Cyberschäden werden von den Versicherern unverändert bearbeitet

Inwiefern sind angesichts des Krieges massive Cyberattacken zu befürchten?

Nach Angaben des Bundesamtes für Sicherheit in der Informationstechnik (BSI) herrscht in Deutschland gegenwärtig eine „erhöhte Bedrohungslage“. Für das BSI ist aber aktuell keine akute unmittelbare Gefährdung der Informationssicherheit in Deutschland im Zusammenhang mit der Situation in der Ukraine ersichtlich. Diese Bewertung kann sich nach Einschätzung des BSI jederzeit ändern. Allerdings haben Branchenexperten bereits Kenntnis von Fällen einzelner Cyberattacken. Der deutsche Windradhersteller Enercon beispielsweise könne seit 24.02.2022 keine Fernwartung mehr auf den eigenen Anlagen vornehmen. Grund dafür sei eine Störung des Satellitennetzwerks. Ole Sieverding, Geschäftsführer bei der CyberDirekt GmbH, merkt an, dass es in diesem Fall nicht auszuschließen sei, dass die Störung auf einen Cyberangriff zurückzuführen ist. Durch den extrem nahen zeitlichen Bezug zur russischen Kriegserklärung gegen die Ukraine könne es hier einen Zusammenhang geben. Allerdings: „Die Attribution von Cyberangriffen, also die Nachweisbarkeit, wer wirklich hinter einem Angriff steckt, ist in der Praxis leider nur sehr schwer und bei wirklich professionellen Angriffen eigentlich nicht möglich“, erklärt Sieverding gegenüber AssCompact. Auch bei den Versicherern herrscht erhöhte Aufmerksamkeit. Auf AssCompact-Nachfrage äußerten Allianz und HDI, dass die Cyberaktivitäten im Zusammenhang mit der Invasion in der Ukraine sehr genau beobachtet würden. Auch würden verstärkt Überwachungsmaßnahmen und Szenario-Pläne aufgestellt werden. Eine größere Gefahr gehe dagegen von Trittbrettfahrer-Angriffen aus, die die unsichere Situation ausnutzen dürften, merkt Achim Fischer-Erdsiek, geschäftsführender Gesellschafter bei der NW Assekuranzmakler ProRisk GmbH, zur aktuellen Gefährdungslage an.

Inwiefern sind mittelständische Unternehmen und kritische Infrastruktur bereits betroffen?

„Wir haben bisher keine konkreten Anhaltspunkte dafür, dass es infolge der Situation in der Ukraine bzw. den gegenüber Russland ausgesprochenen Sanktionen schon vermehrt zu Cyberangriffen durch russische Hacker gekommen ist“, bewertet Sabine Pawig-Sander, geschäftsführende Gesellschafterin beim auf Cyberversicherungen spezialisierten Versicherungsmakler Erichsen GmbH, die gegenwärtige Situation. Nichtsdestotrotz könne eine akute Gefahr einer ungewollten Eskalation durch nicht-koordinierte Angriffe entstehen, gibt hingegen Sieverding zu bedenken. Mit dem HermeticWiper ist auch schon im aktuellen Konflikt der erste gefährliche Schadcode in der Ukraine in diesem Kontext aufgefallen. Sollten sich Vergeltungsmaßnahmen so hochschaukeln, merkt Sieverding an, könne das Leid auf beiden Seiten schnell unnötig erhöht werden. Auch der COGITANDA Dataprotect AG – einem auf Cyberrisiken spezialisierten Versicherungsanbieter – lag aktuell kein gemeldeter Schaden vor, der konkret mit den aktuellen Kriegsereignissen in Verbindung zu bringen wäre. Derzeit würden auch weiterhin aktuelle Schäden von den Versicherern unverändert bearbeitet, beschwichtigt unterdessen Fischer-Erdsiek.

Inwiefern könnte eine Kriegsausschlussklausel wirksam werden?

Grundsätzlich seien Versuche seitens der Versicherer in der derzeitig komplexen Lage nicht auszuschließen. Im Einzelfall müsse auf die individuelle Formulierung der Klausel geachtet werden, so Fischer-Erdsiek. Vom Versicherer Allianz heißt es dazu, dass ein erklärter Krieg in Unternehmensversicherungspolicen im Allgemeinen ausgeschlossen sei und eigenständige Cyberpolicen keine Ausnahme bilden würden. Allerdings prüfe das Cyberkompetenzzentrum der Allianz derzeit die Versicherbarkeit solcher feindlichen Cyberaktivitäten.

Wie sieht es mit der Durchsetzbarkeit einer Kriegsausschlussklausel aus?

Die Hürden für eine Durchsetzbarkeit dieses Ausschlusses seien recht hoch, denn die Beweislast für seine Anwendbarkeit läge bei den Versicherern, erklärt Pawig-Sander. Der Versicherer hat also den Zusammenhang des konkreten Versicherungsfalles mit einem Krieg sowie die Einschlägigkeit der Formulierung des Ausschlusses nachzuweisen, ergänzt Sieverding und schildert die Schwierigkeiten seitens der Versicherer im Falle des Schadprogramms NotPetya Wiper im Jahr 2017: „Mit der Ace gegen Merck und Zurich gegen Mondelez haben zwei Versicherer versucht, sich in der Sachversicherung bei einem Schaden in den USA auf den Kriegsausschluss zu berufen. Bisher sind die Richter auf Seiten der Unternehmen, auch wenn die Urteile noch nicht rechtskräftig sind.“ Solange Deutschland keine aktive Kriegspartei ist, werden punktuell auftretende Cyberangriffe weniger den Einwand des Kriegsausschlusses auslösen, so die übereinstimmenden Äußerungen seitens der Expertinnen und Experten. Pawig-Sander gibt indes zu Bedenken, dass der Fokus russischer Hacker tendenziell bei strategisch wichtigen Zielen wie Netzwerkstrukturen liegen könnte. „In Cyberversicherungsverträgen, in denen entsprechende Rückwirkungsschäden im Rahmen einer Betriebsunterbrechungskomponente mitversichert sind, könnte dann ein sogenannter ‚Infrastrukturausschluss‘ greifen, der eben diese Rückwirkungsschäden – ganz unabhängig von einem Kriegsereignis – von der Deckung ausschließt“, erläutert Pawig-Sander. Betroffene Unternehmen würden dann von ihrem Versicherer keinen Ersatz für entstandene Schäden bekommen.

Was können Unternehmen nun präventiv tun?

Laut Fischer-Erdsiek liegt die Grundproblematik beim Thema Cyber in der nach wie vor geringen Versicherungsdichte in Höhe von 15%. Daher ist Unternehmen die Verbesserung ihrer eigenen IT-Sicherheit nahezulegen. „Sie ist in der derzeit verschärften Cyberbedrohungslage die entscheidende und durch die Unternehmen direkt beeinflussbare, eigenverantwortliche und stärkste Maßnahme gegen die steigenden Angriffszahlen“, appelliert Fischer-Erdsiek an die Unternehmen. (as)