Cyber-Katastrophenrisiko und Cat Bonds

Was das Cyber-Katastrophenrisiko ist, wie sich Erst- und Rückversicherer gegen den Kumul schützen und wie Cyber Cat Bonds funktionieren: Trigger, die wichtigsten Emissionen von 2023 bis 2026, Preise, Grenzen und Ausblick.

Ein einziger Cyberangriff kann am selben Tag Tausende Unternehmen treffen. Für einen Cyberversicherer ist das das Szenario, das wirklich zählt, mehr als einzelne Schäden. Cat Bonds, Anleihen, die das Katastrophenrisiko auf Investoren übertragen, sind eines der Instrumente, mit denen der Markt versucht, es tragbar zu machen.

Dieser Beitrag zeigt, was ein Cyber-Katastrophenrisiko ist, wie sich Erst- und Rückversicherer davor schützen und wie Cyber Cat Bonds funktionieren, mit Marktdaten auf dem Stand von 2026.

Was das Cyber-Katastrophenrisiko ist

Das Cyber-Katastrophenrisiko ist ein Ereignis, das gleichzeitig Schäden bei vielen Versicherten und vielen Versicherern verursacht. In der Sachversicherung ist die Ursache ein Hurrikan oder ein Erdbeben; im Cyber ist es Schadsoftware, die sich selbst verbreitet, die Kompromittierung einer weit verbreiteten Software oder der Ausfall eines Technologieanbieters, von dem Tausende Unternehmen abhängen.

Der Unterschied zum Naturrisiko: Cyber kennt keine geografischen Grenzen. Zwei Unternehmen auf verschiedenen Kontinenten können vom selben Ereignis getroffen werden, wenn sie dieselbe Cloud oder dieselbe Software nutzen. Deshalb ist das zentrale Problem der Kumul: die Summe der korrelierten Exponierungen im Portfolio.

Einige jüngere Fälle zeigen die Dimension des Phänomens:

NotPetya (2017): das erste Ereignis im Cyber-Katastrophenindex von PCS (Verisk), mit einem geschätzten versicherten Schaden von 3 Milliarden Dollar (Artemis). Viele Sach- und Haftpflichtversicherer lehnten Schäden unter Berufung auf den Kriegsausschluss ab (Carnegie Endowment).
MOVEit und Change Healthcare: beide von PCS als Cyber Catastrophe Loss Event eingestuft.
CrowdStrike (2024): Auch der weltweite IT-Ausfall wurde als Katastrophenereignis eingestuft, mit erwarteten versicherten Schäden von über 250 Millionen Dollar. Parametrix schätzte eine Spanne zwischen 540 Millionen und 1,08 Milliarden (Artemis).

Um nach PCS in diese Kategorie zu fallen, muss das Ereignis mehrere Versicherte und mehrere Versicherer treffen. Der Fall CrowdStrike bestätigt zudem, dass eine Cyber-Katastrophe keinen Angriff braucht: Ein Fehler in einem Software-Update genügt.

Wie sich Unternehmen und Versicherer schützen

Der Schutz vor dem Katastrophenrisiko funktioniert in Schichten: Jede Ebene behält einen Teil des Schadens und gibt den Rest an die nächste weiter.

Das Unternehmen senkt Wahrscheinlichkeit und Auswirkungen von Vorfällen durch IT-Sicherheit, Notfallpläne und Lieferantenmanagement. Es behält einen Teil des Schadens über Selbstbehalte und Höchstsummen.
Der Erstversicherer wählt die Risiken aus, wendet Sublimits und Ausschlüsse an (etwa Krieg und Ausfall kritischer Infrastrukturen) und überwacht den Kumul im eigenen Portfolio.
Der Rückversicherer übernimmt über proportionale Verträge einen Anteil des Portfolios oder schützt den Erstversicherer mit Schadenexzedenten-Deckungen (Excess of Loss) vor Spitzenschäden.
Der Retrozessionär schützt wiederum den Rückversicherer.
Die Kapitalmärkte nehmen die höchsten und unwahrscheinlichsten Schichten über Insurance-Linked Securities auf, deren wichtigste Form die Cat Bonds sind.

Die letzte Ebene ist im Cyber die jüngste. Sie existiert, weil die traditionelle Rückversicherungskapazität allein für ein Extremereignis womöglich nicht ausreicht. Ein Beispiel: Beazley gibt mehr als 1 Milliarde Dollar Cyber-Schutz im Schadenexzedenten an, davon 670 Millionen über Cat Bonds (Beazley).

Was Cat Bonds sind

Ein Cat Bond ist eine Anleihe, die der Investor ganz oder teilweise verliert, wenn eine im Vertrag definierte Katastrophe eintritt. Im Gegenzug erhält er eine höhere Rendite als bei einem gewöhnlichen Wertpapier.

Am Mechanismus sind drei Parteien beteiligt:

Der Sponsor (Erst- oder Rückversicherer) sucht Schutz und zahlt eine Prämie.
Eine eigens gegründete Zweckgesellschaft (SPV), meist mit Sitz auf den Bermudas, schließt mit dem Sponsor einen Rückversicherungsvertrag und emittiert die Anleihen.
Die Investoren (ILS-Fonds, Pensionsfonds, Vermögensverwalter) kaufen die Anleihen. Das eingesammelte Kapital wird auf einem Treuhandkonto hinterlegt und in risikoarme Wertpapiere investiert.

Solange das Ereignis nicht eintritt, erhält der Investor die Prämie plus die Rendite der Sicherheiten und bei Fälligkeit sein Kapital zurück. Tritt das Ereignis ein, dienen die Sicherheiten zur Zahlung an den Sponsor. Der Vorteil für den Sponsor ist eine voll besicherte Deckung ohne Kreditrisiko gegenüber der Gegenpartei, oft über mehrere Jahre.

Was entscheidet, ob und wie viel gezahlt wird, ist der Trigger:

Indemnity: zahlt auf Basis der tatsächlichen Schäden des Sponsors. Präzise Deckung, aber langsame Regulierung.
Industry Loss: zahlt auf Basis des geschätzten Schadens des gesamten Marktes. Transparenter für den Investor, aber der Sponsor trägt ein Basisrisiko.
Parametrisch: zahlt bei Überschreiten einer objektiven Schwelle (etwa der Stunden, in denen eine Cloud nicht verfügbar ist). Schnelle Zahlung, kann aber vom tatsächlichen Schaden abweichen.

Das Basisrisiko (Basis Risk) ist die Differenz zwischen dem, was der Bond zahlt, und dem tatsächlichen Schaden des Sponsors. Eine Princeton-Studie von 2026 vertritt die Auffassung, dass für Cyber eine Kombination aus Indemnity- und parametrischen Triggern die beste Lösung sei (Princeton).

Cyber Cat Bonds

Die ersten Cyber Cat Bonds kamen 2023, zunächst als Privatplatzierungen und dann, im letzten Quartal des Jahres, als 144A-Emissionen für den institutionellen Markt (Appleby). Nach AM Best stieg die Kapazität der 144A-Cyber-Cat-Bonds von 785 Millionen Dollar Ende 2024 auf 1,235 Milliarden Ende 2025 (Artemis).

Die wichtigsten Emissionen zeigen, wie der Markt mit unterschiedlichen Strukturen experimentiert hat:

Beazley, PoleStar Re 2026-1, 300 Millionen Dollar: der bislang größte; der erste mit drei Sub-Layern, Deckung bis Ende 2028.
Chubb, East Lane Re 2026-1, 150 Millionen Dollar: der erste Cyber Cat Bond in Annual-Aggregate-Form.
Hannover Re, Cumulus Re 2026-1, 35 Millionen Dollar: parametrischer Trigger auf Cloud-Ausfall.
AXIS, Long Walk Re 2024-1, 75 Millionen Dollar: Indemnity je Schadenereignis für systemische Ereignisse.
Swiss Re, Matterhorn Re 2023-1, 50 Millionen Dollar: der erste mit Industry-Loss-Trigger, Schwelle von 9 Milliarden Dollar Marktschaden in den USA.

Bei den Preisen ist der Aufschlag, den Investoren für die Neuheit verlangten, nach Gallagher Securities weitgehend abgeschmolzen (Artemis). Die Multiples bleiben jedoch höher als die der Sach-Cat-Bonds, deren gewichteter Durchschnitt 2025 laut AM Best bei 2,97 lag.

Grenzen und Ausblick

Cyber bleibt eine Nische im Cat-Bond-Markt. Im Juni 2026 hatte der Gesamtmarkt ein Volumen von 65,6 Milliarden Dollar (Artemis), davon entfallen 1,3 % auf Cyber. Bei den Neuemissionen 2026 sank sein Anteil auf 0,19 %.

Nach S&P sind 2026 keine neuen Sponsoren hinzugekommen, während AXIS und Swiss Re ihre öffentlichen Emissionen nicht erneuert haben (Artemis). Die wichtigsten Hindernisse sind drei:

Ereignisdefinition: Wann mehrere Vorfälle ein einziges Cyber-Ereignis bilden, ist weiterhin umstritten.
Modellierung: Die historische Datenreihe ist kurz, und das Risiko ändert sich schnell mit der Technologie und den Angriffstechniken.
Ausschlüsse: Krieg, kritische Infrastrukturen und Aggregation müssen zwischen Police, Rückversicherungsvertrag und Bond übereinstimmen, sonst entsteht ein Basisrisiko.

Der Ausblick bleibt positiv. Beazley hat angekündigt, ab 2026 mit einem eigenen ILS-Fonds auch in die Verbriefung von Cyberrisiken einzusteigen (Beazley). S&P stellt fest, dass Cyber-ILS schnell wachsen könnten, falls die traditionelle Rückversicherungskapazität knapper wird.

Fazit

Cat Bonds ersetzen weder Prävention noch klassische Rückversicherung: Sie stehen auf der letzten Ebene der Kette, wo das Ereignis selten, aber potenziell zerstörerisch ist. Im Cyber haben sie bereits gezeigt, dass sie mit unterschiedlichen Triggern und immer ausgefeilteren Strukturen funktionieren. Ihr Wachstum hängt von drei Faktoren ab: zuverlässigeren Modellen, gemeinsamen Ereignisdefinitionen und einem Cyberversicherungsmarkt, der groß genug ist, um eine stabile Nachfrage nach Kapazität zu erzeugen.

Für versicherte Unternehmen ist die Botschaft indirekt, aber konkret: Eine stabilere Kette der Risikoübertragung bedeutet stabilere Versicherungskapazität, auch nach einem Großereignis.