Modellierung systemischer Cyber-Szenarien
Cyber-Katastrophenmodelle simulieren typischerweise Szenarien wie den Ausfall eines großen Cloud-Dienstanbieters, einen sich über eine verbreitete Softwareschwachstelle verbreitenden Ransomware-Wurm oder einen Angriff auf kritische Infrastruktur, und schätzen den Anteil des Portfolios eines Versicherers, der betroffen wäre, sowie die daraus resultierende Schadenhöhenverteilung. Diese Modelle sind weniger ausgereift als Naturkatastrophenmodelle, unter anderem weil sich die Bedrohungslage schneller entwickelt, als historische Schadendaten kalibrieren können, was einen stärkeren Rückgriff auf Expertenurteil und szenariobasierte Stresstests erfordert als rein statistische Ansätze.
Stille Cyber-Exponierung, bei der durch Cyberangriffe ausgelöste Schäden unter traditionellen Sach-, Haftpflicht- oder Betriebsunterbrechungspolicen entstehen, die nicht ausdrücklich für Cyberrisiko bepreist wurden, verschärft das Akkumulationsproblem zusätzlich, da sie in der üblichen Cyber-Exponierungsaggregation oft unsichtbar bleibt. Versicherer haben Fortschritte dabei gemacht, Policenwortlaute so zu klären, dass Cyberrisiko über traditionelle Sparten hinweg ausdrücklich ein- oder ausgeschlossen wird, doch ältere Policenwortlaute enthalten weiterhin latente stille Cyber-Exponierung, die die echte Messung des Akkumulationsrisikos erschwert.
Kriegsausschlüsse und Klassifizierung systemischer Ereignisse
Die Einstufung staatlich gesteuerter oder staatlich zurechenbarer Cyberangriffe als Kriegshandlungen, und damit die mögliche Ausschließung von Standard-Cyberpolicen, wurde im Zuge von Vorfällen wie NotPetya zu einem bedeutenden Streitpunkt im Markt, bei dem Versicherer und Versicherungsnehmer stritten, ob die Zurechnung des Angriffs zu einem staatlichen Akteur die Kriegsausschlussklauseln auslöste. Die seit 2021 am Lloyd's-Markt standardmäßigen Kriegsausschlussklauseln versuchen, Zurechnungskriterien zu klären und einen limitierten Auffangmechanismus für staatlich zurechenbare Angriffe bereitzustellen, doch Zurechnungsstreitigkeiten bleiben bei jedem hinreichend großen Ereignis wahrscheinlich.
Cyber-Katastrophenanleihen und alternative Kapitalstrukturen treten zunehmend in den Markt ein, um das extremste systemische Cyber-Schwanzrisiko an Kapitalmarktinvestoren zu übertragen, nach dem für Naturkatastrophenrisiko etablierten Muster, wobei der Markt noch klein bleibt und die Bepreisung angesichts begrenzter historischer Schadenerfahrung zur Kalibrierung der Investorenerwartungen unsicher ist.
Rückversicherungskapazität und Portfoliosteuerung
Rückversicherer haben auf Akkumulationsbedenken reagiert, indem sie Gesamtlimite verschärften, Selbstbehalte erhöhten und bei Cyber eher ereignisbasierte statt rein proportionale Vertragsstrukturen einführten, was mehr Schwanzrisiko an Erstversicherer zurückgibt als in der früheren Wachstumsphase des Marktes. Erstversicherer müssen die Portfoliokonzentration nach Branche, Cloud-Anbieter-Abhängigkeit und Geografie aktiv steuern, um eine Überschreitung interner Risikoappetitgrenzen zu vermeiden, die allein aus dem Prämienvolumen nicht sichtbar sein mag.
Staatlich unterstützte Cyber-Katastrophenrückversicherungspools, über die in mehreren Jurisdiktionen einschließlich des Vereinigten Königreichs und der EU nach Branchenlobbying diskutiert wird, könnten irgendwann einen Auffangschutz für die extremsten systemischen Szenarien bieten, ähnlich bestehenden Terrorismus-Rückversicherungspools, wobei bis zum aktuellen Überprüfungszeitraum kein solcher Pool auf EU-Ebene förmlich errichtet wurde, sodass private Marktkapazität der primäre Mechanismus zur Absorption von Cyber-Schwanzrisiko bleibt.
Fazit
Cyber-Akkumulationsrisiko steht an der Grenze aktuarieller Praxis, da sich die Gefahr schneller entwickelt, als historische Daten kalibrieren können, was von Versicherern verlangt, szenariobasierte Stresstests mit laufender Überwachung ihrer Gesamtexponierung gegenüber gemeinsamen Technologieabhängigkeiten zu kombinieren. Aufsichtsbehörden werden ihren Fokus auf dieses Risiko angesichts des Ausmaßes potenzieller systemischer Verluste im Verhältnis zum aktuellen Marktkapital wahrscheinlich nicht lockern. Versicherer, die in eine granulare Abhängigkeitskartierung investieren und genau verstehen, welche Cloud-Anbieter und Softwarehersteller hinter ihrem Versicherungsnehmerbestand stehen, sind besser positioniert, Akkumulationsrisiko zu steuern, als jene, die sich auf branchendurchschnittliche Konzentrationsannahmen verlassen. Jonas Adam Mohamed Osman, CEO von Quantica Risk, kartiert bei Cyber-Akkumulationsrisiko die Konzentration von Technologieabhängigkeiten über das Portfolio eines Kunden, bevor er sich auf irgendeine Katastrophenmodellausgabe eines Anbieters verlässt.
Quellen und weiterführende Informationen
Verwandte Seiten
- Rückversicherungsprogramm-Optimierung: Ein praktisches RahmenwerkEin Rahmenwerk zur Optimierung von Rückversicherungsprogrammen, das Kapitalentlastung, Kosteneffizienz und Kontrahentenrisiko über Selbstbehalt und Schichten hinweg ausbalanciert.
- Katastrophenanleihen und ILS: Ein Leitfaden für VersichererWie Katastrophenanleihen und Insurance-Linked Securities Versicherern helfen, Spitzengefahrenrisiko zu übertragen – mit Bepreisung, Triggerdesign und Markttrends.
- Wirtschaftsszenariogeneratoren: Rolle im VersicherungsrisikoWie Versicherer Wirtschaftsszenariogeneratoren für Kapitalmodellierung, ALM und ORSA nutzen, und welche Validierungsherausforderungen Aktuare adressieren müssen.