Bild: KI-generiert
Versicherungen können mit Pech umgehen. Schwieriger wird es, wenn das Pech einen gemeinsamen Termin hat. Ein Unternehmen wird gehackt, ein Server fällt aus, Daten werden verschlüsselt: Solche Schäden können teuer und existenzbedrohend sein, lassen sich aber zunächst einem einzelnen Unternehmen zuordnen. Kritisch wird es, wenn zahlreiche Banken, Versicherer und andere Unternehmen gleichzeitig betroffen sind, weil sie dieselbe digitale Infrastruktur nutzen.
Genau davor warnt nun der Vorsitzende des Finanzstabilitätsrats (Financial Stability Board, FSB), Andrew Bailey. In einem Schreiben an die Finanzminister und Notenbankgouverneure der G20 bezeichnet er die Auswirkungen fortgeschrittener KI-Modelle auf Cyberrisiken als die derzeit unmittelbarste Sorge für das Finanzsystem. Ein einziger Cyberangriff kann viele Unternehmen gleichzeitig treffen und das Vertrauen in ganze Märkte erschüttern.
KI verändert das Verhältnis von Aufwand und Wirkung
Dass künstliche Intelligenz für Phishing, Schadsoftware oder die Suche nach Sicherheitslücken eingesetzt werden kann, ist nicht neu. Die Warnung des FSB geht jedoch weiter. Sogenannte Frontier-Modelle entwickeln zunehmend ausgeprägte Fähigkeiten zur selbständigen Problemlösung und können komplexe Aufgaben mit weniger menschlicher Begleitung bewältigen.
Andrew Bailey warnt deshalb nicht bloß vor „besseren“ Cyberangriffen. Frontier-KI könne Geschwindigkeit, Größenordnung und Wirtschaftlichkeit von Cyberrisiken grundlegend verändern. Angriffe lassen sich schneller vorbereiten, leichter vervielfältigen und an neue Ziele anpassen. KI kann die Kosten eines Angriffs senken, seine Reichweite vergrößern und die verfügbare Reaktionszeit verkürzen.
Dabei muss die KI den Angriff nicht vollständig selbständig führen. Schon die Automatisierung einzelner Schritte kann Geschwindigkeit und Reichweite erheblich erhöhen. Dieselben Fähigkeiten, die Unternehmen produktiver machen, können damit auch zur Skalierung krimineller Handlungen eingesetzt werden.
Gleichzeitig weist der FSB darauf hin, dass Frontier-KI auch die Cyberabwehr stärken kann. Sicherheitslücken lassen sich schneller erkennen, Angriffe früher analysieren und Reaktionen teilweise automatisieren. Das technologische Wettrüsten findet daher auf beiden Seiten statt. Allerdings verfügt nicht jedes Unternehmen über dieselben finanziellen, technischen und personellen Ressourcen.
Die unsichtbare Zündschnur: gemeinsame Anbieter
Der zweite Teil der Warnung ist für die Versicherungswirtschaft möglicherweise noch bedeutsamer als der erste. Das globale Finanzsystem ist nicht nur durch Zahlungen, Kredite und Kapitalmärkte miteinander verbunden, sondern zunehmend auch durch gemeinsame Technologieanbieter, Cloud-Infrastrukturen, Softwareplattformen und KI-Modelle.
Nach außen wirken tausend Unternehmen wie tausend voneinander getrennte Risiken. Im Hintergrund können sie jedoch von denselben Anbietern und Infrastrukturen abhängen. Fällt ein kritischer Dienstleister aus oder wird eine gemeinsam genutzte Infrastruktur erfolgreich angegriffen, können viele Unternehmen gleichzeitig betroffen sein.
Der FSB verweist ausdrücklich auf hoch konzentrierte Drittanbieter und gemeinsame technologische Abhängigkeiten. Finanzunternehmen müssten sich auf schwerwiegendere Szenarien vorbereiten, in denen mehrere Unternehmen zur selben Zeit gestört werden. Cloud-Dienste können Rechenleistung verteilen und zugleich die Abhängigkeit auf wenige Anbieter konzentrieren.
Für Versicherer liegt darin ein Kumulrisiko: Dieselbe Ursache löst gleichzeitig Schäden in zahlreichen Versicherungsverträgen aus. Betriebsunterbrechungen, Wiederherstellungskosten, Haftungsansprüche und Krisenmaßnahmen können sich dann über einen ganzen Versicherungsbestand summieren.
Ein Kumulereignis ist allerdings noch nicht automatisch ein systemisches Risiko. Systemisch wird die Störung erst, wenn sie sich über gemeinsame Infrastrukturen, wirtschaftliche Verflechtungen oder einen Verlust des Marktvertrauens weiter im Finanzsystem ausbreitet und dessen wesentliche Funktionen beeinträchtigt. Genau vor dieser zusätzlichen Dimension warnt Bailey.
Wenn Risikostreuung zur Risikokonzentration wird
Versicherungen funktionieren wesentlich über Streuung. Nicht jedes Haus brennt gleichzeitig, nicht jeder Betrieb steht am selben Tag still und nicht jeder Versicherungsnehmer wird in derselben Nacht Opfer desselben Einbruchs. Viele Prämien tragen die Schäden vergleichsweise weniger Betroffener.
Cyberrisiken können diese Logik teilweise umkehren. Nutzen zahlreiche versicherte Unternehmen dieselbe Cloud, Standardsoftware oder Authentifizierungsplattform, erscheinen sie in den Polizzen zwar als getrennte Risiken. Technisch können sie dennoch von derselben Ursache abhängen.
Für Cyberversicherer ist deshalb nicht nur entscheidend, wie gut ein einzelnes Unternehmen geschützt ist. Sie müssen auch erkennen, welche Abhängigkeiten sich in ihrem gesamten Bestand wiederholen. Derselbe Cloud- oder Softwareanbieter kann in hunderten Verträgen verborgen sein. Ein Portfolio aus vielen Unternehmen ist noch keine Risikostreuung, wenn alle Unternehmen am selben digitalen Fundament hängen.
Diese Konzentration kann langfristig Einfluss auf Versicherungskapazitäten, Prämien, Selbstbehalte, Sublimits und die Behandlung zusammenhängender Versicherungsfälle nehmen. Ob ein konkreter Schaden gedeckt ist, hängt stets von den jeweiligen Bedingungen ab – insbesondere von Regelungen über Betriebsunterbrechungen, externe Dienstleister, Cloud-Ausfälle, staatlich unterstützte Angriffe und die Zusammenfassung mehrerer Schäden zu einem Versicherungsfall.
Versicherungsschutz ersetzt keine Widerstandsfähigkeit
Die Warnung des FSB ist kein Argument gegen Cyberversicherungen. Eine Cyberversicherung kann finanzielle Folgen übernehmen und im Ernstfall professionelle Hilfe organisieren. Sie ersetzt jedoch weder technische Widerstandsfähigkeit noch einen funktionierenden Wiederanlaufplan.
Eine Polizze kann keinen ausgefallenen Cloud-Anbieter wieder einschalten und keine fehlende Datensicherung nachträglich erzeugen. Vor allem kann sie eine nicht vorhandene Notfallorganisation nicht vollständig ersetzen.
Bailey verlangt deshalb robuste Reaktions- und Wiederherstellungsfähigkeiten. Kritische Systeme und Daten müssten im Ernstfall sogar von einer sauberen technischen Ausgangsbasis – bildlich gesprochen vom nackten Metall – wiederhergestellt werden können. Das setzt mehr voraus als ein Passwort mit einem Sonderzeichen und die beruhigende Feststellung, die Daten lägen ohnehin „irgendwo in der Cloud“.
Unternehmen sollten wissen, von welchen externen Anbietern ihre wesentlichen Prozesse abhängen, welche Alternativen bei einem Ausfall bestehen und wie lange ein Wiederanlauf realistisch dauert. Ebenso wichtig sind getrennte und überprüfte Datensicherungen, klare Notfallzuständigkeiten, erreichbare IT-Spezialisten und ein Ablaufplan, der nicht ausschließlich auf jenem System gespeichert ist, das gerade ausgefallen ist.
Zur Sicherheit der eigenen Systeme tritt damit eine zweite Ebene: die Abhängigkeit von Anbietern, die zugleich von vielen anderen Unternehmen genutzt werden. Die eigene Widerstandsfähigkeit endet heute nicht mehr an der eigenen Firewall.
Fazit
Der FSB befasst sich nicht erst seit heute mit KI-bedingten Cyberrisiken. Neu ist die Deutlichkeit, mit der sein Vorsitzender deren unmittelbare Bedeutung für die Finanzstabilität hervorhebt. Frontier-KI kann Cyberangriffe beschleunigen, ihre Reichweite vergrößern und Angreifern die Skalierung erleichtern. Gemeinsame Technologieanbieter können dafür sorgen, dass sich die Folgen gleichzeitig über viele Unternehmen und Staaten ausbreiten.
Damit verändert sich auch die Perspektive der Versicherungswirtschaft. Aus einem einzelbetrieblichen Cyberrisiko kann ein Kumulereignis werden. Systemisch wird es, wenn sich die Störung über gemeinsame Abhängigkeiten fortpflanzt und wesentliche Funktionen oder das Vertrauen in das Finanzsystem beeinträchtigt.
Die entscheidende Frage lautet deshalb nicht nur, wie gut ein einzelnes Unternehmen geschützt ist. Sie lautet auch, wie viele andere Unternehmen von denselben Anbietern und Infrastrukturen abhängen – und ob die betroffenen Unternehmen einen gemeinsamen Ausfall ihrer kritischen Anbieter verkraften.
Nicht jedes Risiko muss versichert werden. Aber jedes Risiko sollte verstanden werden.
Alle Menschen sind klug. Manche vorher. Alle nachher.
Wenn Sie Klarheit wollen
Wir sehen uns bei der Cyberversicherung nicht nur an, ob ein Vertrag besteht, sondern auch, von welchen externen Anbietern Ihr Betrieb abhängt und wie die Bedingungen einen Ausfall dieser Anbieter behandeln – Betriebsunterbrechung, Cloud-Ausfall und zusammenhängende Schäden sind dort oft gesondert geregelt.
Rufen Sie uns an oder schicken Sie uns ein Mail, wenn Sie wissen möchten, ob Ihre Cyberversicherung auch den Ausfall eines gemeinsam genutzten Anbieters abdeckt.
Quellen:
