Cloud-Ausfälle: Wenn das Kumulrisiko der Cyberversicherer zum Risiko des Unternehmers wird

Betroffen waren nach Angaben des Anbieters 141 verschiedene Cloud-Dienste – von Datenbanken über Authentifizierungssysteme bis zu Konsolen für die IT-Administration. Für Geschäftsführungen, IT-Leitungen und CFOs im Mittelstand ist ein solcher Vorfall weit mehr als eine technische Randnotiz: Er zeigt exemplarisch, wie aus einer einzelnen Störung bei einem Cloud-Anbieter ein branchenübergreifendes Kumulrisiko für die Cyberversicherung wird – und wie schnell dieses Risiko letztendlich Unternehmen selbst betrifft, wenn Cloud-Abhängigkeit und Versicherungsschutz nicht zusammenpassen.

Auf einen Blick

• Cloud-Infrastruktur ist hochgradig vernetzt und auf wenige globale Anbieter konzentriert – ein einzelner technischer Defekt kann Hunderte Dienste gleichzeitig beeinträchtigen
• Cyberversicherer stufen Cloud-Ausfälle neben großflächigen Malware-/Ransomware-Wellen als eines der zentralen Akkumulationsrisiken der Branche ein
• Weil Risikoträger dieses Kumulrisiko begrenzen müssen, verschiebt sich ein Teil des Restrisikos strukturell zurück auf die Unternehmen
• Klassische Cyberpolicen greifen nicht automatisch 
• Resilienzmaßnahmen und eine gezielte Absicherung der abhängigen Betriebsunterbrechung reduzieren das unternehmerische Restrisiko spürbar

Wenn die Cloud stillsteht, steht auch das Unternehmen still

Der Vorfall vom 19. und 20. Oktober 2025 in der AWS-Region „US-East-1“ (Northern Virginia) ist gut dokumentiert und lässt sich exemplarisch nachzeichnen: Auslöser war laut dem Betreiber ein latenter Fehler im automatisierten DNS-Management-System des Datenbankdienstes DynamoDB. Dieser vermeintlich kleine, endogene Defekt sorgte dafür, dass Systeme den Datenbankdienst zeitweise nicht mehr auffinden konnten. Von dort breitete sich die Störung über mehrere technische Schichten aus: Zunächst waren Dienste betroffen, die unmittelbar auf DynamoDB aufsetzen, anschließend Rechenkapazitäten (EC2) und Lastverteiler (Network Load Balancer), die auf diesen Diensten aufbauen. In der Spitze berichteten Nutzerinnen und Nutzer von erhöhten Fehlerraten, Latenzen und Anmeldeproblemen. Auch nachdem die eigentliche Ursache behoben war, dauerte es Stunden, bis alle nachgelagerten Dienste wieder zuverlässig und sicher liefen.

Ein vergleichbares Muster zeigte auch bereits ein früherer Vorfall vom 25. November 2020, bei dem eine Kapazitätserweiterung im Streaming-Dienst Kinesis desselben Anbieters kaskadierende Störungen bei angeschlossenen Diensten auslöste, unter anderem bei der Nutzeranmeldung über den Identitätsdienst Cognito. Beide Ereignisse verdeutlichen ein grundlegendes Muster, das im Whitepaper „Understanding systemic cloud events: An overview for insurance professionals“ der Cyber Industry Steering Group (getragen von AXIS, Gallagher Re, Moody’s und Munich Re) systematisch beschrieben wird: Cloud-Ausfälle entstehen selten durch einen einzigen katastrophalen Ausfall, sondern breiten sich schrittweise über die Schichten physische Infrastruktur, Steuerungsebene, Middleware und Anwendungsebene aus – oft ausgelöst durch unscheinbare technische Änderungen, nicht zwingend durch einen Cyberangriff.

Warum sich das Risikobild für die Cyberversicherer grundlegend verändert

Moderne Cloud-Infrastruktur ist auf Ausfallsicherheit ausgelegt: Rechenzentren werden in „Availability Zones“ gebündelt, mehrere Zonen bilden eine „Region“. Diese Architektur schützt jedoch in erster Linie vor lokalen, standortbezogenen Ausfällen – nicht zwangsläufig vor einer Störung, die den Cloud-Anbieter als Ganzes betrifft. Der eingangs beschriebene Vorfall vom Oktober 2025 zeigte das deutlich: Beeinträchtigt waren nicht nur Nutzerinnen und Nutzer in der unmittelbar gestörten Region, sondern – vermittelt über zentrale, global genutzte Steuerungsdienste, die an dieser Region hängen – auch Kundinnen und Kunden anderer Regionen. Redundanz über mehrere Availability Zones und Regionen reduziert also vor allem das Standortrisiko, nicht die grundsätzliche Abhängigkeit von einem einzelnen Anbieter. 

Hinzu kommt eine strukturelle Konzentration: Ein Großteil der geschäftskritischen IT-Infrastruktur europäischer Unternehmen läuft heute über eine überschaubare Zahl global agierender Cloud-Anbieter. Nach Angaben des Marktforschungsunternehmens Synergy Research entfallen rund 70 Prozent des europäischen Cloud-Marktes auf die drei US-amerikanischen Hyperscaler Amazon, Microsoft und Google. 

Für Cyberversicherer ergibt sich daraus ein grundsätzlich anderes Risikoprofil als für einen Sachversicherer bei klassischen Naturgefahren: Während sich beispielsweise Sturm- oder Hochwasserrisiken geografisch abgrenzen und modellieren lassen, kann eine einzelne technische Störung bei einem Hyperscaler binnen Minuten Unternehmen unterschiedlichster Branchen und Regionen gleichzeitig treffen. Munich Re bezeichnet Cloud-Ausfälle in diesem Zusammenhang als eines der bedeutendsten Kumulationsrisiken für den Cyberversicherungsmarkt und weist darauf hin, dass die Komplexität, Größe und starke Vernetzung moderner Cloud-Umgebungen es erschweren, Ausfälle vorherzusagen und ihre finanziellen Folgen über viele verbundene Unternehmen hinweg zu quantifizieren.

Wie konkret sich ein solches Ereignis in Versicherungsschäden niederschlagen kann, zeigt eine erste Einschätzung des auf Cyberrisiken spezialisierten Analysehauses CyberCube zum Oktober-Vorfall: Es bezifferte die versicherten Schäden auf eine Bandbreite von 38 bis 581 Millionen US-Dollar; betroffen waren nach dieser Schätzung rund 70.000 Organisationen weltweit, darunter mehr als 2.000 Großunternehmen. Zugleich stufte CyberCube die Auswirkungen auf den Cyberversicherungsmarkt insgesamt als moderat ein – ein Hinweis darauf, dass Risikoträger derartige Szenarien in ihrer Preisgestaltung bereits einkalkulieren, auch wenn die Belastung im Einzelfall erheblich sein kann.

Das Risiko des Risikoträgers ist das Risiko des Unternehmers

Für Versicherer ist die Frage nach Cloud-Kumulrisiken zunächst eine Frage der eigenen Portfoliosteuerung: Wie viele Versicherungsnehmer könnten von ein und demselben Ausfall gleichzeitig betroffen sein, und welche Gesamtschadenlast entstünde daraus? Weil sich dieses Akkumulationsrisiko nur eingeschränkt modellieren lässt, reagieren Risikoträger mit klassischen Steuerungsinstrumenten: niedrigere Sublimits für Betriebsunterbrechungen durch Drittanbieter, Wartezeiten bis zum Einsetzen der Deckung, enger gefasste Bedingungen oder Ausschlüsse für Ausfälle ohne erkennbaren Cyberangriff.

Genau an dieser Stelle wird aus dem Risiko des Risikoträgers unmittelbar das Risiko des Unternehmers: Jede Einschränkung, mit der ein Versicherer sein eigenes Kumulrisiko begrenzt, verringert im gleichen Maße den Schutz, den das versicherte Unternehmen im Ernstfall erhält – und zwar genau dann, wenn viele andere Unternehmen gleichzeitig betroffen sind und der Schaden am wenigsten über den Markt verteilt werden kann. Wer die eigene Cloud-Abhängigkeit nicht kennt und seinen Versicherungsschutz nicht gezielt darauf abstimmt, trägt das verbleibende betriebswirtschaftliche Risiko eines Cloud-Ausfalls im Zweifel vollständig selbst.

Typische Deckungslücken in der Praxis

• Abhängige Betriebsunterbrechung nur eingeschränkt versichert: Deckung für Betriebsunterbrechungen infolge des Ausfalls eines externen Dienstleisters ist in vielen Cyberpolicen optional und ggf. mit deutlich niedrigeren Sublimits versehen als die Hauptdeckung für eigene Cybervorfälle
• Wartezeiten von 6 bis 24 Stunden: Bevor Leistungen aus der Betriebsunterbrechungsdeckung überhaupt einsetzen, muss die vereinbarte Wartezeit verstrichen sein. Kurze, aber geschäftskritische Ausfälle bleiben dadurch häufig vollständig unversichert
• Trigger „Cyberangriff“ passt nicht immer zur Ausfallursache: Nicht jeder Ausfall eines Cloud-Dienstes triggert die Cyber-Police, es kommt auf den Fall und die Deckung an 
• SLA-Gutschriften ersetzen keinen Schadenersatz: Von Cloud-Anbietern bei Verletzung ihrer Verfügbarkeitszusagen gewährten Gutschriften auf künftige Rechnungen sind i.d.R. keine Entschädigung für entgangenen Umsatz oder Mehrkosten beim Kunden

Weiter kommt es stark auf die Obliegenheiten, die vorvertraglichen Angaben und die Umsetzung bei Einkauf der Deckung an. Wie genau Gerichte im Schadenfall prüfen, ob Risikofragen bei Vertragsschluss korrekt beantwortet wurden, zeigt ein Urteil des Landgerichts Kiel vom 23. Mai 2024 (Az. 5 O 128/21): Das Landgericht Kiel hat entschieden, dass eine Cyberversicherung nach einem Hackerangriff die Leistung verweigern darf, wenn der Versicherungsnehmer bei Vertragsschluss Risikofragen zur IT-Sicherheit bewusst „ins Blaue hinein“ und damit falsch beantwortet hat. 

Der regulatorische Rahmen verschärft sich

Cloud-Ausfälle sind nicht nur ein Thema für die Betriebsunterbrechungsdeckung – sie berühren zunehmend auch unmittelbare regulatorische Pflichten. Nach Art. 32 DSGVO müssen Unternehmen, die personenbezogene Daten verarbeiten, technische und organisatorische Maßnahmen treffen, die eine rasche Wiederherstellung der Verfügbarkeit und des Zugangs zu diesen Daten nach einem physischen oder technischen Zwischenfall sicherstellen. Ein länger andauernder Cloud-Ausfall kann damit nicht nur zu einer Betriebsunterbrechung führen, sondern selbst datenschutzrechtlich relevant werden – bei einem tatsächlichen Verlust der Verfügbarkeit personenbezogener Daten unter Umständen sogar mit einer Meldepflicht gegenüber der Aufsichtsbehörde.

Hinzu kommt ein sich verdichtender regulatorischer Rahmen speziell für IT- und Cloud-Resilienz: Seit dem 6. Dezember 2025 ist in Deutschland das NIS2-Umsetzungsgesetz in Kraft. Es verpflichtet nach aktuellen Schätzungen mehr als 20.000 Unternehmen – darunter viele Familienunternehmen – zu angemessenen Risikomanagementmaßnahmen, zu denen ausdrücklich auch Lieferkettensicherheit sowie Business-Continuity- und Krisenmanagement zählen. Für regulierte Finanzunternehmen gilt seit dem 17. Januar 2025 zusätzlich der Digital Operational Resilience Act (DORA), der über die eigene Aufsicht hinaus auch kritische IKT-Drittanbieter wie große Cloud-Anbieter in einen eigenen Überwachungsrahmen einbezieht. Und seit dem 12. September 2025 erleichtert der EU Data Act mit neuen Regeln zum Anbieterwechsel – etwa schrittweise sinkenden, ab September 2027 vollständig entfallenden Wechselgebühren und der Pflicht zu offenen Schnittstellen – zumindest technisch und vertraglich den Wechsel des Cloud-Anbieters. Aus einem „das sollten wir mal angehen“ wird damit für viele Unternehmen ein dokumentationspflichtiges Muss.

Auch hier kann eine Cyberversicherung eine hilfreiche Stütze sein, da gerade im Schadenfall mit entsprechenden SLAs qualifizierten Dienstleister zur Verfügung gestellt werden. 

Lösungsansätze: Resilienz aufbauen, Restrisiko gezielt transferieren

• Cloud-Abhängigkeiten transparent machen: Ein systematisches Mapping geschäftskritischer Prozesse und ihrer Abhängigkeit von einzelnen Cloud-Diensten und Subdienstleistern ist die Grundlage jeder Risikobewertung
• Architektur-Resilienz stärken: Redundanz über mehrere Availability Zones und Regionen sowie, für Unternehmen mit entsprechenden Ressourcen, Multi-Cloud-Strategien reduzieren die Abhängigkeit von einem einzelnen Anbieter. Solche Strategien sind wirksam, aber komplex und kostenintensiv in der Umsetzung und erfordern zudem die Berücksichtigung regulatorischer Vorgaben wie der DSGVO bei grenzüberschreitenden Datenbewegungen
• Business-Continuity- und Notfallpläne regelmäßig testen: Auch das Szenario „Kernanbieter fällt vollständig aus“ sollte fester Bestandteil von Kontinuitätsplänen und Übungen sein, nicht nur klassische Cyberangriffsszenarien
• Versicherungsverträge gezielt prüfen: Bestehende Cyberpolicen sollten systematisch auf Sublimits, Wartezeiten, Named-Provider-Klauseln und die genaue Definition des Versicherungsfalls für abhängige Betriebsunterbrechung durchgesehen werden. Gerade die Wartezeit muss zur tatsächlichen Wiederanlaufzeit passen. Wird ein Prozess nach vier Stunden kritisch, greift die Police aber erst nach zwölf, ist die Deckung im relevanten Szenario quasi wertlos  
• Spezialisierte Deckungskonzepte einbeziehen: Am Markt entwickeln sich zunehmend eigenständige Lösungen für Cloud-Ausfallrisiken, etwa parametrische Deckungen, die bei klar definierten Auslösern unabhängig vom Einzelschadennachweis leisten und auch rein technische Ursachen ohne Cyberangriff einschließen können

Cloud-Technologie ist für Unternehmen heute Voraussetzung für Wachstum, Effizienz und Wettbewerbsfähigkeit – und zugleich Ursprung eines neuen, systemischen Risikos, das die Grenzen klassischer Cyberversicherung sichtbar macht. Wer die eigene Cloud-Abhängigkeit kennt, seine Architektur resilient aufstellt und den Versicherungsschutz gezielt auf Deckungslücken bei abhängiger Betriebsunterbrechung prüft, reduziert das unternehmerische Restrisiko erheblich.

Unser Angebot für Sie

Als spezialisierter Versicherungsmakler für Familienunternehmen begleiten wir, S&P Schulz & Partner GmbH Versicherungsmakler, unsere Mandantinnen und Mandanten auch mit Hilfe unseres Expertennetzwerks dabei, Cyberrisiken strukturiert zu bewerten, bestehende Policen auf Deckungslücken bei abhängiger Betriebsunterbrechung zu prüfen und passende Lösungsbausteine zu integrieren – von der klassischen Cyberversicherung bis zu spezialisierten Cloud-Ausfalldeckungen. 

Sprechen Sie uns an, wenn Sie Ihre Cloud-Abhängigkeiten und Ihren Versicherungsschutz gemeinsam mit uns überprüfen möchten. Wir unterstützen Sie gerne. Strategisch & persönlich.