Wann zahlt die Cyberversicherung nicht?

Was im Schadenfall trotz Cyberversicherung bei einem kleinen Betrieb hängen bleiben kann.

Ob die Cyberversicherung zahlt, entscheidet sich an vier Stellen: an Ihren Antworten im Antrag, an den Sicherheitspflichten im Vertrag, an den Ausschlüssen und an dem, was der Vertrag überhaupt als Schaden kennt. Ein Angriff kann also echt und teuer sein und trotzdem nicht versichert.

Die meisten Versicherer orientieren sich an den Musterbedingungen ihres Verbands, die aber unverbindlich sind. Jeder Tarif kann enger oder weiter sein. Was hier steht, ist deshalb eine Landkarte der üblichen Stolpersteine, kein Ersatz für den Blick in Ihre eigenen Bedingungen.

Vor dem Abschluss stellt der Versicherer Risikofragen: Gibt es Datensicherungen, werden Updates zeitnah eingespielt, hat jeder Mitarbeiter einen eigenen Zugang? Wer hier vorschnell Ja ankreuzt, gibt dem Versicherer im Schadenfall den stärksten Hebel. Nach dem Versicherungsvertragsgesetz kann er bei falschen Angaben zurücktreten, kündigen oder den Vertrag anpassen.

Er bleibt aber zur Leistung verpflichtet, wenn der falsch angegebene Umstand weder für den Angriff noch für die Höhe des Schadens ursächlich war, es sei denn, Sie haben arglistig getäuscht. So entschied das Landgericht Tübingen 2023 in einem viel beachteten Fall: Nicht alle Server hatten aktuelle Updates, der Angriff lief aber über einen Weg, den diese Updates nicht verhindert hätten. Der Versicherer musste zahlen. Das Urteil war nicht rechtskräftig, und auf einen solchen Ausgang sollten Sie nicht bauen.

Die Musterbedingungen für die Cyberversicherung verlangen unter anderem eigene Zugänge für jeden Nutzer, Passwörter mit Mindestanforderungen, einen sich selbst aktualisierenden Virenschutz, zeitnahe Sicherheitsupdates und eine mindestens wöchentliche Datensicherung, die ein Angreifer nicht mit verschlüsseln kann.

Verletzen Sie eine dieser Pflichten vorsätzlich, zahlt der Versicherer nichts. Bei grober Fahrlässigkeit darf er nach der Schwere des Verschuldens kürzen. Auch hier gilt: Haben Sie nachweislich nicht verursacht, dass es zum Schaden kam oder dass er so groß wurde, bleibt die Leistung. Deshalb lohnt es sich, Updates und Prüfungen der Datensicherung kurz zu protokollieren.

Manche Schäden sind in der Cyberversicherung schlicht nicht versichert. In den Musterbedingungen gehören dazu Krieg und Angriffe eines Staates, die auch wichtige Infrastruktur treffen, der großflächige Ausfall von Strom, Telefon oder Internet, Terror, Lösegeld, Bußgelder und Strafen sowie Schäden aus Angriffen, die schon vor Vertragsbeginn passiert sind.

Ein Ausschluss, den viele übersehen, heißt Abfluss von Vermögenswerten. Gemeint ist Geld, das vom Konto geht, etwa weil ein Mitarbeiter einer gefälschten Rechnung glaubt. Dafür braucht es einen eigenen Baustein oder eine Vertrauensschadenversicherung, die genau solche Betrugsfälle durch Täuschung oder eigene Leute abdeckt.

Auch nach einem Angriff haben Sie Pflichten: den Schaden sofort melden, die Hotline des Versicherers nutzen, Weisungen befolgen und keine Spuren vernichten. Wer auf eigene Faust einen IT-Dienstleister beauftragt und die Systeme neu aufsetzt, bevor jemand die Ursache sichern konnte, riskiert Streit über die Kosten.

Bei einer Betriebsunterbrechung gilt fast immer eine zeitliche Selbstbeteiligung: Die ersten Stunden des Stillstands tragen Sie selbst. Dazu kommt die vereinbarte Selbstbeteiligung je Schaden. Mehrere Angriffe mit derselben Ursache zählen nach den Musterbedingungen als ein einziger Schaden mit einer gemeinsamen Höchstsumme.

Lehnt der Versicherer ab, lohnt eine nüchterne Prüfung. Er muss beweisen, dass Sie eine Pflicht verletzt haben, und bei Rücktritt oder Kürzung kommt es darauf an, ob der Fehler den Schaden wirklich verursacht hat. Bei einem staatlichen Angriff trägt der Versicherer nach den Musterbedingungen ebenfalls die Beweislast.

Ein Versicherungsmakler steht bei der Auswahl auf Ihrer Seite und kann bei Streit über eine Cyberpolice helfen, die Argumente des Versicherers einzuordnen. Bei hohen Summen gehört der Fall aber zu einem Anwalt für Versicherungsrecht.