Eine Cyberpolice ist schnell abgeschlossen. Ein Fragebogen, ein paar Kreuze, ein Beitrag, der neben der Versicherungssumme klein aussieht. Danach liegt der Ordner im Schrank.
Interessant wird sie an dem Tag, an dem der Betrieb steht. Und dann fragt der Versicherer nicht als Erstes, was passiert ist. Er fragt, was vorher war: Wer hatte Administratorrechte. Wann lief die letzte Sicherung, und wo lag sie. Ob der betroffene Server noch Sicherheitsupdates bekam.
Das sind keine Schikanen. Es sind die Antworten aus dem Fragebogen von damals, und sie sind Vertragsinhalt geworden. Wer dort falsch angekreuzt hat, hat keine Formalie versäumt — er hat eine Obliegenheit verletzt.
„Cyberversicherung“ ist kein Produkt, sondern vier Bausteine
Einen einheitlichen Vertrag gibt es nicht. Was es gibt, sind die Musterbedingungen des Gesamtverbandes der Deutschen Versicherungswirtschaft — die AVB Cyber, Stand Februar 2024. Viele Verträge lehnen sich daran an, unverbindlich sind sie trotzdem: Auf der Titelseite steht ausdrücklich, dass abweichende Vereinbarungen möglich sind. Was für dich gilt, steht in deinem Versicherungsschein.
Sie bestehen aus vier Bausteinen: A1 regelt den Versicherungsfall und die Pflichten davor, A2 die Kosten von Forensik bis Benachrichtigung, A3 Ansprüche Dritter, A4 den eigenen Schaden aus Betriebsunterbrechung und Datenwiederherstellung.
Zwei Dinge daran werden überschätzt. Erstens sind Call-Center für betroffene Kunden und Krisenkommunikation nicht automatisch dabei: Beides steht unter dem Vorbehalt, dass es durch besondere Vereinbarung erweitert wird. Zweitens werden Forensik und die Kosten im Versicherungsfall nur „nach vorheriger Abstimmung mit dem Versicherer“ ersetzt — wer erst den Dienstleister beauftragt und dann die Versicherung anruft, kann auf der Rechnung sitzen bleiben.
Die Fragen im Antrag sind später der Vertrag
§ 19 Absatz 1 VVG verpflichtet dich, die Gefahrumstände anzuzeigen, nach denen der Versicherer in Textform gefragt hat. Verletzt du diese Anzeigepflicht, kann er nach Absatz 2 vom Vertrag zurücktreten — es sei denn, du hast weder vorsätzlich noch grob fahrlässig gehandelt. Dann bleibt ihm die Kündigung mit Monatsfrist.
Wie diese Fragen aussehen, zeigt der Muster-Fragebogen des Verbandes (Stand Dezember 2019). Er staffelt nach Jahresumsatz: Kategorie A bis zwei Millionen Euro, B bis fünf, C bis zehn. In Kategorie A sind es zehn Fragen zu den Obliegenheiten und fünf zu Sonderbereichen wie E-Commerce, Dienstleistern oder privaten Geräten. Der Verband schreibt selbst, dass diese Stufe für rund 80 Prozent der kleinen und mittelständischen Unternehmen ausreicht.
Die fünf Pflichten, die in fast jeder Police stehen
A1-16 zählt auf, was die informationsverarbeitenden Systeme können müssen. Kein Wunschzettel, sondern die Liste, an der die Leistung hängt:
Individuelle Zugänge und getrennte Administration. Jeder Nutzer hat einen eigenen Zugang, Mindestanforderungen an Passwörter sind technisch sicherzustellen, und administrative Zugänge bleiben Administratoren vorbehalten — ausschließlich zur Erledigung administrativer Tätigkeiten. Das gemeinsame Konto „buero“ mit Administratorrechten, an dem drei Leute arbeiten, reißt diesen Punkt gleich zweimal.
Zusätzlicher Schutz, wo ein erhöhtes Risiko besteht. Das haben laut Bedingungen Geräte, die über das Internet erreichbar sind, und Mobilgeräte. Als Beispiele genannt werden Firewall und Zwei-Faktor-Authentifizierung bei Servern, bei Laptops und Smartphones die Verschlüsselung der Datenträger. Wie der zweite Faktor im Alltag aussieht, steht in Zwei-Faktor im Betrieb.
Schutz gegen Schadsoftware, der sich selbst aktuell hält. Das Schutzniveau muss automatisch aktuell gehalten werden. Ein Virenschutz, dessen Abo im Frühjahr auslief, ist keiner.
Ein Patch-Management-Verfahren. Es muss die zeitnahe Installation relevanter Sicherheitsupdates sicherstellen. Und dann folgt der Satz, der den alten Server im Keller betrifft: Systeme mit bekannten Sicherheitslücken dürfen nicht ohne zusätzliche geeignete Absicherung eingesetzt werden.
Eine mindestens wöchentliche Sicherung — mit Trennung. Zusätzlich ist sicherzustellen, dass kein System und keine Befugnisebene Schreibberechtigung auf Originale und Duplikate hat und beide verändern oder vernichten kann. Genannt werden zwei Beispiele: Gesicherte Geräte dürfen Sicherungskopien nicht löschen können, und ein Backup-Server gehört nicht in dasselbe Managementsystem wie der Rest. Dazu die Pflicht, Sicherung und Wiederherstellung nach festgelegtem Turnus zu prüfen.
An diesem Punkt hängen viele Betriebe, ohne es zu wissen. Ein NAS im selben Netz, auf das der Server schreiben darf, erfüllt ihn nicht — und geht bei einer Verschlüsselung mit drauf. Warum, steht in Ein Backup ist noch keine Datensicherung.
Was passiert, wenn ein Haken nicht stimmt
Die Rechtsfolge steht in § 28 VVG und ist zweistufig. Bei vorsätzlicher Verletzung einer Obliegenheit ist der Versicherer leistungsfrei. Bei grober Fahrlässigkeit darf er die Leistung im Verhältnis zur Schwere des Verschuldens kürzen — und die Beweislast dafür, dass keine grobe Fahrlässigkeit vorlag, trägt der Versicherungsnehmer. Nach Absatz 1 kann er zudem kündigen.
Es gibt einen Ausweg: Nach Absatz 3 bleibt der Versicherer verpflichtet, soweit die Verletzung weder für den Versicherungsfall noch für den Umfang der Leistungspflicht ursächlich war. Wer belegen kann, dass die fehlende Festplattenverschlüsselung mit dem verschlüsselten Server nichts zu tun hatte, ist nicht draußen. Bei Arglist gilt das nicht.
Bemerkenswert ist, was die Muster an dieser Stelle nicht tun. A1-17.9 schließt Vorsatz und wissentliche Pflichtverletzung aus und bestimmt zugleich, dass § 81 Absatz 2 VVG nicht gilt — die Vorschrift, nach der gekürzt werden darf, wenn der Versicherungsnehmer den Schaden grob fahrlässig herbeiführt. Der unbedachte Klick auf den Anhang führt danach also nicht zur Kürzung.
Was ausgeschlossen bleibt, egal wie ordentlich du bist
Die Ausschlüsse in A1-17 gelten „ohne Rücksicht auf mitwirkende Ursachen“. Vier treffen kleine Betriebe besonders:
Lösegeld. Die Zahlung von Löse- oder Erpressungsgeldern ist ausgeschlossen. Das passt zur Linie des BSI, das empfiehlt, nicht zu zahlen, sondern nach der Bereinigung des Netzes aus intakten Sicherungen wiederherzustellen.
Abfluss von Vermögenswerten. Auch der ist ausgeschlossen. Im Klartext: Der Betrag, der nach einer manipulierten Rechnung auf ein fremdes Konto ging, ist nach den Mustern kein versicherter Schaden — auch wenn der Angriff im Postfach begann. Wie dieser Fall abläuft, steht in Was ein Cyberschaden kostet.
Ausfall von Infrastruktur. Fällt der Strom aus, das Telefon-, Internet- oder Funknetz oder die Wasserversorgung, ist der Folgeschaden nicht gedeckt.
Alles, was vorher schon lief. Ausgeschlossen sind Schäden aus Informationssicherheitsverletzungen, die vor Vertragsbeginn eingetreten sind. Das Postfach, in dem seit dem Frühjahr jemand mitliest, ist kein Fall für die im Sommer abgeschlossene Police.
Nach dem Angriff laufen die Pflichten weiter
Mit der Schadenmeldung ist es nicht getan. § 82 VVG verlangt, den Schaden nach Möglichkeit abzuwenden und zu mindern, Weisungen des Versicherers zu befolgen, soweit zumutbar, und sie einzuholen, wenn die Umstände das gestatten. Abschnitt B3-3 der Muster ergänzt: unverzügliche Anzeige des Schadeneintritts, binnen einer Woche die Anzeige von Tatsachen, die eine Verantwortlichkeit gegenüber Dritten zur Folge haben könnten.
Der heikelste Punkt ist B3-3.4: Das Schadenbild ist unverändert zu lassen, bis der Versicherer eine Veränderung gestattet; sind Veränderungen unumgänglich, ist es nachvollziehbar zu dokumentieren. Das steht quer zum ersten Reflex — Rechner platt machen, neu aufsetzen, weiterarbeiten.
Was das für die Entscheidung heißt
Eine Cyberpolice ist sinnvoll — aber sie ist eine Versicherung und keine Sicherheitsmaßnahme. Das BSI formuliert es für den Schutz vor Ransomware so: Es bestehe kein „Maßnahmenmangel“, sondern ein „Umsetzungsmangel“. Genau diese Umsetzung verlangt der Versicherer, und zwar vorher.
Drei Schritte, in dieser Reihenfolge:
- Den Fragebogen nicht allein ausfüllen. Jede Frage ist eine technische Aussage. Wer sie nicht sicher beantworten kann, lässt nachsehen, statt zu schätzen.
- Die fünf Punkte oben umsetzen, bevor unterschrieben wird. Nicht danach.
- Nach jeder Änderung nachziehen. Ein neuer Server, ein neuer Fernzugang, ein neues Kassensystem — dann gehört der Fragebogen noch einmal auf den Tisch.
Das ist ohnehin die Arbeit, die ein Betrieb schuldet. Wer sie erledigt hat, braucht die Police seltener und bekommt im Ernstfall eher etwas heraus. Dabei hilft IT-Infrastruktur und Security.
Zum rechtlichen Teil noch ein Wort: Oben steht, was im VVG und in den unverbindlichen Musterbedingungen steht. Dein Vertrag kann abweichen, und ob eine Obliegenheit im Einzelfall verletzt ist, entscheiden Umstände, die kein Blogbeitrag kennt. Diese Einordnung gehört zu einem Anwalt oder deinem Versicherungsmakler.