Cyberversicherung – Nicht einfach zu kalkulieren

Ein Gastbeitrag von Dr. Clemens Frey, Mathematiker und Aktuar DAV. Er leitet innerhalb der Deutschen Aktuarvereinigung e.V. die Arbeitsgruppe zum Thema Cyber.

Zunächst zum Begriff: Unter Cyberrisiko versteht man, dass IT-Systeme oder Daten nicht (mehr) verfügbar oder dass Vertraulichkeit und Integrität von Daten nicht (mehr) gewährleistet sind. Dabei ist es egal, ob ein Cyberereignis versehentlich oder bewusst herbeigeführt wurde. Ebenso ist egal, ob eigene oder externe IT-Ressourcen (wie jene eines Cloud-Anbieters) betroffen sind.

Marktentwicklung

Clemens Frey, Mathematiker und Aktuar DAVDAVEiner repräsentativen Umfrage des Kriminologischen Forschungsinstituts Niedersachen zufolge gaben zwei Fünftel der deutschen Unternehmen an, dass sie in den letzten zwölf Monaten Ziel eines Cyberangriffs waren, verursacht derzeit vor allem durch Ransomware-Attacken. Lloyd’s warnte jüngst aber auch vor Attacken, die auf physische Assets und kritische Infrastruktur zielen. Laut einer aktuellen Umfrage von Forsa im Auftrag des GDV erwarten 60 Prozent der deutschen Mittelständler, dass im Zuge des Ukraine-Krieges mehr Cyberangriffe auf deutsche Unternehmen stattfinden. Im weltweiten Maßstab beliefen sich Ende 2020 laut einer Studie von McAfee die Schäden auf eine Billion, also 1.000 Milliarden US-Dollar.

Cyberrisiken werden daher von der Bevölkerung und der Wirtschaft als relevante, teilweise sogar als bedrohliche Risikokategorie wahrgenommen. Die Bedeutung der Cyberversicherung nimmt also zu. Für 2020 betrug das weltweite Cyber-Prämienvolumen mehr als sieben Milliarden US-Dollar – bis 2025 wird von 20 bis 22 Milliarden US-Dollar ausgegangen.

Spezifische Herausforderungen

Für Versicherungsunternehmen, die Cyberpolicen entwickeln und vermarkten, wird es somit immer wichtiger, diese möglichst zuverlässig zu kalkulieren. Dabei stellen sich Herausforderungen, die stark von klassischen Versicherungssparten abweichen.

Zunächst unterliegen Cyberrisiken kontinuierlichen Veränderungen. Angriffsmuster und Gegenmaßnahmen entwickeln sich ständig weiter – das heißt, die Gefährdungslage ändert sich fortlaufend. Auch die Haftungssituation verändert sich durch neue Präzedenzfälle laufend, was direkt auf die Produktgestaltung und auf die Ausschlüsse durchschlägt.

Weiter weisen Cyberrisken eine starke Kumulgefährdung auf. Ein einzelnes Cyberereignis kann eine sehr große Anzahl von versicherten Einzelrisiken betreffen, ähnlich wie Stürme oder Erdbeben. Die Auswirkungen eines Cyberereignisses sind allerdings geografisch nicht begrenzt, können zudem sowohl Eigenschäden als auch Drittschäden hervorrufen. Es können Schäden finanzieller Art entstehen, aber auch Infrastrukturschäden, physische Schäden und Personenschäden. Und ein solches Ereignis kann auch auf der Anlageseite der Versicherungsbilanzen negative Auswirkungen haben.

Die vermutlich größten Herausforderungen haben Versicherer auf der Daten- und Modellseite. Cyberrisken müssen mit geeigneten mathematischen Modellen bewertet werden, um Cyberpolicen mit einem angemessenen Preis versehen zu können. Ein Modellierungsstandard wie in anderen Versicherungssparten hat sich für Cyber noch nicht herausgebildet; dies ist noch Gegenstand aktueller wissenschaftlicher Forschung. Auch die Deutsche Aktuarvereinigung (DAV) beteiligt sich aktiv an der Modellentwicklung.

In jedem Fall benötigen all diese Modelle geeignete Daten, die der aktuellen Risiko- und Haftungssituation entsprechen. Allein aufgrund der Neuartigkeit der Produkte, aber auch wegen der oben bereits angesprochenen Dynamik fehlt es meist an aussagekräftigen Daten in hinreichender Qualität. Diese Datenherausforderung beschränkt sich nicht nur auf reine Cyberpolicen. Auch in klassischen Policen sind Cyberrisiken – falls nicht mit einem Ausschluss belegt – eine mögliche Schadenursache und damit einzupreisen (Stichwort Silent Cyber).