Citation: 4A_206/2023 E. A

A.a. Die B.________ Ltd. (Klägerin, Beschwerdegegnerin) mit Sitz in U.________ (Schweiz) ist die börsenkotierte Holdinggesellschaft der weltweit tätigen B.________-Gruppe, die namentlich Geräte zur xxx entwickelt, herstellt und vertreibt. Die A.________ Limited (Beklagte, Beschwerdeführerin) ist eine in Grossbritannien registrierte Versicherung mit Sitz in V.________ (Grossbritannien). Sie betreibt das Versicherungsgeschäft hauptsächlich in London, Singapur, Miami und New York. Seit 2018 wird die Beklagte zu 100 % von der C.________ Inc., einer nach US-amerikanischem Recht organisierten Gesellschaft, indirekt gehalten und kontrolliert. A.b. Am tt.mm.Tatjahr wurde die Klägerin Opfer einer Cyber-Erpressung unter Verwendung der Ransomware (Schadsoftware) D.________. Diese verschlüsselte Dateien (u.a. auch Kundendaten) auf den klägerischen Systemen, sodass die Dateien nicht mehr gelesen werden konnten. Die Klägerin sah sich gezwungen, den Betrieb ihrer Callcenter, Webseiten und einiger Online-Dienste einzustellen. Ein Dechiffriercode (um die verschlüsselten Dateien wieder verwenden zu können) wurde von den Angreifern erst nach Zahlung eines Lösegelds in Höhe von 1'500 Bitcoins in Aussicht gestellt. Die Klägerin beauftragte das US-amerikanische Unternehmen E.________ LLC, das Lösegeld in Bitcoins zu bezahlen. Am tt.mm.Tatjahr waren die klägerischen Systeme wieder operabel. Aus dem Angriff erwuchs der Klägerin ein Schaden von ca. yyy Millionen USD. A.c. Die Klägerin ist gegen Cyberangriffe versichert, wobei die Beklagte Mitversicherin der Police ist. Gemäss der Police ist jede Versicherung gemeinsam mit den anderen, aber nicht solidarisch für ihren gezeichneten Anteil leistungspflichtig. Die Beklagte verweigert als Einzige die Zahlung. Sie beruft sich auf einen in der Police enthaltenen Deckungsausschluss (Sanktionsklausel). Gemäss dieser wird die Versicherung von ihrer Zahlungspflicht befreit, wenn die Zahlung der Versicherungssumme namentlich gegen das US-amerikanische Sanktionsrecht verstösst. Unstrittig ist, dass die von der Beklagten für den Cyberangriff verantwortlich gemachte cyber-kriminelle russische Gruppe F.________ vom "Office of Foreign Assets Control" (OFAC) des US-amerikanischen Finanzministeriums sanktioniert und auf die "Specially Designated Nationals and Blocked Persons-List" (SDN-Liste) gesetzt worden ist. Die Beklagte stellt sich auf den Standpunkt, sie würde im Falle einer Auszahlung der Versicherungsleistung an die Klägerin das US-amerikanische Sanktionsrecht verletzen.