Russische staatliche Cyber-Operationen verändern die Cyber-Versicherungslandschaft

Die neue Form russischer, staatlich unterstützter Cyberoperationen

Am 8. März 2025 veröffentlichten Teams für Bedrohungsaufklärung einen konsolidierten Bericht über russische, staatlich unterstützte Cyberaktivitäten, basierend auf Telemetriedaten von Mandiant, Microsoft, dem britischen NCSC, der NSA und der CISA. Das entstandene Bild ist keine einzelne Kampagne, sondern eine koordinierte Operation mehrerer Akteure, die Spionage, Sabotage, Beeinflussung und die Vorpositionierung für künftige Störungen umfasst. Für Cyber-Versicherer, Risikoträger und Führungskräfte der Unternehmenssicherheit signalisiert der Bericht einen strukturellen Wandel in der Bedrohungslandschaft, der die Verlusterwartungen, die Gestaltung der Deckung und die Risikoselektion direkt beeinflusst. Russische staatliche Akteure sind keine Gelegenheitsbesucher mehr in westlichen Netzwerken. Sie sind ständige Bewohner, und die Frage für risikotragende Organisationen ist nicht mehr, ob sie anwesend sind, sondern was sie bereits getan haben.

Warum das für Cyberversicherungen wichtig ist

Staatlich unterstützte Einbrüche verhalten sich in einem Schadensbuch sehr unterschiedlich als finanziell motivierte Erpressungssoftware. Russische, mit dem GRU verbundene Gruppen wie APT44 (Sandworm) und APT28 (Fancy Bear) zünden nicht immer zerstörerische Schadcodes. APT29, das dem SVR zugeschrieben wird, wurde dokumentarisch nachgewiesen, wie es 14 Monate oder länger in kompromittierten Netzwerken operierte, bevor es entdeckt wurde, wie beim SolarWinds-Einbruch von 2019–2021 und der Folgeaktivität gegen Microsoft-365-Mandanten in den Jahren 2023–2024 zu sehen war. Der wirtschaftliche Schaden ist daher nicht immer ein Einzelereignisverlust. Er summiert sich aus Datenexfiltration, Diebstahl geistigen Eigentums, regulatorischer Exposition und Sanierungskosten.

Für Risikoträger sind drei Zahlen entscheidend. Erstens platzierte der IBM-Bericht “Cost of a Data Breach” 2024 den globalen Durchschnittsbruch bei 4,88 Millionen USD, doch staatlich zurechenbare Vorfälle, die Großunternehmen betreffen, übersteigen routinemäßig 20–100 Millionen USD, sobald Sanierungs-, Rechts- und Reputationskosten zusammengezählt werden. Zweitens liegt die Verweildauer staatlicher Akteure laut Mandiants Bericht “M-Trends 2024” im Durchschnitt bei 277 Tagen, mehr als das Doppelte des Medians für kriminelle Gruppen. Drittens stieg der Anteil der Brüche, die staatlichen Akteuren zugeschrieben wurden, im Datensatz 2024 von Mandiant auf 15 Prozent der untersuchten Vorfälle, gegenüber 9 Prozent im Jahr 2020. Jeder dieser Datenpunkte verschiebt die Verlustkurve nach oben, besonders bei Langzeit-, mehrjährigen Policenstrukturen.

Die Akteurslandschaft: Wer ist wer im Jahr 2025

Der Bericht vom März 2025 konsolidiert die Zuschreibung über mindestens fünf verschiedene russische staatlich unterstützte Cluster, jeweils mit einem anderen operativen Auftrag.

APT44 (Sandworm, GRU-Einheit 74455) bleibt der primäre zerstörerische Akteur. Der Einsatz von Industroyer2 im Jahr 2022 gegen die ukrainische Energieinfrastruktur und die NotPetya-Kampagne im Jahr 2017, die nach Angaben des US-Justizministeriums geschätzte 10 Milliarden USD an globalen versicherten und unversicherten Verlusten verursachte, stellten die Vorlage auf. Im Jahr 2024 wurde beobachtet, dass APT44 operative Technologien in europäischen Wasserversorgern und Logistikunternehmen angriff, oft über den ersten Zugang durch IT-Dienstleister von Dritten.

APT28 (Fancy Bear, GRU-Einheit 26165) konzentriert sich auf das Sammeln von Anmeldedaten, insbesondere gegen Lieferketten von Regierung, Verteidigung und Luft- und Raumfahrt. Neuere Berichte verbinden APT28 mit der Ausnutzung von Randgeräten (Edge Devices), einschließlich Outlook, Citrix NetScaler und Fortinet-Geräten, wobei mediane Zeitfenster zwischen Patch und Ausnutzung in Tagen statt Wochen gemessen wurden.

APT29 (Cozy Bear, SVR) ist der Spionage-Spezialist. Seine Operationen im Jahr 2024, einschließlich des Missbrauchs von Microsoft-Gerätecode-Authentifizierungsflüssen, verschafften ihm Zugriff auf hochwertige diplomatische, pharmazeutische und Forschungsziele ohne den Einsatz herkömmlicher Schadsoftware. Für Versicherer, die das Restrisiko bei technischen Fehl- und Unterlassungsversicherungen (E&O) und Medienschutzpolicen bewerten, ist APT29 der Akteur, der am wahrscheinlichsten Rechtsstreitigkeiten um Sorgfaltspflichten auslöst, angesichts seiner Vorliebe für legitime Anmeldedaten und integrierte Werkzeuge.

UNC2589 ist das Cluster, das am stärksten mit zerstörerischen und störenden Aktivitäten innerhalb der NATO-Mitgliedstaaten verbunden ist. Seine Kampagnen im Jahr 2024 umfassten Distributed-Denial-of-Service-Angriffe gegen Finanzdienstleistungen, Löschangriffe auf kommunale Regierungsnetzwerke im Baltikum und Kampagnen zum Diebstahl von Anmeldedaten, die auf verwaltete IT-Dienstleister abzielten.

Ein fünftes Cluster, die sogenannten “Friedhöfe” oder Dump-Leak-Akteure, veröffentlicht gestohlene Daten, um Operationen zu beeinflussen, was den Unterschied zwischen Spionage und Informationskrieg aus Deckungssicht verwischt.

Angriffsmuster und technische Vorgehensweisen in geschäftlichen Begriffen

Staatliche Akteure optimieren auf Tarnung, Skalierbarkeit und strategische Wirkung, nicht auf die Geschwindigkeit der Verwertung. Drei Muster sind für Risikoingenieure wertvoll zu verfolgen.

Nutzung integrierter Systemtools (Living-off-the-land) und Identitätsmissbrauch. APT29 und APT28 verlassen sich zunehmend auf gestohlene Anmeldedaten, OAuth-Token und Zugriff auf Cloud-Konsolen statt auf maßgeschneiderte Schadsoftware. Für einen Risikoträger bedeutet dies, dass EDR-zentrierte Antragsformulare und signaturbasierte Erkennungswerte nur einen Teil der Geschichte erzählen. Kontrollen der Identitätsverwaltung, bedingter Zugriff und Schulungen gegen MFA-Müdigkeit haben vergleichbares Gewicht.

Ausnutzung von Randgeräten. Russische Gruppen zielen auf Perimeter-Geräte ab, da sie selten von EDR abgedeckt sind und häufig während der Wartungszyklen übersprungen werden. Die Ausnutzungswelle 2023–2024 gegen Citrix NetScaler und Fortinet-Gateways verschaffte Dutzenden Organisationen ersten Zugang, bevor Hersteller Sicherheitshinweise herausgaben. Für einen Makler befindet sich das Exponierung des Antragstellers hier oft bei einem kleinen IT-Team, das den Lebenszyklus der Geräte nicht besitzt.

Kompromittierung der Lieferkette und verwalteter IT-Dienstleister. Dies ist das Muster mit der höchsten Schadensverstärkung. Der SolarWinds-Vorfall im Jahr 2020 erreichte etwa 18.000 nachgelagerte Kunden durch ein einziges manipuliertes Update. Neuere Aktivitäten gegen RMM-Tools von MSPs und Salesforce/CRM-Integrationen im Jahr 2024 zeigen, dass der Kapitalrendite des Bedrohungsakteurs bei der Plattform liegt, nicht beim einzelnen Mandanten. Cyber-Versicherer, die ein KMU-Portfolio oder ein Portfolio mit Konzentration auf technologische, rechtliche oder buchhalterische Berufsdienstleistungen kalkulieren, sollten Anbieterkonzentration als Multiplikator behandeln, nicht als Kontrollkästchen.

Auswirkungen auf Deckung und Zeichnung

Das intelligence-Bild 2025 hat mindestens vier praktische Auswirkungen auf die Policengestaltung und Risikoselektion.

Klarheit der Ausschlüsse. Kriegsausschlüsse, ob unter dem Wortlaut LMA5400 des Lloyd’s Market Association oder entsprechenden Ausschlüssen für Kriegs- und Cyberoperationen formuliert, werden nun in echten Schadensfällen auf die Probe gestellt. Der Rechtsstreit Mondelez v. Zurich im Jahr 2022, der sich drehte, ob NotPetya eine kriegsähnliche Handlung darstellte, ist in vielen Rechtsordnungen noch nicht geklärt. Makler sollten ihren Kunden klar machen, welchen Wortlaut ihre Police trägt und wie die Zuschreibung bestimmt wird, wenn ein staatlicher Akteur beteiligt ist. Die jüngste Bewegung einiger Versicherer, mehrdeutige Sprache zugunsten von Auslösern durch benannte Akteure oder physische Angriffe zu entfernen, ist ein bedeutender Wandel, und Makler-Bewertungsbögen sollten dies explizit verfolgen.

Teildeckungssummen und Wartezeiten. Lange Verweildauern bedeuten, dass der Zeitpunkt des “Ereignisses” oder der “Entdeckung” um zwölf Monate oder mehr auseinanderliegen kann. Policen, die bei Entdeckung und nicht bei Eintritt auslösen, und die eine 24-monatige erweiterte Meldefrist für staatlich zurechenbare Verluste enthalten, reduzieren das Risiko von Deckungsstreitigkeiten wesentlich. Risikoträger, die 12-stündige Wartezeiten für forensische Bereitschaftsdienste fordern, sollten bereit sein, Entdeckungsfenster für überwachte Umgebungen zu verlängern.

Bestätigung und aktive Überwachung. Staatliche Akteure bevorzugen Netzwerke mit geringer Sichtbarkeit. Zeichnungsfragen, die fragen, ob Antragsteller über eine 24/7-SOC-Abdeckung, EDR auf 90 Prozent der Endpunkte und MFA auf allen internetzugänglichen Systemen, einschließlich Dienstkonten, verfügen, sind keine Selbstverständlichkeit mehr; sie sind das Minimum. Risikoingenieure sollten den Unterschied in den Schadenquoten zwischen Konten nachweisen können, die diese Tests bestehen, und denen, die dies nicht tun.

Anbieter- und Konzentrationsrisiko. Ein kleiner Cluster von MSPs und Softwareplattformen macht einen unverhältnismäßig großen Anteil am ersten Zugang durch staatliche Akteure aus. Makler, die Anträge für KMU-Portfolios zusammenstellen, sollten in Betracht ziehen, von den Antragstellern zu verlangen, ihre fünf wichtigsten Technologieanbieter und etwaige frühere Benachrichtigungen über eine Kompromittierung der Lieferkette in den letzten 36 Monaten offenzulegen. Dies ist ein schnellerer Indikator für die tatsächliche Exposition als ein selbst ausgefüllter Fragebogen.

Risikoträger können diese Faktoren mithilfe strukturierter FAIR-basierter Cyber-Risikoberichte modellieren, die das Verhalten von Bedrohungsakteuren in die jährliche Verlusterwartung und Szenariohäufigkeit übersetzen. Wenn APT44s bisheriger Verlustrekord gegen operative Technologien in ein FAIR-Modell eingespeist wird, verdoppelt sich die Verlusterwartung für einen Versicherungsnehmer in der Fertigung mit europäischer Exposition typischerweise gegenüber einem Basisszenario mit krimineller Erpressungssoftware. Das ist die Art von Zahl, die eine höhere Prämie und ein substanzielleres Gespräch mit dem Versicherten rechtfertigt.

Handlungsempfehlungen

Für CISOs und Risikoingenieure ergeben sich direkt aus dem Bericht vom März 2025 vier Schritte.

Erstens, priorisieren Sie die Härtung von Identitäten und Randgeräten. Die Daten von Mandiant zeigen, dass 75 Prozent der staatlichen Einbrüche im Jahr 2024 irgendwann Missbrauch von Anmeldedaten beinhalteten. Phishing-resistentes MFA, Richtlinien für bedingten Zugriff und eine Service-Level-Vereinbarung von 72 Stunden für das Patchen kritischer CVEs auf internetzugänglichen Geräten sind die Kontrollen mit dem höchsten Ertrag.

Zweitens, überwachen Sie die Lieferkette. Verfolgen Sie die Top-5-Anbieter nach Datenvolumen und stellen Sie sicher, dass vertragliche Benachrichtigungsrechte für jeden vermuteten staatlichen Akteur-Kompromiss bestehen. Fügen Sie diese Anbieter einem Risikoregister hinzu und überprüfen Sie ihre Sicherheitshaltung mindestens quartalsweise.

Drittens, üben Sie das Langzeit-Szenario. Planspiele sollten einen 12 Monate alten APT29-ähnlichen Einbruch einschließen, keine 72-stündige Erpressungssoftware-Detonation. Die Ergebnisse der Planspiele sollten Politik- und Deckungswahlen antreiben, einschließlich Cyber-Versicherungslimits, Teildeckungssummen und die Struktur des Entschädigungszeitraums für Betriebsunterbrechung.

Viertens, unterstützen Sie Transparenz bei Maklern und Risikoträgern. Geben Sie bedrohungsinformierte Antworten auf Antragsformulare. Risikoträger belohnen zunehmend Konten, die artikulieren können, welche Akteure für ihren Sektor am relevantesten sind, welche ausgleichenden Kontrollen vorhanden sind und welche Dritten gehackt werden müssten, bevor ein katastrophaler Verlust eintritt. Die Makler und Risikoträger, die die richtigen Fragen stellen, werden Risiken genauer bewerten, und die Konten, die sie beantworten können, werden bessere Deckungsbedingungen und Kapazitäten erhalten.

Fazit

Russische staatlich unterstützte Cyberoperationen im Jahr 2025 sind ein Anliegen auf Portfolioebene, kein sektorspezifisches. Dieselben Akteure werden routinemäßig über Finanzdienstleistungen, Energie, Gesundheitswesen, Regierung, Fertigung und Berufsdienstleistungen hinweg beobachtet. Versicherer und Makler, die staatliche Exposition als Nischen- oder politisches Risiko behandeln, werden den nächsten Zyklus falsch kalkulieren. Die Datenpunkte im Bericht vom März 2025 – längere Verweildauern, identitätszentrierte Vorgehensweisen und die Reichweite der Lieferkette – sind keine temporären Anomalien. Sie sind die Betriebsumgebung, und der Cyber-Versicherungsmarkt, der dies am klarsten erkennt, wird der mit den stabilsten Schadenquoten und den glaubwürdigsten Kundengesprächen sein.