Cyber-Versicherungs-Architektur — D&O, Cyber-Police, Strafrechtsschutz im Zusammenspiel

Dieser Pillar ist die Architektur-Übersicht des A5-Clusters. Er beantwortet die Frage, die nach NIS-2-Betroffenheit, Geschäftsleitungspflichten, Innenhaftung und 72-Stunden-Vorfallmechanik zwangsläufig entsteht: Wie wird das verbleibende Cyber-Risiko versicherungstechnisch so strukturiert, dass Geschäftsleitung und Einrichtung nicht aneinander vorbeiversichert sind? Der Text arbeitet mit drei Ebenen. Erstens: gesetzliche und versicherungsvertragliche Mechanik. Zweitens: typische Bedingungswerk- und Marktpraxis. Drittens: operative Umsetzung in Antrag, Underwriting, Schadenmeldung und Akutphase. Der Text ersetzt keine Einzelfallberatung, weil Versicherbarkeit im Cyber-Kontext stark vom konkreten Bedingungswerk abhängt. Er soll aber so geschrieben sein, dass eine Geschäftsleitung die richtigen Fragen an Versicherungsmakler, D&O-Anwalt, Strafverteidiger, CISO und Aufsichtsrat stellen kann.

1. Worum es geht: Eine Police ist keine Architektur

Cyber-Schäden treffen nicht nur Server. Sie treffen Bilanz, Zahlungsfähigkeit, Kundenbeziehungen, Meldepflichten, Aufsichtsratsarbeit, Organhaftung und im Extremfall die berufliche Zukunft einzelner Geschäftsleiter. Deshalb ist die Ausgangsfrage „Haben wir eine Cyber-Versicherung?“ zu klein. Die richtige Frage lautet: Welche Schadenkomponente liegt bei welcher Person, in welchem Verfahren, unter welchem Bedingungswerk und mit welcher Beweislast?

Eine D&O-Versicherung [M-AVB-OFFEN] schützt nicht die IT-Landschaft des Unternehmens. Sie schützt, vereinfacht gesagt, die versicherten Organmitglieder gegen die zivilrechtliche Inanspruchnahme wegen Organpflichtverletzungen. Wenn ein Vorstand oder Geschäftsführer nach einem Ransomware-Vorfall von der eigenen Gesellschaft auf Ersatz von Wiederherstellungskosten, Betriebsunterbrechungsschaden oder Bußgeld-Regress in Anspruch genommen wird, kann die D&O relevant werden. Sie bezahlt aber nicht automatisch den Serveraufbau, den Krisenkommunikator, den Forensiker oder die Kundenbenachrichtigung. Dafür ist typischerweise die Cyber-Police da.

Eine Cyber-Police schützt wiederum nicht automatisch das Privatvermögen des Geschäftsführers. Sie ist regelmäßig auf die Einrichtung als Versicherungsnehmerin zugeschnitten und deckt je nach Bedingungswerk Eigenschäden, Drittschäden, Krisenkosten, Betriebsunterbrechung, Erpressung und bestimmte Rechtsverfolgungs- oder Verteidigungskosten. Wird die Geschäftsleitung später persönlich wegen Pflichtverletzung in Anspruch genommen, ist das ein anderer Versicherungsfall. Die Cyber-Police kann den Eigenschaden regulieren und anschließend über § 86 VVG [N-VVG-86] Regressansprüche übernehmen; dadurch kann die D&O-Schiene erst recht aktiviert werden.

Der Strafrechtsschutz bildet die dritte Säule. Cyber-Vorfälle lösen nicht nur zivilrechtliche Streitigkeiten aus. Sie können zu Anhörungen, Durchsuchungen, Ordnungswidrigkeitenverfahren und Strafverfahren führen: § 130 OWiG [N-OWiG-130] wegen Aufsichtspflichtverletzung, § 266 StGB [N-StGB-266] wegen Untreue in extremen Pflichtverletzungsfällen, Sanktions-, AWG-, Geldwäsche-, Terrorismusfinanzierungs- und nur in Ausnahmefällen Organisationsunterstützungsrisiken bei Lösegeldkonstellationen oder spezialgesetzliche Verfahren nach Datenschutz-, Finanzaufsichts- oder IT-Sicherheitsrecht. Die Verteidigungskosten entstehen sofort; die zivilrechtliche Haftung ist zu diesem Zeitpunkt oft noch ungeklärt. Wer erst nach der Durchsuchung merkt, dass die D&O keine klare Vorschussregel für Strafverteidigungskosten enthält, hat die Architekturfrage zu spät gestellt.

Der Aha-Moment lautet daher: Die drei Säulen decken unterschiedliche Risikoträger und unterschiedliche Verfahren ab. Die D&O adressiert die persönliche zivilrechtliche Organhaftung. Die Cyber-Police adressiert Vermögens- und Haftpflichtrisiken der Einrichtung aus dem Cyber-Ereignis. Der Strafrechtsschutz adressiert die Verteidigung der handelnden Personen in Straf- und OWiG-Verfahren. Keine dieser Säulen ersetzt die andere. Eine gute Architektur legt außerdem fest, wer in den ersten 72 Stunden was meldet, wer welche Police informiert, wer die Kommunikation mit Konsortialführern übernimmt und wer die Verteidigerkosten vorschießt.

Die ökonomische Dimension erklärt, weshalb diese Architektur Chefsache ist. Ein hoher Mittelständler mit 200 bis 500 Mio. Euro Umsatz kann bei Produktionsstillstand, Wiederherstellung, Kundenvertragsstrafen, DSGVO [EU-DSGVO]-Folgekosten, forensischen Kosten, Anwaltshonoraren und möglichem Regress schnell in zweistellige Millionenbeträge laufen. Bei Konzernen kommen umsatzbezogene Bußgeldrisiken, Konzern-D&O-Konkurrenz und internationale Klageforen hinzu. Die Versicherungsfrage ist damit nicht Einkauf einer Police, sondern Teil der Governance- und Resilienzarchitektur.

2. Rechtliche und vertragliche Grundlage der drei Säulen

2.1 D&O-Versicherung: Haftpflichtversicherung, Versicherung für fremde Rechnung und Organbegriff

Die D&O ist versicherungsrechtlich eine Vermögensschaden-Haftpflichtversicherung. Ihr Ausgangspunkt ist § 100 VVG [N-VVG-100]:

Bei der Haftpflichtversicherung ist der Versicherer verpflichtet, den Versicherungsnehmer von Ansprüchen freizustellen, die von einem Dritten auf Grund der Verantwortlichkeit des Versicherungsnehmers für eine während der Versicherungszeit eintretende Tatsache geltend gemacht werden, und unbegründete Ansprüche abzuwehren.

In der klassischen Unternehmens-D&O ist diese einfache Haftpflichtlogik verschachtelt. Versicherungsnehmerin ist häufig die Gesellschaft. Geschützt sind aber die versicherten natürlichen Personen: Geschäftsführer, Vorstände, Aufsichtsräte, Beiräte, leitende Angestellte, Compliance-Verantwortliche oder Organmitglieder von Tochtergesellschaften, soweit das Bedingungswerk sie erfasst. Die Gesellschaft zahlt also Prämie und organisiert den Vertrag; die Rechte aus dem Versicherungsschutz stehen aber zunächst den versicherten Personen zu.

Der gesetzliche Schlüssel dafür ist nicht § 110 VVG [N-VVG-110], sondern die Versicherung für fremde Rechnung in §§ 43 bis 45 VVG, ergänzt durch § 47 VVG [N-VVG-47] für Kenntnis und Verhalten des Versicherten. § 43 VVG [N-VVG-43] lautet:

(1) Der Versicherungsnehmer kann den Versicherungsvertrag im eigenen Namen für einen anderen, mit oder ohne Benennung der Person des Versicherten, schließen (Versicherung für fremde Rechnung).
(2) Wird der Versicherungsvertrag für einen anderen geschlossen, ist, auch wenn dieser benannt wird, im Zweifel anzunehmen, dass der Versicherungsnehmer nicht als Vertreter, sondern im eigenen Namen für fremde Rechnung handelt.
(3) Ergibt sich aus den Umständen nicht, dass der Versicherungsvertrag für einen anderen geschlossen werden soll, gilt er als für eigene Rechnung geschlossen.

§ 44 VVG [N-VVG-44] zieht daraus die zentrale Rechtsfolge:

(1) Bei der Versicherung für fremde Rechnung stehen die Rechte aus dem Versicherungsvertrag dem Versicherten zu. Die Übermittlung des Versicherungsscheins kann jedoch nur der Versicherungsnehmer verlangen.
(2) Der Versicherte kann ohne Zustimmung des Versicherungsnehmers nur dann über seine Rechte verfügen und diese Rechte gerichtlich geltend machen, wenn er im Besitz des Versicherungsscheins ist.

§ 45 VVG [N-VVG-45] ergänzt die Rolle des Versicherungsnehmers:

(1) Der Versicherungsnehmer kann über die Rechte, die dem Versicherten aus dem Versicherungsvertrag zustehen, im eigenen Namen verfügen.
(2) Ist ein Versicherungsschein ausgestellt, ist der Versicherungsnehmer ohne Zustimmung des Versicherten zur Annahme der Leistung des Versicherers und zur Übertragung der Rechte des Versicherten nur befugt, wenn er im Besitz des Versicherungsscheins ist.
(3) Der Versicherer ist zur Leistung an den Versicherungsnehmer nur verpflichtet, wenn der Versicherte seine Zustimmung zu der Versicherung erteilt hat.

§ 47 Abs. 1 VVG ist die Zurechnungsbrücke, die in der v1.1 noch fehlte:

Soweit die Kenntnis und das Verhalten des Versicherungsnehmers von rechtlicher Bedeutung sind, sind bei der Versicherung für fremde Rechnung auch die Kenntnis und das Verhalten des Versicherten zu berücksichtigen.

§ 47 Abs. 2 VVG enthält die Ausnahme für Verträge ohne Wissen des Versicherten:

Die Kenntnis des Versicherten ist nicht zu berücksichtigen, wenn der Vertrag ohne sein Wissen geschlossen worden ist oder ihm eine rechtzeitige Benachrichtigung des Versicherungsnehmers nicht möglich oder nicht zumutbar war. Der Versicherer braucht den Einwand, dass der Vertrag ohne Wissen des Versicherten geschlossen worden ist, nicht gegen sich gelten zu lassen, wenn der Versicherungsnehmer den Vertrag ohne Auftrag des Versicherten geschlossen und bei Vertragsschluss dem Versicherer nicht angezeigt hat, dass er den Vertrag ohne Auftrag des Versicherten schließt.

Für die D&O heißt das: Versicherung für fremde Rechnung erzeugt kein Wissensvakuum. Bei Antragswissen, Obliegenheiten, § 103 VVG [N-VVG-103], § 28 VVG [N-VVG-28] und Wissentlichkeitsklauseln ist stets getrennt zu prüfen, welche Person welche Kenntnis hatte, ob die Norm oder AVB-Klausel an den Versicherungsnehmer oder an die versicherte Person anknüpft und ob das Bedingungswerk von der gesetzlichen Zurechnungslogik abweicht.

Aus dieser Viererstruktur folgt die erste harte D&O-Kausalkette: Gesellschaft als Versicherungsnehmerin → Organmitglied als versicherte Person → Rechte grundsätzlich bei der versicherten Person → Wissens-/Verhaltenszurechnung über § 47 VVG prüfen → Anspruch der Gesellschaft gegen Organmitglied → Deckungsanspruch der versicherten Person gegen Versicherer → Durchsetzung je nach AVB, Abtretung, Versicherungsschein und Insolvenzlage. Wer diese Kette überspringt und schreibt, die Gesellschaft habe „direkt“ den D&O-Anspruch gegen den Versicherer, formuliert zu grob. Ein Direktzugriff kann entstehen, aber er braucht eine dogmatische Brücke.

Diese Brücke ist in der D&O-Rechtsprechung vor allem § 108 Abs. 2 VVG und die Abtretung des Freistellungsanspruchs. § 108 Abs. 2 VVG lautet:

Die Abtretung des Freistellungsanspruchs an den Dritten kann nicht durch Allgemeine Versicherungsbedingungen ausgeschlossen werden.

Nach der BGH-Linie zu IV ZR 304/13 [R-IV-ZR-304-13] und IV ZR 51/14 [R-IV-ZR-51-14] kann die geschädigte Gesellschaft in Innenhaftungsfällen „Dritte“ im Sinne des § 108 Abs. 2 VVG sein, obwohl sie zugleich Versicherungsnehmerin der D&O-Police ist. Das ist für Cyber-D&O entscheidend: Wenn die Gesellschaft den Geschäftsführer wegen eines Cyber-Schadens in Anspruch nimmt, kann die Abtretung des Freistellungsanspruchs an die geschädigte Gesellschaft eine Deckungsprozess-Brücke bilden; in der Gesellschaftsinsolvenz macht der Insolvenzverwalter solche Rechte grundsätzlich für die insolvenzverwaltete Gesellschaft beziehungsweise Masse geltend, nicht als materiell beliebiger Eigengläubiger. BGH IV ZR 360/15 [R-IV-ZR-360-15] bestätigt zusätzlich, dass die D&O, die Schadensersatzansprüche der Versicherungsnehmerin und ihrer Tochterunternehmen gegen versicherte Personen deckt, Versicherung für fremde Rechnung im Sinne der §§ 43 ff. VVG ist und dass die soziale Bindung der Haftpflichtversicherung auch in Innenhaftungsfällen wirkt.

§ 110 VVG bleibt wichtig, aber an einer engeren Stelle. Die Norm lautet:

Ist über das Vermögen des Versicherungsnehmers das Insolvenzverfahren eröffnet, kann der Dritte wegen des ihm gegen den Versicherungsnehmer zustehenden Anspruchs abgesonderte Befriedigung aus dem Freistellungsanspruch des Versicherungsnehmers verlangen.

Das passt nicht automatisch auf die typische Unternehmens-D&O, in der die Gesellschaft Versicherungsnehmerin ist, aber der Haftungsanspruch gegen das Organmitglied läuft. In der Insolvenz der Gesellschaft ist deshalb nicht § 110 VVG die Haupttür zur D&O, sondern die Kombination aus Organhaftungsanspruch, Geltendmachung durch den Insolvenzverwalter für die insolvenzverwaltete Gesellschaft/Masse, Versicherung für fremde Rechnung, § 108 Abs. 2 VVG, Abtretung, AVB-Verfügungsbefugnis, Side-A-Struktur und Nachmeldefrist. § 110 VVG ist die richtige Norm, wenn über das Vermögen des haftpflichtversicherten Versicherungsnehmers das Insolvenzverfahren eröffnet ist und ein Dritter aus dessen Freistellungsanspruch abgesonderte Befriedigung verlangt. In der D&O muss daher zuerst geklärt werden, wer Versicherungsnehmer ist, wer versichert ist und gegen wen der Haftungsanspruch besteht.

§ 103 VVG zieht die gesetzliche Vorsatzgrenze:

Der Versicherer ist nicht zur Leistung verpflichtet, wenn der Versicherungsnehmer vorsätzlich und widerrechtlich den bei dem Dritten eingetretenen Schaden herbeigeführt hat.

In der D&O darf § 103 VVG nicht mit jedem Wissentlichkeitsausschluss gleichgesetzt werden. § 103 VVG betrifft vorsätzliche und widerrechtliche Schadenherbeiführung; D&O-Wissentlichkeitsklauseln betreffen typischerweise die positive Kenntnis der konkret haftungsauslösenden Pflichtverletzung. Beide Linien können sich überschneiden, sind aber nicht identisch.

Die früher im Auftrag oder in der Pflege-Liste genannten Aktenzeichen IV ZR 23/15 und IV ZR 154/12 werden auch in dieser v1.2 nicht als tragende D&O-Drittberechtigungsentscheidungen verwendet, weil sie in der geprüften D&O-Linie nicht belastbar verifiziert wurden. Die tragenden D&O-Zugriffsanker sind stattdessen IV ZR 304/13, IV ZR 51/14, IV ZR 360/15, IV ZR 110/19 [R-IV-ZR-110-19] und IV ZR 151/23 [R-IV-ZR-151-23], jeweils mit unterschiedlicher Aussagefunktion.

2.2 Cyber-Versicherung: vertragliches Bündel statt eigene VVG-Kategorie

Die Cyber-Versicherung ist keine eigenständige gesetzliche Versicherungskategorie mit einem geschlossenen VVG-Kapitel. Sie ist ein Bedingungswerk, das Elemente aus Sach-, Vermögensschaden-, Haftpflicht-, Vertrauensschaden-, Betriebsunterbrechungs- und Rechtsschutzversicherung kombiniert. Deshalb kommt es stärker als bei klassischen Sparten auf Definitionen und Bausteine an: Was ist ein Cyber-Vorfall? Ist Ransomware als IT-Erpressung definiert? Sind cloudbasierte Betriebsunterbrechungen erfasst? Sind Drittschäden aus Datenschutzverletzungen eingeschlossen? Gibt es eine War-Exclusion? Welche Mindest-Sicherheitsstandards sind Obliegenheiten?

Die VVG-Normen, die im Cyber-Schaden besonders häufig erscheinen, sind § 19 VVG [N-VVG-19], § 21 VVG [N-VVG-21], § 26 VVG, § 28 VVG, § 78 VVG, § 79 VVG, § 81 VVG [N-VVG-81] und § 86 VVG [N-VVG-86]. § 19 VVG lautet in seinem Kern:

Der Versicherungsnehmer hat bis zur Abgabe seiner Vertragserklärung die ihm bekannten Gefahrumstände, die für den Entschluss des Versicherers, den Vertrag mit dem vereinbarten Inhalt zu schließen, erheblich sind und nach denen der Versicherer in Textform gefragt hat, dem Versicherer anzuzeigen.

Diese Norm macht das Antragsverfahren zum Beweis- und Risikopunkt. Wer bekannte IT-Sicherheitsmängel, laufende Aufsichtsverfahren, frühere Ransomware-Angriffe, ungeklärte Altvorfälle oder nicht erfüllte Mindestanforderungen verschweigt, riskiert später Rücktritt, Kündigung, Vertragsanpassung oder Leistungsfreiheit nach § 21 VVG. Die Rechtsfolgen sind gestaffelt und hängen von Verschuldensgrad, Kausalität und Arglist ab. Der Satz „Antragsfehler bedeutet Leistungsfreiheit“ wäre zu grob; der Satz „Antragsfehler sind ungefährlich“ wäre ebenso falsch.

Nach Vertragsabschluss werden § 26 VVG, § 28 VVG und § 81 VVG wichtig. Wird eine vereinbarte Sicherheitsarchitektur abgebaut, kann eine Gefahrerhöhung im Raum stehen. Werden Obliegenheiten wie MFA, Patch-Management, Backup-Tests oder Incident-Response-Meldewege verletzt, kann § 28 VVG zur Leistungskürzung oder Leistungsfreiheit führen. Wird der Versicherungsfall grob fahrlässig herbeigeführt, kann § 81 VVG eine quotale Kürzung eröffnen. Bei vorsätzlicher Herbeiführung ist die Grenze härter.

2.3 Strafrechtsschutz: Abwehrkosten gegen persönliche Verfahrensrisiken

Der Strafrechtsschutz ist keine kleine Ergänzung, sondern oft die schnellste Säule. Der zivilrechtliche D&O-Fall entwickelt sich häufig über Monate. Die straf- oder ordnungswidrigkeitenrechtliche Verteidigung beginnt dagegen mit Anhörung, Durchsuchung, Beschlagnahme, Vernehmung, staatsanwaltschaftlicher Verfügung oder einem Ad-hoc-Krisengespräch mit erkennbarem Straf- oder OWiG-Bezug. Ab diesem Moment braucht die betroffene Person eigene Verteidigung.

Strafrechtsschutz kann als eigenständige Police, als D&O-Baustein oder als Bestandteil einer Vermögensschaden-Rechtsschutzstruktur abgeschlossen sein. Der Kern ist die Übernahme erforderlicher Verteidigungskosten. Ob Honorarvereinbarungen jenseits RVG, Sachverständige, IT-Forensiker, Krisenkommunikation, ausländische Verteidiger, interne Untersuchungen oder Zeugenbeistände eingeschlossen sind, ist bedingungsabhängig. Häufig enthält das Bedingungswerk eine Rückforderungsklausel, wenn die versicherte Person rechtskräftig wegen einer vorsätzlichen Tat verurteilt wird.

2.4 Anzeigepflichtverletzung nach §§ 19, 21 VVG: die häufig unterschätzte Ablehnungsschiene

Die Geschäftsleitung sollte den Versicherungsantrag wie eine beweissichere Governance-Entscheidung behandeln. Das gilt beim Erstabschluss und bei jeder Verlängerung mit erneuter Risikoprüfung. Cyber-Fragebögen sind keine Marketingformulare. Sie sind später oft die erste Anlage der Deckungsablehnung.

§ 19 Abs. 1 VVG ist der Wortlautanker:

Der Versicherungsnehmer hat bis zur Abgabe seiner Vertragserklärung die ihm bekannten Gefahrumstände, die für den Entschluss des Versicherers, den Vertrag mit dem vereinbarten Inhalt zu schließen, erheblich sind und nach denen der Versicherer in Textform gefragt hat, dem Versicherer anzuzeigen.

Daraus folgt für Cyber- und D&O-Anträge eine Vierfachprüfung: Erstens muss der Versicherer gefragt haben; zweitens muss die Frage in Textform gestellt sein; drittens muss der Umstand gefahrerheblich sein; viertens muss der Versicherungsnehmer den Umstand kennen. Gefährlich sind vor allem halbrichtige Antworten: „MFA implementiert“ obwohl nur E-Mail, aber nicht Admin-Zugänge geschützt sind; „Backups vorhanden“ obwohl keine Restore-Tests existieren; „keine Vorfälle“ obwohl ein Datenabfluss-Indikator oder ein nicht abgeschlossener Forensikfall bekannt ist; „keine Verfahren“ obwohl eine Datenschutzaufsicht bereits angefragt hat.

§ 21 VVG verschärft die Deckungsfrage nach Eintritt des Versicherungsfalls. § 21 Abs. 2 VVG lautet:

Im Fall eines Rücktrittes nach § 19 Abs. 2 nach Eintritt des Versicherungsfalles ist der Versicherer nicht zur Leistung verpflichtet, es sei denn, die Verletzung der Anzeigepflicht bezieht sich auf einen Umstand, der weder für den Eintritt oder die Feststellung des Versicherungsfalles noch für die Feststellung oder den Umfang der Leistungspflicht des Versicherers ursächlich ist.
Hat der Versicherungsnehmer die Anzeigepflicht arglistig verletzt, ist der Versicherer nicht zur Leistung verpflichtet.

Das ist keine automatische Nullstellung bei jedem Fehler, aber es ist eine echte Ablehnungsschiene. Bei Arglist fällt der Kausalitätsgegenbeweis weg. Bei grober Fahrlässigkeit, einfacher Fahrlässigkeit, Vertragsanpassung und Rücktritt ist differenziert zu prüfen. Genau deshalb gehört der Antrag in eine dokumentierte Versicherbarkeitsakte: Wer hat den Fragebogen beantwortet? Welche Datenquellen wurden geprüft? Welche IT-, Datenschutz-, Compliance- und Legal-Abteilungen haben zugeliefert? Welche Einschränkungen wurden offengelegt? Welche Antworten hat der Makler formuliert? Welche Anlagen wurden beigefügt?

2.5 Fachrechtliche Sonderarchitekturen: BSIG, TKG, EnWG, DORA und KI

Nicht jede Einrichtung fällt mit ihren Cyberpflichten vollständig in dieselbe Spur. Die v1.0 hatte hier nur allgemein auf TKG- und EnWG-Strukturen verwiesen. Für eine Versicherungsarchitektur reicht das nicht, weil gerade Sonderregime die späteren D&O-, Cyber- und Strafrechtsschutzfälle erzeugen.

BSIG/NIS-2-Grundspur. § 30 BSIG [N-BSIG-30] verpflichtet besonders wichtige Einrichtungen und wichtige Einrichtungen zu geeigneten, verhältnismäßigen und wirksamen technischen und organisatorischen Maßnahmen. Der Maßnahmenkatalog umfasst unter anderem Risikoanalyse, Sicherheitskonzepte, Bewältigung von Sicherheitsvorfällen, Aufrechterhaltung des Betriebs, Backup-Management, Krisenmanagement, Lieferkettensicherheit, Sicherheit bei Erwerb/Entwicklung/Wartung von IT, Schwachstellenmanagement, Wirksamkeitsbewertung, Schulung, Kryptografie, Personal- und Zugriffskonzepte, Asset-Management, Multi-Faktor-Authentifizierung und sichere Kommunikation. Für die Versicherung ist § 30 BSIG kein Deckungsbaustein, aber ein materieller Maßstab: Was gesetzlich dokumentiert sein muss, taucht im Underwriting, in Obliegenheiten, bei Kausalität und im Organhaftungsprozess wieder auf.

§ 32 BSIG [N-BSIG-32] erzeugt die Meldearchitektur. In der Praxis muss die Einrichtung Meldefähigkeit so organisieren, dass eine Frühwarnung binnen 24 Stunden, eine qualifiziertere Meldung binnen 72 Stunden, Zwischenmeldungen und eine Abschlussmeldung nach einem Monat möglich sind, soweit die gesetzlichen Voraussetzungen vorliegen. § 33 BSIG [N-BSIG-33] ergänzt die Registrierungsspur; Registrierungspflicht, Registrierungsfrist, Kontaktdaten/Kontaktstelle, Nachweise und Aktualisierungspflichten gehören deshalb in dieselbe Regime-Matrix. Cyber-Policen knüpfen daran über Schadenmeldepflichten und Krisendienstleister an. D&O-Policen werden relevant, wenn behauptet wird, die Geschäftsleitung habe Meldewege, Rollen, Entscheidungsbefugnisse oder Board-Information nicht eingerichtet.

§ 38 BSIG [N-BSIG-38] richtet die Governance auf die Leitungsebene. Geschäftsleitungen besonders wichtiger und wichtiger Einrichtungen sind verpflichtet, die von diesen Einrichtungen nach § 30 BSIG zu ergreifenden Risikomanagementmaßnahmen umzusetzen und ihre Umsetzung zu überwachen; sie müssen außerdem regelmäßig an Schulungen teilnehmen, um Risiken und Risikomanagementpraktiken sowie deren Auswirkungen auf die von der Einrichtung erbrachten Dienste bewerten zu können. Das hat eine doppelte Versicherungswirkung: Schulungen und Überwachungsprotokolle können entlasten, aber sie können bei konkreter Warnlage auch Wissen dokumentieren. Deshalb braucht jedes Protokoll eine Anschlusskette: Risiko erkannt → Maßnahme beschlossen → Verantwortlicher benannt → Frist gesetzt → Umsetzung nachgehalten.

Telekommunikation. § 165 TKG enthält für Betreiber öffentlicher Telekommunikationsnetze und öffentlich zugänglicher Telekommunikationsdienste eine eigene Sicherheitsarchitektur. Für NIS-2-relevante Telekommunikationsunternehmen nimmt § 165 Abs. 2a TKG [N-TKG-165] einen Maßnahmenkatalog auf, der Risikoanalyse, Vorfallsbewältigung, Business Continuity, Lieferkettensicherheit, Schwachstellenmanagement, Wirksamkeitsbewertung, Schulung, Kryptografie, Zugriffskontrolle und Multi-Faktor-Authentifizierung umfasst. § 165 Abs. 2b bis 2d TKG zieht die Leitungsebene ausdrücklich hinein: Geschäftsleitungen sind verpflichtet, die von diesen Einrichtungen nach § 165 Abs. 2 TKG zu ergreifenden Maßnahmen umzusetzen und ihre Umsetzung zu überwachen; Pflichtverletzungen führen über das jeweils anwendbare Gesellschaftsrecht in die zivilrechtliche Haftung; Geschäftsleitungen müssen regelmäßig an Schulungen teilnehmen. Für A5-01 bedeutet das: Bei Telco-Unternehmen steht nicht nur BSIG, sondern TKG als unmittelbarer Pflicht- und Haftungsanker im D&O-Fragebogen.

Energie. Im Energiesektor ergänzen § 5d und § 5e EnWG [N-EnWG-5c-5e] die Architektur. § 5d EnWG enthält Nachweis-, Prüfungs- und Meldepflichten, einschließlich der Anbindung an die BSIG-Meldewege für erhebliche Sicherheitsvorfälle. § 5e EnWG richtet Governance-Pflichten an Geschäftsleitungen: Die Anforderungen des IT-Sicherheitskatalogs sind umzusetzen und ihre Umsetzung ist zu überwachen; bei Pflichtverletzung bleibt die gesellschaftsrechtliche Haftung der Leitungsmitglieder maßgeblich; regelmäßige Schulung ist vorgesehen. Damit entsteht im Energiesektor eine eigenständige Kausalkette: IT-Sicherheitskatalog → Implementierungspflicht → Nachweis/Prüfung → Sicherheitsvorfall/Meldung → mögliche Organhaftung → D&O/Cyber/Strafrechtsschutz.

Finanzsektor/DORA [EU-DORA]. Für Finanzunternehmen ist DORA seit 17. Januar 2025 der zentrale EU-Rahmen für digitale operationale Resilienz. DORA ist keine bloße Compliance-Überschrift, sondern eine Governance- und Drittparteienarchitektur: IKT-Risikomanagement, Vorfallbehandlung, Testprogramme, Vertragssteuerung von IKT-Drittdienstleistern und Meldewege müssen institutionell funktionieren. Die ESAs beschreiben für die Vorfallmeldung ein gestuftes Modell mit Initialmeldung, Zwischenbericht und Abschlussbericht; die finalen technischen Standards sehen für die Initialmeldung im Grundfall „so früh wie möglich“, jedenfalls binnen vier Stunden ab Einstufung als schwerwiegender IKT-bezogener Vorfall und spätestens 24 Stunden ab Kenntnis des IKT-bezogenen Vorfalls vor. Wird der Vorfall erst nach Ablauf dieser 24 Stunden als schwerwiegend eingestuft, ist die Initialmeldung binnen vier Stunden ab dieser späteren Einstufung einzureichen. Der Zwischenbericht ist spätestens 72 Stunden nach der Initialmeldung einzureichen, auch wenn Status oder Behandlung unverändert sind; der Abschlussbericht ist spätestens einen Monat nach dem Zwischenbericht beziehungsweise dem letzten aktualisierten Zwischenbericht einzureichen. Operativ gehören auch Verzögerungsbegründung, Wochenend-/Feiertagslogik und eine ausgelagerte Meldeschiene in die Matrix, wenn ein Dritter die Meldung vorbereitet oder übermittelt. Für die Versicherung heißt das: Finanzunternehmen brauchen nicht nur eine Cyber-Police, sondern einen mit DORA kompatiblen Melde- und Vendor-Control-Prozess.

KI. Bei Hochrisiko-KI-Systemen können KI-VO [EU-KIVO]-Pflichten, Cyber-Sicherheit, Datenqualität, Human Oversight und Incident-Logging versicherungsrelevant werden. Dabei sind Rolle und Zeitpunkt zu trennen: Art. 4 KI-VO zur KI-Kompetenz ist über die allgemeine Anwendungsschiene zu lesen; Art. 73 KI-VO zu schwerwiegenden Vorfällen gehört grundsätzlich in die Anbieter-/Provider-Spur für Hochrisiko-KI-Systeme und folgt der einschlägigen KI-VO-Anwendungsstaffel. Deployer-/Betreiberpflichten und Informationspflichten an den Provider sind gesondert zu prüfen. Für D&O kann die KI-VO relevant werden, wenn behauptet wird, die Geschäftsleitung habe ein Hochrisiko-System ohne ausreichende Rollen-, Provider-/Deployer- und Incident-Governance eingesetzt.

3. Säule 1: D&O-Versicherung im Cyber-Kontext

3.0 Wann zahlt die D&O? Die fünf Voraussetzungen

Eine D&O zahlt nicht, weil ein Cyber-Vorfall teuer war. Sie zahlt, wenn die versicherte Person wegen einer versicherten Pflichtverletzung in Anspruch genommen wird und kein Ausschluss greift. Die Kausalkette hat fünf Schritte.

Erstens braucht es eine Organstellung oder sonstige versicherte Personenstellung. Ein Geschäftsführer einer GmbH, ein Vorstand einer AG, ein Aufsichtsratsmitglied oder eine mitversicherte Leitungsperson muss im Versicherungszeitraum vom Bedingungswerk erfasst sein. Zweitens braucht es eine Pflichtverletzung. Im Cyber-Kontext kann das die unterlassene Einrichtung eines angemessenen Risikomanagements, fehlende Kontrolle von Patch- und Backup-Prozessen, nicht dokumentierte Schulung, fehlerhafte Vorfallmeldung oder mangelhafte Lieferantensteuerung sein. Drittens braucht es Verschulden. Fahrlässigkeit reicht für zivilrechtliche Organhaftung häufig aus; vorsätzliche und wissentliche Pflichtverletzungen können jedoch Deckungsausschlüsse auslösen. Viertens braucht es Schaden und Kausalität. Cyber-Schäden sind in Höhe und Verursachung oft komplex. § 287 ZPO [N-ZPO-287] kann im Prozess eine Schadensschätzung ermöglichen, wenn Entstehung und Höhe streitig sind. Das ersetzt aber nicht den Bedarf an sauberer Forensik, Kostenabgrenzung und Dokumentation. Fünftens darf kein Ausschluss greifen.

Für die Innenhaftung ist § 43 GmbHG [N-GmbHG-43] zentral. Er lautet in den Kernaussagen:

Die Geschäftsführer haben in den Angelegenheiten der Gesellschaft die Sorgfalt eines ordentlichen Geschäftsmannes anzuwenden.

Geschäftsführer, welche ihre Obliegenheiten verletzen, haften der Gesellschaft solidarisch für den entstandenen Schaden.

Für AG-Vorstände ist § 93 AktG die Leitnorm. Die Beweislastarchitektur ist besonders wichtig: Nach § 93 Abs. 2 Satz 2 AktG [N-AktG-93] trifft Vorstandsmitglieder die Darlegungs- und Beweislast dafür, dass sie die Sorgfalt eines ordentlichen und gewissenhaften Geschäftsleiters angewandt haben. Für GmbH-Geschäftsführer wird eine vergleichbare Mechanik in der höchstrichterlichen Linie spiegelbildlich angewendet; als Rechtsprechungsanker ist BGH II ZR 140/20 [R-II-ZR-140-20] zu führen. Die Compliance-Dokumentation ist daher nicht Beiwerk. Sie ist die Beweisgrundlage gegen die Gesellschaft und mittelbar gegen den D&O-Versicherer.

Instanzgerichtliche Compliance-Entscheidungen wie LG München I „Neubürger [R-Neubuerger]“ und OLG Nürnberg 12 U 1520/19 [R-OLG-Nbg] zeigen, dass Gerichte Compliance-Organisation, Legalitätspflicht und Überwachung ernst nehmen. Diese Entscheidungen sind keine abschließende höchstrichterliche Cyber-D&O-Dogmatik; sie sind aber Warnsignale für Geschäftsleitungen, die IT-Sicherheit als rein operative CISO-Aufgabe behandeln.

3.1 Was die D&O abdeckt

Die D&O deckt zivilrechtliche Schadensersatzansprüche gegen versicherte Personen, typischerweise Innenhaftungsansprüche der Gesellschaft gegen Organmitglieder. In der GmbH ist das § 43 Abs. 2 GmbHG. In der AG ist es § 93 Abs. 2 Satz 1 AktG. In der SE, Genossenschaft, Stiftung und im Verein treten jeweils eigene Organpflichten hinzu. Bei Aufsichtsräten wirkt § 116 Satz 1 AktG [N-AktG-116], der die Sorgfalts- und Verantwortlichkeitsregeln sinngemäß auf Aufsichtsratsmitglieder überträgt.

Im Cyber-Kontext kann eine D&O-Schadenmeldung ausgelöst werden, wenn die Gesellschaft behauptet, die Geschäftsleitung habe ein angemessenes Informationssicherheitsmanagement nicht eingerichtet, bekannte Schwachstellen ignoriert, erforderliche Ressourcen verweigert, Schulungspflichten nicht erfüllt, Meldefristen versäumt oder einen ungeprüften Lösegeldprozess freigegeben. Der D&O-Versicherer prüft dann nicht abstrakt „Cyber“, sondern den behaupteten Pflichtverstoß, die Anspruchserhebung, die Schadenhöhe, die Kausalität und Ausschlüsse.

D&O ist damit auch Abwehrversicherung. Sie finanziert die Abwehr unbegründeter Ansprüche, soweit das Bedingungswerk den Fall erfasst. In der Praxis ist dieser Abwehrteil für Organmitglieder oft ebenso wichtig wie die Freistellung. Ein unbegründeter Innenhaftungsanspruch über 40 Mio. Euro kann bereits wegen Anwalts-, Gutachter- und Verfahrenskosten existenzbedrohend sein.

3.2 Vier Ausschluss- und Kürzungsmechaniken sauber trennen

Die wichtigste Deckungstrennung lautet: Wissentlichkeit, Vorsatz und grobe Fahrlässigkeit sind unterschiedliche Ausschluss- oder Kürzungsmechaniken. Positive Kenntnis der konkret haftungsauslösenden Pflichtverletzung ist keine vierte Mechanik, sondern die scharfe Beweis- und Tatbestandsfrage insbesondere innerhalb des Wissentlichkeitsausschlusses.

Wissentlichkeit ist ein Begriff aus D&O-Bedingungswerken, besonders aus Wissentlichkeitsausschlüssen. Er verlangt nach der aktuellen BGH-Linie nicht nur allgemeines Risikowissen, sondern Bezug zur konkret haftungsauslösenden Pflichtverletzung. Eine Schulung über Ransomware-Risiken bedeutet noch nicht, dass der Geschäftsführer wusste, gerade diese konkrete Pflichtverletzung zu begehen.

Vorsatz im Sinne des § 103 VVG [N-VVG-103] ist eine gesetzliche Ausschlusskategorie. Der Versicherer ist nicht zur Leistung verpflichtet, wenn der Versicherungsnehmer vorsätzlich und widerrechtlich den beim Dritten eingetretenen Schaden herbeiführt. Bei der D&O mit Versicherung für fremde Rechnung muss wegen § 47 VVG [N-VVG-47] genau geprüft werden, wessen Kenntnis und Verhalten relevant sind, ob der Vertrag eigene und fremde Interessen mischt und wie AVB die versicherte Person einbeziehen.

Grobe Fahrlässigkeit nach § 81 VVG [N-VVG-81] führt nicht automatisch zur vollständigen Leistungsfreiheit. § 81 Abs. 2 VVG lautet:

Führt der Versicherungsnehmer den Versicherungsfall grob fahrlässig herbei, ist der Versicherer berechtigt, seine Leistung in einem der Schwere des Verschuldens des Versicherungsnehmers entsprechenden Verhältnis zu kürzen.

Diese Quotelung kann in Cyber-Policen besonders relevant sein, etwa bei seit Monaten ungepatchten kritischen Systemen. In der D&O hängt die Anwendung von Spartenstruktur und AVB ab.

Positive Kenntnis ist die besonders scharfe Beweisfrage beim Wissentlichkeitsausschluss. Der Versicherer muss darlegen und beweisen, dass die versicherte Person die konkret haftungsauslösende Pflichtverletzung kannte und sie gleichwohl beging. Allgemeine Management-Erfahrung, Schulungswissen oder das Wissen, dass Cyberrisiken existieren, genügt dafür nach der BGH-Linie nicht ohne Weiteres.

3.3 BGH IV ZR 66/25: Wissentlichkeit — Cyber-Schulungsanalogie nur eng

BGH IV ZR 66/25 [R-IV-ZR-66-25] darf nicht als Cyber-Schulungsurteil überdehnt werden. Der Fall gehört in die D&O-/Insolvenz- und Wissentlichkeitsausschlusslinie. Die für A5-01 wichtige Aussage ist eine engere Analogie: Ein Versicherer kann einen Wissentlichkeitsausschluss nicht allein darauf stützen, dass die versicherte Person allgemein wusste, dass es bestimmte Pflichten gibt. Er muss auf die konkret haftungsauslösende Pflichtverletzung zielen.

Für die NIS-2-/BSIG-Schulungspflicht bedeutet das: Eine dokumentierte Schulung nach § 38 BSIG [N-BSIG-38] oder § 165 TKG [N-TKG-165] zerstört die D&O-Deckung nicht automatisch. Sie beweist zunächst nur, dass die Leitung mit Risiken und Risikomanagementpraktiken befasst wurde. Das ist in der Innenhaftung häufig entlastend, weil die Geschäftsleitung zeigen kann, dass sie Cyber-Risiken nicht ignoriert, sondern in einen Umsetzungs- und Überwachungsprozess überführt hat.

Die Deckungsfrage kippt erst, wenn die Dokumentation konkreter wird. Beispiel: Das Board wird am 10. Januar darüber informiert, dass ein bestimmtes extern erreichbares System eine kritische, aktiv ausgenutzte Schwachstelle hat; der CISO empfiehlt sofortige Abschaltung oder Patchung bis 12. Januar; das Board lehnt am 13. Januar aus Kostengründen bewusst ab; am 20. Januar tritt genau über diese Schwachstelle der Schaden ein. Dann kann die Schulungs- und Boarddokumentation nicht nur Entlastung, sondern auch Kenntnisbeweis sein. Der entscheidende Punkt bleibt: allgemeines Pflichtwissen ist nicht dasselbe wie positive Kenntnis der konkret haftungsauslösenden Pflichtverletzung.

Für die Praxis folgt daraus eine saubere Protokolltechnik. Schulungen sollten nicht mit bloßen Risikolisten enden, sondern mit Maßnahmenlogik: identifiziertes Risiko, Risikoeigner, Beschluss, Frist, Budget, Kontrolltermin und Eskalationsweg. Je besser diese Kette dokumentiert ist, desto schwerer wird der Vorwurf, die Geschäftsleitung habe sehenden Auges gar nichts getan. Je klarer eine konkrete Warnung ignoriert wurde, desto gefährlicher wird dieselbe Akte im Deckungsprozess.

3.4 Selbstbehalt nach § 93 Abs. 2 Satz 3 AktG — Vorstand ja, Aufsichtsrat nicht über § 116

§ 93 Abs. 2 AktG ist für die AG-D&O ein Pflichtanker. Der relevante Wortlaut lautet:

Vorstandsmitglieder, die ihre Pflichten verletzen, sind der Gesellschaft zum Ersatz des daraus entstehenden Schadens als Gesamtschuldner verpflichtet. Ist streitig, ob sie die Sorgfalt eines ordentlichen und gewissenhaften Geschäftsleiters angewandt haben, so trifft sie die Beweislast. Schließt die Gesellschaft eine Versicherung zur Absicherung eines Vorstandsmitglieds gegen Risiken aus dessen beruflicher Tätigkeit für die Gesellschaft ab, ist ein Selbstbehalt von mindestens 10 Prozent des Schadens bis mindestens zur Höhe des Eineinhalbfachen der festen jährlichen Vergütung des Vorstandsmitglieds vorzusehen.

Die v1.0 hatte zu weich formuliert, für Aufsichtsratsmitglieder sei wegen § 116 Satz 1 AktG zu diskutieren, ob § 93 Abs. 2 Satz 3 AktG mitgilt. Das war materiell zu ungenau. § 116 Satz 1 AktG lautet:

Für die Sorgfaltspflicht und Verantwortlichkeit der Aufsichtsratsmitglieder gelten § 93 mit Ausnahme des Absatzes 2 Satz 3 über die Sorgfaltspflicht und Verantwortlichkeit der Vorstandsmitglieder und § 15b der Insolvenzordnung sinngemäß.

Damit ist die gesetzliche Mindestselbstbehaltspflicht des § 93 Abs. 2 Satz 3 AktG über § 116 AktG gerade nicht auf Aufsichtsratsmitglieder erstreckt. Vertragliche Selbstbehalte für Aufsichtsräte können im Bedingungswerk oder in Corporate-Governance-Standards vorkommen; sie sind aber nicht die gesetzliche Pflichtfolge aus § 116 AktG.

Für GmbH-Geschäftsführer gibt es im GmbHG ebenfalls keine parallele gesetzliche D&O-Selbstbehaltspflicht. § 43 Absätze 1 und 2 GmbHG lauten:

(1) Die Geschäftsführer haben in den Angelegenheiten der Gesellschaft die Sorgfalt eines ordentlichen Geschäftsmannes anzuwenden.
(2) Geschäftsführer, welche ihre Obliegenheiten verletzen, haften der Gesellschaft solidarisch für den entstandenen Schaden.

Der GmbH-Geschäftsführer kann also persönlich haften, aber ein gesetzlicher D&O-Selbstbehalt wie bei AG-Vorständen folgt daraus nicht. Vertraglich kann ein Selbstbehalt vereinbart werden. Für SE, KGaA, mitbestimmte GmbH, Versicherungsvereine und regulierte Sonderformen muss jeweils die Organstruktur und Spezialnorm geprüft werden.

Praktisch ist der Selbstbehalt keine Nebensache. Er beeinflusst Vergleichsbereitschaft, Layer-Verbrauch, Side-A-Schutz, Vermögensplanung und die Frage, ob die Organperson zusätzlich eine private Selbstbehaltsversicherung oder separate Rechtsschutzbausteine benötigt. Bei Cyber-Großschäden kann der gesetzliche Selbstbehalt schnell die private Liquidität eines Vorstandsmitglieds belasten, auch wenn die D&O im Übrigen leistet.

3.5 Claims-made-Prinzip, Nachmeldefristen und Versichererwechsel

D&O-Policen arbeiten typischerweise nach dem Anspruchserhebungsprinzip. Versicherungsfall ist nicht der historische Fehler, sondern die Anspruchserhebung gegen die versicherte Person. Dadurch entsteht eine Zeitachsenfalle. Eine Pflichtverletzung aus 2026 kann 2031 geltend gemacht werden. Wenn die Police dann nicht mehr läuft und keine Nachmeldefrist oder Run-Off-Deckung greift, kann der Geschäftsleiter unversichert bleiben.

Die Verjährung der Innenhaftung läuft länger als viele D&O-Nachmeldefristen. GmbH-Ansprüche nach § 43 GmbHG verjähren in fünf Jahren. § 93 Abs. 6 AktG enthält für Vorstandsansprüche eine fünfjährige Frist; bei Gesellschaften, die zum Zeitpunkt der Pflichtverletzung börsennotiert sind, beträgt die Frist zehn Jahre. Nachmeldefristen sind bedingungs- und marktstandsabhängig; Bereiche von einem bis drei Jahren werden in der Praxis häufig diskutiert, längere Run-Offs können verhandelbar sein, brauchen aber konkrete AVB-, Termsheet- oder Maklerprüfung. Daraus entsteht eine reale Lücke.

Beim Versichererwechsel kommt eine zweite Falle hinzu: bekannte Umstände, die später zu einem Versicherungsfall führen können, müssen sauber gemeldet werden. Ein laufendes Datenschutzverfahren, eine BSI-Anfrage, eine interne Untersuchung, ein bekannter Backup-Fehler oder eine Mängelliste des Penetrationstests kann beim neuen Antrag gefahrerheblich sein. Gleichzeitig muss geprüft werden, ob beim alten Versicherer eine Umstandsmeldung möglich oder geboten ist. Eine lückenlose Wechselakte enthält deshalb: Umstände-Inventur, Altversicherer-Meldung, Neuversicherer-Offenlegung, Rückwärtsdeckung, Nachmeldefrist und Run-Off-Prüfung.

3.6 D&O bei Insolvenz der Einrichtung

In der Insolvenz verschiebt sich die D&O-Architektur fundamental. Der Insolvenzverwalter prüft Ansprüche der Gesellschaft gegen Geschäftsleiter, Aufsichtsräte oder sonstige versicherte Personen. Zugleich wird die D&O-Deckung zum Masse- oder Vergleichswert, obwohl die Rechte aus der D&O als Versicherung für fremde Rechnung grundsätzlich den versicherten Personen zustehen. Der häufige Fehler lautet: „Die Gesellschaft ist insolvent, also § 110 VVG [N-VVG-110], also direkter Zugriff.“ Das ist zu grob.

Die richtige Prüfung beginnt mit vier Fragen:

1. Wer ist Versicherungsnehmerin der D&O-Police?
2. Wer ist versicherte Person?
3. Gegen wen richtet sich der Haftungsanspruch?
4. Wer verfügt über den Deckungsanspruch, und gibt es eine Abtretung?

In der typischen Unternehmens-D&O ist die Gesellschaft Versicherungsnehmerin, während der Haftungsanspruch gegen das Organmitglied läuft. Wird über das Vermögen der Gesellschaft das Insolvenzverfahren eröffnet, ist nicht automatisch über das Vermögen des Organmitglieds eröffnet. § 110 VVG passt deshalb nicht als Hauptmechanik. Die Insolvenz der Gesellschaft aktiviert vielmehr den Insolvenzverwalter als Anspruchsverfolger der Gesellschaft. Der Deckungszugriff läuft über die D&O-Struktur: §§ 43 bis 45 VVG, § 47 VVG, AVB, § 108 Abs. 2 VVG, Abtretung des Freistellungsanspruchs, mögliche Prozessführungsbefugnisse und Side-A-Schutz.

Die BGH-Linie ist hier praktisch. IV ZR 304/13 [R-IV-ZR-304-13] und IV ZR 51/14 [R-IV-ZR-51-14] stützen die Abtretbarkeit des Freistellungsanspruchs an die in Anspruch nehmende Gesellschaft; § 108 Abs. 2 VVG verhindert, dass Allgemeine Versicherungsbedingungen diese Abtretung an den geschädigten Dritten ausschließen. IV ZR 360/15 [R-IV-ZR-360-15] zeigt, dass die versicherungsnehmende Gesellschaft unter engen Voraussetzungen selbst Deckungsansprüche verfolgen kann, wenn der Versicherer Deckung ablehnt, die versicherten Personen nicht tätig werden und keine schutzwürdigen Interessen entgegenstehen. IV ZR 110/19 [R-IV-ZR-110-19] erinnert daran, dass Verfügungsbefugnisse bei der D&O als Versicherung für fremde Rechnung stark am Bedingungswerk hängen. IV ZR 151/23 [R-IV-ZR-151-23] ist für Insolvenz- und Nachmeldeklauseln wichtig, aber zweistufig zu lesen: Eine insolvenzbedingte automatische Vertragsbeendigung kann an § 11 VVG [N-VVG-11] und § 307 BGB [N-BGB-307] scheitern; Nachmeldefristen- und Claims-made-Fragen sind davon zu trennen und gesondert nach Klauselauslegung und AGB-Kontrolle zu prüfen.

Für Cyber-D&O bedeutet das: Die Insolvenzakte muss die D&O-Mechanik früh sichern. Der Insolvenzverwalter sollte Policen, Nachträge, Run-off-Vereinbarungen, Nachmeldefristen, Claims-made-Trigger, Schadenmeldungen, Abtretungen, Versicherungsscheine, Brokerkorrespondenz und alle versicherten Personen erfassen. Organmitglieder brauchen parallel eigene Deckungs- und Verteidigungsberatung, weil ihr Interesse nicht identisch mit dem Masseinteresse ist.

Side A wird in der Insolvenz besonders wichtig. Side B erstattet der Gesellschaft, wenn diese Organmitglieder freistellt; das funktioniert in der Insolvenz praktisch oft nicht. Side A schützt die Organperson unmittelbar, soweit die Gesellschaft nicht freistellen kann oder darf. Side-C-Deckung hilft dagegen nur, wenn das Bedingungswerk Ansprüche gegen die Gesellschaft selbst erfasst, was in der klassischen privaten Unternehmens-D&O enger ist als in kapitalmarktnahen Securities-Konstellationen.

Auch die Schadenmeldung ist anders zu behandeln. Ein Anspruchsschreiben des Insolvenzverwalters, ein ARAG/Garmenbeck [R-ARAG]-Beschluss, eine Klage, eine Streitverkündung oder eine förmliche Aufforderung zur Abgabe eines Verjährungsverzichts kann in der Claims-made-D&O meldepflichtig sein. „Wir prüfen noch“ ersetzt keine Deckungsmeldung. Bei Versichererwechsel, Sanierung, Insolvenzantrag oder Organwechsel müssen Nachmeldefristen und Umstandsmeldungen ausdrücklich getriggert werden.

3.7 Verzicht, Vergleich und Anspruchsverfolgung

D&O-Regulierung endet oft im Vergleich. Gesellschaftsrechtlich ist das aber nicht frei gestaltbar. Bei der AG enthält § 93 Abs. 4 AktG Sperren und Zustimmungserfordernisse für Verzicht und Vergleich. Bei der GmbH ist § 46 Nr. 8 GmbHG [N-GmbHG-46] wichtig: Der Bestimmung der Gesellschafter unterliegen die Geltendmachung von Ersatzansprüchen aus der Geschäftsführung gegen Geschäftsführer sowie die Vertretung der Gesellschaft in Prozessen gegen Geschäftsführer. Kapitalerhaltung, Insolvenzreife und § 15b InsO [N-InsO-15b] können Grenzen setzen.

Für die D&O-Praxis bedeutet das: Der Versicherer kann nicht isoliert mit dem Anspruchsteller „den Fall erledigen“, wenn gesellschaftsrechtliche Beschlüsse fehlen. Der Aufsichtsrat, die Gesellschafterversammlung, der Insolvenzverwalter oder die Hauptversammlung können je nach Gesellschaftsform und Anspruchsgrund involviert sein.

3.8 ARAG/Garmenbeck, BGH II ZR 78/24 und Aufsichtsratsdruck

Nach der ARAG/Garmenbeck-Linie (BGH, Urt. v. 21.04.1997 – II ZR 175/95, BGHZ 135, 244) muss der Aufsichtsrat mögliche Ersatzansprüche der Gesellschaft gegen Vorstandsmitglieder eigenverantwortlich prüfen und durchsetzbare Ansprüche grundsätzlich verfolgen; ein Absehen kommt nur ausnahmsweise in Betracht, wenn gewichtige Gründe des Gesellschaftswohls dagegen sprechen und diese Gründe die für die Rechtsverfolgung sprechenden Gründe überwiegen oder ihnen zumindest gleichwertig sind. In Cyber-Fällen führt das zu einer heiklen Doppelrolle: Der Aufsichtsrat überwacht nicht nur die Geschäftsleitung vor dem Vorfall, sondern muss nach dem Vorfall prüfen, ob dieselbe Geschäftsleitung wegen Organisationsversagens in Anspruch zu nehmen ist.

BGH II ZR 78/24 [R-II-ZR-78-24] verstärkt die Informationsseite dieser Architektur. Nach den amtlichen Leitsätzen treffen die Berichts- und Informationspflichten den Vorstand als Bringschuld; bei unzureichender Berichterstattung muss der Aufsichtsrat durch geeignete Maßnahmen darauf hinwirken, dass er die Informationen erhält, die er für eine sinnvolle Überwachung benötigt. § 90 AktG [N-AktG-90] stützt diese Berichtspflicht: Der Vorstand hat dem Aufsichtsrat unter anderem über den Gang der Geschäfte und die Lage der Gesellschaft zu berichten; solche Berichte sind regelmäßig, mindestens vierteljährlich, zu erstatten. § 111 Abs. 1 AktG [N-AktG-111] lautet kurz und hart: „Der Aufsichtsrat hat die Geschäftsführung zu überwachen.“

Für Cyber-Governance heißt das: Ein Aufsichtsrat darf nicht passiv warten, bis der CISO oder Vorstand irgendwann einen Cyber-Vorfall meldet. Er muss ein Berichtssystem verlangen, das auch ohne Krise funktioniert: Risikolage, offene kritische Schwachstellen, Patch-Rückstände, Backup-Tests, schwerwiegende Lieferantenrisiken, NIS-2/BSIG-Status, DORA-/TKG-/EnWG-Sonderpflichten, wesentliche Findings aus Audits, Tabletop-Ergebnisse und Versicherbarkeitslücken. Diese Berichte sollten nicht nur entgegengenommen, sondern plausibilisiert und bei Unklarheiten nachgefasst werden.

Damit wird der Aufsichtsrat selbst Teil der Versicherungsarchitektur. Unterbleibt die Aufsicht, kann die Gesellschaft nicht nur gegen den Vorstand, sondern auch gegen Aufsichtsratsmitglieder vorgehen. Die D&O-Police muss deshalb Aufsichtsratsmitglieder, Ausschüsse, Sonderbeauftragte und mögliche Interessenkonflikte sauber abbilden. Zugleich muss wegen § 116 AktG klar bleiben: Die Sorgfalts- und Verantwortlichkeitsnormen gelten sinngemäß, aber der gesetzliche Vorstands-D&O-Selbstbehalt aus § 93 Abs. 2 Satz 3 AktG ist ausdrücklich ausgenommen.

3.9 Konzern-D&O und Tochterpolicen

In Konzernen gibt es zwei Grundmodelle. Die Konzern-D&O auf Holding-Ebene erstreckt den Schutz auf Tochtergesellschaften und deren Organe. Vorteil ist ein einheitliches Bedingungswerk und koordinierte Schadensteuerung. Nachteil ist die Konkurrenz um eine gemeinsame Versicherungssumme. Ein Cyber-Großschaden in Tochter A kann die Deckung für Tochter B reduzieren. Außerdem können Tochter-Mutter-Konflikte auftreten, wenn beide Seiten unter derselben Police versichert sind.

Eigenständige Tochterpolicen schaffen dedizierte Limits und können lokale Besonderheiten abbilden. Sie erhöhen aber Komplexität, Kosten und Abstimmungsbedarf. In internationalen Konzernen kommen US-Derivative-Suits, SEC-/DOJ-Risiken, UK-Senior-Managers-Regime, lokale Pflichtversicherungen, Japan-spezifische D&O-Märkte und Sanktionsrisiken hinzu. Die Entscheidung „Konzern-D&O oder Tochter-D&O“ ist daher keine Stilfrage, sondern eine Limit- und Konfliktanalyse.

3.10 Selbstbehalte, Eintrittsschwellen und Serienschaden

D&O-Bedingungen enthalten regelmäßig Selbstbehalte, Bagatellschwellen, Jahresaggregate und Serienschadenklauseln. Für Cyber ist die Serienschadenklausel besonders gefährlich. Ein Unternehmen kann über drei Jahre Schulungen nicht dokumentiert, kritische Systeme nicht gepatcht und Lieferanten nicht überwacht haben. Der Versicherer kann argumentieren, alle daraus resultierenden Ansprüche seien ein einheitlicher Serienschaden. Dadurch wird aus mehreren Limits möglicherweise ein einziges Limit.

Der Geschäftsleiter sollte daher vor Vertragsschluss fragen: Wie definiert die Police Serienschaden? Welcher Zeitpunkt gilt als Eintrittszeitpunkt? Wird der erste Pflichtverstoß oder die erste Anspruchserhebung angesetzt? Wie wirken Nachmeldefristen bei Serienschäden? Gibt es unterschiedliche Klauseln in Primär- und Excess-Layern?

3.11 Konsortialführer, Mitversicherer und Excess-Layer

Hohe D&O-Limits werden häufig in Schichten platziert. Ein Konsortialführer übernimmt die Primärschicht und führt Schadenverhandlungen. Mitversicherer beteiligen sich anteilig. Excess-Layer springen erst ein, wenn die darunterliegende Schicht ausgeschöpft ist. „Following Form“ klingt einfach, ist aber im Detail riskant: Wenn ein Excess-Layer andere Ausschlüsse oder andere Meldeerfordernisse enthält, kann zwischen den Schichten eine Lücke entstehen.

Bei Cyber-Großschäden trifft die Geschäftsleitung deshalb nicht auf „den Versicherer“, sondern auf ein Versicherungsprogramm. Schadenmeldungen, Kostenvorschüsse, Verteidigungsstrategie, Vergleichsfreigaben und Reserven müssen koordiniert werden. In der Krise sollte klar sein, wer mit Konsortialführer, Makler, Coverage Counsel und Strafverteidigung spricht.

3.12 Mehrfachvorstand und Innenausgleich nach § 426 BGB

Mehrere Organmitglieder können gesamtschuldnerisch haften. § 426 Abs. 1 Satz 1 BGB lautet:

Die Gesamtschuldner sind im Verhältnis zueinander zu gleichen Anteilen verpflichtet, soweit nicht ein anderes bestimmt ist.

Der Zusatz ist wichtig. Die gleiche Quote ist Ausgangspunkt, nicht Endpunkt. Ressortzuständigkeit, Informationslage, Verschuldensgrad, Verursachungsbeitrag, Warnungen und Eskalationen können eine abweichende Innenquote begründen. § 426 Abs. 1 Satz 2 und Abs. 2 BGB enthalten Ausfall- und Forderungsübergangsmechanik. In der D&O-Praxis können dadurch mehrere versicherte Personen mit unterschiedlichen Verteidigungsinteressen unter derselben Police stehen.

3.13 Beweislast bei Ausschlussklauseln

Die Grundverteilung ist einfach, die Anwendung schwierig. Der Versicherungsnehmer oder die versicherte Person muss den Versicherungsfall darlegen: Anspruchserhebung, versicherte Person, Pflichtverletzungsvorwurf, Schaden, Versicherungszeitraum. Der Versicherer muss den Ausschluss darlegen und beweisen: Wissentlichkeit, Vorsatz, Sanktionsausschluss, Mindeststandardverletzung oder sonstige AVB-Klausel. Bei einzelnen Klauseln können Beweiserleichterungen oder besondere AVB-Regelungen eingreifen.

Die praktische Konsequenz: Compliance-Dokumentation dient auch als Deckungsdokumentation. Sitzungsprotokolle, Risikoberichte, Patch-Ausnahmen, Schulungsnachweise, CISO-Berichte und Aufsichtsratsvorlagen müssen so geführt sein, dass sie nicht nur die Pflichtgemäßheit zeigen, sondern auch den Wissentlichkeitsvorwurf entkräften.

3.14 Side A, Side B und Side C

Side A schützt die versicherte Person unmittelbar, wenn die Gesellschaft nicht freistellen kann oder darf. In Insolvenz, gesetzlicher Vergleichssperre oder Freistellungsverbot wird Side A kritisch. Side B erstattet der Gesellschaft, wenn diese die versicherte Person freigestellt hat. Side C schützt die Gesellschaft selbst, typischerweise bei Wertpapier- oder Aktionärsklagen mit US-Bezug; in Deutschland ist Side C weniger dominant, kann aber bei kapitalmarktnahen Unternehmen relevant werden.

Die Begriffe sind nicht in jedem deutschen Bedingungswerk ausdrücklich so beschriftet. Die Funktionen sind aber in modernen Programmen häufig abgebildet. Bei Konzernen mit US-Bezug sollte Side-A-DIC („Difference in Conditions“) gesondert geprüft werden. Diese Schicht kann in Krisen den Unterschied machen, wenn Primärdeckung blockiert oder die Gesellschaft insolvent ist.

3.15 Die fünf kritischen AVB-Klauseln

Erstens: der Wissentlichkeitsausschluss. Entscheidend ist, ob der Wortlaut positive Kenntnis der konkret haftungsauslösenden Pflichtverletzung verlangt oder weiter formuliert ist. Zweitens: die versicherte-Person-Definition. Sind ausgeschiedene Organmitglieder, Interimsmanager, Tochtergeschäftsführer, Beiräte, Compliance Officer oder faktische Organe erfasst? Drittens: die Pflichtverletzungsdefinition. Erfasst sie organschaftliche Pflichten, gesetzliche Cyberpflichten, Aufsichtspflichten und Managementfehler? Viertens: die Serienschadenklausel. Sie kann die Versicherungssumme in systemischen Cyberfällen dramatisch verengen. Fünftens: Subsidiarität und Mehrfachversicherung. Hier entscheidet sich, ob D&O, Cyber, Strafrechtsschutz oder Sachversicherung zuerst leisten.

BGH-Rechtsprechung zur AGB- und AVB-Inhaltskontrolle ist für diese Klauseln relevant. Konkrete Aktenzeichen außerhalb der bereits genannten D&O-Linien wurden in dieser Umgebung nicht primär verifiziert; deshalb wird hier keine scheinpräzise Fundstellenkette erzeugt. Für die Praxis genügt an dieser Stelle: AVB werden nicht nur gelesen, sondern rechtlich geprüft. Unklare, überraschende oder unangemessen benachteiligende Klauseln können angreifbar sein; ob das im konkreten Industrieversicherungsvertrag durchgreift, ist Einzelfallarbeit.

3.16 Schiedsklauseln, Gerichtsstand und § 215 VVG

Internationale D&O-Programme können Schiedsklauseln enthalten: ICC, LCIA, DIS oder ausländische Foren. Schiedsverfahren können schneller und vertraulicher sein, aber auch teuer. Für eine einzelne versicherte Person, die Side-A-Ansprüche durchsetzen muss, können sechsstellige Verfahrenskosten prohibitiv sein.

§ 215 VVG [N-VVG-215] lautet auszugsweise:

Für Klagen aus dem Versicherungsvertrag oder der Versicherungsvermittlung ist auch das Gericht örtlich zuständig, in dessen Bezirk der Versicherungsnehmer zur Zeit der Klageerhebung seinen Wohnsitz, in Ermangelung eines solchen seinen gewöhnlichen Aufenthalt hat.

Die Norm ist hier nur auszugsweise zitiert und darf nicht pauschal als Schutz jeder versicherten Person gegen Schiedsklauseln verstanden werden. In der typischen D&O ist Versicherungsnehmerin eine juristische Person. Die Aussage, § 215 VVG schütze vor allem natürliche Versicherungsnehmer, ist eine Auslegungs- und Anwendungsfrage, keine pauschale Unanwendbarkeit bei D&O-Programmen. Für versicherte Organpersonen läuft die Kontrolle problematischer Schiedsklauseln regelmäßig zusätzlich oder vorrangig über § 1032 ZPO, AGB-Inhaltskontrolle nach §§ 305 ff. BGB und die konkrete Einbeziehung in den Versicherungsvertrag. Das gehört vor Vertragsschluss in den AVB-Check.

4. Säule 2: Cyber-Versicherung

4.0 Wann zahlt die Cyber-Police? Definitionskette statt Schlagwort

Eine Cyber-Police zahlt, wenn ein versicherter Cyber-Versicherungsfall vorliegt, Obliegenheiten erfüllt sind, keine nicht angezeigte Gefahrerhöhung entgegensteht, keine vorsätzliche Herbeiführung vorliegt und kein Ausschluss oder Sub-Limit die Leistung blockiert. Die erste Frage ist immer definitionsabhängig.

Drei Begriffe sind zu trennen. Cyber-Vorfall ist hier nur der arbeitspraktische Oberbegriff für das technische Ereignis. Die Rechtsfolgen entstehen erst über das jeweils einschlägige Regime: BSIG-Sicherheitsvorfall beziehungsweise erheblicher Sicherheitsvorfall, DORA-IKT-bezogener Vorfall beziehungsweise schwerwiegender IKT-bezogener Vorfall, DSGVO [EU-DSGVO]-Datenschutzverletzung oder AVB-definierter Cyber-Versicherungsfall. Datenschutzverletzung ist die DSGVO-Kategorie. Art. 4 Nr. 12 DSGVO definiert sie als

eine Verletzung der Sicherheit, die, ob unbeabsichtigt oder unrechtmäßig, zur Vernichtung, zum Verlust, zur Veränderung, oder zur unbefugten Offenlegung von beziehungsweise zum unbefugten Zugang zu personenbezogenen Daten führt, die übermittelt, gespeichert oder auf sonstige Weise verarbeitet wurden.

Diese Definition umfasst nicht nur Datenabfluss. Auch ransomwarebedingte Nichtverfügbarkeit oder Verlust personenbezogener Daten kann eine Datenschutzverletzung sein. IT-Erpressung ist dagegen ein AVB-Begriff. Er kann Ransomware, DDoS-Erpressung, Datenexfiltration mit Drohung oder Krypto-Zahlungen umfassen. Ob alle drei Begriffe im selben Ereignis zusammenfallen, hängt vom Fall ab.

Beispiel: Ein Angriff verschlüsselt Produktionsdaten ohne personenbezogene Daten. Das ist wahrscheinlich ein Cyber-Vorfall und möglicherweise IT-Erpressung, aber nicht zwingend eine Datenschutzverletzung. Zweites Beispiel: Ein Angreifer exfiltriert Kundendaten ohne Betriebsunterbrechung. Das ist eine Datenschutzverletzung und Cyber-Vorfall; ob die Erpressungsdeckung greift, hängt von der Drohung und AVB ab. Drittes Beispiel: Ransomware verschlüsselt HR-Daten ohne nachweisbaren Abfluss. Das kann eine Datenschutzverletzung sein, weil Verlust oder Nichtverfügbarkeit personenbezogener Daten erfasst sein kann.

4.1 Was die Cyber-Police deckt

Typische Bausteine sind IT-Forensik, Wiederherstellung, Datenrekonstruktion, Betriebsunterbrechung, Krisenkommunikation, Datenschutzberatung, Meldekosten, Callcenter, Identity-Monitoring, Drittschadendeckung, Erpressungsdeckung und bestimmte Rechtsverteidigungskosten. Der konkrete Umfang variiert erheblich.

Die Eigenschadenkomponente finanziert die Wiederherstellung der Einrichtung. Die Haftpflichtkomponente adressiert Ansprüche Dritter, etwa Kunden, Betroffene nach Art. 82 DSGVO oder Vertragspartner. Die Kostenkomponente finanziert externe Spezialisten. Für die Geschäftsleitung ist entscheidend: Diese Police schützt primär die Einrichtung, nicht das Organmitglied persönlich. Sie kann jedoch mittelbar die Innenhaftung reduzieren, weil regulierte Eigenschäden nicht mehr als Regresssumme gegen den Geschäftsführer stehen. Zugleich kann § 86 VVG [N-VVG-86] Regressansprüche auf den Cyber-Versicherer überleiten.

4.1.1 Lösegeld und Sanktionsrecht

Eine Erpressungsdeckung bedeutet nicht, dass Lösegeldzahlungen frei disponibel sind. Vor jeder Zahlung ist ein Sanktionscheck erforderlich. § 18 AWG, EU-Sanktionsverordnungen, UN-Listen, UK- und US-Sanktionsregime können Zahlungen an gelistete Personen, Organisationen oder mittelbar beherrschte Gruppen verbieten. Cyber-Lösegeldzahlungen werden in der Praxis anhand Wallet-Adressen, Hashes, Tätergruppen, Infrastrukturindikatoren und Sanktionslisten geprüft.

Wichtig ist die Unterscheidung zwischen personenbezogenen und sektoralen Sanktionen. Personenbezogene Sanktionen, etwa Listen nach Russland-, Iran-, Nordkorea- oder Belarus-Regimen, sind für Lösegeldzahlungen besonders relevant, weil sie die Bereitstellung wirtschaftlicher Ressourcen an gelistete Personen oder Organisationen verbieten können. Sektorale Sanktionen erfassen bestimmte Wirtschaftsbereiche, Finanzierungen, Güter oder Dienstleistungen; sie sind im Cyber-Lösegeldkontext nicht automatisch einschlägig, können aber bei Russland-, Technologie-, Finanz- oder Dienstleistungsbezug relevant werden.

Cyber-Policen enthalten zusätzlich Sanktionsklauseln. Diese Klauseln können die Leistung ausschließen, wenn gesetzliche, behördliche oder völkerrechtliche Sanktionen entgegenstehen. Viele Klauseln beziehen UN-, EU-, UK- und US-Recht ein. Dadurch kann ein deutscher Versicherungsnehmer mit einem deutschen Schadenfall trotzdem OFAC-Relevanz bekommen, etwa über Rückversicherung, US-Mutter, US-Makler oder Dollar-Zahlungswege.

4.2 Typische Ausschlüsse und Cyber-War-Exclusion

Typische Ausschlüsse betreffen bekannte ungepatchte Schwachstellen, Verstoß gegen Mindest-Sicherheitsstandards, vorsätzliche Herbeiführung, Krieg, kriegsähnliche Handlungen, staatlich gesponserte Angriffe, kritische Infrastrukturausfälle, Sanktionen, Vertragsstrafen und Reputationsschäden jenseits vereinbarter Krisenkosten.

Bei Cyber-War-Exclusions ist besondere Demut nötig. Eine gefestigte deutsche BGH-Linie zur Cyber-War-Exclusion ist derzeit nicht belastbar belegt. Die Marktentwicklung ist durch NotPetya, US-Streitigkeiten wie Merck v. ACE und Lloyd's-/GDV-Bedingungsanpassungen geprägt. In Deutschland ist die Einordnung staatlich beeinflusster Cyberangriffe in Kriegsausschlüsse, Terrorausschlüsse oder eigene Cyber-War-Klauseln stark bedingungsabhängig. Jede scheinbar sichere Aussage „staatlich = nicht versichert“ oder „Ransomware = immer versichert“ wäre falsch.

4.3 Obliegenheiten, Gefahrerhöhung und Quotelung

Die Cyber-Police ist die Police, in der § 28 VVG [N-VVG-28] praktisch am härtesten zuschlagen kann. § 28 Abs. 2 und 3 VVG enthalten die Grundmechanik:

Bestimmt der Vertrag, dass der Versicherer bei Verletzung einer vom Versicherungsnehmer zu erfüllenden vertraglichen Obliegenheit nicht zur Leistung verpflichtet ist, ist er leistungsfrei, wenn der Versicherungsnehmer die Obliegenheit vorsätzlich verletzt hat.
Im Fall einer grob fahrlässigen Verletzung der Obliegenheit ist der Versicherer berechtigt, seine Leistung in einem der Schwere des Verschuldens des Versicherungsnehmers entsprechenden Verhältnis zu kürzen; die Beweislast für das Nichtvorliegen einer groben Fahrlässigkeit trägt der Versicherungsnehmer.
Abweichend von Absatz 2 ist der Versicherer zur Leistung verpflichtet, soweit die Verletzung der Obliegenheit weder für den Eintritt oder die Feststellung des Versicherungsfalles noch für die Feststellung oder den Umfang der Leistungspflicht des Versicherers ursächlich ist. Satz 1 gilt nicht, wenn der Versicherungsnehmer die Obliegenheit arglistig verletzt hat.

§ 28 Abs. 4 VVG ist im Cyber-Schaden besonders wichtig, weil Auskunfts- und Aufklärungsobliegenheiten meist erst nach dem Vorfall greifen:

Die vollständige oder teilweise Leistungsfreiheit des Versicherers nach Absatz 2 hat bei Verletzung einer nach Eintritt des Versicherungsfalles bestehenden Auskunfts- oder Aufklärungsobliegenheit zur Voraussetzung, dass der Versicherer den Versicherungsnehmer durch gesonderte Mitteilung in Textform auf diese Rechtsfolge hingewiesen hat.

Vier Korrekturen sind wichtig. Erstens: § 28 VVG greift nur bei vertraglichen Obliegenheiten. Art. 32 DSGVO oder § 30 BSIG [N-BSIG-30] sind nicht automatisch §-28-Obliegenheiten; sie werden aber deckungsrelevant, wenn das Bedingungswerk, der Antrag oder Sicherheitsgarantien sie in Pflichten übersetzen. Zweitens: Grobe Fahrlässigkeit bedeutet nicht automatisch Null, sondern Quotelung. Drittens: Der Kausalitätsgegenbeweis kann retten, außer bei Arglist. Viertens: Bei Auskunfts- oder Aufklärungsobliegenheiten nach Eintritt des Versicherungsfalls muss die §-28-Abs.-4-Hinweisspur geprüft werden; ohne gesonderten Hinweis in Textform kann die Leistungsfreiheitsfolge abgeschnitten sein.

Art. 32 DSGVO ist der datenschutzrechtliche Mindestanker für technische und organisatorische Maßnahmen. Der Wortlaut lautet:

Unter Berücksichtigung des Stands der Technik, der Implementierungskosten und der Art, des Umfangs, der Umstände und der Zwecke der Verarbeitung sowie der unterschiedlichen Eintrittswahrscheinlichkeit und Schwere des Risikos für die Rechte und Freiheiten natürlicher Personen treffen der Verantwortliche und der Auftragsverarbeiter geeignete technische und organisatorische Maßnahmen, um ein dem Risiko angemessenes Schutzniveau zu gewährleisten; diese Maßnahmen schließen gegebenenfalls unter anderem Folgendes ein:
a) die Pseudonymisierung und Verschlüsselung personenbezogener Daten;
b) die Fähigkeit, die Vertraulichkeit, Integrität, Verfügbarkeit und Belastbarkeit der Systeme und Dienste im Zusammenhang mit der Verarbeitung auf Dauer sicherzustellen;
c) die Fähigkeit, die Verfügbarkeit der personenbezogenen Daten und den Zugang zu ihnen bei einem physischen oder technischen Zwischenfall rasch wiederherzustellen;
d) ein Verfahren zur regelmäßigen Überprüfung, Bewertung und Evaluierung der Wirksamkeit der technischen und organisatorischen Maßnahmen zur Gewährleistung der Sicherheit der Verarbeitung.

Daraus entsteht eine konkrete Deckungskette: Datenschutzrecht verlangt risikoadäquate TOMs; der Versicherer fragt im Antrag nach TOMs; die Police macht bestimmte TOMs zu Obliegenheiten oder Sicherheitsgarantien; der Schaden tritt ein; der Versicherer prüft, ob die behauptete TOM-Lücke für Eintritt, Feststellung oder Umfang des Versicherungsfalls relevant war. Genau hier liegen die größten Cyber-Deckungsdrifts. Ein Unternehmen kann Art. 32 DSGVO verletzt haben, ohne dass automatisch Leistungsfreiheit folgt. Umgekehrt kann ein Unternehmen datenschutzrechtlich vertretbar gehandelt haben, aber eine engere versicherungsvertragliche Sicherheitsgarantie verletzt haben.

§ 26 VVG betrifft Gefahrerhöhung. Wenn nach Vertragsabschluss Sicherheitsarchitektur abgebaut wird, etwa Abschaltung eines SOC, Aufgabe von MFA, Migration in eine ungesicherte Cloud oder Outsourcing ohne Kontrolle, kann der Versicherer argumentieren, das Risiko habe sich wesentlich erhöht. § 81 VVG [N-VVG-81] betrifft grob fahrlässige Herbeiführung. Der bekannte ungepatchte Exchange-Server, der seit Monaten öffentlich ausnutzbar ist, ist das typische Streitbild. § 86 VVG wird nach Zahlung wichtig: Leistet der Cyber-Versicherer, gehen Ersatzansprüche nur insoweit auf ihn über, als ein Ersatzanspruch tatsächlich besteht und der Versicherer den Schaden ersetzt. Zu prüfen sind Regressverzichte, vertragliche Haftungsbegrenzungen, Freistellungen, insured-versus-insured-Konstellationen, Organregress, Abtretungsverbote außerhalb § 108 VVG [N-VVG-108] und die Frage, ob der Regress die versicherte Architektur wirtschaftlich wieder aufreißt.

4.4 DSGVO Art. 82, Art. 33/34 und EuGH-/BGH-Linie

Art. 4 Nr. 12 DSGVO definiert die Datenschutzverletzung als „eine Verletzung der Sicherheit, die zur Vernichtung, zum Verlust, zur Veränderung, oder zur unbefugten Offenlegung von beziehungsweise zum unbefugten Zugang zu personenbezogenen Daten führt, die übermittelt, gespeichert oder auf sonstige Weise verarbeitet wurden“. Diese Definition ist für die Cyber-Police wichtiger als das Alltagsetikett „Datenpanne“. Ohne personenbezogene Daten kann ein IT-Sicherheitsvorfall trotzdem ein Cyber-Schaden sein; die DSGVO-Meldeschiene wird aber erst über den Personenbezug und die Sicherheitsverletzung aktiviert.

Art. 33 Abs. 1 DSGVO erzeugt die 72-Stunden-Kosten, aber nicht in der in v1.1 falsch herum formulierten Logik. Richtig ist: Die Meldung an die Aufsichtsbehörde muss unverzüglich und möglichst binnen 72 Stunden nach Bekanntwerden erfolgen, es sei denn, die Verletzung des Schutzes personenbezogener Daten führt voraussichtlich nicht zu einem Risiko für Rechte und Freiheiten natürlicher Personen. Art. 34 DSGVO erzeugt Betroffenenkommunikation erst, wenn voraussichtlich ein hohes Risiko für Rechte und Freiheiten natürlicher Personen besteht. Diese Pflichten führen zu Kostenpositionen, die in Cyber-Policen ausdrücklich geprüft werden müssen: Forensik, Datenschutzanwälte, Meldetext, Behördenkommunikation, Betroffenenbenachrichtigung, Callcenter, Identitätsmonitoring, Krisenkommunikation und Übersetzungen.

Art. 82 DSGVO betrifft den Ersatz materieller und immaterieller Schäden. Die jüngere EuGH- und BGH-Linie ist für Versicherer deshalb relevant, weil Massenbetroffenheit nicht mehr nur ein abstraktes Bußgeldthema ist. Die vorsichtige Zusammenfassung lautet: Ein DSGVO-Verstoß allein genügt nicht; es braucht Schaden und Kausalität. Ein Kontrollverlust kann aber einen immateriellen Schaden darstellen, wenn die rechtlichen Voraussetzungen im Einzelfall erfüllt sind. EuGH C-687/21 [R-EuGH-C-687-21] (MediaMarktSaturn) betont die Prüfung von Schaden und Kausalität; EuGH C-200/23 [R-EuGH-C-200-23] behandelt den zeitlich begrenzten Kontrollverlust; BGH VI ZR 10/24 [R-VI-ZR-10-24] hat im Facebook-Scraping-Komplex den bloßen und kurzzeitigen Kontrollverlust als möglichen immateriellen Schaden anerkannt. Diese Rechtsprechung wird hier als Linienbeschreibung verwendet; für Klageschriften oder Vorstandsvorlagen müssen Tenor, Randnummern und nationale Folgeentscheidungen gesondert geprüft werden.

Für die Cyber-Police folgt daraus: Der Versicherer wird nicht nur „Anzahl Datensätze x Pauschalbetrag“ prüfen. Er wird fragen: Welche Datenarten? Welche Identifizierbarkeit? War Verschlüsselung wirksam? Wie lange bestand Zugriff? Gab es exfiltrierte Kopien? Welche Benachrichtigung erfolgte? Welche Anspruchsgruppen? Welche Jurisdiktionen? Welche Sammel- oder Musterverfahren? Welche Abwehrkosten? Welche Sub-Limits? Die Deckung kann an Drittschadenbausteinen, Datenschutz-Haftpflicht, Krisenkosten, Bußgeldverteidigung und Aggregaten hängen.

Bei DSGVO-Zitaten sind die konsolidierte deutsche EUR-Lex-Fassung und konkrete Berichtigungen getrennt zu prüfen: Art. 32 Abs. 1 DSGVO ist gegen die Berichtigung vom 23. Mai 2018 zu lesen; Art. 33/34-Zitate sind zusätzlich gegen die Berichtigung vom 4. März 2021 zu prüfen. Für die Architektur genügt aber die operative Regel: Datenschutzmeldung, Cyber-Schadenmeldung und D&O-Umstandsmeldung sind drei unterschiedliche Vorgänge. Eine Art.-33-DSGVO-Meldung ersetzt nicht die Meldung an den Cyber-Versicherer; eine Cyber-Schadenmeldung ersetzt nicht die D&O-Umstandsmeldung, wenn Organhaftung droht.

4.5 NIS-2-Compliance als Versicherbarkeitsvoraussetzung

Seit Inkrafttreten des neuen BSIG am 6. Dezember 2025 ist die NIS-2-Architektur in Deutschland kein bloßes Zukunftsthema mehr. § 30 BSIG verpflichtet besonders wichtige Einrichtungen und wichtige Einrichtungen zu geeigneten, verhältnismäßigen und wirksamen technischen und organisatorischen Maßnahmen. § 38 BSIG [N-BSIG-38] richtet Umsetzungs-, Überwachungs- und Schulungspflichten an die Leitungsebene. § 32 BSIG [N-BSIG-32] verlangt Meldefähigkeit; § 61 BSIG [N-BSIG-61] eröffnet Aufsichts- und Durchsetzungsmechanismen für besonders wichtige Einrichtungen; für wichtige Einrichtungen ist § 62 BSIG [N-BSIG-62] als eigene Aufsichts- und Durchsetzungsspur mitzudenken. § 65 BSIG [N-BSIG-65] enthält Bußgeldtatbestände.

Für Versicherer ist die dokumentierte BSIG-/NIS-2-Umsetzung bei betroffenen Einrichtungen ein relevanter Underwriting- und Schadenprüfungsfaktor. Sie fragen nicht nur, ob ein Unternehmen betroffen ist, sondern ob Risikoanalyse, Maßnahmenkatalog, Schulungsnachweise, Meldeprozess, Lieferantensteuerung, Backup-Tests, Schwachstellenmanagement, Board-Reporting und Incident-Response-Übungen dokumentiert sind. NIS-2-Compliance ersetzt keine Police; Aussagen zur Prämien-, Ausschluss- oder Ablehnungswirkung gehören aber in eine datierte Makler-, Versicherer- oder Termsheet-Auswertung.

Die zentrale Kausalkette lautet: gesetzliche Pflicht → dokumentierte Governance → Antrag/Underwriting → vertragliche Obliegenheit → Schadenfallprüfung → D&O-Innenhaftung. Wer im Antrag erklärt, die gesetzlichen Mindestmaßnahmen seien umgesetzt, muss diese Behauptung später belegen können. Wer gesetzliche Pflichten erfüllt, hat nicht automatisch Deckung, aber deutlich bessere Karten bei § 19 VVG [N-VVG-19], § 28 VVG, Kausalität, D&O-Abwehr und Aufsichtsratskontrolle.

Für besonders wichtige, wichtige, TKG-, EnWG- und DORA-Einheiten muss die Versicherungsakte deshalb eine Regime-Matrix enthalten: Welche Norm gilt? Welche Einheit ist betroffen? Welche Registrierungspflicht und Registrierungsfrist gilt, insbesondere nach § 33 BSIG [N-BSIG-33]? Welche Geschäftsleitungspflicht besteht? Welche Meldefrist? Welche Nachweise einschließlich Kontaktdaten/Kontaktstelle, Registrierungsbestätigung und Aktualisierungspflichten liegen vor? Welche Police wird wann informiert? Welche Sub-Limits greifen? Ohne diese Matrix entsteht genau der Drift, den A5-01 verhindern soll.

4.6 Sub-Limits: die unsichtbare Kürzung

Die Deckblatt-Summe einer Cyber-Police ist nicht die Summe, die für jeden Schadenbaustein zur Verfügung steht. Eine Police mit 50 Mio. Euro Gesamtsumme kann für Erpressung nur 12,5 Mio. Euro, für Krisenkommunikation 2 Mio. Euro, für Betriebsunterbrechung 25 Mio. Euro und für Bußgeldverteidigung nur ein kleines Kostenlimit enthalten. Zusätzlich können Karenzzeiten, Stundenkontingente, Selbstbehalte und Jahresaggregate gelten.

Für die Versicherungssummenentscheidung ist daher die Schadenmodellierung maßgeblich. Ein produzierendes Unternehmen mit hohem Stillstandsrisiko braucht andere Betriebsunterbrechungs- und Wiederherstellungslimits als ein datengetriebenes B2C-Unternehmen mit hohem DSGVO-Drittschadenrisiko. Ein Finanzunternehmen braucht DORA-Melde-, Drittparteien- und Kommunikationskosten. Ein Krankenhaus hat andere Verfügbarkeits- und Patientensicherheitsrisiken.

Ransomware, Betriebsunterbrechung, ungepatchte Systeme, Lieferketten- und Cloud-Abhängigkeiten sind typische Szenarioachsen. Konkrete Marktbeobachtungen von GDV, BSI, Munich Re, Allianz, Maklern oder Versicherern dürfen aber erst nach datierter Quellenprüfung als Beleg in eine Vorstandsvorlage. Konkrete Prämien- und Sub-Limit-Bandbreiten sind verhandlungsspezifisch; in diesem Pillar bleiben sie deshalb Orientierung und Szenario, nicht Preiszusage und nicht Marktbeweis.

4.7 Bußgeldverteidigung und Bußgeldsumme

Die Bußgeldsumme selbst ist von den Verteidigungskosten zu trennen. Das ist Faktenfalle 37. Viele Policen versichern keine Geldbußen oder nur soweit rechtlich zulässig; bei öffentlich-rechtlichen Sanktionen ist die Versicherbarkeit hoch umstritten und oft ausgeschlossen. Dagegen sind Abwehrkosten in Bußgeldverfahren, also Rechtsanwälte, Gutachter, Stellungnahmen und Verfahrensbegleitung, häufig als Rechtsschutz- oder Cyber-Baustein versicherbar.

Die Tabelle „BSIG-Bußgeld: weder Cyber noch D&O“ wäre daher zu grob. Richtig ist: Das Bußgeld gegen die Einrichtung ist nicht der typische Versicherungsgegenstand; die Verteidigungskosten können versichert sein; ein späterer Regress gegen Organmitglieder kann D&O-relevant werden; die Rechtslage zur Regressfähigkeit bestimmter Bußgelder ist nicht abschließend für alle Regime geklärt.

4.8 Doppelversicherung, Sachversicherung und Subrogation

Ein Cyber-Vorfall kann mehrere Policen gleichzeitig berühren: Cyber-Police für Wiederherstellung und Betriebsunterbrechung, Sachversicherung für physische Schäden oder Maschinenstillstand, D&O für Organregress, Strafrechtsschutz für Verteidigung, Vertrauensschadenversicherung für Betrug, Produkthaftpflicht bei fehlerhaften digitalen Produkten.

§ 78 VVG regelt Haftung bei Mehrfachversicherung, wenn ein Interesse bei mehreren Versicherern gegen dieselbe Gefahr versichert ist. § 79 VVG betrifft Beseitigung der Mehrfachversicherung. In der Praxis lösen AVB-Subsidiaritätsklauseln die Frage oft nicht endgültig, sondern verschieben den Streit zwischen Versicherern. Für die Einrichtung ist wichtig, alle potenziell betroffenen Policen fristgerecht zu melden. Eine verspätete Meldung bei der Sachversicherung kann nicht dadurch geheilt werden, dass die Cyber-Police informiert wurde.

§ 86 VVG ordnet den Übergang von Ersatzansprüchen nur an, soweit ein Ersatzanspruch besteht und der Versicherer den Schaden ersetzt. Das erzeugt Organregressrisiko: Reguliert die Cyber-Police den Eigenschaden, kann sie Ansprüche der Gesellschaft gegen Dritte übernehmen. Ob und wie Ansprüche gegen Organmitglieder übergehen, ob Regressverzichte greifen, ob Haftungsbegrenzungen den Anspruch reduzieren, ob eine insured-versus-insured-Klausel berührt ist und ob ein Organregress überhaupt vom Regresszweck gedeckt ist, ist dogmatisch und bedingungsabhängig zu prüfen. Die Geschäftsleitung sollte jedenfalls nicht davon ausgehen, dass Cyber-Regulierung automatisch Regressfrieden bedeutet.

5. Säule 3: Strafrechtsschutz-Versicherung

5.0 Wann zahlt der Strafrechtsschutz?

Die Kette hat fünf Schritte. Erstens braucht es ein straf- oder ordnungswidrigkeitenrechtliches Verfahren gegen die versicherte Person: Anhörung, Ermittlungsverfahren, Durchsuchung, Beschuldigtenvernehmung, Bußgeldverfahren oder Anklage. Zweitens muss der Tatvorwurf versichert sein. Viele Bedingungswerke decken Fahrlässigkeits- und OWiG-Vorwürfe breiter als Vorsatzdelikte. Drittens muss die Person im relevanten Zeitraum versichert sein. Viertens müssen die Kosten erforderlich und vom Bedingungswerk erfasst sein. Fünftens darf keine Rückforderungsklausel wegen rechtskräftiger Vorsatzverurteilung greifen.

§ 130 OWiG [N-OWiG-130] ist die zentrale persönliche OWiG-Spur. Die Norm lautet in ihrem Kern:

Wer als Inhaber eines Betriebes oder Unternehmens vorsätzlich oder fahrlässig die Aufsichtsmaßnahmen unterläßt, die erforderlich sind, um in dem Betrieb oder Unternehmen Zuwiderhandlungen gegen Pflichten zu verhindern, die den Inhaber treffen und deren Verletzung mit Strafe oder Geldbuße bedroht ist, handelt ordnungswidrig, wenn eine solche Zuwiderhandlung begangen wird, die durch gehörige Aufsicht verhindert oder wesentlich erschwert worden wäre.

Zu den erforderlichen Aufsichtsmaßnahmen gehören auch Bestellung, sorgfältige Auswahl und Überwachung von Aufsichtspersonen. Für Cyber heißt das: Die Verteidigung wird um Organisationspflichten kreisen. Gab es ein angemessenes Sicherheitsmanagement? Wurden Verantwortliche ausgewählt, ausgestattet und überwacht? Waren Berichtswege und Eskalationsschwellen klar?

§ 9 OWiG [N-OWiG-9] erweitert die Verantwortlichkeit für Handeln für einen anderen, etwa Organ einer juristischen Person. § 30 OWiG [N-OWiG-30] ist dagegen nicht die persönliche Strafrechtsschutzspur. § 30 OWiG betrifft Verbandsgeldbußen gegen juristische Personen oder Personenvereinigungen. Verteidigungskosten der Organperson laufen primär über § 130 OWiG, StGB-Vorwürfe oder spezialgesetzliche Verfahren.

5.1 Warum eigenständig neben D&O?

Die D&O ist zivilrechtlich geprägt. Sie kann zwar Rechtsschutzkosten und unter bestimmten Voraussetzungen auch Strafverteidigungskosten enthalten; das ist aber nicht selbstverständlich und oft limitiert. Strafrechtsschutz ist erforderlich, weil das persönliche Verteidigungsinteresse der Organperson sofort entsteht und nicht deckungsgleich mit dem Interesse der Gesellschaft ist.

Beispiel: Nach einem Ransomware-Vorfall beauftragt die Gesellschaft eine interne Untersuchung. Der Bericht legt nahe, dass der Geschäftsführer Warnungen ignoriert habe. Die Gesellschaft will kooperieren, der Geschäftsführer braucht Verteidigung, der CISO ist Zeuge, der Aufsichtsrat prüft Ansprüche und die Datenschutzbehörde verlangt Auskunft. In dieser Lage darf der Geschäftsführer nicht darauf vertrauen, dass Unternehmensanwälte auch seine Verteidiger sind.

5.2 § 130 OWiG vs. § 266 StGB

Die § 130 OWiG-Spur ist typischerweise Organisations- und Aufsichtspflicht. Der Wortlaut des § 130 Abs. 1 OWiG beginnt:

Wer als Inhaber eines Betriebes oder Unternehmens vorsätzlich oder fahrlässig die Aufsichtsmaßnahmen unterläßt, die erforderlich sind, um in dem Betrieb oder Unternehmen Zuwiderhandlungen gegen Pflichten zu verhindern, die den Inhaber treffen und deren Verletzung mit Strafe oder Geldbuße bedroht ist, handelt ordnungswidrig, wenn eine solche Zuwiderhandlung begangen wird, die durch gehörige Aufsicht verhindert oder wesentlich erschwert worden wäre.

Für juristische Personen und Leitungspersonen wird diese Spur über Zurechnungs- und Vertreterregeln praktisch relevant. In Cyber-Fällen geht es nicht darum, dass der Geschäftsführer persönlich am Server saß. Es geht darum, ob eine angemessene Aufsichts-, Delegations-, Kontroll- und Eskalationsorganisation bestand. Typische Streitpunkte sind: klare Zuständigkeiten, CISO-Kompetenzen, Budget, Patch-Prozess, Lieferantenkontrolle, Schulung, Meldewege, Notfallübungen, Dokumentation und Board-Reporting.

Die § 266 StGB [N-StGB-266]-Spur ist schärfer. § 266 Abs. 1 StGB lautet:

Wer die ihm durch Gesetz, behördlichen Auftrag oder Rechtsgeschäft eingeräumte Befugnis, über fremdes Vermögen zu verfügen oder einen anderen zu verpflichten, mißbraucht oder die ihm kraft Gesetzes, behördlichen Auftrags, Rechtsgeschäfts oder eines Treueverhältnisses obliegende Pflicht, fremde Vermögensinteressen wahrzunehmen, verletzt und dadurch dem, dessen Vermögensinteressen er zu betreuen hat, Nachteil zufügt, wird mit Freiheitsstrafe bis zu fünf Jahren oder mit Geldstrafe bestraft.

Untreue ist ein Vorsatzdelikt. In Cyber-Konstellationen kann der Vorwurf entstehen, wenn Geschäftsleiter trotz erkannter existenzgefährdender Sicherheitslage Vermögensinteressen der Gesellschaft bewusst verletzen, etwa durch zweckwidrige Mittelverwendung, Verschleierung, unzulässige Zahlungen oder bewusste Missachtung eines existenzkritischen Sicherheitsbefundes. Das ist nicht jeder schlechte IT-Beschluss. Die Schwelle ist deutlich höher als bei § 130 OWiG.

Für den Strafrechtsschutz ist diese Unterscheidung praktisch. Bei § 130 OWiG und fahrlässigen Organisationsvorwürfen steht regelmäßig die Verteidigungskostenübernahme im Vordergrund. Bei § 266 StGB kann der Strafrechtsschutz zwar zunächst Verteidigung leisten, aber viele Bedingungen enthalten Rückforderungsmechaniken bei rechtskräftiger Vorsatzverurteilung. Bußgelder, Geldstrafen und Gewinnabschöpfungen sind von Verteidigungskosten strikt zu trennen. Eine Police, die Verteidigungskosten übernimmt, macht die Sanktion selbst nicht versicherbar.

5.3 Deckungsumfang und Rückforderung

Deckungsfähig sind je nach Vertrag Rechtsanwaltskosten, Gutachter, technische Sachverständige, Übersetzungen, Reisekosten, Gerichtskosten, Zeugenbeistände, Durchsuchungsbegleitung und Kommunikationskosten. Problematisch sind Honorarvereinbarungen, ausländische Verfahren, interne Untersuchungen, PR-Beratung und parallele Zeugenvertretungen. In Cyber-Fällen sind technische Sachverständige oft unverzichtbar; ohne sie kann der Verteidiger nicht erklären, was technisch möglich, erkennbar oder vermeidbar war.

Rückforderungsklauseln sind ernst zu nehmen. Wenn die Police Verteidigungskosten vorstreckt und später eine rechtskräftige Verurteilung wegen vorsätzlicher Tat erfolgt, kann der Versicherer die Kosten zurückverlangen. Bei langen Wirtschaftsstrafverfahren kann das existenzbedrohend werden. Eine Geschäftsleitung sollte daher Limits und Rückforderungsvoraussetzungen kennen.

5.4 Vorschuss in den ersten 72 Stunden

Die ersten 72 Stunden sind operativ entscheidend. Datenschutzmeldung, BSIG-/DORA-Meldung, Forensik, Wiederherstellung, Lösegeldentscheidung, Presse, Kunden, Bank und Aufsichtsrat laufen parallel. Strafverteidigung muss in dieser Phase finanziert werden können. Eine reine D&O ohne Strafrechtsschutzbaustein kann zu spät oder zu eng sein.

Vor Vertragsschluss sind drei Fragen zu klären: Leistet die D&O oder der Strafrechtsschutz Vorschuss für Strafverteidigungskosten? Gilt der Vorschuss auch bei bloßer Anhörung oder erst bei formellem Ermittlungsverfahren? Welche Rückforderung greift bei Vorsatzverurteilung? Gute Krisenhandbücher enthalten die Policennummern, Ansprechpartner, Meldefristen, Notfallkanzleien und Freigabewege. Das ist kein administratives Detail, sondern Verteidigungsfähigkeit.

5.5 Operative Eskalationsarchitektur

Die Versicherungsarchitektur muss im Incident-Response-Plan stehen. Mindestens vier Kontakte gehören in den Krisenordner: Cyber-Versicherer/Assistance-Hotline, D&O-Schadenkontakt, Strafrechtsschutzkontakt und Coverage Counsel. Dazu kommen Datenschutzanwalt, Strafverteidiger, IT-Forensiker, Kommunikationsberater und Geschäftsleitungsvertreter.

Die erste Lagebesprechung sollte drei getrennte Tracks anlegen: technische Wiederherstellung, regulatorische Meldung, persönliche Verteidigung. Eine Vermischung ist gefährlich. Was der Forensiker für die Wiederherstellung dokumentiert, kann später im Bußgeld-, Straf- oder D&O-Prozess Beweis werden. Deshalb müssen anwaltliche Verschwiegenheit, Verteidigungs-/Beschlagnahmeschutz, Berichtsempfänger, Mandatsstruktur und sonstige Privilegierungsfragen nach der jeweils anwendbaren Rechtsordnung bewusst gestaltet werden.

6. Lücken zwischen den drei Säulen

6.1 Versicherungssummen-Lücken

Die sichtbarste Lücke liegt oberhalb des Limits. Wenn die D&O 25 Mio. Euro deckt, der Innenhaftungsanspruch aber 80 Mio. Euro beträgt, steht der Rest im Privatvermögen. Dasselbe gilt in der Cyber-Police: Ein 50-Mio.-Deckblatt hilft wenig, wenn Betriebsunterbrechung nur bis 20 Mio. Euro, Erpressung nur bis 10 Mio. Euro und Krisenkommunikation nur bis 1 Mio. Euro sublimitiert ist.

Excess-Layer können Lücken schließen, aber auch neue schaffen. Wenn die Primärschicht eine Cyber-Organpflicht deckt, der erste Excess-Layer aber eine andere Wissentlichkeits- oder Sanktionsklausel enthält, kann der Schaden zwischen den Schichten stecken bleiben. Aggregat-Limits sind ebenfalls kritisch. Mehrere Tochtergesellschaften, mehrere Vorfälle oder ein Serienschaden können das Jahreslimit aufbrauchen.

6.2 Sachliche Lücken

Nicht alles ist versicherbar. Reputationsverlust jenseits vereinbarter Krisenkosten, Verlust von Kundenbeziehungen, entgangene Marktchancen, Tätigkeitsverbote, Organ-Inhabilität, der Verlust von Aufsichtsratsmandaten und bestimmte öffentlich-rechtliche Sanktionen bleiben oft außerhalb. Eine Maßnahme nach § 61 Abs. 9 BSIG [N-BSIG-61] ist bei besonders wichtigen Einrichtungen kein klassischer Vermögensschaden, den eine D&O „repariert“; für wichtige Einrichtungen ist die gesonderte §-62-BSIG-Spur zu prüfen. Die Tätigkeitsuntersagung oder Genehmigungsaussetzung läuft als letztes Mittel über die zuständige Aufsichtsbehörde nach BSI-Mitteilung beziehungsweise im Zusammenspiel mit der Fachaufsicht, nicht als einfache Geldleistung des Versicherers. Auch § 76 Abs. 3 AktG und § 6 Abs. 2 GmbHG können nach bestimmten Verurteilungen oder Berufsverboten Organfähigkeit berühren; solche Karrierefolgen sind nicht einfach versicherbarer Schaden.

Die Verbandsgeldbuße nach § 30 OWiG [N-OWiG-30] trifft die Einrichtung. Sie gehört nicht als persönliche Strafrechtsschutznorm in Säule 3. Verteidigungskosten können versichert sein, die Bußgeldsumme häufig nicht. Ein Regress gegen Geschäftsleiter ist je nach Bußgeldart und Rechtslage streitig. Der BGH hat mit KZR 74/23 [R-KZR-74-23] dem EuGH Fragen zur Regressfähigkeit kartellrechtlicher Bußgelder vorgelegt; Stand dieser Prüffassung ist die Behandlung als Vorlage-/Klärungsfrage. Eine automatische Übertragung auf BSIG-, DSGVO [EU-DSGVO]- oder DORA-Bußgelder wäre unzulässig.

6.3 Verfahrens- und Konstellationslücken

Claims-made-Lücken entstehen bei Versichererwechsel, Nachmeldefristende, Run-Off-Verzicht und nicht gemeldeten Umständen. Mehrfachprozess-Lücken entstehen, wenn Cyber-Police, D&O, Strafrechtsschutz, Datenschutzbehörde, BSI, Kundenklagen und Aktionärsklagen parallel laufen. Aktionärsklagen nach § 148 AktG [N-AktG-148] können bei AGs zusätzliche Anspruchsverfolgung erzeugen. Die D&O kann reagieren, aber Koordination und Kosten können das Limit belasten.

§ 254 BGB-Mitverschulden der Einrichtung ist in der Innenhaftung nicht die einfache Rettung des Geschäftsführers. Wenn Aufsichtsrat oder Gesellschafter über Jahre Cyber nicht kontrolliert haben, kann das argumentativ relevant sein. Organpflichten der Geschäftsleitung verschwinden dadurch aber nicht. Die höchstrichterliche Anerkennung einer echten Quotelung wegen Organisationsmitverschuldens der Gesellschaft ist einzelfallabhängig und zurückhaltend zu behandeln.

6.4 CRA-Produkthaftungs- und Lieferantenlücken

Wenn der Cyber-Vorfall durch ein unsicheres digitales Produkt, eine fehlerhafte Softwarekomponente oder einen kompromittierten Dienstleister ausgelöst wurde, entstehen parallele Regressschienen. Die Cyber-Police kann den Eigenschaden regulieren und nach § 86 VVG [N-VVG-86] Ansprüche gegen Hersteller oder Dienstleister übernehmen. Die Geschäftsleitung kann trotzdem in Anspruch genommen werden, wenn Lieferantenrisiko, Patch-Prozess oder Vertragskontrolle unzureichend waren.

Die Cyber-Resilience-Act-Architektur und die Produkthaftungs-Richtlinie [EU-PHRL] 2024/2853 verschieben den Blick stärker auf Hersteller und Softwarelieferketten. Das ist hier bewusst nur eine forward-looking Supplier-Risk-Note: Nach der CRA [EU-CRA]-Zeitleiste gelten Meldepflichten bereits ab 11. September 2026, während die Hauptpflichten ab 11. Dezember 2027 greifen; die Produkthaftungs-Richtlinie ist bis 9. Dezember 2026 umzusetzen und erfasst die digitale Produktsicherheit einschließlich Software stärker. Für Anwenderunternehmen bleibt die eigene Steuerungspflicht. Ein Vertrag mit einem großen Cloud- oder Softwareanbieter ersetzt keine Risikoanalyse, kein Lieferantenmonitoring und keine Incident-Response-Planung.

6.5 Bank-, Kreditgeber- und B2B-Anforderungen außerhalb des Gesetzes

Viele Cyber-Anforderungen entstehen nicht direkt aus Gesetz, sondern aus Finanzierung und Lieferkette. In einzelnen Finanzierungen — besonders bei technologie-, daten-, OT-, Infrastruktur-, Energie- oder projektfinanzierungsnahen Risiken — können Kreditgeber Informationssicherheitszusagen, Versicherungsnachweise, Incident-Notification-Klauseln, Mindeststandards, Audit-Rechte oder MAC-/Covenant-Regelungen bei wesentlichen Cybervorfällen verlangen. MaRisk AT 7.2 wird hier nur als Beispiel für die Banken-/Institutslogik verwendet: Institute müssen ihre technisch-organisatorische Ausstattung an Geschäftsaktivitäten und Risikosituation ausrichten; in der Praxis übertragen Banken diesen Blick in Kredit-, Auslagerungs- und Lieferantenprüfungen. Für ein Institut selbst wären DORA [EU-DORA], MaRisk, BAIT-/Auslagerungsstand, EBA-Leitlinien und konkrete Aufsichtskommunikation getrennt zu prüfen.

Großkunden können in B2B-Verträgen, Ausschreibungen oder Supplier-Security-Questionnaires Cyber-Security-Anforderungen verlangen, etwa ISO 27001, TISAX, SOC 2, Penetrationstests, Schwachstellenmanagement, Meldefristen, Audit-Rechte, Subdienstleisterkontrolle, Verschlüsselung, MFA, Incident-Response oder Cyberversicherung. Diese Pflichten sind zivilrechtlich und branchen-, kunden- und vertragsabhängig. Verstößt ein Zulieferer dagegen, drohen Kündigung, Vertragsstrafe, Schadensersatz, Lieferstopp und Reputationsverlust. D&O- und Cyber-Versicherbarkeit werden dadurch faktisch beeinflusst: Wer Großkundenanforderungen systematisch nicht erfüllt, hat nicht nur Vertragsrisiko, sondern auch Underwriting- und Organhaftungsrisiko.

7. Versicherungssummen-Adequanz und Compliance als Versicherbarkeitsvoraussetzung

7.0 Die Meta-Kausalkette der Versicherbarkeit

Vor dem Schadenfall liegt eine fünfstufige Meta-Kausalkette. Erstens: Risikoanalyse. Das Unternehmen muss seinen Worst-Case-Cyber-Schaden modellieren: Wiederherstellung, Betriebsunterbrechung, Datenverlust, Drittschäden, Meldekosten, Lösegeld, Vertragsstrafen, Bußgeldverteidigung, Organregress, Auslandsverfahren. Zweitens: Compliance-Architektur. § 30 BSIG [N-BSIG-30], § 38 BSIG [N-BSIG-38] und Art. 32 DSGVO [EU-DSGVO] sowie — soweit jeweils anwendbar oder vertraglich einschlägig — DORA [EU-DORA], MaRisk, KI-VO [EU-KIVO] und Lieferkettenverträge müssen in Prozesse übersetzt werden. Drittens: Antrag. Nach § 19 VVG [N-VVG-19] müssen gefahrerhebliche Umstände vollständig und belegbar angezeigt werden. Viertens: Underwriting. Versicherer prüfen technische und organisatorische Reife, Schadenhistorie, Branche, Umsatz, Lieferketten, Cloud-Abhängigkeiten, Backup, MFA, EDR, SOC und Vorfallhistorie. Fünftens: Police. Erst hier entstehen Versicherungssumme, Sub-Limits, Selbstbehalte, Nachmeldefristen, Side-A/B/C-Struktur und Ausschlüsse.

§ 6 VVG ergänzt diese Architektur aus VN-Sicht, soweit die Norm anwendbar ist; bei Großrisiken und maklervermittelten Verträgen ist § 6 Abs. 1 bis 5 VVG nach § 6 Abs. 6 VVG nicht die richtige Pflichtschiene. Für die Geschäftsleitung bedeutet das nicht, dass sie eigene Angaben vernachlässigen darf. Unabhängig davon gehören Beratungsdokumentation, Maklerkommunikation und Versichererhinweise in die Versicherbarkeitsakte. Bei späterer Ablehnung können sie Beweiskarten sein.

7.1 Wie bestimme ich die richtige Versicherungssumme?

Die Versicherungssumme wird nicht aus Umsatzprozenten allein abgeleitet. Sie wird aus Szenarien abgeleitet. Für Cyber sind mindestens drei Szenarien zu rechnen: Ransomware mit Produktionsstillstand, Datenabfluss mit Massenbetroffenen und Lieferkettenkompromittierung mit Drittschäden. Für D&O ist zu rechnen: Innenhaftungsanspruch wegen Organisationsversagens, Bußgeldregressversuch, Aktionärs- oder Insolvenzverwalterklage, parallele Verteidigung mehrerer Organmitglieder.

Reine Szenariowerte ohne Marktquellenstatus können für die erste Diskussion so aussehen: kleine Familienunternehmen prüfen ein D&O-Szenario von 2 bis 5 Mio. Euro und ein Cyber-Schadenmodell von 0,5 bis 5 Mio. Euro; mittlere Unternehmen prüfen 10 bis 25 Mio. Euro D&O und 5 bis 30 Mio. Euro Cyber-Schadenmodell; hoher Mittelstand mit 200 bis 500 Mio. Euro Umsatz prüft 25 bis 50 Mio. Euro D&O und 30 bis 100 Mio. Euro Cyber-Schadenmodell; Konzerne prüfen 50 bis 200 Mio. Euro D&O plus Excess-Layer und Cyber-Worst-Cases deutlich oberhalb 100 Mio. Euro. Diese Zahlen sind keine Marktbehauptung und keine Empfehlung, sondern ausschließlich Rechenanker für Makler- und Anwaltssimulation; in Vorstandsvorlagen dürfen sie nur mit datierter Marktquelle, Termsheet oder AVB-/Layer-Auswertung als Marktwert erscheinen.

Bei BSIG-Bußgeldern sind zwei Ebenen zu modellieren. Erstens die absoluten Bußgeldrahmen, insbesondere bis zu 10 Mio. Euro für besonders wichtige Einrichtungen und bis zu 7 Mio. Euro für wichtige Einrichtungen in den einschlägigen Hauptfallgruppen. Zweitens die umsatzbezogenen Höchstgrenzen bei einem weltweiten Gesamtumsatz von mehr als 500 Mio. Euro nach § 65 Abs. 8 BSIG, nämlich bis zu 2 Prozent beziehungsweise 1,4 Prozent in den dafür erfassten Fallgruppen. Für hohen Mittelstand unterhalb der Umsatzschwelle sind die absoluten Rahmen deshalb kein Randdetail, sondern ein Versicherungssummen-, D&O-Regress- und Verteidigungskosten-Szenario. Das Bußgeld selbst ist nicht einfach versicherbar. Der Regressversuch gegen Geschäftsleiter und die Verteidigungskosten müssen aber in der D&O-Architektur bedacht werden.

7.2 Compliance-Dokumentation als doppelte Beweis-Säule

Die gleiche Dokumentation hilft an zwei Fronten. Gegen die Gesellschaft hilft sie, die Pflichtgemäßheit des Handelns darzulegen: Risikoberichte, Maßnahmenentscheidungen, Budgets, Schulungen, Abweichungsentscheidungen, Kontrollen, Wirksamkeitsprüfungen. Gegen den Versicherer hilft sie, Ausschlüsse abzuwehren: keine positive Kenntnis der konkret haftungsauslösenden Pflichtverletzung, keine grobe Fahrlässigkeit ohne Kontext, keine arglistige Antragsantwort, kein bewusstes Ignorieren.

Die Dokumentation muss entscheidungsorientiert sein. Eine Folie „Cyber ist wichtig“ hilft wenig. Ein Vorstandsbeschluss mit Risikoanalyse, Maßnahmen, Verantwortlichkeiten, Fristen, Budget und Wiedervorlage hilft. Ein Backup-Konzept ohne Restore-Test ist halbe Dokumentation. Ein Schulungsnachweis ohne Inhalt ist schwach. Eine CISO-Warnung ohne Geschäftsleitungsentscheidung bleibt gefährlich.

7.3 Anbieter, Prämien und Markt-Demut

Die v1.0 war bei Marktangaben zu offensiv. Namen, Prämienbänder und Sub-Limit-Spannen sind ohne konkretes Jahr, Segment, Risikoprofil, Maklerauswertung und AVB-Fassung nur eingeschränkt belastbar. Diese Fassung behandelt Marktangaben deshalb als Architekturhinweise, nicht als Empfehlung.

Im deutschen und europäischen Industrieversicherungsmarkt können große Mehrspartenversicherer, Specialty Carrier, Lloyd's-Märkte, Rückversicherer und Assekuradeure relevant sein. Ob ein Anbieter für ein konkretes Unternehmen geeignet ist, hängt aber von Branche, Umsatz, Internationalität, Schadenhistorie, Sicherheitsreife, Limit, Selbstbehalt, Sublimits, Sanktionsklausel, Panel-Dienstleistern, Claims-Handling, Layer-Struktur und Regime-Betroffenheit ab. Eine Namensliste ersetzt keine Ausschreibung.

Prämien für hohen Mittelstand hängen stark von Branche, Umsatz, Schadenhistorie, Sicherheitsreife, Limit, Selbstbehalt und Sub-Limits ab. Cyber-Prämien können bei schwacher Sicherheitslage stark steigen oder zu engeren Bedingungen führen. D&O-Prämien hängen zusätzlich von Bilanz, Insolvenzrisiko, Kapitalmarktbezug, Internationalität, M&A, Vorstandsstruktur und Claims-Historie ab. Seriöse Beschaffung vergleicht nicht nur Preis, sondern AVB-Klauseln, Vorschuss, Claims-Handling, Panel-Dienstleister, Sanktionsprozess und Layer-Architektur.

Anwalts-/Maklervorbehalt für Marktwerte: Konkrete Prämien, Mindestlimits, Sublimits, Selbstbehalte und Anbieterfähigkeit dürfen in einer Mandats- oder Vorstandsvorlage nur mit datierter Marktquelle, Maklerauswertung, Termsheet oder AVB-Anlage verwendet werden. Ohne diese Quelle ist nur eine Szenarioformulierung zulässig: „zu prüfen“, „marktabhängig“, „bedingungsabhängig“, „indikativ“. Das ist keine Schwäche des Textes, sondern eine notwendige Schutzmaßnahme gegen Scheingenauigkeit.

8. Zusammenspiel in typischen Schadenbildern

8.1 Ransomware mit Produktionsstillstand

Die Cyber-Police wird für Forensik, Wiederherstellung, Betriebsunterbrechung, Krisenkommunikation und gegebenenfalls Erpressungsdeckung aktiviert. Vor Lösegeldentscheidung läuft Sanktionsprüfung. Datenschutz wird geprüft, weil Verschlüsselung personenbezogener Daten eine Datenschutzverletzung sein kann. BSI-/BSIG- oder DORA-Meldungen werden je nach Einrichtung ausgelöst.

Die D&O wird relevant, wenn Aufsichtsrat, Gesellschafter oder Insolvenzverwalter behaupten, die Geschäftsleitung habe Patch-Management, Backup oder Schulung pflichtwidrig vernachlässigt. Strafrechtsschutz wird relevant, wenn Ermittlungs- oder OWiG-Verfahren wegen Aufsichtspflichtverletzung beginnen. Bei allen drei Policen ist die vorsorgliche Meldung oder Umstandsmeldung anhand der jeweiligen AVB sofort zu prüfen; keine Meldung ersetzt die andere.

8.2 Datenabfluss mit DSGVO-Massenbetroffenheit

Cyber-Police: Forensik, Meldung Art. 33 DSGVO [EU-DSGVO], Benachrichtigung Art. 34 DSGVO, Callcenter, Betroffenenkommunikation, Drittschadendeckung Art. 82 DSGVO. D&O: möglicher Vorwurf mangelnder Datenschutz- und Sicherheitsorganisation. Strafrechtsschutz/OWiG: persönliche Anhörung wegen Organisationsversagen oder spezialgesetzliche Verfahren. Besondere Gefahr: Sub-Limits für Datenschutzkosten und Drittschäden können niedriger sein als das Deckblatt.

8.3 Cloud-Ausfall oder Dienstleisterkompromittierung

Cyber-Police und Sach-/Betriebsunterbrechungspolicen können konkurrieren. DORA [EU-DORA] kann fachaufsichtliche Melde- und Kommunikationspflichten auslösen; B2B-, Bank- oder Lieferkettenverträge können daneben Kunden-, Banken- oder Vertragspartnerpflichten begründen. § 86 VVG [N-VVG-86] kann Regress gegen Dienstleister ermöglichen. Die D&O-Frage lautet: Wurde der Dienstleister sorgfältig ausgewählt, vertraglich gesteuert, überwacht und in Notfallpläne integriert?

8.4 Behördliches Verfahren ohne großen technischen Schaden

Auch ohne massiven Eigenschaden können Verfahren teuer werden. Eine Behörde kann mangelhafte Dokumentation, verspätete Meldung oder unzureichende Maßnahmen beanstanden. Cyber-Police kann Verteidigungs- und Beratungskosten decken, D&O kann bei späterem Regress relevant werden, Strafrechtsschutz bei persönlicher Anhörung. Hier zeigt sich, dass Versicherungsarchitektur nicht erst beim verschlüsselten Server beginnt.

9. Was die drei Säulen nicht leisten

Die drei Policen sind kein Ersatz für Resilienz. Sie ersetzen keine MFA, keine Backups, keine Patches, keine Schulungen, keinen CISO und keine Geschäftsleitungsaufsicht. Sie kompensieren ausgewählte finanzielle Folgen unter Bedingungen.

Nicht oder nur begrenzt gedeckt sind Reputationsverlust, Managementzeit, verlorenes Vertrauen, Kundenabwanderung, Vertragsverluste, Finanzierungskonditionen, Tätigkeitsverbote, Inhabilität, strategischer Marktverlust, bestimmte Bußgelder, vorsätzliche Pflichtverletzungen, sanktionsrechtswidrige Zahlungen, nicht gemeldete bekannte Umstände, Schäden außerhalb der Versicherungsperiode und Schäden oberhalb der Versicherungssumme.

Besonders tückisch ist der Privatvermögensanteil oberhalb der D&O-Summe. Organhaftung ist keine symbolische Haftung. Wenn ein Innenhaftungsanspruch rechtskräftig über 80 Mio. Euro besteht und D&O nur 25 Mio. Euro leistet, bleibt der Rest nicht abstrakt. Er trifft die haftenden Personen nach gesellschaftsrechtlicher Gesamtschuld, Innenausgleich und Vollstreckungsrealität. Selbst wenn Vergleiche üblich sind, darf die Versicherungssummenentscheidung nicht auf Vergleichshoffnung gebaut werden.

10. Bank-, Kreditgeber- und Lieferkettenanforderungen als faktische Versicherbarkeitsarchitektur

Cyber-Anforderungen wandern über Verträge besonders in relevante Finanzierungs- und Lieferkettenbeziehungen. Kreditgeber können in der Kreditprüfung nach Cyber-Resilienz fragen, weil ein Cyber-Vorfall Liquidität, Sicherheiten, Covenants und Fortführungsprognose trifft. Großkunden können nach Cyber-Standards fragen, weil Zulieferausfall ihre eigene Lieferkette trifft. Versicherer fragen nach ähnlichen Punkten, weil sie das technische Risiko zeichnen müssen.

Dadurch entsteht ein Dreieck: Gesetzliche Compliance, Finanzierungsfähigkeit und Versicherbarkeit. Ein Unternehmen, das § 30 BSIG [N-BSIG-30] erfüllt, hat bessere Unterlagen für den Versicherer. Ein Unternehmen, das seine Cyber-Police sauber beantragt, hat bessere Unterlagen für Banken. Ein Unternehmen, das B2B-Cyber-Klauseln erfüllt, reduziert Lieferketten- und D&O-Risiko. Umgekehrt wirkt eine Lücke mehrfach: fehlende Restore-Tests können Versicherungsobliegenheit, Kundenvertragsverstoß, Bank-Covenant-Risiko und Organpflichtverletzung zugleich sein.

Die Geschäftsleitung sollte deshalb eine einheitliche Cyber-Assurance-Akte aufbauen. Inhalt: NIS-2/BSIG-Mapping, DSGVO [EU-DSGVO]-Art.-32-Mapping, DORA [EU-DORA]/KI-VO [EU-KIVO]-Sonderpflichten, ISO/TISAX/SOC-Nachweise, Schulungsnachweise, Patch- und Backup-Protokolle, Incident-Response-Tests, Lieferantenbewertungen, Versicherungsanträge, Maklerkorrespondenz, Bankanforderungen und Kundenklauseln. Diese Akte ist die Brücke zwischen Recht, Versicherung und Finanzierung.

11. Praktische Architektur-Checkliste für die Geschäftsleitung

Erstens: Drei Säulen getrennt abbilden, deckungsrechtlich prüfen und gemeinsam testen. D&O, Cyber und Strafrechtsschutz müssen jeweils transparent zugeordnete Limits, Selbstbehalte, Trigger, Ausschlüsse, Vorschussregeln und Meldestellen haben; ob dies über separate Policen oder Bausteine geschieht, ist bedingungsabhängig. Zweitens: AVB-Vergleich nicht delegieren, sondern entscheidungsreif vorbereiten lassen. Die fünf kritischen Klauseln — Wissentlichkeit, versicherte Person, Pflichtverletzung, Serienschaden, Subsidiarität — gehören in jede Vorstandsvorlage. Drittens: Antrag als Beweisakte behandeln. Jede Antwort muss belegbar sein. Viertens: Run-Off und Nachmeldung bei Wechseln oder Ausscheiden regeln. Fünftens: 72-Stunden-Plan mit Policen und Regime-Matrix testen. Ein Tabletop ohne Datenschutz-, BSIG-/DORA-, Versicherer- und Strafverteidigungs-Meldewege ist unvollständig.

Sechstens: Sub-Limits simulieren. Nicht „50 Mio. Cyber“ berichten, sondern Worst-Case je Baustein. Siebtens: Sanktionsprüfung für Lösegeld vorab definieren. Achtens: Strafverteidigung unabhängig organisieren. Neuntens: Konzernlimits und Tochterkonflikte prüfen. Zehntens: Banken- und Kundenanforderungen in dieselbe Governance-Akte integrieren. Elftens: Aufsichtsrat einbinden. Zwölftens: jährlich aktualisieren, weil Bedrohungslage, Recht und Marktbedingungen dynamisch bleiben.

12. Kurzantworten auf die 27 Lese-Fragen

1. Eine einzelne Police reicht nicht, weil D&O, Cyber und Strafrechtsschutz unterschiedliche Personen, Schäden und Verfahren abdecken.
2. D&O schützt die persönliche zivilrechtliche Organhaftung; Cyber schützt Eigenschäden und Drittschäden der Einrichtung; Strafrechtsschutz schützt persönliche Verteidigungskosten.
3. Lücken entstehen bei Limits, Sub-Limits, Nachmeldefristen, Bußgeldern, Tätigkeitsverboten, Reputationsschäden, Sanktionen und Mehrfachverfahren.
4. Wichtig sind Wissentlichkeit, Vorsatz, vorsätzliche Schadenherbeiführung, Mindeststandardverletzung, Sanktions- und War-Exclusions.
5. BGH IV ZR 66/25 ist kein NIS-2-Schulungsurteil, aber eine D&O-Warnung: Allgemeines Pflichtwissen genügt nicht automatisch für den Wissentlichkeitsausschluss; entscheidend ist die konkrete haftungsauslösende Pflichtverletzung.
6. In Insolvenz läuft der D&O-Zugriff typischerweise über §§ 43 bis 45 VVG, § 47 VVG, § 108 Abs. 2 VVG, Abtretung, AVB-Verfügungsbefugnis, Side A und Nachmeldefristen; § 110 VVG ist nicht die Fremdrechnungsnorm und nicht die Haupttür bei bloßer Insolvenz der Gesellschaft.
7. § 93 Abs. 2 Satz 3 AktG verlangt den gesetzlichen Mindestselbstbehalt für Vorstands-D&O; § 116 AktG nimmt diesen Satz für Aufsichtsräte ausdrücklich aus. GmbH-Geschäftsführer haben keine identische gesetzliche GmbHG-Pflicht.
8. Lösegeld kann nur bei Erpressungsdeckung und nach Sanktionsprüfung versicherbar sein; sanktionsrechtswidrige Zahlungen sind nicht freigegeben.
9. NIS-2-/BSIG-Compliance ist kein Versicherungsschutz, aber faktische Underwriting-, Obliegenheits- und Organhaftungsgrundlage.
10. Strafrechtsschutz lohnt sich, sobald persönliche OWiG-/StGB-Verfahren plausibel sind; bei Geschäftsleitern regulierter Einrichtungen ist er Teil der Grundarchitektur.
11. Claims-made bedeutet: Anspruchserhebung triggert D&O, nicht historische Pflichtverletzung; Nachmeldung und Run-Off sind entscheidend.
12. Bedingungswerke unterscheiden sich besonders bei Wissentlichkeit, versicherter Person, Pflichtverletzung, Serienschaden, Subsidiarität, Nachmeldefrist und Insolvenz-/Change-of-Control-Klauseln.
13. Konsortialführer steuern Primärschichten; Mitversicherer und Excess-Layer können eigene Klauseln und Lücken erzeugen.
14. Anbieter und Prämien sind marktdynamisch; konkrete Marktwerte gehören nur mit datierter Makler-/Termsheetsquelle in eine Vorstandsvorlage.
15. Nicht oder nur begrenzt gedeckt sind Reputationsverlust jenseits Baustein, Tätigkeitsverbot, Vertragsverluste, Bußgeldsumme, Geldstrafe, Sanktionen und Schäden oberhalb der Summe.
16. Versicherungssumme wird aus Worst-Case-Szenarien bestimmt, nicht aus Bauchgefühl.
17. Die Lücke zwischen Verjährung und Nachmeldefrist wird durch Run-Off, Anschlussdeckung oder verlängerte Nachmeldefrist geschlossen.
18. Konzern-D&O bietet Einheitlichkeit, Tochterpolicen dedizierte Limits; Konflikte entstehen bei Summe, Mutter-Tochter-Ansprüchen und versicherten Personen.
19. Kürzung/Leistungsfreiheit kann über § 28 und § 81 VVG entstehen; § 28 setzt eine vertragliche Obliegenheit voraus, § 81 betrifft Herbeiführung des Versicherungsfalls.
20. Mehrfachversicherung wird über §§ 78, 79 VVG und AVB-Subsidiarität koordiniert; bei allen potentiell einschlägigen Policen sind AVB-Fristen, Vorsorgemeldung und Subsidiaritätsklauseln sofort zu prüfen.
21. Sub-Limits können Deckung drastisch reduzieren, etwa bei Erpressung, Betriebsunterbrechung, Drittschäden, Datenschutzkosten, Krisenkommunikation und Bußgeldverteidigung.
22. § 254 BGB-Mitverschulden kann im Haftungsprozess relevant sein, entlastet Organmitglieder aber nicht pauschal von Organisationspflichten.
23. §§ 19, 21 VVG machen falsche oder unvollständige Anträge zu einem zentralen Ablehnungsrisiko; Arglist ist besonders hart.
24. Versicherungsnehmer/versicherte Person beweisen grundsätzlich den Versicherungsfall; der Versicherer beweist Ausschlussvoraussetzungen.
25. Side A schützt die Person, Side B erstattet die Gesellschaft, Side C schützt die Gesellschaft bei bestimmten Claims.
26. Vorschuss für Strafverteidigung ist bedingungsabhängig und muss vor der Akutphase geprüft werden; Rückforderung bei Vorsatzverurteilung ist möglich.
27. Bank-, Kreditgeber- und B2B-Cyber-Anforderungen wirken faktisch auf Finanzierung, Kundenbeziehungen und Versicherbarkeit, auch wenn sie nicht immer unmittelbar gesetzliche Pflichten sind.

13. Quellen

Der Quellenapparat ordnet die im Text mit sichtbaren Quellenankern gekennzeichneten Belege den amtlichen Fundstellen zu. Die Anker stehen bei der ersten tragenden Nennung pro Abschnitt und springen auf den jeweiligen Eintrag in diesem Apparat.

13.1 Nationale Normen

• [N-BSIG-30] § 30 BSIG — Risikomanagementmaßnahmen. Fundstelle: https://www.gesetze-im-internet.de/bsig_2025/__30.html
• [N-BSIG-32] § 32 BSIG — Meldepflichten / Meldekaskade. Fundstelle: https://www.gesetze-im-internet.de/bsig_2025/__32.html
• [N-BSIG-33] § 33 BSIG — Registrierungspflicht. Fundstelle: https://www.gesetze-im-internet.de/bsig_2025/__33.html
• [N-BSIG-38] § 38 BSIG — Geschäftsleitungspflichten (Umsetzen, Überwachen, Schulen). Fundstelle: https://www.gesetze-im-internet.de/bsig_2025/__38.html
• [N-BSIG-61] § 61 BSIG — Aufsicht besonders wichtiger Einrichtungen; Krankenhaus-Schonfrist (Abs. 3 S. 5), Leitungsuntersagung (Abs. 9). Fundstelle: https://www.gesetze-im-internet.de/bsig_2025/__61.html
• [N-BSIG-62] § 62 BSIG — Aufsicht wichtiger Einrichtungen. Fundstelle: https://www.gesetze-im-internet.de/bsig_2025/__62.html
• [N-BSIG-65] § 65 BSIG — Bußgeldvorschriften. Fundstelle: https://www.gesetze-im-internet.de/bsig_2025/__65.html
• [N-OWiG-9] § 9 OWiG — Handeln für einen anderen. Fundstelle: https://www.gesetze-im-internet.de/owig_1968/__9.html
• [N-OWiG-30] § 30 OWiG — Geldbuße gegen juristische Personen und Personenvereinigungen. Fundstelle: https://www.gesetze-im-internet.de/owig_1968/__30.html
• [N-OWiG-130] § 130 OWiG — Verletzung der Aufsichtspflicht. Fundstelle: https://www.gesetze-im-internet.de/owig_1968/__130.html
• [N-GmbHG-43] § 43 GmbHG — Haftung der Geschäftsführer. Fundstelle: https://www.gesetze-im-internet.de/gmbhg/__43.html
• [N-AktG-90] § 90 AktG — Berichte an den Aufsichtsrat. Fundstelle: https://www.gesetze-im-internet.de/aktg/__90.html
• [N-AktG-93] § 93 AktG — Sorgfaltspflicht und Verantwortlichkeit des Vorstands. Fundstelle: https://www.gesetze-im-internet.de/aktg/__93.html
• [N-AktG-111] § 111 AktG — Aufgaben und Rechte des Aufsichtsrats. Fundstelle: https://www.gesetze-im-internet.de/aktg/__111.html
• [N-AktG-116] § 116 AktG — Sorgfaltspflicht und Verantwortlichkeit der Aufsichtsratsmitglieder. Fundstelle: https://www.gesetze-im-internet.de/aktg/__116.html
• [N-AktG-148] § 148 AktG — Klagezulassungsverfahren. Fundstelle: https://www.gesetze-im-internet.de/aktg/__148.html
• [N-InsO-15b] § 15b InsO — Zahlungen nach Eintritt der Insolvenzreife. Fundstelle: https://www.gesetze-im-internet.de/inso/__15b.html
• [N-TKG-165] § 165 TKG — technische und organisatorische Schutzmaßnahmen. Fundstelle: https://www.gesetze-im-internet.de/tkg_2021/__165.html
• [N-EnWG-5c-5e] §§ 5c bis 5e EnWG — IT-Sicherheit, Melde- und Leitungspflichten Energie. Fundstelle: https://www.gesetze-im-internet.de/enwg_2005/
• [N-VVG-19] § 19 VVG — Anzeigepflicht. Fundstelle: https://www.gesetze-im-internet.de/vvg_2008/__19.html
• [N-VVG-21] § 21 VVG — Ausübung der Rechte des Versicherers. Fundstelle: https://www.gesetze-im-internet.de/vvg_2008/__21.html
• [N-VVG-28] § 28 VVG — Verletzung einer vertraglichen Obliegenheit. Fundstelle: https://www.gesetze-im-internet.de/vvg_2008/__28.html
• [N-VVG-43] § 43 VVG — Begriffsbestimmung Versicherung für fremde Rechnung. Fundstelle: https://www.gesetze-im-internet.de/vvg_2008/__43.html
• [N-VVG-44] § 44 VVG — Rechte des Versicherten. Fundstelle: https://www.gesetze-im-internet.de/vvg_2008/__44.html
• [N-VVG-45] § 45 VVG — Rechte des Versicherungsnehmers. Fundstelle: https://www.gesetze-im-internet.de/vvg_2008/__45.html
• [N-VVG-47] § 47 VVG — Kenntnis und Verhalten des Versicherten. Fundstelle: https://www.gesetze-im-internet.de/vvg_2008/__47.html
• [N-VVG-81] § 81 VVG — Herbeiführung des Versicherungsfalles. Fundstelle: https://www.gesetze-im-internet.de/vvg_2008/__81.html
• [N-VVG-86] § 86 VVG — Übergang von Ersatzansprüchen. Fundstelle: https://www.gesetze-im-internet.de/vvg_2008/__86.html
• [N-VVG-100] § 100 VVG — Leistung des Versicherers (Haftpflicht). Fundstelle: https://www.gesetze-im-internet.de/vvg_2008/__100.html
• [N-VVG-103] § 103 VVG — Herbeiführung des Versicherungsfalles (Haftpflicht). Fundstelle: https://www.gesetze-im-internet.de/vvg_2008/__103.html
• [N-VVG-108] § 108 VVG — Verfügung über den Freistellungsanspruch. Fundstelle: https://www.gesetze-im-internet.de/vvg_2008/__108.html
• [N-VVG-110] § 110 VVG — Insolvenz des Versicherungsnehmers. Fundstelle: https://www.gesetze-im-internet.de/vvg_2008/__110.html
• [N-VVG-215] § 215 VVG — Gerichtsstand. Fundstelle: https://www.gesetze-im-internet.de/vvg_2008/__215.html
• [N-StGB-266] § 266 StGB — Untreue. Fundstelle: https://www.gesetze-im-internet.de/stgb/__266.html
• [N-ZPO-287] § 287 ZPO — Schadensermittlung, Höhe der Forderung. Fundstelle: https://www.gesetze-im-internet.de/zpo/__287.html
• [N-GmbHG-46] § 46 GmbHG — Aufgabenkreis der Gesellschafter (u. a. Nr. 8: Geltendmachung von Ersatzansprüchen gegen Geschäftsführer; Nr. 5: Entlastung). Fundstelle: https://www.gesetze-im-internet.de/gmbhg/__46.html
• [N-VVG-11] § 11 VVG — Verlängerung, Kündigung (Mindestkündigungsfrist Abs. 1 und 3). Fundstelle: https://www.gesetze-im-internet.de/vvg_2008/__11.html
• [N-BGB-307] § 307 BGB — Inhaltskontrolle Allgemeiner Geschäftsbedingungen. Fundstelle: https://www.gesetze-im-internet.de/bgb/__307.html

13.2 EU-Recht

• [EU-DORA] Verordnung (EU) 2022/2554 (DORA). Fundstelle: https://eur-lex.europa.eu/eli/reg/2022/2554/oj
• [EU-KIVO] Verordnung (EU) 2024/1689 (KI-Verordnung). Fundstelle: https://eur-lex.europa.eu/eli/reg/2024/1689/oj
• [EU-CRA] Verordnung (EU) 2024/2847 (Cyberresilienz-Verordnung, CRA). Fundstelle: https://eur-lex.europa.eu/eli/reg/2024/2847/oj
• [EU-DSGVO] Verordnung (EU) 2016/679 (DSGVO); deutsche Berichtigungen ABl. L 314 vom 22.11.2016, ABl. L 127 vom 23.5.2018 und ABl. L 74 vom 4.3.2021 (konsolidierte Fassung CELEX 02016R0679). Fundstelle: https://eur-lex.europa.eu/eli/reg/2016/679/oj
• [EU-PHRL] Richtlinie (EU) 2024/2853 (Produkthaftungs-Richtlinie), ABl. L 2024/2853 vom 18.11.2024. Fundstelle: https://eur-lex.europa.eu/eli/dir/2024/2853/oj
• [EU-DORA-DR-2025-301] Delegierte Verordnung (EU) 2025/301 der Kommission vom 23.10.2024 (RTS: Inhalt und Fristen der Erst-, Zwischen- und Abschlussmeldung schwerwiegender IKT-bezogener Vorfälle), ABl. L, 2025/301, 20.2.2025. Fundstelle: https://eur-lex.europa.eu/eli/reg_del/2025/301/oj (ergänzende Quelle, im Body nicht eigens verankert)
• [EU-DORA-IR-2025-302] Durchführungsverordnung (EU) 2025/302 der Kommission vom 23.10.2024 (ITS: Standardformulare, Vorlagen und Verfahren für die Meldung schwerwiegender IKT-bezogener Vorfälle), ABl. L, 2025/302, 20.2.2025. Fundstelle: https://eur-lex.europa.eu/eli/reg_impl/2025/302/oj (ergänzende Quelle, im Body nicht eigens verankert)

13.3 Rechtsprechung

• [R-ARAG] BGH, Urteil vom 21.04.1997 — II ZR 175/95 — BGHZ 135, 244 — ARAG/Garmenbeck. Fundstelle: https://www.bundesgerichtshof.de/
• [R-II-ZR-78-24] BGH, Urteil vom 14.10.2025 — II ZR 78/24 — ECLI:DE:BGH:2025:141025UIIZR78.24.1. Fundstelle: https://www.bundesgerichtshof.de/
• [R-IV-ZR-66-25] BGH, Urteil vom 19.11.2025 — IV ZR 66/25 — ECLI:DE:BGH:2025:191125UIVZR66.25.0. Fundstelle: https://www.bundesgerichtshof.de/
• [R-II-ZR-140-20] BGH, Beschluss vom 22.06.2021 — II ZR 140/20 — ECLI:DE:BGH:2021:220621BIIZR140.20.0. Fundstelle: https://www.bundesgerichtshof.de/
• [R-Neubuerger] LG München I, Urteil vom 10.12.2013 — 5 HK O 1387/10 — Siemens/Neubürger (nicht rechtskräftig; ECLI im amtlichen Entscheidungsumdruck nicht ausgewiesen). Fundstelle: amtlicher Volltext (Bibliothek); Parallelfundstelle NZG 2014, 345.
• [R-OLG-Nbg] OLG Nürnberg, Endurteil vom 30.03.2022 — 12 U 1520/19 (ECLI im amtlichen Entscheidungsumdruck nicht ausgewiesen). Fundstelle: amtlicher Volltext (Bibliothek).
• [R-EuGH-C-200-23] EuGH, Urteil vom 04.10.2024 — C-200/23 — ECLI:EU:C:2024:827. Fundstelle: https://eur-lex.europa.eu/legal-content/DE/TXT/?uri=CELEX:62023CJ0200
• [R-IV-ZR-304-13] BGH, Urteil vom 13.04.2016 — IV ZR 304/13 — ECLI:DE:BGH:2016:130416UIVZR304.13.0 (D&O-Innenhaftung/Abtretung). Fundstelle: https://www.bundesgerichtshof.de/
• [R-IV-ZR-51-14] BGH, Urteil vom 13.04.2016 — IV ZR 51/14 — ECLI:DE:BGH:2016:130416UIVZR51.14.0 (D&O-Innenhaftung). Fundstelle: https://www.bundesgerichtshof.de/
• [R-IV-ZR-360-15] BGH, Urteil vom 05.04.2017 — IV ZR 360/15 — ECLI:DE:BGH:2017:050417UIVZR360.15.0 (D&O, Versicherung für fremde Rechnung). Fundstelle: https://www.bundesgerichtshof.de/
• [R-IV-ZR-110-19] BGH, Urteil vom 04.03.2020 — IV ZR 110/19 — ECLI:DE:BGH:2020:040320UIVZR110.19.0 (D&O, Verfügungsbefugnis). Fundstelle: https://www.bundesgerichtshof.de/
• [R-IV-ZR-151-23] BGH, Urteil vom 18.12.2024 — IV ZR 151/23 — ECLI:DE:BGH:2024:181224UIVZR151.23.0 — OLG Frankfurt am Main (D&O-Versicherung, AVB-Auslegung). Fundstelle: https://www.bundesgerichtshof.de/
• [R-EuGH-C-687-21] EuGH (Dritte Kammer), Urteil vom 25.01.2024 — C-687/21 — ECLI:EU:C:2024:72 (MediaMarktSaturn; Art. 82 DSGVO, Schaden und Kausalität). Fundstelle: https://eur-lex.europa.eu/legal-content/DE/TXT/?uri=CELEX:62021CJ0687
• [R-VI-ZR-10-24] BGH, Urteil vom 18.11.2024 — VI ZR 10/24 — ECLI:DE:BGH:2024:181124UVIZR10.24.0 (Facebook-Scraping; bloßer und kurzzeitiger Kontrollverlust als möglicher immaterieller Schaden). Fundstelle: https://www.bundesgerichtshof.de/
• [R-KZR-74-23] BGH, Beschluss vom 11.02.2025 — KZR 74/23 — ECLI:DE:BGH:2025:110225BKZR74.23.0 (Vorlage an den EuGH zur Regressfähigkeit kartellrechtlicher Bußgelder; berichtigt durch Beschluss vom 02.07.2025). Fundstelle: https://www.bundesgerichtshof.de/
• [R-EuGH-C-347-25] EuGH — anhängiges Vorabentscheidungsersuchen C-347/25 (noch kein Urteils-ECLI — anhängig) (Zapp; Vorlage des BGH aus KZR 74/23, eingereicht am 22.05.2025), ABl. C/2025/4437 vom 18.8.2025. Fundstelle: https://eur-lex.europa.eu/legal-content/DE/TXT/?uri=CELEX:62025CN0347 (ergänzende Quelle, im Body nicht eigens verankert)

13.4 Behörden und amtliche Praxis

• [B-BAFIN] BaFin — Aufsicht über DORA-Finanzunternehmen. Fundstelle: https://www.bafin.de/ (ergänzende Quelle, im Body nicht eigens verankert)
• [B-BSI] Bundesamt für Sicherheit in der Informationstechnik (BSI) — FAQ zu NIS-2, Betroffenheitsprüfung, MUK-Portal, Registrierung/Meldung. Fundstelle: https://www.bsi.bund.de/DE/Themen/Regulierte-Wirtschaft/NIS-2-regulierte-Unternehmen/ (ergänzende Quelle, im Body nicht eigens verankert)

13.5 Markt, AVB, Versicherer und Banken

• [M-AVB-OFFEN] Markt-, AVB-, Versicherer-, Banken- und Termsheet-Aussagen sind bewusst nicht als allgemeiner Marktstandard freigegeben. Sie sind bedingungs-, marktstands- und einzelfallabhängig und ersetzen keine konkrete AVB-, Policen- oder Termsheet-Prüfung und keine Deckungszusage.

13.6 Prüfstatus und Schlusssatz

Maßgeblich sind die amtlichen deutschen Gesetzesfassungen (gesetze-im-internet.de) beziehungsweise die konsolidierten EU-Fassungen (EUR-Lex) sowie für Rechtsprechung die amtlichen Volltexte und Leitsätze.

14. CyberSchutzEngel-Hinweis

Plattes Group bietet im Rahmen des CyberSchutzEngel-Pakets eine begleitende Architektur-Beratung zu D&O-, Cyber- und Strafrechtsschutz-Versicherung sowie zur Compliance-Dokumentation als Versicherbarkeitsgrundlage an.