Cyberversicherung: Was ist NICHT versichert?

Der wichtigste Ausschluss ueberhaupt: Schaeden, die der Versicherungsnehmer oder die Geschaeftsleitung vorsaetzlich herbeigefuehrt hat, sind nicht versichert (Paragraph 81 Abs. 1 VVG). Das ist gesetzlich zwingend und nicht abdingbar. Bei grober Fahrlaessigkeit kann der Versicherer die Leistung im Verhaeltnis zur Schwere des Verschuldens kuerzen (Paragraph 81 Abs. 2 VVG) - in der Cyber-Praxis oft komplett auf Null bei eklatanten Sicherheits-Versaeumnissen. Praxisbeispiele fuer angenommene grobe Fahrlaessigkeit: Klick auf einen offensichtlich verdaechtigen Phishing-Link trotz dokumentierter Warnung, Nichteinhaltung dokumentierter Sicherheitsregeln durch die IT-Leitung, Ignorieren von Warnungen vor bekannten Schwachstellen ueber Wochen. Wichtig: Was als grob fahrlaessig gilt, ist Einzelfall-Bewertung der Gerichte. Eine gut dokumentierte Schulung und ein dokumentiertes Sicherheitskonzept kann den Vorwurf der groben Fahrlaessigkeit oft entkraeften.

Seit dem sogenannten Lloyd-s-Bulletin LMA5564 vom August 2022 haben praktisch alle internationalen Cyber-Rueckversicherer verschaerfte Cyber-Warfare-Klauseln eingefuehrt. Diese sind inzwischen Standard auch im deutschen Markt. Ausgeschlossen sind Schaeden durch: Krieg, kriegsaehnliche Ereignisse, Buergerkrieg, Aufruhr und Revolution. Cyberangriffe, die einem souveraenen Staat oder einer staatlich gelenkten Akteursgruppe (APT - Advanced Persistent Threat) zugeordnet werden koennen. Major Cyber Events - umfassende Cyber-Operationen mit systemischer Wirkung (Beispiel: NotPetya 2017 mit Schaeden von ueber 10 Mrd Euro weltweit). Das Problem fuer Versicherte: Die Zuordnung eines Angriffs zu einem staatlichen Akteur erfolgt oft erst Monate spaeter durch Geheimdienste oder forensische Spezialisten - im Cybersecurity-Jargon Attribution. Wenn ein Angriff im Nachgang als russischer oder chinesischer APT-Angriff identifiziert wird, kann die Versicherung die Deckung nachtraeglich verweigern. Pruefen Sie unbedingt: Wie ist Attribution geregelt? Wer muss was nachweisen? Gibt es eine Beweislast-Umkehr zugunsten des Versicherten?

Praktisch jede Cyberpolice schliesst Schaeden aus, die auf bereits bekannte, aber nicht innerhalb angemessener Frist behobene Sicherheitsluecken zurueckzufuehren sind. Konkret bedeutet das: Wenn fuer eine genutzte Software ein Sicherheits-Patch verfuegbar ist und dieser nicht zeitnah eingespielt wird, kann ein Schaden durch genau diese Luecke nicht versichert sein. Beispiele aus der Praxis: Eine Microsoft-Exchange-Schwachstelle (CVE) wird im Maerz veroeffentlicht, der Versicherte spielt den Patch erst im Juni ein, im Mai wird er kompromittiert - Versicherer lehnt Deckung ab. Eine Log4j-Schwachstelle (Log4Shell, Dezember 2021) wird bekannt, der Patch ist innerhalb von 72 Stunden verfuegbar, der Versicherte aktualisiert nicht - Schaden ist von der Police ausgeschlossen. Was als angemessene Frist gilt, ist oft auf 30 bis 90 Tage definiert, bei kritischen Schwachstellen auf 7 bis 14 Tage. Pflicht: Dokumentiertes Patch-Management mit Pruefintervallen, Risikobewertung, Roll-out-Dokumentation. Ohne diese Dokumentation kann der Versicherer im Schadenfall jederzeit den Vorwurf erheben, eine bekannte Luecke nicht zeitnah behoben zu haben.

Versicherer haben in den letzten Jahren konkrete IT-Sicherheits-Mindeststandards als Vertragsobliegenheit verankert. Wer diese Standards nicht einhaelt, hat im Schadenfall ein Problem. Typische Mindeststandards: Multi-Faktor-Authentifizierung (MFA) fuer alle externen Zugaenge (E-Mail, VPN, Remote Desktop, Cloud-Admin-Accounts). Regelmaessige, getestete Backups nach der 3-2-1-Regel (3 Kopien, 2 verschiedene Medien, 1 offsite). Aktuelle Endpoint-Protection (Antivirus, EDR) auf allen Endgeraeten. Dokumentiertes Patch-Management mit Pruef-Zyklus. Mitarbeiterschulungen zur Cybersicherheit (oft jaehrlich). Bei Verstoss gegen diese Obliegenheiten kann der Versicherer die Leistung kuerzen oder ganz verweigern (Paragraph 28 Abs. 2 VVG) - in der Praxis je nach Schwere oft komplett. Das bedeutet: Eine Cyberversicherung ist kein Ersatz fuer IT-Sicherheit, sondern ein Sicherheitsnetz fuer den Restrisiko-Fall. Wer die Mindeststandards nicht einhaelt, zahlt umsonst Praemie - im Schaden zahlt der Versicherer nichts.

Auch wenn ein Cybervorfall Ihrem Unternehmen massiven Image-Schaden zufuegt - die reine Reputation an sich ist in der Regel nicht versicherbar. Versichert sind nur bezifferbare wirtschaftliche Folgen: nachgewiesener Umsatzrueckgang in einem definierten Zeitraum, Vertragsverluste mit konkretem Bezug zum Vorfall, Beratungskosten fuer PR und Krisenmanagement. Reine Schaeden an der Marke, dem Vertrauen der Kunden oder der Beziehung zu Investoren - selbst wenn sie real sind - werden ohne wirtschaftlichen Nachweis nicht erstattet. Manche Versicherer bieten als Zusatzbaustein eine Reputationsversicherung mit pauschalen Tagessaetzen oder PR-Krisenmanagement-Budgets - das ist aber meistens eng begrenzt (10.000 bis 50.000 Euro). Wer wirklich gegen Reputationsschaeden absichern will, braucht spezielle Produkte (Reputationsversicherung) oder ein eigenes Krisenkommunikations-Konzept. Tipp: Investieren Sie lieber in eine gute PR-Agentur-Beziehung als auf die Versicherung zu hoffen.

Schaeden, die vor Vertragsbeginn entstanden sind, sind grundsaetzlich nicht versichert - das ist das Grundprinzip jeder Versicherung. Bei Cybervorfaellen ist das oft komplex, weil Angriffe Wochen oder Monate vor der eigentlichen Wirkung beginnen koennen (zum Beispiel Schlaefer-Trojaner, lateral movement). Wenn ein Angreifer Ihr Netzwerk schon vor Vertragsbeginn kompromittiert hat und der Schaden (zum Beispiel Datenexfiltration, Ransomware-Ausloesung) erst nach Vertragsbeginn eintritt, kann der Versicherer den Vorfall trotzdem ausschliessen. Pflicht des Versicherten beim Vertragsschluss: Vollstaendige und wahrheitsgemaesse Beantwortung der Risikofragen (Paragraph 19 VVG). Wer bekannte Vorfaelle oder konkrete Verdachtsmomente verschweigt, riskiert Leistungsfreiheit. Hinzu kommt die Wartezeit, die bei vielen Tarifen 14 bis 30 Tage nach Vertragsbeginn betraegt - in diesem Zeitfenster sind nur bestimmte Schaeden gedeckt (siehe unseren Ratgeber zu Cyberversicherung-Wartezeit). Empfehlung: Vor Vertragsabschluss eine professionelle Sicherheits-Bestandsaufnahme machen lassen - sowohl als Pflichterfuellung gegenueber dem Versicherer als auch zur eigenen Sicherheit.

Wer als Softwarehersteller, IT-Dienstleister oder Hardware-Produzent eigene Produkte herstellt und an Kunden ausliefert, hat ein besonderes Problem: Schaeden aus Maengeln der eigenen Produkte beim Kunden sind in praktisch jeder Standard-Cyberpolice ausgeschlossen. Beispiel: Ein SaaS-Anbieter liefert eine Software mit Sicherheits-Bug aus, ein Kunde wird darueber gehackt - die Cyberpolice des SaaS-Anbieters deckt seinen eigenen Schaden (zum Beispiel BU, Forensik), aber nicht den Schaden beim Kunden. Fuer diesen Drittschaden braucht es eine spezielle Berufshaftpflichtversicherung fuer IT-Dienstleister (E-and-O - Errors and Omissions) oder ergaenzende Produkthaftpflicht-Bausteine. Diese sind separat zu versichern und kosten in der Regel deutlich mehr als die Cyberpolice. IT-Dienstleister, Software-Anbieter, MSPs und SaaS-Anbieter sollten ihre Vertrags-Architektur unbedingt von einem spezialisierten Makler pruefen lassen - sonst entstehen gefaehrliche Versicherungsluecken zwischen Eigen- und Drittschaden.