Vincenz Klemm: „Cyber ist ein intelligentes Risiko“ – und verändert die Risikobewertung

Vincenz Klemm

Cyberrisiken folgen für Klemm einer anderen Logik als klassische Versicherungsrisiken. Während sich etwa Schäden durch Brand oder Überschwemmung räumlich eingrenzen lassen, können digitale Angriffe weit über ein einzelnes Unternehmen hinausreichen. Hinzu kommt, dass sich die Bedrohung mit dem technologischen Fortschritt laufend verändert.

„Ein Gebäude brennt ab oder steht unter Wasser, der Schaden bleibt aber auf diesen Ort begrenzt. Bei Cyber gibt es keine physischen Grenzen. Zudem ist Cyber ein ‚intelligentes‘ Risiko: Der Schadenerreger handelt vorsätzlich, lernt dazu und sucht gezielt nach dem schwächsten Punkt im Netzwerk.“

Statische Fragebögen reichen nicht mehr aus

Für ein tragfähiges Risikoprofil hält Klemm die Kombination organisatorischer Informationen mit technischen Analysedaten für notwendig. Versicherer müssten dabei auch die von außen sichtbare Angriffsfläche eines Unternehmens berücksichtigen.

„Wir wollen von außen sehen, was auch potenzielle Angreifer sehen: Sind offene Ports vorhanden? Werden veraltete Server-Software-Versionen genutzt? Gibt es Leaks von Zugangsdaten im Darknet? Erst die Kombination aus technischem Scan und klaren Informationen zur organisatorischen IT-Sicherheit ergibt ein tragfähiges Risikoprofil.“

Cyberrisiken verändern sich während der Vertragslaufzeit

Die klassische Risikoerfassung bei Antragstellung und anschließend beim jährlichen Renewal greift aus Sicht Klemms bei digitalen Risiken zu kurz. Eine neu bekannt gewordene Schwachstelle oder ein erfolgreicher Phishing-Angriff könne das Risikoprofil kurzfristig erheblich verändern.

„Bei Baobab findet die Risikobewertung auch bei Vertragsabschluss statt, allerdings unterstützen wir anschließend die Unternehmen in unserem Portfolio durch kontinuierliche Präventionsarbeit. Unser Deep Scan läuft regelmäßig über die Angriffsoberfläche unserer Kunden und meldet sofort, wenn Schwachstellen gefunden wurden. Das führt dazu, dass Baobab Kunden deutlich seltener Opfer von Ransomware Angriffen werden als im Markt üblich und Baobabs Schadenquote 3-mal besser ist als der Marktdurchschnitt.“

Prävention verändert die Rolle des Versicherers

Versicherer sollten sich nach Klemms Vorstellung stärker in das Risikomanagement einbringen. Die operative Verantwortung für die IT-Sicherheit sieht er jedoch weiterhin beim Unternehmen und dessen IT-Partnern.

„Der Versicherer muss vom reinen Kostenträger zum aktiven Risikomanagement-Partner werden. Unsere Aufgabe ist es, Daten und Analysetools bereitzustellen, Risk-Scans durchzuführen und Kunden kontinuierlich über neue Bedrohungslagen zu informieren und auch zu reagieren. Gerade den Bereich Reaktion haben wir mit Managed Detection and Response und Incident Response klar gestärkt.“

Makler: Vom Bedingungsvergleich zur Risikoberatung

Auch für Versicherungsmakler ergeben sich aus dieser Entwicklung neue Anforderungen. Klemm sieht bereits eine Bewegung hin zu einer umfassenderen Risikoberatung. Bei Cyber gelte es insbesondere, die Erwartungen der Kunden an den Versicherungsschutz klar zu steuern.

„Bei Cyber müssen sie Kunden vermitteln, dass die Police kein Freibrief für mangelnde IT-Hygiene ist. Wichtig in der Beratung ist es, Erwartungshaltungen klar zu steuern: Werden Mindeststandards nicht nur schriftlich zugesagt, sondern im Betrieb auch konsequent umgesetzt? Zudem sollten Makler darauf achten, dass der Tarif nicht nur den reinen Vermögensschaden deckt, sondern professionelle Assistance-Leistungen beinhaltet, etwa IT-Forensik, Krisen-PR und Rechtsberatung im Notfall.“

Underwriting wird dynamischer und datengetriebener

Für die kommenden Jahre erwartet Klemm eine grundlegende Veränderung im Cyber-Underwriting. Manuelle Risikofragen dürften seiner Einschätzung nach an Bedeutung verlieren, während automatisiert erhobene Daten stärker in Risikobewertung und Tarifierung einfließen.

„Das Underwriting wird sich von einem Punkt-in-Zeit-Ansatz zu einem dynamischen, datengetriebenen aktiven Underwriting entwickeln. Manuelle Risikofragen werden auf ein Minimum schrumpfen, während automatisierte Telemetrie- und Analysedaten die Tarifierung und Underwriting Entscheidung. Darüber hinaus wird die Standardisierung im Markt zunehmen: Trotz Soft-Markt werden Versicherer auch aufgrund der sich ändernden Cyberrisiko Lage durch KI klar definierte technologische Mindestanforderungen durchsetzen müssen, ohne die Unternehmen schlicht unversicherbar werden.“

Das gesamte Interview lesen Sie in der AssCompact Oktober-Ausgabe!