Cyberrisiken und die neuen Captives

Das Cyberrisiko ist zum am schnellsten wachsenden neuen Geschäftszweig der Captives geworden. Kommerzielle Cyberversicherungen sind teuer, die Deckungssummen sind im Verhältnis zu den möglichen Schäden grosser Konzerne gering, und die Bedingungen wurden nach einer Reihe grosser Schadenfälle eingeschränkt. Der Angriff mit der als NotPetya bekannten Schadsoftware im Juni 2017 verursachte bei mehreren multinationalen Konzernen Schäden von jeweils mehreren hundert Millionen Dollar, darunter bei einem grossen amerikanischen Pharmaunternehmen und einem weltweit tätigen Lebensmittelkonzern. Ihre Versicherer beriefen sich auf Kriegsausschlüsse mit dem Argument, der Angriff sei von einem Staat verübt worden. Gerichte in New Jersey verwarfen dieses Argument im Fall des Pharmaunternehmens, während der Streit im Fall des Lebensmittelkonzerns 2022 durch Vergleich beigelegt wurde.¹ Lloyd’s verlangt seither von seinen Syndikaten, in ihre Policen Klauseln aufzunehmen, die staatlich unterstützte Cyberangriffe ausschliessen.

Die Konzerne haben darauf reagiert, indem sie einen grösseren Teil ihrer Cyberrisiken in ihren Captives behalten, wo sie die Deckung auf ihre Bedürfnisse zuschneiden und über die Zeit Reserven bilden können. Eine Captive kann zudem den Einkauf kommerzieller Deckung oberhalb ihres Selbstbehalts koordinieren und Daten über Vorfälle im ganzen Konzern sammeln. Auch Kapitalmarktinstrumente für Cyberrisiken sind aufgekommen. 2023 wurden die ersten Katastrophenanleihen platziert, die Cyberrisiken decken, darunter von Beazley und von Swiss Re initiierte Transaktionen, welche die Bereitschaft der Investoren auf die Probe stellten, ein Risiko zu übernehmen, dessen Modellierung noch jung ist.² Für die Basler Pharmakonzerne, deren Forschungsdaten, Produktionssysteme und Lieferketten von der digitalen Infrastruktur abhängen, gehört das Cyberrisiko zu den höchsten Risiken in ihren Geschäftsberichten.

Anmerkungen

1. Zum NotPetya-Angriff vom Juni 2017 und zu den Deckungsstreitigkeiten Merck & Co. v. Ace American Insurance Co. (New Jersey Superior Court, Appellate Division, Mai 2023) und Mondelez International v. Zurich American Insurance Co. (2022 durch Vergleich erledigt) vgl. die Berichte der Gerichte und die Fachpresse. ↩
2. Zu den ersten 2023 platzierten Cyber-Katastrophenanleihen, darunter von Beazley und Swiss Re initiierte Transaktionen, und zur Zunahme von Cyberrisiken in Captives vgl. die Marktdaten von Artemis, die Publikationen der Sponsoren und die Erhebungen der grossen Captive-Manager. ↩

Nur zur allgemeinen Information. Dieser Beitrag ist keine Rechts- oder Steuerberatung, ersetzt nicht die Beratung im Einzelfall und begründet kein Mandatsverhältnis. Rechtsstand: 10/2026.