Die zunehmende Bedeutung von Cyber-Risiken stellt Versicherungsunternehmen vor neue Herausforderungen. Angriffe auf IT-Systeme, Datenlecks oder Betriebsunterbrechungen durch Hacker verursachen weltweit immer höhere Schäden. Vor diesem Hintergrund hat die Bundesanstalt für Finanzdienstleistungsaufsicht (BaFin) eine neue Aufsichtsmitteilung veröffentlicht, die sich speziell mit der Bilanzierung von Cyber-Versicherungen beschäftigt. Im Mittelpunkt stehen dabei sogenannte Schwankungsrückstellungen.
Neue Versicherungsart im Fokus
Cyber-Versicherungen haben sich in den vergangenen Jahren zu einem eigenständigen Versicherungszweig entwickelt. Unternehmen nutzen solche Policen, um sich gegen finanzielle Schäden durch Cyberangriffe, IT-Ausfälle oder Datenverluste abzusichern.
Die BaFin reagiert nun auf diese Entwicklung mit einer klareren Regulierung. In ihrer Aufsichtsmitteilung erläutert sie, unter welchen Voraussetzungen Versicherer für Cyber-Risiken eine eigene Schwankungsrückstellung bilden dürfen.
Bedeutung von Schwankungsrückstellungen
Schwankungsrückstellungen sind ein wichtiges Instrument im Versicherungswesen. Sie dienen dazu, starke Schwankungen bei Schadensfällen auszugleichen. In Jahren mit wenigen Schäden werden Rücklagen gebildet, die in Jahren mit besonders hohen Schadenszahlungen genutzt werden können.
Gerade im Bereich Cyber-Versicherungen ist diese Vorsorge besonders wichtig. Cyberangriffe treten oft unvorhersehbar auf und können zu extremen Schadenssummen führen.
Neue Regeln für die Rückstellungsbildung
Die BaFin erklärt in ihrer Mitteilung, wie sich die erstmals zum Ende des Geschäftsjahres 2025 verpflichtend aufzustellende gesonderte Gewinn- und Verlustrechnung für Cyber-Versicherungen auf die Bildung von Schwankungsrückstellungen auswirkt.
Konkret wird festgelegt, unter welchen Bedingungen Versicherer bereits auf Basis eines verkürzten Beobachtungszeitraums von sieben Jahren eine eigene Schwankungsrückstellung für Cyber-Risiken bilden können.
Diese Regelung soll den Unternehmen helfen, schneller stabile Rückstellungen aufzubauen, obwohl der Markt für Cyber-Versicherungen noch vergleichsweise jung ist.
Auswirkungen auf bestehende Versicherungszweige
Ein weiterer wichtiger Punkt betrifft die bisherigen Berichtssysteme. Cyber-Versicherungen wurden bislang häufig nicht als eigenständige Sparte geführt, sondern unter anderen Versicherungszweigen – etwa in der Haftpflicht- oder Sachversicherung – gemeldet.
Die BaFin erläutert daher auch, wie sich die Bildung einer separaten Schwankungsrückstellung für Cyber auf die bisherigen Rückstellungen dieser Versicherungszweige auswirkt. Versicherer müssen ihre Daten künftig entsprechend anpassen.
Veröffentlichung von Branchendaten
Neben den regulatorischen Hinweisen enthält die Aufsichtsmitteilung auch umfangreiche Branchendaten. Die BaFin veröffentlicht darin Cyber-Versicherungsdaten aus Branchenabfragen für die Jahre 2020 bis 2024.
Diese Daten sollen Versicherungsunternehmen eine bessere Grundlage für ihre Risikobewertung und die Kalkulation von Rückstellungen bieten.
Zielgruppe der neuen Regelung
Die Aufsichtsmitteilung richtet sich insbesondere an Versicherer, die Cyber-Versicherungen als eigenständige Versicherungsart („Cyber Stand-alone“) anbieten. Für diese Anbieter gelten die neuen Vorgaben unmittelbar.
Wachsender Markt mit steigenden Risiken
Cyber-Versicherungen gelten als einer der am schnellsten wachsenden Bereiche der Versicherungsbranche. Gleichzeitig steigen auch die Risiken durch Cyberkriminalität weltweit. Unternehmen müssen sich zunehmend gegen Hackerangriffe, Datendiebstahl und digitale Erpressung absichern.
Mit der neuen Aufsichtsmitteilung will die BaFin sicherstellen, dass Versicherungsunternehmen ihre Risiken realistisch einschätzen und ausreichend finanzielle Reserven bilden. Ziel ist es, die Stabilität des Versicherungsmarktes auch im wachsenden Cyber-Segment langfristig zu sichern.
