Die VersicherungsPraxis G 6944 FACHZEITSCHRIFT FÜR DIE VERSICHERUNGSNEHMENDE WIRTSCHAFT 2 Februar 2024 Jahrgang 114 IT-SICHERHEIT & CYBERVERSICHERUNG Technische Aspekte der IT-Sicherheit Die dunkle Seite der Künstlichen Intelligenz Gesamtverband der versicherungsnehmenden Wirtschaft e.V. www.gvnw.de

TITELTHEMA IT-SICHERHEIT & CYBERVERSICHERUNG Datenschutzrechtliche Haftungsrisiken nach Cyber-Vorfällen im Spiegel aktueller EuGH-Rechtsprechung1 Schadenersatzforderungen unter der DSGVO nach Cyber-Angriffen sind ein nicht zu vernachlässigendes Haftungsrisiko und stellen betroffene Unternehmen und ihre Cyberversicherer vor organisatorische Herausfor- derungen. Die oft große Zahl an Betroffenen birgt ein Kumulationsrisiko in Millionenhöhe. Aktuelle EuGH-Rechtsprechung konkretisiert die Anfor- derungen an den Schadenersatzanspruch nach Art. 82 DSGVO. Trotz der damit einhergehenden möglichen Verschärfung der Haftungslandschaft bleibt Raum für eine Abwehr unberechtigter Ansprüche. 1. Immaterieller Schadenersatz nach Art. 82 DSGVO 1 Die EU-Datenschutz-Grundverordnung (DSGVO) sieht bei Verstößen nicht nur empfindliche Geldbußen vor,2 sondern birgt auch ein erhebliches zivilrechtliches Haftungsrisiko für Unternehmen. Es gibt so gut wie keine Cyber-Vorfälle mehr, bei denen nicht auch personenbezogene Daten betroffen sind. Bei Ransomware- Angriffen werden in der Regel vor der Ver- schlüsselung der angegriffenen Systeme große Datenmengen exfiltriert, um mit der Androhung der Veröffentlichung zusätz- liches Erpressungspotential zu schaffen. Art. 82 Abs. 1 DSGVO sieht vor, dass jede Person, der wegen eines Verstoßes 1 Der folgende Beitrag beruht auf einer Veröffentlichung der Autoren in der WpG 1/2024 2 Siehe hierzu EuGH, Urteil vom 5.12.2023 – C-807/21, BeckRS 2023, 34616. gegen die DSGVO ein materieller oder im- materieller Schaden entstanden ist, einen Anspruch auf Schadenersatz gegen den Verantwortlichen oder gegen den Auf- tragsverarbeiter, also das angegriffene Unternehmen, hat. Zwar stellt nicht jeder Data Breach eine Verletzung der DSGVO dar, was der EuGH ausdrücklich klarge- stellt hat,3 teilweise werden hierdurch aber unzureichende technische und organisato- rische Maßnahmen zur Sicherheit der Ver- arbeitung offengelegt. Dies kann neben der haftungsrechtlichen Bedeutung auch im versicherungsrechtlichen Kontext rele- vant sein, sofern eine Cyberversicherung abgeschlossen und z.B. technische Ob- liegenheiten vereinbart wurden oder vor- vertragliche Angaben im Hinblick auf die vorhandenen IT-technischen Sicherheits- maßnahmen getätigt wurden, die sich im Nachhinein als unzutreffend herausstellen. 3 EuGH, Urteil vom 14.12.2023 – C-340/21, BeckRS 2023, 35786. 2. Keine einheitliche Anwendungspraxis Sofern es um die Anspruchsvorausset- zungen des Art. 82 DSGVO geht, scheinen diese nur auf den ersten Blick eindeutig. In der praktischen Anwendung hingegen ist die Vorschrift sehr umstritten.4 Mittlerwei- le hat der Europäische Gerichtshof (EuGH) den DSGVO-Schadenersatzanspruch in mehreren Entscheidungen konkretisiert. Gleichzeitig haben sich am Markt diverse Modelle zur Kommerzialisierung der Scha- denersatzansprüche herausgebildet. Dies führt dazu, dass sich niedrige Beträge für immaterielle Schäden im lediglich drei- stelligen bis unteren vierstelligen Bereich aufgrund einer hohen Anzahl betroffener Personen zu erheblichen Haftungsrisiken kumulieren können. Die konkrete Höhe und die Erfolgsaussichten solcher daten- schutzrechtlichen Klagen hängen derzeit noch u.a. maßgeblich davon ab, vor welchem Gericht diese geltend gemacht werden. Zur Verdeutlichung kann auf eine Auswahl zur Rechtsprechung zum sog. „Scraping“ öffentlicher Daten auf Face- book verwiesen werden, bei dem die Ge- richte – soweit sie eine Verantwortlichkeit 4 Siehe hierzu Spittka/Malek, WPg 2023, 266; aktuelle Rechtsprechungsübersicht bei Leibold, ZD-Aktuell 2023, 01426. VersicherungsPraxis 2/2024 VersicherungsPraxis 2/2024 3 3

Entscheidung Österreichische Post Krankenver- sicherung Nordrhein Natsionalna agentsia za prihodite Pro Unternehmen • Bloßer Verstoß gegen DSGVO reicht für Haftung nicht aus • Materieller oder immaterieller Schaden erforderlich • Nicht jede negative Folge eines DSGVO-Verstoßes stellt immateriellen Schaden dar • Kausalität zwischen DSGVO-Verstoß und Schaden erforderlich • Kein Strafschadenersatz • Art. 82 DSGVO erfordert Verschulden des Unternehmens • Offenlegung personenbezogener Daten oder unbefugter Zugang zu diesen stellt noch keinen DSGVO-Verstoß dar • Beweislast für das Vorliegen eines immateriellen Schadens liegt bei der betroffenen Person Gemeinde Ummendorf • Betroffene Person muss Nachweis erbringen, dass Folgen des DSGVO-Verstoßes ursächlich für den Schaden waren TITELTHEMA IT-SICHERHEIT & CYBERVERSICHERUNG Pro Anspruchsteller • Keine Erheblichkeitsschwelle für Vorliegen eines immateriellen Schadens, d.h. auch Bagatellschä- den erfasst • Unternehmen muss sich aber exkulpieren, d.h. Beweislast für fehlendes Verschulden liegt beim Unternehmen • Unternehmen muss sich (bei entsprechendem Klägervortrag) darlegen und beweisen, dass Si- cherheitsmaßnahmen risikoangemessene waren • Beweislast für fehlende Kausalität zwischen DSGVO-Verstoß und Schaden liegt beim Unternehmen • Furcht vor Missbrauch entwendeter Daten kann im Einzelfall einen immateriellen Schaden darstellen • Auch der kurzzeitige Verlust der Hoheit über diese Daten kann im Ausnahmefall einen immateriellen Schaden darstellen Ummendorf8 weiter konkretisiert, doch müssen diese Personen den Nachweis erbringen, dass sie tatsächlich einen sol- chen Schaden erlitten haben. Die betrof- fene Person muss zudem den Nachweis erbringen, dass die Folgen des DSGVO- Verstoßes ursächlich für einen Schaden waren, der sich von der bloßen Verletzung der DSGVO unterscheidet. 3.4. Zusammenfassung Die Rechtsprechung des EuGH ist wie gezeigt grundsätzlich relativ ausgewogen, d.h. weder einseitig zugunsten der Kläger noch der Beklagten (siehe Tabelle oben). 4. Auswirkung auf Cyber-Vorfälle und Kommerzialisierung Die jüngsten EuGH-Entscheidungen machen es für betroffene Personen auf den ersten Blick einfacher, nach Cyber- Vorfällen immateriellen Schadenersatz geltend zu machen, da der EuGH einer Erheblichkeitsschwelle eine Absage er- teilt und den Verlust der Kontrolle über personenbezogene Daten grundsätzlich als immateriellen Schaden einordnet. Dies dürfte die Begehrlichkeiten zur massenhaften Geltendmachung solcher Ansprüche im Rahmen einer Kommerzia- lisierung9 weiter fördern. Allerdings lässt die Beweislastverteilung beklagten Or- ganisationen Raum für die Verteidigung. So reicht klägerseitig pauschaler Vortrag zu Furcht vor Datenmissbrauch und Kon- trollverlust nicht aus, um einen immate- riellen Schaden darzulegen. Der Verweis des EuGH auf „besondere Umstände“ zeigt, dass die Furcht vor Missbrauch personenbezogener Daten als Schaden der Ausnahmefall bleibt. Hierfür müssen die betroffenen personenbezogenen Da- ten einen gewissen Grad an Sensitivität und Missbrauchspotenzial bieten. Dies ist beispielsweise bei reinen Kontaktdaten, wie Adresse, E-Mail-Adresse oder Tele- fonnummer, gerade nicht gegeben. Die Anforderungen an den konkreten Vortrag der Klägerseite zu DSGVO-Verstoß, nega- tiven Folgen und immateriellen Schaden verbieten daher einen Pauschalvortrag ohne Berücksichtigung des konkreten Einzelfalles.10 Mit Blick auf die Beweis- lastverteilung hinsichtlich der Geeignet- heit der Sicherungsmaßnahmen ist dem Unternehmen dringend anzuraten, diese – vor dem Vorfall – rechtssicher zu doku- mentieren und regelmäßig zu überprüfen, um im Fall von Schadenersatzklagen nach Cyber-Vorfällen in der Lage zu sein, ent- sprechend vorzutragen. 5. Verteidigung gegen Abhilfe- und „Legal Tech“-Klagen Die Ausgleichsfunktion des immateri- ellen Schadenersatzes, welche laut EuGH „vollständigen und wirksamen Scha- denersatz für den erlittenen Schaden“ sicher stellen soll, spricht zudem gegen die Zulässigkeit von Abtretungs- bzw. Inkassokonstruktionen. Solche Modelle unterlaufen diese Zielsetzung aktiv, da erstens die Genugtuungsfunktion nicht erfüllt werden kann und es zweitens der wirtschaftliche Mechanismus hinter diesem Modell ist, den Anspruch (deut- lich) unterhalb des eigentlichen Wertes zu erwerben. Damit kann niemals ein vollständiger und wirksamer Schaden- ersatz gewährleistet werden, weshalb ein Abtretungsverbot nach § 399 Abs. 1, 1 Alt. BGB aufgrund Höchstpersönlich- keit vorliegt.11 8 EuGH, Urteil vom 14.12.2023 – C-456/22, EuGH Urt. v. 14.12.2023 – C-456/22, GRUR-RS 2023, 35767. 9 Siehe hierzu Spittka/Malek, WPg 2023, 266 (267 f.); Spittka, GRUR-Prax 2023, 31. 10 So auch OLG Hamm, Urteil vom 15.08.2023 – 7 U 19/23, GRUR-RS 2023, 22505. 11 So bereits Spittka, GRUR-Prax 2023, 31 (32 f.); a.A. Veeck/Stepanova, ZD 2023, 317, allerdings unter Ver- kennung des wirtschaftlichen Mechanismus und abstel- lend auf eine nicht gegebene Abschreckungsfunktion. VersicherungsPraxis 2/2024 5 5

EXECUTIVE SEARCH WIR FINDEN LE PERFECT MATCH Seit fast 30 Jahren begleiten und beraten wir erfolgreich namhafte Versicherer, Versicherungsmakler und Inhouse Broker bei der Rekrutierung von Fach- und Führungskräften aller Ebenen. Wir freuen uns auf den persönlichen Austausch mit Ihnen: GVNW FACHTAGUNG FOKUS CYBER UND FINANCIAL LINES 12. & 13.03.2024 IN KÖLN SPRECHEN SIE UNS AN. www.legroupebleu.com info@legroupebleu.com +49 721 90 98 98 11 le groupe bleu GmbH Bahnhofplatz 12 76137 Karlsruhe

Risikobewusstsein und Unternehmen sind sich zunehmend der Folgen von geschä- digtem Vertrauen bewusst. Der Schutz von Kundendaten ist daher auch der Hauptgrund (46 %), warum Lösegeld in- folge von Ransomware-Attacken gezahlt wird. Aber auch die Erwartungen von Ge- schäftspartnern (28 %) sind für deutsche Unternehmen ein wichtiger Anlass, ihre Cyberresilienz zu erhöhen. Drei Handlungsempfehlungen auf dem Weg zur Cyberresilienz Dieses Bewusstsein materialisiert sich nicht zuletzt in höheren Investitionen in die IT-Sicherheit. Innerhalb von drei Jahren stiegen die durchschnittlichen Ausgaben auf rund 142.600 Euro – ein Anstieg um 39 %. Bei kleineren Unternehmen haben sich die Investitionen in die Cybersicher- heit sogar vervierfacht. Im internationalen Vergleich ist Deutschland Vorreiter: Mit einem Median von 195.040 Euro jährlich geben deutsche Unternehmen am meisten für ihre IT-Sicherheit aus. Doch wachsende Budgets allein reichen nicht: Unternehmen müssen Cybersicherheit als eine organi- satorische Notwendigkeit behandeln, um eine hohe Cyberresilienz zu erreichen. Als erste Maßnahme auf dem Weg dorthin lohnt sich ein Blick auf die inter- nen Systeme. Mit von den Software-Her- stellern zur Verfügung gestellten Patches (Software-Updates) können Unternehmen Sicherheitslücken in ihren Systemen schlie- ßen und die Ausnutzung von Schwach- stellen durch Angreifer verhindern. Ins- besondere Altsysteme, für die Hersteller keine neuen Patches mehr anbieten, wer- den zu gefährlichen Schwachstellen, die Cyber-Kriminelle gezielt ausnutzen. Eine wichtige Vorkehrung, die Unternehmen ebenfalls treffen sollten, um das Risiko eines Cyber-Schadens zu minimieren und im Ernstfall handlungsfähig zu bleiben, ist das ransomwaresichere Back-Up. Das Vorhalten eines nicht kompromittierba- ren Back-Ups bleibt eine der wichtigsten Maßnahmen, um Systeme zügig wieder in TITELTHEMA IT-SICHERHEIT & CYBERVERSICHERUNG Betrieb nehmen zu können und sich im Fall einer Lösegeldforderung nicht erpressbar zu machen. Prävention ist hier die beste Verteidigung. Doch selbst der beste Cyber-Schutz bedeutet nicht, dass Unternehmen ei- nen Schadenfall vollständig abwehren können. Um das Restrisiko, das durchaus existenzbedrohende Ausmaße annehmen kann, abzusichern, ist es für Unterneh- men unverzichtbar, sich mit einem Cyber- Versicherer einen erfahrenen Partner an die Seite zu holen. Entscheidend ist hier weitreichende Expertise im Umgang mit Cyber-Schäden, die sich im Ernstfall durch ein umfassendes Angebot an Assistance- Leistungen und Soforthilfemaßnahmen, beispielsweise durch IT-Forensik, Daten- schutzberatung oder Krisen-PR, äußert. Zusammengefasst heißt das: Bei einem Cyberangriff ist eine Versicherung ent- scheidend, um die Auswirkungen von Cybervorfällen abzumildern und Unter- nehmen so vor existenzbedrohenden Konsequenzen zu schützen. Digital Trust: Vom gesellschaftlichen Thema zum Business-Faktor Insgesamt betrachtet ist der Stellen- wert von Cyberversicherungen noch viel größer: Ihre Rolle bei der Abfederung von Cyberschäden und der Etablierung grund- legender Prozesse im Bereich der Cyber- sicherheit trägt wesentlich zum Aufbau und zur Aufrechterhaltung des digitalen Vertrauens in Wirtschaft und Gesellschaft bei. Der Hintergrund dieses Wissens- und Prozesstransfers in die Unternehmen ist vermeintlich simpel: Nur Unternehmen, die IT-Basics umsetzen, sind überhaupt versicherbar. So tragen Cyber-Policen ebenfalls dazu bei, das Hacking-Risiko zu senken. Ein Lichtblick: In Deutschland sind die Unternehmen auf dem richtigen Weg, denn im internationalen Vergleich des Pa- nels beim Hiscox Cyber Readiness Reports ist der Anteil der Cyber-Versicherungsneh- mer in Deutschland am höchsten (67 %). Momentan vertrauen Kunden noch in Unternehmen und ihre Cybersicherheit, auch wenn die Zahlen zeigen, dass dies nicht gerechtfertigt ist, allerdings eher mangels Alternativen, denn echter Über- zeugung. Doch die Sicherheitslage wird sich auf absehbare Zeit nicht entspannen, im Gegenteil. Doch wie gehen Wirtschaft und Ge- sellschaft mit diesem Ausblick um? Un- sere Prognose lautet: In Zukunft wird ein Ökosystem aus cybersicheren Unterneh- men entstehen, zu dem Marktteilnehmer ohne digitales Sicherheitskonzept keinen Zugang haben werden, weil sie schlicht nicht vertrauenswürdig sind. Damit wird Digital Trust nicht nur ein gesellschaftli- ches Thema, sondern unmittelbar busi- nessrelevant, denn nur Unternehmen, die digital vertrauenswürdig sind, können in Zukunft erfolgreich Geschäfte machen. 쮿 Sie haben Feedback für uns? Schreiben Sie uns: gvnw@gvnw.de VersicherungsPraxis 2/2024 9 9

„Über 200 Mrd. € an Schäden für deutsche Unternehmen im Jahr 2022“ TITELTHEMA IT-SICHERHEIT & CYBERVERSICHERUNG Grafik 1: Anmerkung: Die in Klammern angegebenen Jahreszahlen beziehen sich auf das Veröffentlichungsdatum des Berichts. Quelle: Bundeskriminalamt (2023) und Bitkom e.V. (2022), „Bundeslagebild Cybercrime 2022“, online abrufbar unter: https://www.bka.de/DE/Presse/Listenseite_Pressemitteilungen/2023/Presse2023/230816_PM_BLB_Cybercrime.html Durch die Kombination von technischen und organisatorischen Maßnahmen kön- nen Unternehmen ein robustes IT-Si- cherheitssystem aufbauen, das sowohl präventive als auch reaktive Elemente umfasst, um sich gegen die vielfältigen Bedrohungen in der digitalen Welt zu schützen. 3. Die Rolle der Cyberversicherung im Risikomanagement Parallel dazu hat sich die Cyberversi- cherung als essenzieller Bestandteil des unternehmerischen Risikomanagements etabliert. Cyberversicherungen bieten ei- nen finanziellen Schutzschirm gegen die potenziellen Verluste, die durch Cyberan- griffe entstehen können. Sie sind ein we- sentlicher Bestandteil einer umfassenden Risikomanagementstrategie. Während die oben genannten IT-Sicherheitsmaßnah- men darauf abzielen, Cyberangriffe zu verhindern oder deren Auswirkungen zu minimieren, bietet die Cyberversicherung einen zusätzlichen Schutz für den Fall, dass ein Sicherheitsvorfall eintritt. Mehr als nur finanzieller Schutz Cyberversicherungen gehen über den reinen finanziellen Schutz hinaus. Sie bie- ten Unternehmen Unterstützung in Form von Expertenberatung, Krisenmanage- ment und Rechtsbeistand im Falle eines Cyberangriffs. Dies kann von entschei- dender Bedeutung sein, besonders für Unternehmen, die möglicherweise nicht über die internen Ressourcen verfügen, um auf komplexe Cyberbedrohungen ef- fektiv zu reagieren. 4. Schadenbeispiele Zwei Schadenbeispiele aus der Praxis der Markel Insurance SE illustrieren nicht nur die potenziellen Risiken und Folgen von Cyberangriffen, sondern auch die Be- deutung einer gut durchdachten Sicher- heits- und Versicherungsstrategie. a) Ransomware-Angriff In einem fesselnden Szenario eines Cy- berschadenfalls offenbart sich die brisan- te Realität moderner Sicherheitsrisiken. Ein Unternehmen sah sich kürzlich einem verheerenden Ransomware- Angriff gegenüber, der nicht nur zehn entscheidende virtuelle Maschinen ver- schlüsselte, sondern auch die zentralen Warenwirtschafts- und Kassensysteme mehrerer Filialen lahmlegte. Die Aus- wirkungen waren katastrophal: Um- satzeinbußen, operativer Stillstand und eine drastische Einschränkung der Ge- schäftsprozesse. Dank eines kurz zuvor erstellten Back-ups konnte der Schaden zumindest minimiert werden. In einem Wettlauf gegen die Zeit beauftragte Markel einen externen IT-Dienstleister und koordinierte die Zusammenarbeit mit dem Unternehmen, während dieses um seine wertvollen Daten und die Zu- kunft seines Geschäftsbetriebs bangte. Das Team des IT-Dienstleisters und das Markel Schadenteam befinden sich stets in engem Austausch und können nach einer Ersteinschätzung der Lage sofort wichtige Handlungsempfehlungen an das Unternehmen aussprechen. Bis klar ist, dass keine Gefahr mehr besteht, wird dem Unternehmen nicht mehr von der Seite gewichen. VersicherungsPraxis 2/2024 11 11

TITELTHEMA IT-SICHERHEIT & CYBERVERSICHERUNG Lieferkette im Fokus - Wie die zunehmende Digitalisierung Cyberrisiken erhöht Martin Swider, Head of Sales Cyber, hendricks GmbH Peter Pillath, Prokurist, Director Center of Excellence Cyber, Howden-Group Einleitung Manch einer mag behaupten, dass die Digitalisierung der deutschen Industrie bereits abgeschlossen sei. Doch dies ist bei weitem noch nicht der Fall. Zum ei- nen sind viele Industriezweige noch nicht voll digitalisiert – das Bundesministerium für Wirtschaft spricht davon, dass gerade einmal in 6 von 10 Unternehmen Industrie 4.0 Komponenten zum Einsatz kommen. Zum anderen führen Cloud, Big Data, Data Analytics, 5G und Künstliche Intelligenz zu einer Beschleunigung und weiteren Einsatzmöglichkeiten. Diese disruptiven Technologien schaffen Anwendungsfelder und Potenziale für Unternehmen, wodurch die Digitalisierungsrate weiter zunimmt. Bei dieser Entwicklung muss bei dem Einsatz der neuen Anwendungen Cyber Security eine Grundlage bilden. Nur so können nachhaltig Mehrwerte generiert werden – für das Unternehmen selbst, für Kunden und Partner. Cyber-Sicherheit – der Blick über das eigene Unternehmen hinaus Nachdem im Jahr 2022 die erfolgrei- chen, gemeldeten Cyber-Angriffe rückläu- fig waren, nahmen Schäden insbesondere ab der zweiten Jahreshälfte 2023 stark zu. Ransomware-Attacken sind weiter- hin die häufigste und insgesamt gefähr- lichste Angriffsart. Hier zeigen sich eine weitere Professionalisierung, eine erhöh- te Frequenz und auch eine Ausweitung der Erpressung. Mittlerweile treten Fälle auf, in denen zunächst Daten abgezo- gen werden, die Server und Clients des Unternehmens verschlüsselt werden und anschließend eine mehrstufige Erpressung stattfindet. Als erstes wird Geld für die Entschlüsselung gefordert, anschließend für die Nichtveröffentlichung und im drit- ten Schritt werden Mitarbeiter und/oder Geschäftspartner mit den gewonnenen In- formationen angegangen. Eine unschöne Entwicklung. Eine Folge dieses Vorgehens ist auch, dass auf einmal auch Unterneh- men und Personen betroffen sind, welche selbst nicht gehackt wurden. Hierzu passt, dass auch die Lieferketten in den Fokus der Angreifer rücken. Dies in vielfältiger Hinsicht. Zum einen können über Zuliefe- rer und Abnehmer Informationen über das eigentliche Ziel gewonnen werden. Diese Informationen werden dann für gezielte Angriffe oder auch Betrugsversuche, wie bspw. Fake President-Angriffe, genutzt. Zum anderen gibt es auch bestehende digitale Verbindungen der Wertschöp- fungsketten, sodass ein Angriff auf ein verbundenes Unternehmen direkte Aus- wirkungen auf weitere Unternehmen hat und die Erpresser hierdurch den Druck erhöhen. Abschließend ist vielleicht tat- sächlich „nur” das angegriffene Unter- nehmen Ziel der Attacke, ohne Absicht verbundenen Unternehmen zu schaden, aber die Auswirkungen sind dennoch da. Somit ist insbesondere mit Blick auf die „digitale Lieferkette” der Aufbau von „Di- gital Trust” heutzutage unerlässlich. Das berühmte schwächste Glied ist auch in der Cyber-Welt zu beachten. Gerade da die Verwundbarkeit der Unternehmen durch einen erhöhten Digitalisierungsgrad und stärkerer Vernetzung steigt. Künstliche In- telligenz macht es den Angreifern zudem leichter Informationen zu sammeln, aus- zuwerten und zielgerichterer einzusetzen, inklusiver personalisierter, grammatisch einwandfreier Phishing-Emails. Beachtung der analogen und digitalen Lieferkette Was für das eigene Unternehmen gilt, besitzt auch in der Lieferkette Gültigkeit. Ich kann nur schützen, was ich kenne. Oberstes Gebot ist es Transparenz zu schaffen, über die Angriffsfläche, die Aus- wirkungen und die getroffenen Schutzmaß- nahmen. Sowohl die analoge, als auch die digitale Lieferkette muss im Risikomanage- ment des Unternehmens Berücksichtigung finden. Unternehmen der analogen oder auch physischen Lieferkette und deren Besonderheiten sind meist bekannt. Es existieren ein Lieferantenmanagement, Bewertungen und Ausfallszenarien. Für besonders wichtige Komponenten gibt es Ersatzlieferanten oder Lagerhaltung. Meist sind unterschiedliche Szenarien in den Risi- kohandbüchern ausgearbeitet. Cyber-Risi- ken nehmen hierbei eine immer wichtige- re Rolle ein. Ist das eigene Unternehmen bereits gut vor Cyber-Angriffen geschützt, sollten ähnliche Anforderungen auch an die Geschäftspartner gestellt werden. Informa- tions- und Meldepflichten sind wichtig, um selbst bei den immer strenger werdenden Meldepflichten und regulatorischen An- forderungen einer geringeren Gefahr von Bußgeldern und Strafen ausgesetzt zu sein und zeitnah handeln zu können, wenn bei einem verbundenen Unternehmen etwas VersicherungsPraxis 2/2024 13 13

unterstützen, insbesondere in Bezug auf Lieferkettenangriffe. Die Richtlinie ermöglicht auch koordi- nierte Risikobewertungen kritischer Lie- ferketten, wobei verschiedene Kriterien berücksichtigt werden, um IKT-Dienste, -Systeme oder -Produkte zu identifizieren, die für Einrichtungen von besonderer Be- deutung sind. In Deutschland gibt es weiterhin das Lie- ferkettengesetz, das große Unternehmen und ausländische Unternehmen mit Nieder- lassungen in Deutschland zur Verantwor- tung für die Herstellung ihrer Produkte und Dienstleistungen verpflichtet, selbst wenn Teile des Prozesses im Ausland stattfinden. Dies soll fairen Wettbewerb sicherstellen und das Verursacherprinzip in global ver- netzten Lieferketten durchsetzen. Schwierige Durchsetzung der Ansprüche innerhalb der digitalen Lieferkette Bereits im Jahr 2003 wurde die Gefahr für die Informationssicherheit aufgrund der Abhängigkeit von IT-Monokulturen thematisiert, wobei die Vormachtstellung von Microsoft im Bereich der Betriebssys- teme als Beispiel diente. Diese Situation birgt das Risiko eines potenziellen Kas- kadeneffekts bei der Verbreitung von Malware, der durch das Vorhandensein identischer Sicherheitslücken auf vielen Systemen ausgelöst werden kann. Zum Zeitpunkt Ende 2017 hatten Microsoft- Betriebssysteme immer noch einen Markt- anteil von 91,72 %. Darüber hinaus zeigen auch die füh- renden Anbieter im Bereich des Cloud- Computing, angeführt von Amazon Web Services (AWS) mit einem Marktanteil von 40 %, gefolgt von Microsoft, Google und IBM mit insgesamt 23 %, die potenzielle Angriffsfläche aufgrund von existierenden Quasi-Monopolen auf. Diese Tatsache verdeutlicht, dass Cyber-Risiken nicht nur die Informationssicherheit innerhalb eines einzelnen Unternehmens betreffen, son- dern aufgrund von Interdependenzen ohne geografische Begrenzung ein weltweit mögliches Ansteckungsrisiko und die Ku- mulierung von Schäden darstellen können. Quelle: https://aws.amazon.com/de/agreement/ Amazon Web Services, dass der Anbieter von jeglicher Haftung für entgangene Ge- winne oder Umsätze aufgrund ungeplan- ter oder nicht angekündigter Ausfallzeiten befreit ist. Es ist jedoch äußerst fraglich, ob Kun- den in der Lage sind, die vertragliche Haftung zu ihren Gunsten zu verhandeln, insbesondere im Bereich des Cloud-Com- puting, wo nur wenige Anbieter eine do- minante Marktposition innehaben. Aber auch bei anderen Partnern in der digitalen Lieferkette kann ein Cyberan- griff verheerend sein. Die teils vorhande- ne Annahme, Schäden werden durch die Haftpflichtversicherung des Dienstleisters gedeckt ist in vielen Fällen zu verneinen. Zum einen werden Ansprüche durch den Haftpflichtversicherer bei Zweifeln an der Haftung abgewehrt, zum anderen ist bei einer Vielzahl berechtigter Ansprüche die Versicherungssumme schnell ausge- schöpft. Des Weiteren kann ein Cyber-Vor- fall auch zur Insolvenz des Dienstleisters führen. Entsprechend ist nicht garantiert, dass eine Entschädigung vorhandener An- sprüche in Folge eines Cyberangriffs in der Lieferkette vollumfänglich stattfindet. Datenschutz, Unternehmens- geheimnisse und Betriebsunterbrechung Weiterhin beinhalten die standardi- sierten Kundenvereinbarungen von u.a. In der Überlegung, warum es in der Lieferkette einer hohen Informations- TITELTHEMA IT-SICHERHEIT & CYBERVERSICHERUNG sicherheit bedarf, spielen unterschiedli- che Faktoren eine Rolle. Jedes Unterneh- men muss für sich kritische Daten und Prozesse beleuchten. Zunächst ist das Unternehmen im Rahmen der DSGVO für Daten verantwortlich, welche erhoben und gespeichert werden. Auch, wenn diese Daten durch einen Auftragsdaten- verarbeiter gespeichert werden. Kommt es somit bei dem Cloud-Dienstleister, Geschäftspartner etc. zu einem Daten- schutzvorfall, betreffen die Meldepflich- ten, Entschädigungsforderungen und weitere Ansprüche auch das Unterneh- men direkt. Die Dienstleistungsverträge müssen so gestaltet sein, um rechtliche Fristen einzuhalten. Werden hohe Sicher- heitsanforderungen vereinbart und auch überprüft, besteht auch die Chance An- sprüche zu vermeiden. Nicht weniger wichtig ist für viele Unternehmen der Schutz von Unterneh- mens- und Geschäftsgeheimnissen. Alle Daten, die mehrfach und bei unterschied- lichen Partnern gespeichert werden, er- höhen in diesem Fall die Angriffsober- fläche und die Wahrscheinlichkeit eines erfolgreichen Cyberangriffs auf diese. Es sollte klar sein, dass solche Daten verschlüsselt gespeichert und auch nur verschlüsselt übertragen werden. Aber in Zeiten von Künstlicher Intelligenz und Quantencomputern ist eine einfache Ver- schlüsselung wenig wert. Gerade im Be- reich Wirtschaftsspionage handelt es sich zum Großteil um gezielte Angriffe mit VersicherungsPraxis 2/2024 15 15

13. MÄRZ 2024 THEMENBLOCK FINANCIAL LINES 11.00 Uhr Podiumsdiskussion zur aktuellen Marktsituation in der D&O-Versicherung Impulsvortrag Dr. Andreas Keller, KROSE GmbH & Co. KG Impulsvortrag Ulrich Schaller, Beazley Group 앫 Dr. Patrick Fiedler, GVNW e.V. (Moderation) 앫 Florian C. Biebrach, AIG 앫 Sven Kaminsky, Marsh GmbH 앫 Dr. Andreas Keller, KROSE GmbH & Co. KG 앫 Dr. Ulrike Kostka, Boehringer Ingelheim Secura Versicherungsvermittlungs GmbH 앫 Ulrich Schaller, Beazley Group 12.30 Uhr Mittagspause und Besuch der Ausstellung 14.00 Uhr 14.40 Uhr 15.20 Uhr Welche Risiken drohen bei Kartellverfahren und wie kann man sich schützen? Prof. Dr. Daniela Seeliger, Linklaters LLP Haftungsfreistellungen für Kartellrechtsverstöße aus dem Blickwinkel der D&O-Versicherung Philipp Strasser, Strasser Haindl Meyer - Rechtsanwälte Zusammenfassung und Verabschiedung Dr. Patrick Fiedler, GVNW e.V. 15.30 Uhr Ende der Veranstaltung MIT FREUNDLICHER UNTERSTÜTZUNG IHRE ANSPRECHPARTNERIN Sabine Stoff els Tel.: 0228 - 982 23 23 · veranstaltungen@gvnw.de

TITELTHEMA IT-SICHERHEIT & CYBERVERSICHERUNG Die Auswirkungen von KI-Sprachmodellen auf das Underwriting von Cyber-Versicherungen: Beyond Human Expertise das Sprachmodell diese Aufgaben in- nerhalb weniger Minuten erledigen. Das Ergebnis ist beeindruckend: Es enthält ka- tegorisierte Antworten und identifizierte Lücken im Vergleich zu den Best Practices der Branche, vorformulierte Vorbehalte für fehlende Daten und eine kuratierte Liste nicht erfüllter Mindestanforderungen des Versicherers. KI kann jedoch nicht nur Pro- zesse rationalisieren. Insbesondere wenn Anomalien oder Auffälligkeiten in den Antragsdaten erkannt werden, bietet sie unschätzbare Einblicke. Beispielsweise kön- nen widersprüchliche Antworten in Risiko- informationen sofort identifiziert und für weitere Untersuchungen markiert werden. Damit könnten Fälle, in denen der Ver- sicherer aus Zeitgründen nur eine knappe Ablehnung ohne Begründung verschickt, der Vergangenheit angehören. Dies ist von enormem Vorteil für Versicherungsmakler, da diese ihren Kunden somit einen Weg zur Versicherbarkeit aufzeigen können. Die Implementierung von KI-Sprachmo- dellen im Zuge des Antragprozesses von Cyberversicherungen verspricht zudem eine Revolution in Bezug auf Effizienz und Kosten. Da diese Modelle einen größeren Teil des Underwriting-Prozesses und der Vertragsadministration übernehmen, kön- nen die Versicherer von einer erheblichen Reduzierung der Betriebskosten profitie- ren. Die Einsparungen können in andere wichtige Bereiche wie die Gewinnung und Bindung von Talenten zurückgeführt wer- den. Dies ist besonders wichtig in Nischen- märkten wie der Cyber-Versicherung, in denen es oft an qualifiziertem Personal mangelt. Underwriting-Experten, die von repetitiven manuellen Aufgaben entlastet wurden, können sich nun auf strategische und differenziertere Aspekte ihrer Arbeit konzentrieren. Dies erhöht nicht nur den Wert ihrer Position, sondern macht auch die Branche attraktiver für Talente. Die dunkle Seite der KI werden. Ausgeklügelte Kriminelle nutzen jetzt schon KI-Sprachmodelle für Phishing- Angriffe: Sie lassen E-Mails erstellen, die täuschend echt aussehen und so persön- lich klingen wie die Mail eines Freundes, was es den Empfängern schwer macht, zwischen echten und böswilligen Absich- ten zu unterscheiden. Schlüsselmerkmale, die in der Vergangenheit bei der Identifi- zierung von Phishing-Versuchen geholfen haben, wie z.B. Rechtschreibfehler oder die falsche Ansprache des Empfängers, gehören der Vergangenheit an. Insbesondere die Manipulation von Au- dio- und Videobotschaften, sogenannte Deepfakes, können zu Fehlinformationen und Betrug führen, z.B. Spear-Phishing. Schlüssel zum Erfolg und Herausforderungen Die erfolgreiche Integration von künst- licher Intelligenz im dynamischen Bereich der Cyberversicherung hängt von mehre- ren entscheidenden Faktoren ab. Der Goldstandard in der Branche ist ein kooperativer Ansatz, der die Daten- verarbeitungsfähigkeiten der KI mit der Intuition, Erfahrung und Kontextanalyse menschlicher Underwriter kombiniert. Wenn menschliche Experten ermutigt werden, KI-Modelle auf der Grundlage ihres Feedbacks kontinuierlich zu verbes- sern, wird diese Synergie verstärkt. Die Integration von KI in Underwriting- Prozesse ist jedoch komplex, insbesondere im Umgang mit vertraulichen Daten. Je tiefer die Integration ist, desto wichtiger ist es, die Vertraulichkeit der Daten zu wahren und die ethischen Konsequenzen des Einsatzes von KI zu berücksichtigen. Die Einhaltung internationaler Vorschrif- ten wie der Datenschutzgrundverordnung (DSGVO) ist besonders relevant, wenn personenbezogene und sensible Daten verarbeitet werden. Mit großer Macht kommt große Ver- antwortung. KI-Missbrauch, insbesonde- re im Cyberbereich, darf nicht ignoriert Die Anpassung und Feinabstimmung des KI-Modelltrainings ist insbesondere angesichts der sich ständig verändernden VersicherungsPraxis 2/2024 19 19 Dennis Bertram, Geschäftsführer, Mosaic Insurance Services Europe GmbH Der technologische Fortschritt und die zunehmende Komplexität des Risi- komanagements haben die Entwicklung der Cyberversicherungsbranche an einen spannenden Wendepunkt gebracht. Cy- berrisiken werden nach wie vor zu den größten Unternehmensrisiken gezählt, was unweigerlich die Nachfrage nach Cyberversicherungsprodukten und damit die Anzahl der Versicherungsanträge er- höht. Dies setzt die Underwriter und ihre traditionellen Underwriting-Methoden zunehmend unter Druck. Hier bieten KI- Sprachmodelle eine Lösung, die bereits heute teilweise menschliche Fähigkeiten übertreffen, die im Underwriting-Prozess relevant sind. KI-Fortschritte in der Cyberversicherung GPT-4 und andere KI-Sprachmodelle ver- ändern die Art und Weise, wie Fragebögen bzw. Risikoinformationen zur Cyberversi- cherung analysiert werden. Die Fähigkeit der KI, große Mengen unstrukturierter Daten fast augenblicklich zu verarbeiten, zu strukturieren und kategorisieren, kon- kurriert nun mit herkömmlichen Metho- den, die Tage oder sogar Wochen dauern können. Anstatt Risikoinformationen über mehrere Stunden manuell zu analysieren und mühsam zusammenzufassen, kann

VERANSTALTUNGEN In Kooperation mit GVNW-Fachtagung Employee Benefi ts am 11. Juni 2024 09.00 Uhr – 17.30 Uhr, Hilton Cologne inkl. Networking-Abend am 10. Juni 2022 ab 19 Uhr, Gaff el am Dom PROGRAMMAUSBLICK Moderation: Mathieas Kohl, Vorstandsmitglied GVNW Jürgen Dörendahl, le groupe bleu GmbH Auszüge aus dem Programm: 앫 Neue Impulse für die betriebliche Altersversorgung – Ansichten aus Sicht eines Großunternehmens Dr. Tamara Voigt, Bayer AG 앫 Die Arbeit der Fokusgruppe Altersversorgung – Ergebnisse und Refl exion 앫 Arbeitgeber-Attraktivität aus der Perspektive von Young Professionals – was ist der Klebstoff zur Mitarbeitergewinnung und -bindung? Prof. Dr. Jutta Rump, Hochschule für Wirtschaft und Gesellschaft Ludwigshafen Prof. Dr. Oskar Goecke, Technische Hochschule Köln 앫 Tickt die Generation Z wirklich anders? Worauf kommt es an? Roger Zimmerman, Next Entrepreneurs Organisation gUG Registrieren Sie sich jetzt und buchen Sie Ihr Hotelzimmer unter www.gvnw.de! MIT FREUNDLICHER UNTERSTÜTZUNG ÜBERNACHTUNG Im Tagungshotel Hilton Cologne steht den Teilnehmerinnen und Teilnehmern bis 13.05.2024 ein begrenztes Zimmerkontingent unter dem Stichwort „GVNW“ zur Verfügung. Der Preis pro Nacht im Einzelzimmer mit Frühstück liegt bei 161,12 €. Teilnahmegebühren (p.P. zzgl. MwSt.) Preis für Nicht-Mitglieder 425 € Reduzierter Preis für Mitglieder 225 € IHRE ANSPRECHPARTNERIN Annika Gemein Tel.: 0228 - 98 223 24 veranstaltungen@gvnw.de

TITELTHEMA IT-SICHERHEIT & CYBERVERSICHERUNG ist jedoch nur unter hohen IT-Sicherheits- auflagen möglich. neue Wettbewerber zusätzliche Kapazitä- ten geschaffen haben. Deshalb müssen Organisationen ihre Systeme kontinuierlich auf Schwachstel- len prüfen und diese beheben sowie ihre Infra struktur laufend an verschärfte ge- setzliche Rahmenbedingungen anpassen. Dafür bedarf es eines angemessenen Bud- gets. Ohne dieses haben IT-Sicherheits- verantwortliche wenig Spielraum, um das vom Versicherer geforderte Mindestniveau umzusetzen. Aber auch bei der Implementierung von konkreten Maßnahmen gibt es wiederkeh- rende Problemgebiete: Viele Firmen führen keine Phishing-Simulationen oder Mitarbei- terschulungen durch – dabei ist bekannter- maßen der Faktor „Mensch“ das größte Einfallstor für Cyber-Attacken. Auch fehlen häufig Business-Continuity-Pläne, die den Betrieb im Notfall aufrechterhalten sowie Schutzmechanismen für Remote Work, etwa die Multi-Faktor-Authentifizierung oder die Kontrolle über die Zugriffsberech- tigungen der Mitarbeiter und die betrieblich genutzten Privatgeräte. Schwierig ist dies oft für kleine und mittelständische Unternehmen, denn es mangelt dort häufig an Ressourcen, IT-Erfahrung und dem entsprechenden Budget. KMU profitieren somit besonders von den zusätzlichen Services der neuen Versicherungsplayer im Markt. 3. Versicherungsstrategie aufsetzen – neue Anbieter prüfen Aufgrund der wachsenden Zahl an Cyber-Angriffen mussten Versicherer in den letzten Jahren ihre Prämien deutlich erhöhen. Zugleich wurden die Kapazitä- ten knapp, weil die Nachfrage stieg und Versicherer vorsichtiger zeichneten. Diese Situation hat sich neuerdings gewandelt: Der Markt hat sich stabilisiert, auch weil Mit dem Markteinstieg der Neuanbie- ter ist auch der Wettbewerb im Hinblick auf die IT-Security-Dienstleistungen durch Versicherer deutlich gestiegen. Im Ange- bot sind nunmehr zahlreiche, teilweise sogar kostenlose Dienstleistungen, die Unternehmen helfen, zumindest einen Teil der hohen IT-Vorgaben zu erfüllen und eine Cyber-Versicherungslösung überhaupt erst in Anspruch nehmen zu können. Einige Beispiele: 1. Zugang zu einem Incident Response Netzwerk mit externen Dienstleistern – insb. Rechtsberatung, IT-Sicherheit und Krisenkommunikation – im Kri- senfall. Diese Leistung ist bereits seit einigen Jahren Bestandteil von Cyber-Versicherungen; 2. Sensibilisierung der Mitarbeiter durch gefälschte Phishing-E-Mails und regel- mäßige Schulungen durch Tutorials; 3. automatische, regelmäßige Prüfung der IT-Systeme: Wird eine Schwach- stelle gefunden, wird der IT-Manager benachrichtigt, um diese zu beheben; 4. Lieferantenmanagement: Analysen des Cyber-Risikoprofils von Zulieferern; 5. Active Directory Scans, die alle Be- rechtigungen auslesen und anhand von Reports etwaige Auffälligkeiten aufzeigen; 6. Vorlagen für Notfallpläne; 7. Best Practices und Guidelines für das richtige Management von Cyber-Risiken. Dennoch decken auch diese Sonder- leistungen nicht den gesamten Anforde- rungskatalog der Cyber-Versicherer ab. Nach wie vor bestehen Einschränkungen bei Angriffen auf digitale Lieferketten (z. B. Sublimitierungen) oder auf Cloud-Dienste. Dafür können Unternehmen auf alternative Lösungen zurückgreifen wie zum Beispiel Cloud-Ausfallversicherungen. Damit lassen sich cloud-bedingte IT-Ausfälle sowie mög- liche Haftungsverpflichtungen absichern. Neue Anbieter: Konkurrenz für die Etablierten Besonders attraktiv sind die innovati- ven Angebote für KMU – aber auch für Großunternehmen und Konzerne entsteht allmählich ein Markt. Obgleich diese mehr Inhouse-Ressourcen zur Verfügung haben, bedeuten die wachsenden Sicher- heitsansprüche doch hohe Kosten – nicht unmöglich, dass auch sie zunehmend auf Versicherer mit erweitertem Service-An- gebot zurückgreifen. In Zukunft werden die Anforderungen an IT-Security weiter steigen – vor allem langfristig werden sich Kunden jeder Grö- ße dorthin orientieren, wo sie maximale Unterstützung erhalten. Fazit Neue Anbieter entspannen den Markt in der Cyber-Versicherung. Nichtsdesto- trotz bleiben die Anforderungen an die technischen Schutzmaßnahmen hoch. Mehr noch: Unternehmen müssen zuneh- mend auf Angriffe auf Cloud-Dienstleis- ter oder sonstige Lieferanten gefasst sein und sich dahingehend zusätzlich absi- chern. Die Lösungen neuer Anbieter mit zusätzlichen Services und spezialisierten Cloud-Ausfallversicherungen werden im- mer beliebter. Mit professioneller Hilfe im Rahmen einer Cyber-Risikoquantifizie- rung lassen sich Marktangebote verglei- chen, die beste Option wählen und eine risikogerechte Versicherungsstrategie entwickeln. 쮿 Sie haben Feedback für uns? Schreiben Sie uns: gvnw@gvnw.de VersicherungsPraxis 2/2024 23 23

Einführung in die Cyberversicherung (Grundlagenseminar) GVNW-Referent: Tobias Heidemann 18. April 2024 120 Weiterbildungsminuten 10.00 Uhr bis 12.15 Uhr inkl. 15 Minuten Pause N E U Inhalte, u.a. • Was ist ein Cyberangriff? • Aktuelle Bedrohungslage • Aktuelle Lage am Cyberversicherungs-Markt Grundzüge des Versicherungsvertragsrechts GVNW-Referent: Marcus Bastian 23. April 2024 210 Weiterbildungsminuten 10.00 Uhr bis 15.00 Uhr inkl. 1,5 Std. Pause Inhalte, u.a. • Gesetzliche Grundlagen (VVG, BGB) • Allgemeine Versicherungsbedingungen (AVB) • Ausschlüsse, Obliegenheiten, Gefahrerhöhung PRÄSENZ-SEMINARE Internationale Versicherungsprogramme Dozent: Ilker Camuz 17. April 2024 345 Weiterbildungsminuten 09.30 Uhr bis 17.00 Uhr inkl. 1,5 Stunden Pause AU S G E B U C H T Inhalte, u.a. • Freedom of Services und Auslandspolicen innerhalb der EU/EFTA • Mastercover – Typische Klauseln innerhalb eines interna- tionalen Versicherungsprogramms Einführung in die betrieblichen Versicherungen GVNW-Referenten: Stefan Rosenowski, Marcus Bastian, Tobias Heidemann, Anna-Katharina Knörzer, Hans-Peter Veit 14. Mai 2024 285 Weiterbildungsminuten 09.30 Uhr – 16.30 Uhr inkl. 2 Std. Pause ONLINE-SEMINARE FÜR (QUER-)EINSTEIGER Teilnahmebedingungen: Einführung in die betrieblichen Versicherungen GVNW-Referenten: Marcus Bastian, Tobias Heidemann, Anna-Katharina Knörzer, Hans-Peter Veit 20. Februar 2024 300 Weiterbildungsminuten 10.00 Uhr – 16.30 Uhr inkl. 1,5 Std. Pause Inhalte, u.a. • Grundzüge des Versicherungsrechts (VVG) • Überblick zu einzelnen Versicherungssparten Einführung in die Haftpflichtversicherung GVNW-Referent: Marcus Bastian 9. April 2024 240 Weiterbildungsminuten 10.00 Uhr – 15.30 Uhr inkl. 1,5 Std. Pause Inhalte, u.a. • Grundzüge des Schadenersatzrechts (Haftungsrecht) • Betriebs- und Produkthaftpflichtversicherung • Umwelthaftpflicht- und Umweltschadenversicherung Teilnahmegebühren Online-Seminare Weiterbildungsminuten 120 210 240 300 Preis p.P. zzgl. MwSt. 250 € 440 € 500 € 625 € Sonderpreis für Mitglieder p.P. zzgl. MwSt. 190 € 330 € 380 € 475 € Teilnahmegebühren Präsenz-Seminare Preis p.P. zzgl. MwSt. Sonderpreis für Mitglieder p.P. zzgl. MwSt. Weiterbildungsminuten 285 700 € 550 € 345 825 € 645 € Programm: Cisco Webex (Einwahl per Link, nutzbar über jeden Browser, keine App-Installation o.ä. notwendig) IHRE ANSPRECHPARTNERIN Annika Gemein Tel.: 0228 - 98 223 24 veranstaltungen@gvnw.de Weitere Informationen zu allen Seminaren und zur Anmeldung finden Sie unter www.gvnw.de

des Sicherheitsrisikos. Demzufolge ist die ZeroTrust-Leitidee nicht nur für kritische Infrastrukturen, sondern generell für alle Unternehmen sinnvoll. Unbereinigte IT-Diagnose-Daten dürfen weder direkt noch indirekt in Drittländer übermittelt werden, die im Sinne des Da- tenschutzes kein gleichwertiges Schutz- niveau wie Deutschland, die EU oder die Schweiz besitzen (vgl. [Speichert 2023]). Dazu zählen auch USA, Indien oder Chi- na. Die führenden Software-Anbieter, insbesondere deren Support-, Entwick- lungszentren und Labore, befinden sich allerdings genau in diesen Lokationen. Jedoch auch in Ländern mit gleichwerti- gem Schutz niveau, wie der EU, bieten die zweckfremd in Dumps, Logs und Traces versteckt enthaltenen Daten eine daten- schutzrechtliche und sicherheitskritische Angriffsfläche und damit eine „Haftungs- fläche“ für Versicherungsgeber. Outsourcing und Cloud- Nutzung eliminieren die Risiken nicht, verschärfen sie eher Ein in die Cloud oder an Hosting-Provi- der ausgelagerter IT-Betrieb befreit nicht vom Risiko um IT-Diagnose-Daten. Auch dann nicht, wenn der Cloud-Anbieter identisch mit dem Software-Hersteller ist. Es wird eher komplizierter, weil der IT- Betrieb von Dritten betreut wird und damit fremde Administratoren, nämlich die der Provider, über den Upload der sensiblen Daten entscheiden. Der Fall eines kon- figurierten automatischen Uploads von IT-Diagnose-Daten ist als „worst case“ zu betrachten und darf im professionellen Umfeld überhaupt nicht stattfinden. Risikoabwägung und Risikoprüfung für Cyberversicherungen Sollten Cyberversicherer das Risiko der IT-Diagnose-Daten offen kommunizieren? Auf jeden Fall, und zwar im eigenen Inter- esse, denn das Risikovolumen ist beträcht- lich. Jeder IT-Betrieb erzeugt regelmäßig IT-Diagnose-Daten. Das Resultat beträgt im Durchschnitt circa 100 solcher kriti- schen Transfers pro Jahr und Firma bzw. Institution. Für die rund 50.000 Rechenzen- tren in Deutschland (siehe Bitkom-Studie 2022, vgl. [Bitkom 2022]) bedeutet dies ein Versand- und somit Risiko-Volumen von 5 Millionen IT-Diagnose-Dateien mit sensiblen Daten aus produktiven IT-Umge- bungen an Hersteller in der ganzen Welt. Das ist eine signifikante Größenordnung. Insider kennen die „Schätze“, die man in IT-Diagnose-Daten heben kann. In welcher Form und von wem genau sie in den internationalen Software-Zentren oder durch Hacker genutzt werden, lässt sich kaum nachvollziehen. Der Mangel an Transparenz und die Verharmlosung dieser – meist ungeschützten – Sicherheitslücke potenziert das Risiko. Da der Upload von IT-Diagnose-Daten Best Practice der IT ist, kann der Nachweis einer (Mit-)Schuldfra- ge des Versicherungsnehmers auch nur schwer geführt werden. Bis zur Veröffentlichung des Hacks bei Microsoft lief das Thema praktisch „unter dem Radar“. Im Gegensatz zu anderen Disziplinen, wie etwa dem Patch-Ma- nagement, war die Anonymisierung der sensiblen Informationen in Dumps, Logs und Traces bis dato noch keine techni- sche Standard-Maßnahme. Der Microsoft Cybercrime-Vorfall hat ein Umdenken er- zeugt und stellt nun auch die Cyberversi- cherungen vor neue Aufgaben. Schutzmaßnahmen für IT-Diagnose-Daten Man könnte annehmen, dass die Ver- schlüsselung der IT-Diagnose-Dateien bereits eine compliancegerechte Lösung bieten würde. Leider nein, denn die Dia- gnose-Daten werden im Support zur Feh- leranalyse entschlüsselt und verarbeitet. Demzufolge sollten sensible Daten in IT-Diagnose-Dateien vor dem Versand an- onymisiert oder falsifiziert werden. Dann sind sie auch nach der Entschlüsselung nicht sichtbar. Passiert dies nicht – und dies ist in der Praxis noch der Normal- fall –, begeht das Unternehmen einen Verstoß gegen das Datenschutzrecht und die Sicherheitsgesetze. Eine automatisier- te Anonymisierung und Falsifizierung der sensiblen Daten ist Stand der Technik und bietet einen hohen Grundschutz gegen die sicherheitsgefährdende Verletzung der DSGVO und vieler Sicherheitsregularien wie u.a. BSI-Gesetz (BSIG), IT-Sicherheits- gesetz 2.0 (IT-SIG 2.0) und die in nationale Umsetzung befindliche NIS2-RL bzw. das TITELTHEMA IT-SICHERHEIT & CYBERVERSICHERUNG IT-SIG 3.0. Als Bestandteil der Obliegen- heiten der Cyberversicherung hätten diese Schutzmaßnahmen einen risikomindern- den und sicherheitswirksamen Effekt. Aus Sicht technologischer Verfügbarkeit ist die Anonymisierung bereits „Stand der Technik“. IT-Diagnose-Daten können per lokaler Anonymisierung vor dem Trans- fer einfach und automatisiert bereinigt werden. Die IT-Diagnose-Daten würden sowohl von sicherheitskritischen als auch von datenschutzsensiblen Inhalten bereinigt. Dieses Elementarrisiko jeden IT-Betriebs ist zum Glück technisch ab- wendbar. Es ist also im Interesse der Ver- sicherungen wie auch deren Kunden, die Angreifbarkeit durch definierte präventive Maßnahmen zu verhindern. Neben der Cyber-Versicherung sind auch andere Versicherungen von den Risiken des unsachgemäßen Umgangs mit IT- Diagnose-Daten betroffen: IT-Haftpflicht, IT-bezogene Berufshaftpflicht und die D&O. Potenziell ist jedes Unternehmen mit einem IT-Betrieb juristisch angreifbar. Denn jeder IT-Betrieb erzeugt IT-Diagnose- Dokumente. Dies ist unverzichtbar. Sie werden zu den Herstellern hochgeladen. Dies ist ebenfalls unverzichtbar. Das Be- wusstsein hierüber und die Reduzierung des Sicherheits-, Datenschutz- und somit auch Versicherungsrisikos würde durch die Aufnahme technischer Maßnahmen, wie der Anonymisierung, gefördert werden. 쮿 Quellen: [Bitkom 2022] Bitkom e.V. (Hrsg.): Rechenzentren in Deutschland – Aktuelle Marktentwicklungen, Stand 2022. Borderstep Institut, Berlin, 2022, S. 8; https://w w w.bitkom.org/sites/main/!les/2022- 02/10.02.22-studie-rechenzentren.pdf. [CWE 2023] Common Weakness Enumeration: CWE- 528: Exposure of Core Dump File to anUnauthorized Control Sphere, 2023; https://cwe.mitre.org/data/ de!nitions/528.html. [Jahn 2023] Jahn, T., Kerkmann, C.: Softwarekonzern denkt nach Cyberangriff Sicherheit neu, Handelsblatt online 16.11.2023; https://www.handelsblatt.com/ technik/it-internet/microsoft-softwarekonzern-denkt- nach-cyberangriff-sicherheit-neu/29497982.html. [Knop 2023] Knop, D.: Gestohlener Microsoft-Schlüs- sel stammte aus einem Crash-Dump, heise news 07.09.2023; https://www.heise.de/news/Gestohlener- Microsoft-Schluessel-stammte-aus-einem-Crash Dump-9297240.html. [Speichert 2023] Speichert, H.: DSGVO-Haftungs- und Sicherheits-risiken durch Protokoll- und Diagnosedaten im IT-Betrieb. Datenschutz und Datensicherheit (DuD) 47, 04/2023, S. 229-232; https://www.enterprise- itsecurity.com/DuD-Artikel-Speichert-042023/GOV. [Steevens 2023] Steevens, P.: 60.000 geklaute Regie- rungsmails: Erste Zahlen nach Microsofts Cloud-Key- Debakel, heise news 29.09.2023; https://www.heise. de/news/60-000-geklaute-Regierungsmails-Erste-Zah- len-nach-Microsofts-Cloud-Key-Debakel-9321044. html?wt_mc=nl.red.security.security-nl.2023-10-02. link.link. VersicherungsPraxis 2/2024 27 27

UNSERE GVNW-FACHREFERENTEN - IHRE BERATER Marcus M. Bastian Referent Haftpfl icht / Financial Lines Tel.: 0228 / 98 223-32 E-Mail: marcus.bastian@gvnw.de Knut Bruckbauer Referent Personenversicherungen, bAV Tel.: 0228 / 98 223-30 E-Mail: knut.bruckbauer@gvnw.de Hans-Peter Veit Referent Sachversicherung Tel.: 0228 / 98 223-40 E-Mail: hanspeter.veit@gvnw.de Tobias Heidemann Referent, Cyber-, Vertrauensschaden- und Kreditversicherung Tel.: 0228 / 98 223-13 E-Mail: tobias.heidemann@gvnw.de Anna-Katharina Knörzer Referentin für Transport-, KFZ- und Rechtschutzversicherungen Tel.: 0228 / 98 223-14 E-Mail: anna-katharina.knoerzer@gvnw.de www.gvnw.de

Der versicherungsmathematische Un- terbau des Business Case für MIRIS kam hierfür von französischen Hochschulleh- rern. Auf dieser Basis haben dann sieben Konzerne die internen Genehmigungen erteilt, um am 29. März 2022 bereits MIRIS zu gründen. Damit begann nun die intensive Phase der Antragsstellung der Versicherungslizenz bei der National Bank of Belgium als zuständige Genehmi- gungsbehörde. Die Gründung eines Ver- sicherungsunternehmens ist sicher keine der einfacheren Aufgaben, doch fiel sehr positiv auf, dass die Beamten der Natio- nal Bank im Rahmen des unter Solvency II Möglichen sehr hilfsbereit waren und man den Eindruck gewinnen durfte, dass die National Bank ein positives Interesse an dieser Gründung in Belgien hatte. Auf solch einen positiven Spirit ange- sprochen, erwiderte hingegen eine Be- amtin der BaFin als deutsches Pendant zur belgischen National Bank, dass diese Haltung, die für einen Industriestandort Deutschland wichtig wäre, nicht so recht zu den Objektivitätspflichten des Beam- ten passt und daher von den zuständigen Ministerien zu fordern wäre. Zweifelsoh- ne eine korrekte Aussage, aber vielleicht auch eine, die symptomatisch ist in einer Zeit, in der Rufe nach Verbesserungen der Investitionsbedingungen am Standort Deutschland lauter werden. Die besten Pferde springen knapp, so ge- lang es MIRIS kurz vor Weihnachten 2022 die beantragte Versicherungslizenz zu er- halten und konnte damit ab 1. Januar 2023 für die beginnende Renewal-Periode Cyber- Versicherungspolicen für seine Mitglieds- unternehmen, die mittlerweile auf zwölf angewachsen waren, ausstellen. Schauen wir uns das Governance System der MIRIS an, so gibt es drei zentrale Einheiten: Das General Meeting ist die Hauptver- sammlung mit den üblichen Rechten und Pflichten. Es beschließt den Jahresab- schluss, ernennt die Mitglieder des Board of Directors und den Wirtschaftsprüfer, und beschließt mögliche Satzungsände- rungen. Es ist auch für die Aufnahme neuer Mitglieder sowie für den Ausschluss bestehender Mitglieder zuständig. Jedes Mitgliedsunternehmen hat eine Stimme. gibt es hier nur ein Board of Directors, wobei das zentrale Executive Manage- ment auch zugleich Mitglied im BoD ist. Eine Mindestanzahl der Direktoren von drei muss unabhängig sein, was insbe- sondere bedeutet, dass man nicht auf der Payroll eines der Mitglieder stehen darf. Insgesamt besteht das Gremium aus nicht weniger als neun und nicht mehr als 15 Direktoren. Das Executive Committee betreibt das tägliche Management der MIRIS und wird von dem Board of Direc- tors überwacht. Als dritte Institution gibt es Commit- tees, deren Aufgabe es ist das Board of Directors in der Entscheidungsfindung zu unterstützen. Entscheider bleibt aber stets das Board. Es gibt fünf Committees: Eines für die interne Revision (hier haben wir eine Überlappung mit der unter Solvency II geforderten entsprechenden Schlüssel- funktion, die einer separaten Person zu- gewiesen ist), das Finance and Investment Advisory Committee als Anlageausschuss, das Insurance Advisory Committee zu Un- derwriting-Themen, das Risk Committee (das neben der Schlüsselfunktion RM eine etwas grundsätzlichere Rolle mit Blick auf Themen wie Risikotragfähigkeit und Risi- koregister hat). Andere unter Solvency II geforderte Schlüsselfunktionen wie Com- pliance und versicherungsmathematische Funktionen sind ausgegliedert und der Charakter der Mutualisierung spielt bei diesen Schlüsselfunktionen keine Rolle. Schließlich gibt es noch das Technical Cy- ber Advisory Committee, von dem später noch mehr zu berichten sein wird. Aber schauen wir zunächst auf die Deckungsseite von MIRIS. Jedes Mitglied kann bis zu 25 Mio. Euro Deckung ab- rufen. Diese allerdings erst nach einem Selbstbehalt bzw. Attachment Point von 10 Mio. Euro. Dabei können die 25 Mio. Euro nach Belieben in einer ge- layerten Struktur eingesetzt werden, unter der Maßgabe, dass MIRIS in keinem Layer mehr als 50 % Kapazität gibt und keine Führung anbietet. Dies soll zumindest während der ca. vierjährigen Transitions- phase gelten, bis MIRIS eigene Underwri- ting-Expertise aufgebaut hat. AUS DER PRAXIS ENTWICKLUNGEN UND TENDENZEN Risk Management statt. Wie bereits bei Zachariah Allen ist die Kooperation beim operativen Risk Management, nunmehr übertragen in die Cyberwelt, der Ver- trauenskern. Dabei bedient sich MIRIS zunächst eines Dienstleisters (Wavestone), der die Maturität und Resilienz der Mit- glieder in Sachen Cyber Security beurteilt. Auf dieser Basis findet dann eine sog. Peer Review statt. Dies bedeutet, dass die CISOs, also die Chief Information Securi- ty Officer der Mitgliedsunternehmen, sich gegenseitig beurteilen. Dabei sind es 2-3 CISOs, die jeweils ein anderes Mitglied oder auch einen neuen Antragssteller ein- schätzen. Damit ist gewährleistet, dass in einem vertrauten Rahmen und auf Augen- höhe eine Diskussion über das Risiko und mögliche Verbesserungsmöglichkeiten stattfinden kann. Von zentraler Wichtigkeit ist nun auch, dass eben diese CISOs zugleich Mitglieder in dem Technical Cyber Advisory Commit- tee (TCAC) des Board of Directors sind. Damit soll gewährleistet werden, dass MI- RIS organisatorisch bestmöglich von der Cyber-Expertise der Mitglieder profitieren kann. Spannend ist dabei die Schnittstellte zwischen TCAC und IAC, also dem Insu- rance Advisory Committee, das sich mit Underwriting-Themen befasst. Denn so wird es möglich, das mitgliedsspezifische Cyberrisiko nicht nur bei der Prämien- findung einzupreisen. Vielmehr können so auch Verbesserungsvorschläge und deren Umsetzung mit Deckungsthemen verknüpft werden. Erinnert sei an dieser Stelle daran, dass dies aber in der An- fangsphase der MIRIS erst zur Marktreife entwickelt werden muss und MIRIS daher nur als Beteiligter bis max. 50 % pro Layer Risiken schreibt. Abschließend bliebt festzuhalten, dass Versicherungsvereine für die Industrie seit nunmehr drei Jahrhunderten eine wichtige Rolle spielen. Dabei schließen sie in der Regel eher Marktlücken, als dass sie direkt mit dem bestehenden Markt in Wettbe- werb gehen. Insbesondere die Finanzie- rungspflichten stellen die Mitgliedsfirmen vor Herausforderungen, die in verschiede- nen Mutuals auch unterschiedlich adres- siert werden. Anders als im deutschen Two-Tier- System mit Vorstand und Aufsichtsrat, Das Herz von MIRIS und der wirklich innovative Teil findet jedoch im Cyber Herzlichen Dank für Ihre Aufmerksam- 쮿 keit! VersicherungsPraxis 2/2024 31 31

VERANSTALTUNGEN PROGRAMM GVNW Mittelstandsforum 10. Juni 2024 mit anschließendem Networking-Abend in Köln V E R A N S TA LT U N G i n P r ä s e n z ! 11.30 Uhr 12.45 Uhr 13.30 Uhr 14.20 Uhr 14.50 Uhr 15.40 Uhr 16.30 Uhr 16.45 Uhr 17.15 Uhr Eintreffen und Mittagsimbiss Risikoeigentragung im KMU-Bereich Oskar Durstin, RiVer Consulting GmbH Digitalisierung und KI in der Kfz-Versicherung Joachim Prämaßing, Howden Deutschland AG Besuch der Ausstellung und Kaffeepause Ermittlung der Versicherungssumme in Theorie & Praxis Matthias Eichhorn, SÜDVERS GmbH Assekuranzmakler Daniel Reinhardt, Schunk GmbH Das Damoklesschwert PFAS in der Haftpflicht-Versicherung Claudia Sedlacek-Dechert, VSMA Besuch der Ausstellung und Kaffeepause Makler oder Agent? Unterschiede und Erfahrungsaustausch im Auswahlprozess Kristen Ruesges, Merz Pharma GmbH & Co. KGaA Marco Sonntag, FEV Group GmbH Michael Stahl, Autobahn Tank & Rast Gruppe GmbH & Co. KG Impulsvorträge zur Marktsituation Gewerbe-/Industrieversicherung im Mittelstand mit anschließender Podiumsdiskussion Moderation. Birger Jeurink, VSMA Teilnehmer. Bernd Einmold, Baloise Simone Heickenfeld, Gothaer Allgemeine Versicherung AG Sebastian Knauf, MRH Trowe Insurance Brokers GmbH Daniel Reinhardt, Schunk GmbH 18.00 Uhr Ende der Veranstaltung MIT FREUNDLICHER UNTERSTÜTZUNG Anmeldung ab sofort möglich unter www.gvnw.de! IHRE ANSPRECHPARTNERIN Teilnahmegebühren (p.P. zzgl. MwSt.) Sabine Stoffels Tel.: 0228 - 98 223 23 veranstaltungen@gvnw.de Preis für Nicht-Mitglieder 395 € Reduzierter Preis für Mitglieder 195 € Der Veranstalter behält sich Programmänderungen vor.

Although there are as many positions on this issue as insurance companies in Argentina, main trends are: a) PAIS tax is charged to client through an overrider on policy premium calculated as 25 % on net ceded premium. b) Some international insurance compa- nies have received support from their head office that is willing to absorb possible contingencies in exchange rate or taxes in their international program business in order to be able to give a seamless service to their in- ternational clients. c) Other international insurance com- panies have not received this support from head office for their international programs and are requesting insured to pay in dollars in a bank account outside Argentina (which is not that easy) or writing program policies which are ori- ginally in dollars in Argentine pesos at official FX at time of issuance which ge- nerate DIC/DIL issues since policy limits and deductibles are eroded by inflation. d) There is little or no appetite for faculta- tive business at present. Insurers might renew existing arrangements for long standing and cherished clients but might not renew marginal clients or take on new fac business. Coinsurance with local market capacities might be used to replace fac business. e) National government and provincial governments companies which were exempted from PAIS tax, were not willing to increase their facultative re- insurance portfolio, by taking over fac placements left out by private insurers. Consequences to the insureds of this situation The introduction of PAIS tax to re- insurance premium ceded by the insurers has resulted in a price increase for in- sureds on existing policies that goes from 0 % to 25 % depending on its insurers reinsurance structure. Further price increases may also be re- ceived as a consequence of insurers trying to recuperate losses caused by retroactive application of PAIS tax. Many reinsurers will avoid operations coming out of Argentina due to concern reinsurance premiums collection issues, so reinsurance market offer has been re- duced for risks in Argentina which pushes prices upwards. Insureds with “difficult” risks, i.e., out- side the scope of local automatic treaties, which have previously relied on facultative placement of their risks might find it hard to get a local cedant for their placement. Consequence to Brokers of this situation Brokers now have a harder time placing risks, especially the “difficult” ones. They need to explain to their clients that they will have to pay more for their insurance renewal due to a government tax on reinsurance which for most insureds makes no sense since they have no clue on insurance market internal structure. Insurance prices increases due to this situation further reduces demand for new sales. AUS DER PRAXIS ENTWICKLUNGEN UND TENDENZEN are more flexible than others regarding issuance of local policies for global pro- grams, so we recommend discussing pos- sible arrangements with several carriers to find the best possible solution. However, the PAIS Tax on ceded premium will be charged by all of them. c) Buying a local policy A possible alternative is buying a local policy for the Argentine subsidiary, remov- ing it from Global program. However, this solution might not be applicable to all risks since local market is not very large, high insured limits and “difficult” risks might not be easy to place locally. Costs and coverages that can be ob- tained locally might not be in line with global program. d) Excess layers / DIC DIL In case a local policy is bought no ex- cess layers or application of DIC/DIL can be used for the Argentina operation for the same reasons explained in a) since they would be a non-admitted policy on an Argentine located risk. Additionally, brokers get no commissions on the PAIS tax overrider, which reduces their commissions/premium sold rate. e) FINC Possible solutions for Global Programs for their risks in Argentina The above mentioned, issues have made the issuance of local polices for subsidiaries in Argentina which are covered under glo- bal programs harder and more expensive. We discuss some possible alternatives: a) Non admitted coverages. Argentina is a regulated insurance country. Risks in Argentina must by law be insured with an Argentine insurance com- pany, which might later reinsure abroad. There are fines established in local law for failing to comply with this so we can not recommend having non admitted policies for risks in Argentina. b) Shopping around Some international insurance compa- nies that have subsidiaries in Argentina Controlling company abroad can buy a Financial Interest of Controlling Company coverage in their home country for their Argentina operation, since they are not covering a risk in Argentina but only the effect a claim to their Argentina subsidiary in their balance sheet abroad. Limitations of this solution are: a) The amount of the claim to their subsi- diary might be quite different to the im- pact to the Head Office balance sheet. b) The cost of FINC coverage must be borne by Head Office not by local subsidiary. c) Claim recovery would be paid to Head Office. Getting the money into local subsidiary might have some difficulties and be subject to taxes. d) There will be no support by a local insurer to manage and adjust the loss since there is no local policy. VersicherungsPraxis 2/2024 35 35

Be the ONE. Werden Sie Teil eines großartigen Teams. SCHOTT ist ein international führender Technologiekonzern auf den Gebieten Spezialglas und Glaskeramik. SCHOTT – das sind mehr als 16.500 ExpertInnen in 34 Ländern der Welt - werden Sie ein Teil von uns! SachbearbeiterIn Konzernversicherungen (m/w/d)* Mainz, DE-RP, Germany unbefristet Vollzeit Die SCHOTT Insurance Risk Management GmbH ist der firmeneigene Versicherungsvermittler der SCHOTT AG, welcher sämtliche Versicherungsinteressen für den SCHOTT-Konzern weltweit wahrnimmt. Die folgende Stelle ist zum nächstmöglichen Zeitpunkt innerhalb unserer Gesellschaft mit Sitz in Mainz zu besetzen: Corporate Insurance Specialist/ SachbearbeiterIn Konzernversicherungen (m/w/d). Ihre Aufgaben  Koordination sowie Überprüfung des Vertragswesens  Unterstützung bei der Aufnahme von Schadensmeldungen  Übernahme unter anderem von Ab- und Anmeldungen der KFZ-Versicherungen von Dienstwagen, Unfallversicherungen, und Auslandskrankenversicherungen  Verwaltung von Statistiken und Dateien  Unterstützung bei anfallenden operativen Tätigkeiten Ihr Profil  Abgeschlossene kaufmännische Ausbildung  2-3 Jahre Berufserfahrung (vorzugsweise im Versicherungswesen (Industrieversicherung) wünschenswert Strukturierte und ergebnisorientierte Arbeitsweise Sehr gute EDV-Kenntnisse insbesondere MS Excel und MS PowerPoint Fließende Deutsch- und Englischkenntnisse in Wort und Schrift     Ausgezeichnete Kommunikationsfähigkeiten, eine schnelle Auffassungsgabe sowie eine ausgeprägte Kundenorientierung So offen SCHOTT für Ihre Weiterentwicklung ist, so umfangreich ist unser Angebot an zusätzlichen Benefits. Von einem aktiven Gesundheitsmanagement, flexiblen Arbeitszeiten, bis zur betrieblichen Altersvorsorge, alles abgestimmt auf Ihre Ziele und Bedürfnisse. Entdecken Sie eine besondere Unternehmenskultur, in der alle MitarbeiterInnen die Chance haben, sich zu entfalten. Bei SCHOTT erwartet Sie eine einzigartige Unternehmenskultur, in der Menschlichkeit, Diversität und Inklusivität großgeschrieben werden. Denn wir wissen: motivierte und engagierte MitarbeiterInnen sind Voraussetzung für den Erfolg unseres Unternehmens. *Bei SCHOTT zählt Ihre Persönlichkeit - nicht Geschlecht, Identität oder Herkunft.

AUS DER PRAXIS VERSICHERUNGSRECHTS-TIPP Für die europäische Regelung gilt zudem, was bereits bei Einführung des LkSG zu beobachten war: Große Unter- nehmen werden ihre sie selbst treffen- den Sorgfaltspflichten vertraglich auf die kleineren Zulieferer übertragen. Eine solche sogenannte „Vertragskaskade“ beabsichtigt die EU-Kommission sogar ausdrücklich und will diese zur Vermei- dung von Missständen erforderlichenfalls sogar vorschreiben (Art. 7 Abs. 2 b) des Richtlinienentwurfs). 2.2 Gesamte Wertschöpfungskette erfasst Während das LkSG den Fokus aus- schließlich auf die Zuliefererbeziehungen legte, müssen die betroffenen Unter- nehmen gemäß dem kommenden EU- Lieferkettengesetz auch die „nachge- lagerte Wertschöpfungskette“ im Blick behalten. Die Risikoanalyse muss also künftig auch erfassen, was mit ausge- lieferten Produkten passiert, wenn diese von Dritten transportiert, gelagert oder schließlich entsorgt werden. Ein passen- derer Begriff für die Richtlinie wäre also „EU-Wertschöpfungskettengesetz“. 2.3 Umwelt- und Klimaschutz Die CSDDD legt deutlicher als das LkSG einen Schwerpunkt auf die ökologischen Auswirkungen globaler Produktionspro- zesse. Unternehmen werden daher nicht nur die sozialen Aspekte ihrer Lieferbezie- hungen (etwa Einhaltung von Menschen- rechten, Arbeitsschutz, Verzicht auf Kin- derarbeit) auswerten und falls erforderlich anpassen müssen, sondern auch die Fol- gen ihrer Geschäftstätigkeit für die Um- welt und das Klima. Dem Vorschlag der Kommission zufolge sollen Unternehmen künftig einen Plan aufstellen, wie sie ihr Geschäftsmodell mit dem 1,5-Grad-Ziel des Pariser Klimaabkommens in Einklang bringen wollen – und diesen Plan auch umsetzen (die Umsetzungspflicht war in den Trilog-Verhandlungen zuletzt strittig, wird nun aber kommen). 2.4 Haftung der Unternehmen Das deutsche Lieferkettengesetz sah keine eigene Haftungsgrundlage vor, auf deren Basis Betroffene Schadensersatz gegen Unternehmen geltend machen können. Das wird sich durch die euro- päische Gesetzgebung nun ändern: Die CSDDD schreibt vor, dass die EU-Mit- gliedsstaaten eine Haftungsgrundlage schaffen müssen, damit Unternehmen, die die ihnen auferlegten Sorgfaltspflich- ten nicht erfüllen, auch zivilrechtlich dafür in Rechenschaft gezogen werden (Art. 22). Zwar sollen Gesetzgeber sicherstellen, dass Unternehmen nicht vollumfänglich für die Verfehlungen ihrer Geschäftspart- ner haften, sofern sie selbst Maßnahmen ergriffen haben, um bekannte Missstände abzustellen. Dennoch wird hier im Grund- satz Tür und Tor geöffnet für Ansprüche (vermeintlich) Geschädigter – etwa An- gestellte oder Anwohner von Zulieferern im Drittstaat – gegen europäische Unter- nehmen vor hiesigen Gerichten. Die po- tenziellen Haftungsrisiken werden damit vollends unkalkulierbar. 2.5 Haftung der Unternehmensleiter Artikel 25 des Richtlinienentwurfs sieht eine explizite Haftung des Vorstands vor: (1) Die Mitgliedstaaten stellen sicher, dass die Mitglieder der Unterneh- mensleitung […] bei Ausübung ihrer Pflicht, im besten Interesse des Un- ternehmens zu handeln, die kurz-, mittel- und langfristigen Folgen ihrer Entscheidungen für Nachhaltigkeitsas- pekte berücksichtigen, gegebenenfalls auch die Folgen für Menschenrechte, Klimawandel und Umwelt. (2) Die Mitgliedstaaten stellen sicher, dass ihre Rechts- und Verwaltungs- vorschriften übereinen Verstoß gegen die Pflichten der Mitglieder der Unter- nehmensleitung auch für die Bestim- mungen dieses Artikels gelten. Dieser Satz hat es in sich, denn er bedeutet de facto die Einführung einer Managerhaftung für „Menschenrechte, Klimawandel und Umwelt“. Entschei- dungsträger ebenso wie Juristen dürften deshalb mit besonderer Spannung beob- achten, in welcher Form diese Richtlini- envorgabe im deutschen Organhaftungs- recht Einzug halten wird. 2.6 Höhere Bußen Im Fall einer Verletzung von Sorgfalts- pflichten nach dem LkSG kann die BAFA gegenwärtig gegenüber Unternehmen mittlerer Größe (bis EUR 400 Mio. Jahres- umsatz) Bußgelder bis EUR 800.000,00 verhängen. Größeren Unternehmen dro- hen bei schweren Verstößen Geldbußen bis zu 2 % des weltweiten Jahresumsatzes. Die Pläne der EU gehen aber noch über die Haftung der Unternehmen hinaus. Der Kommissionsentwurf der CSDDD sah noch keine konkrete Bußgeldhöhe VersicherungsPraxis 2/2024 39 39

SPECIALIST CORPORATE INSURANCE (W/M/D) WEITERE INFORMATIONEN Bei Beiersdorf schätzen wir Vielfalt und möchten allen Bewerber*innen die gleichen Chancen in unserem Auswahlprozess geben – unabhängig von z.B. Geschlecht, sexueller Identität, Nationalität, Ethnizität, Religion oder Weltanschauung, Behinderung oder Alter. Bitte teilen Sie uns in Ihren Unterlagen daher nur Informationen und Daten mit, die zur Beurteilung Ihrer Bewerbung wichtig sind (Lebenslauf, Gehaltsvorstellungen sowie relevante Zeugnisse und Zertifikate). Bei Rückfragen steht Ihnen unser*e Recruiter*in Nadine Lohmann jeden Dienstag von 11 bis 12 Uhr unter der Telefonnummer +494049092870 zur Verfügung. Unsere Benefits finden Sie hier: Das bieten wir – unsere Benefits | Beiersdorf JOB-DETAILS Vertragsart: Unbefristet / Vollzeit Land / Stadt: Deutschland / Hamburg Unternehmen: Beiersdorf AG Job ID: 14528 Wir bei Beiersdorf möchten dazu beitragen, dass sich Menschen in ihrer Haut wohlfühlen – und unser Engagement geht weit über die Pflege der Haut hinaus. Seit 140 Jahren entwickeln wir innovative Haut- und Körperpflegeprodukte für bekannte Marken wie NIVEA, Eucerin, La Prairie, Hansaplast und Labello. Wir handeln nach unserem Purpose WE CARE BEYOND SKIN und übernehmen Verantwortung für unsere Verbraucher*innen, unsere Mitarbeitenden, die Umwelt und die Gesellschaft. Hinter jeder Marke, jedem Produkt und jedem unserer Erfolge stehen unsere mehr als 20.000 Mitarbeitenden. Für sie leben wir eine integrative Kultur des Respekts und Vertrauens, die sich stark an unseren Werten – CARE, COURAGE, SIMPLICITY und TRUST – orientiert. Außerdem setzen wir auf Vielfalt, indem wir die Einzigartigkeit jedes*r Einzelnen schätzen und uns verpflichten, jedem*r die gleichen Chancen zu geben. IHRE AUFGABEN  Vertragsbetreuung und Verantwortung der internationalen Versiche- rungsprogramme mit Schwerpunkt Haftpflicht und Financial Lines  neben der kontinuierlichen Weiterentwicklung dieser Sparten, gehören zu Ihren Aufgaben die jährlichen Vertragsverhandlungen, interne Prämienallokation sowie die Schadenbearbeitung inkl. deren Koordinierung, in Zusammenarbeit mit unserem globalen Makler  Vorbereitung von Entscheidungsvorlagen  sie koordinieren und bereiten Risikodialoge mit Risikoträgern vor  sie wirken als Teil der Versicherungsabteilung an der Optimierung von Prozessen aktiv mit und bringen eigene Ideen ein  sie sind Ansprechpartner für alle Versicherungsfragen in ihrem Verantwortungsbereich unserer Konzerngesellschaften aus dem In- und Ausland IHR PROFIL  abgeschlossene Ausbildung zum Versicherungskaufmann, zum Versicherungsfachwirt, zum Versicherungsbetriebswirt oder vergleichbare Qualifikation  mehrjährige Erfahrung im Bereich Industrieversicherung mit Schwerpunkt Haftpflichtversicherung und Financial Lines  selbständige und eigenverantwortliche Arbeitsweise  analytisches und strategisches Denkvermögen  verhandlungssichere Deutsch- und Englischkenntnisse in Wort und Schrift  sicherer mit Umgang mit MS Office  ausgeprägte Kommunikations- und Teamfähigkeit

MARKT UND NEWS International SOS Risk Map 2024: Bedrohung durch den Klimawandel und wachsende Sicherheits- und Gesundheitsrisiken Die jährlich aktualisierte Welt-Risikokarte von In- ternational SOS zeigt das Risikoniveau für Medizin und Sicherheit in allen Ländern weltweit – Erstmalig enthält die Risk Map Daten zu klimabedingten Risiken. International SOS, der weltweit führende Anbieter von Si- cherheits- und Gesundheitsdienstleistungen, hat heute seine jährliche interaktive „Risk Map 2024“ veröffentlicht. Die Risi- kokarte unterstützt Unternehmen und ihre mobilen Mitarbeiter, einen besseren Überblick über das Risikoniveau einzelner Länder weltweit zu bekommen. Die Risk Map 2024 bietet Unternehmen grundlegende me- dizinische und sicherheitsrelevante Risikoeinstufungen, die die Auswirkungen störender Ereignisse widerspiegeln, wie etwa die anhaltenden Konflikte in der Ukraine und zwischen Israel und der Hamas. Der Einsatz datengestützter Instrumente wie der Risikokarte kann Unternehmen dabei helfen, ihrer Fürsorgepflicht gegenüber ihren Mitarbeitern nachzukommen und sich auf sich ändernde Sicherheits-, Gesundheits- und Klimarisiken weltweit einzustellen. Zum ersten Mal enthält die Risk Map eine Ebene, die auf kli- masensible Risiken eingeht. Diese basiert auf Daten von INFORM – einer Zusammenarbeit zwischen dem Euro-Mediterranean Cen- ter on Climate Change und der Gemeinsamen Forschungsstelle der Europäischen Kommission – die quantifizierte Schätzungen liefern, wie sich der Klimawandels auf das künftige Risiko von humanitären Krisen und Katastrophen auswirkt. Der Risikoindex soll als Grundlage für politische Entscheidungen in den Bereichen Klimaschutz und -anpassung, Katastrophenschutz, nachhaltige Entwicklung und humanitäre Hilfe dienen, um die Widerstands- fähigkeit gegenüber den negativen Auswirkungen des Klima- wandels zu erhöhen. Die Risikokarte 2024 kann von Unternehmen als Instrument verwendet werden, um sich einen ersten Überblick über die Ri- sikolandschaft weltweit zu verschaffen. Klimawandel erhöht Gesundheitsrisiken Im Vergleich zum Vorjahr hat International SOS 80 % mehr medizinische Warnmeldungen im Zusammenhang mit dem Kli- mawandel an Kunden versendet. Denn mit den Temperaturen steigen auch die Gesundheitsrisiken auf der ganzen Welt. Auch Unternehmen haben ihrerseits in dieser Frage um mehr Unter- stützung gebeten Dieser Anstieg zeigt, wie wichtig das Thema für Organisationen und ihre Führungskräfte ist. International SOS Risk Map Quelle: International SOS VersicherungsPraxis 2/2024 43 43

Home of our Clients, Home of our Employees Wer wir sind Wir sind ein kleines, aber feines Maklerhaus mit Sitz in Frankenthal in der Vorderpfalz, verbunden mit dem international tätigen KSB-Konzern und somit vor allem auf die Betreuung global agierender Konzerne spezialisiert. Wir nehmen alle Aufgaben des Versicherungsmanagements inklusive Risikoberatung für die KSB-Gruppe wahr, bieten unsere Services aber auch anderen international tätigen Unternehmen an. Stellenausschreibung Für unseren wachsenden Bereich der nationalen und internationalen Industrie- und Konzernkunden, suchen wir ab sofort in Frankenthal (Pfalz) eine/n Senior Spartenverantwortliche(n) zur Betreuung und Bearbeitung des Vertrags- und Schadenmanagements in den Sparten Haftpflicht und Financial-Lines. Ihr Tätigkeitsgebiet umfasst  Die umfassende Betreuung unserer Konzernkunden sowie einzelner Industriekunden mit dem Schwerpunkt in der industriellen Haftpflichtsparten und Financial-Lines  Sie sind kommunikationsstark und arbeiten gerne in einem Team, welches Sie mit eigenen Ideen nach vorne bringen wollen  Sie verfügen über gute englische Sprachkenntnisse (Wort und Schrift)  Kunden- und Serviceorientierung sowie Arbeitsqualität haben für Sie einen hohen Stellenwert Was wir bieten  Eine abwechslungsreiche und spannende Tätigkeit im Umfeld einer globalen Unternehmensgruppe inkl. möglichen Auslandsaufenthalten  Eine umfassende Einarbeitung durch die Teammitglieder  Flache Hierarchien, kurze Entscheidungswege und ein toller Teamspirit erwarten Sie  Wir halten werthaltige Weiterbildungen unserer Mitarbeitenden für wichtig und fördern diese  Arbeitgeberfinanzierte Altersvorsorge, denn die Versorgung unserer Mitarbeitenden ist uns wichtig  ÖPNV-Anschluss (Bahnhofsnähe) sowie gute Erreichbarkeit mit Kfz; Mitarbeiterparkplätze  attraktive Vergütung inklusive Weihnachts- und Urlaubsgeld  moderne technische Ausstattung und die Möglichkeit zum mobilen Arbeiten Interessiert? Dann senden Sie bitte Ihre Bewerbungsunterlagen unter Angabe Ihrer Gehaltsvorstellung und des frühestmöglichen Starttermins an: bewerbung@palatina-service.com Bei weiteren Fragen steht Ihnen Herr Borris Yauschew unter der Rufnummer +49 6233 51190-36 gerne zur Verfügung. Wir freuen uns auf Ihre Bewerbung!  Konzeption, Ausschreibung, Verhandlung und Umsetzung internationaler Versicherungsprogramme  Alle Tätigkeiten rund um die fachlichen Themen inklusive Schadenbearbeitung  Verhandlungen, Korrespondenz und Kommunikation mit Kunden, Versicherern, internationalen Netzwerkpartnern und Dienstleistern  Mitwirkung an Projekten zur Weiterentwicklung unseres Unternehmens  Unterstützung unserer Kunden vor Ort (global) in Vertrags- und Schadenangelegenheiten Sie bringen mit  eine abgeschlossene Berufsausbildung oder ein Studium im Versicherungswesen und Berufserfahrungen in mindestens einer der Sparten der industriellen Versicherungen, bevorzugt mit Schwerpunkt in der Haftpflicht-Versicherung  IT-Affinität und Vertrautheit mit den gängigen Office-Programmen  Sie arbeiten selbstständig und zielstrebig und zeichnen sich durch Einsatz, Dynamik und Flexibilität aus • • • • • • • • • • • • • • • • • • • •