CyberCube und Munich Re haben gemeinsam eine Umfrage unter Cybersicherheitsexperten durchgeführt, um das Verständnis der Versicherungsbranche für systemische Cyberrisiken zu verbessern. Der Fokus lag dabei auf schwerwiegenden Malware-Ereignissen und Cloud-Ausfällen.

Die Studie wurde initiiert um Experteneinschätzungen aus verschiedenen Bereichen der Kumul-Modellierung zu konsolidieren, in denen nur wenige oder gar keine empirischen Daten verfügbar sind. Ziel der Initiative war es, Annahmen zur Modellierung von Cyberkatastrophen zu überprüfen und zu verfeinern sowie die Praxis im Hinblick auf Cyber-Resilienz und Risikominderung zu beleuchten.

Mit Rückmeldungen von 93 Cybersicherheitsexperten aus verschiedenen Fachbereichen und Branchen liefert die Studie Erkenntnisse zu potenziellen Auswirkungen und Angriffsvektoren wie auch zur Wirksamkeit von Schutzmaßnahmen. Die Ergebnisse bieten eine differenzierte Perspektive darauf, wie systemische Cyberereignisse verlaufen könnten und welche Faktoren zu deutlichen Unterschieden hinsichtlich der Risiko-Exponierung von Unternehmen führen:

Malware-Risiko

Nach Ansicht der Mehrheit der befragten Experten könnte ein schwerwiegendes Malware-Ereignis ein Viertel aller Systeme weltweit betreffen. Gleichzeitig stimmten die Befragten darin überein, dass in diesem Fall lediglich 15 % der Systeme vollständig kompromittiert sein dürften. Die Experten halten ein Ereignis für unwahrscheinlich, bei dem mehr als 50 % der Systeme weltweit komplett ausfallen. Nach Einschätzung der Experten wäre ein weiteres Ereignis in der Größenordnung von WannaCry und NotPetya nicht überraschend.

Patch-Management, Netzwerksegmentierung und Datensicherungen werden als wirksamste Vorkehrungen für Unternehmen zum Schutz gegen groß angelegte Malware-Angriffe genannt. Werden solche Maßnahmen effizient umgesetzt, können sie die Wahrscheinlichkeit, von einem signifikanten Malware-Vorfall betroffen zu sein, um 50 % bis 80% senken und die finanziellen Auswirkungen in ähnlicher Höhe reduzieren.

Cloud-Risiko

Die Cybersicherheitsexperten gehen davon aus, dass massive Cloud-Ausfälle mehrere Stunden bis zu mehreren Tagen andauern können; Ausfallzeiten von mehr als 72 Stunden werden als unwahrscheinlich, aber nicht als unmöglich angesehen.

Die Ergebnisse zeigen, dass die Abhängigkeit von Cloud-Diensten in den meisten Branchen zumindest ein mittleres Niveau erreicht hat und bei geschäftskritischen Abläufen der Unternehmen stetig zunimmt. Dabei sinkt die Abhängigkeit mit steigender Unternehmensgröße.

Die finanziellen Schäden sind von der Dauer eines Cloud-Ausfalls abhängig: Die Befragten schätzen den voraussichtlichen wirtschaftlichen Schaden durch einen eintägigen Ausfall ihres wichtigsten Cloud-Anbieters (Cloud Service Provider – CSP) auf 1 % ihres Jahresumsatzes. Die Unterschiede in den Schäden spiegeln den Grad der Abhängigkeit von der Cloud wider, der je nach der Größe, Branche und Notfallplanung eines Unternehmens variiert.

Wirksamste Vorsorge gegen Cloud-Ausfälle ist nach Ansicht der Experten die Einrichtung einer „überregionalen Architektur“ bei den CSPs, die für geschäftskritische Anwendungen eingesetzt werden. Der Einsatz mehrerer CSPs wurde dagegen nicht als effektiv erachtet. Als nicht durchführbar sahen die Experten die Möglichkeit an, Dienste während eines Ausfalls von einem CSP auf einen anderen zu übertragen. Die befragten Cybersicherheitsexperten stuften Azure, AWS und Google als am besten aufgestellt ein, um einen größeren Cloud-Ausfall einzudämmen und die Systeme nach einem solchen Ereignis wiederherzustellen.

Emerging Risks und systemische Risiken

Nach Einschätzung der befragten Cybersicherheitsexperten werden neue Technologien etwa im gleichen Tempo in dem sie in der Cybersicherheit integriert werden, sich auch auf die Bedrohungslage auswirken.

Kurzfristig sehen die Befragten in dem Internet of Things (IoT) im Industrial- und Consumer-Bereich die größte Gefahr für Unternehmen. Die Auswirkungen von Large Language Models (LLMs) seien bereits heute sichtbar, während Artificial General Intelligence (AGI) erst in fünf oder mehr Jahren als größeres Problem erachtet wird.

Eine grundlegende Herausforderung bei der Modellierung von Cyberrisiken ist der Mangel an tatsächlichen Katastrophenereignissen. Diese Umfrage ermöglichte es, plausible Worst-Case-Szenarien zu parametrisieren und einen Expertenkonsens zu erarbeiten. Die Studie liefert wichtige Erkenntnisse für Fortschritte im Verständnis des Cyber-Kumulrisikos, diese fließen in die kontinuierliche Verbesserung der Modellierungsansätze von CyberCube und Munich Re ein.