Cyberversicherung: Angriff, Ausfall, Haftung

Cyberversicherung

Für Ihre Sachpolice sind Daten keine Sachen.

In klassischen Sach- und Haftpflichtverträgen sind „Sachen“ körperliche Gegenstände. Daten fallen damit heraus – und mit ihnen der größte Teil dessen, was bei einem IT-Vorfall tatsächlich passiert. Die Cyberversicherung schließt genau diese Lücke. Sie ist im Kern eine Kombination aus Eigenschadenversicherung und Vermögensschadenhaftpflicht.

Die Frage lautet nie „ob“, sondern nur, wo der Schwerpunkt liegt. Ein Handwerksbetrieb, der seine Rechnungen online schreibt, ist im Thema. Was sich unterscheidet, ist das treibende Risiko:

Bei freien Berufen und Dienstleistern – Ärzten, Apotheken, Steuerberatern, Anwälten, Vermittlern – ist es die Vertraulichkeit. Sie haften doppelt: nach der Datenschutz-Grundverordnung und wegen Verletzung von Privatgeheimnissen nach § 203 StGB.

Im produzierenden Gewerbe ist es die Verfügbarkeit – Cyber-Betriebsunterbrechung und entgangener Gewinn stehen vorn.

In Handel und E-Commerce ist es der Zahlungsverkehr und damit die Deckung für missbräuchliche Transaktionen.

Vier Bausteine

Was die Police leistet.

Eigen- und Drittschäden

Der eigene Schaden am Unternehmen und Ansprüche Dritter, deren Daten betroffen sind.

Cyber-Erpressung

Kosten im Zusammenhang mit Erpressung, insbesondere durch Verschlüsselungstrojaner.

Cyber-Betriebsunterbrechung

Entgangener Gewinn und fortlaufende Kosten, solange der Betrieb durch einen IT-Vorfall stillsteht.

Cyber-E-Payment

Missbräuchliche Transaktionen im Zahlungsverkehr.

Was den Preis tatsächlich rechtfertigt, ist die Assistance, nicht die Schadensumme: IT-Forensik zur Ursachenforschung, Krisenkommunikation nach einem Reputationsschaden, rechtliche Begleitung der Datenschutzmeldung, Wiederherstellung von Daten und Systemen.

Der größte Kostenblock im Ernstfall ist dabei nicht die Wiederherstellung, sondern die Forensik – ab etwa 2.500 Euro pro Tag. Das ist der Punkt, an dem der Einwand „wir haben einen eigenen ITler“ auseinanderfällt: Der ITler ist für den Betrieb zuständig, der Forensiker für die Beweissicherung nach einer Straftat. Die Police bezahlt die Spezialisten, damit Ihre eigenen Leute den Wiederaufbau machen können.

Die Lücke, die man kennen muss

Social Engineering ist kein Hack.

Streng zu trennen sind der technische Angriff und die Täuschung. Wird eine Mitarbeiterin dazu gebracht, aktiv Geld zu überweisen, ohne dass die IT kompromittiert wurde, greifen viele Basis-Cyberpolicen nicht. Dieses Risiko gehört primär in die Vertrauensschadenversicherung – oder es braucht ein ausdrückliches Zusatzmodul im Cybervertrag. Beides ist möglich, keines ist selbstverständlich.

Der teuerste Fehler

Nicht der Angriff – die Obliegenheiten.

Cyberpolicen verlangen typischerweise aktuelle Schutzsoftware auf allen Systemen, eine Firewall auf jedem beruflich genutzten internetfähigen Gerät, eine vollständige Datensicherung mindestens wöchentlich und das Einspielen sicherheitsrelevanter Updates innerhalb einer festen Frist. Das sind keine Empfehlungen, sondern Obliegenheiten nach § 28 VVG – ihre Verletzung kann zur Leistungsfreiheit führen.

Zur Frist selbst: Die Bedingungswerke unterscheiden sich erheblich, im Markt kursieren Fristen von wenigen Tagen bis zu zwei Wochen. Beides ist Marktüblichkeit, keine Norm. Wir nennen Ihnen die Frist Ihres Vertrags – alles andere wäre eine Zahl ohne Verbindlichkeit.

Drei Muster, an denen Leistungen in der Praxis scheitern: Die Mehrfaktor-Anmeldung greift bei den Mitarbeitenden, aber nicht bei Dienstleisterzugängen. Backups laufen zwar, sind aber netzwerkverbunden und werden im Ernstfall mitverschlüsselt – es fehlt die physische Trennung. Und kritische Updates bleiben wochenlang offen.

Manche Anbieter setzen zusätzlich einen Cyber-Notfallplan voraus: im Betrieb sichtbar oder digital zugänglich, mit Notfallkontakten und den Nummern von Versicherer und zuständiger Datenschutzbehörde.

Deshalb prüfen wir die Voraussetzungen vor dem Angebot real, statt sie auf dem Papier bestätigen zu lassen. Eine Police auf ungeprüfter Grundlage nützt im Schadenfall niemandem.

Wenn die IT noch nicht so weit ist

Erst versicherbar machen, dann versichern.

Nicht jeder Betrieb erfüllt die Obliegenheiten am Tag der Anfrage. Das ist kein Ausschlussgrund, sondern eine Reihenfolge: Zuerst wird die IT auf den Stand gebracht, den Cyberversicherer verlangen – erst danach ist eine Police überhaupt sinnvoll.

Für diesen Schritt arbeiten wir mit MaliTech Solutions zusammen. MaliTech bringt die IT eines Betriebs auf Obliegenheitsstand und dokumentiert das nachvollziehbar – Mehrfaktor-Anmeldung auch für Dienstleisterzugänge, vom Netz getrennte Sicherungen, belastbares Update-Management, Notfallplan.

Die Rollen sind dabei sauber getrennt, und das ist keine Formalie: MaliTech Solutions ist kein Versicherungsvermittler nach § 34d GewO, vermittelt keine Versicherungen und schließt keine Verträge. Die Vermittlung der Police erfolgt ausschließlich über die paladinum GmbH auf Grundlage eines eigenständigen Vertrags zwischen Ihnen und uns.

Ob dieser Zwischenschritt nötig ist, zeigt die Prüfung vorab. Häufig fehlt weniger, als befürchtet – und manchmal mehr, als angenommen.

NIS2

Wenn die Geschäftsführung persönlich haftet.

NIS2 trifft unter anderem Abfallwirtschaft, Lebensmittel und produzierendes Gewerbe ab etwa fünfzig Mitarbeitenden oder zehn Millionen Euro Umsatz. Zwei Punkte machen daraus mehr als eine Compliance-Aufgabe.

Erstens die persönliche Haftung der Geschäftsführung – ein Regressverzicht der Gesellschaft ist dabei häufig unwirksam. Die Police schützt damit auch den Geschäftsführer selbst, nicht nur das Unternehmen.

Zweitens die 24-Stunden-Meldepflicht. Ein mittelständischer Betrieb ohne durchgehend erreichbare Assistance schafft das kaum rechtssicher. Damit ist die Police kein freiwilliger Schutz mehr, sondern ein Nachweis erfüllter Risikomanagementpflichten.

Beitrag und Check

Wonach er sich richtet – und was wir durchgehen.

Pauschalbeträge nennen wir nicht; bestimmend sind Umsatz, Branche und Datenart, der Reifegrad Ihrer IT-Sicherheit, die Deckungssumme, der Selbstbehalt und die gewählten Bausteine. Der Reifegrad ist dabei der einzige Faktor, den Sie kurzfristig selbst verbessern können – und er wirkt doppelt: auf den Beitrag und auf die Frage, ob im Schadenfall überhaupt gezahlt wird.

Vor der Unterschrift: Kennen Sie die Patch-Frist Ihres Bedingungswerks – und halten Sie sie tatsächlich ein? Sind Backups vom Netz getrennt? Gelten die Zugangsregeln auch für externe Dienstleister? Ist Social Engineering gedeckt, über ein Zusatzmodul oder eine Vertrauensschadenversicherung? Sind private Geräte im Homeoffice eingeschlossen? Reicht die Haftzeit der Cyber-Betriebsunterbrechung für einen vollständigen Systemwiederaufbau? Und gibt es einen Notfallplan, den im Ernstfall auch jemand findet?

Verwandte Themen

Das passt zu Cyberversicherung

SachwerteBetriebsunterbrechungsversicherungLaufende Kosten und entgangener Gewinn, wenn der Betrieb nach einem Schaden stillsteht.Zur Sparte HaftungVermögensschadenhaftpflichtReine Vermögensschäden durch Beratungs- oder Bearbeitungsfehler – für Dienstleister, Berater und IT.Zur Sparte RechtFirmenrechtsschutzAnwalts- und Gerichtskosten bei Streit mit Kunden, Lieferanten, Mitarbeitenden und Behörden.Zur Sparte

Alle Sparten für Firmenkunden · Welche Versicherung braucht mein Betrieb?