Cyberversicherung

Bei automatisierten Angriffen hat niemand Sie ausgesucht, und deshalb schützt Größe nicht. Gefunden wird, was eine Lücke hat, nicht wer bekannt ist.

Programme suchen das Netz nach offenen Zugängen, veralteten Systemen und Zugangsdaten ab, die anderswo abgeflossen sind. Dabei wissen sie nicht, wessen Tür sie gerade öffnen. Größe kommt in dieser Rechnung gar nicht vor.

Getroffen werden können Sie außerdem, ohne gemeint zu sein, etwa über

• Ihren IT-Dienstleister,
• einen Kunden oder
• einen Zulieferer, dessen Postfach übernommen wurde.

Ohne Ihre Zahlen wäre jeder Betrag geraten, deshalb nenne ich Ihnen die Größen, aus denen sich der Beitrag ergibt.

• Ihr Umsatz
• Ihre Branche
• die gewählte Versicherungssumme
• der Selbstbehalt
• Ihr IT-Sicherheitsniveau

Das IT-Sicherheitsniveau ist die einzige dieser Größen, an der Sie im Betrieb etwas ändern können. In den Ausschreibungen, die ich führe, hängen daran zwei Dinge.

• der Preis
• die Auflagen, unter denen überhaupt gezeichnet wird, also der Versicherer das Risiko übernimmt

Richtet ein Betrieb vor dem Antrag eine getrennte Datensicherung ein und ordnet den Zugang zu seinen Systemen, kann er mit einem anderen Angebot rechnen als ohne diese Vorbereitung.

In den Werken, die ich vergleiche, ist die Erstattung enthalten, allerdings mit drei Einschränkungen.

• im Rahmen der Versicherungssumme
• in angemessener Höhe
• allein in Abstimmung mit dem Versicherer. Wer ohne diese Abstimmung zahlt, riskiert die Erstattung.

Dazu gehören drei Hinweise.

• Musterbedingungen: Selbstverständlich ist diese Deckung nicht, denn die Musterbedingungen der Sparte schließen Lösegeld ausdrücklich aus. Der Einschluss ist eine Abweichung davon.
• Sanktionslisten: Es ist verboten, Personen und Organisationen, die auf einer Sanktionsliste stehen, Geld bereitzustellen, aus welchem Anlass auch immer.
• Sicherheitsbehörden: Die deutschen Sicherheitsbehörden sprechen sich öffentlich gegen Lösegeldzahlungen aus. Eine Zahlung ist auch keine Zusage, dass die Daten zurückkommen.

• Gefälschte Anweisung: Veranlasst jemand auf eine gefälschte Anweisung hin eine Überweisung, ist dieser Abfluss von Vermögenswerten in den Musterbedingungen der Cybersparte ausgeschlossen. Das gilt auch dann, wenn zuvor tatsächlich in Ihre Systeme eingegriffen wurde, und keines der von mir geprüften Werke ändert daran etwas.
• Passender Vertrag: Solche Überweisungen gehören zur Vertrauensschadenversicherung, also der Versicherung gegen Vermögensschäden durch vorsätzliche unerlaubte Handlungen eigener Mitarbeiter oder Dritter, etwa Betrug oder Untreue.

Die Erpressung nach einem Angriff ist ein eigener Vorgang und fällt nicht unter diesen Ausschluss.

Ich rate Ihnen an dieser Stelle nichts. Ich sage Ihnen, was im Vertrag steht und was im Ernstfall vor jeder Entscheidung zu klären ist.

Gefragt wird nach Ihrer IT-Sicherheit. Wichtiger ist, was aus Ihren Antworten wird, denn dahinter stehen zwei verschiedene Regelwerke.

In den Anträgen, die mir vorliegen, wird nach diesen Punkten gefragt. Wie weit die Fragen gehen, hängt vom Versicherer ab.

• Datensicherung
• Virenschutz
• Firewall
• das Einspielen von Updates
• wer welche Rechte auf Ihren Systemen hat

Für Ihre Angaben gilt im Einzelnen Folgendes.

• Angaben im Antrag: Falsche oder unvollständige Angaben auf die Fragen im Antrag verletzen die vorvertragliche Anzeigepflicht nach §§ 19 bis 22 VVG. Je nach Verschulden drohen Rücktritt, Kündigung oder eine rückwirkende Anpassung des Vertrages, bei Arglist auch die Anfechtung. Die Leistung kann dadurch ganz entfallen, wird aber nicht anteilig nach dem Verschulden gekürzt.
• Laufende Sicherheitsvorschrift: Bindet das Werk eine Angabe zusätzlich als laufende Sicherheitsvorschrift ein, gilt diese Pflicht dauerhaft. Wer sie grob fahrlässig verletzt, muss nach § 28 VVG mit einer Kürzung rechnen, die sich nach der Schwere des Verschuldens bemisst. Wie hoch sie ausfallen darf, begrenzt jedes der verglichenen Werke. Bei vorsätzlicher Verletzung ist der Versicherer leistungsfrei (§ 28 Abs. 2 Satz 1 VVG).
• Ursächlichkeit: Gekürzt werden darf nicht, soweit das Versäumnis für den Schaden nicht ursächlich war, es sei denn, es wurde arglistig gehandelt.
• Umfang der Pflichten: Die einen Werke schreiben die üblichen technischen Schutzmaßnahmen ausdrücklich als Dauerpflicht fest, andere verlangen von alldem nichts. Eines staffelt die Datensicherung nach Ihrem Umsatz, wöchentlich unterhalb einer Grenze, täglich darüber.

Deshalb gehe ich die Fragen mit Ihnen durch, statt sie abhaken zu lassen.

Er haftet Ihnen nach dem Vertrag, den Sie mit ihm geschlossen haben. Diese Haftung nimmt Ihnen aber nicht alles ab.

• Haftungsgrenze: Die erste Frage ist, ob dieser Vertrag seine Haftung der Höhe nach begrenzt. Gibt es eine solche Grenze, trägt er Ihren Ausfall nur bis zu dieser Höhe.
• Nachweis: Nachzuweisen haben Sie die Pflichtverletzung, entlasten muss er sich dann selbst.
• Datenschutz: Gegenüber den Menschen, deren Daten bei Ihnen liegen, haften Sie als Verantwortlicher, auch wenn der Dienstleister die Server betreibt. Diese Haftung lässt sich vertraglich nicht ausschließen. Soweit der Dienstleister verantwortlich ist, können Sie ihn im Innenverhältnis in Rückgriff nehmen.
• Stillstand: Der Stillstand bleibt Ihr Schaden. Er läuft in Ihrem Betrieb auf, gleich wer ihn am Ende ersetzt.

Ob dieser Stillstand versichert ist, steht weiter oben unter den Unterschieden.

Sobald personenbezogene Daten betroffen sind, in aller Regel ja.

Für die Meldung an die zuständige Aufsichtsbehörde nach Art. 33 DSGVO gilt Folgendes.

• Frist: „unverzüglich und möglichst binnen 72 Stunden“, nachdem Ihnen die Verletzung bekannt wurde. Die 72 Stunden sind kein Spielraum, gemeldet wird unverzüglich. Wer diese Frist überschreitet, muss die Verzögerung begründen.
• Fristbeginn: der Moment, in dem im Betrieb hinreichend sicher feststeht, dass personenbezogene Daten betroffen sind
• Keine Meldepflicht: wenn ein Risiko für die Betroffenen voraussichtlich nicht besteht

Ist ein hohes Risiko zu erwarten, kommt die Benachrichtigung der Betroffenen selbst hinzu.

• Bestimmte Sektoren: Die schärferen Fristen des NIS-2-Umsetzungsgesetzes, also des deutschen Gesetzes, das die NIS-2-Richtlinie der EU umsetzt, treffen nur Betriebe bestimmter Sektoren. Dort gelten sie in der Regel erst ab einer Größenschwelle, für einzelne Einrichtungen dagegen ohne jede Schwelle. Wer in keinem dieser Sektoren tätig ist, fällt nicht darunter.
• Polizei: Eine Anzeige ist gesetzlich freiwillig. Ob Ihr Vertrag sie verlangt, steht in den Obliegenheiten.

Die Beratung zu Meldung und Fristen gehört in den geprüften Werken zu den Krisenleistungen. Auch deshalb ist im Ernstfall die erste Nummer die des Versicherers und nicht die des IT-Betreuers.