Insbesondere seit Beginn des Ukraine-Kriegs ist der „Blackout“ – ein flächendeckender Ausfall essenzieller Systeme für die Gesellschaft – ein Begriff. Und auch wenn der im gleichnamigen Spiegel-Bestseller von Marc Elsberg beschriebene Fall eines Cyberangriffs am letzten Freitag nicht eingetreten ist, so zog eben ein missglücktes Software-Update einige schwierig zu handhabende Folgen nach sich.
Crowdstrike, ein IT-Sicherheitsunternehmen aus Texas, „pushte“ (um im entsprechenden Fachjargon zu bleiben) am frühen Freitagmorgen unserer Zeit ein Update für seine Sicherheitssoftware Falcon in Richtung zahlreicher Computer, welches sich jedoch schon bald als verheerend herausstellte. Es schickte Rechner mit einem Windows-Betriebssystem in eine Neustartschleife, die schließlich im „Blue Screen of Death“ endete. Laut Angaben von Microsoft waren schätzungsweise 8,5 Millionen Geräte betroffen. Die Rechner fuhren somit nicht mehr hoch und waren nicht mehr einsatzbereit. Die Folge: Banken, Tankstellen, Supermärkte und weitere systemrelevante Einrichtungen waren teilweise nicht mehr einsatzfähig. Diverse Fluggesellschaften stellten außerdem den Flugverkehr ein.
Welche Wellen schlägt ein derartiges Ereignis in der Versicherungsbranche? Die Süddeutsche Zeitung hat die wichtigsten Fakten zusammengetragen und auch AssCompact hat sich bei einigen Versicherern umgehört.
Wie stark waren Versicherer betroffen?
Auf Nachfrage von AssCompact teilte die Allianz lediglich mit, dass es sich bei den Problemen am Freitag um einen „komplexen Vorfall“ handle, von dem viele Unternehmen weltweit betroffen seien. Es werde eine Weile dauern, bis der Konzern die Situation und eventuelle Auswirkungen vollständig beurteilen könne. Die SZ berichtet ihrerseits, dass Teile der Allianz-Mitarbeiterschaft am Freitag nicht arbeiten konnten – wegen lahmgelegter Systeme.
Daniel Blazquez, Line Manager Cyber beim Cyberversicherer Markel, meldet gegenüber AssCompact, dass man im Hause keine Probleme feststellen konnte, die aus dem Crowdstrike-Vorfall resultierten.
Wer haftet für die Schäden?
Bei einem derartig großen Ausfall liegt es nahe, dass auch Versicherer betroffen waren – womöglich noch größer jedoch fallen die indirekten Auswirkungen auf die Versicherer aus, denn die sind in solchen Fällen oft erster Ansprechpartner betroffener Kunden. Wie auch die SZ schreibt, werden tausende Reisende ihre Reiseversicherer kontaktieren, und auch die Crowdstrike-Kunden werden die Firma und deren Versicherer für die Schäden durch die Betriebsunterbrechung haftbar machen wollen. Die SZ hat hierzu beim Rückversicherer Munich Re nachgefragt, wo die Antwort jedoch bislang nur unkonkret ausfiel. Es sei zu früh, um bei der Frage, in welchem Umfang tatsächlich gezahlt werden muss, etwas Sinnvolles zu sagen.
Ganz am Anfang steht aber auch die Frage: Ist ein IT-Ausfall, der aus einem solchen Fehler resultiert überhaupt in einer „klassischen“ Cyberversicherungspolice enthalten? Und die Zeichen machen hier nicht gerade optimistisch. Zunächst berichtete nämlich das ZDF in seinem Web-Ticker zum Vorfall am Freitagnachmittag, dass der Gesamtverband der Deutschen Versicherungswirtschaft e. V. (GDV) betonte: Schäden, die durch den Ausfall oder eine Störung von IT-Dienstleistern entstehen, sind nach den allgemeinen GDV-Musterbedingungen nicht vom Versicherungsschutz einer Cyberversicherung umfasst, wenn dadurch Systeme der Kunden ausfallen. „Dieser Ausschluss dient dazu, die wirtschaftliche Leistungsfähigkeit der Cyberversicherer im Fall eines Cyber-GAUs nicht zu gefährden“, so zitiert das ZDF den GDV.
Diesen Umstand bestätigt auch Daniel Blazquez von Markel gegenüber AssCompact: „Der konkrete Schaden, welcher durch das Crowdstrike-Update weltweit zu Einschränkungen und Betriebsstörungen bei Unternehmen geführt hat, ist im Rahmen unserer Cyberversicherung nicht versichert. Hierbei handelt es sich nicht um einen Angriff Dritter auf die Systeme der Versicherungsnehmer oder des Cloudproviders. Somit greift der Auslöser einer Cyberversicherung, welcher in der Regel einen Angriff eines Dritten voraussetzt, nicht.“ Blazquez merkt zwar an, dass dieser Zwischenfall wohl dazu führen dürfte, dass Versicherungsnehmer Versicherungsschutz für derartige Schäden wünschen, sieht dies jedoch ebenso als „kaum darstellbar, da die Versicherer keine Risikobewertung vornehmen können“. Auch sei das Kumulrisiko in dieser Form für Cyberversicherer nicht kalkulierbar. (mki)
Bild: © Robert – stock.adobe.com
- Anmelden, um Kommentare verfassen zu können
