Was macht der neue Player Corvus?

Mit Corvus betritt ein weiterer Player den deutschen Markt, der sich dem Thema Cyberversicherungen für Unternehmen widmet. Wir haben uns einmal erklären lassen, was das Insurtech anders als andere machen will.

Cyberversicherungen? Ist das nicht das Segment, aus dem sich tradierte Versicherer langsam wieder zurückziehen wollen, ganz offenbar, weil sie die Schadenquoten unterschätzt haben?

Für Oliver Delvos ist das kein Problem. Er verantwortet als „Head of International“ und Geschäftsführer der Corvus Underwriting GmbH den Markteintritt in Deutschland. „Mich wundert die Entwicklung eigentlich nicht. Klassische Versicherer haben ihr Geschäftsmodell aus der Gewerbeversicherung mehr oder weniger unverändert auf den Bereich Cyber übertragen. Damit haben sie aber auch keine aktuelle Bewertung des eigenen Risikos in ihren Büchern. Angesichts der dynamischen Entwicklung, die Cyberbedrohungen in den vergangenen genommen haben, war es fast absehbar, dass sich das oft nicht rechnet.“

Der Ansatz von Corvus

„Das Problem für klassische Versicherer: Sie verlassen sich allein auf die Antworten aus Fragebögen. Aber mit diesem Ansatz sehen zwei Unternehmen der gleichen Branche, identischer Größe und mit gleichen Kennzahlen fast immer gleich aus. Im Bereich Cyber müssen sie das aber eben nicht sein“, erklärt Delvos.

Corvus verlässt sich beim Underwriting auf ein von KI unterstütztes Scanning-Modell zur Schwachstellenanalyse eines Unternehmens und kommt anhand der eigenen Datenbasis zu einer exakten Einschätzung der Risiken.

Die Liste der Parameter, die automatisiert abgearbeitet werden, ist lang und für IT-Experten nachvollziehbar. Sie dürften aber den einen oder anderen Kunden überraschen. „Gerade Attacken mit Ransomware sind häufig deshalb überhaupt erfolgreich, weil eine Phishing-Mail erfolgreich die Filtersysteme von Firmen überwunden hat. Bei unserer Analyse berücksichtigen wir das beispielsweise. Nutzt ein Unternehmen die Expertise großer E-Mail-Provider, oder betreibt es eine eigene Lösung? Das verändert die Risiken.“, so Delvos.

Machmal muss unsere KI auch die Schulbank drücken.

Damit hat Corvus eine bessere Einschätzung der Risiken, denen potenzielle Kunden ausgesetzt sind. Die in den USA entwickelte Technologie musste allerdings leicht an den deutschen Markt angepasst werden. Machine Learning ist gegen Cultural Bias eben nicht immun. Denn nur weil ein Algorithmus einen deutschen E-Mail-Provider noch nicht kennt, bedeutet das ja nicht, dass hier ein Risiko entsteht „Hier muss die KI eben auch noch einmal die Schulbank drücken“, sagt Delvos.

Adaptives Pricing und optionales Monitoring

Vom analytischen Ansatz profitieren die Unternehmenskunden gleich in mehrfacher Hinsicht. Die Automatisierung spart im Antragsprozess Zeit. Das Underwriting-Team muss sich nur noch wenige Informationen einholen und durch Nachfragen ergänzen.

Wir werden in Deutschland sicherlich Aufklärungsarbeit leisten müssen

Das Monitoring wird optional für die Kund:innen regelmäßig durchgeführt. Hier sieht sich Corvus als externen CISO. „An der Stelle muss man einräumen, dass Deutschland hier gegenüber anderen Ländern einige Jahre zurückliegt. Hier werden wir auch Aufklärungsarbeit leisten müssen. Das Monitoring hört sich oberflächlich vielleicht nach Überwachung an. Aber es geht aber nicht darum, einer Firma ein schlechtes Zeugnis auszustellen, sondern Schwachstellen zu beseitigen. Und das trägt nicht nur zu einer größeren Resilienz bei, sondern wird auch beim Pricing belohnt“, so Oliver Delvos.

Auch nach Policierung für die Unternehmen da

Diesen partnerschaftlichen Umgang mit seinen Unternehmenskunden will Corvus auch nach der Policierung aufrechterhalten. Die eigentliche Antwort auf einen Incident müssen die Firmen zwar selbst leisten, erhalten hier aber auch mit „Risk & Response“ eine Unterstützung durch die Koordination der Notfallhilfe.

Durch die Live-Insights, die Corvus auf Basis anderer Kunden und externer Datenquellen zur Sicherheitslage hat, erhalten die Unternehmen proaktive Hinweise zur Beseitigung von Angriffsvektoren. Damit ist das Insurtech in seinem Segment schon da, wo tradierte Versicherer in anderen Sparten gerne wären: Prävention statt Schadensabwicklung.

Wo Versicherung ihre Grenzen hat

Wie jeder Versicherer achtet auch Corvus auf die Begrenzung seiner eigenen Risiken. So gibt es – wenig überraschend – auch Branchenausschlüsse. Darunter fallen Unternehmen, die ohnehin im Fadenkreuz von Cyberkriminellen stehen. Dazu gehören etwa Kryptobörsen, Glücksspiel, aber auch Zahlungsdienstleistungsunternehmen.

Bei den Versicherungsleistungen sind Ausfälle der Infrastruktur (Strom, Gas) genauso ausgenommen wie Kriege oder Terrorakte. Aber auch das ist keine Besonderheit des Unternehmens. Entsprechende Ausschlüsse finden sich auch in tradierten Gewerbepolicen.

Beim Vertrieb hat’s Corvus gerne klassisch

So innovativ sich Corvus bei Underwriting und Policierung zeigt, im Hinblick auf Vertrieb mag es der Player mit Wurzeln in den USA dann doch klassisch. Es gibt keinen Direktvertrieb an die Kundschaft. Stattdessen sollen die Versicherungen über Makler und Maklerorganisationen vertrieben werden.

Angesicht der Größe der angepeilten Kundschaft aber auch nicht überraschend. Denn Corvus möchte in erster Linie mittelständische Unternehmen im Segment zwischen 50 und 500 Mio. Euro Umsatz adressieren. Und hier war Gewerbeversicherung schon immer das, was gemeinhin als „Nasengeschäft“ bezeichnet wird.

Corvus macht tatsächlich anders als die klassischen Versicherer. Technologisch scheint das Insurtech, das inzwischen auf Fundings in einer Höhe von 160 Mio. Dollar blicken darf, gut aufgestellt zu sein. Wie der Ansatz beim doch eher zurückhaltenden deutschen Mittelstand ankommt, bleibt allerdings abzuwarten.

Das Thema Cyberattacken hat uns in den vergangenen Wochen mehrfach beschäftigt. Mehr Lesestoff dazu:

• Teil 1: Hilfe, Cyberangriff – was ist jetzt zu tun?
• Teil2: Mein Dienstleister hat eine Cyberattacke erlitten – was jetzt?