Cyberversicherer werden zu aktiven Verteidigern – Zeichnungsprüfung allein reicht nicht mehr

Cyberversicherungen gibt es seit Jahren, doch erst der Ransomware-Boom der späten 2010er- und frühen 2020er-Jahre machte aus einem Nischenprodukt zur Risikoübertragung einen zentralen Bestandteil vieler Sicherheitsstrategien. Heutige Policen decken Incident Response, Betriebsunterbrechung, Rechtskosten und in manchen Fällen auch Lösegeldzahlungen ab.

Verglichen mit den Business-E-Mail-Compromise- und klassischen Ransomware-Angriffen von vor fünf oder zehn Jahren entwickeln sich die Techniken heute schneller als je zuvor. Große Sprachmodelle erlauben es Angreifern, komplexe Attacken zu orchestrieren, die Entwicklung von Schadsoftware und Exploits zu beschleunigen, fehlerfreie Phishing-Köder zu formulieren und in bislang unerreichtem Maßstab zu operieren. Damit bringt KI Unsicherheit in Bedrohungsmodelle, die weitgehend um Ransomware und Datenerpressung herum aufgebaut sind – Bereiche, zu denen Versicherer über Jahre Schadendaten gesammelt haben. Fortschritte beim Social Engineering könnten Häufigkeit und Schwere von Angriffen schneller verändern, als historische Verlustdaten es abbilden können. Unabhängig von KI entstehen zudem laufend neue Social-Engineering-Taktiken, und die Konsolidierung von Cloud-Ressourcen führt dazu, dass kompromittierte Zugangsdaten oder ein einzelner entwendeter API-Schlüssel verheerende Folgen haben können.

Thomas Pytel, Vice President bei Cowbell, sagt, sein Unternehmen setze auf eine Risikoprüfung, die sich fortlaufend an das Risiko anpasse. „KI verändert Geschwindigkeit, Umfang und Glaubwürdigkeit von Phishing und Identitätsvortäuschung, deshalb reicht die historische Schadenerfahrung allein nicht aus. Die Zeichnungsprüfung muss bewerten, wie ein Unternehmen Identitäten verifiziert, Zahlungen autorisiert und den eigenen KI-Einsatz kontrolliert", so Pytel.

Wie groß der Markt inzwischen ist, zeigt ein Bericht der National Association of Insurance Commissioners (NAIC) aus dem Jahr 2025: Die Prämien für Cyberversicherungen erreichten 2024 knapp 15 Milliarden US-Dollar, ein Plus von sieben Prozent gegenüber dem Vorjahr. Das direkt gezeichnete Prämienvolumen (Direct Written Premium) im US-Markt lag 2024 bei rund 9,14 Milliarden US-Dollar – gegenüber einem Markt, der einige Jahre zuvor nur einen Bruchteil dieser Größe hatte. Zugleich nennt derselbe Bericht für 2024 fast 50.000 Schadensmeldungen in den USA, der höchste je verzeichnete Wert und ein Anstieg um knapp 40 Prozent binnen eines Jahres. Das kann auf die wachsende Zahl von Versicherungsnehmern, auf aggressivere Angreifer oder auf beides hindeuten. Offen bleibt, ob das Wachstum der Branche ihre Fähigkeit überholt hat, die Bedrohungslage zutreffend zu modellieren.

Mit der Popularität der Policen kamen die Bedingungen. George Gerchow, IANS-Faculty-Mitglied und Chief Security Officer bei Bedrock Data, erinnert daran, dass die Anforderungen vor einigen Jahren noch auf einem kurzen Formular standen, das „niemand geprüft hat". Heute erwarten Versicherer Multifaktor-Authentifizierung (MFA), Endpoint Detection and Response (EDR), unveränderliche Backups und Kontrollen für privilegierte Zugänge; manche gingen zu kontinuierlicher Telemetrie über statt zu einer einmal jährlichen Selbstauskunft.

Daniel Woods, Head of Emerging Risks bei Coalition, teilt diese Einschätzung: Klassische Zeichnungsmodelle, die auf Fragebögen zu einem Stichtag beruhen, könnten nicht mithalten – und das gelte, seit die Ransomware-Epidemie um 2020 Fahrt aufnahm. Hintergrund waren auch Befürchtungen, Organisationen könnten eine Cyberversicherung als Ersatz für Patchen, gestaffelte Verteidigung oder starke Daten- und Authentifizierungskontrollen behandeln.

Eine bessere Sicherheitsaufstellung ist zwar unabhängig von ihrem Anlass ein Gewinn, birgt aber die Gefahr, Sicherheit in eine Compliance-Übung zu verwandeln. „Versicherungen haben mehr dazu beigetragen, MFA und EDR im Mittelstand auszurollen, als irgendjemand von uns auf einer Bühne – dieser Teil hat funktioniert", sagt Gerchow. „Aber der Antrag ist eine Momentaufnahme, und zu viele Teams behandeln das Bestehen als Ziel. Der Versicherer findet die Lücke dann im Schadensfall für einen. Abgelaufene MFA oder ein ungetestetes Backup, das man bestätigt hat, sind inzwischen einer der schnellsten Wege zu einer abgelehnten Schadensregulierung."

Jeremiah Grossman, CEO des auf Schadenverhütung spezialisierten Anbieters Root Evidence, beobachtet, dass Versicherer Jahr für Jahr stetig mehr Umsetzung einfordern, und das funktioniere „für viele offenbar gut". Das Problem sei aber: „Organisationen haben in der Regel nicht die Daten, um ihr Risiko angemessen zu messen und zu modellieren, und ihre Versicherer sind dafür oft besser aufgestellt."

Vergleichsweise neu ist, dass Versicherer selbst zu Akteuren im Sicherheitsprozess werden. Neben den üblichen Anforderungen – MFA, EDR, Managed Detection and Response (MDR), geprüfte Backups – bieten sie ihren Kunden Sicherheitsprodukte und -dienste direkt an. Coalition gibt Zugang zu einem Produkt für automatisierte Erkennung und Reaktion, Resilience stellt Werkzeuge für das Risikomanagement bereit, Cowbell bietet unter anderem Risikobewertung, Penetrationstests und Schulungen. Alle drei arbeiten zudem mit Sicherheitsanbietern zusammen und empfehlen vorab geprüfte Produkte und Incident-Response-Dienstleister. Umgekehrt bringen klassische Sicherheitsanbieter wie Arctic Wolf Produkte speziell für die Versicherbarkeit auf den Markt.

Coalition führt an, sein Modell der „Active Insurance" habe zu 73 Prozent weniger Schadensfällen als im Branchendurchschnitt geführt und sei der Grund dafür, dass 56 Prozent der 2024 gemeldeten Fälle ohne Eigenkosten für die Versicherten abgeschlossen wurden. Woods sagt, Versicherer, die Policen passiv ausstellten und darauf hofften, dass die Schäden die Prämien nicht übersteigen, würden angesichts der sich verschärfenden Bedrohungslage immer schlechtere Ergebnisse erzielen. „Die Lösung besteht darin, dass Versicherer Bedrohungsforscher und Sicherheitsexperten ins eigene Haus holen, um die Bedrohungslage zu beobachten und Kunden während der gesamten Laufzeit ihrer Police aktiv dabei zu unterstützen, ihren Schutz zu verbessern", sagt er. „Risikotransfer bleibt ein grundlegender Bestandteil der Cyberversicherung, aber laufender Schutz und Prävention gehören ebenso dazu."

Manche Risiken bleiben schwer modellierbar. Gerchow argumentiert, wenn morgen ein großer Cloud- oder Identitätsanbieter ausfiele oder kompromittiert würde, hätte der Markt Mühe, das aufzufangen – „und die Versicherer wissen das". Er verweist auf die Entwicklung der Vertragstexte: „Kriegsausschlüsse, die auf staatliche Aktivitäten ohne erklärten Konflikt angewendet werden, Ausnahmen für Großereignisse und niedrige Sublimits für abhängige Betriebsunterbrechung. CrowdStrike 2024 war ein fehlerhaftes Update ganz ohne Angreifer, und es hat trotzdem an einem einzigen Vormittag Flüge lahmgelegt und Krankenhäuser ausgebremst", sagt er. „Eine echte Kompromittierung eines großen Identitätsanbieters bedeutet, dass jeder nachgelagerte Kunde gleichzeitig Forensik, Rechtsbeistand und Benachrichtigungen braucht. Wenn ich diese Woche CISO wäre, würde ich als Erstes die Ausschlüsse für systemische Ereignisse in meiner Police lesen und davon ausgehen, dass ein großer Teil dieses Schadens bei mir bleibt."