Cyber­versicherung

Die drei Bausteine und ihre Grenzen

Cyberverträge sind modular aufgebaut, und die Bezeichnungen ähneln sich stärker als die Inhalte. Wer vergleicht, sollte die drei Bausteine getrennt betrachten, weil sie unabhängig voneinander stark oder schwach ausgestaltet sein können.

Der praktisch wichtigste Baustein ist für viele Betriebe der dritte. Die Wiederherstellung scheitert selten am Geld, sondern an fehlender Erfahrung in den ersten Stunden. Ob eine Notfallnummer rund um die Uhr erreichbar ist und wie schnell ein Forensikteam vor Ort sein kann, unterscheidet Verträge deutlicher als die Deckungssumme.

Wartezeiten, Rückwärts­deckung und die Frage des Zeitpunkts

Cyberschäden haben eine Eigenheit: Zwischen dem Eindringen in ein System und dem sichtbaren Schaden liegen oft Wochen. Angreifer sehen sich um, bevor sie verschlüsseln. Für den Versicherungs­schutz ist deshalb entscheidend, welcher Zeitpunkt zählt — der des Eindringens oder der der Entdeckung.

Viele Verträge stellen auf die erstmalige Entdeckung ab und schließen Vorfälle aus, deren Ursache vor Vertragsbeginn liegt. Eine Rückwärts­deckung für einen begrenzten Zeitraum vor Vertragsbeginn schließt diese Lücke, setzt aber voraus, dass zum Zeitpunkt des Abschlusses nichts bekannt war. Wer den Vertrag abschließt, während bereits Auffälligkeiten im Netz bestehen, erhält dafür keine Deckung.

Ebenfalls zu beachten ist die Wartezeit bei der Betriebs­unter­brechung: Der Ertragsausfall wird häufig erst nach einer vereinbarten Stundenzahl ersetzt. Bei Betrieben, deren Systeme innerhalb eines Tages wieder laufen, kann das dazu führen, dass der Ausfall zwar spürbar ist, aber unter der Grenze bleibt.

Was Cyberverträge regelmäßig ausschließen

Die Ausschlüsse sind in diesem Markt weniger einheitlich als in klassischen Sparten. Vier davon tauchen jedoch fast immer auf und sollten vor Abschluss verstanden sein.

Deckungssumme, Sublimits und Selbstbehalt

Anders als in der Sach­versicherung gibt es keinen Versicherungswert, an dem sich die Summe ausrichten ließe. Maßgeblich ist eine Schätzung: Was kostet es, den Betrieb vollständig neu aufzusetzen, wie lange stünde er dabei still, und welche Ansprüche könnten Betroffene stellen?

Wichtiger als die Gesamtsumme sind in diesem Vertrag die Sublimits — eigene Grenzen für einzelne Positionen. Krisenkommunikation, Betriebs­unter­brechung, Lösegeld­zahlungen und Wiederherstellungs­kosten haben häufig getrennte Deckel. Eine hohe Gesamtsumme nützt wenig, wenn der Teil, der im eigenen Betrieb wahrscheinlich ist, eng begrenzt wurde.

Der Selbstbehalt wird in der Cyber­versicherung oft nicht nur als Betrag, sondern auch als Zeitraum vereinbart. Beides zusammen entscheidet, ob ein mittlerer Vorfall überhaupt zu einer Leistung führt. Wer einen hohen Selbstbehalt wählt, sollte prüfen, ob die Service­leistungen davon unberührt bleiben — sie sind bei kleineren Vorfällen der eigentliche Wert.

Obliegenheiten: der Antrag ist die eigentliche Prüfung

Kein anderer Vertrag knüpft die Leistung so eng an nachweisbares Verhalten. Die Fragen im Antrag sind zugleich die Bedingungen des Vertrags: Wer sie bejaht, sichert einen Zustand zu, der im Schadenfall überprüft wird. Deshalb ist der Antrag ehrlich auszufüllen, auch wenn eine ehrliche Antwort den Abschluss verzögert.

Diese Liste ist kein Verkaufsargument, sondern die Grundlage des Vertrags. Der praktische Nebeneffekt: Wer sie abarbeitet, senkt sein Risiko unabhängig davon, ob er am Ende abschließt.

Der Notfallplan, den der Vertrag voraussetzt

Cyberverträge verlangen zunehmend nicht nur technische Maßnahmen, sondern auch organisatorische Vorbereitung. Der Grund ist praktisch: Die Höhe des Schadens hängt fast vollständig davon ab, wie schnell und wie geordnet die ersten Stunden ablaufen.

Abhängigkeit von Dienstleistern

Für die meisten Betriebe liegt das größere Risiko nicht in den eigenen Systemen, sondern bei den Dienstleistern, an denen sie hängen: Rechenzentren, Cloud-Dienste, Warenwirtschaft, Buchhaltungssoftware, Telefonanlage. Fällt einer davon aus, steht der Betrieb, ohne selbst angegriffen worden zu sein.

Melde- und Informationspflichten nach einem Datenvorfall

Neben dem technischen Schaden entstehen rechtliche Pflichten, die unabhängig vom Versicherungs­schutz gelten und mit kurzen Fristen laufen. Sie werden im Trubel der Wiederherstellung regelmäßig übersehen.

Die ersten Stunden nach einem Vorfall

Bei einem Cybervorfall ist die instinktive Reaktion — Rechner ausschalten und aufräumen — häufig falsch. Beim Herunterfahren gehen Spuren verloren, die für die Ursachenklärung und für die Meldung an die Aufsichtsbehörde gebraucht werden.

Typische Fehler bei Abschluss und Verlängerung

Die Verlängerung ist der Zeitpunkt, an dem sich der Antrag noch einmal lohnt: Was hat sich seit dem letzten Jahr an der IT verändert, welche Zusagen aus dem damaligen Antrag gelten heute noch? Diese Prüfung ist unbequem und im Schadenfall die entscheidende.

Schnittstellen zu anderen Verträgen