Wie Unternehmen im Schadensfall beweisen, dass kein Nationalstaat sie angegriffen hat

Die War Exclusion Clause verschärft die Beweislast bei Cyberangriffen. Unternehmen müssen per digitaler Forensik staatliche Sabotage ausschließen.

Die Evolution der Cyber-Versicherungspolicen hat im Verlauf des Jahres 2026 zu einer signifikanten Verschiebung der vertraglichen Risikoverteilung geführt. Angesichts globaler geopolitischer Spannungen haben Rückversicherer und Erstversicherer die sogenannten Kriegsklauseln oder War Exclusion Clauses umfassend überarbeitet. Der historische Präzedenzfall des NotPetya-Angriffs, der zu langjährigen juristischen Auseinandersetzungen zwischen Großkonzernen und ihren jeweiligen Assekuranzen führte, bildete den Ausgangspunkt für diese Entwicklung. Die Klauseln wurden präzisiert, um nicht mehr nur klassische, kinetische Kriegshandlungen auszuschließen, sondern explizit auch staatlich gelenkte, gesponserte oder koordinierte Cyber-Operationen von der Deckung auszuschließen.

Für das betroffene Unternehmen bedeutet dies im Schadensfall eine drastische Verschärfung der Beweissituation. Tritt eine flächendeckende Verschlüsselung der Infrastruktur durch eine Ransomware auf, steht nicht mehr nur die technische Wiederherstellung im Vordergrund. Parallel setzt ein juristischer Prüfprozess des Versicherers ein. Erhebt die Assekuranz den Einwand, dass der Vorfall auf die Aktivitäten einer Advanced Persistent Threat Gruppe mit staatlichem Auftrag zurückzuführen ist, droht der vollständige Verlust des Deckungsschutzes. Da die Schadenssummen bei globalen Produktionsausfällen regelmäßig zweistellige Millionenbeträge erreichen, hängt das wirtschaftliche Überleben des Unternehmens an der Fähigkeit, die zivile, rein kriminelle Motivation der Angreifer forensisch sauber nachzuweisen.

Die methodischen Herausforderungen der digitalen Täterzuordnung

Die Zuschreibung eines Cyberangriffs zu einem bestimmten Akteur, in der IT-Sicherheit als Attribution bezeichnet, gehört zu den komplexesten Aufgaben der digitalen Forensik. Angreifer nutzen standardmäßig Methoden der gezielten Täuschung, sogenannte False Flags. Ein kriminelles Kollektiv kann bewusst Schadcode-Fragmente, Variablen-Bezeichnungen oder Metadaten verwenden, die typischerweise von staatlichen Einheiten genutzt werden, um Ermittler auf eine falsche Fährte zu führen oder geopolitische Spannungen auszunutzen.

Analysen von Sicherheitsorganisationen verdeutlichen, dass die Grenzen zwischen der organisierten Cyberkriminalität, die primär finanzielle Interessen verfolgt, und staatlichen Akteuren zunehmend verschwimmen. Das Modell des Ransomware-as-a-Service führt dazu, dass staatliche Gruppen die Infrastruktur und die Schadsoftware krimineller Netzwerke mieten, um ihre Spionage- oder Sabotageaktivitäten zu tarnen. Für ein betroffenes Unternehmen entsteht dadurch ein Beweislast-Dilemma. Der Versicherer stützt seine Verweigerung oft auf öffentliche Berichte von Geheimdiensten oder Sicherheitsbehörden, die eine bestimmte Kampagne einem Nationalstaat zuordnen. Das Unternehmen muss dieser Argumentation mit eigenen, fälschungssicheren Telemetriedaten und forensischen Berichten entgegentreten, um darzulegen, dass der konkrete Einbruchspfad und die Absicht der Täter den Mustern der klassischen Kriminalität entsprachen.

Die Infrastruktur für gerichtsverwertbare Beweissicherung

Um in einem Rechtsstreit mit einem Cyberversicherer bestehen zu können, muss die digitale Forensik im Unternehmen lange vor dem eigentlichen Vorfall strukturiert und institutionalisiert werden. Ein nachträgliches Rekonstruieren der Ereignisse auf Basis fragmentierter Server-Logs ist in der Regel zum Scheitern verurteilt. Die technische Dokumentation muss den internationalen Standards für digitale Forensik, insbesondere der Norm ISO/IEC 27037, entsprechen, um eine lückenlose Verwahrungskette (Chain of Custody) zu garantieren.

Die Architektur für eine rechtssichere Beweissicherung stützt sich auf drei technologische Säulen. Die erste Säule ist das unveränderliche Logging über dezentrale Security Information and Event Management Systeme. Die Protokolldaten aller Domänencontroller, Firewalls und Kernserver dürfen nicht lokal gespeichert werden, wo sie von einer Ransomware gelöscht werden könnten. Sie müssen in Echtzeit an einen isolierten Log-Speicher übertragen werden, der nach dem WORM-Prinzip (Write Once, Read Many) konfiguriert ist. Die zweite Säule umfasst die kontinuierliche Aufzeichnung des Netzwerktransits an den Segmentgrenzen mittels Packet Capture Systemen. Diese Rohdaten ermöglichen es, den exakten Datenabfluss und die Befehlskanäle der Angreifer zu rekonstruieren. Die dritte Säule ist die präzise Zeitsynchronisation im gesamten Netzwerk über gesicherte Network Time Protocol Server. Ohne exakt synchrone Zeitstempel lassen sich kaskadierende Ereignisse auf unterschiedlichen Systemen nicht zu einer logischen und gerichtsverwertbaren Kausalkette zusammenführen.

Unterscheidungsmerkmale der Angriffsstrukturen im direkten Vergleich

Für die Argumentation gegenüber dem Schadensregulierer müssen die forensischen Ermittler die Indikatoren des Vorfalls präzise kategorisieren. Die folgende Übersicht stellt die typischen Merkmale staatlicher Sabotage den Kriterien der klassischen Cyberkriminalität gegenüber:

Bewertungsparameter	Staatlich gelenkte Sabotage (APT)	Zivile Cyberkriminalität (RaaS)
Primäre Motivation des Angriffs	Politische Destabilisierung, Spionage oder Sabotage	Maximierung des finanziellen Gewinns durch Erpressung
Verhalten nach der Kompromittierung	Langfristige Spionage ohne direkte Löschung von Systemen	Schnelle Verschlüsselung zur Erzeugung von Zeitdruck
Art der Lösegeldverhandlung	Oft nicht vorhanden oder bewusst unrealistisch hoch	Standardisierte Portale mit professionellem Support
Zielauswahl im Netzwerk	Gezielter Zugriff auf geistiges Eigentum oder Steuerungsdaten	Breitflächige Verschlüsselung aller erreichbaren Freigaben
Nutzung von Zero-Day-Exploits	Häufig; Nutzung exklusiver, unveröffentlichter Lücken	Selten; Fokus auf bekannte Schwachstellen und Phishing
Forensischer Nachweis der Löschung	Gezielte Vernichtung der gesamten Hardware-Firmware	Löschung von Schattenkopien zur Blockade der Wiederherstellung

Operativer Leitfaden zur Wahrung von Versicherungsansprüchen im Ernstfall

Tritt ein schwerwiegender Sicherheitsvorfall ein, entscheidet das Verhalten des internen Incident-Response-Teams in den ersten Stunden maßgeblich über das spätere Schicksal des Versicherungsanspruchs. Planloses Handeln kann wichtige Beweise vernichten und dem Versicherer Argumente für eine Leistungsverweigerung liefern. Das Vorgehen der Krisenorganisation sollte sich streng an folgendem Phasenmodell orientieren:

Phase 1: Das Einfrieren des Systemzustands. Beim Entdecken einer aktiven Kompromittierung dürfen betroffene Server nicht einfach ausgeschaltet oder neu gestartet werden. Ein Neustart löscht den flüchtigen Arbeitsspeicher (RAM), welcher die wichtigsten forensischen Beweise wie unverschlüsselte Verschlüsselungsschlüssel, aktive Netzwerkverbindungen und laufende Schadprozesse enthält. Stattdessen müssen die virtuellen Maschinen im aktuellen Zustand eingefroren oder der RAM-Inhalt über spezialisierte Werkzeuge gesichert werden.

Phase 2: Die Hinzuziehung externer, zertifizierter Forensik-Dienstleister. Die interne IT-Abteilung ist in der Regel befangen und verfügt selten über die notwendige juristische Zertifizierung. Die Beauftragung eines unabhängigen Dritten sichert die Objektivität des forensischen Gutachtens und erhöht die Akzeptanz des Berichts vor Gericht.

Phase 3: Die lückenlose Dokumentation aller Abwehrmaßnahmen. Jeder Befehl, jede Isolationsmaßnahme und jede Systemänderung, die während der Eindämmungsphase durchgeführt wird, muss minutengenau protokolliert werden. Dies verhindert, dass der Versicherer spätere Systemschäden auf eine unsachgemäße Reaktion des Unternehmens anstelle des eigentlichen Angriffs zurückführt.

Phase 4: Die systematische Analyse der Lösegeldforderung und der Kommunikation. Die digitalen Erpresserschreiben, die genutzten Tor-Webseiten und der Verlauf der Verhandlungen müssen als Beweismittel gesichert werden. Die klare Dokumentation einer finanziellen Erpressungsabsicht bildet das stärkste Argument gegen die Einstufung des Vorfalls als staatlicher Sabotageakt.

Phase 5: Die Erstellung des abschließenden Attributionsberichts. Der finale forensische Bericht muss die Kausalkette des Angriffs vom ersten Einbruchspunkt bis zur Verschlüsselung lückenlos nachweisen. Der Bericht muss explizit die technischen Indikatoren isolieren, die gegen eine staatliche Lenkung sprechen, um dem IT-Controlling und der Rechtsabteilung eine solide Basis für die Schadensregulierung zu liefern.

Die konsequente Vorbereitung auf das Attributions-Dilemma stellt im Jahr 2026 eine elementare Säule des Risikomanagements dar. Unternehmen dürfen sich nicht darauf verlassen, dass eine abgeschlossen Cyber-Versicherung im Schadensfall automatisch bezahlt. Erst die Kombination aus einer forensisch gehärteten Infrastruktur, der Erhaltung flüchtiger Beweismittel und einem methodischen Nachweis der kriminellen Täterstruktur sichert den Versicherungsanspruch nachhaltig gegen die rechtlichen Hürden der Kriegsklauseln ab.