Neue Risiken, keine Erfahrung

Noch herrscht hohe Unsicherheit bei der Entwicklung einer für Kunden wirkungsvollen und für den Versicherer tragbaren Risikodeckung. Mangels Erfahrung entstehen die Bedingungen entweder auf der grünen Wiese (mit deutlichen Einflüssen der jeweils führenden Haftpflicht- oder TV-Sparte) oder durch Kopieren von US-Wordings. Der Blick zurück bietet keine Hilfe. Auch wenn es eine Schadenhistorie gäbe, hätte sie, anders als beispielsweise in der Feuerversicherung, keine Aussagekraft für die Zukunft. Weil Versicherer die sich dynamisch entwickelnden Cyber-Risiken nicht einschätzen können, versuchen sie, das Risiko an vermeintlich besonders kritischen Stellen in den Bedingungen zu begrenzen. Das Ergebnis ist nicht selten eine Mogelpackung, ergab die Analyse von Franke und Bornberg. So werben einige Angebote damit, den Cloud-Ausfall zu versichern. Beim Blick ins Kleingedruckte zeigt sich jedoch, dass beispielsweise SaaS-Dienste (Software as a Service) ausgeschlossen oder nur DoS-Angriffe (Denial of Service = Nichtverfügbarkeit) auf den Cloud-Anbieter versichert sind. Zudem sublimitieren die meisten Anbieter Angriffe auf den Betreiber einer Cloud – und in deren Folge Betriebsunterbrechungsschäden beim Versicherungsnehmer – stark oder schließen diese Gefahr vom Versicherungsschutz gleich vollständig aus.

Wie findet man die richtige Deckung?

Vermittler stellt die Cyber-Versicherung vor eine anspruchsvollen Herausforderung: Sie müssen das Geschäftsmodell des Kunden (und nicht die Betriebsart wie in Sach/Haftpflicht) verstehen und in Verbindung mit dem technischen und organisatorischen Setup das tatsächliche Risiko ermitteln. So ist das Cyber-Risiko einer lokalen Boutique völlig anders als das eines (auch kleinen) Onlinehändlers, auch wenn beide Kundendaten sammeln, Kreditkartendaten verarbeiten, ihre Daten und Systeme selbst betreiben oder vollständige durch Dritte betreiben lassen. Mit der Betriebsart „Handel – Einzelhandel – Textilien“ käme man nicht sehr weit. Dann heißt es, die passende Deckung finden, Schwachstellen identifizieren und darüber ggf. verhandeln sowie diesen Prozess zur eigenen Enthaftung hinreichend dokumentieren. Das Cyber-Rating von Franke und Bornberg bietet Orientierung; dessen Analysetools unterstützen den Beratungsprozess und geben Vermittlern Sicherheit.

Cyber-Rating gibt Orientierung

Für das aufwändige Ratingverfahren nutzt Franke und Bornberg ausschließlich selbst recherchierte Daten. Die Bewertungen stützen sich nur auf das, was in den rechtlich bindenden Unterlagen geregelt ist. Denn nur darauf können sich Versicherte im Ernstfall auch verlassen.

Eine Besonderheit im Gewerbegeschäft ist, dass auf Nachfrage so gut wie alle Positionen verhandelbar sind. Das Cyber-Rating von Franke und Bornberg bewertet, was Versicherer standardmäßig bieten. Die Basis bilden die Haus-Wordings der Versicherer, inklusive standardisierter Klauselbögen und Sideletter. Untersucht wurden Kompaktprodukte, einzeln wählbare Leistungsbausteine sowie Zwischenformen inklusive aller angebotenen Bausteine / Optionen.

Die Analysten haben insgesamt 34 Cyber-Tarife für KMU von 28 Gesellschaften durchleuchtet. Konzepte von Deckungskonzeptanbietern und Maklerpools sind derzeit noch nicht öffentlich zugänglich. Herangezogen wurden exakt 115 Ratingkriterien in 21 Bereichen. Franke und Bornberg analysiert für das Rating vor allem Merkmale, die für die Mehrheit der KMU relevant sind und typischerweise in bisherigen Haftpflicht- und Sachversicherungen nicht gedeckt sind. Nicht berücksichtigt wurden hingegen Deckungsbestandteile, die in aller Regel in anderen etablierten Sparten gedeckt sind, beispielsweise Personenschäden und Schäden aus Produkthaftung.