Cyberkrieg und Kriegsausschluss

Was sind Cyberkrieg und Kriegsausschluss?

„Cyberkrieg“ ist kein einheitlicher Deckungsbegriff; ein Kriegsausschluss begrenzt den Versicherungsschutz vertraglich, wobei Police, Klauselwortlaut, Sachverhalt, Zurechnung und anwendbares Recht entscheiden.

Einordnung: Ein staatlicher Bezug allein macht einen Cyberangriff weder automatisch zu „Krieg“ noch automatisch zu einem ausgeschlossenen Ereignis. Für staatlich gestützte Cyberangriffe können eigenständige Ausschluss- oder Deckungsklauseln gelten. Ob Versicherungsschutz besteht, ist deshalb anhand des tatsächlich vereinbarten Vertrags und Klauselwortlauts, des Sachverhalts, der verfügbaren Beweise und des jeweils anwendbaren Rechts zu beurteilen.

Für wen sind die Lloyd’s-Vorgaben relevant?

Autoritative Marktpraxis: Das Lloyd’s Market Bulletin Y5381 richtet sich an Managing Agents von Lloyd’s-Syndikaten und erfasst eigenständige Cyberangriffsversicherungen der Risikocodes CY und CZ bei Abschluss oder Erneuerung. Lloyd’s kann Abweichungen vereinbaren.

Diese Vorgaben bestimmen nicht unmittelbar die Deckung in Verträgen außerhalb dieses Marktbereichs und treffen Versicherungsnehmer nicht automatisch als eigene Pflicht. Dort bleibt der konkrete Vertrags- und Klauselwortlaut maßgeblich.

Wann muss eine Lloyd’s-Klausel staatlich gestützte Angriffe ausschließen?

Autoritative Marktpraxis: Für die von Y5381 erfassten Policen muss die Klausel – neben einem etwaigen Kriegsausschluss – Verluste aus staatlich gestützten Cyberangriffen ausschließen, wenn diese die Funktionsfähigkeit eines Staates oder seine Sicherheitsfähigkeiten erheblich beeinträchtigen.

Die Klausel muss außerdem eine belastbare Grundlage für die Zurechnung, klare Definitionen zentraler Begriffe und eine Regelung dazu enthalten, in welchem Umfang Computersysteme außerhalb des beeinträchtigten Staates erfasst sind. Ob der Ausschluss im Einzelfall greift, hängt weiterhin vom vereinbarten Wortlaut, dem Sachverhalt und den verfügbaren Beweisen ab.

Welche Rolle spielt die Zurechnung eines Angriffs?

Technische Einordnung: Technische Akteurszuordnung, öffentliche staatliche Attribution und versicherungsvertragliche Zurechnung sind getrennte Prüfungen. Eine belastbare technische Attribution sollte ihre Methodik, Begründung und das Vertrauensniveau der Einschätzung offenlegen. Einen einheitlichen Industriestandard für die Attributionsmethodik nennt der NCSC-Standard nicht.

Technische Indikatoren oder eine öffentliche Zuschreibung erfüllen nicht automatisch die Zurechnungsregel der Police. Entscheidend bleibt, welche Nachweise und Zuordnungsmechanismen die tatsächlich vereinbarte Klausel verlangt.

Kann eine Police staatlich gestützte Angriffe trotzdem decken?

Vertragsauslegung: Ja, eine klar abgegrenzte affirmative Deckungszusage kann Versicherungsschutz vorsehen. Staatliche Unterstützung führt nicht zu einem einheitlichen Ausschlussergebnis; Lloyd’s weist darauf hin, dass nicht jeder staatlich gestützte Cyberangriff ein systemisches Risiko verursacht.

Spezialregel im Lloyd’s-Markt: Type-4-Klauseln sind für Lloyd’s-Syndikate bei Versicherungs- und Cyber-Rückversicherungsverträgen mit Beginn ab dem 1. Januar 2025 nicht zulässig. Soll ein Cyberangriff innerhalb eines konventionellen Krieges gedeckt sein, muss diese Deckung gesondert, eindeutig und von der übrigen Deckung unterscheidbar zugesagt werden. Daraus folgt keine allgemeine Vorgabe für Verträge außerhalb des Lloyd’s-Markts.

Welche Fristen und Schwellenwerte gelten?

Es gibt keine allgemeine, vertragsübergreifende Frist und keine feste numerische Schwelle für „Cyberkrieg“ oder Kriegsausschlüsse. Fristen und weitere Schwellen können sich aus der konkreten Police, ihrer Klausel oder dem vereinbarten Schadenprozess ergeben.

Autoritative Marktpraxis: Die Anforderungen aus Y5381 galten für die erfassten Lloyd’s-Policen bei Versicherungsbeginn oder Erneuerung ab dem 31. März 2023. Die „erhebliche Beeinträchtigung“ der Funktionsfähigkeit oder Sicherheitsfähigkeiten eines Staates ist dort ein qualitativer, klauselspezifischer Maßstab und keine universelle Messgröße.

Was ist nach einem Cybervorfall entscheidend?

Nach einem Vorfall sind technische Ursachenanalyse und Deckungsprüfung getrennt zu dokumentieren. Für die Versicherungsabwicklung gilt der in der Police vereinbarte Schadenprozess; insbesondere sind Ausschlusswortlaut, Definitionen, Kausalität, Zurechnung und räumliche Reichweite anhand des konkreten Sachverhalts zu prüfen.

Eine Cyberversicherung verhindert keinen Angriff und ersetzt weder technische Schutzmaßnahmen noch Incident Response.

Häufige Fehlannahmen

Vier Verkürzungen führen besonders häufig zu falschen Deckungserwartungen:

• „Staatlich gestützt bedeutet automatisch Krieg.“ Nein. Technische, öffentliche staatliche und vertragliche Einordnung sind getrennt zu prüfen.
• „Jeder staatlich gestützte Angriff ist ausgeschlossen.“ Nein. Maßgeblich ist die konkrete Police; eine klar abgegrenzte affirmative Deckungszusage kann Schutz vorsehen.
• „Die Lloyd’s-Vorgaben gelten für jede Cyberversicherung.“ Nein. Y5381 adressiert Managing Agents und bestimmte eigenständige Lloyd’s-Cyberpolicen der Risikocodes CY und CZ; vereinbarte Abweichungen sind möglich.
• „Eine technische Attribution entscheidet die Deckungsfrage.“ Nein. Sie erfüllt nicht automatisch die vertragliche Zurechnungsregel und ersetzt keine Prüfung des Klauselwortlauts.
• „Erhebliche Beeinträchtigung ist ein fester Zahlenwert.“ Nein. Y5381 verwendet einen qualitativen, klauselspezifischen Maßstab; eine allgemeine numerische Schwelle besteht nicht.

Was die Geschäftsleitung tun sollte

Praxisempfehlung: Die folgenden Schritte dienen dem Risikomanagement und sind keine aus den Marktquellen abgeleitete allgemeine gesetzliche Pflicht.

1. Bei Abschluss, Erneuerung oder wesentlicher Vertragsänderung den tatsächlich vereinbarten Kriegsausschluss, die Definitionen und die Kausalitätsregeln prüfen lassen.
2. Zurechnungsmechanismus, räumliche Reichweite und den Umgang mit außerhalb des betroffenen Staates liegenden Systemen ausdrücklich klären.
3. Eine etwaige affirmative Deckungszusage und ihre Abgrenzung zu Ausschlüssen mit Versicherer oder Makler sowie gegebenenfalls mit Rechtsberatung abstimmen.
4. Die nach Prüfung von Ausschlüssen und affirmativer Deckung verbleibende Exponierung bewerten, dokumentieren und steuern.
5. Technische Schutz- und Reaktionsmaßnahmen unabhängig vom Versicherungsumfang fortführen.

Für die Geschäftsleitung

Die Reichweite eines Kriegsausschlusses lässt sich nicht aus dem Etikett „Cyberkrieg“ oder einer staatlichen Zuschreibung ableiten. Die Deckungsentscheidung bleibt an Police, Klauselwortlaut, Sachverhalt, Beweise, die jeweils maßgebliche Zurechnungsregel und das anwendbare Recht gebunden. Die Geschäftsleitung sollte Kriegsausschlüsse bei Abschluss, Erneuerung oder wesentlicher Vertragsänderung prüfen lassen, affirmative Deckung eindeutig klären, die verbleibende Exponierung bewerten und steuern sowie Prüfergebnis, Exponierung und Entscheidung nachvollziehbar dokumentieren. Technische Schutz- und Reaktionsmaßnahmen sind unabhängig vom Versicherungsumfang fortzuführen.

Quellen

• Lloyd’s Market Bulletin Y5381 – Cyber-attack exclusions, insbesondere Seiten 1–2.
• Lloyd’s Market Bulletin Y5433 – State backed cyber attack wordings, insbesondere Seiten 1 und 3.
• Lloyd’s – War & NCBR Exposures, insbesondere „Policy language“ und „Monitoring and control of exposure“.
• UK National Cyber Security Centre – CIR Enhanced Standard, Seite 5, Ziffer 5 und Fußnote 1.
• UK Government – Application of international law to states’ conduct in cyberspace, Absätze 11–15.
• UK National Cyber Security Centre – Cyber insurance guidance.