Ausschlüsse, Bedingungen und Schaden
Cyberschaden melden: Ablauf von der ersten Stunde bis zur Auszahlung
Schritt-für-Schritt-Ablauf nach einem Cyberangriff: Versicherer-Hotline, Beweissicherung, Polizei, DSGVO- und NIS-2-Meldungen, Dokumentation und Schadenregulierung in Unternehmen.
Nach einem Cyberangriff rufen Sie als Erstes die Notfall-Hotline Ihres Versicherers an, sichern Beweise, ohne Systeme eigenmächtig zu bereinigen, und klären parallel Meldepflichten gegenüber Datenschutzaufsicht, Polizei und gegebenenfalls BSI. Die Reihenfolge ist wichtig: Wer Systeme vorschnell neu aufsetzt oder Dienstleister ohne Abstimmung beauftragt, riskiert Beweisverlust und Streit über die Erstattung der Kosten.
Die erste Stunde: Ruhe bewahren, Notfallplan ziehen
Halten Sie die folgenden Schritte schriftlich bereit, am besten ausgedruckt, weil Ihre Systeme im Ernstfall nicht erreichbar sein können:
- Vorfall einordnen: Was ist sichtbar (Erpresserschreiben, verschlüsselte Dateien, ungewöhnliche Überweisung)? Wer hat es entdeckt, wann?
- Betroffene Systeme isolieren: Netzwerkverbindung trennen (Kabel ziehen, WLAN abschalten), aber Geräte nicht ausschalten oder neu installieren, wenn die Forensik flüchtige Spuren braucht. Lassen Sie sich von der Hotline beraten.
- Versicherer-Hotline anrufen: Die Nummer steht im Versicherungsschein oder in den Vertragsunterlagen. Viele Bedingungen verlangen die Meldung vor Beauftragung eigener Dienstleister.
- Beweise sichern: Screenshots, Mails, Logdateien, Zeiten und Namen notieren.
- Geschäftsleitung und Verantwortliche informieren, interne Kommunikation begrenzen.
- Zahlungen prüfen: Bei Betrugsverdacht sofort die Bank kontaktieren.
Wen Sie informieren müssen
Mehrere Meldewege können parallel laufen:
| Stelle | Anlass | Frist und Hinweise |
|---|---|---|
| Versicherer | Jeder Vorfall mit möglichem Versicherungsfall | Unverzüglich; Frist und Form stehen in den Bedingungen |
| Datenschutzaufsicht | Verletzung des Schutzes personenbezogener Daten, die ein Risiko für Betroffene bedeutet | Nach Artikel 33 DSGVO unverzüglich, möglichst binnen 72 Stunden nach Bekanntwerden |
| Betroffene Personen | Voraussichtlich hohes Risiko für Betroffene | Nach Artikel 34 DSGVO unverzüglich |
| BSI | Bei Unternehmen, die unter das NIS-2-Umsetzungsrecht fallen: erhebliche Sicherheitsvorfälle | Gestufte Meldung (Frühwarnung, Meldung, Abschlussbericht); Fristen und Zuständigkeit im BSI-Gesetz und beim BSI nachlesen |
| Polizei | Strafbare Handlung, oft Voraussetzung der Versicherung | Strafanzeige bei der örtlichen Polizei oder den Zentralen Ansprechstellen Cybercrime der Landeskriminalämter |
| Bank | Betrug bei Zahlungen | Sofort, Rückruf einleiten |
Die 72-Stunden-Frist nach DSGVO beginnt, sobald Ihnen die Verletzung bekannt ist. Eine Meldung in Stufen ist möglich, wenn noch nicht alle Informationen vorliegen. Beim NIS-2-Regime sind die konkreten Fristen im reformierten BSI-Gesetz geregelt; prüfen Sie den aktuellen Wortlaut und die Hinweise des BSI, ob Ihr Unternehmen betroffen ist. Mehr dazu im Guide DSGVO, NIS-2 und Bußgelder.
Zusammenarbeit mit dem Versicherer
Nach der Meldung gibt der Versicherer meist Weisungen: Er nennt Forensiker, Rechtsberater oder Krisenkommunikation, die abgestimmt eingesetzt werden. Halten Sie sich daran, denn Kosten, die Sie ohne Abstimmung auslösen, können später gekürzt werden. Wo Eile geboten ist, dokumentieren Sie Ihre Entscheidung und informieren den Versicherer sofort. Nach den Regeln des VVG müssen Sie dem Versicherer Auskunft geben und Belege vorlegen, soweit dies zur Feststellung des Versicherungsfalls und des Umfangs der Leistung erforderlich ist, und Sie sollen den Schaden mindern.
Dokumentation für die Schadenregulierung
Sammeln Sie von Beginn an Nachweise, die später zur Regulierung gebraucht werden:
- Zeitleiste des Vorfalls mit Entdeckungszeitpunkt und Maßnahmen
- Rechnungen von Forensik, Rechtsberatung, Wiederherstellung und Mehrkosten
- Nachweise zum Ertragsausfall: Umsätze der Vergleichszeiträume, Auftragsbücher, Lohn- und Fixkosten
- Berichte der Forensiker zu Ursache und Umfang
- Kommunikation mit Behörden, Kunden und Dienstleistern
- Belege zu Sicherheitsmaßnahmen vor dem Schaden, falls der Versicherer Obliegenheiten prüft
Rechnen Sie den Ausfall mit dem Ausfallkosten-Rechner als Gerüst durch, aber belegen Sie ihn mit echten Zahlen aus der Buchhaltung.
Was Sie in der Krise nicht tun sollten
- Nicht ohne Abstimmung Lösegeld zahlen oder verhandeln, siehe Guide zu Ransomware und Lösegeld.
- Nicht Systeme formatieren, bevor Beweise gesichert sind.
- Nicht ohne Rücksprache Schuld einräumen oder Details öffentlich kommentieren.
- Nicht auf Anrufer hereinfallen, die sich als Hilfe ausgeben; Täter nutzen Notlagen.
- Nicht zu lange warten: Verzögerungen können Fristen verletzen und Schäden vergrößern.
Nach dem Schaden: Auswertung und Vertrag
Wenn der Betrieb wieder läuft, werten Sie den Vorfall aus: Ursache, Lücken, Maßnahmen. Das schützt vor Wiederholung und ist für die nächste Erneuerung wichtig. Nach einem Versicherungsfall bestehen nach dem VVG Kündigungsrechte; für Haftpflichtversicherungen regelt Paragraf 111 VVG, dass beide Seiten nach Anerkennung oder Ablehnung des Anspruchs kündigen können, jeweils mit Frist. Details im Guide Kündigen, verlängern, wechseln.
Kommunikation mit Kunden, Mitarbeitenden und Medien
Neben Technik und Behörden verlangt ein Vorfall eine geordnete Kommunikation. Legen Sie eine Ansprechperson fest, die Auskünfte gibt, und stimmen Sie Inhalte vorab mit Rechtsberatung und Versicherer ab. Informieren Sie Mitarbeitende knapp und sachlich über das, was sie tun und lassen sollen, etwa keine Geräte neu starten und keine Anfragen von Fremden beantworten. Gegenüber Kunden gilt: lieber früh und ehrlich über Auswirkungen und Ansprechwege informieren als spekulieren. Wenn Daten betroffen sind, stimmen Sie Inhalt und Zeitpunkt der Benachrichtigung mit den Vorgaben der Datenschutzaufsicht ab. Anfragen von Medien sollten gebündelt über eine Stelle laufen. Nutzen Sie, wenn die Police Krisenkommunikation umfasst, die benannten Dienstleister und klären Sie Kostengrenzen vorab. Unkoordinierte Äußerungen können Haftungsfragen verschärfen und den Ruf stärker belasten als der Vorfall selbst.
Häufige Fragen
Muss ich wirklich bei der Polizei Anzeige erstatten?
Viele Bedingungen verlangen es, und es hilft bei der Aufklärung. Rechtlich kann es auch aus anderen Gründen sinnvoll sein. Lesen Sie die Bedingungen.
Wie lange habe ich Zeit, den Schaden dem Versicherer zu melden?
Üblich ist „unverzüglich“. Manche Bedingungen nennen konkrete Fristen in Tagen. Melden Sie lieber zu früh als zu spät.
Was, wenn ich unsicher bin, ob es ein Versicherungsfall ist?
Melden Sie trotzdem. Eine Meldung verpflichtet Sie zu nichts, ein Verschweigen kann eine Obliegenheitsverletzung sein.
Zahlt der Versicherer die Kosten der DSGVO-Meldung?
Beratungs- und Benachrichtigungskosten sind häufig versichert; Umfang und Grenzen stehen in den Bedingungen.
Quellen
- Bundesbeauftragte für den Datenschutz und die Informationsfreiheit — Meldung von Datenschutzverletzungen und Hinweise zu den Landesaufsichten
- BSI — Meldewege und Informationen zur NIS-2-Umsetzung
- Bundeskriminalamt — Informationen zu Cybercrime und Anlaufstellen
- Gesetze im Internet — DSGVO-nahe Vorschriften im BDSG, VVG, BSIG
