Ausschlüsse, Bedingungen und Schaden
Ausschlüsse in der Cyberversicherung: Was nicht versichert ist und worauf Sie achten sollten
Typische Ausschlüsse in Cyberversicherungen für Unternehmen: Krieg, Infrastrukturausfall, bekannte Schwachstellen, Hardware, Vorsatz und Verbesserungen, mit Prüfliste für die Bedingungen.
Die wichtigsten Ausschlüsse in Cyberversicherungen betreffen Krieg und staatlich gesteuerte Angriffe, großflächige Ausfälle von Strom, Internet oder Cloud-Infrastruktur, vorsätzliche Herbeiführung, bekannte und nicht behobene Schwachstellen, Hardware-Schäden sowie Verbesserungen nach dem Angriff. Welche davon in Ihrer Police gelten und wie weit sie reichen, steht im Abschnitt Ausschlüsse der Versicherungsbedingungen. Lesen Sie ihn vor dem Abschluss, nicht erst im Schadenfall.
Warum Ausschlüsse so wichtig sind
Der Versicherungsschutz wird durch drei Elemente begrenzt: den versicherten Gefahrenkreis (was als Versicherungsfall definiert ist), die Ausschlüsse (was trotzdem nicht gedeckt ist) und die Obliegenheiten (was Sie tun müssen, um den Schutz zu behalten). Ausschlüsse sind anders als Sublimits keine Preisfrage, sondern ein Totalverlust des Schutzes für den betroffenen Fall. Der Versicherer muss das Eingreifen eines Ausschlusses beweisen, Sie müssen aber verstehen, wo die Grenzen liegen, um Lücken mit anderen Policen zu schließen.
Die häufigsten Ausschlüsse im Überblick
| Ausschluss | Worum es geht | Worauf Sie achten sollten |
|---|---|---|
| Krieg, kriegsähnliche Handlungen, staatliche Angriffe | Cyberangriffe, die einem Staat zugerechnet werden | Wie wird die Zurechnung festgestellt, und wer trägt die Beweislast? Gibt es Ausnahmen für kollateral betroffene Unternehmen? |
| Ausfall von Strom, Telekommunikation, Internet | Großflächige Störungen der Infrastruktur | Gilt der Ausschluss nur für Netze außerhalb Ihrer Kontrolle? Sind Cloud-Dienstleister einbezogen? |
| Vorsatz | Absichtliche Herbeiführung des Schadens | Gilt auch für Handlungen einzelner Mitarbeitender? Nach VVG wirkt Vorsatz des Versicherungsnehmers |
| Bekannte Schwachstellen | Nicht geschlossene Sicherheitslücken trotz Hinweis | Ab wann gilt eine Lücke als bekannt? Gibt es Karenzzeiten für Updates? |
| Hardware und Bricking | Physische Zerstörung von Geräten | Mit Elektronikversicherung abstimmen |
| Verbesserungen (Betterment) | Erneuerung über den früheren Zustand hinaus | Erstattung meist nur für den Wert vor dem Schaden |
| Vertragsstrafen und Garantien | Vertraglich übernommene Pflichten | Teilweise nur mit Erweiterung deckbar |
| Verletzung von Leib oder Leben, Sachschäden | Cyber-physische Schäden | Betriebshaftpflicht und Sachversicherung prüfen |
Krieg und staatliche Angriffe
Seit großen staatlich zugeordneten Angriffen in den vergangenen Jahren ist die Kriegsausschlussklausel ein viel diskutiertes Thema. Der Gedanke: Versicherer wollen nicht für systemische Schäden aufkommen, die aus geopolitischen Konflikten entstehen. Problematisch ist die Zurechnung: Ein Angriff wird oft erst Monate später von Behörden einem Staat zugeordnet. Klauseln unterscheiden sich darin, ob eine behördliche Zuordnung nötig ist, welche Beweislast gilt und ob Unternehmen als Kollateralopfer ausgenommen sind. Fragen Sie bei Ihrem Versicherer oder Makler gezielt nach dem Wortlaut und danach, wie er in der Praxis angewandt wird.
Infrastruktur und Dienstleister
Ausfälle von Strom, Internetanbindung, Rechenzentren oder Cloud-Plattformen werden oft als Ausschluss oder nur über Sublimits behandelt, wenn sie ohne Angriff auf Ihre Systeme entstehen. Entscheidend ist, ob Ihr Dienstleister als Teil Ihres Netzwerks gilt. Manche Policen decken Betriebsunterbrechung durch Angriffe auf namentlich genannte Dienstleister mit eigenem Sublimit. Das ist für Unternehmen, die stark in der Cloud arbeiten, einer der wichtigsten Vergleichspunkte.
Bekannte Schwachstellen und mangelhafte Sicherheit
Einige Bedingungen schließen Schäden aus, die auf bekannte, aber nicht geschlossene Sicherheitslücken zurückgehen, oder verlangen eine festgelegte Update-Frist. Das ist rechtlich oft als Obliegenheit konstruiert und führt dann zu einer Kürzung, nicht zum völligen Verlust, mehr dazu im Guide Obliegenheiten und Sicherheitsanforderungen. Prüfen Sie, wie genau die Vorgaben definiert sind und ob Sie sie praktisch einhalten können. Eine Vorgabe wie „alle Systeme immer auf dem neuesten Stand“ ist im Alltag selten vollständig erfüllbar.
Verbesserungen, Hardware, Reputation
Wenn nach dem Angriff Systeme modernisiert werden, ersetzt der Versicherer meist nur die Wiederherstellung des früheren Zustands. Fragen Sie, ob sinnvolle Sicherheitsverbesserungen in begrenztem Umfang mitversichert sind. Hardware ist bei Cyberpolicen häufig nur ausnahmsweise gedeckt. Reputationsschäden sind selten erstattungsfähig oder auf Krisenkommunikation begrenzt.
So prüfen Sie die Ausschlüsse in der Praxis
- Fordern Sie die vollständigen Versicherungsbedingungen an und markieren Sie den Abschnitt Ausschlüsse.
- Notieren Sie je Ausschluss, ob ein Sublimit oder eine Ausnahme besteht.
- Stellen Sie konkrete Szenarien auf: Cloud-Ausfall, Angriff über Lieferanten, Fehlkonfiguration, Angriff durch Staat.
- Lassen Sie sich schriftlich bestätigen, wie der Versicherer in diesen Fällen entscheidet.
- Schließen Sie Lücken mit anderen Policen, etwa Elektronik- oder Betriebsunterbrechungsversicherung.
- Dokumentieren Sie die Beratung.
Ausschluss oder Obliegenheit?
Der Unterschied ist rechtlich wichtig. Ein Ausschluss nimmt einen Risikobereich vollständig aus dem Schutz. Eine Obliegenheit verlangt ein Verhalten und führt bei Verletzung nach den Regeln des VVG zu einer Leistungskürzung oder, bei Vorsatz, Leistungsfreiheit. Bei Verletzung vertraglich vereinbarter Obliegenheiten vor dem Versicherungsfall regelt der Paragraf 28 VVG die Folgen: Der Versicherer kann nach Verschuldensgrad kürzen, bei grober Fahrlässigkeit in einem der Schwere entsprechenden Verhältnis, und muss die Kausalität prüfen. Das gilt nicht bei Arglist. Lassen Sie sich im Streitfall anwaltlich beraten.
Beispiel: Ausfall eines Cloud-Anbieters
Ein Betrieb nutzt für Buchhaltung, Kundenverwaltung und Telefonie einen Cloud-Anbieter. Dieser wird Opfer eines Angriffs, und alle Kunden verlieren zwei Tage lang den Zugriff. Die Systeme des Betriebs selbst wurden nicht angegriffen. Ob die Cyberversicherung zahlt, hängt davon ab, ob die Police Betriebsunterbrechung durch Ausfälle externer Dienstleister mitversichert und ob der Anbieter vom Begriff des versicherten Netzwerks erfasst ist. Manche Bedingungen decken solche Ausfälle nur bei Angriffen auf namentlich genannte Anbieter, manche nur mit niedrigem Sublimit, manche gar nicht. Das Beispiel zeigt, warum der Blick auf Definitionen wichtiger ist als die Überschriften im Angebot. Fragen Sie Ihren Versicherer, welche Anbieter Sie zum Zeitpunkt des Vertrags nutzen, und ob ein späterer Wechsel des Anbieters gemeldet werden muss.
Häufige Fragen
Sind Angriffe durch Mitarbeitende ausgeschlossen?
Absichtliche Taten Ihres Versicherungsnehmers sind ausgeschlossen. Taten einzelner Mitarbeitender werden unterschiedlich behandelt; manchmal greift die Vertrauensschadenversicherung.
Gilt der Kriegsausschluss auch bei Ransomware aus Staaten?
Das hängt vom Wortlaut ab. Kriminelle Gruppen sind nicht automatisch dem Staat zuzurechnen. Lassen Sie sich die Klausel erläutern.
Kann ich Ausschlüsse verhandeln?
Bei größeren Risiken oft ja, bei Standardtarifen kaum. Fragen Sie über Ihren Makler nach Erweiterungen.
Was ist, wenn die Police mein Risiko nicht abdeckt?
Dann sprechen Sie vor einem Schaden mit Ihrer Beratung über Alternativen: Zusatzdeckung, andere Police oder organisatorische Maßnahmen.
Quellen
- GDV — Musterbedingungen und Informationen zur Cyberversicherung
- BaFin — Aufsicht und Verbraucherinformationen
- Gesetze im Internet — Versicherungsvertragsgesetz (insbesondere Paragrafen 28 und 81)
