Nach NotPetya schrieben Versicherer Staaten in den Kriegsausschluss

Das Wichtigste in Kürze

• NotPetya legte 2017 alle 17 Werke von Beiersdorf still, die EU sanktionierte eine Einheit des russischen Militärgeheimdienstes erst 2020.
• Merck stritt nach NotPetya um 1,4 Milliarden Dollar und gewann zweimal gegen den Kriegsausschluss seiner Versicherer.
• Nach dem GDV-Muster fällt ein staatlicher Angriff aus der Deckung, sobald irgendwo kritische Infrastruktur beeinträchtigt ist.
• Hiscox lässt die öffentliche Erklärung eines einzigen EU- oder NATO-Staats über den Ausschluss entscheiden.

Ende Juni 2017 standen bei Beiersdorf alle 17 Werke weltweit still. Rechner, Laptops und Telefone blieben fünf bis zehn Tage aus, 35 Millionen Euro Umsatz rutschten ins nächste Quartal. Die Schadsoftware NotPetya verlangte 300 Dollar je Rechner, Beiersdorf zahlte nicht. Hinter ihr stand ein staatlicher Angriff, der die Ukraine treffen sollte und weltweit Firmen mitriss. Ob eine Cyberversicherung in so einem Fall zahlt, entscheidet heute der Kriegsausschluss: die Klausel, mit der Versicherer Kriege und staatliche Cyberangriffe aus der Deckung nehmen.

Drei Jahre nach dem Stillstand sanktionierte die EU die NotPetya-Täter#

Am 30. Juli 2020 verhängte der Rat der EU seine ersten Sanktionen wegen Cyberangriffen consilium.europa.eu ↗. Für NotPetya traf es eine Einheit des russischen Militärgeheimdienstes GRU, für WannaCry Nordkorea. WannaCry hatte im Mai 2017 die Anzeigetafeln der Deutschen Bahn lahmgelegt.

Schneller ging es 2022. Am 24. Februar, dem Tag des russischen Einmarschs in die Ukraine, fiel der Satellit KA-SAT aus; Enercon verlor darüber die Fernsteuerung von 5.800 Windrädern mit 11 Gigawatt Leistung. Am 10. Mai schrieben EU, Großbritannien und die USA den Angriff Russland zu.

Im August 2024 drangen Angreifer in die Verwaltungs-IT der Deutschen Flugsicherung ein. Das Auswärtige Amt ordnete den Angriff im Dezember 2025 der Gruppe APT28 zu, die es dem GRU zurechnet. Bis März 2025 hatte die Bundesregierung seit 2023 zwei Cyberangriffe amtlich einem Staat zugeschrieben. Den Ransomware-Angriff auf Collins Aerospace, der im September 2025 den Flughafen BER traf, meldete kein betroffener EU-Staat förmlich¹ an die Enisa.

Merck siegte zweimal gegen den Kriegsausschluss und verglich sich dann#

Nach NotPetya stritt der Pharmakonzern Merck mit acht Versicherern um rund 1,4 Milliarden Dollar. Die Versicherer beriefen sich auf den Ausschluss für feindselige oder kriegerische Handlungen. Ein Gericht in New Jersey ließ ihn 2022 nicht gelten, das Berufungsgericht 2023 ebenso. Im Januar 2024 verglichen sich die Parteien, bevor der Supreme Court des Bundesstaats entschied.

Mondelez und Zurich hatten sich schon im Oktober 2022 geeinigt, am letzten Tag eines wochenlangen Geschworenenprozesses. Der Streit um Merck brachte die Lloyd’s Market Association dazu, Musterklauseln für Cyberkriege zu veröffentlichen. Lloyd’s verlangt seit einem Rundschreiben vom August 2022, dass die Policen seiner Syndikate staatliche Cyberangriffe eigens ausschließen und festlegen, wie ein Angriff einem Staat zugeschrieben wird.

Das GDV-Muster schließt aus, sobald irgendwo kritische Infrastruktur leidet#

Im Februar 2024 hat der Gesamtverband der Versicherer seine Musterbedingungen für die Cyberversicherung gdv.de ↗ neu gefasst. Ziffer A1-17.2 schließt Krieg aus, auch wenn er digital geführt wird. Dazu kommen Angriffe eines Staates, sobald kritische Infrastruktur im Sinne des BSI-Gesetzes „in diesem oder einem anderen Staat“ ausfällt oder beeinträchtigt ist. Ein Krieg ist dafür nicht nötig.

Die Beweislast trägt der Versicherer. Es genügen „objektive Hinweise“ aus einer forensischen Untersuchung, etwa auf Gruppen, die schon früher für diesen Staat gehandelt haben. Eine offizielle Zuschreibung durch den betroffenen Staat zählt als Beweismittel, Pflicht ist sie nicht. R+V (Stand April 2026) und die Gothaer übernehmen den Wortlaut nahezu unverändert.

Stört ein staatlicher Angriff irgendwo auf der Welt kritische Infrastruktur, fällt nach diesem Wortlaut auch der Schaden bei einem Mittelständler in Deutschland unter den Ausschluss, den der Angriff nur nebenbei erwischt hat.

Hiscox lässt die Erklärung eines einzigen NATO-Staats genügen#

Die Hiscox-Bedingungen 01/2026 brochureware.hiscox.de ↗ schließen in Ziffer III.2.3 Cyber-Operationen aus, die einem Staat zugeschrieben werden und im Krieg geschehen oder kritische Infrastruktur, Sicherheit oder Verteidigung eines anderen Staates stören. Zugeschrieben ist eine Operation, wenn die Regierung oder eine Sicherheitsbehörde des betroffenen Staates, eines EU- oder eines NATO-Mitglieds das öffentlich erklärt. Die Erklärung eines dieser Staaten genügt, auch wenn andere widersprechen.

Bis zur Fassung 10/2020 nahm Hiscox IT-Systeme außerhalb des angegriffenen Staates vom Ausschluss aus. Seit 06/2022 fehlt diese Rückausnahme. Die Schweizer Bedingungen von DUAL behalten sie für unbeteiligte Anlagen und werten es als Hinweis auf einen Staat, wenn eine Gruppe wegen ihrer Staatsnähe von den USA, Großbritannien, der EU oder Japan sanktioniert ist.

Chubb schließt in seinen internationalen Bedingungen erst aus, wenn der Angriff eine Gewaltanordnung eines G7-Staats, eine Resolution des UN-Sicherheitsrats, einen NATO-Einsatz oder eine Kriegserklärung nach sich zieht. AXA knüpft an Krieg oder an eine Gewaltreaktion eines Staates, Markel an „feindselige Aktivitäten aus dem Ausland“.

Aktuelle Bedingungen von Allianz, Zurich, Signal Iduna, Stoïk und HDI Cyber+ stehen auf den geprüften Seiten nicht zum Abruf.

Die Gothaer kündigte Kunden, die der neuen Kriegsklausel nicht zustimmten#

In einer Makler-FAQ partner.gothaer.de ↗ schreibt die Gothaer, die Rückversicherer strebten juristisch einwandfreie Kriegsausschlüsse an; ohne die neue Klausel sei ihr Rückversicherungsschutz gefährdet. Die Klausel gelte für ausnahmslos alle Cyber-Verträge der Gothaer. Wer nicht zustimmt, erhält eine Änderungskündigung, und mit ihr endet der gesamte Vertrag. Der GDV beschrieb die Versicherer 2025 als zurückhaltend beim Zeichnen, weil eine Cyberpandemie zu hohen Schäden führen könnte.

Ein Urteil zu den neuen Klauseln war nicht zu finden. Nach dem GDV-Muster darf der Versicherer den Staat per Forensik selbst ermitteln, die Bundesregierung benennt ihn selten und spät. Wer entscheidet, wenn die Forensik eines Versicherers einen Staat erkennt, den keine Regierung benennt?

Quellen: Rat der EU, erste Cybersanktionen, 30.07.2020 consilium.europa.eu ↗ · Infosecurity Magazine, Sanktionierte zu NotPetya und WannaCry² · finanzen.net, Beiersdorf nach NotPetya³ · WinFuture, WannaCry bei der Deutschen Bahn winfuture.de ↗ · pv magazine, 5.800 Enercon-Anlagen⁴ · Euronews, Zuschreibung KA-SAT euronews.com ↗ · Auswärtiges Amt, Regierungspressekonferenz 12.12.2025⁵ · Bundestag, Drs. 20/15019⁶ · Insurance Journal, Merck-Vergleich⁷ · CSO Online, Mondelez–Zurich⁸ · Simmons & Simmons zu Lloyd’s Y5381⁹ · Hiscox, Synopse 10/2020 zu 06/2022 brochureware.hiscox.de ↗ · GDV, Jahresmedienkonferenz 2025¹⁰ · Bedingungswerke in der Tabelle, abgerufen am 28.09.2026. Anlass: Programm des #ICRS 2026 der Fachzeitschrift Produktion (24.11.2026). Weitere Cybermeldungen der Woche in der Presseschau Cybersicherheit. Dazu: Cybervorsorge scheitert am Patchen, nicht am Scan