Bewertung physischer Klima- und Naturgefahrenrisiken für Anlagen und Portfolios

Hochwasser, Stürme, Hagel, Waldbrände, Hitze und Dürre beschädigen immer mehr Gebäude, Anlagen und Kreditsicherheiten, und Aufsichtsbehörden erwarten heute von Unternehmen, dieses vorausschauende Risiko je Standort zu quantifizieren. KI und Katastrophenmodell-Software kombinieren herunterskalierte Klimaszenarien, Gefahrenkarten, Satelliten- und Geländedaten sowie Gebäudemerkmale, um jeder Adresse einen Risikowert und einen erwarteten Schaden zu geben, aggregiert über das Portfolio. Das unterstützt Zeichnung und Kumulkontrolle, Bewertung von Sicherheiten, aufsichtliche Stresstests, CSRD-/ESRS-Offenlegung und kommunale Anpassungsplanung.

Problem & Nutzen

• Heute: Versicherer verlassen sich auf postleitzahl- oder zonenbasierte Preisgestaltung und ältere Katastrophenmodelle; Banken und Immobilieneigentümer verfügen oft nur über eine Adressliste und einige Abfragen von Überschwemmungszonen; Unternehmen müssen Fragen von Kreditgebern, Versicherern und Prüfern zu physischen Risiken ohne eine Methode beantworten. Der Klimawandel verschiebt die Gefahrenverteilungen, sodass historische Schadenaufzeichnungen allein das künftige Risiko unterschätzen.
• Kontext: Die erste Europäische Klimarisikobewertung der EU (EUCRA, 2024) stellt fest, dass Europa der sich am schnellsten erwärmende Kontinent ist und dass viele Klimarisiken, auch für Infrastruktur und Finanzstabilität, bereits ein kritisches Niveau erreicht haben [3].
• KI-Nutzen: einheitliche Bewertung je Anlage für tausende bis Millionen von Standorten, Vergleich von Szenarien und Zeithorizonten, ML-gestützte Herunterskalierung und Kalibrierung der Vulnerabilität anhand von Schäden sowie LLM-Unterstützung, die Modellergebnisse in Offenlegungstexte verwandelt und Prüferfragen beantwortet.
• Regulatorischer Sog: CSRD/ESRS E1 (physische Risiken und Anpassung), die Klimarisikobewertung zum Kriterium „keine erhebliche Beeinträchtigung“ (DNSH) der EU-Taxonomie, aufsichtliche Erwartungen und Stresstests von EZB/EBA/EIOPA sowie die unternehmenseigene Risiko- und Solvabilitätsbeurteilung (ORSA) nach Solvency II verlangen alle eine vorausschauende Analyse physischer Risiken. Der Anwendungsbereich der CSRD-Berichterstattung wird durch das EU-„Omnibus“-Verfahren verringert und vereinfacht (vereinfachte ESRS werden bei der EFRAG vorbereitet [4]); klären Sie daher, welche Pflichten für Ihr Unternehmen gelten; die Nachfrage von Kreditgebern und Versicherern nach den Daten besteht unabhängig davon fort.
• Es gibt keine allgemeingültige Nutzenzahl; der Wert wird an eigenen Schadenquoten, Preisadäquanz und vermiedener Konzentration gemessen, behandeln Sie Herstellerangaben daher als ungeprüft, bis sie per Back-Test belegt sind.

Varianten

• Versicherung: Zeichnung von Sach- und Technikversicherungen, Kumulkontrolle, Rückversicherungseinkauf, Entwurf parametrischer Auslöser. Die Preisgestaltung im Wohngebäudebereich überschneidet sich mit PRED-010.
• Bankwesen: Kennzeichnung physischer Risiken bei Sicherheiten und Hypotheken, Klimastresstests, Heatmaps für Branchenportfolios; Verbindung zur Bewertung in PRED-015.
• Unternehmen / KMU: Standortrisiko für Werke, Lager, Läden und Knoten der Lieferkette, genutzt für Versicherungsverhandlungen, Notfall- und Kontinuitätsplanung und die Offenlegung nach ESRS E1.
• Immobilien- und Infrastrukturfonds: Klima-Value-at-Risk auf Objektebene, Priorisierung von Sanierung und Anpassung (siehe PRED-048 für Energie, PRED-046 für Bauwerksüberwachung).
• Öffentlicher Sektor / Kommunen: Kartierung von Hitze-, Starkregen- und Dürre-Hotspots in Städten, Planung von Anpassungsinvestitionen, Risikokommunikation gegenüber Bürgerinnen und Bürgern.
• Privat: Hochwasser-/Hitzeabfragen auf Adressebene über nationale Portale oder Versicherer beim Kauf, der Miete oder der Versicherung eines Hauses (Selbstbedienung, nur zur Information).
• Zusammengeführte Kandidaten: Die Recherche führte diesen Umfang unter mehreren Formulierungen auf (Branche Gesundheitswesen, Hyperscaler- und Forschungskataloge); alle beschreiben dieselbe Pipeline und sind hier abgedeckt. Das Gesundheitswesen ist schlicht ein Standortrisiko-Portfolio (Krankenhäuser, Kliniken) und braucht keine eigene Methode.

So funktioniert es

1. asset register (address/coordinates, type, value)
2. geocoding & exposure enrichment
3. hazard layers (flood, wind, hail, wildfire, heat, drought, subsidence) per scenario & horizon
4. vulnerability / damage functions (building type, elevation, construction year)
5. loss calculation (event sets, Monte Carlo)
6. expected annual loss, loss curves
7. portfolio aggregation (accumulation, PML, climate VaR)
8. disclosure & decision outputs
9. expert review, back-test against claims, documented assumptions

• Gefahrenschicht: physikalische Simulation und statistische Modelle (hydraulische Hochwassermodelle, Ereignissets für tropische und außertropische Stürme, Waldbrandausbreitung), zunehmend ergänzt durch ML-basierte Emulatoren und KI-Foundation-Modelle für Wetter und Klima zur Herunterskalierung und für schnelle Szenarioläufe.
• Anreicherung der Exposition: Geokodierung, Gebäudegrundrisse, Fernerkundungsmodelle und VLMs lesen Höhenlage, Dachtyp, Keller oder Vegetation aus Bildern, um fehlende Merkmale zu ergänzen.
• Schadenschicht: Vulnerabilitätskurven und Gradient-Boosting-Modelle, kalibriert an Schäden.
• LLM-Schicht: entwirft Offenlegungstexte, befragt die Ergebnisse über einen Agenten mit Werkzeugaufrufen und erklärt Werte; sie berechnet selbst nie Schäden.
• Mensch-in-der-Schleife (Human-in-the-Loop): Risikoingenieure genehmigen Szenarioauswahl, Vulnerabilitätsannahmen und Übersteuerungen; Zeichnungs- und Kreditentscheidungen bleiben bei namentlich benannten Menschen.

Datenaufbereitung

Benötigt werden Anlagenlisten mit exakten Adressen oder Koordinaten, Baujahr, Nutzung, Werten und Versicherungssummen sowie externe Gefahrenkarten, Klimaprojektionen, Höhendaten und Gebäudegrundrisse und historische Schadendaten. Intern liegen diese in ERP- oder Immobiliensystemen, in Policen- und Sicherheitensystemen, in Standortlisten in Excel und in gescannten Objektunterlagen.

Typische Lücken: Adressen, die sich nicht geokodieren lassen, fehlende Koordinaten oder Baujahre, doppelte Standorte nach Fusionen, veraltete Werte, Gebäudemerkmale nur in PDFs und unklare Lizenzen für Gefahrendaten.

Konkrete Schritte: das Anlagenregister aus allen Systemen konsolidieren (PREP-005, PREP-003); Tabellen aufräumen (PREP-011); Adressen geokodieren und deduplizieren; Gebäudemerkmale aus gescannten Unterlagen mit OCR und einem LLM extrahieren (PREP-006, DOC-018); Kennzahlen und Szenariodefinitionen in einem Glossar festlegen (PREP-012); Schadenhistorie als Validierungs-Labels gewinnen (PREP-020). Werkzeuge: ein Geokodierungsdienst, QGIS oder PostGIS, Python. Rechnen Sie mit etwa 30-40 % des Aufwands. Siehe GUIDE-003.

Umsetzungswege

Welcher Weg für wen

• smb: A - zertifizierte Dienste für Klimarisiko und Gefahrenwerte mit Adressabfrage gibt es zu KMU-tauglichen Preisen, und der Einsatz (Offenlegung, Standort-Screening) ist Standard.
• enterprise: B - Versicherer, Banken und große Eigentümer müssen Gefahrendaten mit ihren eigenen Expositions-, Schaden- und Sicherheitendaten kombinieren und Ergebnisse in Risikomodelle einbetten, was ein geschlossenes Werkzeug selten erlaubt.
• public: B - Kommunen bauen auf einer souveränen EU-/deutschen Cloud mit öffentlichen Gefahren- und Klimadaten auf, um Vergabe- und Souveränitätsanforderungen zu erfüllen.
• developer: C - offene Klimadatensätze und Open-Source-Werkzeuge für Gefahren und Geodaten laufen auf HW2 und schaffen volle Transparenz der Modellkette.

Weg A — Kaufen (Standardsoftware) (für die meisten Unternehmen empfohlen)

• Katastrophenmodell- und Standortrisiko-Plattformen: Munich Re Location Risk Intelligence (DE), Swiss Re CatNet (CH), Moody's RMS (einschließlich der früheren Klimaanalytik von Four Twenty Seven), Verisk, Jupiter Intelligence, Climate X (UK) sowie ESG-Datensuiten wie MSCI Climate und S&P Global (Trucost) für Investoren. Hochwasserspezialisten: Fathom (UK) bietet globale Hochwasserkarten, Risikowerte und ein Hochwasser-Katastrophenmodell für jedes Klimaszenario bis 2100 [5]; JBA Risk Management (UK) bietet globale Hochwasserkarten und Klimarisikoanalytik [6]. In Deutschland nutzen Versicherer die Gefahrenzonierung ZÜRS Geo des GDV für Hochwasser, Starkregen und Sturm.
• Wählen Sie A, wenn: Sie innerhalb von Wochen belastbare, von Aufsichtsbehörden anerkannte Ergebnisse brauchen, weniger als einige hunderttausend Standorte haben und kein eigenes Personal für Katastrophenmodellierung besitzen.
• Prüfen: Szenarioabdeckung (SSPs, Zeithorizonte), Auflösung in Ihrer Region, Datenlizenzierung für die Nutzung bei der Offenlegung, Dokumentation für die Modellvalidierung, EU-Hosting und API-/Batch-Zugang.

Weg B — Auf Cloud-KI-Diensten aufbauen

• Daten- und Gefahren-Feeds: Copernicus Climate Data Store (C3S) mit seiner API und den earthkit-Werkzeugen für Reanalysen und Klimaprojektionen [7]; der Digitale Zwilling zur Klimaanpassung von ECMWF Destination Earth, sobald er verfügbar wird (das Programm nennt Aktualisierungen des Klima-Zwillings bis September 2026) [2]; Gefahren-APIs der oben genannten Anbieter.
• Rechenleistung: Batch-Jobs in einer EU-Cloud-Region; Geodaten-Stack (GeoPandas, xarray, H3 oder Ähnliches), ML mit LightGBM oder einem Tabellen-Foundation-Modell zur Schadenkalibrierung.
• LLM-Schicht: ein Frontier-Modell in einer EU-Region mit Werkzeugaufrufen in die Schadenengine für Erklärungen und Offenlegungsentwürfe, mit strukturierten Ausgaben und Quellenangaben.
• Wählen Sie B, wenn: Sie eigene Indizes brauchen (zum Beispiel kundenspezifische Schadenfunktionen), aber keine Datensouveränitätsbeschränkung für Anlagenadressen besteht.

Weg C — Selbst betreiben (Open Source)

• CLIMADA (ETH Zürich, GPL-3.0): offenes Rahmenwerk für Klimarisiko und Bewertung von Anpassung mit Gefahrenmodulen (z. B. tropische Wirbelstürme) und einer Daten-API, die globale Gefahren in etwa 4x4 km abdeckt; die aktuelle Version auf GitHub ist v6.1.0 [1][8].
• physrisk (OS-Climate, wechselt derzeit unter die FINOS-Governance; Apache-2.0): Bottom-up-Engine für große Anlagenzahlen, mit Gefahrenindikatoren aus CMIP/CORDEX und öffentlichen Quellen sowie Vulnerabilitätsmodellen; installierbar mit pip install physrisk-lib [9].
• Weitere offene Werkzeuge: Oasis Loss Modelling Framework für die Ausführung offener Katastrophenmodelle, dazu die Hochwassermodelle LISFLOOD/GloFAS des Copernicus-Katastrophen- und Krisenmanagementdienstes der EU.
• Hardware: HW2 genügt, um bis zu Millionen Anlagen anhand vorberechneter Gefahrenraster zu bewerten; die Speicherung der Gefahrenraster braucht Terabytes an Plattenplatz; HW3/HW4 wird nur für den Betrieb eigener hydraulischer oder ML-Herunterskalierungsmodelle benötigt. Der Betriebsaufwand ist hoch, weil die Gefahrendaten aktualisiert werden müssen.

Weg D — Eigenes Training

Lohnt sich für Versicherer und Banken mit großen Schadenhistorien: Schaden- und Vulnerabilitätsmodelle auf Schäden plus Gefahrenintensität trainieren (Gradient Boosting, kalibrierte GLMs), ML-Herunterskalierung oder Emulatoren regionaler Klimamodelle sowie CNN-/Transformer-Modelle auf Bildern für Gebäudemerkmale. Benötigt mehrere Jahre geokodierter Schaden- und Expositionsdaten sowie Personal für Katastrophenmodellierung oder Klimawissenschaft. Behalten Sie stets ein physikalisches Katastrophenmodell als Vergleichsmaßstab; ersetzen Sie es nicht durch eine Black Box.

Stand der Technik (2026)

• Katastrophenmodelle plus Klimaszenarien sind inzwischen kommerzielle Standardprodukte: Hochwasser, tropische und außertropische Wirbelstürme, Hagel, Waldbrand und Hitze auf Adressebene unter SSP-Szenarien [5][6].
• KI-Wetter- und Klimamodelle (siehe PRED-017) liefern schnellere Ensembles; Destination Earth baut Klimasimulationen im Kilometermaßstab mit mehreren gekoppelten Modellen (ICON, IFS-FESOM, IFS-NEMO) auf und liefert Daten für Wirkungssektoren [2].
• Offene Werkzeuge sind gereift: CLIMADA v6.x und physrisk bieten reproduzierbare, prüfbare Pipelines, die Finanzinstitute ohne Lizenzgebühren übernehmen können [1][9].
• Grenzen und Fehlerbilder: Die Unsicherheit der Klimamodelle wächst mit dem Zeithorizont; Gefahrenkarten unterscheiden sich zwischen Anbietern für dieselbe Adresse stark, nutzen Sie daher mehrere Quellen und zeigen Sie Bandbreiten. Die Auflösung kann lokalen Hochwasserschutz, Entwässerung und Anpassungen auf Gebäudeebene übersehen. Verbundereignisse und sekundäre Gefahren (Hagel, Konvektivsturm, Bodensenkung, Waldbrand in Europa) sind schwach modelliert. Extremrisiken und Kipppunkte werden nicht erfasst. Werte dürfen nicht als Prognosen einzelner Ereignisse dargestellt werden. Fehlende oder falsch geokodierte Adressen sind der häufigste Datenfehler.

Gemeinsame Bausteine & Kombinationen

• Gleiche Bausteine (simulation + scientific-fm + remote-sensing + tabular-ml): PRED-017 (Wetter-KI und Prognosedaten), PRED-027 (Hochwasserprognose und Frühwarnung, gleiche Hydrologiedaten), SCI-010 (Klimamodellierung), PRED-042 (Luftqualität) teilen ERA5-/Copernicus-Datenpipelines und GPU-basierte Geodaten-Inferenz.
• Nachgelagerte Entscheidungen: PRED-010 (Versicherungspreisgestaltung und Zeichnung), PRED-015 (Immobilienbewertung, klimabereinigt), PRED-009 (Kreditrisiko mit Sicherheitenkennzeichen), PRED-048 (Fahrpläne zur energetischen Sanierung, gleiche Gebäudedaten), PRED-046 (Bauwerksüberwachung).
• Berichterstattung: DATA-012 (CSRD-Datenerhebung und Berichterstattung), LANG-037 (Investoren-ESG, EU-Taxonomie und SFDR-Analytik) verwenden die Werte auf Anlagenebene.
• Gemeinsame Infrastruktur: ein Geodaten-Data-Lake (Gefahrenraster, Gebäudegrundrisse, Höhendaten), ein Geokodierungsdienst und ein HW2-/HW3-GPU-Knoten bedienen alle diese Anwendungsfälle.

Aufwand, Kosten & Kennzahlen

• Weg A: Wochen bis wenige Monate bis zum Onboarding; Lizenz typischerweise nach Zahl der Standorte, Gefahren und Datenvolumen oder nach API-Aufrufen bepreist.
• Weg B: 3-6 Monate für eine produktive Pipeline mit Daten-Governance und Validierung.
• Weg C: 6-12 Monate einschließlich Betrieb der Gefahrendaten und Modellvalidierung; vor allem Personalkosten.
• Weg D: 12+ Monate, spezialisiertes Team, Schadenhistorie über Jahre.
• Kennzahlen: Trefferquote der Geokodierung, Anteil des bewerteten Portfolios, Kalibrierung im Back-Test gegenüber realisierten Schäden (Schadenquote je Risikoband), Übereinstimmung zwischen Anbietern, erkannte und entschärfte Kumul-Hotspots, Zeit bis zur Erstellung von Offenlegungen oder Stresstest-Einreichungen.

Menschen & Veränderung

Beziehen Sie die Geschäftsführung ein (Strategie, Offenlegungspflichten), die Abteilungsleitung für Risiko, Zeichnung oder Facility Management, die IT und die Verantwortlichen der Anlagen- und Policendaten sowie Recht/Compliance für ESRS, Taxonomie und aufsichtliche Erwartungen. Daten- und Modellanbieter sind Partner; prüfen Sie ihre Methodendokumentation und Ausstiegsoptionen (GUIDE-010).

Betriebsrat: normalerweise nein nach §87 Abs. 1 Nr. 6 BetrVG, da das System Anlagen bewertet und nicht Beschäftigte; informieren Sie ihn nach §90 Abs. 1 Nr. 3, wenn sich Arbeitsprozesse in Zeichnung oder Planung ändern. Personenbezogene Daten: Adressen privater Eigentümer oder Mieter in Versicherungs- und Kreditportfolios sind personenbezogen, binden Sie daher den/die Datenschutzbeauftragte(n) ein, schließen Sie mit jedem Datenanbieter einen AVV und prüfen Sie, ob eine DSFA nötig ist; bei Unternehmensstandorten meist nicht.

KI-Kompetenz: Unterstützen Sie die Beschäftigten mit einer Schulung zu Szenario-Unsicherheit und zum Unterschied zwischen Gefahr, Exposition und Schaden (GUIDE-006). Pilotieren Sie an einem Portfolio oder einer Region und vergleichen Sie mit bestehenden Bewertungen. Typische Sorge: „Scheingenauigkeit“ - stellen Sie Bandbreiten und Szenariostreuung dar und lassen Sie Fachleute Werte übersteuern, mit dokumentierten Gründen. Siehe GUIDE-008 und GUIDE-009.

Risiken, Regulierung & Compliance

• KI-Verordnung (AI Act): hängt vom Einsatz ab. Die Bewertung von Immobilien, Anlagen und kommunalen Objekten fällt in der Regel nicht unter eine Kategorie des Anhangs III (minimales Risiko). Risikobewertung und Preisgestaltung für natürliche Personen in der Lebens- und Krankenversicherung sowie die Kreditwürdigkeitsprüfung natürlicher Personen sind nach Anhang III (Nr. 5) Hochrisiko; ein Hochwasserwert, der als Eingabe in eine Verbraucherkredit- oder Personenversicherungsentscheidung dient, kann das gesamte System in den Anwendungsbereich bringen [10]. Die KI-Kompetenz nach Art. 4 gilt durchgängig.
• DSGVO: Adressen privater Wohnhäuser sind personenbezogene Daten, wenn sie mit einer Person verknüpft sind; ein Risikowert je Haushalt braucht eine Rechtsgrundlage, Transparenz und Schutzmaßnahmen nach Art. 22, wenn Entscheidungen automatisiert getroffen werden. Aggregation auf Postleitzahl- oder Rasterebene verringert die Exposition. Unternehmensstandorte sind überwiegend nicht personenbezogen.
• Fachrecht: Solvency II/ORSA und EIOPA-Erwartungen (Versicherer), CRR/CRD und EBA-Leitlinien zu ESG-Risiken sowie Klimaerwartungen der EZB (Banken), DORA für das IKT-Drittanbieterrisiko bei Nutzung von Anbietern, CSRD/ESRS E1 und EU-Taxonomie DNSH für die Offenlegung. Modellrisikomanagement (Validierung, Dokumentation) gilt für interne Modelle.
• Soziales Risiko: Risikowerte können Redlining oder den Verlust von Versicherung und Kredit für hochwassergefährdete Viertel verursachen; nutzen Sie Prüfungen zu Leistbarkeit und Fairness sowie klare Kommunikation.
• Gegenmaßnahmen: Gefahrendaten aus mehreren Quellen, Unsicherheitsbandbreiten, Back-Tests, menschliche Freigabe, versionierte Szenarien und Annahmen, Prüfpfad von den Daten bis zur Offenlegung.

Erste Schritte

1. Bereinigen Sie Ihr Anlagenregister: alle Standorte geokodieren, Baujahr, Nutzung, Wert, Höhenlage ergänzen.
2. Wählen Sie die von Ihrer Aufsicht oder Ihrem Kreditgeber geforderten Szenarien und Zeithorizonte (z. B. SSP2-4.5 und SSP5-8.5, 2030/2050) und stimmen Sie die Gefahrenliste mit den Risiko- und Finanzteams ab.
3. Pilotieren Sie einen kommerziellen Anbieter und ein offenes Werkzeug (CLIMADA oder physrisk) an 1.000 Standorten und vergleichen Sie die Werte an einer Stichprobe bekannter Schadenstandorte.
4. Führen Sie einen Back-Test gegen Ihre eigene Schaden- oder Ereignishistorie durch; dokumentieren Sie die Vulnerabilitätsannahmen.
5. Automatisieren Sie die Pipeline, verbinden Sie die Ergebnisse mit Zeichnung, Kredit oder CSRD-Berichterstattung und überprüfen Sie sie jährlich.

Quellen

1. CLIMADA project (ETH Zurich) — https://github.com/CLIMADA-project/climada_python
2. ECMWF Destination Earth — https://destine.ecmwf.int/
3. European Environment Agency — European Climate Risk Assessment (EUCRA) — https://climate-adapt.eea.europa.eu/en/metadata/publications/european-climate-risk-assessment
4. EFRAG — Sustainability reporting and simplified ESRS — https://www.efrag.org/en/sustainability-reporting
5. Fathom — global flood maps and cat model — https://www.fathom.global/
6. JBA Risk Management — flood maps and climate risk analytics — https://www.jbarisk.com/
7. Copernicus Climate Data Store — https://cds.climate.copernicus.eu/
8. CLIMADA releases (v6.1.0) — https://github.com/CLIMADA-project/climada_python/releases
9. OS-Climate physrisk — https://github.com/os-climate/physrisk
10. Regulation (EU) 2024/1689 (AI Act) — https://eur-lex.europa.eu/eli/reg/2024/1689/oj