Geopolitische Krisen und Cyberrisiken: Die neue gesellschaftliche Verantwortung der Versicherer

Am 24. und 25. November findet in Leipzig der Messekongress IT für Versicherungen statt. Prof. Dr. Dennis-Kenji Kipker hält dort die Keynote „Von der Cybersicherheit zur ganzheitlichen Resilienz: Neue Wege für neue Herausforderungen“. Angesichts globaler Umbrüche und rasanter technologischer Entwicklungen zeigt er darin auf, dass Cybersicherheit längst keine reine IT-Aufgabe mehr ist, sondern zur strategischen Gesamtverantwortung auf Unternehmensebene gehört. Im Vorfeld der Veranstaltung erläutert er im Interview, welche neuen Ansätze die Versicherungsbranche benötigt, um tradierte Denkmuster zu überwinden, handlungsfähig zu bleiben und Innovationen sicher voranzutreiben.

Wir erleben seit einigen Jahren starke geopolitische und technologische Umbrüche. Welche neuen Entwicklungen im Cyberspace zwingen die Versicherungsbranche aktuell am stärksten dazu, ihre tradierten Denkmuster und klassischen Sicherheitskonzepte über Bord zu werfen? Warum tragen auch Versicherungen hier eine gesellschaftliche Verantwortung?

Die Branche steht vor einem doppelten Bruch mit ihrer eigenen Logik. Zum einen verschwimmen die Grenzen zwischen Cyberkriminalität und staatlichem Handeln: Ransomware-as-a-Service-Ökosysteme werden zunehmend von staatsnahen Akteuren toleriert oder genutzt, weshalb große Marktteilnehmer seit 2023 begonnen haben, Nation-State-Angriffe grundsätzlich aus dem Versicherungsschutz auszuschließen – mit der paradoxen Folge, dass ausgerechnet die gefährlichsten Risiken aus der Deckung herausfallen.

Zum anderen hat generative KI die Angriffsökonomie industrialisiert: Automatisiertes Phishing, deepfake-basierter CEO-Fraud und KI-gestützte Schwachstellensuche senken die Einstiegshürden für Angreifer drastisch. Gleichzeitig führt die Hyperkonnektivität weniger dominanter Cloud-Anbieter, Identity-Provider und Content-Delivery-Netzwerke dazu, dass ein einzelner Vorfall Tausende Versicherungsnehmer gleichzeitig trifft. Das untergräbt das eigentliche Fundament klassischer Versicherungslogik – das Gesetz der großen Zahl, das auf weitgehend unabhängigen Einzelrisiken beruht. Cyberrisiken sind hochkorreliert und damit im klassischen Sinne kaum diversifizierbar.

Genau deshalb tragen Versicherer gesellschaftliche Verantwortung: Über ihre Underwriting-Anforderungen – MFA, dokumentiertes Patch-Management, getestete Incident-Response-Pläne – sind sie faktisch zu einem wirkungsvollen privaten Hebel für digitale Mindeststandards in der Wirtschaft geworden. Diese Rolle geht weit über reinen Risikotransfer hinaus und macht die Branche zur Mitgestalterin gesamtgesellschaftlicher digitaler Resilienz. Immer mehr Versicherer erkennen das und integrieren es aktiv in ihr Geschäftsmodell.

Wenn wir über Cyberrisiken sprechen, bleibt es oft abstrakt. Können Sie uns illustrieren: Was ist heute das absolute Worst-Case-Szenario für ein Versicherungsunternehmen bei einem Cyberangriff, und warum geht der Schaden im schlimmsten Fall weit über den bloßen Datenverlust hinaus?

Das eigentliche Worst-Case-Szenario ist nicht der Diebstahl von Kundendaten, sondern ein doppelter Cybervorfall, der auf der eben skizzierten Dynamik basiert: Ein Versicherer wird selbst Opfer eines Angriffs, der seine Kernsysteme – Policenverwaltung, Schadenbearbeitung, Rückversicherungsdaten – lahmlegt, während exakt derselbe Angriffsvektor, etwa ein kompromittierter Cloud-Provider oder eine unsichere Software-Lieferkette, zeitgleich bei Tausenden eigenen Versicherungsnehmern zuschlägt.

Der Versicherer ist damit im selben Moment Geschädigter und größter Zahlungspflichtiger – und genau dann, wenn er am dringendsten handlungsfähig sein müsste, sind seine eigenen Systeme außer Gefecht gesetzt. Das eigentliche Kapital eines Versicherers ist nämlich nicht nur die Bilanzsumme, sondern das Vertrauen, im Ernstfall verlässlich zu zahlen. Bricht dieses Vertrauen, etwa durch verzögerte Schadenregulierung, öffentlichkeitswirksamen Reputationsverlust oder eine Rating-Herabstufung, ist der Flurschaden größer als jeder einzelne Datenverlust.

Hinzu kommt die regulatorische und bilanzielle Dimension: Korrelierte Massenschäden können die Solvenzquote unter aufsichtsrechtliche Schwellen drücken, während parallel juristische Auseinandersetzungen über Kriegsausschlussklauseln und staatliche Zurechenbarkeit von Angriffen das Geschäftsmodell selbst infrage stellen. Der eigentliche Schaden ist also systemisch: Verlust der kollektiven Zahlungsfähigkeit und Erosion des gesellschaftlichen Vertrauens in die Institution Versicherung als Ganzes – ein Vertrauen, das sich, einmal verloren, wie so oft nur sehr langsam wiederherstellen lässt.

Trotz der komplexen Bedrohungslage gibt es Unternehmen, die sich resilient aufstellen. Können Sie uns ein Beispiel für eine besonders geglückte Cybersicherheitsstrategie in der Versicherungsbranche nennen? Was machen diese Vorreiter anders als der Markt?

Besonders instruktiv ist der Wandel vom reinen Payout-Versicherer zum sogenannten InsurSec-Modell, wie ihn spezialisierte Anbieter vorexerzieren: Versicherung und aktive Cyberabwehr werden nicht mehr getrennt gedacht, sondern verschmelzen. Der Versicherer überwacht kontinuierlich die Angriffsfläche seiner Kunden, etwa offene Ports, veraltete Zertifikate und exponierte Zugänge. Er warnt proaktiv, bevor ein Schaden entsteht, statt erst im Nachhinein zu zahlen.

Das verändert die Kernlogik des Geschäftsmodells grundlegend: Prävention wird zum Kerngeschäft, nicht zur Nebenpflicht. Auch etablierte Rückversicherer gehen einen vergleichbaren Weg, indem sie eigene Cyberkompetenzzentren aufgebaut haben. Diese aggregieren Bedrohungsdaten aus Tausenden Underwriting-Fällen und spielen sie in Echtzeit-Risikomodelle zurück. Davon profitiert die gesamte Branche und damit auch die Marktdisziplin.

Was diese Vorreiter vom Marktdurchschnitt unterscheidet, ist vor allem eines: Sie behandeln die Sicherheit ihrer Kunden nicht als deren alleinige Blackbox, sondern als gemeinsam gestaltbaren Prozess. Dazu gehören verbindliche Mindestanforderungen wie durchgängige Multi-Faktor-Authentifizierung oder maximal zweiwöchige Patch-Fristen als Bedingung für Versicherungsschutz. Damit wird die Police selbst zum Steuerungsinstrument für bessere Sicherheit und nicht nur zum finanziellen Auffangnetz danach. Das ist ein sinnvoller Rollenwechsel vom Zahler zum Partner.

Ihre Keynote plädiert für neue Konzepte, um handlungsfähig zu bleiben und gleichzeitig Innovation zu ermöglichen. Wie sieht ein modernes, unternehmensübergreifendes Sicherheitskonzept aus, das ein Unternehmen effektiv schützt, ohne dessen digitale Agilität und Innovationskraft zu bremsen?

Ein modernes Sicherheitskonzept darf nicht länger als Bremsklotz neben der eigentlichen Wertschöpfung stehen, sondern muss deren Voraussetzung werden. Security by Design statt nachträglicher Härtung ist hier das neue Schlagwort.

Drei Elemente sind dabei zentral. Erstens eine Zero-Trust-Architektur, die davon ausgeht, dass klassische Perimeter längst durchlässig sind, und stattdessen jede Identität, jeden Zugriff und jede Transaktion kontinuierlich verifiziert. Das erhöht paradoxerweise die Agilität, weil Mitarbeitende und Partner ortsunabhängig sicher arbeiten können, ohne auf starre Netzwerkgrenzen Rücksicht zu nehmen.

Zweitens eine dynamische, datengetriebene Risikosteuerung, die nicht mehr auf starren Jahresaudits beruht, sondern auf Echtzeit-Telemetrie und automatisierten Reaktionsmechanismen aufsetzt. Ziel ist nachhaltige und hochintegrierte Resilienz statt reiner Prävention – im Bewusstsein, dass ein erfolgreicher Einbruch in IT-Systeme nicht mehr die Ausnahme, sondern der Normalfall ist.

Drittens eine ökosystemische Perspektive: Da Angriffsflächen heute über Lieferketten, Cloud-Anbieter und Partnerunternehmen hinausreichen, braucht es verbindliche, aber pragmatische Sicherheitsstandards für das gesamte Geschäftsökosystem sowie eine engere Verzahnung von Staat, Aufsicht und Privatwirtschaft, etwa nach dem Vorbild bestehender Pools für Großschadenrisiken.

Digitale Innovation und Sicherheit stehen sich dann nicht mehr gegenüber, sondern werden zu zwei Seiten derselben Governance-Medaille – vorausgesetzt, Sicherheitsverantwortung wird auf Vorstandsebene verankert und nicht unkontrolliert an die IT-Abteilung delegiert.

Erstmals erschienen im Versicherungsforen-Themendossier „Digitale Resilienz: IT-Transformation in Versicherungen“, Nr. 17/2026, 15. September 2026.