20.10.2018

Die Ratingagentur Franke und Bornberg veröffentlicht das erste Rating für gewerbliche Cyber-Policen im deutschen Markt. Untersucht wurden 35 Tarife und Bausteinlösungen von 28 Anbietern. Noch sind die Leistungsunterschiede groß und es gibt nur wenige Top-Tarife.

Die Gefährdung durch Cyber-Risiken ist vielschichtig und entwickelt sich dynamisch. Das bestätigt der Bericht zur Lage der IT-Sicherheit, den das Bundesamt für Sicherheit in der Informationstechnik (BSI) erst vor wenigen Tagen veröffentlicht hat. Cyber-Angriffe richten sich mittlerweile gezielt gegen die Grundpfeiler der Informationstechnologie. Gleichzeitig schreitet die Digitalisierung und Vernetzung von IT-Systemen, Alltagsgegenständen und Produktionsanlagen voran. Die Kombination aus neuer Angriffsqualität und beschleunigter Digitalisierung hebt die Gefährdungslage auf ein neues Niveau.

Versicherungen versprechen Schutz. Am deutschen Markt sind Cyber-Versicherungen für Unternehmen seit gut acht Jahren präsent, zunächst für Industrie-Risiken und auf Basis anglo-amerikanischer Deckungskonzepte. Spätestens mit den Cyber-Attacken auf den Deutschen Bundestag und militärische Einrichtungen im Jahr 2015 ist das Risikobewusstsein deutlich gestiegen. In diesem Jahr brachten gleich mehrere Versicherer zeitgleich neue Produkte an den Start. Die Musterbedingungen für Cyber-Versicherungen (AVB Cyber) des GDV, 2017 veröffentlicht, gaben weiteren Versicherern den Anstoß, mit Cyber-Tarifen an den Markt zu gehen. Die Bedingungen stellen ab auf kleine und mittelständische Unternehmen (KMU) mit bis zu 250 Mitarbeitern und 50 Millionen Euro Jahresumsatz.

Was eine Cyberpolice abdeckt

Im Kern tritt die Cyber-Versicherung ein für Schäden des Versicherten (Eigenschaden) oder Dritter (Drittschaden) durch ungewollte Einwirkungen, Zugriffe und Nutzung von IT-Systemen des Versicherten sowie im Zuge des Cyber-Schadens entstehende Kosten. In der Drittschadendeckung gibt es (mehr oder weniger ausgeprägte) Deckungsüberschneidungen mit klassischen Betriebshaftpflicht-, Vermögensschadenhaftpflicht-, Produkthaftpflicht- und D&O-Haftpflichtversicherungen. Im Bereich Eigenschäden entstehen teils weitreichende Überschneidungen mit Vertrauensschaden-Versicherungen, insbesondere bei zielgerichteten Hacker-Angriffen sowie Betrug und Diebstahl (Phishing, Pharming, Fake President etc.).

Keine Lust auf Finanzdienstleister

Vermittler und generell Finanzdienstleister, die sich gegen Cyber-Risiken absichern wollen, haben allerdings schlechte Karten. Sie gelten offenbar als gefahrenträchtig und nur wenige Versicherer sind bereit, ihnen Schutz zu bieten, was der Gewinnung von Vermittlern für den Vertrieb von Cyber-Produkten nicht gerade dienlich ist.  

Ansonsten gibt es kaum Einschränkungen; eine Million Euro Versicherungsschutz ist, je nach Branche und Geschäftsmodell, schon für weniger als 1.000 Euro Jahresprämie erhältlich. Allerdings kennt die Assekuranz bei Cyber, wie auch in anderen Sparten, kein einheitliches Verständnis von KMU. Die Grenzlinie zwischen Gewerbe- und Industriebetrieben verläuft zwischen fünf und 50 Millionen Euro Jahresumsatz.

Orientierung dringend gesucht

Der Deckungsumfang unterscheidet sich von Versicherer zu Versicherer erheblich, konstatiert Michael Franke, geschäftsführender Gesellschafter der Franke und Bornberg Research GmbH: „Wir beobachten deutliche Unterschiede in Aufbau und Umfang der Cyber-Bedingungen. Vom großen Komplettpaket über Baukastensysteme bis hin zu eng gefassten Kern-Deckungen ist alles vertreten. Was der eine Versicherer über eine Rechtsschutzversicherung löst, die an den Cyber-Hauptvertrag angedockt wird, webt der andere in Cyber-Drittschadendeckung und Krisen-Dienstleistungen ein. Die Konsequenzen für Versicherungsfall, Entschädigung und das Verhältnis zu anderen Versicherungsverträgen können gravierend sein. Unser Rating bietet erstmals Orientierung in diesem jungen und dynamischen Markt.“

Noch kann von Standards keine Rede sein, wie Franke am Beispiel der „versicherten Gefahren“ zeigt. Es herrsche eine fast babylonische Sprachverwirrung. Versicherer verwenden unterschiedlichste Begriffe, die sie mehr oder weniger klar definieren. Als versicherte Gefahren werden genannt:

-    „Netzwerksicherheitsverletzung“
-    „IT-Sicherheitsverletzung“
-    „Hacker-Angriff“
-    „Cyber-Angriff“
-    „Cyber-Einbruch“
-    „Cyber-Attacke“
-    „Cyber-Rechtsverletzung“
-    „Cyber-Sicherheitsvorfall“

In der Summe beschreiben die meisten Begriffe zwar einen ähnlichen Zustand, aber im Detail unterscheiden sie sich sehr – mit unabsehbaren Konsequenzen für Vermittler und Kunden. Ein anderes Thema, dasselbe Problem: die Cloud in Worte zu fassen und das mit der Nutzung von ausgelagerten IT-Prozessen einhergehende Risiko zu beschreiben. Kaum eine Definition gleicht der anderen, sofern es sie überhaupt gibt.