Die Police liegt im Schrank, die Prämie ist bezahlt, und trotzdem bleibt ein ungutes Gefühl: Was passiert, wenn im Schadensfall eine Zusage aus dem Antrag nicht zutrifft? Zahlt der Versicherer ein Lösegeld? Und wen rufen Sie zuerst an, wenn es ernst wird? Vier Fragen aus der Leserpost.
„Was ist eine Obliegenheitsverletzung – und was kostet sie?“
Obliegenheiten sind die Pflichten, die Sie mit dem Vertrag übernehmen. In der Cyberversicherung sind das vor allem die technischen und organisatorischen Sicherheitsanforderungen, dazu Pflichten im Schadensfall wie die unverzügliche Anzeige und die Mitwirkung bei der Aufklärung.
Die Rechtsfolgen regelt § 28 VVG. Verletzen Sie eine Obliegenheit vorsätzlich, ist der Versicherer leistungsfrei. Bei grober Fahrlässigkeit darf er die Leistung in einem der Schwere des Verschuldens entsprechenden Verhältnis kürzen, wobei Sie beweisen müssen, dass Sie nicht grob fahrlässig gehandelt haben. Bei einfacher Fahrlässigkeit bleibt die Leistungspflicht bestehen.
Wichtig ist die Kausalität. Nach § 28 Absatz 3 VVG bleibt der Versicherer zur Leistung verpflichtet, wenn die Verletzung weder für den Eintritt des Versicherungsfalls noch für den Umfang der Leistung ursächlich war. Wer also die jährliche Schulung versäumt hat, während der Angreifer über eine ungepatchte Firewall kam, hat gute Argumente. Wer im Antrag Mehrfaktoranmeldung für alle Fernzugänge bestätigt hat und über genau den einen Zugang ohne zweiten Faktor angegriffen wurde, hat sie nicht.
Davon zu unterscheiden ist die vorvertragliche Anzeigepflicht nach § 19 VVG. Falsche Angaben im Antrag können den Versicherer je nach Verschulden zum Rücktritt, zur Kündigung oder zur Vertragsanpassung berechtigen. Deshalb gilt die Regel, im Antrag nichts zu bestätigen, was Sie nicht belegen können.
„Zahlt die Versicherung ein Lösegeld?“
Das hängt vom Vertrag ab, und hier unterscheiden sich die Anbieter stärker als bei jedem anderen Punkt. Manche Policen schließen Zahlungen an Erpresser aus. Andere decken sie im Baustein Cybererpressung ab, regelmäßig aber nur nach vorheriger Abstimmung mit dem Versicherer und nach Einschaltung der von ihm benannten Spezialisten. Lesen Sie diesen Abschnitt Ihrer Bedingungen, bevor Sie ihn brauchen.
Unabhängig davon gibt es zwei Gründe, die gegen eine Zahlung sprechen. Das Bundesamt für Sicherheit in der Informationstechnik (BSI) und die Strafverfolgungsbehörden raten davon ab, weil sie das Geschäftsmodell finanziert und weil eine Entschlüsselung nicht garantiert ist. Und eine Zahlung kann rechtlich heikel sein, wenn der Empfänger sanktioniert ist. Eine solche Entscheidung trifft niemals die IT allein, sondern die Geschäftsführung, nach Rücksprache mit Versicherer, Anwalt und Behörden.
Der praktisch wichtigere Punkt ist ein anderer. Wer eine geprüfte und vom Netz getrennte Datensicherung hat, kommt seltener in die Lage, über diese Frage überhaupt nachdenken zu müssen.
„In welcher Reihenfolge informieren wir Versicherer, Behörden und Betroffene?“
Die erste Handlung gilt immer der Eindämmung, also dem Trennen betroffener Systeme, ohne Beweise zu vernichten. Schalten Sie Systeme nicht vorschnell neu auf, denn Sie brauchen die Spuren später, und Ihre Police verlangt häufig die Mitwirkung bei der Aufklärung.
Danach gilt diese Reihenfolge. Rufen Sie zuerst die Notfallnummer Ihres Versicherers an. Fast jede Police verlangt die unverzügliche Anzeige und bringt ein eigenes Netz aus Forensik, Krisenkommunikation und Rechtsberatung mit. Wer eigene Dienstleister beauftragt, bevor der Versicherer zugestimmt hat, riskiert, auf diesen Kosten sitzenzubleiben.
Parallel läuft die Frist nach Artikel 33 DSGVO. Sind personenbezogene Daten betroffen oder lässt es sich nicht ausschließen, haben Sie 72 Stunden ab Kenntnis, um die zuständige Aufsichtsbehörde zu informieren. Binden Sie Ihren Datenschutzbeauftragten sofort ein.
Sind Sie eine besonders wichtige oder wichtige Einrichtung nach dem BSI-Gesetz, kommt die Frühwarnung an das BSI innerhalb von 24 Stunden hinzu. Ebenfalls sinnvoll ist die Anzeige bei der Zentralen Ansprechstelle Cybercrime der Polizei Ihres Landes, die viele Versicherer ohnehin erwarten.
Die Information der Betroffenen nach Artikel 34 DSGVO folgt, sobald die Lage beurteilbar ist, und sie gehört abgestimmt mit der Krisenkommunikation. Notieren Sie von Anfang an jede Uhrzeit. Im Nachhinein rekonstruiert das niemand mehr.
„Welche Angaben im Antrag gehen am häufigsten schief?“
Aus der Praxis kenne ich vor allem fünf.
Die Mehrfaktoranmeldung wird für alle bestätigt, während Dienstkonten, Fernwartungszugänge oder einzelne Führungskräfte ausgenommen sind. Die Datensicherung gilt als getrennt, liegt aber auf einem Server, der im selben Netz mit denselben Administratorkonten erreichbar ist. Der Notfallplan gilt als vorhanden, ist aber nie geprobt worden, und der Fragebogen fragt oft genau nach dem Test. Systeme ohne Herstellerunterstützung werden verschwiegen, statt sie mit ihrer Schutzmaßnahme anzugeben. Und der Geltungsbereich wird zu eng gefasst, wenn Tochtergesellschaften oder weitere Standorte mitversichert sein sollen, in den Antworten aber nicht vorkommen.
Alle fünf Punkte haben eines gemeinsam: Sie fallen im Antrag nicht auf und im Schadensfall sofort. Deshalb lohnt sich der Nachweisordner aus dieser Ausgabe.
Weiterlesen
Wie Sie die Nachweise erzeugen, zeigt der Beitrag „So belegen Sie die Angaben im Versicherungsfragebogen technisch“ aus Ausgabe 23.
Wie Sie die Meldefähigkeit innerhalb von 24 Stunden herstellen, beschreibt der Beitrag „24 Stunden für die Frühwarnung“ aus Ausgabe 22.
Wie Sie im Ernstfall die richtige Reihenfolge einhalten, beschreibt Ausgabe 17:
