Cyberversicherung: Der große Irrtum der Versicherbarkeit

Es beginnt oft leise. Ein Mitarbeiter öffnet eine scheinbar harmlose E-Mail. Wenige Minuten später reagieren einzelne Programme nicht mehr. Datenbanken sind blockiert, Produktionssysteme melden Fehler. Schließlich erscheint auf den Bildschirmen der IT-Abteilung eine kurze Nachrich. Die Daten wurden verschlüsselt. Ohne Zahlung bleibt das System gesperrt. Innerhalb weniger Stunden kann ein modernes Unternehmen vollständig handlungsunfähig werden. Produktionsanlagen stehen still, Lieferketten reißen ab, Kommunikation bricht zusammen.

Cyberangriffe gehören inzwischen zum Alltag der digitalen Wirtschaft. Kaum eine Woche vergeht ohne Meldungen über attackierte Unternehmen, blockierte Krankenhäuser oder gestörte Infrastruktur. Trotzdem hält sich in vielen Vorstandsetagen noch immer eine beruhigende Annahme. Man habe schließlich eine Cyberversicherung. Diese Annahme ist gefährlich. Und sie beruht auf einem fundamentalen Missverständnis.

Der Aufstieg eines neuen Versicherungsmarktes

Als Unternehmen vor etwa zwei Jahrzehnten begannen, ihre Geschäftsprozesse konsequent zu digitalisieren, entstand ein neues Risiko. Angriffe auf Daten und IT-Systeme. Die Versicherungswirtschaft reagierte schnell. Cyberpolicen wurden entwickelt, die Kosten für IT-Forensik, Betriebsunterbrechungen, Haftungsansprüche oder Krisenkommunikation abdecken sollten. Für Unternehmen klang das plausibel. Ein Risiko entsteht, also wird es versichert.

Der Markt entwickelte sich dynamisch. Cyberversicherungen wurden zu einem der am schnellsten wachsende Segmente der Versicherungsbranche. Doch der Boom beruhte auf einer Annahme, die sich heute als problematisch erweist. Cyberrisiken wurden behandelt, als seien sie vergleichbar mit klassischen Versicherungsrisiken. Das sind sie nicht.

Ein Risiko ohne Grenzen

Das klassische Versicherungsprinzip funktioniert nur unter einer Voraussetzung: Schäden müssen weitgehend unabhängig voneinander auftreten. Ein Brand zerstört ein Gebäude. Ein Sturm beschädigt eine bestimmte Region. Ein Verkehrsunfall betrifft einige Beteiligte. Cyberrisiken folgen einer völlig anderen Logik.

Die moderne Wirtschaft basiert auf wenigen zentralen digitalen Plattformen. Unternehmen weltweit nutzen dieselben Cloudanbieter, dieselben Betriebssysteme, dieselben Softwarelösungen. Was Effizienz schafft, erzeugt gleichzeitig eine extreme Abhängigkeit. Wenn eine dieser Plattformen angegriffen wird, betrifft das nicht nur ein Unternehmen. Es kann tausende betreffen. Risikoforscher sprechen in solchen Fällen von systemischen Risiken. Und genau solche Risiken stellen das Versicherungsprinzip infrage.

Die Realität der Cyberangriffe

Der Cyberraum hat sich in den vergangenen Jahren radikal verändert. Was einst mit experimentierenden Hackern begann, ist heute ein globales Geschäftsmodell. Cyberkriminalität ist organisiert, arbeitsteilig und hochprofitabel. Ransomware-Gruppen agieren wie Unternehmen. Sie entwickeln Schadsoftware, vermieten Angriffswerkzeuge und teilen Gewinne mit Partnern. Ganze digitale Untergrundmärkte handeln mit gestohlenen Daten, Zugangsdaten und Angriffstechnologien. Parallel dazu hat der Cyberraum eine geopolitische Dimension erreicht. Staaten investieren Milliarden in digitale Angriffskapazitäten. Cyberoperationen gehören längst zu modernen Konfliktstrategien. Gleichzeitig wächst die Verwundbarkeit moderner Gesellschaften. Energieversorgung, Verkehrssysteme, Industrieanlagen und Krankenhäuser sind heute digital vernetzt. Ein Angriff auf diese Systeme betrifft nicht mehr nur Daten. Er kann reale Prozesse stoppen. Produktionslinien. Versorgungsnetze. Transportketten. Cyber ist damit kein IT-Problem mehr. Es ist ein Systemrisiko für Wirtschaft und Gesellschaft.

Die stille Korrektur der Versicherer

Auch in der Versicherungsbranche wächst inzwischen die Skepsis. Viele Versicherer haben ihre Cyberpolicen in den vergangenen Jahren deutlich verändert. Ausschlüsse wurden erweitert, Deckungssummen begrenzt, Sicherheitsanforderungen verschärft. Besonders heikel sind drei Bereiche:

• staatliche Cyberoperationen,
• Cyberkrieg,
• systemische Großschäden.

Der Grund ist einfach. Ein globaler Cybervorfall könnte Schäden verursachen, die weit über die Kapazität einzelner Versicherer hinausgehen.

Wenn eine zentrale Softwareplattform oder ein großer Cloudanbieter betroffen wäre, könnten tausende Unternehmen gleichzeitig Ansprüche geltend machen. Für Versicherer wäre ein solches Szenario kaum beherrschbar. Die Konsequenz ist eine stille Anpassung des Marktes. Cyber wird weiterhin versichert, aber unter immer engeren Bedingungen.

Die trügerische Sicherheit der Police

Für viele Unternehmen entsteht daraus eine gefährliche Situation. Die Existenz einer Cyberversicherung vermittelt Sicherheit. Doch diese Sicherheit ist begrenzt. Eine Versicherung kann finanzielle Schäden teilweise ausgleichen. Sie kann Kosten für IT-Spezialisten übernehmen oder Betriebsunterbrechungen kompensieren. Was sie nicht kann, ist weit grundlegender. Sie kann keine Produktionsanlagen wieder starten. Sie kann keine kritische Infrastruktur stabilisieren. Sie kann keine gestohlenen Daten zurückholen. Und sie kann verlorenes Vertrauen nicht wiederherstellen. Vor allem aber kann sie eines nicht, den Angriff verhindern. Die Vorstellung, Cyberrisiken ließen sich hauptsächlich über Versicherungen managen, ist daher eine Illusion.

Die eigentliche Herausforderung, Prävention

Wenn Cyberrisiken systemisch sind, muss auch die Antwort systemisch sein. Der entscheidende Ansatz ist Prävention. Digitale Systeme müssen von Anfang an so gestaltet werden, dass Angriffe erschwert und Schäden begrenzt werden. Sicherheitsarchitekturen, regelmäßige Updates, Schulung von Mitarbeitern und klare Notfallstrukturen sind dabei zentrale Bausteine. In der Fachwelt wird dieser Ansatz zunehmend als digitale Resilienz bezeichnet. Resiliente Systeme können Angriffe erkennen, ihre Auswirkungen begrenzen und sich schneller erholen. Doch Prävention ist nicht nur eine Aufgabe einzelner Unternehmen.

Eine globale Aufgabe

Cyberangriffe kennen keine geografischen Grenzen. Angreifer operieren über internationale Netzwerke, nutzen Server in verschiedenen Ländern und greifen Ziele weltweit an.
Die Verteidigung gegen solche Angriffe kann daher nur international funktionieren. Politik, Wirtschaft, Technologieunternehmen, Sicherheitsbehörden und Versicherungswirtschaft müssen enger zusammenarbeiten. Der Cyberraum ist längst eine kritische Infrastruktur der globalen Wirtschaft. Sein Schutz ist damit nicht nur eine technische Frage. Er ist eine strategische Herausforderung.

Eine Warnung zum Schluss

Die digitale Welt steht an einem Wendepunkt. Unsere Gesellschaft ist stärker vernetzt als je zuvor. Industrie, Energieversorgung, Verkehr und Kommunikation hängen von stabilen digitalen Systemen ab. Doch genau diese Systeme sind verwundbar. Cyberrisiken werden weiter wachsen. Versicherungen können helfen, finanzielle Schäden zu begrenzen. Aber sie können keine stabile digitale Infrastruktur garantieren. Die eigentliche Aufgabe besteht darin, Cyberrisiken zu verstehen, zu reduzieren und gemeinsam zu beherrschen. Denn eines wird immer deutlicher. Ein Cyberangriff kostet Geld. Ein systemischer Cyberangriff kostet Vertrauen. Und verlorenes Vertrauen ist kaum versicherbar.