KI-Risiken und Cyberversicherung: Was Unternehmen prüfen sollten

Die unverbindlichen GDV-Musterbedingungen beschreiben eine Kombination von Haftpflicht-, Betriebsunterbrechungs- und Datenversicherung im Zusammenhang mit Informationssicherheitsverletzungen. Einzelne Versicherer können davon abweichen. Die Übersicht des GDV unterscheidet Eigen- und Drittschäden sowie Hilfeleistungen. Diese Quellen erklären das Grundprinzip; sie sind keine Zusage für Ihren Vertrag.

Für einen KI-Prozess sollten Sie deshalb zuerst den möglichen Ablauf beschreiben: Welche Anwendung handelt, welche Daten sind erreichbar und was könnte wirtschaftlich verloren gehen? Mit dieser Beschreibung lässt sich eine konkrete Bedingung prüfen. Die Frage „Ist KI versichert?“ bleibt ohne einen solchen Ablauf zu allgemein.

Hypothetisches Beispiel: Ein Assistent veröffentlicht Kundenunterlagen auf einem externen Dienst, obwohl er nur eine interne Zusammenfassung erstellen sollte. Für die Bedarfsanalyse sollten Sie fragen, wie Ihr Vertrag eine versehentliche Offenlegung und einen unbefugten Zugriff unterscheidet. Welche Systeme umfasst die Police? Welche Untersuchungskosten und welche Ansprüche betroffener Kunden könnten relevant sein?

Lassen Sie auch klären, welche Mitteilungen der Versicherer im Verdachtsfall erwartet und welche Dienstleister Sie beauftragen dürfen. Dokumentieren Sie die Antwort mit Bezug auf die Vertragsklausel. Das Beispiel ist kein behaupteter realer Schadenfall und keine verbindliche Bewertung einer bestimmten Police.

Bei einer täuschenden Nachricht und einem anschließenden unberechtigten Zugriff geht es um andere Vertragsfragen als bei einer vom Mitarbeiter selbst freigegebenen Überweisung. Fragen Sie für Zahlungsbetrug ausdrücklich nach einer passenden Vertrauensschaden- oder Social-Engineering-Regelung, eventuellen Zusatzbausteinen und eigenen Entschädigungsgrenzen.

Für das Gespräch können Sie zwei Abläufe aufschreiben: Erstens wird ein Konto übernommen und damit eine Zahlung verändert. Zweitens täuscht eine Nachricht eine Zahlungsanweisung vor, die ein Mitarbeiter ausführt. Lassen Sie beide Beispiele einzeln einordnen. Setzen Sie „Cyberbetrug“ im Marketing nicht mit einer Deckungszusage für jeden Geldverlust gleich.

Hypothetisches Beispiel: Ein Betrieb kann wegen eines ausgefallenen externen KI-Dienstes keine Aufträge bearbeiten. Klären Sie, ob eine reine Dienststörung, eine Informationssicherheitsverletzung beim Anbieter und eine vorsorgliche Abschaltung unterschiedlich behandelt werden. Fragen Sie nach den Anforderungen an mitversicherte Dienstleister, Wartezeiten, Entschädigungsdauer und der Berechnung eines versicherten Ertragsausfalls.

Ergänzen Sie die Versicherungsprüfung durch eine betriebliche Frage: Welche Arbeit können Sie ohne den Dienst erledigen? Eine dokumentierte Ersatzlösung hilft bei der Notfallplanung. Die tatsächliche Dauer eines Ausfalls und die betroffenen Prozesse sollten später nachvollziehbar sein.

Eine fachlich falsche Empfehlung, ein fehlerhafter Vertragsentwurf oder ein mangelhafter Softwareauftrag ist nicht automatisch eine Informationssicherheitsverletzung. Beschreiben Sie Ihrem Berater die erbrachte Dienstleistung und den möglichen Anspruch des Kunden. Je nach Tätigkeit können Berufshaftpflicht, Vermögensschadenhaftpflicht oder andere Bausteine relevant sein.

Prüfen Sie außerdem, ob Ihr Geschäftsmodell gegenüber den beteiligten Versicherern zutreffend beschrieben ist. Ein interner Textassistent und ein öffentlich angebotenes KI-Beratungsprodukt sind unterschiedliche Einsatzarten. Dieser Ratgeber kann die Einzelfallprüfung anhand Ihrer Verträge nicht ersetzen.

Für die Bedarfsanalyse empfehlen wir eine Übersicht der Anwendungen, Datenarten, Konten, Anbieter und geschäftlichen Abhängigkeiten. Ergänzen Sie vorhandene Freigaberegeln und den Notfallkontakt. Machen Sie im Risikofragebogen zutreffende Angaben und klären Sie unverständliche Fragen vor der Antwort.

Im Vorfall helfen eine Zeitleiste, vorhandene Protokolle, betroffene Datenarten und eine Beschreibung der Folgen für den Betrieb. Nutzen Sie die vereinbarten Meldewege und stimmen Sie Maßnahmen mit den zuständigen Fachleuten ab. Unser Tarifrechner unterstützt die Vorauswahl; Deckungsumfang und Sicherheitsanforderungen bleiben anhand des jeweiligen Angebots zu prüfen.