Ransomware-Angriff: Merck
Pharmaunternehmen wird Opfer der Ransomware NotPetya.

Am 27. Juni 2017 wurde das Pharmaunternehmen Merck Opfer eines Angriffs mit der Ransomware NotPetya. Dabei entstand ein Schaden in Höhe von 1,4 Milliarden US Dollar. Es wird vermutet, dass NotPetya das Werk des russischen Militärgeheimdienstes GRU war, der die Malware über eine ukrainische Buchhaltungssoftware namens MeDoc einschleuste. 

Das zuständige Versicherungsunternehmen lehnte zunächst die Regulierung des Schadens ab, wogegen Merck im US-Bundesstaat New Jersey klagte und einen wichtigen juristischen Sieg errang. So entschied das Berufungsgericht, dass Versicherer keine Ausschlussklauseln für kriegsbedingte Ereignisse verwenden dürfen, um Kunden die Erstattung von durch Cyberangriffe verursachte Schäden zu versagen. Die Entscheidung bestätigt ein Urteil der Vorinstanz, wonach der Versicherer Merck für die entstandenen Verluste entschädigen muss.

Die Versicherer hatten argumentiert, dass jede staatlich unterstützte Maßnahme, die "böswillige Absichten oder den Wunsch, Schaden zu verursachen" widerspiegelt, durch Ausschlussklauseln abgedeckt werden sollte. Das Gericht war jedoch anderer Meinung und stellte fest, dass die Versicherer "die Bedeutung von 'feindlich' bis an ihre äußersten Grenzen gedehnt" hätten.

Das Gericht stellte fest, dass Ausschlussklauseln in Versicherungspolicen, die sich auf "feindliche/kriegsähnliche Handlungen" beziehen, nicht für Cyberangriffe auf nicht-militärische Ziele gelten, unabhängig davon, ob sie von ausländischen Regierungen oder staatlichen Akteuren durchgeführt werden. 

Nachtrag vom 13. Februar 2024:

Nachdem der Fall im Jahr 2023 erneut vor Gericht ging, hat sich Merck nun mit allen Versicherern, die an dem Verfahren beteiligt waren, geeinigt. Genaueres zu den Bedingungen der Einigung ist nicht bekannt.