Cyberwar: Sind Angriffe russischer Hacker noch von der Cyberversicherung abgedeckt?

Im Zuge des Angriffs Russlands auf die Ukraine ist zu befürchten, dass Russland einen breit angelegten Cyberkrieg ankurbelt. Dabei könnten auch westliche Staaten in den Fokus von russischen Cyberangriffen geraten. In diesem Zusammenhang ist gegebenenfalls damit zu rechnen, dass sich Cyberversicherer auf den sogenannten Kriegsausschluss berufen werden und eine Leistungspflicht ablehnen. Die dazu getroffenen Erwägungen der Versicherer überzeugen jedoch nicht, wie Jürgen Seiring, Geschäftsführer der VSMA GmbH, mitteilt.

Kriegsauschlussklauseln in der Cyberversicherung
In den Bedingungen von Cyberversicherungen finden sich in der Regel Kriegsausschlussklauseln. Danach sind Schäden durch Krieg oder kriegsähnliche Ereignisse nicht versichert. Bereits in der Vergangenheit versuchten Versicherer Cyberangriffe als Ereignisse einzustufen, die unter die Ausschlussklausel fallen und führten an, es handele sich um einen Cyberkrieg. Was dieser Argumentation bisher entgegenstand, war das Fehlen einer zielgerichteten Handlung eines angreifenden Staates. Im Ukrainekrieg ist die Ausgangslage anders. Es handelt sich um einen hybriden Krieg, in dem der Cyberkrieg den physischen Kriegshandlungen beigemischt wird. Vereinzelte Versicherer haben daher bereits angekündigt, dass sie die Kriegsausschlussklausel im Zusammenhang mit dem Ukrainekrieg grundsätzlich für anwendbar halten. Ein Angriff russischer Hacker auf deutsche Unternehmen wäre bei einer solchen Auslegung nicht versichert.

Diese Ansicht kann jedoch nicht restlos überzeugen. Insbesondere wenn der Cyberangriff von nicht-staatlichen Hackergruppen ausgeht, liegt in der Regel keine zielgerichtete Handlung eines angreifenden Staates vor, und somit kein Krieg im Sinne der Definition, erklärt Thomas Völker, Spartenverantwortlicher der VSMA GmbH für den Bereich Cyberversicherung. Zum anderen befindet sich Russland „lediglich“ mit der Ukraine im Krieg und nicht mit anderen Ländern. Selbst wenn eine Cyberattacke auf ein deutsches Unternehmen staatlich gelenkt sein sollte, fehlt es weiterhin an einer Kriegshandlung. Darüber hinaus wird Versicherern der Nachweis nur schwerlich gelingen, dass es sich bei der Attacke um einen staatlich gelenkten Angriff handelt. Denn Hacker geben in der Regel nicht preis, dass sie für eine Regierung handeln. Eine Lokalisierung des tatsächlichen Ursprungs des Angriffs ist in den meisten Fällen unmöglich. Solange sich Deutschland nicht im Krieg oder einem kriegsähnlichen Zustand mit Russland befindet, ist die Anwendung der klassischen Kriegsausschlussklausel daher eher fraglich.

Spezialfall Lösegeldzahlungen bei Ransomware-Angriffen
Auswirkungen könnte die aktuelle Lage jedoch auf die Versicherungsbausteine haben, über die eine Zahlung von Lösegeld in Ransomware-Fällen abgesichert wurde. Policen, die einen solchen Baustein enthalten, sind am Markt weit verbreitet und durchaus üblich. Handelt es sich bei den Erpressern um russische Hackergruppen ist zurzeit fraglich, ob Versicherer diesbezügliche Zahlungen leisten werden – und dürfen. Sollten die Angreifer auf einer Sanktionsliste stehen, was bei den derzeit umfassenden Sanktionen höchstwahrscheinlich ist, dürften aus Sanktions- und Compliancegründen keine Zahlungen an diese geleistet werden. Anderenfalls droht dem Versicherer und dem Unternehmen die Gefahr, selbst auf eine Sanktionsliste gesetzt zu werden.

Fazit
Cyberattacken russischer Hacker gegen deutsche Unternehmen sollten wahrscheinlich auch weiterhin versichert sein. Laut Mitteilung des Gesamtverbandes der Deutschen Versicherungswirtschaft e. V. (GDV) ist in Deutschland bisher kein Fall bekannt, in dem sich ein Versicherer auf den Kriegsausschluss berufen hätte, teilt Jürgen Seiring mit. Zu Leistungsausschlüssen kann es jedoch in Fällen von Ransomware-Lösegeldzahlungen kommen. Fallen die Hacker unter Sanktionen, dürfen keine Zahlungen geleistet werden.