Gekauft ist nicht gedeckt

Drei Sonntage lang ging es ums Vorher: um den Satz im Protokoll, um die Tür, die Hilfsbereitschaft heißt, um die Post, die nicht kommt. Heute geht es um den Morgen, an dem das Vorher zu Ende ist.

05:17 Uhr

In meinem Buch „Zukunft mit der Datenmacht des Mittelstands“ klingelt das Telefon um 05:17 Uhr. Nicht der Wecker, der hätte noch elf Minuten gehabt. Auf dem Display: Keller, Produktion. „Herr Hartmann, entschuldigen Sie die Uhrzeit. Wir kommen nicht rein.“ – „Wo nicht rein?“ – „Ins ERP. Arbeitsvorbereitung auch nicht. Versand auch nicht. Leitstand auch nicht.“ Und dann, nach einem Schweigen, das der erste Bericht des Tages ist: „Auf den Bildschirmen steht überall dasselbe. Ihre Daten wurden verschlüsselt. Wir sollen zahlen. In Bitcoin. Da ist eine Frist.“

Thomas Hartmann ist kein leichtsinniger Mann. Dritte Generation, 180 Mitarbeiter, digitalisiert – nicht leichtfertig, nicht billig, nicht ohne Berater. Und natürlich hat er eine Cyberversicherung. Er hat die Berichte über Krankenhäuser und Stadtverwaltungen gelesen, in Unternehmerkreisen darüber gesprochen, mit ernstem Gesicht und dem richtigen Kopfnicken: „Da muss man wirklich etwas tun.“ Man. Nicht ich. Jetzt steht er vor dem Bildschirm seines eigenen Unternehmens und sagt: „Das passiert doch nur den anderen.“ Niemand antwortet.

Sein erster Reflex: „Haben Sie neu gestartet?“ Er hört selbst, wie falsch der Satz ist. Sein zweiter Reflex: das Handy. „Wen rufen Sie an?“ – „Den Versicherungsmakler.“ Der geht nicht ran. Natürlich nicht. Es ist kurz vor sechs.

Der Brief war höflich

Zehn Tage später läuft die Produktion wieder, noch nicht normal. Die Forensiker haben erste Berichte geliefert, die kaufmännische Leiterin hat die Kosten gesammelt: Mehrarbeit, Ausfall, Dienstleister, Kommunikation, Rechtsberatung, Wiederherstellung. Unten steht eine Zahl, die niemand gern ansieht. Hartmann ist trotzdem nicht verzweifelt. Er hat eine Cyber-Police. Ordentlich abgeschlossen. Prämie bezahlt. Police im Ordner.

Dann kommt der Brief. Der Versicherer prüfe die Eintrittspflicht. Bestimmte Angaben aus dem Antrag seien mit der tatsächlichen Sicherheitslage abzugleichen. Rückfragen zu Mehr-Faktor-Authentifizierung, Backup-Tests, Patch-Management, Fernwartungszugängen. Hartmann liest den Brief zweimal. Beim zweiten Mal wird er nicht ruhiger.

Viele Unternehmer behandeln Versicherungen wie eine Beruhigungspille. Abgeschlossen, bezahlt, erledigt. Im Cyberbereich ist das gefährlich. Eine Versicherung leistet im Rahmen eines Vertrags, und dieser Vertrag enthält Bedingungen, Obliegenheiten, Ausschlüsse, Sublimits, Meldefristen. Das ist nicht böse. Das ist Versicherung. Der Versicherer übernimmt ein Risiko auf Grundlage bestimmter Angaben. Wenn diese Angaben zu optimistisch oder veraltet sind, entsteht im Schadensfall Streit.

Antrag gegen Wirklichkeit

Die kaufmännische Leiterin legt den Versicherungsantrag neben die Maßnahmenliste. Mehr-Faktor-Authentifizierung für externe Zugänge? Im Antrag: ja. In der Wirklichkeit: weitgehend, aber nicht überall – der alte Fernwartungszugang war unklar. Regelmäßige Backups? Im Antrag: ja. In der Wirklichkeit: Sicherungen liefen, aber der letzte Wiederherstellungstest war abgebrochen und nie nachgeholt worden. Schulungen? Im Antrag: ja. In der Wirklichkeit: einzelne, ohne Rhythmus, ohne vollständige Dokumentation.

Die Liste ist nicht katastrophal. Aber sie ist nicht deckungsgleich. Der Antrag beschrieb das Unternehmen, wie es sein sollte. Die Wirklichkeit zeigte das Unternehmen, wie es war. Dazwischen entstand Risiko. Hartmann hatte beim Abschluss nicht bewusst falsche Angaben gemacht. Er hatte geantwortet, wie viele Unternehmer antworten: nach bestem Gefühl, gestützt auf Aussagen der IT, in der Annahme, dass es schon passen werde. Aber Gefühl ist kein Nachweis.

„Welche?“

Hartmann spricht von „der Versicherung“. Sein Anwalt korrigiert ihn mit einem einzigen Wort: „Welche?“ Das ist keine Spitzfindigkeit. Eine Cyber-Police deckt Eigenschäden des Unternehmens – Forensik, Wiederherstellung, Betriebsunterbrechung. Eine D&O-Versicherung betrifft persönliche Vermögensschäden von Geschäftsführern, wenn ihnen Pflichtverletzungen vorgeworfen werden. Ein Strafrechtsschutz deckt Verteidigungskosten. Drei Verträge, drei Funktionen, drei Prüfungen. Wer sie erst im Schadensfall auseinanderhält, liest mit hohem Puls.

Und dann die Überweisung der Buchhalterin, über die ich vor zwei Wochen geschrieben habe. „Das ist doch Cyber“, sagt jemand. Vielleicht. Vielleicht nicht. Ob ein solcher Schaden gedeckt ist, hängt vom Vertrag ab. Manche Policen decken Zahlungsbetrug, andere nur mit Zusatzbaustein, manche schließen ihn aus. Nicht Begriffe entscheiden, sondern Bedingungen. „Cyber“ ist kein Zauberwort.

Was ich daraus gelernt habe

Unsere Kanzlei hat den Morgen danach zweimal erlebt. Ich habe hier schon darüber gesprochen, und ich werde die Details nicht ausbreiten. Aber eines will ich sagen, weil es die Lehre ist, die am längsten nachwirkt: Die Versicherung war an diesen Morgen nicht das Netz, das mich aufgefangen hat. Sie war ein Vertrag, den ich in diesem Moment noch einmal lesen musste. Was mich getragen hat, war das, was vorher geregelt war – und was nicht geregelt war, hat gefehlt.

Im Buch nutzt Hartmann den Versicherungsantrag nach dem ersten Ärger anders: nicht mehr als Vertragsdokument, sondern als Hausaufgabenliste. Wenn der Versicherer nach Mehr-Faktor-Authentifizierung fragt, ist das nicht nur eine Bedingung. Es ist ein Hinweis auf eine wichtige Maßnahme. Wenn er nach Backups und Wiederherstellung fragt, zeigt er ein zentrales Risiko. Der Antrag benennt die typischen Schadenursachen – kostenlos, sortiert, von Leuten, die tausende solcher Morgen gesehen haben. Und die Obliegenheiten – wann melden, welche Dienstleister, welche Freigaben – gehören nicht in einen Ordner, den man öffnet, wenn die Halle steht. Sie gehören in den Notfallplan, neben die Telefonnummern.

Am Ende legt Hartmann den Brief des Versicherers in den Cockpit-Ordner. Nicht zu den schlechten Nachrichten. Zu den Lehrmitteln. Denn manche Dokumente zahlen nicht sofort. Aber sie zeigen sehr genau, wo ein Unternehmen seine Nahtstellen prüfen muss.

Meine Frage – und Ihre

Meine Frage an Sie ist die, die Hartmann zehn Tage zu spät gestellt hat: Wann haben Sie zuletzt Ihren Versicherungsantrag und die Wirklichkeit Ihres Unternehmens nebeneinandergelegt? Nicht die Deckungssumme – die Fragen. Wenn die Antwort „beim Abschluss“ lautet, dann wissen Sie, was am Montag auf den Tisch gehört: der Antrag, die Maßnahmenliste und die ehrliche Frage, wo sie auseinanderlaufen.

Und eine zweite Frage hebe ich mir für den Januar auf. Bei unserer Mandelblüte auf Mallorca, vom 28. bis 30. Januar 2027, heißt der Programmpunkt „Wenn der Bildschirm schwarz wird“. Auf dem Podium sitzt Thomas Tschersich, Chief Security Officer der Deutschen Telekom – und, wenn die Gespräche gelingen, ein Versicherer, der die Briefe schreibt, die Hartmann bekommen hat. Ich werde sie fragen: Wie viele Unternehmen, die einen Cyberschaden melden, bekommen ihn so bezahlt, wie sie es beim Abschluss erwartet haben – und woran scheitert der Rest?

Vier Sonntage lang habe ich Fragen gestellt. Am nächsten Sonntag erzähle ich Ihnen, was wir aus diesen Fragen gemacht haben.