Citation: 4A_206/2023 E. 5

Die Vorinstanz erwog, die Parteien hätten in der Police gültig die Gerichte des Kantons Zürich als zuständig und Schweizer Recht für anwendbar erklärt. Die Police erfasse unbestritten den Schaden aus dem Cyberangriff vom tt.mm.Tatjahr. Die Beschwerdeführerin habe nicht auf die Einrede der Sanktionsklausel verzichtet. Ebenso wenig sei diese als ungewöhnlich zu qualifizieren. Nach US-amerikanischem Sanktionsrecht gelte die Beschwerdeführerin als sog. "non-U.S.-Person". Eine "non-U.S.-Person" könne wegen Verstosses gegen das Sanktionsrecht bestraft werden, wenn sie einen Verstoss durch eine "U.S.-Person" verursache. Ein solcher Verstoss könne namentlich darin liegen, dass eine Zahlung in USD erfolge, weil im Rahmen des Clearing und Settlements der Zahlung zwingend ein US-amerikanischer Finanzdienstleister an der Transaktion beteiligt werde. Voraussetzung für einen Verstoss sei allerdings, dass ein Interesse ("property or interests in property") einer sanktionierten Person (SDN) berührt werde. Die blosse Urheberschaft betreffend eine Ransomware stelle kein solches Interesse dar. Hingegen qualifiziere ein Profit einer sanktionierten Person im Zusammenhang mit einer Lösegeldzahlung als ein solches Interesse im Sinne des US-amerikanischen Sanktionsrechts. Dieses Interesse erfasse auch eine Versicherungsleistung, die den Schaden aus der Lösegeldzahlung ersetze, unabhängig davon, ob die Versicherungsleistung an die sanktionierte Person oder an den Versicherungsnehmer ausbezahlt werde. Das Beweismass richte sich grundsätzlich nach der lex causae. Vorliegend sei indes zu berücksichtigen, dass einzuschätzen sei, ob das OFAC angesichts des erstellten Sachverhalts annähme, eine sanktionierte Person (SDN) stehe hinter dem Cyberangriff auf die Beschwerdegegnerin. Insofern ergebe sich letztlich das anzuwendende Beweismass aus dem vertraglichen Verweis auf das US-amerikanische Recht. Die Parteiengutachter seien sich einig, dass die Verletzung von Sanktionen mit einer "preponderance of reliable, probative and substantial evidence" erstellt sein müsse, damit das OFAC Massnahmen anordnen könne. Die Beschwerdeführerin vermöge nicht nachzuweisen, dass die von der US-amerikanischen Regierung sanktionierte F.________ Urheberin des Cyberangriffs gegen die Beschwerdegegnerin gewesen sei bzw. davon profitiert habe. Es fehle somit ein Anknüpfungspunkt zum US-amerikanischen Sanktionsrecht und eine Bestrafung der Beschwerdeführerin bei Auszahlung der Versicherungssumme an die Beschwerdegegnerin wegen Verstosses gegen das US-amerikanische Sanktionsrecht sei höchst unwahrscheinlich. Entsprechend greife die von ihr angerufene Sanktionsklausel nicht.