Cyber – bald nicht mehr versicherbar?

Die Versicherbarkeit von Cyberrisiken wird aktuell wieder zunehmend diskutiert. Die wesentlichen Gründe hierfür sind hohe Kumulgefährdung, schnelle Dynamik der Risikoentwicklung, unzuverlässige Datenlage und wenig standardisierte Risikomodelle. Diesen Aspekten muss man sich annähern, um die infrage stehende Versicherbarkeit im Bereich Cyber aktuariell zu beurteilen. Immer wieder sorgen aber auch medienwirksame Cyber-Vorfälle dafür, dass die Debatte um die Versicherbarkeit von Cyber-Risiken erneut geführt wird.

Hohe Kumulgefährdung

Bei Cyberereignissen ist angesichts der zunehmend digitalisierten und vernetzten Gesellschaft ein erhöhtes Kumulrisiko gegeben. Kleine Einzelrisiken entwickeln sich dann zu Großschäden, inklusive eines möglichen Ausfalls von IT-Diensten sowie kritischer Infrastruktur – das mitunter über Landesgrenzen sowie betroffene Unternehmen und Branchen hinweg. Anfällig macht dabei neben dem hohen Vernetzungsgrad und dem Fehlverhalten von Einzelpersonen insbesondere die Verwendung von IT-Monokulturen an Betriebssystemen, Software, Hardware und Sicherheitsprogrammen. Im Bereich des Cloudcomputings ist der Markt zudem auf wenige Cloud-Service-Provider fokussiert.

Bei Schäden können – durch eine Mischung von affirmativen, also mit expliziter Deckungszusage versehenen, und non-affirmativen Cyber-Deckungskomponenten – mehrere Versicherungszweige durch verschiedene Schadenkomplexe getroffen werden. Hinzu kommen die mögliche Betroffenheit der Kapitalanlagen des Versicherungsunternehmens und entsprechende volkswirtschaftliche Folgen, sobald Unternehmen oder Staaten, in die investiert wurde, Schäden erleiden.

Schnelle Dynamik erschwert Risikoeinschätzung

Zum einen ändern sich fortlaufend und schnell die Produkte, die Geschäftsfelder und Märkte, in denen agiert wird und die von Cyberrisiken betroffen sein können. Zum anderen ändern sich auch die Wege, auf denen angegriffen wird. Die Angriffe werden immer häufiger und ausgeklügelter. Daran passt sich auch die verteidigende Gegenseite an.

Offene Daten-, Methoden- und Modellfrage

Für die Kalkulation einer Versicherungsprämie sind Daten ein Grundpfeiler. Mit Blick auf die angesprochene Dynamik im Feld Cyber ist das eine Schwachstelle. Die schwierige Datenlage ergibt sich durch unzuverlässige historische Daten, fehlende Meldungen von Vorfällen und durch einen nicht definierten Marktstandard zur Begriffsbestimmung sowie Klassifizierung von Cyberrisiken. Relevante Merkmale werden sowohl bestands- als auch schadenseitig häufig nicht erfasst, beispielsweise das IT-Sicherheitsniveau des versicherten Risikos oder etwa die Ursache des Schadens.

Diese Faktoren unterliegen jedoch Veränderungen, welche wiederum die Schadenhöhe beeinflussen. Bislang haben sich auf dem Feld der Cyberversicherung keine Standardverfahren in der Modellierung entwickelt. Daher muss mit umso größerer Sorgfalt und Marktkenntnis vorgegangen werden. Die Methodenfindung muss weiterentwickelt werden und muss aufgrund der Komplexität des Cyber-Themas gegenüber anderen Risiken zu sehr elaborierten mathematischen Methoden führen.