Warum gemeinsame Abhängig­keiten einen Schwellen­wert haben, jenseits dessen aus einem Schaden viele werden

Ein Funke in einem lichten Waldstück setzt einige wenige Bäume in Brand und erlischt. Derselbe Funke in einem dichten Wald kann einen Brand über Meilen ausbreiten. Verändert hat sich nicht der Funke, sondern der Abstand der Bäume zueinander, genauer gesagt, ob jeder brennende Baum im Durchschnitt mehr als einen weiteren Baum entzündet. Netzwerke gemeinsamer Abhängig­keiten haben denselben Schwellen­wert. Dieser entscheidet darüber, ob ein einzelner Ausfall lokal begrenzt bleibt oder große Teile des Bestands gleichzeitig erfasst.

Der Ausgleich im Kollektiv unterstellt, dass ein einzelnes Ereignis nur einen begrenzten Teil des Bestands – des Portfolios versicherter Risiken – berührt. Ein Brand, ein Verkehrs­unfall oder ein Sturm gewöhnlichen Ausmaßes treffen zwar einige Versicherungs­nehmer, lassen die übrigen jedoch unberührt. Der Schaden aus einem Ereignis macht nur einen Bruchteil des Ganzen aus. Die Versicher­barkeits­lehre erhebt diese Annahme zur Bedingung: Der maximal mögliche Schaden aus einem einzelnen Ereignis, also das, was ein Ereignis über den Bestand hinweg maximal kosten kann, soll begrenzt sein.

Künstliche Intelligenz und Cyberrisiken stellen diese Bedingung durch gegenseitige Abhängig­keiten auf die Probe. Sind viele Versicherungs­nehmer auf denselben Anbieter angewiesen, kann ein einzelner Ausfall gleichzeitig einen großen Teil des Bestands treffen. Entscheidend ist, dass die Reichweite eines Ausfalls nicht gleichmäßig mit dem Grad der Abhängigkeit wächst. Vielmehr existiert ein Schwellenwert.

Die Kumulbedingung

Baruch Berliners Rahmenwerk begrenzt den maximal möglichen Schaden aus einem einzelnen Ereignis und, eng damit verbunden, das Potenzial für Schaden­kumule innerhalb eines Bestands.¹ Eine Sparte, in der ein einzelnes Ereignis gleichzeitig den Großteil des Portfolios treffen kann, steht zu beiden Anforderungen in einem Spannungs­verhältnis.

Biener, Eling und Wirfs zählen das Kumul­potenzial von Cyber­risiken – seine Fähigkeit, aus einer gemeinsamen Ursache viele korrelierte Schäden hervor­zu­bringen ––zu den Merkmalen, die Cyber­risiken von etablierten Versicherungs­sparten unterscheiden.² Der Mechanismus, der diesem Kumul zugrunde liegt, wird im nächsten Abschnitt betrachtet.

Ein kritischer Punkt

Netzwerke geben der Struktur eine präzise Form. Betrachten wir eine Gruppe von Versicherungs­nehmern, die miteinander verbunden sind, weil sie von demselben Anbieter abhängig sind: Mit zunehmender Dichte dieser gemeinsamen Abhängig­keiten wachsen die verbundenen Gruppen. Dieses Wachstum erfolgt jedoch nicht gleichmäßig. Der Übergang von vielen kleinen, voneinander getrennten Gruppen zu einem einzigen, das gesamte Netzwerk überspannenden Cluster vollzieht sich abrupt und nicht schrittweise. Der Wendepunkt ist erreicht, wenn jeder Ausfall im Durchschnitt mehr als einen weiteren Versicherungs­nehmer betrifft.

Das ist die Perkolations­schwelle, die in der Mathematik des Zufalls (Stochastik) untersucht wird.³ Der gleiche abrupte Übergang gilt für Netzwerke mit der ungleich­mäßigen Vernetzung realer Systeme: Unterhalb dieses Schwellen­werts besteht das Netzwerk aus zahlreichen kleinen, voneinander getrennten Clustern; kurz darüber entsteht eine einzige große Komponente.⁴ Sprunghaft verändert sich dabei der Umfang der größten Gruppe, die durch einen einzelnen Ausfall gleichzeitig beeinträchtigt werden kann.

Von der Vernetzung zum Versicherungs­bestand

Abbildung 1 überträgt diesen Übergang in Versicherungs­begriffe: Auf der vertikalen Achse ist der Anteil des Bestands dargestellt, der durch den Ausfall eines einzelnen Anbieters betroffen werden kann.; auf der horizontalen Achse der Grad der gemeinsamen Abhängigkeit der Versicherungsnehmer.

Abbildung 1 – Wenn ein Ausfall den gesamten Bestand erreicht

Die Perkolations­schwelle – gemeinsame Abhängigkeit hat einen Wendepunkt. Im oberen Teil der Abbildung zeigt die horizontale Achse den Grad der gemeinsamen Abhängig­keiten der Versicherungs­nehmer, die vertikale Achse den Anteil des Bestands, der durch den Ausfall eines einzelnen Anbieters betroffen werden kann. Unterhalb des Schwellen­werts (gestrichelte Linie) verläuft die Kurve nahe null; oberhalb davon steigt sie steil an. Die drei unteren Teil­abbildungen zeigen Netzwerke aus 30 Versicherungs­nehmern, die jeweils miteinander verbunden sind, wenn sie denselben Anbieter nutzen. Die hervorgehobene bernstein­farbene Gruppe kennzeichnet diejenigen Versicherungs­nehmer, die durch einen einzelnen Ausfall gemeinsam betroffen wären. Ihre Größe ist unter den jeweiligen Abbildungen angegeben: 10 % unterhalb der Schwelle, 43 % an der Schwelle und 100 % oberhalb der Schwelle. Die Abbildungen enthalten keine empirischen Daten, sie dienen ausschließlich der Illustration des Übergangs. Quelle: Gen Re.

Die Form der Kurve lässt sich unmittelbar auf einen Risiko­bestand übertragen. Unterhalb des Schwellen­werts bleiben die Schäden lokal begrenzt, und der Ausgleich im Kollektiv erfüllt seine Funktion: Durch die Hinzunahme weiterer Versicherungs­nehmer verringert sich die relative Schwankungs­breite des Schadens. Oberhalb des Schwellen­werts führt dasselbe Ereignis zu einer Vielzahl gleichzeitig eintretender Schäden; die Hinzunahme weiterer Versicherungs­nehmer reduziert diese Volatilität nicht mehr, da auch sie innerhalb desselben verbundenen Clusters liegen.

Bestimmung des Schwellenwerts in einem realen Portfolio

Abbildung 1 basiert auf einem Netz, das kein Versicherer unmittelbar beobachtet. In der Praxis erfolgt die Bestimmung des Schwellen­werts über das Kumul­modell: Der Versicherer schätzt den Netto­schaden, den ein einzelner gemeinsamer Auslöser über den gesamten Bestand hinweg verursachen würde, sowohl für definierte Szenarien als auch für verschiedene Wieder­kehr­perioden. Die Position relativ zum Schaden lässt sich daraus ermitteln, wie stark der modellierte Schaden steigt, wenn der Auslöser größere Teile der gemeinsamen Infrastruktur erfasst. Das steile Segment in Abbildung 1 erscheint in dieser Messung als der Bereich, in dem der modellierte Schaden durch einen Auslöser nicht mehr durch einen einzelnen Versicherungs­nehmer begrenzt ist.

Ein Markt­teilnehmer hat eine solche Messung in einer Investoren­präsentation von Oktober 2024 zu seinem Cyber­bestand veröffentlicht.⁵ Darin werden systemische Risiken als Cyber­schäden definiert, die auf eine gemeinsame Ursache zurückgehen, unabhängig davon, ob diese vorsätzlich oder unbeabsichtigt ist. Betriebs­unterbrechungen werden als wesentlicher Schaden­treiber genannt. Als frühere systemische Ereignisse werden der CrowdStrike-Ausfall, ein nicht vorsätzlicher Software­fehler, der zu Schäden in Cyber­policen führte, und der Cyber­angriff auf Change Healthcare aufgeführt, beide aus dem Jahr 2024. Die dort verwendeten realistischen Katastrophen­szenarien basieren auf dem Ausfall eines Daten­aggregators, einer gemeinsam genutzten Hardware- oder Software­plattform oder eines Cloud-Anbieters. Es handelt sich also genau um solche gemeinsamen Anbieter, deren Ausfall die in Abbildung 1 dargestellten Cluster definiert. Der modellierte Nettoschaden für ein 1‑in‑250-Jahres­ereignis betrug im Oktober 2024 461 Mio. USD, nachdem er zum 31. Dezember 2023 noch bei 651 Mio. USD gelegen hatte.

Die Größen­ordnung ergibt sich aus den veröffent­lichten Unternehmens­daten: Im Jahr 2023 beliefen sich die gezeichneten Cyber­prämien auf 1.184,3 Mio USD., während das Eigenkapital zum 31. Dezember 2023 bei 3.882,1 Mio. USD lag.⁶ Gemessen am Eigen­kapital erscheint das modellierte Extrem­risiko (Tail) beherrschbar: 651 Mio. USD entsprechen rund 17 % des Eigen­kapitals zum Jahresende 2023, 461 Mio. USD rund 12 %. Die hinter dem Bestand stehenden Limite bewegen sich jedoch in anderer Größen­ordnung. Unter den Annahmen, aus denen sich die Poolgröße ableitet, liegt die Summe gezeichneter Limits in der Größen­ordnung von 118 bis 150 Mrd. USD. Dies entspricht ungefähr dem 31- bis 39‑Fachen des Eigen­kapitals. Der modellierte Tail eines 1‑in‑250-Jahre-Schadens unterstellt somit, dass ein Extrem­ereignis lediglich einen Schaden in Höhe von etwa einem Achtel bis einem Sechstel des Eigen­kapitals verursacht, obwohl den Policen insgesamt Limite von mehr als dem 30‑Fachen des Eigen­kapitals zugrunde liegen. Die Differenz zwischen diesen beiden Größen­ordnungen beruht nicht auf einer langjährigen Schaden­historie, sondern auf den Annahmen des zugrunde liegenden Modells. Die Präsentation dokumentiert den Rückgang des modellierten Extrem­schadens (Tail) anhand von zwei verschiedenen Kategorien von Maßnahmen. Auf der Zeichnungs­seite (Underwriting) stehen diejenigen Instrumente, die die Reichweite eines einzelnen Auslösers begrenzen sollen: eine Obergrenze der Versicherungs­summe, wobei 99 % der Policen eine Deckungs­summe von höchstens 10 Mio. USD aufweisen; Sublimits für abhängige Betriebs­unterbrechungen (Contingent Business Interruption); Wartefristen sowie Ausschlüsse für Krieg, Cyber­krieg und Infrastruktur­ausfälle. Wie aus Abbildung 1 hervorgeht, wirken sich diese Maßnahmen auf das Ausmaß der gegenseitigen Abhängigkeit aus, die ein einzelner Ausfall ausnutzen kann. Auf der Finanzierungs­seite steht ein Katastrophen­schutz in Höhe von 1 Mrd. USD. Dieser setzt sich zusammen aus Katastrophen­anleihen mit einer Deckungs­summe von 510 Mio. USD in Layern mit einem Attachment Point bei 500 Mio. USD bis zu einer Höchst­grenze von 1.200 Mio. USD; eine Branchen­ausfall­garantie (Industry Loss Warranty) in Höhe von 290 Mio. USD, die Deckung bietet, wenn der Markt­schaden 9 Mrd. USD übersteigt, und 200 Mio. USD an traditioneller Rück­versicherung. Ein solcher Schutz verringert die gegenseitige Abhängigkeit nicht. Er verlagert lediglich den Tail. Der dritte Layer wurde im September 2024 platziert, sodass ein Teil des Rückgangs des modellierten Netto­höchst­schadens zusätzlichen Schutz widerspiegelt, nicht eine Veränderung des Bestands.

Der Markt­teilnehmer hat darüber hinaus die entsprechende Kennzahl für Natur­katastrophen veröffentlicht: Für ein angenommenes US‑Natur­katastrophen­ereignis mit einer Wiederkehr­periode von 1‑in‑250 Jahren betrug für 2022 der Risiko­appetit 438,0 Mio. USD Diese Kennzahl stellt eine Obergrenze für die modellierte Netto­exponierung dar und entsprach rund 15 % des Eigen­kapitals zum Jahresende.⁷ Abbildung 2 stellt diese Angaben auf eine Skala als Anteile am Eigen­kapital dar.

Abbildung 2 – Beispiel: Tail-Risiken eines Markt­teilnehmers für ein Natur­katastrophen­ereignis

Veröffentlichte Tails eines Markt­teilnehmers als Anteil am Eigen­kapital. Im linken Diagramm zeigt die horizontale Achse die jeweilige Kennzahl als Prozent­satz des Eigen­kapitals: Die beiden dunkel­blauen Balken stellen den probabilistischen modellierten Netto­schaden des Cyber­bestands für ein 1‑in‑250-Jahre-Ereignis dar: 651 Mio. USD zum 31. Dezember 2023 bei einem Eigen­kapital von 3.882,1 Mio. USD zum Jahresende 2023 (rund 17 %) und 461 Mio. USD im Oktober 2024, bezogen auf dasselbe Eigen­kapital (rund 12 %). Der grüne Balken zeigt den Risiko­appetit für ein probabilistisches US‑Natur­katastrophen­ereignis mit einer Wiederkehr­periode von 250 Jahren: 438,0 Mio. USD für 2022 bei einem Eigen­kapital von 2.955,0 Mio. USD zum Jahresende 2022 (rund 15 %). Dabei handelt es sich um eine Ober­grenze der modellierten Netto­exponierung, nicht um einen modellierten Schaden. Im rechten Diagramm, das auf einer eigenen Skala die Werte als Vielfaches des Eigen­kapitals darstellt, zeigt der Balken die aus den Anmerkungen abgeleitete Gesamt­größe der bereit­gestellten Cyber­limite. Diese belaufen sich auf 118,4 bis 150,0 Mrd. USD und entsprechen damit etwa dem 31- bis 39‑Fachen des Eigen­kapitals. Die Bandbreite beruht auf der Annahme einer durchschnitt­lichen Prämie zwischen 15.000 und 19.000 USD. Stichtage und Nenner unterscheiden sich, wie angegeben, von Balken zu Balken; alle Werte sind Angaben oder Ableitungen aus Angaben, keine beobachteten Schäden. Quellen: Investoren­präsentation des Markt­teilnehmers vom Oktober 2024, Solvency and Financial Condition Report 2023 sowie die Geschäfts­berichte 2022 und 2023, wie in den Fußnoten zitiert.

Die Ähnlichkeit der Werte im linken Diagramm gibt Anlass zur Vorsicht. Gemessen am Eigen­kapital liegen der modellierte Cyber-Tail und der modellierte Natur­katastrophen-Tail dicht beieinander, nämlich zwischen etwa einem Achtel und einem Sechstel des Eigen­kapitals. Auf dem Papier wirken beide Zahlen gleich präzise. Was hinter diesen Zahlen steht, unterscheidet sich jedoch grundlegend: Hinter der Natur­katastrophen­zahl stehen jahrzehnte­lang dokumentierte Schäden sowie Modelle, die auf den physikalischen Gesetz­mäßigkeiten von Sturm- und Erdbeben­risiken beruhen; Waldbrand­risiken bilden hierbei eine Ausnahme. Hinter der Zahl für Cyber­risiken stehen hingegen keine vergleichbaren Daten. Der modellierte Schaden stellt lediglich denjenigen Teil von Versicherungs­limiten dar, die insgesamt mehr als das 30‑Fache des Eigen­kapitals ausmachen, der nach den Annahmen des Modells von einem einzelnen Ereignis erreicht werden kann: Annahmen, die – wie das rechte Feld verdeutlicht – fast die gesamte Distanz ausmachen.

Für Sturm- und Erdbeben­risiken hat die modellierte 1‑in‑250-Jahre-Kennzahl das in sie gesetzte Vertrauen verdient; bei Cyber­risiken, ebenso wie bei Krieg und Terrorismus, ist dies noch nicht der Fall. Die im Markt verwendeten Szenarien machen diese Unter­scheidung nicht: Die realistischen Katastrophen­szenarien (Realistic Disaster Scenarios) von Lloyd’s verlangen für Sturm und Erdbeben ebenso wie für Cyber und Terrorismus die Angabe eines modellierten Schadens in derselben Form.⁸ Weder die Teilnehmer noch der Markt legen diese Angaben in der Sprache der Perkolation dar; die Lesart ist die dieses Beitrags. Bei den Zahlen handelt es sich um Modell­ergebnisse und keine tatsächlich beobachteten Schäden. Gerade darin liegt bei Cyber­risiken der Grund zur Vorsicht.

Was folgt

Oberhalb des Schwellen­werts ändert sich die Exponierung der Art nach, nicht dem Grad nach: Sie ist selten, groß, wenn sie eintrifft und über den Bestand hinweg korreliert. Sie verhält sich nicht wie der diversifizierte Rest, für den das Gesetz der großen Zahlen gilt. Das Kapital, das hinter einer solchen Exponierung steht, trägt ein Risiko, das eher dem von Eigenkapital ähnelt als dem eines ausgeglichenen Bestands.

Der Cybermarkt hat auf diese Problematik bereits in den Vertrags­bedingungen reagiert. Im Rahmen einer Klausel für Kumul­ereignisse (Widespread Event Endorsement) wird ein Ereignis einer von zwei Kategorien zugeordnet: entweder einem Ereignis mit begrenzter Auswirkung oder einem Kumul­ereignis (widespread event). Letzteres ist durch einen gemeinsamen Auslöser definiert, etwa eine schwerwiegende gemeinsame Schwach­stelle, eine Kompromit­tierung einer Software-Lieferkette oder den Ausfall eines Systems, von dem viele Versicherungs­nehmer abhängen.⁹ Schäden aus einem Kumul­ereignis haben ein separates, niedrigeres Sublimit, das von der vereinbarten Versicherungs­summe abgetrennt ist. Dadurch wird verhindert, dass ein einzelnes Ereignis den gesamten Bestand zu den vollen Vertrags­bedingungen ausschöpfen kann. Dieses Sublimit ist die im Vertrag festgeschriebene Kumul­kontrolle. Es begrenzt, wie viel des Bestands ein einzelnes Ereignis kosten darf – den Betrag, der nach Überschreiten des Schwellen­werts unbegrenzt bleibt. Aufsichts­behörden betrachten diese Kumul­risiken als eine der wesentlichen Heraus­forderungen des Cyber-Underwritings, insbesondere aufgrund der gemeinsamen Abhängig­keiten von Cloud-Anbietern und Software-Plattformen, über die sich ein einzelner Ausfall auf eine große Zahl von Versicherungs­nehmern ausbreiten kann.¹⁰

Diese Vorgehensweise wird derzeit weiter­entwickelt und folgt derselben strukturellen Logik. Im August 2026 bestätigte die Lloyd’s Market Association, dass sie die Einführung einer Muster­klausel zum Ausschluss für Infra­struktur­ausfälle in Cyber­policen erwägt. Die Klausel wird mit ihrem Cyber-Fachgremium entwickelt und soll, wie ihre übrigen Musterklauseln, nicht verbindlich vorgeschrieben, sondern zur Anpassung durch die Markt­teilnehmer bereitgestellt werden.¹¹ Eine solche Klausel muss definieren, welche Abhängig­keiten das Kumulrisiko tragen: gemeinsame Infra­strukturen, von denen viele Versicherungs­nehmer gleichzeitig abhängen und bei deren Ausfall ein einziges Ereignis Ansprüche von Tausenden von Versicherten gleichzeitig („thousands of insureds simultaneously“) auslösen könnte. Die Benennung dieser Abhängig­keiten im Vertragswerk erfüllt dieselbe Funktion wie Sublimite, nur einen Schritt früher im Risiko­transfer­prozess: – sie hält im Vertrag fest, was die Schwelle in der Struktur festhält. Rück­versicherer haben unterdessen eine Ausweitung der Deckung für kritische Infra­strukturen selbst in Zeiten des weichen Markts abgelehnt, wie zwei von ihnen angaben. Der Schwellen­wert zeigt daher sowohl, was der Markt nicht zeichnet, als auch das, was durch Klauseln im Vertrags­werk begrenzt wird.

Ob eine solche Exponierung gezeichnet werden sollte und wie viel davon selbst zu tragen sein sollte, entscheidet die Struktur nicht. Sie legt etwas Engeres fest: den Punkt, an dem der maximal mögliche Schaden nicht mehr durch die Größe einer einzelnen Versicherungs­police begrenzt, sondern von gemeinsamen Abhängig­keiten bestimmt wird.

Als nächstes in dieser Reihe: Den schlimmsten Fall eingepreist – der Markt für „Zitronen“ und der Rückzug aus der KI‑Deckung. Vorherigen Beitrag verpasst? Lesen Sie hier Teil 2 der Reihe.