Cyber-Kumulrisiko einfach erklärt

Was ist Cyber-Kumulrisiko?

Cyber-Kumulrisiko ist die Möglichkeit, dass ein gemeinsames Cyberereignis oder eine gemeinsame Schwachstelle gleichzeitig Verluste bei mehreren Versicherungsnehmern oder Policen auslöst und hohe aggregierte Versicherungsforderungen entstehen.

Der versicherungsfachliche Begriff beschreibt damit ein Portfoliorisiko: Mehrere Exponierungen müssen durch dasselbe zugrunde liegende Ereignis oder dieselbe Schwachstelle betroffen sein können. Die bloße Summe voneinander unabhängiger Cybervorfälle ist kein Cyber-Kumulrisiko.

Für wen ist Cyber-Kumulrisiko relevant?

Relevant ist es vor allem für Versicherer und Rückversicherer bei Zeichnung, Bepreisung und Steuerung affirmativer sowie nicht-affirmativer Cyberexponierungen. Voraussetzung ist ein Portfolio mit mehreren Risiken, die durch dasselbe Cyberereignis betroffen sein können. Ein isolierter Schaden bei nur einem Versicherungsnehmer beschreibt dagegen keinen Kumulschaden.

Wodurch entsteht Cyber-Kumulrisiko?

Auslösend ist eine mögliche Mehrfachbetroffenheit durch vernetzte digitale Systeme, gemeinsam genutzte Technologieplattformen oder gemeinsame Schwachstellen. Auch nicht-affirmative und überlappende Deckungen können die Kumulation verstärken. Entscheidend bleibt, dass eine gemeinsame Abhängigkeit oder Deckung mehrere Exponierungen gleichzeitig erfassen kann; mehrere voneinander unabhängige Ereignisse genügen nicht.

Warum ist Cyber-Kumulrisiko ein Korrelations- und Abhängigkeitsrisiko?

Gemeinsame Infrastruktur und Software-Ökosysteme können einen Vorfall über mehrere Unternehmen, Branchen, Länder oder Versicherungslinien tragen. Die gemeinsame Komponente ermöglicht eine gleichzeitige oder korrelierte Betroffenheit. Sie bestimmt aber weder, ob ein Schaden tatsächlich eintritt, noch dessen Höhe. Schätzungen bleiben deshalb von Expositions-, Vertrags- und Modellannahmen abhängig.

Welche Grenzen und Abgrenzungen gelten?

Cyber-Kumulrisiko bedeutet weder den sicheren Eintritt einer Systemkrise noch eine automatische Versicherungsleistung wegen einer gemeinsamen technischen Abhängigkeit. Ob und in welchem Umfang Deckung besteht und wie hoch ein Schaden ist, ergibt sich aus der jeweiligen Police, insbesondere aus Limits, Ausschlüssen und Kostenbeteiligungen. Nicht-affirmative oder überlappende Deckung kann das Risiko erhöhen, begründet für sich genommen aber keine Leistungspflicht.

Auch die Konzentration auf IKT-Drittdienstleister ist als eigener regulatorischer Risikobegriff nicht mit dem versicherungsbezogenen Cyber-Kumulrisiko gleichzusetzen. Beide Betrachtungen können dieselbe technische Abhängigkeit berühren, verfolgen jedoch unterschiedliche Bewertungszwecke.

Gibt es allgemeine Fristen oder Schwellenwerte?

Für den allgemeinen versicherungswirtschaftlichen Begriff bestehen keine einheitliche Frist, kein allgemeiner Fristbeginn und kein universeller numerischer Schwellenwert. Policen, Rückversicherungsverträge oder aufsichtliche Spezialregime können jedoch eigene Limite, Meldewege oder Fristen enthalten. Diese sind jeweils gesondert zu prüfen und dürfen nicht aus der Begriffsdefinition abgeleitet werden.

Häufige Fehlannahmen

„Viele Cyber-Einzelschäden bilden automatisch ein Kumulrisiko.“ Nein. Erforderlich ist ein gemeinsames zugrunde liegendes Ereignis oder eine gemeinsame Schwachstelle, die mehrere Exponierungen betrifft.
„Eine gemeinsame Plattform führt sicher zu Schäden bei allen Nutzern.“ Nein. Die Abhängigkeit ermöglicht korrelierte Betroffenheit, bestimmt aber weder Schadeneintritt noch Schadenhöhe.
„Ein technischer Zusammenhang löst automatisch Versicherungsschutz aus.“ Nein. Deckung und Leistung richten sich nach der jeweiligen Police einschließlich Limits, Ausschlüssen und Kostenbeteiligungen.
„Cyber-Kumulrisiko und IKT-Drittdienstleisterkonzentration sind dasselbe.“ Nein. Cyber-Kumulrisiko ist ein versicherungsbezogenes Portfoliokonzept; die regulatorische Konzentrationsbetrachtung ist davon abzugrenzen.
„Für Kumulrisiken gilt stets eine feste Meldeschwelle oder Prüffrist.“ Nein. Eine universelle Schwelle oder ein einheitlicher Zeitabstand gehört nicht zum allgemeinen Begriff; spezielle Verträge oder Regime können eigene Vorgaben enthalten.

Was die Geschäftsleitung tun sollte

Die folgenden Schritte sind risikoorientierte Praxis- und Aufsichtsempfehlungen für Geschäftsleitungen von (Rück-)Versicherungsunternehmen, die Cyberrisiken zeichnen oder wesentlich exponiert sind. Sie sind keine aus dem Begriff selbst folgende allgemeine Einzelpflicht; Methode und Häufigkeit sind an Portfolio und Geschäftsbereiche anzupassen.

Strategische Risikoneigung festlegen: Bestimmen, welche aggregierte Cyberexponierung das Unternehmen eingehen will.
Cyberexponierungen identifizieren: Affirmative und nicht-affirmative Exponierungen in den betroffenen Portfolios und Geschäftsbereichen erfassen.
Exponierungen messen: Gemeinsame Abhängigkeiten und die mögliche aggregierte Verlustwirkung über mehrere Versicherungsnehmer, Policen oder Versicherungslinien bewerten.
Nicht-affirmative Exponierungen und Rückversicherung bewerten: Diese Exponierungen regelmäßig gemeinsam mit der verfügbaren Rückversicherungskapazität beurteilen. Ein einheitlicher Zeitabstand ist nicht vorgegeben.

Für die Geschäftsleitung

Cyber-Kumulrisiko betrifft die aggregierte Exponierung eines Versicherungs- oder Rückversicherungsportfolios gegenüber einem gemeinsamen Cyberereignis oder einer gemeinsamen Schwachstelle. Die zentrale Entscheidung lautet, welche korrelierte Exponierung das Unternehmen eingehen will. Der Umsetzungsstand zeigt sich an der festgelegten strategischen Risikoneigung, den identifizierten und gemessenen affirmativen und nicht-affirmativen Exponierungen sowie der regelmäßigen Bewertung nicht-affirmativer Exponierungen und verfügbarer Rückversicherungskapazität.