IT-Ausfälle und Cyberangriffe zählen zu den grössten Bedrohungen für KMU. Da diese zunehmend von denselben IT-Systemen und Dienstleistern abhängig sind, entstehen sogenannte versteckte Kumulrisiken innerhalb einzelner Branchen oder sogar branchenübergreifend, welche die Unabhängigkeitsannahme klassischer Versicherungsmodelle infrage stellen. Kalkulierbar sind solche Risiken nur bei ausreichender Transparenz, doch häufig kennen weder die KMU ihre eigenen Abhängigkeiten noch die Versicherer die tatsächliche Risikolage ihrer Kunden.

Die Arbeit stützt sich auf eine systematische Literaturanalyse, Fallbeispiele sowie leitfadenbasierte Interviews mit Vertretern des Bundesamts für Cybersicherheit, der Versicherungswirtschaft und der KMU-Praxis. Als Ergebnis wurde ein Bezugsrahmen entwickelt, der KMU-spezifische IT-Abhängigkeiten systematisch erfasst und der Versicherungswirtschaft gleichzeitig Informationen für ein risikoadäquateres Underwriting (die risikobasierte Prüfung und Zeichnung von Versicherungsanträgen) liefert.

Der resultierende Bezugsrahmen umfasst 16 Ja-Nein-Fragen in sechs Themenblöcken und liegt als Excel-Instrument mit automatischer Auswertung vor. Er macht sichtbar, wo ein KMU von einzelnen Systemen und Dienstleistern abhängt und ob es auf deren Ausfall vorbereitet ist. Durch die zusätzliche Erhebung eingesetzter externer Dienstleister und Softwarelösungen werden Konzentrationsrisiken für Versicherungen transparent, sobald die Angaben über mehrere KMU hinweg zusammengeführt werden. Damit liefert die Arbeit dem SVV ein praxisnahes Instrument zur Verringerung der Informationsasymmetrie zwischen KMU und Versicherern und schafft die Grundlage für ein risikoadäquateres Underwriting sowie eine gezielte Analyse des Versicherungsportfolios.