Merck und NotPetya: Malware-Schaden als Versicherungs-Verantwortungstest

Zusammenfassung

• Merck gab bekannt, dass der Cyberangriff vom 27. Juni 2017 die weltweiten Betriebsabläufe, einschließlich Produktion, Forschung und Vertrieb, störte. Der Geschäftsbericht 2017 (Form 10-K) gab an, dass der Angriff einen negativen Umsatzeffekt von etwa 260 Millionen US-Dollar hatte und Fertigungs- und Sanierungskosten in Höhe von 285 Millionen US-Dollar verursachte, nach Abzug von etwa 45 Millionen US-Dollar an Versicherungserstattungen.
• Mercks Geschäftsbericht 2018 (Form 10-K) gab später an, dass die Umsätze 2018 durch den verbleibenden Auftragsstau um etwa 150 Millionen US-Dollar negativ beeinflusst wurden und dass Streitigkeiten mit bestimmten Versicherern über die Deckung von Ansprüchen im Zusammenhang mit dem Cyberangriff von 2017 fortbestanden.
• In der Berufungsmeinung aus New Jersey wurde das Versicherungsprogramm als 26 Allgefahren-Sachversicherungspolicen mit einem Gesamtlimit von 1,75 Milliarden US-Dollar über einem Selbstbehalt von 150 Millionen US-Dollar beschrieben, und es hieß, der umstrittene Deckungsumfang in der Berufung betrage 699.475.000 US-Dollar, knapp 40 Prozent der gesamten Versicherungssumme von Merck für den Versicherungszeitraum.
• Dieselbe Meinung bestätigte, dass der Ausschluss feindlicher/kriegerischer Handlungen unter den gegebenen Umständen die Deckung nicht ausschloss. Dies war eine Entscheidung zur Deckung, keine abschließende öffentliche Abrechnung aller Zahlungen, aller Versicherer oder aller Schadenskategorien.
• Das Berufungsverfahren vor dem Obersten Gerichtshof von New Jersey endete später durch einen Vergleich und die Klageabweisung vor einer Entscheidung in der Sache. Öffentliche Berichte beschrieben den Vergleich als vertraulich oder nicht offengelegt, daher sollte der Vergleich nicht als öffentliche endgültige Zuweisung interpretiert werden, wer was bezahlt hat.
• Die dauerhafte Lektion zur Rechenschaftspflicht ist enger als die Legende: NotPetya machte unternehmerische Resilienz, pharmazeutische Lieferkontinuität, Schadensbilanzierung, Zuschreibung und Versicherungsgestaltung zu Teilen desselben Beweisdatensatzes.

NotPetya verwandelte gewöhnliche Unternehmensabhängigkeit in ein Risiko für die Arzneimittelversorgung

Mercks NotPetya-Erfahrung ist wichtig, weil sie eine globale Windows-Domänen-Störung mit pharmazeutischen Betriebsabläufen und dann mit dem Versicherungsschutz verknüpft. Der Vorfall war nicht nur ein Problem der IT-Abteilung. Merck teilte den Investoren mit, dass der Cyberangriff vom 27. Juni 2017 die weltweiten Betriebsabläufe, einschließlich Produktion, Forschung und Vertrieb, gestört habe. Ein Unternehmen, das Impfstoffe, verschreibungspflichtige Medikamente und Tiergesundheitsprodukte herstellt, kann eine solche Störung nicht als routinemäßige Endpunktbereinigung behandeln.

Der maßgebliche Unternehmensbericht beginnt mit MercksGeschäftsbericht 2017 (Form 10-K). Merck gab an, dass der Cyberangriff zu einer Störung der weltweiten Betriebsabläufe, einschließlich Produktion, Forschung und Vertrieb, geführt habe. Es hieß, dass alle Produktionsstandorte zum Zeitpunkt der Einreichung wieder in Betrieb waren und Wirkstoffe, Formulierungen, Verpackungen und Versandprodukte herstellten. Außerdem wurde mitgeteilt, dass die externe Fertigung nicht betroffen war und dass Merck weiterhin Bestellungen ausführte und Produkte versandte. Diese Aussagen sind wichtig, weil sie eine Übertreibung verhindern. Die öffentlichen Unterlagen sagen nicht, dass Merck die gesamte Arzneimittelversorgung weltweit auf unbestimmte Zeit eingestellt habe. Sie besagen, dass das Unternehmen eine schwerwiegende Störung erfuhr, während es weiterhin Produkte auslieferte und später alle Produktionsstandorte wiederherstellte.

Dieselbe Einreichung quantifizierte die geschäftlichen Auswirkungen. Merck gab an, nicht in der Lage gewesen zu sein, Bestellungen für bestimmte Produkte in bestimmten Märkten zu erfüllen, was sich negativ auf den Umsatz 2017 in Höhe von etwa 260 Millionen US-Dollar auswirkte. Es wurden auch fertigungsbezogene Aufwendungen, hauptsächlich ungünstige Fertigungsabweichungen, zuzüglich Sanierungskosten in den Kategorien Verwaltung sowie Forschung und Entwicklung erfasst, die sich 2017 auf 285 Millionen US-Dollar beliefen, abzüglich Versicherungserstattungen von etwa 45 Millionen US-Dollar.

Merck erwartete zudem, dass der verbleibende Auftragsstau die Umsätze 2018 in bestimmten Märkten um etwa 200 Millionen US-Dollar negativ beeinflussen würde.

MercksSeite für SEC-Einreichungen für Investorenverweist Investoren auf die formellen Unterlagen, und die Jahresberichte platzierten den Cyberangriff im Kontext von Risiko, Betriebsergebnissen und Versicherungsdiskussionen. Das verleiht dem Vorfall eine öffentliche Rechenschaftsebene, die viele Ransomware-Fälle nicht haben. Die Einreichungen zeigen nicht die interne Schadensakte, aber sie zeigen die öffentliche Sicht des Managements auf Umsatzeffekte, Aufwandserfassung, Produktionswiederherstellung, Versicherungserstattungen und verbleibende Deckungsstreitigkeiten. Für Unternehmensleitungen ist diese Kombination die minimal nützliche Form der Offenlegung von Cyber-Schäden: Betriebskategorie, finanzielle Kennzahl, Zeitraum, Wiederherstellungsstatus und Unsicherheit.

Diese antizipierte Zahl änderte sich mit der Reifung der Aufzeichnungen. ImGeschäftsbericht 2018 (Form 10-K)beschrieb Merck erneut den Cyberangriff von 2017 und gab an, dass die Umsätze 2018 in bestimmten Märkten durch den Cyberangriff um etwa 150 Millionen US-Dollar negativ beeinflusst wurden. In der Einreichung wurden der Umsatzeffekt von etwa 260 Millionen US-Dollar und die Aufwandssumme von 285 Millionen US-Dollar nach Abzug von etwa 45 Millionen US-Dollar an Versicherungserstattungen wiederholt. Es wurde außerdem mitgeteilt, dass Merck über Versicherungsschutz gegen Kosten aus Cyberangriffen verfüge, Zahlungen erhalten habe und Streitigkeiten mit bestimmten Versicherern über die Deckung einiger Ansprüche im Zusammenhang mit dem Cyberangriff von 2017 bestünden. EinQuartalsbericht (Form 10-Q) für das dritte Quartal 2018zeigte den Übergang: Die Umsatzeffekte in den ersten neun Monaten 2018 betrugen etwa 150 Millionen US-Dollar, einschließlich einer unwesentlichen Auswirkung im dritten Quartal, während die Fertigungs- und Sanierungskosten in den ersten neun Monaten 2018 unwesentlich waren.

Diese Einreichungen sind nützlicher als breite Schadensschätzungen, weil sie das Problem in betriebliche Kategorien unterteilen. Umsatzeinbußen waren an nicht erfüllte Bestellungen in bestimmten Märkten gebunden. Fertigungskosten waren an ungünstige Abweichungen und Wiederherstellung geknüpft. Sanierungskosten waren mit Verwaltungs- und Forschungsarbeit verbunden. Versicherungszahlungen wurden erhalten, aber nicht alle Deckungszusagen waren unbestritten.

Ein Versagen in der pharmazeutischen Kontinuität wurde daher zu einem Beweisproblem: Was ging verloren, wo, warum, für wie lange, unter welcher Policenformulierung, mit welchem Selbstbehalt und mit welchen Ausschlüssen?

Die Gerichtsunterlagen verliehen dem Versicherungsstreit ein technisches Rückgrat

Der detaillierteste öffentliche Rechtsstreitbericht ist die Meinung der New Jersey Appellate Division aus dem Jahr 2023, abrufbar über dasoffizielle New Jersey Courts PDFundJustias Kopie von Merck & Co., Inc. gegen ACE American Insurance Co.. Die Entscheidung ist kein technischer Vorfallbericht und sollte nicht als Mercks vollständige forensische Akte gelesen werden. Sie ist jedoch ungewöhnlich klar in Bezug auf die Teile der Aufzeichnungen, die für den Versicherungsstreit von Bedeutung waren.

Das Gericht beschrieb, dass Merck ein Feststellungsurteil unter 26 Allgefahren-Sachversicherungspolicen für Verluste anstrebe, die durch den Malware-Angriff vom Juni 2017, bekannt als NotPetya, verursacht wurden. Das Policenprogramm lief vom 1. Juni 2017 bis zum 1. Juni 2018 und hatte ein Gesamtlimit von 1,75 Milliarden US-Dollar über einem Selbstbehalt von 150 Millionen US-Dollar. Das Gericht gab an, dass die Parteien 699.475.000 US-Dollar an Deckung stritten, knapp 40 Prozent der gesamten Versicherungssumme von Merck für den Versicherungszeitraum.

Diese Zahlen sind nicht Mercks gesamte wirtschaftliche Kosten; sie sind der umstrittene Deckungsumfang in dieser Berufungsakte. Die Unterscheidung ist wichtig, weil ein Verlust größer oder kleiner sein kann als der Betrag, der für eine bestimmte rechtliche Berufung verbleibt.

Die Entscheidung fasste auch zusammen, wie die Malware nach den dem Gericht vorliegenden Unterlagen eindrang und sich verbreitete. Sie beschrieb M.E.Doc, eine ukrainische Buchhaltungssoftware, die von Merck und anderen in der Ukraine tätigen Unternehmen genutzt wurde, sowie einen kompromittierten Update-Mechanismus. Die Entscheidung besagte, dass Merck bösartige Updates über einen Server in der Ukraine erhielt, der automatisch nach neuen Versionen von M.E.Doc suchte. Sie beschrieb NotPetya als Ransomware, die sich tarnte, bestimmte Daten verschlüsselte, Systeme unzugänglich machte und infizierte Systeme funktionsunfähig zurückließ.

Innerhalb von 90 Sekunden, so die Entscheidung, waren etwa 10.000 Maschinen in Mercks globalem Netzwerk infiziert; innerhalb von fünf Minuten etwa 20.000 Maschinen; letztendlich waren mehr als 40.000 Maschinen infiziert.

Dieses Ausmaß erklärt, warum dies nicht nur ein lokales Problem eines ukrainischen Büros war. Die Malware erreichte ein globales Unternehmensnetzwerk schnell genug, um zentrale Resilienz, Identität, Patch-Management, Backups und Netzwerksegmentierung zu Teilen desselben Rechenschaftsdatensatzes zu machen. Das Gericht zitierte Mercks Standpunkt, dass NotPetya Produktionsanlagen und kritische Anwendungen offline nahm und den Betrieb massiv störte, einschließlich Produktion, Forschung und Entwicklung sowie Vertrieb. Das ist Sprache aus Rechtsstreitunterlagen, kein Ersatz für betriebliche Details auf Anlagenebene.

Aber es stimmt mit Mercks SEC-Einreichungen überein, die Produktions-, Forschungs- und Vertriebsstörungen beschrieben.

Öffentliche technische Quellen stützen den allgemeinen NotPetya-Kontext. DieCISA-Warnung zu Petya-Ransomwarewarnte im Juni 2017 vor der Kampagne und vor Minderungsmaßnahmen. DieAnalyse von Microsoft vom Juni 2017beschrieb die Malware als Kombination aus Ransomware-Techniken mit wurmartiger Verbreitung und Missbrauch von Zugangsdaten. DasUK National Cyber Security Centreschrieb NotPetya später dem russischen Militärgeheimdienst zu, als Teil eines umfassenderen öffentlichen Zuschreibungsberichts, und dieErklärung des Weißen Hausesbeschrieb NotPetya als Teil eines rücksichtslosen und wahllosen Cyberangriffs. Diese öffentlichen Regierungserklärungen sind für den geopolitischen Kontext von Bedeutung. Sie entschieden nicht automatisch über die versicherungsvertragliche Frage in New Jersey.

Die durch diesen technischen Kontext implizierten betrieblichen Kontrollen sind bekannt, jedoch im großen Maßstab schwierig.NIST SP 800-61 Rev. 2beschreibt die Incident-Response als Vorbereitung, Erkennung und Analyse, Eindämmung, Beseitigung, Wiederherstellung und Nachbereitung. Bei einem Ereignis vom Ausmaß NotPetyas verlaufen diese Phasen nicht reibungslos. Ein Unternehmen erkennt möglicherweise noch betroffene Hosts, während es Netzwerksegmente eindämmt, dringende Geschäftssysteme wiederherstellt, Beweise sichert und die Führung informiert. Der Punkt bei Merck ist nicht, dass öffentliche Quellen belegen, wie es jede Phase durchführte. Der Punkt ist, dass das Ausmaß des Ereignisses die Incident-Response zu einer Geschäfts-Governance-Funktion machte und nicht zu einer Helpdesk-Warteschlange.

Leitlinien zur Betriebskontinuität untermauern dieselbe Lektion.NIST SP 800-34 Rev. 1rahmt die Notfallplanung in Bezug auf Geschäftsauswirkungsanalyse, Wiederherstellungsprioritäten, alternative Verarbeitung und Plantests ein. DerCISA Ransomware Guidebetont Vorbereitung, Backups, Eindämmung und Wiederherstellung bei Ransomware-Vorfällen, während NotPetyas destruktiver Charakter bedeutet, dass es nicht als gewöhnliche wiederherstellbare Ransomware behandelt werden sollte. Diese Quellen suchen nicht nach Fehlern bei Merck. Sie helfen zu erklären, warum pharmazeutische Betriebe getestete Wiederherstellungspfade für Identität, Fertigungsunterstützung, Freigabedokumentation, Vertriebssysteme und Versandaufzeichnungen benötigen, bevor Malware Zehntausende von Maschinen erreicht.

Die Entscheidung zur Kriegsausschlussklausel betraf Policenformulierungen, keine moralische Zuschreibung

Der Rechtsstreit wird oft vereinfacht als "War NotPetya ein kriegerischer Akt?" Die Berufungsmeinung war vorsichtiger. Die Versicherer beriefen sich auf einen Ausschluss feindlicher/kriegerischer Handlungen. Sie argumentierten, dass die Deckung ausgeschlossen sei, weil NotPetya angeblich von Akteuren orchestriert worden sei, die für oder im Auftrag der Russischen Föderation handelten. Merck bestritt die Anwendung des Ausschlusses. Das erstinstanzliche Gericht gab dem Antrag von Merck auf Teilurteil statt und befand, dass der Ausschluss die Deckung nicht ausschließe. Das Berufungsgericht bestätigte dies.

Die Begründung der Entscheidung ist wichtig, weil sie Zuschreibung von Vertragsauslegung trennt. Das Gericht stellte fest, dass die Parteien die Zuschreibung bestritten und dass das erstinstanzliche Gericht die Zuschreibungsfrage nicht entscheiden musste, um ein Teilurteil zu erlassen. Das Berufungsgericht erklärte, dass der eindeutige Wortlaut des Ausschlusses die Interpretation der Versicherer nicht stütze. Es führte aus, dass der Ausschluss von Schäden, die durch feindliche oder kriegerische Handlungen einer Regierung oder souveränen Macht verursacht werden, in Kriegs- oder Friedenszeiten das Vorliegen militärischer Handlungen voraussetze.

Der Ausschluss besage nicht, dass Schäden aus jeglichem Regierungshandeln mit böswilliger Absicht ausgeschlossen seien.

Das Gericht konzentrierte sich auch auf eine vernünftige Policenformulierung. Es stimmte mit dem erstinstanzlichen Gericht überein, dass die Versicherer sich bewusst waren, dass Cyberangriffe in verschiedenen Formen, manchmal von Nationalstaaten, häufiger geworden waren, dennoch aber die Policensprache nicht geändert hatten, um den Versicherungsnehmer vernünftigerweise darauf hinzuweisen, dass Cyberangriffe ausgeschlossen würden.

Das Berufungsgericht erklärte, dass der eindeutige Wortlaut des Ausschlusses einen Cyberangriff auf ein nicht-militärisches Unternehmen, das Buchhaltungssoftware für kommerzielle Zwecke an nicht-militärische Verbraucher bereitstellt, nicht einschließe, unabhängig davon, ob der Angriff von einem privaten Akteur oder einer Regierung oder souveränen Macht initiiert wurde. Es befand, dass die Versicherer ihrer Last nicht nachgekommen seien zu zeigen, dass der Ausschluss billigerweise auf NotPetya anwendbar sei.

Diese Feststellung sollte präzise beschrieben werden. Sie besagt nicht, dass Cyberangriffe niemals ausgeschlossen werden können. Sie besagt nicht, dass die Zuschreibung zu einer Regierung in jeder Police irrelevant ist. Sie besagt nicht, dass Kriegsausschlussklauseln keine zukünftige Anwendung auf Cyberoperationen haben. Sie spricht Merck nicht von jeder Resilienzentscheidung frei. Sie besagt, dass die Versicherer unter den vorliegenden Policen und Umständen nicht nachgewiesen haben, dass der Ausschluss feindlicher/kriegerischer Handlungen die Deckung ausschließt.

Diese Unterscheidung macht die Versicherungsverantwortung operativ. Versicherer kontrollieren die Gestaltung, Ausschlüsse, Sublimits, Endorsements, Underwriting-Fragen und Prämienkalkulation. Versicherungsnehmer kontrollieren, wie sie Vermögenswerte, Betriebsunterbrechungsrisken, Wiederherstellungsziele und Cyber-Abhängigkeiten beschreiben. Gerichte kontrollieren die Auslegung der Policensprache nach einem Streitfall.

Wenn eine vor dem Schaden verkaufte Police staatlich verknüpfte Cyberoperationen nicht klar ausschließt, trägt der Versicherer das Risiko, dass die übliche Allgefahren-Sachversicherungssprache mehr abdeckt, als später beabsichtigt. Wenn ein Versicherungsnehmer sich auf die Sachversicherung als Cyber-Schadenstransfer verlässt, kann er jahrelange Rechtsstreitigkeiten erleben, bevor die Zahlung sicher wird.

Der Merck-Fall fragte daher nicht nur, ob NotPetya schlimm war. Alle waren sich einig, dass es zerstörerisch war. Er fragte, wer dieses Cyber-Risiko in ein vertraglich zugewiesenes Sachschadenrisiko umgewandelt hatte und ob die Ausschlusssprache klar genug war, um den Verlust auf Merck zurückzuverlagern. Die Antwort des Gerichts fiel zu Mercks Gunsten in Bezug auf diesen Ausschluss aus. Der spätere Vergleich beendete den verbleibenden Streit ohne eine endgültige öffentliche Zahlungskarte.

Der Vergleich beendete die Berufung, nicht die öffentliche Beweislücke

Nach der Entscheidung der Appellate Division beantragten die Versicherer die Überprüfung durch den Obersten Gerichtshof von New Jersey. Öffentliche Berichte im Januar 2024 besagten, dass Merck und die Versicherer sich vor der angesetzten Verhandlung geeinigt hatten.Reuters berichtete, dass Merck sich mit den Versicherern über die NotPetya-Cyberangriffsforderung geeinigt habe, undInsurance Journal berichtete, dass die Vergleichsbedingungen nicht offengelegt wurden.Cybersecurity Dive berichtete ebenfalls, dass die Parteien den hochkarätigen Versicherungsstreit beilegten, bevor der Oberste Gerichtshof von New Jersey entscheiden konnte. Die öffentliche Rechtsberichterstattung und das Gerichtsdokument beschrieben eine Klageabweisung nach dem Vergleich anstelle einer Sachentscheidung durch das höchste Gericht des Bundesstaates.

Dieser Endzustand ist von Bedeutung. Die Entscheidung der Appellate Division bleibt eine wichtige veröffentlichte Deckungsentscheidung, aber der Oberste Gerichtshof erließ keine endgültige Sachentscheidung. Der Vergleich gab nicht öffentlich bekannt, wie viel jeder Versicherer zahlte, ob jede umstrittene Deckungskategorie bezahlt wurde, wie Verteidigungskosten und Zinsen behandelt wurden oder ob eine Seite nicht-öffentliche Positionen beibehielt. Für die öffentliche Rechenschaftspflicht ist der Vergleich ein Beleg dafür, dass die Parteien den Streit beigelegt haben, nicht ein Beweis für eine vollständige öffentliche Schadenszuweisung.

Deshalb ist es riskant, eine einzelne Schlagzeilenzahl als "die Merck-NotPetya-Kosten" zu zitieren. Die Gerichtsakte beschrieb 699.475.000 US-Dollar umstrittene Deckung in der Berufung. Nachrichtenberichte beschrieben eine breitere Forderung, die in öffentlichen Berichten oft auf etwa 1,4 Milliarden US-Dollar gerundet wurde. Mercks Einreichungen gaben separat Umsatz- und Kosteneffekte für 2017 und 2018 an und beschrieben Versicherungserstattungen. Diese sind verwandt, aber nicht dasselbe Maß. Eine Versicherungsforderung kann Sachschäden, Betriebsunterbrechung, Mehrkosten und andere versicherte Kategorien umfassen.

Ein Umsatzeffekt ist eine Erlösgröße. Fertigungsabweichungen sind eine buchhalterische Aufwandskategorie. Ein Vergleich ist eine ausgehandelte Lösung. Sie als austauschbar zu behandeln, würde die Aufzeichnungen sicherer erscheinen lassen, als sie sind.

Die Beweislücke ist besonders wichtig für die Märkte für Cyber-Risiken. Versicherer, Makler, Unternehmensrisikomanager, Vorstände und öffentliche Einrichtungen beobachteten Merck, weil die Entscheidung die Erwartungen an die Cyber-Deckung unter Sachversicherungspolicen beeinflusste. Aber der öffentliche Vergleich liefert keine endgültige richterliche Regel vom Obersten Gerichtshof von New Jersey und keine öffentliche versicherungsmathematische Abrechnung. Versicherer könnten weiterhin mit einer Änderung der Formulierungen reagieren.

Versicherungsnehmer könnten weiterhin mit dem Kauf dedizierter Cyber-Deckungen, der Forderung nach klareren Kriegsklauseln oder einer sorgfältigeren Abbildung der Überschneidungen von Sach- und Cyberversicherung reagieren. Die Marktlektion ist nicht, dass Mercks Sachverhalt immer zur Deckung führt. Sie ist, dass uneindeutige oder veraltete Formulierungen eine enorme Cyber-Schadenzuweisung jahrelang ungelöst lassen können.

Die pharmazeutische Kontinuität hatte ein anderes öffentliches Interessenprofil

Der NotPetya-Fall unterscheidet sich von vielen Unternehmens-Malware-Geschichten, weil Mercks betroffenes Geschäft Impfstoffe und Medikamente umfasste. Öffentliche Einreichungen identifizieren pharmazeutische Produkte und Tiergesundheitsprodukte in globalen Märkten. Ein pharmazeutischer Hersteller verliert nicht nur Büroproduktivität, wenn ein Cyberangriff Produktions- und Versandsysteme trifft.

Er kann mit Produktzuteilungsentscheidungen, Verzögerungen bei der Chargenfreigabe, Marktverknappungen, Bestandsunsicherheiten, temperaturgeführten Logistikherausforderungen, regulatorischen Dokumentationsproblemen und Konsequenzen für Patienten oder Leistungserbringer konfrontiert sein. Die öffentlichen Aufzeichnungen erlauben keine vollständige produktbezogene Schadenskarte, aber Mercks eigene Einreichungen zeigen, dass bestimmte Bestellungen in bestimmten Märkten nicht erfüllt werden konnten.

DerGeschäftsbericht 2017 (Form 10-K)besagte auch, dass die vorübergehende Produktionseinstellung zu Mercks Unfähigkeit beitrug, die höhere als erwartete Nachfrage nach Gardasil 9 zu decken. Diese Aussage sollte sorgfältig behandelt werden. Sie bedeutet nicht, dass NotPetya allein das gesamte Nachfrage-Angebots-Ungleichgewicht für diesen Impfstoff verursachte. Sie bedeutet, dass Merck die Abschaltung als beitragenden Faktor identifizierte. Der Artikel sollte dies nicht zu einer öffentlichen Feststellung von Patientenschäden, Regulierungsverstößen oder einer breiten, allein durch Malware verursachten Impfstoffknappheit aufblähen. Der Punkt ist präziser: Die Malware-Wiederherstellung kann mit Produktionskapazität und Nachfrage in einer Weise kollidieren, die außerhalb der eigenen Buchhaltung des Unternehmens von Bedeutung ist.

Die Kontinuität des öffentlichen Sektors ist Teil dieser Geschichte, obwohl Merck ein privates Unternehmen ist. Regierungen, öffentliche Gesundheitsprogramme, Krankenhäuser, Kliniken, Apotheken, Schulen und Patienten können auf eine stetige pharmazeutische Versorgung angewiesen sein. Wenn ein Hersteller bestimmte Bestellungen in bestimmten Märkten nicht erfüllen kann, können die Konsequenzen in Beschaffungssysteme und Gesundheitsdienstplanung übergehen. DasArzneimittelknappheitsprogramm der FDAzeigt, wie die Verfügbarkeit von Medikamenten als öffentliches Anliegen behandelt wird, obwohl die FDA-Seite keine Feststellung zu Mercks NotPetya-Ereignis ist. Die öffentliche Interessenperspektive ist durch die Art der Produkte gerechtfertigt, nicht durch eine öffentliche Feststellung, dass NotPetya eine spezifische gesetzliche Knappheit verursacht habe.

Kleine und mittlere Entitäten erscheinen auch nachgelagert. Unabhängige Kliniken, Apotheken, Distributoren, Tierarztpraxen und lokale Gesundheitsdienstleister haben möglicherweise keinen direkten Zugang zu Mercks operativen Wiederherstellungsnachweisen. Sie sehen Verfügbarkeit, Substitutionen, Rückstände und Kommunikation. Wenn ein Hersteller sagt, dass Bestellungen in bestimmten Märkten nicht erfüllt werden können, benötigen kleinere Gegenparteien transparente Status- und faire Zuteilungssignale. Sie können kein globales Unternehmenswiederherstellungsprojekt inspizieren.

Diese Asymmetrie ist der Grund, warum die Kontinuitätsaufzeichnungen für mehr als nur Aktionäre und Versicherer von Bedeutung sind.

Die Sprache der Betriebskontinuität ist hier hilfreich, weil sie die Analyse an die Lieferung bindet und nicht an Dramatik.ISO 22301beschreibt Kontinuitätsmanagement in Bezug auf die Fähigkeit einer Organisation, Produkte und Dienstleistungen innerhalb akzeptabler Zeitrahmen und Kapazitäten weiter zu liefern. Für ein Pharmaunternehmen ist dieses Konzept konkret: Wirkstoffproduktion, Formulierung, Verpackung, Qualitätsfreigabe, Versand, Marktzuteilung, Kundendienst und regulatorische Dokumentation müssen nach einem disruptiven Cyber-Ereignis alle wieder zusammenkommen. Die öffentlichen Aufzeichnungen beweisen nicht, dass jede dieser Funktionen bei Merck versagte, aber Mercks eigene Einreichungen bestätigen, dass Produktion, Forschung, Vertrieb, Bestellungen und Auftragsstau in einem Maße betroffen waren, das eine öffentliche Offenlegung erforderte.

Die öffentliche Gesundheitsdimension verkompliziert auch die Kostenzuordnung. Wenn ein Unternehmen Mehrkosten aufwendet, um ein Produkt verfügbar zu halten, mag das in einer Aufzeichnung als finanzielle Kosten erscheinen und in einer anderen als Kontinuitätserfolg. Wenn es Bestellungen in bestimmten Märkten nicht erfüllen kann, zeigt sich das als Umsatzverlust, während Gegenparteien es als Beschaffungsstress erfahren. Wenn externe Fertigung nicht betroffen ist, wie von Merck offengelegt, kann das helfen, die Versorgung aufrechtzuerhalten, eliminiert aber nicht die internen Wiederherstellungskosten.

Versicherung und öffentliche Rechenschaftspflicht stellen daher unterschiedliche Fragen: Der Versicherer fragt, ob die Kosten in die Police passen; die Öffentlichkeit fragt, ob wesentliche Produkte weiterhin mit fairen und genauen Informationen bewegt wurden.

Dieser Unterschied sollte Übungen zu Vorfällen prägen. Eine pharmazeutische Cyber-Übung, die endet, wenn Systeme wiederhergestellt sind, verpasst die Versorgungsfrage. Die Übung sollte fragen, welche Produkte eingeschränkt sind, welche Märkte exponiert sind, welche regulatorischen Freigabedokumente verzögert sind, welche Kunden Zuteilungshinweise benötigen und welche öffentlichen Stellen möglicherweise frühzeitig gewarnt werden müssen. Sie sollte auch fragen, welche Beweise für Versicherer und welche für die Versorgungssicherung aufbewahrt werden. Diese sind verwandte, aber nicht identische Akten.

Ein Versicherer benötigt möglicherweise Rechnungen, Systemwiederherstellungskosten, Betriebsunterbrechungsberechnungen und Kausalitätsbelege. Ein Stakeholder im öffentlichen Gesundheitswesen oder in der Beschaffung benötigt möglicherweise Status, Zuteilungsgrundlage, Wiederbeschaffungszeit und Vertrauen, dass die Produktqualitätsaufzeichnungen intakt bleiben.

Die getrennte Aufbewahrung dieser Akten verhindert zwei Fehler. Der erste Fehler ist, die Versicherungssprache die öffentliche Geschichte bestimmen zu lassen. Die Deckung kann von Policenwortlaut, Selbstbehalten, Ausschlüssen und Nachweiskategorien abhängen, die nicht sauber auf Patienten- oder Leistungserbringerkonsequenzen übertragbar sind. Der zweite Fehler ist, öffentliche Beschwichtigung die Beweise für Ansprüche zerstören zu lassen.

Ein Unternehmen, das unter Druck steht zu sagen: "Die Versorgung ist in Ordnung", könnte die Aufzeichnungen vereinfachen, die es später benötigt, um nichterfüllte Bestellungen, Fertigungsabweichungen oder Mehrkosten zu erklären. Ein ausgereiftes Wiederherstellungsprogramm sollte in der Lage sein, gleichzeitig zu sagen, was über die Produktverfügbarkeit bekannt ist und was noch für die finanzielle Wiederherstellung dokumentiert wird.

Unternehmerische Resilienz kontrollierte den ersten Verlust; Beweise kontrollierten den zweiten

Die erste Frage der Rechenschaftspflicht für Merck ist operativ: Warum verbreitete sich NotPetya so schnell und störte so viel? Die öffentlichen Aufzeichnungen beschreiben eine vertrauenswürdige Drittanbieteranwendung, automatische Updates, als normale Update-Prüfungen getarnte Command-and-Control-Fähigkeiten und eine schnelle Verbreitung innerhalb von Mercks globalem Netzwerk. Sie beschreiben auch mehr als 40.000 infizierte Maschinen.

Das weist auf gängige unternehmerische Resilienzprobleme hin: Abhängigkeit von vertrauenswürdigen Update-Kanälen, Segmentierung, Zugangsdaten-Exposition, Windows-Domänen-Reichweite, privilegierter Zugriff, Backup-Isolation, Anwendungsabhängigkeitskartierung und die Fähigkeit, Kernoperationen wiederherzustellen, während der Angriff eingedämmt wird.

Öffentliche Quellen liefern nicht genügend Details, um Mercks Vorfallkontrollen genau zu bewerten. Sie veröffentlichen nicht die Domänenarchitektur, das Modell privilegierter Konten, den Patch-Status, die Backup-Topologie, den Zeitplan der Endpunkterkennung, Disaster-Recovery-Tests oder das Design der Fertigungssystemsegmentierung. Die Gerichts- und Einreichungsunterlagen zeigen jedoch, dass die Konsequenz Produktion, Forschung und Vertrieb durchdrang. Das reicht aus, um die verantwortlichen Kontrollkategorien zu identifizieren, ohne interne Fakten zu kennen.

Ein Unternehmen von Mercks Größenordnung muss wissen, welche Unternehmenspfade Produktionsanlagen und kritische Anwendungen offline nehmen können und wie schnell diese Pfade getrennt werden können.

Die zweite Frage der Rechenschaftspflicht ist beweisrechtlich: Als der Verlust eintrat, wer konnte beweisen, was es war? Merck musste beschädigte Systeme, unterbrochene Betriebsabläufe, Mehrkosten, Umsatzeffekte, Fertigungsabweichungen, Wiederherstellungsarbeiten, Versicherungserstattungen und Policendeckung dokumentieren. Versicherer mussten Kausalität, Deckung, Ausschlüsse, Selbstbehalte, Limits und Zuschreibung bewerten. Der Streit um den Ausschluss feindlicher/kriegerischer Handlungen zeigt, wie technische Beweise und Policensprache miteinander verwoben werden.

Ob NotPetya über M.E.Doc kam, ob es mit einem staatlichen Akteur verknüpft war, ob es Daten und Software beschädigte, ob der Verlust direkt war und ob der Policenwortlaut es ausschloss, all das war von Bedeutung.

Diese Beweislast kann das Wiederherstellungsverhalten prägen. Während eines Vorfalls muss ein Unternehmen den Betrieb schnell wiederherstellen. Während eines Versicherungsanspruchs muss es Aufzeichnungen aufbewahren. Diese Ziele können kollidieren. Systeme müssen möglicherweise neu aufgebaut werden, bevor jedes Artefakt gesichert ist. Manuelle Workarounds generieren möglicherweise nicht automatisch gewöhnliche Geschäftsaufzeichnungen. Umsatzeffekte können mit Nachfrageänderungen, Bestandsbeschränkungen und Marktverhalten vermischt sein. Fertigungsabweichungen können mehrere Ursachen umfassen.

Die Versicherungswiederherstellung hängt daher von einer Disziplin der Schadensbilanzierung ab, die vor einem Cyberangriff bereit ist und nicht erst danach erfunden wird.

Die Einreichungen von Merck zeigen im Vergleich zu vielen Vorfällen eine ausgereifte öffentliche Buchführungsspur. Sie gaben spezifische Umsatz- und Kosteneffekte an, identifizierten Versicherungserstattungen, revidierten den erwarteten Umsatzeffekt 2018 im Jahresverlauf und legten Versichererstreitigkeiten offen. Dennoch legten die öffentlichen Aufzeichnungen die zugrunde liegende Schadensakte nicht offen. Sie sagten nicht, welche Policen welche Beträge zahlten, wie jede Kategorie angepasst wurde oder wie Vergleichszahlungen zugewiesen wurden.

Öffentliche Rechenschaftspflicht kann Vertraulichkeit respektieren und dennoch fragen, ob Vorstände und Risikomanager genügend nicht-öffentliche Beweise haben, um aus dem Ereignis zu lernen.

Diese nicht-öffentlichen Beweise sollten reicher sein als die öffentlichen Zahlen. Sie sollten einen Systemausfall mit einer Fertigungsabweichung verbinden, einen Auftragsstau mit einem Markt, eine Mehrausgabe mit einer Wiederherstellungsentscheidung und einen Versicherungsanspruch mit der Policensprache. Sie sollten ausfallbedingte Umsatzverluste von Nachfrageverschiebungen, Bestandsbeschränkungen, geplanter Wartung und gewöhnlicher kommerzieller Volatilität unterscheiden.

Sie sollten bewahren, warum ein manueller Workaround verwendet wurde, wer ihn genehmigte und ob er das öffentliche Gesundheitsrisiko verringerte oder nur den finanziellen Verlust reduzierte. Ohne dieses Bindegewebe weiß die Organisation vielleicht, dass sie Geld ausgab, aber nicht, ob die Ausgaben die Resilienz verbesserten.

Dieselben Beweise können eine bessere Prävention unterstützen. Wenn die teuersten Verluste aus dem Wiederaufbau von Endpunkten entstanden, rücken Segmentierung und Endpunkt-Wiederherstellungskapazität in der Investitionsliste nach oben. Wenn das schwierigste Beweisproblem aus dem Umsatzstau stammte, benötigen Auftrags- und Zuteilungsaufzeichnungen eine widerstandsfähigere Erfassung. Wenn der größte Streit aus der Policenformulierung resultierte, benötigt der Risikotransfer eine klarere Überprüfung der Platzierung.

Wenn das tiefste öffentliche Anliegen die Arzneimittelverfügbarkeit betraf, sollten Wiederherstellungsübungen Lieferung und Kundenkommunikation einschließen, nicht nur die Serverwiederherstellung. Eine Schadensakte, die nur die Rechtsstreitigkeiten unterstützt, ist weniger wertvoll als eine, die auch die Kontrollen des nächsten Jahres verändert.

Die Lektion für die Vorstandsetage ist, dass das Beweisdesign vor dem Schaden besessen werden sollte. Rechts-, Finanz-, Versicherungs-, Fertigungs-, Liefer-, Cyber-, Qualitäts- und Kommunikationsteams benötigen ein gemeinsames Vokabular dafür, was als Ausfallbeginn, Funktionswiederherstellung, Produktzuteilung, Mehrausgabe, Umsatzverlust, manueller Workaround und endgültige Wiederherstellung zählt. Wenn jedes Team seine Definitionen während einer Krise erfinden muss, kann das Unternehmen den Betrieb wiederherstellen, während es den Faden verliert, der benötigt wird, um Kontrollen zu verbessern und Ansprüche zu unterstützen.

NotPetya zeigte, dass Wiederherstellungsbeweise nicht Papierkram im Nachhinein sind; sie sind Teil der Resilienz selbst. Diese Beweise sollten Führungswechsel, Rechtsstreitigkeiten und Markterinnerungen überleben.

Die Versicherungswortlaute änderten sich, weil der Markt lernte

Ein Grund, warum der Merck-Streit Aufmerksamkeit erregte, ist, dass er eine Diskrepanz zwischen Cyber-Risiko und traditionellen Sachversicherungsformulierungen offenbarte. Bevor dedizierte Cyber-Policen ausgereift waren, verließen sich viele Unternehmen teilweise auf Sachversicherungsprogramme für physische Schäden, Betriebsunterbrechung, Mehrkosten und Daten- oder Softwareverluste. NotPetya zeigte, dass Malware einen sachschadenähnlichen Verlust in einem Ausmaß verursachen konnte, das historisch mit Katastrophen verbunden war, während sie dennoch über Software und geopolitische Konflikte geliefert wurde.

Die Versicherungsmärkte reagierten im Laufe der Zeit mit expliziteren Cyber- und Kriegsformulierungen. Lloyd's veröffentlichte später Marktleitlinien zu Cyberangriffsausschlüssen, einschließlich Formulierungen zu staatlich unterstützten Cyberangriffen, durch öffentliche Marktbulletins wie dasLloyd's Market Bulletin Y5381. Das Lloyd's Bulletin ist nicht Teil des Merck-Gerichtsurteils und entscheidet nicht rückwirkend über Mercks Policen. Es ist relevant, weil es zeigt, wie der Markt versucht, explizitere Zuweisungsregeln nach schweren Cyber-Schadenerfahrungen zu entwerfen.

Klarere Formulierungen können beiden Seiten helfen. Versicherer müssen wissen, welche systemischen Cyber-Risiken sie bewerten. Versicherungsnehmer müssen wissen, ob Sach-, Cyber-, Vertrauensschaden- und Spezialpolicen auf Malware reagieren, die Systeme beschädigt und den Betrieb unterbricht. Regierungen und Kunden kritischer Infrastrukturen müssen wissen, ob Lieferanten über eine glaubwürdige Risikotransfer- oder Selbstversicherungskapazität nach einer Cyberkatastrophe verfügen. Uneindeutigkeit mag bei der Platzierung Geschäftsflexibilität bewahren, kann aber zu teurer Unsicherheit nach einem Schaden führen.

Der Punkt der Rechenschaftspflicht ist nicht, dass Versicherer falsch lagen, sich über staatlich verknüpfte Cyber-Akkumulationen zu sorgen. Sie hatten ein echtes Akkumulationsproblem: Ein Malware-Ereignis konnte viele Versicherte über Grenzen und Sektoren hinweg treffen. Der Punkt ist, dass die Akkumulationssorge eines Versicherers in eine spezifische, klare, deutliche und prominente Policensprache übersetzt werden muss. Das Gericht in New Jersey befand, dass der vorliegende Ausschluss feindlicher/kriegerischer Handlungen diese Arbeit für NotPetya nicht leistete.

Für Versicherungsnehmer ist die Lektion ebenso anspruchsvoll. Der Kauf von Versicherung ersetzt nicht die Resilienz. Merck musste immer noch den Betrieb wiederherstellen, Bestellungen verwalten, Verluste aufzeichnen, Beweise sichern und weiterhin Produkte liefern. Die Versicherungsstreitigkeiten dauerten Jahre. Wenn die Kontinuitätsplanung annimmt, dass eine Versicherungszahlung schnell genug eintrifft, um Betriebsunterbrechungen zu lösen, ist es keine Kontinuitätsplanung. Versicherung ist ein finanzielles Wiederherstellungsinstrument, kein Anlagenwiederanlaufwerkzeug.

Der Platzierungsprozess benötigt auch technische Beteiligung. Ein Vorstand mag einen Sachversicherungsturm, eine Cyber-Police und eine Captive-Struktur genehmigen, aber die Personen, die die Fertigungsabhängigkeiten verstehen, kennen oft die realen Schadenszenarien. Kann Malware Rezeptur-, Chargen-, Freigabe- oder Versanddaten in einer Weise beschädigen, die der Sachversicherungswortlaut anerkennt? Deckt die Betriebsunterbrechungsdeckung Schäden an Software und Daten oder nur an physischer Ausrüstung? Sind Mehrkosten für alternative Produktion, manuelle Qualitätsarbeit, externe Berater, Endpunktneubauten und Kundenkommunikation klar gedeckt?

Sind staatlich verknüpfte Cyber-Ausschlüsse so formuliert, dass der Risikoausschuss sie modellieren kann? Mercks Streit zeigte, dass diese Fragen vor der Verlängerung gestellt werden sollten, nicht nach einem zerstörerischen Malware-Ereignis.

Ein besserer Rechenschaftstest für das nächste NotPetya

Der Merck-Fall legt eine praktische Checkliste für Organisationen mit kritischen Produktionsrollen nahe. Erstens: Vertrauenswürdige Update-Pfade kartieren. M.E.Doc war eine vertrauenswürdige Anwendung laut Gerichtsakte. Ein vertrauenswürdiger Pfad kann zu einem Angreiferpfad werden, wenn er vorgelagert kompromittiert wird. Unternehmen sollten wissen, welche Drittanbieter-Update-Systeme Netzwerkzugriff haben und welche Umgebungen sie erreichen können. Zweitens: Den Explosionsradius kartieren.

Wie weit können Zugangsdaten, Domänenvertrauen, Fernadministration, geteilter Speicher und Endpunkt-Management-Tools Malware tragen, bevor die Segmentierung sie verlangsamt? Drittens: Den minimal lebensfähigen Betrieb kartieren. Welche Fertigungs-, Freigabe-, Forschungs-, Vertriebs- und Versandfunktionen müssen fortgesetzt werden, und welche sauberen Systeme können sie unterstützen?

Viertens: Beweissicherung üben. Vorfallprotokolle, wiederhergestellte Backups, Wiederaufbauaufzeichnungen, Produktionsbeeinträchtigungsnotizen, Bestandseffekte, Umsatzrückstände und Genehmigungen für Mehrausgaben sollten ohne Verzögerung der dringenden Wiederherstellung sammelbar sein. Fünftens: Versicherungssprache mit der technischen Realität in Einklang bringen. Wenn erwartet wird, dass Sachversicherungspolicen Datenkorruption, Systemwiederherstellung, Mehrkosten und Betriebsunterbrechung durch Malware decken, sollte diese Erwartung explizit sein.

Wenn Versicherer beabsichtigen, staatlich unterstützte destruktive Cyber-Ereignisse auszuschließen, sollte dieser Ausschluss explizit genug sein, damit Vorstände das verbleibende Risiko vor einem Schaden verstehen können. Sechstens: Öffentliche Aussagen begrenzt halten. Mercks Einreichungen taten dies besser als viele Unternehmen, indem sie spezifische Zahlen verwendeten und Erwartungen revidierten.

Auch die Öffentlichkeit benötigt bessere Unterscheidungen. Eine staatliche Zuschreibungserklärung ist nicht dasselbe wie ein Policenausschluss. Ein erstinstanzliches oder Berufungsurteil ist nicht dasselbe wie ein Urteil des obersten Gerichts. Ein Vergleich ist kein öffentliches Schuldeingeständnis. Ein Umsatzeffekt ist nicht dasselbe wie ein versicherter Schaden. Ein Malware-Familienname ist nicht dasselbe wie eine vollständige Ursache. Ein wiederhergestellter Produktionsstandort ist nicht dasselbe wie gelöschte nachgelagerte Auswirkungen.

Diese Begriffe sorgfältig zu behandeln ist keine juristische Haarspalterei; es ist, wie Rechenschaftspflicht an Beweise gebunden bleibt.

Mercks NotPetya-Fall bleibt eines der klarsten Beispiele dafür, wie Cyber-Risiko gleichzeitig zu Unternehmens-, öffentlichem Interessen- und Versicherungsrisiko wird. Das Unternehmen kontrollierte Teile der unternehmerischen Resilienz und der operativen Wiederherstellung. Versicherer kontrollierten die Policengestaltung und Deckungspositionen. Gerichte kontrollierten die Auslegung umstrittener Formulierungen. Regierungen kontrollierten öffentliche Zuschreibungserklärungen. Patienten, Leistungserbringer, Distributoren, Mitarbeiter und kleinere Gegenparteien lebten mit Konsequenzen, die sie nicht unabhängig diagnostizieren konnten.

Deshalb ist der Fall auch nach dem Vergleich noch von Bedeutung. Der Vergleich schloss den öffentlichen Streit, aber er löschte nicht die operative Lektion. Ein destruktives Malware-Ereignis kann in Minuten von einem vertrauenswürdigen Software-Update auf Zehntausende von Maschinen übergreifen, die pharmazeutische Produktion und den Vertrieb unterbrechen, Hunderte Millionen Dollar an quantifizierten Effekten generieren und hochentwickelte Parteien jahrelang darüber streiten lassen, ob alte Kriegsformulierungen anwendbar sind.

Die nächste Organisation sollte nicht auf diesen Streit warten, um herauszufinden, was ihre Netzwerke, Wiederherstellungspläne und Versicherungsworte tatsächlich bedeuten.