Written by Unmittelbar nach Ausbruch des Ukraine Krieges nahmen GrECo´s Spezialisten mit den Cyber-Versicherern Kontakt auf, um ihre Reaktionen auf diese Entwicklungen zu diskutieren. Der allgemeine Tenor war, dass man die Situation bewerten und insbesondere im Bereich der kritischen Infrastruktur noch restriktiver vorgehen wird.
An der Gesamtsituation hat sich zuletzt nicht viel verändert. Zwar sind die anfänglich befürchteten Horrorszenarien bis dato ausgeblieben, dennoch agieren viele Versicherer noch sehr vorsichtig. Einzelne Versicherer, wie die Allianz Global Corporate & Specialty (AGCS), verließen vorsorglich den Cyber-Markt, sind nun zurück und führen zumindest Cyber-Risikochecks durch bzw. prüfen, ob die Unternehmen die
eigenen, oft strengen Underwriting-Vorgaben erfüllen. Die Klienten werden auch auf ein mögliches Russland- und Weißrussland-Risiko geprüft. Regelmäßig werden territoriale Ausschlüsse für diese Länder aufgenommen. Viele Unternehmen sind zudem verunsichert, ob im Falle von politisch motivierten Cyber-Angriffen, beispielsweise durch russische Hackergruppen, überhaupt Versicherungsschutz besteht.
Wann greift der Kriegsausschluss heute?
Üblicherweise gibt es bei Cyber-Versicherungen Kriegsausschlussklauseln, d.h. Schäden durch Krieg oder
kriegsähnliche Ereignisse sind nicht versichert. Beim klassischen Kriegsausschluss ist eine zielgerichtete Handlung eines angreifenden Staates mit physischer Gewalt notwendig – wie derzeit von Russland auf die Ukraine. Beide Länder sind i.d. Regel auch in Cyber-Polizzen durch territoriale Ausschlüsse nicht mehr versichert.
Für Cyber War gilt: Selbst wenn ein Cyber-Angriff auf ein Unternehmen staatlich gelenkt sein dürfte – wie bei unserem Beispiel in Estland angenommen, fehlt es trotzdem an einer offiziellen Kriegshandlung mit diesem Staat. Will sich der Versicherer auf den Leistungsausschluss berufen, muss „er“ den Nachweis führen, dass der Cyber-Angriff unter den Kriegsausschluss fällt – ein äußerst schwieriges Unterfangen.
Aufgepasst bei Lösegeldzahlungen!
Ransomware Fälle sind aktuell die Cyber-Bedrohung Nr. 1. Der Zugriff auf Daten oder Services wird blockiert, für die Freischaltung wird ein Lösegeld gefordert. Lösegeldzahlungen sind grundsätzlich versicherbar. Handelt es sich bei den Erpressern aber um russische Hackergruppen, müssen Unternehmen damit rechnen, dass Versicherer keine Leistungen ohne positiven Sanktions- und Compliance-Check erbringen werden. Aufgrund der umfangreichen Sanktionen gegen Russland sind Lösegeldzahlungen an russische Hackergruppen in der Regel sanktionsbehaftet, der Versicherungsschutz ist vertraglich ausgehebelt und gesetzlich sogar verboten.
Jüngste Entwicklungen aus UK
Geht es nach Lloyd’s of London, dürfen Unternehmen auf seinem Marktplatz keine Versicherungen für staatlich unterstützte Cyber-Angriffe mehr verkaufen. Als weltgrößter Versicherungsmarktplatz, fordert Lloyd‘s alle Cyber-Versicherer, die über seine Plattform verkaufen, auf, ihre Versicherungsverträge ab März 2023 so umzuschreiben, dass keine Deckung für Cyber-Angriffe besteht, die von staatlichen Stellen gesponsert werden. Verschiedene Standardausschlussklauseln wurden bereits definiert, welche mehr oder weniger streng vorformuliert sind. Vertreter der Makler-Branche verhandeln derzeit intensiv mit den Versicherern über Details der Formulierungen und die Anwendbarkeit dieser Klauseln. Der jüngst erfolgte Cyber-Angriff des Irans gegen Albanien zeigt die praktische Bedeutung dieser Auseinandersetzung.
Wir gehen derzeit davon aus, dass staatlich gesponsorte Angriffe dann ausgeschlossen sind, wenn das attackierte Land in kriegerische Handlungen verstrickt ist – andere Länder sind vom Ausschluss nicht betroffen. Inwieweit Versicherer, die nicht auf dem Lloyd’s-Markt vertreten sind, diesen Entwicklungen folgen, bleibt abzuwarten, insbesondere in einer Zeit, in der der Ukraine Krieg die Sorgen der Versicherer über weit
verbreitete Hackerangriffe verstärkt.
5 Takeways
1. In Österreich und Zentral- und Osteuropa beobachten wir noch keine Cyber-Angriffe im Zusammenhang mit dem Ukraine-Krieg.
2. Cyber-Versicherer nehmen nach wie vor die Verantwortung wahr und bieten Lösungen für diese wachsende Bedrohung.
3. Der herkömmliche Kriegsausschluss greift unserer Meinung nach nicht automatisch für Cyber-Krieg. Die Beweislast trifft den Versicherer.
4. Die jüngsten Entwicklungen am Londoner Versicherungsmarkt deuten auf einen verschärften Kriegsausschluss in künftigen Bedingungswerken hin.
5. Lösegeldzahlungen aus sanktionierten Gebieten sind nur dann versichert, wenn ein positiver Sanktions- und Compliance-Check erfolgt ist.
Quellen:
https://www.bsi.bund.de/DE/Service-Navi/Presse/Pressemitteilungen/Presse2022/220225_Angriff-Ukraine-Statement.html
https://cert.at/de/aktuelles/2022/3/ukraine-krise-aktuelle-informationen
https://www.enercon.de/de/aktuelles/stoerung-der-satellitenverbindungzu-windenergieanlagen/
Joachim Schuller
Competence Center Manager
Health & Benefits
T +43 664 962 39 11