Cyberversicherung

Diese Frage unterstellt, dass jemand Sie ausgesucht hat – und genau das ist bei automatisierten Angriffen nicht der Fall. Programme suchen das Netz nach offenen Zugängen, veralteten Systemen und nach Zugangsdaten ab, die anderswo abgeflossen sind, ohne zu wissen, wessen Tür sie gerade öffnen. Gefunden wird, was eine Lücke hat, nicht wer bekannt ist. Und es gibt einen zweiten Weg, getroffen zu werden, ohne gemeint zu sein: über Ihren IT-Dienstleister, über einen Kunden, über einen Zulieferer, dessen Postfach übernommen wurde. In dieser Rechnung schützt Größe nicht; sie kommt darin gar nicht vor.

Ohne Ihre Zahlen wäre jeder Betrag geraten, deshalb nenne ich Ihnen lieber die Größen, aus denen sich der Beitrag ergibt: Ihr Umsatz, Ihre Branche, die gewählte Versicherungssumme, der Selbstbehalt und Ihr IT-Sicherheitsniveau. Die letzte Größe ist die einzige, an der Sie im Betrieb wirklich etwas ändern können, und sie wirkt doppelt: In den Ausschreibungen, die ich führe, hängt an ihr nicht nur der Preis, sondern auch, unter welchen Auflagen überhaupt gezeichnet wird. Ein Betrieb, der vor dem Antrag eine getrennte Datensicherung einrichtet und den Zugang zu seinen Systemen ordnet, kann mit einem anderen Angebot rechnen als derselbe Betrieb ohne diese Vorbereitung.

In den Werken, die ich vergleiche, ist die Erstattung enthalten – im Rahmen der Versicherungssumme, in angemessener Höhe und allein in Abstimmung mit dem Versicherer. Das ist kein Nebensatz: Wer ohne diese Abstimmung zahlt, riskiert die Erstattung. Selbstverständlich ist diese Deckung nicht, denn die Musterbedingungen der Sparte schließen Lösegeld ausdrücklich aus – der Einschluss ist eine Abweichung davon. Zwei Dinge gehören dazu gesagt. Erstens ist es verboten, Personen und Organisationen, die auf einer Sanktionsliste stehen, Geld bereitzustellen – aus welchem Anlass auch immer das geschieht. Zweitens sprechen sich die deutschen Sicherheitsbehörden öffentlich gegen Lösegeldzahlungen aus – und eine Zahlung ist keine Zusage, dass die Daten zurückkommen. Ich rate Ihnen an dieser Stelle nichts – ich sage Ihnen, was im Vertrag steht und was im Ernstfall vor jeder Entscheidung zu klären ist.

Gefragt wird in den Anträgen, die mir vorliegen, nach Datensicherung, Virenschutz, Firewall, dem Einspielen von Updates und danach, wer welche Rechte auf Ihren Systemen hat – wie weit, hängt vom Versicherer ab. Wichtiger ist, was aus Ihren Antworten wird, denn dahinter stehen zwei verschiedene Regelwerke. Falsche oder unvollständige Angaben im Antrag sind eine Verletzung der vorvertraglichen Anzeigepflicht nach §§ 19 bis 22 VVG: Dort drohen je nach Verschulden Rücktritt, Kündigung oder eine nachträgliche Anpassung des Vertrages – die Leistung kann dadurch ebenfalls sinken, aber nicht anteilig nach dem Verschulden. Bindet das Werk eine Angabe zusätzlich als laufende Sicherheitsvorschrift ein, gilt diese Pflicht dauerhaft – und wer sie grob fahrlässig verletzt, muss nach § 28 VVG mit einer Kürzung rechnen, die sich nach der Schwere des Verschuldens bemisst; wie hoch sie ausfallen darf, begrenzt jedes der verglichenen Werke. Gekürzt werden darf dabei nicht, soweit das Versäumnis für den Schaden nicht ursächlich war – es sei denn, es wurde arglistig gehandelt. Deshalb gehe ich die Fragen mit Ihnen durch, statt sie abhaken zu lassen.

Er haftet Ihnen nach dem Vertrag, den Sie mit ihm geschlossen haben – und ob dieser Vertrag seine Haftung der Höhe nach begrenzt, ist die erste Frage. Gibt es eine solche Grenze, trägt er Ihren Ausfall nur bis zu dieser Höhe. Nachzuweisen haben Sie die Pflichtverletzung; entlasten muss er sich dann selbst. Diese Haftung nimmt Ihnen aber nicht alles ab. Gegenüber den Menschen, deren Daten bei Ihnen liegen, bleiben Sie verantwortlich – das hängt nicht davon ab, wer die Server betreibt, und lässt sich vertraglich nicht weiterreichen. Und der Stillstand bleibt Ihr Schaden: Er läuft in Ihrem Betrieb auf, gleich wer ihn am Ende ersetzt. Ob dieser Stillstand versichert ist, steht weiter oben unter den Unterschieden.

Sobald personenbezogene Daten betroffen sind, in aller Regel ja. Nach Art. 33 DSGVO melden Sie die Verletzung der zuständigen Aufsichtsbehörde „unverzüglich und möglichst binnen 72 Stunden“, nachdem sie Ihnen bekannt wurde. Die 72 Stunden sind die äußere Grenze, nicht der Normalfall, und die Frist läuft ab dem Moment, in dem im Betrieb hinreichend sicher feststeht, dass personenbezogene Daten betroffen sind. Melden müssen Sie nicht, wenn ein Risiko für die Betroffenen voraussichtlich nicht besteht; später dürfen Sie melden, müssen die Verzögerung dann aber begründen. Ist ein hohes Risiko zu erwarten, kommt die Benachrichtigung der Betroffenen selbst hinzu. Die schärferen Fristen des NIS-2-Umsetzungsgesetzes treffen nur Betriebe bestimmter Sektoren – dort in der Regel erst ab einer Größenschwelle, für einzelne Einrichtungen dagegen ohne jede Schwelle. Wer in keinem dieser Sektoren tätig ist, fällt nicht darunter. Eine Anzeige bei der Polizei ist gesetzlich freiwillig; ob Ihr Vertrag sie verlangt, steht in den Obliegenheiten. Die Beratung zu Meldung und Fristen gehört in den geprüften Werken zu den Krisenleistungen – einer der Gründe, warum im Ernstfall die erste Nummer die des Versicherers ist und nicht die des IT-Betreuers.