Social Engineering und Zahlungsbetrug: warum die Deckung anders funktioniert

Klassische Cyberbausteine knüpfen an eine Beeinträchtigung von Systemen oder Daten an: Schadsoftware, unbefugter Zugriff, Verschlüsselung, Datenabfluss. Beim Zahlungsbetrug funktioniert die Technik dagegen einwandfrei. Getäuscht wird ein Mensch, der eine reguläre Überweisung anweist – etwa nach einer gefälschten Geschäftsführungsanweisung oder einer manipulierten Rechnung mit geänderter Bankverbindung.

Weil kein Systemschaden vorliegt, greifen viele Grundbausteine nicht. Versicherer bilden diese Fälle deshalb über eigene Erweiterungen ab, häufig „Betrugsschäden“, „Zahlungsdiebstahl“ oder ähnlich benannt, teils über die klassische Vertrauensschadenversicherung. Ob Ihr Vertrag das enthält, steht nicht im Prospekt, sondern im Bedingungswerk und in Ihrem Angebot.

Die Einordnung entscheidet, welcher Baustein und welches Limit greifen. Die folgende Übersicht ist eine Orientierung, kein Rechtsrat.

Diese Punkte entscheiden darüber, ob der Baustein im Ernstfall wirklich trägt.

Technische Schutzmaßnahmen sollten durch klare Freigabeprozesse ergänzt werden. Wirksam und günstig sind verbindliche Freigabegrenzen, ein Rückruf an eine bereits bekannte Telefonnummer bei jeder Änderung von Bankdaten, ein Vier-Augen-Prinzip ab einem festen Betrag und die ausdrückliche Erlaubnis für Mitarbeitende, eine Anweisung der Geschäftsführung zu hinterfragen. Genau diese Punkte fragen Versicherer bei Zahlungsbetrugsbausteinen häufig ab.

Halten Sie die Regeln schriftlich fest und prüfen Sie sie einmal jährlich, denn im Ernstfall wird nach dem tatsächlich gelebten Verfahren gefragt, nicht nach der Absicht. Bewährt hat sich ein einseitiges Merkblatt an jedem Arbeitsplatz mit Zahlungsfreigabe: welche Beträge wer freigeben darf, wie eine geänderte Bankverbindung geprüft wird und wer im Verdachtsfall sofort informiert wird. Nehmen Sie ausdrücklich auf, dass Zeitdruck in einer Nachricht ein Warnsignal ist und keine Begründung für eine Abkürzung im Verfahren.

Fiktives Rechenbeispiel: Ein Betrieb überweist nach einer manipulierten Rechnung 38.000 Euro an ein Betrügerkonto. Angenommen, der Vertrag begrenzt den gedeckten Schaden zunächst auf 25.000 Euro und zieht davon ausdrücklich 2.500 Euro Selbstbehalt ab. Dann ergäben sich 22.500 Euro Entschädigung und 15.500 Euro Eigenanteil. Wird der Selbstbehalt anders auf das Sublimit angerechnet, ändert sich das Ergebnis. Das Beispiel beschreibt keinen realen Tarif; prüfen Sie Reihenfolge und Wortlaut beider Klauseln.