Deckung für Kryptowährungsdiebstahl existiert heute in einer Handvoll Formen: private Vermögensschadenklauseln, die von einer kleinen Zahl spezialisierter Versicherer angeboten werden, Verwahrungsversicherungen, die manche Exchanges und Verwahrstellen zugunsten ihrer Nutzer abschließen, und eigenständige Policen für digitale Vermögenswerte, die Unternehmen und vermögende Privatpersonen direkt kaufen. Nichts davon ähnelt einer gewöhnlichen Hausrat- oder Kfz-Police, und das zeigt sich auch im Schadensregulierungsprozess. Versicherer in diesem Bereich bauen erst noch versicherungsmathematisches Vertrauen für eine Verlustkategorie auf, die es vor einem Jahrzehnt praktisch noch nicht gab, und diese Vorsicht schlägt sich direkt in dem nieder, was sie vor einer Auszahlung verlangen.
Warum dieser Markt noch vorsichtig ist
Underwriter kalkulieren eine Police anhand historischer Schadensdaten, und Kryptowährungsdiebstahl hat eine kürzere, dünnere Historie als fast jedes andere versicherte Risiko. Schadensfälle unterscheiden sich zudem ungewöhnlich stark im Mechanismus – ein Phishing-Angriff, ein kompromittierter privater Schlüssel, ein Smart-Contract-Exploit und ein gestohlenes Gerät sehen auf dem Papier alle unterschiedlich aus, selbst wenn das Ergebnis dasselbe ist. Diese Vielfalt erschwert den Aufbau standardisierter Schadensregulierungsprozesse, und das ist ein wesentlicher Grund, warum die unten aufgeführten Anforderungen anspruchsvoller und manueller ausfallen, als die meisten Versicherungsnehmer erwarten.
Was Versicherer typischerweise verlangen
- Eine Polizeianzeige, umgehend nach Entdeckung erstattet, mit Vorgangs- oder Aktenzeichen, selbst in Zuständigkeitsbereichen, die den Fall wahrscheinlich nicht aktiv verfolgen werden.
- Einen detaillierten zeitlichen Ablauf des Vorfalls, der zeigt, wann der Verlust entdeckt wurde, wie, und welche unmittelbaren Schritte unternommen wurden.
- Die konkreten Transaktions-IDs und Wallet-Adressen für jede nicht autorisierte Überweisung, abgeglichen mit Nachweisen zur Wallet- oder Kontoeigentümerschaft, die belegen, dass die Gelder tatsächlich Ihnen gehörten.
- Nachweise darüber, wie die Sicherheitsanforderungen der Police zum Zeitpunkt des Verlusts erfüllt wurden, etwa ob die Zwei-Faktor-Authentifizierung aktiviert war, Schlüssel wie in der Police vorgeschrieben verwahrt wurden oder eine Hardware-Wallet verwendet wurde, wo die Police eine solche voraussetzt.
- Einen Nachweis über den Wert des Vermögenswerts zum Zeitpunkt des Verlusts, in der Regel Preisdaten einer anerkannten Exchange für das jeweilige Datum und die jeweilige Uhrzeit.
- In vielen Fällen eine unabhängige Darstellung des Vorfalls durch Dritte, unabhängig von der eigenen Schilderung des Versicherungsnehmers.
Versicherer verlangen häufig einen Nachweis, dass die in der Police festgelegten Sicherheitsbedingungen tatsächlich eingehalten wurden. Ein Anspruch kann abgelehnt werden nicht weil der Diebstahl bezweifelt wird, sondern weil der Versicherungsnehmer nicht belegen kann, dass eine bestimmte Bedingung – etwa eine aktivierte Multi-Faktor-Authentifizierung – zum Zeitpunkt des Verlusts erfüllt war.
Wo ein professioneller Verfolgungsbericht ins Spiel kommt
Ein Blockchain-Verfolgungsbericht wird von den meisten Policen nicht ausdrücklich verlangt, ist in der Praxis aber häufig genau das eine Dokument, das einen Anspruch von strittig zu bewilligt bewegt. Versicherer, die eine ihnen unvertraute Anspruchskategorie bewerten, stützen sich stark auf unabhängige, technische Beweise, und ein Verfolgungsbericht, der genau dokumentiert, welche Wallets die Gelder erhalten haben, ob sie an eine identifizierbare Exchange weitergeleitet wurden und wie belastbar diese Beweiskette hergestellt werden kann, gibt einer Schadenregulierin oder einem Schadenregulierer etwas Konkretes, worauf sie oder er die Prüfung stützen kann, statt sich allein auf die eigene Schilderung des Versicherungsnehmers zu verlassen.
Das gilt besonders für Ansprüche oberhalb einer Schwelle, die zusätzliche Prüfung auslöst, und für Ansprüche, bei denen der Verlustmechanismus strittig ist – etwa ob eine Transaktion tatsächlich nicht autorisiert war oder ob es sich um eine Innentat bei einer Firmen-Wallet mit mehreren Unterzeichnern handeln könnte. Ein Verfolgungsbericht entscheidet diese Frage nicht von sich aus, gibt den eigenen Ermittlerinnen und Ermittlern des Versicherers aber einen dokumentierten Ausgangspunkt statt einer offenen Untersuchung.
Was Ansprüche typischerweise verzögert
Die häufigste Verzögerungsursache ist nicht Betrugsverdacht, sondern unvollständige Dokumentation, die früh eingereicht und dann über Wochen häppchenweise nachgereicht wird, wobei jede Rückfrage die Prüfung weiter verlängert. Ein zweites häufiges Problem ist eine Lücke zwischen dem, was die Police tatsächlich abdeckt, und dem, was der Versicherungsnehmer annahm – eine von einer Exchange gehaltene Verwahrungsversicherung schützt beispielsweise in der Regel vor den eigenen operativen Ausfällen der Exchange, nicht vor einem Phishing-Angriff auf die Kontozugangsdaten eines einzelnen Nutzers. Die konkreten Deckungsauslöser der Police vor einem Vorfall zu lesen, nicht erst danach, ist der beste Weg, eine unangenehme Überraschung im Schadensfall zu vermeiden.