Cyber-Versicherung: was sie leistet

Was eine Cyberversicherung ist

Eine Cyberversicherung, auch Cyberrisiko-Versicherung, deckt Vermögensschäden, die aus einer Informationssicherheitsverletzung entstehen, etwa durch Hackerangriffe, Schadsoftware oder Datenabfluss. Der Gesamtverband der Deutschen Versicherungswirtschaft (GDV) veröffentlicht dafür unverbindliche Musterbedingungen, die AVB Cyber. Versicherer können sie verwenden, müssen es aber nicht. Die tatsächlichen Bedingungen unterscheiden sich daher teils erheblich. Die folgenden Punkte beschreiben typische Inhalte, nicht einen bestimmten Vertrag.

Typische Bausteine

Eigenschäden

Kosten, die im eigenen Betrieb entstehen: Wiederherstellung von Daten und Systemen, Ertragsausfall durch Betriebsunterbrechung, gegebenenfalls Mehrkosten für den Notbetrieb.

Drittschäden

Schadensersatzforderungen Dritter, zum Beispiel wegen Datenmissbrauchs oder weil Schadsoftware aus Ihrem Netz an Kunden weitergegeben wurde. Nach Angaben des GDV sind in den 2024 überarbeiteten Musterbedingungen auch Schadensersatzforderungen wegen Datenlecks nach der DSGVO mitversichert.

Serviceleistungen

Viele Policen enthalten Hilfe im Ernstfall: Notfall-Hotline, IT-Forensik, Rechtsberatung, Krisenkommunikation. Diese Leistungen sind für kleine Betriebe oft der eigentliche Mehrwert, weil sie im Ernstfall schnell Fachleute vermitteln.

Was die Musterbedingungen 2024 klarstellen

Der GDV hat im Februar 2024 überarbeitete Musterbedingungen veröffentlicht. Nach seinen Angaben:

• ist auch der Fernzugriff auf die Unternehmens-IT, etwa im Homeoffice, versichert,
• sind Manipulation, Schadsoftware oder unberechtigter Zugriff auf Daten, die bei externen Dienstleistern wie Cloud-Anbietern gespeichert sind, mitversichert,
• bleibt der reine Ausfall eines Dienstleisters ausgeschlossen,
• sind Schäden aus Kriegshandlungen ausgeschlossen, auch wenn diese digital geführt werden, ebenso Folgen eines erfolgreichen staatlichen Angriffs auf kritische Infrastrukturen.

Prüfen Sie, welche Fassung Ihr Versicherer verwendet und wo er abweicht. Achten Sie besonders auf Regelungen zu Cloud- und IT-Dienstleistern: Gerade kleine Betriebe lagern E-Mail, Buchhaltung und Datensicherung häufig aus. Fällt ein solcher Dienstleister einfach aus, ohne dass Ihre Daten manipuliert wurden, greift der Schutz nach den Musterbedingungen nicht. Eine eigene Ausweichlösung für den Notbetrieb ist dann umso wichtiger.

Obliegenheiten: die Pflichten des Versicherten

Vor dem Schaden

Versicherer erheben das Risiko mit einem Fragebogen. Falsche oder geschönte Angaben können den Versicherungsschutz gefährden. Außerdem verlangen die Bedingungen in der Regel ein Mindestmaß an IT-Sicherheit. Laut GDV bleiben Grundmaßnahmen wie Datensicherung, Passwörter, Virenschutz, Firewall und Updates die Basis. Diese Maßnahmen decken sich weitgehend mit der Basis-Absicherung des IT-Grundschutzes und mit den Anforderungen der DIN SPEC 27076.

Im Schadensfall

Nach § 30 VVG ist der Versicherungsfall unverzüglich anzuzeigen. Cyber-Policen regeln oft weitere Pflichten, etwa die Nutzung der Notfall-Hotline, die Abstimmung vor dem Einschalten eigener Dienstleister oder die Schadenminderung. Diese Vorgaben gehören in den Notfallplan.

Grenzen der Versicherung

• Kein Ersatz für Sicherheit: Eine Versicherung zahlt Geld, sie stellt keine Daten wieder her, wenn keine Sicherung existiert, und verhindert keinen Reputationsschaden.
• Ausschlüsse: Neben den genannten Ausschlüssen gibt es je nach Vertrag weitere, etwa bei vorsätzlichem Handeln oder bekannten, nicht behobenen Schwachstellen. Lesen Sie die Bedingungen vollständig.
• Selbstbehalt und Summen: Versicherungssumme, Sublimits für einzelne Bausteine und Selbstbehalte bestimmen, wie viel im Ernstfall tatsächlich gezahlt wird.
• Lösegeld: Ob und unter welchen Bedingungen Lösegeldzahlungen erstattet werden, regeln die Verträge unterschiedlich. Unabhängig davon rät das BSI grundsätzlich davon ab, Lösegeld zu zahlen.

Checkliste vor dem Abschluss

1. Risikofragebogen mit dem IT-Dienstleister gemeinsam beantworten, Nachweise aufbewahren.
2. Bausteine passend zum Betrieb wählen: Ist eine Betriebsunterbrechung versichert, und ab wann?
3. Ausschlüsse und Obliegenheiten lesen, besonders zu Updates, Backups und Dienstleistern.
4. Klären, welche Serviceleistungen enthalten sind und wie die Hotline erreichbar ist.
5. Notfall-Hotline, Policennummer und Meldeweg in den Notfallplan übernehmen.

Im Schadensfall: typischer Ablauf

Wie ein Schadensfall abläuft, regelt der jeweilige Vertrag. Häufig sieht er so aus:

1. Anzeige: Meldung über die Notfall-Hotline oder den vereinbarten Weg, so früh wie möglich.
2. Erstberatung: Der Versicherer oder sein Dienstleister bewertet die Lage und vermittelt gegebenenfalls IT-Forensik, Rechtsberatung oder Kommunikationshilfe.
3. Abstimmung: Vor größeren Kosten, etwa für eigene Dienstleister oder Ersatzhardware, wird geklärt, was übernommen wird.
4. Dokumentation: Schaden, Maßnahmen und Kosten werden belegt, einschließlich des Protokolls aus dem Notfall.
5. Regulierung: Prüfung der Ansprüche nach Vertragsbedingungen, Selbstbehalt und Versicherungssumme.

Für Schritt 4 zahlt sich ein sauber geführtes Protokoll aus. Wer festhält, wann was entdeckt, entschieden und beauftragt wurde, erleichtert die Regulierung erheblich.

Zusammenspiel mit dem Notfallplan

Die Versicherung ist ein Baustein der Notfallvorsorge, kein Ersatz dafür. Im Notfallplan sollten stehen: Hotline und Policennummer, wer im Betrieb die Anzeige macht, welche Obliegenheiten im Schadensfall gelten und ob eigene Dienstleister vorab abgestimmt werden müssen. Prüfen Sie außerdem, ob die Versicherung bei der Wahl des Forensik-Dienstleisters mitreden möchte, damit es im Ernstfall keine Doppelbeauftragung gibt.