Ein Montagmorgen: Nach einem Wartungsfenster des IT-Dienstleisters startet der Server nicht mehr, die Wiederherstellung dauert zwei Tage, die Buchhaltung steht. Die erste Frage der Geschäftsführung lautet meist: Zahlt das die Cyberversicherung? Die ehrliche Antwort: oft nicht. Und wenn doch, holt sich der Versicherer das Geld unter Umständen beim Dienstleister zurück. Wer das vorher weiß, stellt beim Vertrag mit dem Dienstleister andere Fragen.
Zwei Versicherungen, zwei verschiedene Fragen
Die Cyberversicherung Ihres Unternehmens ersetzt Ihren eigenen Schaden, etwa die Kosten der Wiederherstellung und den Ertragsausfall während einer Betriebsunterbrechung. Sie greift aber nicht bei jedem IT-Ausfall, sondern bei einer Informationssicherheitsverletzung. Die Musterbedingungen des Gesamtverbands der Versicherungswirtschaft, die AVB Cyber, nennen in A1-2 die Auslöser: Angriffe, unberechtigte Zugriffe, Eingriffe in Systeme, Schadprogramme und Verletzungen des Datenschutzes.
Die Berufshaftpflicht des Dienstleisters beantwortet eine andere Frage: Muss er Ihnen einen Schaden ersetzen, den er durch einen Fehler verursacht hat? Grundlage ist im Vertragsverhältnis § 280 BGB. Wer eine Pflicht aus dem Vertrag verletzt, schuldet Schadensersatz, es sei denn, er hat die Pflichtverletzung nicht zu vertreten. Die Vermögensschaden-Haftpflicht des Dienstleisters zahlt dann an Sie, bis zu ihrer Versicherungssumme.
Die Lücke steht in den Musterbedingungen
A1-2 der AVB Cyber stellt zunächst klar, dass es keine Rolle spielt, ob Ihre Systeme im eigenen Haus stehen oder bei einem externen Dienstleister. Dann folgt eine Einschränkung: Bedient sich das Unternehmen eines externen Dienstleisters, besteht kein Versicherungsschutz für Schäden infolge des Ausfalls, der Unterbrechung oder Störung der Dienstleistung, soweit sie die Verfügbarkeit der Daten oder Systeme beeinträchtigen. Ein misslungenes Update ohne Angriff ist zudem gar keiner der genannten Auslöser.
Die Musterbedingungen sind unverbindlich, viele Versicherer weichen ab oder kaufen solche Ausschlüsse gegen Beitrag zurück. Maßgeblich ist der Wortlaut Ihrer Police. Als Faustregel taugt die Musterfassung trotzdem: Steht der Betrieb still, weil beim Dienstleister etwas schiefgeht, ist die Cyberversicherung nicht der erste Ansprechpartner.
Drei Fälle, drei Antworten
- Der Dienstleister macht einen Fehler, ohne dass jemand angreift – ein Update, eine falsche Einstellung, eine nie geprüfte Sicherung: Die Cyberversicherung greift nach der Musterfassung nicht. Sie haben einen Anspruch gegen den Dienstleister, wenn er schuldhaft gehandelt hat; zahlen muss dann seine Berufshaftpflicht.
- Beim Dienstleister fällt etwas aus – sein Rechenzentrum, sein Hosting, seine Leitung: Die Musterfassung schließt Schäden aus der Nichtverfügbarkeit aus. Entscheidend sind dann der Vertrag, die zugesagte Verfügbarkeit und die Haftung des Dienstleisters.
- Ein Angriff kommt über den Dienstleister – etwa über einen schlecht geschützten Fernwartungszugang: Ihre Cyberversicherung ersetzt Ihren Schaden. Hatte der Dienstleister dabei seine Pflichten verletzt, geht Ihr Anspruch gegen ihn nach § 86 Abs. 1 VVG auf den Versicherer über, soweit dieser gezahlt hat. Der Versicherer nimmt dann den Dienstleister in Regress – und damit dessen Haftpflicht.
In allen drei Fällen landet die Rechnung also früher oder später beim Dienstleister, wenn er einen Fehler gemacht hat. Ob er sie bezahlen kann, hängt an seiner Versicherung.
Was § 86 VVG von Ihnen verlangt
Der Übergang des Anspruchs hat eine Kehrseite. Nach § 86 Abs. 2 VVG müssen Sie Ihren Anspruch gegen den Dienstleister wahren, Form und Fristen eingeschlossen, und bei der Durchsetzung mitwirken. Wer ihn vorsätzlich aufgibt, verliert insoweit die Leistung; bei grober Fahrlässigkeit darf der Versicherer kürzen. Praktisch heißt das: nach einem Schaden keinen Vergleich und keinen Verzicht mit dem Dienstleister, bevor der Versicherer zugestimmt hat, und alle Belege zum Ablauf aufbewahren.
Keine Pflicht – deshalb eine Frage wert
Steuerberater müssen sich nach § 67 StBerG gegen Vermögensschäden aus ihrer Berufstätigkeit versichern. Für IT-Dienstleister gibt es eine solche gesetzliche Pflicht nicht. Ob Ihr Dienstleister versichert ist und in welcher Höhe, ist seine Entscheidung, und es steht selten unaufgefordert im Angebot. Fragen Sie danach, am besten vor der Unterschrift und danach einmal im Jahr:
- Eine Versicherungsbestätigung mit Versicherer, Laufzeit und Versicherungssumme, nicht nur die Aussage „wir sind versichert“.
- Die versicherte Tätigkeit muss das abdecken, was der Dienstleister für Sie tut: Betrieb, Hosting, Wartung und Datensicherung, nicht nur Beratung.
- Die Summe je Versicherungsfall und wie oft sie im Jahr zur Verfügung steht – gemessen an dem, was ein Tag Stillstand Sie kostet.
- Die Haftungsbegrenzung im Vertrag: Liegt sie weit unter dem möglichen Schaden, hilft auch eine hohe Versicherungssumme wenig.
- Im Fall eines Angriffs über den Dienstleister: wie schnell er Sie informiert und welche Protokolle er für Ihren Versicherer liefert.
Wie wir es halten
Wir sind bei Hiscox gegen Vermögensschäden aus unserer IT-Tätigkeit versichert, mit einer Versicherungssumme von 5 Mio. € je Versicherungsfall. Die Versicherungsbestätigung bekommen Kunden und Interessenten auf Anfrage, für Angebote, Ausschreibungen und Lieferantenprüfungen.
Dieser Beitrag ordnet ein, er ersetzt keine Rechts- oder Versicherungsberatung. Was Ihre Police im Einzelfall deckt, steht in ihrem Wortlaut. Bei Zweifeln sind Makler oder Anwalt die richtigen Ansprechpartner.
Verwandte Themen: Wer hier weiterdenkt, liest bei Phishing und Ransomware, Cyberversicherung und Zugang und Identität weiter.
Im Text erwähnt
Quellen
- GDV: Allgemeine Versicherungsbedingungen für die Cyberrisiko-Versicherung (AVB Cyber), Musterbedingungen, Stand Februar 2024 – A1-2 Informationssicherheitsverletzung · Gesamtverband der Deutschen Versicherungswirtschaft
- § 86 VVG – Übergang von Ersatzansprüchen · Bundesministerium der Justiz (gesetze-im-internet.de)amtlich
- § 280 BGB – Schadensersatz wegen Pflichtverletzung · Bundesministerium der Justiz (gesetze-im-internet.de)amtlich
- § 67 StBerG – Berufshaftpflichtversicherung · Bundesministerium der Justiz (gesetze-im-internet.de)amtlich
