infrastrukturen treffen, kann jede Organisation mit anfälliger Hardware oder Software davon betroffen sein. Versicherer können sich nicht durch Diversifizierung von dieser Art von Risiko freimachen.
Cyber-Versicherer geben die Last weiter
Infolge des dramatischen Anstiegs der Cyberkriminalität haben einige Versicherer ihre Prämien und Selbstbehalte erhöht, gleichzeitig die Ausschlussklauseln verschärft und die Bandbreite der Unternehmensarten eingeschränkt, die sie versichern möchten. Einige Versicherer, darunter Lloyd’s of London, haben angekündigt , dass sie keine Cyberangriffe mehr versichern werden, die auf Nationalstaaten zurückzuführen sind. Berichten zufolge hat Lloyd’s in diesem Jahr zudem damit begonnen, seine rund 100 Syndikatsmitglieder davon abzuhalten, Cyber-Versicherungen abzuschließen. Ebenso hat „ “ Chubb öffentlich bekannt gegeben , dass das Unternehmen eine Strategie verfolgt, die den Versicherungsschutz bei weitreichenden Cybersicherheitsvorfällen einschränkt.
„“ Das Versicherungswesen, wie es derzeit praktiziert wird, ist in der Regel so, dass die Versicherer sowohl bei Kopf als auch bei Zahl gewinnen. Die Cyberwelt hat dieses Modell ziemlich auf den Kopf gestellt.“Eric Gyasi, Vizepräsident für Engagement-Management bei Stroz Friedberg
Gyasi sagt, dass er aus diesem Grund davon ausgeht, dass sich die Auseinandersetzungen um Ausschlussklauseln in Bezug auf Krieg und Terrorismus wahrscheinlich erst verschärfen werden, bevor sich die Lage verbessert. Die Cyberversicherung ist eine noch junge Versicherungsform, und in gewisser Weise bewegen sich die Versicherer dabei auf unbekanntem Terrain. Die versicherungsmathematischen Modelle der „ “ , die Versicherer zur Risikoprognose nutzen, befinden sich im Wandel. Zudem mangelt es an Daten, da viele, wenn nicht sogar die meisten Unternehmen, die Opfer von Cyberangriffen geworden sind, davon absehen, Vorfälle zu melden. Die Vorschriften und Anforderungen für die Versicherten entwickeln sich unterdessen weiter.
Gleichzeitig sind laut GAO die Hacking-Versuche gegen kritische Infrastrukturen ausgefeilter und häufiger geworden. Dies wurde schmerzlich deutlich, als ein Ransomware- -Angriff auf Colonial Pipeline im Jahr 2021 den Ölfluss an die Ostküste unterbrach.
[Lesen Sie auch: Ransomware setzt der Cyberversicherungsbranche schwer zu]
Beobachter wie Gyasi von Stroz Friedberg erklären, dass solche erschütternden Vorfälle verdeutlichen, warum die Bundesregierung ein System entwickeln muss – ähnlich wie die FDIC eine Einlagensicherung für Banken anbietet –, um zu gewährleisten, dass Cyberversicherungen Angriffe auf kritische Infrastrukturen abdecken, unabhängig davon, ob diese als kriegsbedingt eingestuft werden oder nicht.
„Wenn ich Recht habe, wird die Bundesregierung für einige dieser Probleme eine Absicherung vorsehen müssen“, erklärt er. „Die weitreichenden und tiefgreifenden Auswirkungen eines Ausfalls kritischer Infrastrukturen erfordern eine Form der geteilten Verantwortung zwischen der Regierung und den Netzbetreibern.“
Dazu muss die Fed entscheiden, wie nationale kritische Infrastruktur definiert wird: „Das eigentliche Problem ist, dass sich dieser Bereich so schnell verändert“, sagt Gyasi. „Es ist, als würde man versuchen, einen Pfahl in den Boden zu rammen, und dabei feststellen, dass es sich um Treibsand handelt.“
