Lloyd's of London verteidigt Cyber-Versicherungsausschluss für staatlich unterstützte Angriffeyber

Lloyd's of London hat eine sich abzeichnende Vorschrift verteidigt, wonach Cyber-Policen, die auf dem Versicherungsmarkt abgeschlossen werden, eine Ausnahme für staatlich unterstützte Angriffe vorsehen müssen, nachdem es unter Maklern und Akademikern zu Gegenreaktionen gekommen war.

Der Schritt zur Begrenzung des systemischen Risikos auf dem Versicherungsmarkt, der im vergangenen Monat angekündigt wurde und ab Ende März für eigenständige Cyber-Policen gelten soll, hat zu Warnungen geführt, dass er zu Rechtsstreitigkeiten darüber führen würde, ob bestimmte Angriffe staatlich unterstützt wurden, und gleichzeitig den für Unternehmen lebenswichtigen Versicherungsschutz weiter einschränken würde.

Patrick Tiernan, Leiter der Marktabteilung von Lloyd's, sagte jedoch, dass die Institution verantwortungsbewusst handele, wenn sie ein Produkt entwickle, "das noch in den Kinderschuhen steckt und international noch relativ wenig verbreitet ist".

"In der Vergangenheit wurden derartige Korrekturen oder Weiterentwicklungen des Wortlauts der Versicherungspolice sehr oft erst nach dem Ereignis vorgenommen. . nachdem alles schief gelaufen ist", sagte Tiernan der Financial Times. "Ich denke, dass Lloyd's hier seinen Kunden gegenüber verantwortlich handelt und mit dem Markt zusammenarbeitet.

Die andere Möglichkeit wäre, so Tiernan, die Kapitalanforderungen der Versicherer zu erhöhen, was die Preise in die Höhe treiben würde.

Ausschlüsse für Kriegshandlungen sind typisch für den Versicherungsschutz. In seinem Rundschreiben vom letzten Monat erklärte Lloyd's: "Die Fähigkeit feindlicher Akteure, einen Angriff leicht zu verbreiten, die Möglichkeit, schädlichen Code zu verbreiten, und die kritische Abhängigkeit der Gesellschaften von ihrer IT-Infrastruktur ... bedeuten, dass die Verluste das Potenzial haben, das zu übersteigen, was der Versicherungsmarkt auffangen kann."

Cindy Jordano, Partnerin bei der Anwaltskanzlei Cohen Ziffer Frenchman & McKenna, sagte jedoch, dass der Schritt zu "Unklarheit darüber führen könnte, ob bestimmte Cyberangriffe, die ansonsten versichert wären, gedeckt sind", da es schwierig sei zu sagen, ob ein Angriff staatlich unterstützt wurde. Sie sagte voraus, dass es zu "erheblichen Rechtsstreitigkeiten über diese Ausschlüsse" kommen könnte.

Der Wortlaut der Kriegsausschlüsse für Cyberangriffe variiert, und ihre Auslegung ist schwierig, da es schwierig ist, die staatlichen Verbindungen der Angreifer zu identifizieren. Ende letzten Jahres konnte der Pharmakonzern Merck vor einem US-Gericht durchsetzen, dass ein Kriegsausschluss nicht auf seine durch den NotPetya-Malware-Angriff erlittenen Verluste angewendet werden sollte.

Die Versicherer haben die neuen Leitlinien als Versuch verteidigt, Klarheit in einen - versicherungstechnisch gesehen - noch relativ jungen Markt zu bringen: Die erste Cyber-Police, die bei Lloyd's abgeschlossen wurde, stammt aus dem Jahr 1999.

Die neue Vorschrift schränkt den Versicherungsschutz nicht im Geringsten ein", so Graeme Newman, Vorstandsvorsitzender des Cyber-Versicherers CFC. "Nach Covid haben wir alle die Lektion gelernt, dass eine klare Sprache sowohl für den Versicherer als auch für den Versicherungsnehmer besser ist", fügte er hinzu und bezog sich dabei auf die erbitterten Auseinandersetzungen zwischen der Branche und den Unternehmen darüber, ob pandemiebedingte Schäden gedeckt werden sollten.

Lloyd's erklärte, dass vier Beispielformulierungen, die der Branchenverband Lloyd's Market Association im November zur Verfügung gestellt hat, um Klarheit zu schaffen, seinen Anforderungen entsprechen würden - obwohl die Versicherer nicht verpflichtet sind, diese Formulierungen zu verwenden.

Die Beispiele unterscheiden sich im Ausmaß der Angriffe, die ausdrücklich von der Deckung ausgeschlossen sind, aber im Kern geht es darum, ob "die Regierung des Staates ..., in dem sich das von der Cyber-Operation betroffene Computersystem physisch befindet, die Cyber-Operation einem anderen Staat oder den in seinem Namen handelnden Personen zuordnet".

Josephine Wolff, Tufts-Professorin und Autorin eines Buches über Cyber-Versicherungen, warnte letzte Woche in einem FT-Op-Editor, dass staatlich gesponserte Angriffe so häufig werden, dass eine Weigerung, sie abzudecken, Unternehmen vom Abschluss einer Police abhalten könnte.

Martin Lilley, Direktor für Unternehmensversicherungen bei Broadway Insurance Brokers mit Sitz in Manchester, das sich auf die Suche nach Versicherungsschutz für kleine Unternehmen spezialisiert hat, sagte, dass sich die Ausnahmeregelung wie ein weiterer Schlag anfühlt" und die anhaltende Einschränkung des Versicherungsschutzes auf dem Cyberversicherungsmarkt widerspiegelt".

Die Preise für Cyberversicherungen sind in den letzten Jahren in die Höhe geschnellt, da die Versicherer die Kosten für Ransomware-Schäden weitergeben. Lilley zitierte einen Kunden, dessen Jahresprämie in diesem Jahr von zuvor 10.000 Pfund auf 75.000 Pfund gestiegen war. Einige Unternehmen zögen es in Erwägung, den Versicherungsschutz ganz zu streichen und das Bilanzrisiko selbst zu tragen, fügte er hinzu.