von Christian Drave, LL.M.

Sie kommen aus der virtuellen Welt – und treffen uns sehr real: Cyberrisiken betreffen faktisch alle Bereiche von Wirtschaft, Staat und Gesellschaft. Und sie treffen nicht nur Einzelne. Cyberrisiken sind systemische Risiken. Sie haben das Potenzial, global ganze Wirtschaftssektoren zu schädigen und Spitzenschäden zu verursachen (wie etwa die Malware NotPetya in 2017 zeigte).

Es ist dieses Potenzial von Wahrscheinlichkeit und Ausmaß von Cyberrisiken, das Probleme schafft und traditionelle Herangehensweisen in Frage stellt.

Absicherung und Versicherung. Das ging traditionell Hand in Hand. Das Unternehmen vernünftig aufstellen, technisch und organisatorisch, und die verbleibenden Risiken versichern. Und genau hier liegt das Problem für die Unternehmen.

Problemfeld Absicherung: Risikoentwicklung erschwert Prävention

Die effektive Absicherung gegen Cyberrisiken durch präventive Maßnahmen wird immer anspruchsvoller. Nicht zuletzt, weil sich die Bedrohungslage verschärft. Experten gehen davon aus, dass die Gefahr massiver Cyberschäden durch staatliche und nicht-staatliche Akteure weiter steigt, zumal die wirtschaftlichen, geopolitischen, militärischen und finanziellen Möglichkeiten der Angriffe deren Kosten/Risiken bei weitem übersteigen (vgl. etwa Controlrisks; "Top Risk: Cyber", RISKMAP 22)

Problemfeld Versicherung: Cyberrisiken als systemische Risiken

Schlimmer noch kommt die Ebene „Versicherung“ für die Privatwirtschaft hinzu. Die Versicherungswirtschaft scheut die Übernahme von systemischen Risiken. Dies betrifft auch Cyberrisiken. Wie Versicherer nach den Anschlägen von 9/11 allgemein Ausschlüsse von Terrorgefahren einführten, ist ein entsprechender Trend mittlerweile auch mit Blick auf Cyberrisiken zu verzeichnen. 

Stehen die Unternehmen nun allein im Regen? Wie können wir mit diesen systemischen Risiken – denn das sind Cyberrisiken in der Tat – umgehen?

Ein Ansatz könnte sein, systemischen Risiken auch systemisch – gewissermaßen gemeinschaftlich – zu begegnen.

Auf der Ebene der Absicherung bestehen bereits gute Ansätze. Beispielsweise stärken Cyberinitiativen von Wirtschaft und Staat Prävention, Detektion und das Krisenmanagement von Unternehmen. Die Versicherungswirtschaft leistet dazu wichtige Beträge.

Doch wie sieht es mit der Ebene der Versicherung aus? Man wird es der Versicherungswirtschaft nicht verübeln können, dass sie ihr Exposure bei Cyberrisiken begrenzen will. Doch die Risiken sind da, und die Assekuranz muss eine echte Rolle behalten bzw. übernehmen. Der Ansatz ist als solcher nicht neu, wenn auch Cyberrisiken einen neuen Maßstab setzen: Bei anderen systemischen Gefahren – wie etwa Terror – haben Versicherungswirtschaft und Staaten Modelle gefunden: z.B. Pools mit einem staatlichen „backstop“ für absolute Spitzenrisiken. Aber auch für Risiken von Naturkatastrophen bzw. Klimarisiken finden sich global Beispiele für gemeinschaftliche Ansätze von Wirtschaft, Staat und nicht-staatlichen oder zwischenstaatlichen Organisationen, vgl. z.B.

• das Insurance Development Forum zu globalen Katastrophenrisiken
• aber auch auf nationaler Ebene die "Schutz-Partnerschaften" für witterungsbedingte Ernteausfälle

Auch um Cyberrisiken zu versichern, könnte das Modell einer PPP einen Lösungsansatz bieten. Diskussionen dazu finden statt, vor allem geführt von Vertretern der (Rück)Versicherer, staatlichen Interessenvertretern und nicht-staatlichen Akteuren wie etwa NGOs. Das ist gut.

Die versicherungsnehmende Wirtschaft – die Unternehmen – sollte nicht versäumen, sich zu beteiligen, eigene Interessen zu wahren und die Entwicklung mitzugestalten. Es gilt, vom Betroffenen zum Akteur zu werden – auch in Sachen Cyber.