Der NotPetya-Angriff (2017) sowie die Kompromittierung der SolarWinds-Lieferkette, die 2020 rund 18.000 Organisationen betraf, wurden inzwischen russischen Akteuren zugeschrieben. Diese Vorfälle zeigen, wie sich ein ‚latenter‘ geopolitischer Konflikt, der mittlerweile zu einem internationalisierten hybriden Konflikt geworden ist, in eine systemische Cyberbedrohung für Tochtergesellschaften großer Konzerne und ihre aus KMU bestehenden Lieferketten verwandeln kann. Als Reaktion ziehen sich Versicherer und Rückversicherer schrittweise und zu Recht aus der Deckung der mit diesen Ereignissen verbundenen systemischen Risiken zurück.

Vor diesem Hintergrund zwingt die zunehmende Durchlässigkeit zwischen geopolitischen Konflikten und Cyberbedrohungen (etwa staatlich unterstützten Angriffen und Ransomware gegen kritische Infrastrukturen) KMU und große Konzerne sämtlicher Branchen dazu, ihren Risikomanagementansatz zu überdenken. Dies gilt besonders für wesentliche Sektoren (Energie, Gesundheit, Verkehr) und neue Technologien (Cloud, KI, Robotik). Um die Resilienz einer Organisation zu gewährleisten, müssen Cyberrisikomanagement, regulatorische Compliance (DORA, NIS 2, KI-Richtlinie usw.) und Risikofinanzierung (Versicherungen, Captives, öffentliche Mittel) daher in eine gemeinsame Strategie eingebunden werden. Dazu müssen Funktionen und die Menschen, die sie ausüben, zusammengeführt werden, die durch organisatorische Silos zu lange voneinander getrennt waren.

Diese gemeinsame Strategie muss erst noch entwickelt werden. Welchen Ansatz sollte man angesichts des Unbekannten wählen, wenn bereits der in unternehmerische Risikolandkarten aufgenommene Begriff der neu entstehenden Risiken heute unzureichend erscheint? Die Methoden ihrer Analyse, etwa probabilistische Szenarien, Technologiebeobachtung oder prädiktive Modellierung, versagen meist bei Risiken, die symptomlos, ohne historische Daten, nichtlinear oder systemisch sind. Die Covid-Krise war ein von der WHO als wenig wahrscheinlich eingestuftes Szenario. In ihren Risikolandkarten fürchteten Organisationen Naturkatastrophen und Umweltrisiken, während sie die Folgen von Kriegsrisiken in Europa oder im Nahen Osten außer Acht ließen.

Technologische und gesellschaftliche Beschleuniger des Unbekannten wirken heute zusammen und zwingen uns, die Illusion einer vorab möglichen Kontrolle offenzulegen: Organisationen, die vergangene Krisen analysieren, um sich auf die Zukunft vorzubereiten, verstärken womöglich ihre Blindheit gegenüber den Umbrüchen der heutigen Welt. Die jüngsten, durch KI verschärften Cyberangriffe verdeutlichen dies. Denn paradoxerweise und entgegen der Intuition gilt: Je stärker ein System für bekannte Risiken optimiert ist, desto anfälliger ist es für neuartige Angriffe.

Dass Organisationen ihre Modelle überdenken und stärker in operative Resilienz investieren, verlangt zugleich einen beschleunigten Wandel der Rolle von Versicherern und Maklern. Ihre Aufgabe der Finanzierung beziehungsweise Platzierung werden sie weiterhin erfüllen, müssen aber mehr Ressourcen mobilisieren, um Unternehmen durch Dienstleistungen bei der Analyse ihrer Risikoexposition und bei der Prävention zu unterstützen.

Das Unvorstellbare vorauszudenken und das Unbekannte mit neuen Methoden zu erkunden, sind die neuen Herausforderungen für Organisationen sowie für Akteure des Risikomanagements und der Risikofinanzierung, um die Resilienz unserer Gesellschaften zu stärken.

Was wäre, wenn der beste Umgang mit unbekannten Risiken darin bestünde, sie nicht länger als Risiken zu betrachten, sondern als Chancen, unsere Modelle neu zu erfinden?