Ist Cyber beherrschbar?

Dr. Marc Surminski |

Bringt die Trojaner-Attacke „Wanna Cry“ den großen Durchbruch für den Cyberversicherungsmarkt in Deutschland? Die Dimensionen möglicher Schäden sind jedenfalls gewaltig – und einmal mehr dürfte Firmen und Privatpersonen vor Auge geführt worden sein, wie wichtig Cyber-Security ist. Wie wichtig ist aber eine Versicherungsdeckung gegen Cyber-Risiken? Hier gehen die Meinungen bei den potentiellen Kunden immer noch stark auseinander, wie auch die Diskussion um die Cyber-Musterbedingungen des GDV gezeigt hat. Was Standard im Markt sein sollte, ist bei diesem „neuen“ Risiko noch lange nicht klar.

„Wanna Cry“ wird dabei in zwei Richtungen wirken. Zum einen fördert der Fall das Bewusstsein für die Gefahr – und bewirkt eine höhere Bereitschaft bei vielen Unternehmen, sich mit einer Versicherungsdeckung gegen Cybergefahren auseinanderzusetzen. In Deutschland heißt es seit Jahren gebetsmühlenartig von Versicherern, Maklern und Medien, dass der Durchbruch für Cyber unmittelbar bevorstehe. Passiert ist aber bislang noch relativ wenig. Der neue, spektakuläre Cyber-Vorfall wird dem Markt spürbar helfen.

Auf der anderen Seite müssen sich die Versicherer fragen, ob sie das Risiko tatsächlich auch beherrschen. Wer auf einen Milliardenmarkt in Cyber hofft, muss auch damit rechnen, dass es Milliardenschäden geben wird. Besonders kritisch sind hier die Kumulgefahren: Das Wesen der Schadsoftware besteht ja gerade darin, möglichst viele Rechner lahmzulegen. Bei einer großen, weltweiten Attacke wie „Wanna Cry”, die nur durch das Eingreifen eines aufmerksamen IT-Nerds an einer noch weiteren Ausbreitung gehindert wurde, kann es um eine gewaltige Zahl von Geschädigten gehen. In diesem Fall waren nur ältere Windows-Systeme betroffen. Diese sind millionenfach in der ganzen Welt verbreitet – wer kann diese Kumule realistisch einschätzen? Gelänge es, sogar die gesamte Windows-Welt zu infizieren, wäre die Schadendimension gigantisch.

Bei Lieferketten/Betriebsunterbrechungen mussten die Versicherer eine Menge Lehrgeld zahlen – dabei ist hier das Kumulrisiko zwar erheblich, aber immer noch regional eingegrenzt. Bei Cyber gibt es diese Grenzen faktisch nicht mehr. Und mit der umfassenden Digitalisierung der Welt steigt das Risiko künftig noch erheblich an. Das ist für die nach neuen Prämienquellen suchenden Versicherer eine verlockende Aussicht auf mehr Geschäft – kann aber auch zu einer existentiellen Bedrohung werden, wenn die Schadendimensionen nicht mehr kalkulierbar sind. Aggressives Underwriting, um den neuen Milliardenmarkt zu erschließen, wäre daher keine gute Idee.

Viele Versicherer im Cyber-Markt weisen auf die große Bedeutung der Prävention und der technischen Schadenverhütung hin. In der Tat hätte „Wanna-Cry“ kaum Schaden angerichtet, wenn überall die Sicherheitsupdates von Microsoft installiert worden wären. Daraus kann man den Schluss ziehen, dass es dringlicher ist, seine IT-Sicherheit auf Vordermann zu bringen, als eine Versicherung gegen Cyber-Risiken abzuschließen. Eine gute Cyberdeckung bietet vielfältige Möglichkeiten, die eigene Sicherheit zu prüfen und im Vorfeld zu verbessern, wenn man beispielsweise bestimmte Obliegenheiten etwa für Software-Updates zu erfüllen hat. Für die Versicherer bedeutet das eine veränderte Rolle: Sie treten vor allem als Sicherheitsdienstleister auf. Nur das Restrisiko nehmen sie dann in klassische Deckung – und hoffen, dass es sich möglichst nicht manifestiert.