Nach Darstellung von Paul Furtado hat sich der Cyberversicherungsmarkt in mehreren Punkten verändert, die viele Versicherungsnehmer und Interessenten womöglich nicht im Blick haben. Positiv sei, dass die Preisentwicklung sich beruhigt habe. „Die Preise gehen zurück, und wir sehen das im gesamten Markt“, sagte Furtado. Aus seiner Sicht haben die Versicherer ihre Modelle inzwischen besser im Griff.

Die größere Veränderung sieht Gartner jedoch bei den Ausschlüssen. „Die Liste der Ausschlüsse wächst immer weiter“, sagte Furtado. Als Beispiele nannte er Handlungen von Mitarbeitern, veraltete Software, das Versäumnis, Sicherheitskontrollen aufrechtzuerhalten, sowie Fusionen und Übernahmen. Solche Klauseln könnten dazu führen, dass eine Police im Ernstfall nicht zahlt.

Besonders heikel sind laut Furtado Ausschlüsse rund um Social Engineering. Er schilderte den Fall, dass jemand eine Person in der Finanzabteilung dazu bringt, eine Million Dollar zu überweisen, ohne in ein System einzudringen, die Kontrolle darüber zu übernehmen oder sich als jemand anderes auszugeben. Dann handle es sich nach dieser Logik nicht um Cyberkriminalität, sondern um ein Versagen interner Kontrollen. Genau solche Formulierungen könnten Kunden überraschend treffen.

Wie groß die praktische Relevanz solcher Ausschlüsse ist, unterstrich Bryson Byrd, Cybersicherheitsberater bei Huntress, gegenüber Dark Reading. ClickFix-Angriffe, bei denen Angreifer eine Zielperson dazu bringen, schädliche Befehle zur Behebung einer fingierten Fehlermeldung auszuführen, seien „weit verbreitet“. Nach Angaben von Huntress machten sie 2025 52 Prozent der vom Anbieter beobachteten Cyberangriffe aus. Byrd ordnet ClickFix als Social-Engineering-Angriff ein, ähnlich wie Phishing, weil die Methode Menschen zu schädlichen Handlungen verleite, die sie nicht als gefährlich einschätzen.

Auch Ausschlüsse für Kriegshandlungen und großflächige Cyberereignisse haben sich laut Furtado verschoben. Lloyd’s of London habe Definitionen seiner „Cyberkrieg“-Klauseln veröffentlicht, die die meisten Versicherer übernommen hätten. Dadurch könnten bestimmte Arten staatlich unterstützter Angriffe vom Versicherungsschutz ausgenommen sein. Hinzu kommen Klauseln für Massenereignisse im Cyberraum, etwa einen großflächigen Ausfall eines großen Cloud-Anbieters. Solche Regelungen könnten Auszahlungen um bis zur Hälfte reduzieren.

Furtado riet deshalb zu sehr konkreten Gesprächen mit Versicherern, Maklern oder idealerweise direkt mit den Underwritern der Police. Unternehmen müssten genau klären, ob sie etwa bei einem Angriff durch einen Nationalstaat tatsächlich gedeckt wären und wovon diese Antwort im Detail abhängt.

Verändert hat sich laut Furtado auch die Struktur großer Policen. Früher habe Lloyd’s of London Deckungssummen von 100 Millionen Dollar unkompliziert übernommen. Heute müssten Unternehmen, die 100 Millionen Dollar Absicherung suchten, eher vor mehreren Versicherern darlegen, warum diese das Risiko gemeinsam tragen sollten.

Wenig beachtete Details betreffen zudem Sublimits. Sie legen fest, welcher Teil einer Auszahlung etwa für einen Breach Coach oder für einen DFIR-Dienstleister verwendet werden darf. Eine Police über 10 Millionen Dollar bedeute daher nicht, dass dieser gesamte Betrag frei an einen Anbieter wie Mandiant fließen könne.

Wichtig sei außerdem eine sogenannte Tail Coverage. Furtado beschrieb den Fall, dass ein Unternehmen erst im Nachhinein von einem Einbruch erfährt, inzwischen aber den Versicherer gewechselt hat. Dann könne weder die neue noch die alte Police greifen. Tail Coverage verlängert in solchen Fällen den zeitlichen Nachlauf der Deckung.

Auf die Vertragsgestaltung im Cyberversicherungsmarkt hat Künstliche Intelligenz laut Furtado bislang noch keinen wesentlichen Einfluss. Der Markt beobachte das Thema jedoch genau. „[KI] hat noch keine wesentliche Verschiebung ausgelöst — noch nicht“, sagte er.