Wie Unternehmen im Schadensfall beweisen, dass kein Nationalstaat sie angegriffen hat

Die War Exclusion Clause verschärft die Beweislast bei Cyberangriffen. Unternehmen müssen per digitaler Forensik staatliche Sabotage ausschließen.

Die Evolution der Cyber-Versicherungspolicen hat im Verlauf der letzten Jahre zu einer signifikanten Verschiebung der vertraglichen Risikoverteilung geführt. Angesichts globaler geopolitischer Spannungen haben Rückversicherer und Erstversicherer die sogenannten Kriegsklauseln oder War Exclusion Clauses umfassend überarbeitet – vorangetrieben unter anderem durch Lloyd’s-Marktbulletins, die seit 2023 verbindliche Mindestanforderungen an Ausschlüsse für staatlich gestützte Cyberangriffe definieren. Der historische Präzedenzfall des NotPetya-Angriffs, der zu einem jahrelangen Rechtsstreit zwischen Merck und seinen Versicherern führte, bildete den Ausgangspunkt für diese Entwicklung: Gerichte entschieden dort zwar zugunsten des Versicherungsnehmers, doch genau diese Niederlagen veranlassten die Versicherer, ihre Kriegsklauseln deutlich präziser zu fassen. Die Klauseln zielen inzwischen nicht mehr nur auf klassische, kinetische Kriegshandlungen, sondern schließen explizit auch staatlich gelenkte, gesponserte oder koordinierte Cyber-Operationen von der Deckung aus.

Für das betroffene Unternehmen bedeutet dies im Schadensfall eine drastische Verschärfung der Beweissituation. Tritt eine flächendeckende Verschlüsselung der Infrastruktur durch eine Ransomware auf, steht nicht mehr nur die technische Wiederherstellung im Vordergrund. Parallel setzt ein juristischer Prüfprozess des Versicherers ein. Erhebt die Assekuranz den Einwand, dass der Vorfall auf die Aktivitäten einer Advanced Persistent Threat Gruppe mit staatlichem Auftrag zurückzuführen ist, droht der teilweise oder vollständige Verlust des Deckungsschutzes. Bei vielen der neueren Klauselformen liegt die Beweislast dabei faktisch beim Versicherungsnehmer: Er muss darlegen, dass kein staatlicher Auftrag vorlag. Das ist eine in der Praxis oft schwer zu erbringende Beweisführung, da sich staatliche und kriminelle Aktivität zunehmend überschneiden. Da die Schadenssummen bei globalen Produktionsausfällen regelmäßig hohe Millionenbeträge erreichen können, hängt am forensischen Nachweis der zivilen, kriminellen Motivation der Angreifer im Zweifel viel für das Unternehmen ab.

Die methodischen Herausforderungen der digitalen Täterzuordnung

Die Zuschreibung eines Cyberangriffs zu einem bestimmten Akteur, in der IT-Sicherheit als Attribution bezeichnet, gehört zu den komplexesten Aufgaben der digitalen Forensik. Angreifer nutzen mitunter Methoden der gezielten Täuschung, sogenannte False Flags. Ein kriminelles Kollektiv kann bewusst Schadcode-Fragmente, Variablen-Bezeichnungen oder Metadaten verwenden, die typischerweise mit staatlichen Einheiten assoziiert werden, um Ermittler auf eine falsche Fährte zu führen oder geopolitische Spannungen auszunutzen.

Sicherheitsforschung deutet darauf hin, dass die Grenzen zwischen organisierter Cyberkriminalität, die primär finanzielle Interessen verfolgt, und staatlichen Akteuren zunehmend verschwimmen. Diskutiert wird insbesondere, dass Ransomware-as-a-Service-Infrastruktur und -Schadsoftware gelegentlich auch von staatsnahen Gruppen genutzt wird, um Spionage- oder Sabotageaktivitäten zu tarnen. Belastbare, öffentlich verifizierbare Einzelfälle dafür sind allerdings rar, und Sicherheitsbehörden ordnen Kampagnen oft nur mit unterschiedlicher Konfidenz zu. Für ein betroffenes Unternehmen entsteht dadurch trotzdem ein reales Beweislast-Dilemma: Stützt sich der Versicherer auf öffentliche Berichte von Geheimdiensten oder Sicherheitsbehörden, die eine Kampagne einem Nationalstaat zuordnen, muss das Unternehmen dieser Argumentation mit eigenen, möglichst fälschungssicheren Telemetriedaten und forensischen Berichten entgegentreten, wohlwissend, dass eindeutige technische Kriterien für „staatlich“ versus „kriminell“ in der Praxis selten trennscharf sind und selbst unter Experten umstritten sein können.

Die Infrastruktur für gerichtsverwertbare Beweissicherung

Um in einem Rechtsstreit mit einem Cyberversicherer bestehen zu können, sollte die digitale Forensik im Unternehmen möglichst schon lange vor einem Vorfall strukturiert und institutionalisiert werden. Ein nachträgliches Rekonstruieren der Ereignisse auf Basis fragmentierter Server-Logs ist in der Regel deutlich schwieriger und weniger belastbar. Die technische Dokumentation orientiert sich idealerweise an internationalen Standards für digitale Forensik, insbesondere der Norm ISO/IEC 27037, die Vorgaben zur Identifizierung, Sammlung, Erfassung und Erhaltung digitaler Beweismittel macht und damit eine nachvollziehbare Verwahrungskette (Chain of Custody) unterstützt.

Eine belastbare Architektur für die Beweissicherung stützt sich üblicherweise auf drei technologische Säulen. Die erste Säule ist unveränderliches Logging über zentrale, vom Produktivnetz getrennte Security-Information-and-Event-Management-Systeme. Protokolldaten von Domänencontrollern, Firewalls und Kernservern sollten nicht ausschließlich lokal gespeichert werden, wo sie von einer Ransomware gelöscht oder manipuliert werden könnten, sondern möglichst in Echtzeit an einen isolierten Log-Speicher übertragen werden, der nach dem WORM-Prinzip (Write Once, Read Many) konfiguriert ist. Die zweite Säule umfasst die kontinuierliche Aufzeichnung des Netzwerktransits an Segmentgrenzen mittels Packet-Capture-Systemen; diese Rohdaten helfen dabei, Datenabfluss und Befehlskanäle der Angreifer zu rekonstruieren. Die dritte Säule ist eine präzise Zeitsynchronisation im gesamten Netzwerk über gesicherte Network-Time-Protocol-Server, ohne die sich Ereignisse auf unterschiedlichen Systemen nur schwer zu einer stimmigen, gerichtsverwertbaren Kausalkette zusammenführen lassen.

Operativer Leitfaden zur Wahrung von Versicherungsansprüchen im Ernstfall

Tritt ein schwerwiegender Sicherheitsvorfall ein, kann das Verhalten des internen Incident-Response-Teams in den ersten Stunden maßgeblich über das spätere Schicksal des Versicherungsanspruchs mitentscheiden. Unüberlegtes Handeln kann wichtige Beweise vernichten und dem Versicherer Argumente für eine Leistungskürzung oder -verweigerung liefern. Das Vorgehen der Krisenorganisation sollte sich an einem Phasenmodell orientieren:

Phase 1: Das Einfrieren des Systemzustands. Beim Entdecken einer aktiven Kompromittierung sollten betroffene Server nach Möglichkeit nicht einfach ausgeschaltet oder neu gestartet werden. Ein Neustart löscht den flüchtigen Arbeitsspeicher (RAM), der wichtige forensische Spuren wie unverschlüsselte Schlüssel, aktive Netzwerkverbindungen oder laufende Schadprozesse enthalten kann. Stattdessen sollten virtuelle Maschinen im aktuellen Zustand eingefroren oder der RAM-Inhalt über spezialisierte Werkzeuge gesichert werden, soweit betrieblich vertretbar.

Phase 2: Die Hinzuziehung externer, zertifizierter Forensik-Dienstleister. Die interne IT-Abteilung ist oft mit der Situation überlastet und verfügt selten über die notwendige forensische Zertifizierung. Die Beauftragung eines unabhängigen Dritten kann die Objektivität des forensischen Gutachtens stützen und dessen Akzeptanz gegenüber dem Versicherer erhöhen.

Phase 3: Die lückenlose Dokumentation aller Abwehrmaßnahmen. Jeder Befehl, jede Isolationsmaßnahme und jede Systemänderung während der Eindämmungsphase sollte möglichst zeitnah protokolliert werden. Das erschwert es dem Versicherer, spätere Systemschäden fälschlich auf eine unsachgemäße Reaktion des Unternehmens statt auf den eigentlichen Angriff zurückzuführen.

Phase 4: Die systematische Sicherung der Lösegeldforderung und der Kommunikation. Digitale Erpresserschreiben, genutzte Tor-Webseiten und der Verlauf von Verhandlungen sollten als Beweismittel gesichert werden. Eine klare Dokumentation einer finanziellen Erpressungsabsicht kann ein Argument gegen die Einstufung des Vorfalls als staatlichen Sabotageakt liefern – ist für sich genommen aber kein Beweis, da auch staatsnahe Akteure Lösegeldforderungen zur Tarnung einsetzen können.

Phase 5: Die Erstellung des abschließenden Attributionsberichts. Der finale forensische Bericht sollte die Kausalkette des Angriffs vom ersten Einbruchspunkt bis zur Verschlüsselung möglichst lückenlos nachzeichnen und die technischen Indikatoren benennen, die für oder gegen eine staatliche Lenkung sprechen, um IT-Controlling und Rechtsabteilung eine Grundlage für die Auseinandersetzung mit dem Versicherer zu liefern.

Die Vorbereitung auf ein mögliches Attributions-Dilemma ist 2026 ein relevanter Baustein des Risikomanagements. Unternehmen sollten sich nicht darauf verlassen, dass eine bestehende Cyber-Versicherung im Schadensfall automatisch und in voller Höhe zahlt. Eine forensisch gut vorbereitete Infrastruktur, die Erhaltung flüchtiger Beweismittel und ein methodischer Nachweisversuch der kriminellen Täterstruktur können die Erfolgsaussichten im Streitfall mit dem Versicherer verbessern – eine Garantie für den vollständigen Erhalt des Versicherungsschutzes sind sie angesichts der noch jungen, sich weiterentwickelnden Rechtsprechung zu den neuen Kriegsklauseln jedoch nicht.