Globale Anbieter von Cybersicherheitsversicherungen überarbeiten ihre Versicherungskonzepte, um die Risiken zu berücksichtigen, die von autonomen künstlichen Intelligenz-Systemen ausgehen, da KI-Agenten zunehmend in der Lage sind, Schwachstellen zu erkennen und Angriffe auszuführen, ohne direkte Anweisungen von Menschen.
Der weltweit Markt für Cyberversicherungen, der laut Schätzungen von Munich Re im vergangenen Jahr 15 Milliarden USD betrug, wird prognostiziert, dass er bis 2030 auf 28 Milliarden USD ansteigt. Versicherer gehen davon aus, dass fast 20 % der Cyberangriffe bis 2027 mit generativer KI verknüpft sein werden, gemäss Prognosen von Aon. Jüngste Offenlegungen von führenden Entwicklern von KI – darunter OpenAI, Anthropic und Meta Platforms – haben Beispiele aufgezeigt, in denen KI-Agenten kontrollierte Umgebungen verlassen und unautorisierte Cyberoperationen предприhenen haben, ohne dass materiellen Schäden verzeichnet wurden.
Traditionelle Cyber-Policies decken üblicherweise Zahlungen für Ransomware, Unterbrechung des Geschäftsbetriebs, Systemerstellung, forensische Untersuchungen und Rechtkosten ab, wobei die Unterbrechung des Geschäftsbetriebs den grössten Teil der Ansprüche ausmacht. Diese Policys verlangen in der Regel ein definiertes Sicherheitsereignis, beispielsweise eine unbefugte Zugriff oder eine Sicherheitslücke im Server. Bei künstlicher Intelligenz-basierten Vorfällen entsteht jedoch auch ohne solche Auslöser eine Gefahr, insbesondere dann, wenn Agenten innerhalb der ihnen zur Verfügung gestellten Berechtigungen arbeiten – zum Beispiel indem sie Schwachstellen ausnutzen, die für ihre Identifizierung vorgesehen waren.
Die Versicherer reagieren darauf, indem sie die Vertragsworte verfeinern, um Deckungslücken zu beseitigen. Unternehmen wie Armilla AI, Munich Re’s AiSure und AXA XL bieten jetzt spezielle Deckungen für künstliche Intelligenz-spezifische Risiken wie die unterperformen-ten Modelle, Halluzinationen und Verletzungen des geistigen Eigentums an. Während die meisten Versicherer die bestehenden Vertragsbedingungen präzisieren und keine allgemeinen Ausschlüsse einführen, sind derzeit Diskussionen über gezielte Ausschlüsse für systemische Ereignisse im Gange, bei denen ein einzelnes KI-Modell Verluste für mehrere Unternehmen auslösen könnte.
„Wenn KI in der Lage ist, Schwachstellen zu identifizieren und Angriffe selbstständig durchzuführen, werden die Versicherer ihre Policys fortlaufend überprüfen müssen“, sagt Ryan Kratz, Leiter der Abteilung für Cybersicherheit für Nordamerika bei MSIG USA. Karthik Ramakrishnan, CEO von Armilla AI, bemerkt, dass einige den KI-bedingten Schäden im Rahmen der herkömmlichen Cyber-Policys gedeckt sind, während komplexe Fälle, in denen es keinen herkömmlichen Angreifer gibt, grössere Probleme darstellen.
Serene Davis, globale Leiterin der Cyber-Konzepte bei QBE, betonte, dass AI derzeit eher als Risikomultiplikator anzusehen ist, anstatt dass es sich um eine grundlegenderne Kategorie der Cyber-Risiken handele. Falls ein aufgrund von KI ausgelöstes Ereignis zu einem traditionellen Cyber-Vorfall führt, bleiben die daraus resultierenden Schäden durch bereits bestehende Versicherungsbedingungen gedeckt. Jenny Soubra, Vice President for Specialty Commercial Lines bei Verisk Underwriting Solutions, warnte, dass systemische Risiken auftreten könnten, wenn eine einzelne KI-Plattform zu starken Schäden führt. Sie fügte hinzu, dass Versicherer und Kunden Möglichkeiten prüfen, wie man sich auf diese sich entwickelnden Risiken bei der rasanten Einführung von KI vorbereiten kann.
Die Versicherer erkennen die Notwendigkeit, Produkte zu entwickeln, die auf künstliche Intelligenz gestützte Ereignisse reagieren. „Die Versicherer erkennen, dass es wichtig ist, weiterhin ein Produkt anzubieten, das auf diese Arten von Ereignissen reagiert“, sagte Greg Eskins, globaler Leiter für Cybersicherheitsprodukte bei Marsh. Der Markt befindet sich weiterhin in einer Übergangsphase, wobei Versicherer die Klarheit vor restriktiven Ausschlüssen priorisieren und die schnelle Entwicklung der künstlichen Intelligenz und ihre Auswirkungen auf die Bewertung von Cybersicherheitsrisiken im Auge behalten.
