Cyberversicherung einfach erklärt
Viele herkömmliche Policen knüpfen an Sach- oder Personenschäden an. Wird ein Server gestohlen oder brennt ab, ist das ein Sachschaden. Werden die Daten auf dem Server dagegen verschlüsselt, gelöscht oder kopiert, entsteht vor allem ein Vermögensschaden. Die Musterbedingungen, die der Versicherungsverband GDV als Vorlage für Cyberpolicen veröffentlicht, stellen ausdrücklich klar, dass elektronische Daten in diesem Sinn keine Sachen sind.
Hier setzt die Cyberversicherung an. Versichert sind Vermögensschäden, die durch eine Verletzung der Informationssicherheit entstehen. Gemeint ist, dass Daten oder IT-Systeme nicht mehr verfügbar, verfälscht oder in fremde Hände geraten sind. Auslöser können ein Angriff von außen, ein unberechtigter Zugriff, ein Schadprogramm oder ein Verstoß gegen Datenschutzvorschriften wie die DSGVO sein.
Die GDV-Bedingungen sind unverbindliche Muster (Stand: Februar 2024). Jeder Versicherer gestaltet seine Verträge selbst, deshalb können Umfang, Begriffe und Ausschlüsse abweichen. Maßgeblich sind Versicherungsschein und Bedingungen des eigenen Vertrags.
Welche Bausteine eine Police enthalten kann
Die Musterbedingungen gliedern den Schutz in mehrere Bausteine, die sich kombinieren lassen:
- Eigenschäden: Fällt der Betrieb nach einem Angriff aus, ersetzt die Versicherung den entgangenen Gewinn und die laufenden Kosten, begrenzt auf eine vereinbarte Haftzeit. Hinzu kommen Aufwendungen, um betroffene Daten wiederherzustellen und Schadsoftware zu entfernen.
- Service und Kosten: Versichert sind die Kosten externer Sachverständiger, die Ursache und Umfang des Schadens feststellen – nach vorheriger Abstimmung mit dem Versicherer. Auch Kosten, um nach einer Datenpanne Betroffene und Behörden zu informieren, können versichert sein; Krisenkommunikation lässt sich gesondert vereinbaren.
- Drittschäden: Verlangen Kunden oder Geschäftspartner Schadenersatz, etwa weil ihre Daten abgeflossen sind, prüft der Versicherer die Ansprüche, wehrt unberechtigte ab und ersetzt berechtigte im Rahmen der gesetzlichen Haftpflicht.
Welche Bausteine Ihr Vertrag enthält und bis zu welcher Summe, steht im Versicherungsschein.
Grenzen und Ausschlüsse
Eine Cyberversicherung deckt nicht jede Störung der IT. Die Musterbedingungen schließen unter anderem Schäden durch Krieg und bestimmte staatlich gesteuerte Angriffe, durch Terrorakte und durch den großflächigen Ausfall von Infrastruktur aus, zum Beispiel überregionaler Telefon- oder Internetnetze. Auch Löse- und Erpressungsgelder sind dort vom Schutz ausgenommen.
Gerade für kleinere Betriebe zählt ein weiterer Punkt. Fällt nur ein externer Dienstleister aus und sind die eigenen Daten deshalb vorübergehend nicht erreichbar, besteht nach den Musterbedingungen dafür kein Schutz. Wer Cloud-Dienste nutzt, sollte diese Frage beim Abschluss klären.
Hinzu kommen Obliegenheiten, also Pflichten des Versicherungsnehmers. Schon vor einem Schaden verlangen die Musterbedingungen grundlegende Schutzmaßnahmen – von individuellen Zugängen über einen Virenschutz und ein Patch-Management bis zu einem Backup, das gegen Manipulation geschützt ist. Für Server mit Zugang aus dem Internet nennen sie unter anderem eine Multi-Faktor-Authentifizierung als zusätzlichen Schutz. Tritt ein Schaden ein, müssen Sie ihn dem Versicherer unverzüglich melden, nachdem Sie davon erfahren haben (§ 30 VVG). Welche Fragen Versicherer vor Vertragsschluss stellen und wie Sie Antworten belegen, zeigt der Beitrag Cyberversicherung: Anforderungen an Ihre IT.
Zwei Ausfälle, zwei Antworten der Police
Angenommen, ein Händler für Musikinstrumente mit 18 Mitarbeitenden betreibt ein Ladengeschäft und einen Onlineshop. An einem Donnerstag verschlüsselt eine Ransomware den Server, auf dem Bestellungen und Kundendaten liegen. Drei Tage lang lassen sich keine Aufträge bearbeiten.
Der Inhaber meldet den Schaden unverzüglich beim Versicherer und stimmt mit ihm ab, welche Fachleute klären, wie die Angreifer hereinkamen. Enthält der Vertrag die passenden Bausteine, trägt die Versicherung die Kosten der Analyse und der Wiederherstellung aus den Sicherungen. Hinzu kommen der entgangene Gewinn und die laufenden Kosten innerhalb der Haftzeit, jeweils abzüglich einer Selbstbeteiligung, falls eine vereinbart ist.
Einige Wochen später ist der Cloud-Dienst, über den das Geschäft seine E-Mails abwickelt, einen Tag lang gestört. Auch das kostet Umsatz. Weil aber kein Angriff auf die eigenen Systeme vorliegt, sondern nur der Dienst eines Anbieters ausfällt, greift der Vertrag nach den Musterbedingungen nicht. Der Fall zeigt, warum sich ein genauer Blick auf die Definitionen lohnt.
Wann eine Cyberversicherung sinnvoll ist
Die Versicherung ersetzt keine Schutzmaßnahmen, sie federt die finanziellen Folgen ab. Sinnvoll ist sie vor allem dort, wo ein Ausfall der IT schnell teuer wird oder wo personenbezogene Daten vieler Kunden verarbeitet werden. Für die Entscheidung hilft eine Liste der Abläufe, die ohne IT stillstehen, und eine Schätzung, wie lange ein Ausfall verkraftbar ist – die zugehörigen Kennzahlen heißen RTO und RPO. Was im Ernstfall organisatorisch zu tun ist, erklärt der Begriff Incident Response.
Diese Erklärung ist keine Versicherungs- oder Rechtsberatung. Welche Police passt und was sie im Detail abdeckt, klären Sie mit Ihrem Versicherer oder einer Maklerin bzw. einem Makler.
Wie ProNet unterstützt
Versicherungen vermitteln oder bewerten wir nicht. Wir kümmern uns um die technische Seite. Im IT-Sicherheitscheck gleichen wir die Schutzmaßnahmen, nach denen Versicherer fragen, mit dem tatsächlichen Zustand Ihrer IT ab und zeigen, wo Lücken bestehen. Wie sich Datensicherung, Updates, Endpoint-Schutz und abgesicherte Zugänge dauerhaft betreiben lassen, beschreibt unser Bereich IT-Sicherheit für Unternehmen.