Cyber-Versicherung – ein schwieriger Markt für Makler und Firmen
Jedes vierte kleine oder mittelständische Unternehmen hat schon einmal einen Cyber-Schaden erlitten, lautet das Ergebnis einer forsa-Umfrage. So ist auch die Sensibilität der Firmen gegenüber des eigenen Cyber-Risikos gestiegen, die Nachfrage nach Cyber-Versicherungen steigt. Dr. Stefan Steinkühler von der FINLEX GmbH, erklärt in seinem Gastbeitrag, welche Hürden beim Abschluss einer solchen Versicherung zu überwinden sind: sowohl für Firmen als auch beratende Versicherungsmakler.
Regelmäßig wird der Makler vom Unternehmen aufgefordert, den Versicherungsmarkt zu sondieren und mehrere Angebote einzuholen. Letztlich stehen Kunde und auch Makler vor dem Dilemma, dass sie nicht einschätzen können, was eine „faire“ Versicherungsprämie ist. So sind Prämienunterschiede für ein und dasselbe Risiko von teilweise bis zu 300 Prozent bei vermeintlich gleichen Deckungsinhalten zu sehen. Sicherlich ist dies auch dem Umstand geschuldet, dass der Cyber-Versicherungsmarkt in Deutschland noch sehr jung ist.
Anzeige
Mammutaufgabe Angebosterstellung
Die dargestellte Entwicklung mag auch daran liegen, dass Versicherer sehr unterschiedlich bei der Risikoprüfung vorgehen. Einige Versicherer geben bereits auf Basis von wenigen (wirtschaftlichen) Kennzahlen ein unverbindliches Angebot heraus – sogar ohne ausgefüllten Fragebogen. Andere wiederum bestehen auf einen solchen und fordern unter Umständen noch einen Risikodialog, bevor sie ein Angebot abgeben wollen. Schon der Ausschreibungsprozess ist für den Makler kaum beherrschbar und die Abgabe einer Empfehlung an den Kunden wird zur Mammutaufgabe.
Im schlimmsten Fall ist der Kunde vom preislich günstigstem Angebot, das er am liebsten gleich eindecken würde, angetan. Und es stellt sich dann im Nachhinein heraus, dass der Versicherer nicht bereit ist, eine vorläufige Deckung zu gewähren: Weil sich hinter dem vermeintlich einfachen Vorbehalt, einen ausgefüllten Fragebogen einzureichen, deutlich mehr verbirgt, als Kunde und Makler es beim Lesen des (unverbindlichen) Angebots erwarten würden.
Wünschenswert sind zumindest einheitliche Standards bei Fragebögen, damit die Geschäftsleitung und die IT-Abteilung des Kunden nicht zig Fragebögen ausfüllen müssen und den Versicherern mit angemessenem Aufwand vertiefte Einblicke in die Risikosituation des Unternehmens geben können, um die Verbindlichkeit bzw. Verlässlichkeit von Anhaltsquotierungen zu erhöhen.
Begrifflichkeiten-Bingo
Daneben fehlt es bislang auch an einer kundenfreundlichen Vergleichbarkeit in den Bedingungen der Versicherer. Begriffe sind unterschiedlich, obwohl sie vermeintlich dasselbe meinen oder zumindest dasselbe Ziel haben (z.B. Definition des Ertragsausfalls – in der „kaufmännischen“ oder „technischen“ Ausprägung). Es wird sich in nächster Zeit und mit einer flächendeckenden Schadenerfahrung herausstellen, ob die Verwendung von Definitionsteilen für die Beteiligten Sinn macht.
Risiko Deckungslücke vermeiden
Die einzelnen Anbieter verwenden unterschiedliche Versicherungsfälle (Claims-made- und Schadenereignis-Prinzip für den Haftpflichtteil in Verbindung mit dem Feststellungsprinzip für den Eigenschadenteil und diversen Mischformen). Der GDV hat jetzt ein eigenes Cyber-Konzept mit einem einheitlichen Versicherungsfall (Feststellung) entwickelt, das aktuell von den bisherigen etablierten Versicherern aber nicht adaptiert wurde. Über den richtigen „Trigger“ allein lässt sich letztlich trefflich streiten. Entscheidend ist, ob im Kontext zur Rückwärtsdeckung/-versicherung und Nachhaftungs-/Nachmeldefrist bei Vertragsbeendigung Klarheit darüber besteht, welcher Zeitraum abgedeckt ist. Das ist nicht nur bei der erstmaligen Platzierung wichtig, sondern auch bei einer späteren Umdeckung, um nicht in eine Deckungslücke zu fallen.
Bedarf einer Vertrauensschadenversicherung im Auge haben
Wenn man mit dem Kunden seine Cyber-Risiken analysiert und sich die (teilweise pressebekannten) Schadenszenarien aus dem digitalen Raum vergegenwärtigt, ist es eine zwingende Notwendigkeit, sich auch über den Bedarf an einer Vertrauensschadenversicherung zu unterhalten, die eine „konsequente Verlängerung“ des Cyber-Versicherungsschutzes darstellt. Werden zum Beispiel nach einem Hackerangriff Zahlungsströme umgeleitet, verlässt dieser Schaden den Bereich der konventionellen Cyber-Versicherung und kann nur über eine ergänzende Deckung versichert werden.
Dies ist nur ein Beispiel, das verdeutlichen soll, dass durch den Abschluss einer Cyber-Versicherung andere Versicherungsprodukte nicht überflüssig werden, da die Cyber-Versicherung einen anderen Schutzzweck verfolgt. Im Vordergrund steht vor allem die Assistance-Leistung durch einen professionellen IT-Forensiker/Krisenberater. Deswegen setzt der Deckungsschutz bereits zum frühstmöglichen Zeitpunkt ein, da vor allem eine Schadenminderung gefragt ist. Wichtig ist in diesem Zusammenhang auch eine entsprechende Regelung in den Versicherungsverträgen, dass die Cyber-Versicherung als Spezialdeckung anderen Versicherungsverträgen vorgeht.
Anzeige
Wie handeln bei Erpressung mittels Virusattacke?
Nach jüngsten Mitteilungen der BaFin scheint es nun wieder möglich, Cyber-Erpressung bzw. die Übernahme der Lösegeldforderung zu versichern. Das offizielle Statement steht noch aus. Die Schadenpraxis zeigt bei einer Erpressungs-Lage mittels einer Virusattacke allerdings, dass die erpressten Beträge für die Freischaltung der IT-Systeme nicht existenzgefährdend sind und der Forderung einfach nachzukommen, meist die schlechtere Alternative ist. Insofern entfalten bei einem Virenangriff eher andere Deckungskomponenten ihre Wirkung, wie der Einsatz der IT-Dienstleister, die mit der Erfahrung in solchen Situationen das beste Ergebnis erzielen können. Oder der Versicherungsschutz für eine Betriebsunterbrechung, sofern ausschlaggebend.