Das Ende des Fragebogens: Warum Underwriter jetzt EDR-Telemetrie vor der Zeichnung verlangen

Für fünfzehn Jahre zeichnete ich Cyber-Risiken so, wie es jeder Underwriter tat: Ich verschickte einen Security-Fragebogen mit 180 Fragen, der IT-Leiter des Versicherungsnehmers beantwortete den Großteil mit „Ja”, und ich preiste das Risiko auf Basis dieser Antworten. Danach verbrachte ich ein Jahr in einem Schadenteam, das Schäden regulierte. Dieses Jahr hat meinen Glauben an den Fragebogen gründlicher erschüttert als jeder Marktzyklus zuvor.

Hier ist die unangenehme Wahrheit, die die Schadendaten immer wieder bestätigen: Was Versicherungsnehmer uns als vorhanden melden, und was ihre Systeme tatsächlich durchsetzen, sind zwei verschiedene Dinge. Die Lücke dazwischen ist der Ort, an dem das Geld verschwindet.

Deshalb haben Carrier wie Coalition, At-Bay und Corvus aufgehört, selbstberichteten Kontrollen zu vertrauen — und warum Ihr Underwriter beim Renewal mittlerweile maschinengenerierte Nachweise statt angekreuzter Kästchen verlangt. Wer Cyber-Geschäft vermittelt, muss wissen, wie diese Nachweise aussehen, bevor die Deckungsbestätigung auf dem Tisch liegt.

Der Fragebogen war nie ein Underwriting-Instrument

Ein Security-Fragebogen ist selbstberichtend, zeitpunktbezogen und nicht überprüfbar. Das sind drei Fehlermodi, die aufeinander gestapelt sind, und jeder einzelne kostet Schadengeld.

Selbstberichtend. Wer den Fragebogen ausfüllt, hat jeden Anreiz, vorteilhaft zu antworten. Ein „Ja” bei MFA hält die Prämie niedrig und das Geschäft in Bewegung; ein „Nein” führt zu einer Ablehnung oder einem restriktiven Sublimit. Wir haben den Markt darauf trainiert, uns die Antworten zu liefern, die wir hören wollen, und wundern uns dann, wenn die Schadendaten genau diese Antworten widerspiegeln und nicht die Realität.

Zeitpunktbezogen. Ein Fragebogen, der im Januar unterzeichnet wird, beschreibt die IT-Landschaft so, wie sie an dem Tag existierte, an dem ihn jemand las. Bis die Police beginnt, sind drei Cloud-Tenants hinzugekommen, ein Contractor wurde integriert, und der EDR-Agent auf dem Laptop des Finanzvorstands wurde von einer übereifrigen Cleaner-App lautlos deinstalliert. Die Erklärung war in dem Moment veraltet, in dem sie gedruckt wurde.

Nicht überprüfbar. „Wir haben unveränderliche (immutable) Backups.” Haben Sie im letzten Quartal einen Restore getestet? „Wir führen Security-Awareness-Schulungen durch.” Wie hoch ist die simulierte Phishing-Click-Rate? „MFA ist erzwungen.” Für welchen Prozentsatz der Konten — die privilegierten oder alle? Ein Fragebogen kann keine Rückfragen beantworten, und die Antworten, die er liefert, lassen sich nicht gegen die IT-Landschaft prüfen.

Die Schadendaten offenbaren den Preis. Coalitions Schadenanalysen haben wiederholt gezeigt, dass bei Ransomware-Ereignissen, bei denen der Versicherungsnehmer „Backups vorhanden” gemeldet hatte, ein erheblicher Anteil nicht sauber wiederherstellen konnte, weil diese Backups online, über Zugangsdaten steuerbar oder schlicht nie getestet waren. At-Bay hat veröffentlicht, dass Unternehmen mit exponiertem Remote Desktop Protocol etwa die dreifache Ransomware-Frequenz aufwiesen wie Unternehmen ohne — ein Fakt, den kein Fragebogen verlässlich erfasste, weil Versicherungsnehmer einen exponierten Port nicht für mitteilungswürdig hielten.

Als dieselben Carrier begannen, Risiken anhand aktiver Scans statt von Tabellenkalkulationen zu bewerten, wurde der Zusammenhang zwischen tatsächlicher Exposition und Schaden offensichtlich. Der Fragebogen filterte das Falsche heraus. Coalition ging noch weiter: In mehreren Märkten machte es seine Security-Control-Fragen für kleinere Kunden optional und zog es vor, die Posture des Versicherungsnehmers aus eigener Security-Telemetrie und eigenen Scans abzulesen statt aus den Antworten des Versicherungsnehmers. Diese Entscheidung ist die ganze These, umgesetzt von einem Carrier.

Was Underwriter vor der Zeichnung verlangen

Der Wandel ist nicht subtil. Die Artefakte, die ein File vom „Quote” zur „Zeichnung” bringen, haben sich geändert, und Broker, die beim Renewal mit einem aktualisierten PDF-Fragebogen erscheinen, erscheinen unbewaffnet. Das erwartet das Desk heute.

EDR-Telemetrie, nicht „Antivirus”. „Wir haben Endpoint Protection” bedeutet für sich genommen nichts. Underwriter wollen den Nachweis, dass ein EDR-Agent — CrowdStrike, SentinelOne, Microsoft Defender for Endpoint oder Defender for Business — über die gesamte IT-Landschaft hinweg ausgerollt ist und, entscheidend, dass er reportet. Wir prüfen die Agentenabdeckung als Prozentsatz der Endgeräte, die Erkennungstelemetrie über ein rollierendes Zeitfenster und ob die Plattform im Präventions- oder im Detect-and-Respond-Modus läuft. Ein 100 %-Rollout, bei dem 12 % der Agenten länger als sieben Tage stumm sind, ist schlechter als ein 90 %-Rollout, der wachsam ist. Stumme Agenten sind unverwaltete Endgeräte, und unverwaltete Endgeräte sind der Ort, an dem der Angreifer landet.

MFA-Protokolle, nicht das Wort „Ja”. Die am heftigsten umstrittene Erklärung in der Cyber-Versicherung lautet „MFA erzwungen”. Underwriter wollen heute das Authentifizierungsprotokoll oder den Export der Conditional-Access-Richtlinie, der das belegt. Die Schwelle, auf die es ankommt, ist die Abdeckung aller Konten — und die unprivilegierten zählen mit. Ein häufiger Befund und der mit den meisten Ablehnungen ist MFA bei globalen Administratoren und einer Handvoll Führungskräfte, während die restlichen 60 % der Konten durch ein einziges Passwort geschützt sind. Wir akzeptieren kein „MFA bei kritischen Konten”, denn die Schadendaten zeigen: Der Angreifer zielt nicht auf das kritische Konto; er zielt auf das Konto, das ihn kritisch werden lässt.

Nachweis der Backup-Immutability. Zu behaupten, dass man Backups hat, und zu beweisen, dass man aus ihnen wiederherstellen kann, sind zwei verschiedene Vorgänge. Carrier verlangen eine unveränderliche (immutable) oder air-gapped Kopie, einen innerhalb des Quartals datierten Restore-Test und den Nachweis, dass die Backup-Control-Plane nicht mit denselben Zugangsdaten erreichbar ist wie die Produktionsumgebung — exakt jenes Fehlermodus, das aus „wir haben Backups” bei Carriern am gesamten Markt eine volle Ransomware-Auszahlung machte. Das Fehlen sicherer, getesteter Backups bleibt einer der stärksten Prädiktoren für eine Lösegeldzahlung, und die Carrier, die danach scannen, preisen entsprechend.

Nachgewiesene Incident-Response-Bereitschaft. Mehr Deckungsbestätigungen tragen mittlerweile eine Garantieerklärung oder Bedingung, die einen dokumentierten und getesteten Incident-Response-Plan plus einen namentlich genannten Retainer verlangt. At-Bay hat die Ransomware-Deckung an spezifische Kontrollanforderungen geknüpft, und der Markt ist gefolgt: ein Tabletop innerhalb der letzten zwölf Monate, ein unterzeichneter Retainer mit einem Incident-Response-Dienstleister und ein getesteter Out-of-Band-Kommunikationskanal. Ein Plan, der nur als Word-Dokument auf einem Shared Drive existiert, das der Angreifer erreichen kann, besteht diese Prüfung per Definition nicht.

Das Muster ist bei allen vier Punkten dasselbe. Jeder verlangt Telemetrie und Nachweis, nicht Behauptung. Der Underwriter bewertet nicht länger die angegebene Posture des Versicherungsnehmers; er bewertet deren Nachweis.

Wenn der Nachweis fehlt — Prämie, Sublimit und Ablehnung

Was passiert, wenn der Broker diesen Nachweis nicht liefern kann, ist der Punkt, an dem sich das Renewal entscheidet. Drei Ergebnisse, in aufsteigender Reihenfolge der Schwere.

Der Prämienzuschlag. Ein File, das ohne EDR-Abdeckungsdaten oder MFA-Protokolle eintrifft, wird nicht abgelehnt — es wird beaufschlagt. Im aktuellen Markt schlägt eine Anpassung für fehlende Kontrollen der Indikativprämie üblicherweise 15–25 % auf, bei gleichzeitiger Reduktion des Ransomware-Sublimits auf ein Viertel oder ein Sechstel des primären Limits. Bei einem Cyber-Programm über €2,000,000, das bei rund €48,000 offeriert, ist das die Differenz zwischen €48,000 und gut €58,000, bei einem Ransomware-Cap von €300,000 statt €1,000,000. Der Broker, der die Nachweise gesammelt hat, zahlt €48,000; der Broker, der es nicht getan hat, zahlt €58,000 für nachweislich schlechtere Deckung. Der Kunde begreift selten, dass es sich bei beiden Submissions um dasselbe Risiko handelte, getrennt nur durch die Papierkram.

Die Garantieerklärung und die Coinsurance. Die gravierendere Veränderung ist die Kontroll-Garantieerklärung, die mittlerweile in den Bedingungen am gesamten Markt verankert ist. Die Klausel lautet im Kern: Tritt ein Ransomware- oder Funds-Transfer-Schaden ein und die benannten Kontrollen — MFA auf allen Konten, EDR auf allen Endgeräten, getesteter unveränderlicher Backup — waren zum Schadenzeitpunkt nicht in Kraft, wird das Limit für diesen Schaden auf das genannte Sublimit (oft 25 % oder weniger der primären Deckung) reduziert, und auf den verbleibenden Restbetrag wird eine Coinsurance von 30–50 % angewendet. Das ist kein Preishebel mehr. Es ist ein Deckungshebel, und er übersteht das Renewal selbst dann, wenn die Prämie wettbewerbsfähig wirkt.

Die Ablehnung. Der Fall, der die Debatte für mich entschied, war ein Funds-Transfer-Fraud-Schaden bei einem mittelständischen Professional-Services-Unternehmen. Der Versicherungsnehmer hatte bei Zeichnung und erneut beim Renewal bezeugt, dass „MFA in der gesamten Organisation erzwungen” sei. Im Rahmen der Schadenregulierung zog der Carrier die Authentifizierungsprotokolle des Tenants heran. MFA war bei 40 % der Konten aktiv — den Führungskräften und der IT, exakt den Konten, die nie angephisht werden. Der Finanzverantwortliche, der die €410,000-Überweisung autorisierte, saß auf einem reinen Passwort-Konto. Der Angreifer hatte dieses Konto acht Wochen zuvor übernommen und gewartet.

Der Wortlaut enthielt eine Bedingung, die MFA auf allen Personenkonten verlangte. Die Deckung wurde abgelehnt. Die eigene Falschangabe des Versicherungsnehmers — ein Kästchen, das er drei Jahre lang selbstbewusst angekreuzt hatte — war der Grund, warum die €410,000 auf seiner Bilanz stehen blieben. Eine Kontroll-Lücke, deren Schließung rund €18,000 pro Jahr gekostet hätte (Lizenzierung plus eine Conditional-Access-Richtlinie), erzeugte einen ungedeckten Schaden von €410,000. Diese Relation ist das gesamte Argument für Telemetrie statt Eigenangabe, in einer einzigen Zahl.

Die Renewal-Aktionsliste des Brokers

Wer Cyber vermittelt, hat beim Renewal nicht länger die Aufgabe, Antworten zu sammeln; seine Aufgabe ist es, Nachweise zusammenzustellen. Sechs Posten, gesammelt, bevor Sie den Markt angehen:

1. EDR-Abdeckungsreport. Ein Konsolen-Export, der die Agentenanzahl, den Prozentsatz der abgedeckten Endgeräte und jeden Agenten ausweist, der länger als sieben Tage offline ist. Hostnamen schwärzen; Anzahlen und Zeitstempel beibehalten.
2. MFA-Durchsetzungsnachweis. Die Conditional-Access-Richtlinie oder Authentifizierungszusammenfassung, die MFA auf allen Personenkonten belegt, mit der Abdeckung als Prozentsatz. Das ist das Dokument, das das Sublimit wieder nach oben treibt.
3. Backup-Restore-Nachweis. Datierter Restore-Test-Output aus dem letzten Quartal plus Bestätigung, dass die Backup-Control-Plane von der Produktion zugangsdatentechnisch isoliert ist. Das ist das einzelne wertvollste Artefakt für Ransomware-Sublimits.
4. Attack-Surface-Scan. Ein aktueller externer Scan — exponiertes RDP, offene Management-Schnittstellen, abgelaufene Zertifikate, exponierter Cloud-Speicher. At-Bay und Corvus führen ihre eigenen durch; mit dem eigenen ankommen heißt, den Befund selbst zu formulieren, bevor sie es tun. Einen solchen generieren Sie in Sekunden mit unserem Domain-Exposure-Tool.
5. IR-Bereitschaft. Ein Tabletop-Termin innerhalb der letzten zwölf Monate und ein unterzeichneter IR-Retainer. Eine einseitige Zusammenfassung schlägt einen fünfzigseitigen Plan.
6. Eine quantifizierte Expositionssicht. Führen Sie eine auf Euro lautende Schadenschätzung mit, kalibriert auf Sektor und Größe des Versicherungsnehmers, damit die Preisentscheidung des Underwriters an Ihrer Zahl verankert ist statt an der seinen. Die Broker-Scorecard erstellt sie in unter einer Minute; FAIR-konformer Risikobericht liefert die vollständige Loss-Exceedance-Kurve, die das Desk heute erwartet.

Die Artefakte, die Drittgewicht tragen — der IR-Retainer, der Penetrationstest, der externe Scan — sollten überall dort durch Dritte ergänzt statt selbst bezeugt werden, wo der Wortlaut eine Garantieerklärung enthält. Wo sich eine Kontrolle wirklich nicht belegen lässt, sagen Sie es offen und preisen Sie das Sublimit ehrlich. Underwriter lehnen Submissions ab, die falsche Angaben enthalten; sie offerieren diejenigen, die offen mit einer Lücke umgehen.

Der Fragebogen kommt nicht zurück

Die Carrier, die nach selbstberichteten Kontrollen preisten, haben schmerzhaft gelernt, dass der Fragebogen den Optimismus des Versicherungsnehmers maß, nicht seine Exposition. Die, die noch stehen, messen die Exposition direkt — über Telemetrie, über Scans, über Protokolle, die keinen Optimismus kennen.

Für Broker ist die Konsequenz mechanisch. Was beim Renewal zählt, ist nicht länger das ausgefüllte Formular; es ist das Nachweis-Paket dahinter. Stellen Sie dieses Paket einmal zusammen, halten Sie es aktuell, und das Renewal wird ein Gespräch über den Preis. Kommen Sie ohne es, wird das Renewal ein Gespräch über die Deckung — und das ist immer das teurere der beiden.

Wenn Sie Ihre Kunden noch nicht gegen die Kontrollen bewerten, die der Underwriter tatsächlich prüft, ordnet das Risikoregister jede benannte Kontrolle ihrer Deckungsfolge zu, sodass Sie sehen — bevor der Markt es tut —, welches Kästchen Ihr Kunde ehrlich ankreuzen kann, und welches ihn gleich etwas kosten wird.

Dieser Artikel spiegelt Erfahrung von Praktikern wider und stellt keine Underwriting-, Rechts- oder Deckungsberatung dar. Deckungsbedingungen, Sublimits und Kontroll-Garantieerklärungen variieren nach Carrier und Rechtsraum; lesen Sie immer die spezifischen Versicherungsbedingungen.