«Eine einzige Sicherheitslücke kann eine Kettenreaktion auslösen»: Die Versicherer rüsten sich gegen KI-gestützte Cyberattacken

«Eine einzige Sicherheitslücke kann eine Kettenreaktion auslösen»: Die Versicherer rüsten sich gegen KI-gestützte Cyberattacken

Die jüngst entdeckten PHP-Sicherheitslücken sind ein Warnsignal für die Versicherungsbranche. Treffen Cyberangriffe unzählige Unternehmen gleichzeitig, können die finanziellen Schäden wie bei Erdbeben und Pandemien gewaltig sein.

Die Meldung hat vergangene Woche die IT-Welt aufgeschreckt: Mithilfe künstlicher Intelligenz haben Sicherheitsforscher gravierende Schwachstellen in der Programmiersprache PHP aufgespürt, die auf etwa 70 Prozent der Websites zum Einsatz kommt. Die Experten der Google-Tochter Wiz Research zählen die entdeckten Schwachstellen zu den schwerwiegendsten der Softwaregeschichte.

Optimieren Sie Ihre Browsereinstellungen

NZZ.ch benötigt JavaScript für wichtige Funktionen. Ihr Browser oder Adblocker verhindert dies momentan.

Bitte passen Sie die Einstellungen an.

Doch die Entdeckung ist mehr als nur ein Thema für die IT-Sicherheit. Sie ist auch ein Warnsignal für die globale Versicherungsbranche. Denn wären die Schwachstellen zuerst in die Hände von Hackern gefallen, hätten die finanziellen Folgen gewaltig sein können.

Grossflächige, auf systemweite Sicherheitslücken ausgerichtete Angriffe sind für Cyberversicherer ein Problem, weil wie bei einer Pandemie oder einem schweren Erdbeben Tausende Unternehmen gleichzeitig davon betroffen sind. Die Schäden können so hoch ausfallen, dass selbst grosse Versicherer finanziell an ihre Grenzen stossen.

Mit der Zunahme von KI-gesteuerten Cyberangriffen droht sich diese Problematik zu verschärfen.

Gefährdete Zahlungsfähigkeit

Das Finanzstabilitätsinstitut der Bank für Internationalen Zahlungsausgleich (BIZ) betonte bereits im Juni: Das Kernproblem für Cyberversicherer seien nicht durchschnittliche Ransomware-Angriffe, sondern «miteinander korrelierte Extremereignisse», die zahlreiche versicherte Unternehmen gleichzeitig beträfen. Zum Beispiel: Wenn grosse Cloud-Anbieter ausfallen, Hacker kritische Infrastrukturen angreifen oder massenhaft eine weitverbreitete Software-Schwachstelle ausnützen: «Eine einzige Sicherheitslücke kann eine Kettenreaktion auslösen, die zahlreiche Unternehmen in verschiedenen Ländern trifft», schreiben die Autoren.

Zwar können Versicherer solche «Kumulrisiken» laut der BIZ durch Deckungslimiten und Ausschlüsse begrenzen: «Systemische Ereignisse könnten jedoch ihre Zahlungsfähigkeit gefährden.» Deshalb sei es entscheidend, die Entwicklung dieser Risiken genau zu beobachten. «Das gilt besonders angesichts neuer, leistungsfähiger KI-Modelle, mit deren Hilfe systemische Sicherheitslücken aufgedeckt werden können.»

Tatsächlich benötigten Hacker früher viel technisches Fachwissen, um Angriffe durchzuführen. Heute können KI-Agenten ein Angriffsziel selbständig identifizieren, Sicherheitslücken aufspüren und dabei helfen, in IT-Systeme einzudringen und sich dort auszubreiten. Hacker können mit KI auch mehrere IT-Systeme gleichzeitig ins Visier nehmen und auch technisch ausgeklügelte Angriffsmethoden entwickeln.

Die Versicherer rüsten sich dagegen. Um im Ernstfall nicht in eine finanzielle Schieflage zu geraten, schränken sie den Versicherungsschutz durch Ausschlüsse ein, etwa für staatlich unterstützte Cyberangriffe, Terrorismus oder eben systemische Sicherheitslücken.

Erhebliche Versicherungslücke

Die Zurückhaltung zeigt sich in den Prämienvolumen: Obwohl Cyberangriffe für Unternehmen eine immer grössere Gefahr werden, ist der Markt für Cyberversicherungen noch erstaunlich klein. Weltweit nehmen die Versicherer laut Swiss Re in diesem Jahr voraussichtlich 16,4 Milliarden Dollar an Cyberprämien ein. Das entspricht weniger als einem Prozent des globalen Schaden- und Unfallversicherungsgeschäfts.

Martin Eling, Versicherungsprofessor an der Universität St. Gallen, sagt, besonders deutlich zeige sich die Zurückhaltung bei den Deckungssummen von Cyberversicherungen. Typisch seien Versicherungssummen von 1, 3 oder 5 Millionen Franken. Das sei wenig. «Stellen Sie sich einen mittelgrossen Unternehmer vor. Wenn sein Betrieb eine Woche stillsteht, weil die IT-Systeme lahmgelegt wurden, dann ist eine Million gar nichts.» Ein Problem sei: Gerade in der IT verwendeten zahlreiche Unternehmen dieselben Softwaresysteme. «Die Versicherer müssen damit rechnen, dass bei einem grossen Cybervorfall viele Kunden gleichzeitig Leistungen beanspruchen. Dieses Risiko versuchen sie zu begrenzen.»

Auch die Rückversicherer tragen einen Teil des Risikos, begrenzen ihre Kapazität für Grossereignisse aber bewusst. Die Folge sind erhebliche Versicherungslücken. Vor allem kleinere und mittlere Unternehmen verfügen häufig über keinen ausreichenden Schutz. Grosskonzerne können sich besser absichern, doch auch ihre Deckung hat Grenzen. Eling erwartet, dass sich diese Lücke weiter vergrössert. Durch die Fortschritte bei der künstlichen Intelligenz und die zunehmende digitale Vernetzung wüchsen die Cyberrisiken schneller als der Markt für Cyberversicherungen.

Die Angegriffenen rüsten auf

Es gibt aber auch Anlass zum Optimismus. Denn die KI verbessert die Fähigkeiten der Angreifer – aber auch jene der Angegriffenen. Der IT-Sicherheitsberater Christian Fichera von Swiss Infosec sagt, heute spielten nicht nur die Hacker, sondern auch die betroffenen Unternehmen in der Champions League. Die KI-gestützte Abwehr könne beispielsweise verdächtige Aktivitäten rasch erkennen und die betroffenen IT-Systeme automatisch sperren.

Entscheidend ist die Reaktionsgeschwindigkeit. Amazons Sicherheitschef CJ Moses warnte am Mittwoch in einem Blogbeitrag davor, dass Hacker mithilfe künstlicher Intelligenz immer rascher neue Sicherheitslücken ausnutzen könnten. «Bei kritischen Schwachstellen in öffentlich zugänglichen Systemen muss die Zeit für Sicherheitsupdates und Gegenmassnahmen in Stunden gemessen werden», schrieb er. Fristen von sieben oder dreissig Tagen seien nicht mehr zeitgemäss. Die Cybersicherheit wird zunehmend zum Wettlauf gegen die Zeit.

Passend zum Artikel