Ist Cyber noch versicherbar?

Dr. Marc Surminski |

Die Cyber-Schadenwelle rollt weiter mit großer Wucht durch den Markt. Die lange als große Wachstumsstory gepriesene Cyber-Versicherung kämpft mit immer neuen Schadenfälle. Im Cyber-Muttermarkt USA ist die Schadenquote bei Stand-Alone Cyber-Policen im vergangenen Jahr von 47% auf über 70% gestiegen; in Frankreich lag sie nach einigen Großschäden sogar bei 167%. Im Zentrum stehen dabei Angriffe mit Erpressersoftware: Sie haben in den letzten zwei Jahren global um 170% zugenommen.

Diese zwei spektakulären Groß-Attacken in den USA haben zudem kürzlich gezeigt, dass gezielte Angriffe von Hackern die Infrastruktur von Ländern und einzelnen Wirtschaftsbereichen empfindlich treffen können. Die Ransomware-Attacke gegen den Ölpipeline-Betreiber Colonial Pipeline bedrohte kurzfristig die Benzinversorgung in Teilen der USA. Und mit dem Angriff auf den US-IT-Dienstleister Kaseya wurden auch weltweit genutzte Kassensysteme lahmgelegt – weil das Unternehmen seine Software für Systemupdates international vertreibt und so zum „Superspreader“ von Erpressungssoftware wurde, die global gleichzeitig für den Stillstand von Systemen sorgen kann.

Diese Angriffe berühren den Kern der Versicherbarkeit von Cyber, denn es geht um Deckung für große, unkalkulierbare Kumulrisiken und um Angriffe auf kritische Infrastruktur, die von vielen für unversicherbar gehalten werden. Die beiden Großschäden werfen die Frage auf, wo tatsächlich die Grenzen der Cyberdeckung liegen. Rückversicherer wie die Munich Re haben sie bislang eher weit gezogen – nach den jüngsten Ereignissen könnte ein Umdenken einsetzen.

Auch eine weitere Entwicklung stellt die Versicherbarkeit von Cyber-Risiken in Frage: Die Großangriffe in den USA werden russischen Hackergruppen zugeschrieben, die zumindest mit inoffizieller Tolerierung des Kremls agieren dürften. Auch in anderen Fällen war die Unterscheidung zwischen Kriminalität und staatlichen Angriffen nicht immer klar vorzunehmen. Sind aber Angriffe auf Wirtschaftsunternehmen als eine Art von politischem Cyber-Terrorismus zu werten, hört es mit der Versicherbarkeit schnell auf. Weil man in der Regel aber nie sicher nachweisen kann, wer die Urheber wirklich sind, ist die Abgrenzung zwischen unversicherbarem Staatsterror und „normaler“ Kriminalität häufig unmöglich. Kunden, die Cyberdeckung für ihr Geschäft suchen, egal wer es bedroht, hilft eine solche Unterscheidung nicht weiter. Für die Versicherer kann sie nach Großschäden existenziell sein.

Angesicht der eskalierenden Cyber-Bedrohung, die durch die Pandemie und den Trend zu Home-Office weiter zunimmt, werden die Cyber-Versicherer die Reißleine ziehen und ihre Deckung begrenzen müssen. Mit Preiserhöhungen allein ist es nicht getan. Kumule müssen noch besser identifiziert und mehr als bisher ausgeschlossen werden, weil die Bedrohung hier wie jüngst erlebt schnell riesige Dimensionen annehmen kann.

Für die Versicherer ist das ein Dilemma: In einer digitalisierten Welt ist Cyber einer der wenigen Wachstumsmärkte, und die Assekuranz kann sich als Begleiter ihrer Kunden in dieser digitalisierten Welt voll neuer Risiken profilieren. Andererseits sind die Cyber-Risiken nicht auf herkömmliche Weise zu kalkulieren – weil sich die Bedrohung mit der rasanten technischen Entwicklung auch rasant verändert, sind sie womöglich am Ende überhaupt nicht seriös zu kalkulieren. Es bleibt offen, ob Pool-Lösungen und staatliche Versicherungsmodelle hier einen Ausweg bieten können. Im Moment ist jedenfalls in Cyber die Grenze der Versicherbarkeit erreicht.