Die Cyber-Police: Eigenschäden, Betriebsunterbrechung und Erpressungsdeckung

1. Worum es geht — First-Party, Cyber-Haftpflicht und Directors-and-Officers-Versicherung sauber trennen

Deckung hängt vom Vertrag ab.

Dieser Artikel beschreibt Prüfmechaniken. Ob eine konkrete Cyber-Police leistet, ergibt sich aus Antrag, Annahme, Versicherungsschein, Nachträgen, Individualvereinbarungen, besonderen Bedingungen, Allgemeinen Versicherungsbedingungen, Ausschlüssen und dem festgestellten Sachverhalt.

Eine Cyber-Police kann mehrere rechtlich verschiedene Schutzrichtungen bündeln. Für die Geschäftsleitung ist deshalb die erste Frage nicht: „Ist Cyber versichert?“ Die erste Frage lautet: Wessen Schaden oder Haftungsrisiko soll welcher Baustein tragen?

Grundbegriffe für die weitere Prüfung: First-Party- oder Eigenschaden-Deckung betrifft eigene Schäden und Kosten des versicherten Unternehmens. Ein Versicherungsfall ist das im Vertrag definierte Ereignis, an das die Leistung anknüpft. Eine Deckungsvoraussetzung muss für den Primäranspruch erfüllt sein. Ein Ausschluss nimmt einen an sich erfassten Sachverhalt wieder aus. Eine Obliegenheit ist eine vertragliche oder gesetzliche Verhaltensanforderung, deren Verletzung eigene Rechtsfolgen haben kann. Ein Sublimit begrenzt eine Teildeckung; eine Jahreshöchstentschädigung oder ein Jahresaggregat begrenzt nach dem Vertragswortlaut die Gesamtleistung einer Versicherungsperiode. Eine Serienschadenklausel kann mehrere Ereignisse für Selbstbeteiligung, Limit und zeitliche Zuordnung zusammenfassen.

Kosten- und Leistungsbegriffe: Schadenabwendungs- und Schadenminderungskosten entstehen im gesetzlichen §-82-Pfad durch Maßnahmen zur Abwendung oder Minderung eines Schadens bei oder nach Eintritt des Versicherungsfalls. Schadensermittlungskosten dienen der Ermittlung oder Feststellung eines vom Versicherer zu ersetzenden Schadens. Wiederherstellung meint die vertraglich erfasste Rückführung oder Rekonstruktion von Systemen oder Daten. Verbesserung erhöht Funktion oder Sicherheitsniveau über den maßgeblichen früheren Zustand hinaus. Betriebsunterbrechung bezeichnet die vertraglich relevante Beeinträchtigung des Betriebs. Mehrkosten sind zusätzliche Aufwendungen, die eine Unterbrechung vermeiden, verkürzen oder ihre Folgen mindern sollen.

Eine zeitliche Selbstbeteiligung ordnet dem Versicherungsnehmer nach der Klausel einen Zeitraum oder Zeitanteil zu. Eine Karenz- oder Wartezeit kann je nach Wortlaut einen unentschädigten Anfangszeitraum, eine Auslöseschwelle oder eine Mischform bezeichnen. Eine Auslöseschwelle oder Franchise ist eine Mindestdauer oder sonstige Schwelle, von deren Erreichen die Leistung abhängen kann. Eine monetäre Selbstbeteiligung ist ein Geldbetrag oder Prozentsatz, den der Versicherungsnehmer nach der Klausel selbst trägt. Die Haftzeit begrenzt die berücksichtigte Dauer eines Unterbrechungsschadens; sie ist nicht die Versicherungsperiode. Eine Cyber-Erpressungsdeckung ist ein vertraglich vereinbarter Leistungs- oder Kostenpfad für eine Droh- oder Erpressungslage. Regress bezeichnet den Rückgriff auf einen ersatzpflichtigen Dritten, insbesondere nach dem gesetzlichen Forderungsübergang des § 86 VVG.

Die Gesamtarchitektur der drei Versicherungssäulen steht in Cyber-Versicherungs-Architektur. A5-03 behandelt die Police, aus der eigene Schäden und Kosten der Gesellschaft versichert sein können. Die D&O-Versicherung schützt nicht den eigenen Betriebsunterbrechungsschaden der Gesellschaft. Umgekehrt ersetzt ein Eigenschadenbaustein nicht die persönliche Organhaftpflichtdeckung.

Der First-Party-Teil lässt sich für die praktische Prüfung in drei Arbeitsfelder gliedern:

Was dieser Artikel beantwortet: Wie wird ein First-Party-Anspruch strukturiert geprüft, welche Kostenklassen sind zu trennen, welche gesetzlichen Rechtsfolgen können eingreifen und welche Unterlagen braucht die Schadenbearbeitung?

Was er nicht entscheidet: Ob in einem konkreten Fall gezahlt werden darf, ob ein bestimmter Versicherer endgültig leisten muss oder ob eine Organperson haftet. Die Lösegeldentscheidung steht in Lösegeld — ja oder nein?.

Die Leitfrage lautet daher nicht „Zahlt die Cyber-Police?“, sondern:

Welcher Vertragsteil reagiert auf welchen Rechtsträger, welches Ereignis, welche Kostenposition und welchen Zeitraum — und welche nachgelagerte Rechtsfolge kann den Anspruch verändern?

2. Deckung zuerst — Rechtswahl-Gate, vierstufige Eintrittsschleuse und gesetzlicher Rahmen

Es gibt kein eigenständiges gesetzliches „Cyber-Versicherungsrecht“. Das Versicherungsvertragsgesetz liefert allgemeine Regeln für Vertragsschluss, Prämie, Anzeige, Obliegenheiten, Schadenminderung, Kosten, Regress und Entschädigung. Den primären Deckungsumfang definiert der Vertrag.[Q1]

Deutsches Recht ist der Arbeitsrahmen — bei Auslandsbezug gilt ein Stop-Gate

Dieser Artikel erläutert Verträge, auf die deutsches Recht und das Versicherungsvertragsgesetz anwendbar sind. Ein weltweiter territorialer Deckungsbereich beweist nicht, dass deutsches Vertragsrecht gilt.

Stop-Gate bei internationalem Bezug: Vor einer deutschen VVG-Rechtsfolge sind Rechtswahl, objektives Vertragsstatut, zwingende Vorschriften, Risikobelegenheit, betroffener Rechtsträger, Programmebene und zuständiger Versicherer zu klären. Gerichtsstand und Schiedsweg werden parallel, aber getrennt für Streitführung, Zustellung und Vollstreckung geprüft.

Bei einem internationalen Programm bezeichnet die Master-Police den übergeordneten Vertrag; eine Local-Police ist der lokale Vertrag. Difference in Conditions und Difference in Limits sollen nach ihrem Wortlaut Bedingungs- beziehungsweise Limitdifferenzen schließen. Mit Financial-Interest-Deckung ist hier eine vertragliche Gestaltung gemeint, die an das Vermögensinteresse einer Muttergesellschaft anknüpft. Diese Strukturen sind nicht austauschbar und werden nur bei tatsächlichem Programmbezug aktiviert.

Eine Captive ist hier ein konzernangehöriger Versicherer. Fronting bezeichnet die Einschaltung eines lokal zugelassenen Versicherers, der das Risiko nach der Programmstruktur ganz oder teilweise weitergibt.

Run-off bezeichnet hier die Abwicklung fortbestehender Deckung nach Vertragsende oder nach dem Ausscheiden eines Rechtsträgers.

Internationaler Bezug

→ Rechtswahl und objektives Vertragsstatut

→ zwingende Vorschriften und Risikobelegenheit

→ Programm-, Rechtsträger-, Versicherer- und Anspruchsebene

→ bei deutschem Vertragsstatut: VVG-Prüfung; sonst ausländischer Rechtspfad

→ parallel für Streitweg, Zustellung und Vollstreckung: staatliche Zuständigkeit, Gerichtsstandsvereinbarung oder Schiedsvereinbarung.

Artikel 7 der Rom-I-Verordnung enthält Sonderregeln für Versicherungsverträge, gilt aber nicht für Rückversicherungsverträge. Deren Vertragsstatut folgt den allgemeinen Rom-I-Regeln; auf den Rückversicherungsvertrag ist das VVG nach § 209 VVG nicht anwendbar.[Q2][Q3] Vertragsstatut, territorialer Deckungsbereich und internationale Zuständigkeit bleiben getrennte Fragen.[Q22][Q28]

Nur bei tatsächlichem Programmbezug: Zusätzlich sind Master- und Local-Police, Difference-in-Conditions-, Difference-in-Limits-, Financial-Interest- und Fronting-Mechaniken zuzuordnen. Die Rolle einer Captive ist als Direktversicherer, Fronting-Beteiligte oder Rückversicherer festzustellen. Ein unmittelbarer Anspruch gegen einen Rückversicherer benötigt eine eigene Anspruchsgrundlage. Führender Versicherer, Mitversicherer und der enge Lloyd’s-Pfad des § 216 VVG sind ebenso zu trennen wie die Reichweite von Anzeigen, Weisungen, Freigaben und Deckungspositionen. Hinzu kommen lokale Leistungs-, Währungs- oder Transferbeschränkungen sowie Erwerb, Gründung, Veräußerung, automatische Mitversicherung, Meldefristen, Run-off und die richtige Versicherungsperiode.

Der Vertrag besteht aus mehr als dem Versicherungsschein

Weicht der Versicherungsschein vom Antrag ab, ist § 5 VVG zu prüfen. § 5 Abs. 4 enthält daneben ein eigenes Unwirksamkeitsgebot. Auch eine gedruckte Klausel ist nicht automatisch wirksam oder eindeutig. Einbeziehung, Individualabrede, überraschende oder mehrdeutige Klauseln, Folgen einer Unwirksamkeit, Transparenz und unternehmerische Inhaltskontrolle richten sich gegebenenfalls nach §§ 305 bis 307 und § 310 BGB.[Q4][Q5]

Fehlen eigene vertragsbezogene Erklärungen, kann der Versicherungsnehmer nach § 3 Abs. 4 VVG Abschriften verlangen. Die besondere Fristhemmung gilt nur für die dort bezeichnete fristgebundene Handlung. Kosten und ein verlangter Vorschuss richten sich nach Absatz 5.[Q24]

Vier Prüfphasen, die nicht vermischt werden dürfen

Diese Reihenfolge ist eine Prüfreihenfolge, keine operative Warteanweisung. Schadenanzeige, gesetzliche Meldungen, Beweissicherung und notwendige Eindämmungsmaßnahmen dürfen nicht aufgeschoben werden, bis jede Deckungsfrage geklärt ist.

Zusatzpfade nur bei einem konkreten Trigger

Aktivierungsregel: Seltene Programm-, Rollen- oder Spezialnormen werden nicht vorsorglich auf jeden Cyber-Schaden angewandt. Ohne tatsächlichen Trigger werden sie nur als Prüfanlass vorgemerkt.

Ein Zusatzpfad wird nur ausformuliert, wenn sein Tatbestand für die Leserentscheidung tatsächlich relevant ist.[Q26][Q27][Q29][Q30]

Stufe A: Wer, was und welche Leistungsart?

Eine Cyber-Police kann Geldentschädigung, Kostenerstattung, Freistellung, direkte Assistance oder eine Kombination versprechen. Der Erfüllungsmodus entscheidet nicht allein über den Versicherungstyp.

Der Begriff „Versicherungssumme“ beweist weder Schadens- noch Summenversicherung. Eine direkte Assistanceleistung ist ebenfalls keine automatische Gegenkategorie zur Schadensversicherung.

Vorgeschaltetes Modulqualifikations-Gate

Leistungsversprechen

→ Anspruchsinhalt und Erfüllungsmodus

→ Schaden- oder Summenversicherung

→ bei Schadensversicherung: First-Party oder Haftpflicht

→ gegebenenfalls Sachversicherung

→ erst danach der passende VVG-Sonderabschnitt

→ Vertragsabweichung, Auslegung und AGB-Kontrolle

→ Rechtsfolge.

Dieses Gate gilt nicht nur hier. Vor jeder Anwendung der §§ 74 bis 87 in den Sektionen 6 bis 10 muss die Einordnung des konkreten Modulbausteins feststehen. Eine Service- oder Assistancezusage wird nicht allein wegen ihrer Einbettung in eine Cyber-Police automatisch nach §§ 81 bis 86 behandelt.

Stufe B: Der eigentliche Deckungstest

Versicherter Rechtsträger oder versichertes Interesse

→ erfasstes System, Datenobjekt, Standort, Tätigkeit oder Dienstleister

→ versichertes Ereignis

→ erforderlicher Ursachenzusammenhang

→ richtiger Zeitraum und territorialer Bereich

→ versicherte Schaden-, Kosten- oder Leistungsart

→ kein einschlägiger Ausschluss.

Die zeitliche Prüfung braucht je Baustein eine eigene Zeile:

Kann der Versicherungsschutz vor Vertragsschluss beginnen, ist § 2 VVG vollständig zu prüfen. Absatz 1 erlaubt eine Rückwärtsversicherung. Hat der Versicherer bei Abgabe seiner Vertragserklärung Kenntnis davon, dass der Eintritt eines Versicherungsfalls ausgeschlossen ist, steht ihm die Prämie nicht zu. Kennt der Versicherungsnehmer bei Abgabe seiner Vertragserklärung einen bereits eingetretenen Versicherungsfall, ist der Versicherer nicht leistungspflichtig. Bei Abschluss durch einen Vertreter berücksichtigt Absatz 3 die Kenntnis des Vertretenen und des Vertreters. Absatz 4 schließt § 37 Abs. 2 für die Rückwärtsversicherung aus. Diese Mechanik ist von vertraglicher Rückwärtsdeckung und Vorwissensregelung zu trennen.[Q29]

Ein nicht bestätigter Versicherungsfall beendet die Prüfung nicht zwingend. Eine Police kann eigenständige Verdachtsfall-, False-Positive-, Vorfeld-, Präventions- oder Assistance-Trigger enthalten. Solche Leistungen folgen ihrem eigenen Wortlaut.

Stufe C und D: Pflichtverletzung ist nicht dasselbe wie fehlende Deckung

Eine nachträgliche Obliegenheitsverletzung lässt den primären Ereignistatbestand nicht rückwirkend verschwinden. Sie kann aber eine eigenständige Kündigungs-, Kürzungs- oder Leistungsfreiheitsfolge auslösen. Voraussetzungen, Verschulden, Kausalität, Hinweis und Fristen sind getrennt zu prüfen.

Auch eine Eingangsbestätigung, Schaden- oder Anspruchsnummer, Dienstleisterfreigabe, Kostenfreigabe, Teilzahlung oder vorläufige Deckungsposition hat nur die Bedeutung, die sich aus ihrem Inhalt und ihrer Rechtsgrundlage ergibt. Sie ist nicht ohne Weiteres ein Anerkenntnis des Gesamtanspruchs.

Gegenprobe: Wurde eine isolierte Klausel bereits als wirksamer Vertragsinhalt behandelt oder eine nachgelagerte Pflichtverletzung fälschlich zur fehlenden Primärdeckung erklärt?

3. Baustein A — Eigenschäden und eigene Kosten richtig klassifizieren

Eigenschaden- und Kostenbausteine können sehr unterschiedliche Positionen erfassen. Entscheidend ist nicht die Rechnungsüberschrift, sondern welche Tätigkeit zu welchem Zweck, für welchen Rechtsträger und in welchem Zeitraum erbracht wurde.

Mögliche Kostenpositionen

Das unverbindliche GDV-Modell vom Februar 2024 zeigt, dass Forensik, bestimmte Benachrichtigungs- oder Krisenkommunikationskosten und begrenzte Vorfeldleistungen vertraglich unterschiedlich gestaltet werden können. Es ist kein Nachweis dafür, dass diese Gestaltung im gesamten Markt gilt.[Q6]

Mischrechnungen zuerst aufteilen

Eine Forensikrechnung kann zugleich enthalten:

• Eindämmung eines laufenden Angriffs,
• technische Ursachenaufklärung,
• Feststellung des versicherten Schadens,
• regulatorische Untersuchung,
• Deckungsberatung,
• Wiederherstellungsbegleitung,
• Regress- und Beweissicherung,
• Verbesserung der Sicherheitsarchitektur.

Die richtige Reihenfolge lautet:

1. Rechnung nach Tätigkeit, Person, Zeitraum, System und Zweck aufteilen.
2. Jede trennbare Position gesondert zuordnen.
3. Nur für objektiv untrennbare Restpositionen den überwiegenden Zweck heranziehen.
4. Schätzmethode und Unsicherheit dokumentieren.

Eine pauschale Einordnung der gesamten Rechnung als „Rettungskosten“ kann zu viel versprechen. Eine pauschale Einordnung als „reguläre Forensik“ kann gesetzliche Kostenmechaniken übersehen.

Sechs rechtliche Kosten- und Leistungswege

Wiederherstellung ist kein einheitlicher Begriff

Die Wiederherstellungsakte sollte mindestens enthalten:

Betroffenes System oder Datenobjekt

→ letzter nachweisbar sauberer Wiederherstellungspunkt

→ Wiederherstellung, Rekonstruktion oder Neuerstellung

→ interne und externe Arbeitskosten

→ Software, Lizenzen, Hardware, Cloud- und Drittanbietersysteme

→ vertragliche Bewertungsbasis, etwa Wiederbeschaffungswert, Zeitwert oder funktionaler Ersatz

→ Abschreibung, Restwert und nicht mehr verfügbare Ausgangstechnologie

→ Validierung, Tests und sicherer Wiederanlauf

→ Trennung von früherem Zustand, notwendiger Ersatztechnologie und Verbesserung

→ Zeit-, Kosten- und Summengrenzen.

Bei veralteter oder nicht mehr erhältlicher Technologie ist eine funktionsgleiche Ersatzlösung nicht automatisch eine versicherte Verbesserung. Bewertungsbasis, Abschreibung und Restwert folgen dem konkreten Vertrag. Umgekehrt darf eine Modernisierungskomponente nicht unbemerkt in die Wiederherstellungsforderung einfließen. Die Police muss regeln oder durch Auslegung beantworten, wie dieser Übergang behandelt wird.

Rechtskosten sind aufzuteilen

„Rechtsberatungskosten“ können verschiedene Risikosphären betreffen:

• Datenschutz- und Meldeberatung,
• Deckungsberatung gegenüber dem Versicherer,
• regulatorische Begleitung,
• Abwehr von Drittansprüchen,
• strafrechtliche Verteidigung,
• D&O-Verteidigung,
• Bußgeld- und Sanktionsverfahren,
• Anspruchsaufbereitung und forensische Buchhaltung.

Eine First-Party-Kostenzusage für Meldeberatung erfasst nicht automatisch Deckungsberatung oder Strafverteidigung. Der eigenständige Strafrechtsschutz steht in Strafrechtsschutz für die Cyber-Verteidigung.

Brutto, Netto, Währung und Zahlungspflicht

Für jede Kostenposition sind zusätzlich zu dokumentieren:

• Brutto- und Nettobetrag sowie Vorsteuerabzugsberechtigung,
• Währung, Umrechnungstag und Kursquelle,
• angefallen, geschuldet oder bereits bezahlt,
• interner oder externer Aufwand,
• Auftraggeber, Vertragspartner, Rechnungsempfänger und endgültig Zahlungspflichtiger,
• Zuschüsse, Rückflüsse, Restwerte und mögliche Doppelentschädigung.

Das ist eine versicherungsvertragliche Dokumentationsfrage. Es ersetzt keine steuerliche Beratung.

Gegenprobe: Wurde eine Mischrechnung wirklich aufgeteilt, oder entscheidet nur die Überschrift „Forensik“ über ihre rechtliche Behandlung?

4. Baustein B — Betriebsunterbrechung ohne falsche Standardformel

Betriebsunterbrechung ist policeabhängig.

Eine Cyber-Police kann eine Betriebsunterbrechung nach Tagessatz, konkretem Unterbrechungsschaden oder einer anderen Formel entschädigen. Begriffe, Trigger, Selbstbeteiligungen und Haftzeit müssen aus der konkreten Police gelesen werden.

Ein technischer Angriff ist nicht automatisch ein versicherter Betriebsunterbrechungsschaden. Die Prüfung beginnt beim vertraglichen Ereignis und führt erst danach zur wirtschaftlichen Berechnung.

Versichertes Ereignis

→ kausale vollständige oder teilweise Beeinträchtigung versicherter Systeme oder Dienste

→ vertraglich definierte Betriebsunterbrechung; bei schadenbezogener Berechnung tatsächlicher Unterbrechungsschaden

→ vertraglicher Beginn

→ vereinbarte Berechnungsmethode

→ zeitliche und gegebenenfalls monetäre Selbstbeteiligung

→ Haftzeit

→ Einsparungen, Nachholeffekte, Schadenminderung und konkurrierende Ursachen

→ Limits, Serie und Jahresaggregat.

Die fünf Zeit- und Abzugsbegriffe

Die Versicherungsperiode ist nach § 12 VVG grundsätzlich ein Jahr, wenn die Prämie nicht nach kürzeren Zeitabschnitten bemessen ist. Sie kann von Haftzeit, Vertragslaufzeit und Selbstbeteiligungszeitraum abweichen.[Q7]

Was wird wirtschaftlich berechnet?

Die Police kann beispielsweise an einen vereinbarten Tagessatz oder an einen konkret nachgewiesenen Unterbrechungsschaden anknüpfen. Das unverbindliche GDV-Modell verwendet einen Tagessatz und definiert eine zeitliche Selbstbeteiligung. Diese Modellgestaltung ist kein Marktstandard.[Q6]

Für eine konkrete Schadenberechnung sind mindestens zu prüfen:

Umsatzrückgang, Unterbrechungsschaden und Entschädigung sind nicht dasselbe. Umsatz kann aus anderen Gründen sinken. Ein technischer Wiederanlauf beendet den wirtschaftlichen Schaden nicht zwingend. Die Haftzeit kann enden, obwohl das Unternehmen noch nicht vollständig normalisiert ist.

Mehrkosten und abhängige Betriebsunterbrechung

Notbetrieb, Ausweich-Cloud, Fremdproduktion oder Expressbeschaffung können den Unterbrechungsschaden mindern. Ob sie als Mehrkosten versichert sind, ergibt sich aus der Police. Bei einer schadenbezogenen Berechnung darf derselbe wirtschaftliche Nachteil nicht doppelt angesetzt werden. Ob Mehrkosten als eigenständige Vertragsleistung oder nur bis zur Höhe des vermiedenen Unterbrechungsschadens wirken, folgt aus der Police.

Ausfälle eines Cloud-, IT-, Liefer- oder Kundenunternehmens brauchen einen eigenen Trigger. Eine Police kann abhängige Betriebsunterbrechung vorsehen. Sie folgt nicht automatisch aus einer allgemeinen Betriebsunterbrechungszusage.

Auch die Ursache einer Abschaltung ist zu trennen:

• technisch unvermeidbare Abschaltung,
• freiwillige Vorsichtsmaßnahme,
• Abschaltung auf Versichererweisung,
• behördlich veranlasste Beschränkung,
• geplante Wartung oder Migration.

Jede Variante kann vertraglich anders behandelt sein.

Belegpaket für die Betriebsunterbrechung

Die Finanz- und Technikteams brauchen eine gemeinsame Ereignischronologie. Sie sollte mindestens Systemmetriken, Produktionsdaten, Auftragsbestand, Umsätze, Kosten, Entscheidungen zum Notbetrieb, Wiederanlaufpunkte und Annahmen der Schadenberechnung verbinden.

Gegenprobe: Wurde der Zeitpunkt des Angriffs mit dem Beginn des Unterbrechungsschadens gleichgesetzt oder jeder Umsatzrückgang dem Cyber-Vorfall zugerechnet?

5. Baustein C — Cyber-Erpressung: Deckung, Erlaubnis und Entscheidung trennen

Vier Fragen, vier Antworten.

Eine Erpressungslage kann vertragliche Krisendienstleistungen auslösen. Ob Lösegeld erfasst ist, ob eine Zahlung rechtlich zulässig ist, ob das Unternehmen zahlen soll und ob der Versicherer später erstattet, sind voneinander getrennte Fragen.

Eine pauschale Aussage „Lösegeld ist versichert“ ist nicht belastbar. Zuerst ist eine Erpressungsforderung von Betrug, Zahlungsumleitung, Social Engineering und sonstigem Vermögensabfluss abzugrenzen. Das aktuelle unverbindliche GDV-Modell, Stand Februar 2024, schließt die Zahlung von Löse- oder Erpressungsgeldern und die Erfüllung von Erpressungsforderungen ausdrücklich aus. Das belegt nur die Modellgestaltung, nicht den gesamten Markt.[Q6]

Die vier Entscheidungsebenen

Die Lösegeldentscheidung mit Straf-, Sanktions- und Insolvenzprüfung steht in Lösegeld — ja oder nein?. Eine Versichererfreigabe ist weder behördliche noch strafrechtliche Freigabe. Eine Sanktionsklausel der Police kann die Leistungspflicht des Versicherers zusätzlich begrenzen; ihre Reichweite ist gesondert zu prüfen.

Prüfkette der Erpressungsdeckung

Versicherte Erpressungslage nach Police

→ unverzügliche Anzeige und vertragliche Abstimmung

→ spezialisierte Verhandlung und Krisenunterstützung, soweit vereinbart

→ parallel und vor jeder Zahlung eigenständige Zulässigkeitsprüfung

→ dokumentierte Unternehmensentscheidung

→ gegebenenfalls rechtlich zulässige Zahlung

→ Erstattung nur, wenn die konkrete Police die Position erfasst und kein Ausschluss greift.

Kostenpositionen nicht zusammenziehen

Ein Ausschluss des Lösegeldbetrags schließt vereinbarte Verhandlungs-, Forensik-, Wiederherstellungs- oder Betriebsunterbrechungskosten nicht automatisch aus. Umgekehrt erfasst eine Einbeziehung des Lösegeldbetrags nicht automatisch Berater-, Transaktions- oder Krisendienstleisterkosten.

Unterbleibt die Zahlung, können vertragliche Erpressungsdienstleistungen trotzdem ausgelöst sein.

Assistance-Trigger, Versicherungsfall und § 82 nicht überspringen

Erpressungslage

→ vertraglichen Assistance- oder Deckungstrigger bestimmen

→ Modul als Schaden-, Summen-, Service- oder Haftpflichtleistung qualifizieren

→ ist im betreffenden Schadensversicherungsmodul ein Versicherungsfall eingetreten?

→ nur dann § 82 VVG anwenden

→ sonst vertragliche Abstimmungs-, Vorfeld- und Servicepflichten nach ihrem eigenen Wortlaut

→ parallel Zulässigkeitsprüfung und Unternehmensentscheidung.

Ist § 82 aktiviert, muss der Versicherungsnehmer zumutbare Weisungen befolgen und Weisungen einholen, wenn die Umstände dies gestatten. Daraus folgt kein Befehl, eine rechtlich unzulässige Zahlung vorzunehmen. Versicherungsvertragliche Abstimmung und rechtliche Zulässigkeit laufen parallel.

Bei Kryptozahlungen sind mindestens Empfänger, Wallet, Zahlungsdienstleister, tatsächlicher Zahlungspflichtiger, Kursquelle, Bewertungszeitpunkt, Transaktionskosten und Zahlungsnachweis zu dokumentieren. Diese Dokumentation ersetzt kein Sanktionsscreening.

Gegenprobe: Wurden Deckung, Zustimmung, rechtliche Zulässigkeit und Unternehmensentscheidung zu einer einzigen Ja-Nein-Frage verkürzt?

6. Wann der Versicherer kürzen oder die Leistung ablehnen kann

Eine Ablehnung kann auf fehlender Primärdeckung oder einem nachgelagerten Rechtsfolgenregime beruhen. Prämie, vorvertragliche Anzeige, Gefahrerhöhung, Obliegenheit und Herbeiführung haben unterschiedliche Tatbestände.

Normqualifikation vor Rechtsfolge: Die allgemeinen Vertragsregime der §§ 19 bis 38 werden nach ihrem eigenen Anwendungsbereich geprüft. §§ 74 bis 87 werden dagegen erst für den konkret als Schadensversicherung qualifizierten Modulteil aktiviert. Service-, Summen- oder Haftpflichtteile behalten ihren eigenen Pfad.

Die Regime können denselben Sachverhalt berühren. Sie werden trotzdem einzeln geprüft. Kein „Oder“-Diagramm darf ein mögliches Nebeneinander verdecken.

6.1 Prämienstatus — §§ 33 bis 38 VVG ohne Einheitslogik

§ 33 Abs. 1 setzt den gesetzlichen Ausgangspunkt: Eine einmalige Prämie oder, bei vereinbarten laufenden Prämien, die erste Prämie ist unverzüglich nach Ablauf von 14 Tagen nach Zugang des Versicherungsscheins zu zahlen. Vertragsabrede, Zugang und eine mögliche Rückwärtsversicherung sind davor zu prüfen.[Q8]

Hat der Versicherer die Prämie zuletzt eingezogen, ist der Versicherungsnehmer nach § 33 Abs. 2 erst zur Übermittlung verpflichtet, wenn der Versicherer ihn hierzu in Textform aufgefordert hat. Das ist keine bloße Ermessensfrage.[Q8]

Weitere eigene Pfade sind:

• § 34 Abs. 1 VVG verpflichtet den Versicherer, fällige Vertragszahlungen vom Versicherten einer Versicherung für fremde Rechnung, vom leistungsberechtigten Bezugsberechtigten und vom Pfandgläubiger anzunehmen.
• Das gilt auch, wenn der Versicherer die Zahlung nach dem Bürgerlichen Gesetzbuch zurückweisen könnte.
• § 34 Abs. 2 VVG regelt das Pfandrecht des Pfandgläubigers wegen eingesetzter Beträge einschließlich Zinsen.
• § 35 VVG für die Aufrechnung einer fälligen Prämienforderung oder anderen fälligen Vertragsforderung gegen eine Versicherungsforderung, auch wenn diese einem Dritten zusteht,
• § 36 VVG für den Leistungsort der Prämie: grundsätzlich der jeweilige Wohnsitz. Wurde die Versicherung im Gewerbebetrieb genommen und liegt die gewerbliche Niederlassung an einem anderen Ort, tritt der Niederlassungsort an seine Stelle. Die Übermittlung erfolgt auf Gefahr und Kosten des Versicherungsnehmers,
• § 2 VVG bei Rückwärtsversicherung, insbesondere Absatz 4 als Ausschluss des § 37 Abs. 2,
• §§ 39 bis 41 VVG bei späterer Vertragsbeendigung oder Prämienänderung.[Q1][Q8][Q29][Q30]

§ 35 ist eine gesetzliche Aufrechnungsbefugnis. Sie wird erst nach Anspruchs- und Forderungsprüfung in die Auszahlung einbezogen und ersetzt keinen Deckungstest.

Erst- oder Einmalprämie — § 37 VVG

Vertrag und gegebenenfalls Rückwärtsversicherung

→ Zugang des Versicherungsscheins und Fälligkeit nach § 33 Abs. 1 oder Vertrag

→ Prämie bei Eintritt des Versicherungsfalls nicht gezahlt

→ Nichtzahlung vom Versicherungsnehmer zu vertreten

→ gesonderte Mitteilung in Textform oder auffälliger Hinweis im Versicherungsschein

→ Leistungsfreiheit nach § 37 Abs. 2.

Davon getrennt:

Einmalige oder erste Prämie nicht rechtzeitig gezahlt

→ Zahlung noch nicht bewirkt

→ Nichtzahlung zu vertreten

→ mögliches Rücktrittsrecht nach § 37 Abs. 1.

§ 37 Abs. 2 verlangt keinen zusätzlichen allgemeinen Verzugstatbestand und keine Kausalität zwischen Nichtzahlung und Versicherungsfall.[Q8]

Folgeprämie — § 38 VVG

Folgeprämie nicht rechtzeitig gezahlt

→ Zahlungsfrist in Textform und auf Kosten des Versicherungsnehmers

→ mindestens zwei Wochen

→ Prämie, Zinsen und Kosten einzeln beziffert; bei zusammengefassten Verträgen je Vertrag getrennt

→ Rechtsfolgen der Absätze 2 und 3 angegeben

→ Fristablauf

→ Versicherungsnehmer bei Eintritt des Versicherungsfalls mit Prämie, Zinsen oder Kosten in Verzug

→ Leistungsfreiheit nach § 38 Abs. 2.

Kündigung und Leistungsfreiheit werden getrennt geprüft. Nach Fristablauf kann der Versicherer bei Verzug ohne Frist kündigen. Er kann die Kündigung mit der Fristsetzung verbinden, sodass sie bei fortbestehendem Verzug mit Fristablauf wirksam wird; darauf muss er ausdrücklich hinweisen. Die Kündigung wird unwirksam, wenn der Versicherungsnehmer die geschuldeten Beträge innerhalb eines Monats nach der Kündigung zahlt. War die Kündigung mit der Fristsetzung verbunden, läuft diese Monatsfrist ab Fristablauf. § 38 Abs. 2 bleibt unberührt.[Q8]

Ein offener Buchungsposten, eine fehlgeschlagene Lastschrift oder eine unvollständige Mahnung genügt nicht ohne den jeweiligen vollständigen Tatbestand.

6.2 Vorvertragliche Anzeigepflicht — §§ 19 bis 22 VVG

§ 19 betrifft keine beliebige „Falschangabe“. Maßgeblich ist die Verletzung einer vorvertraglichen Anzeigepflicht zu bekannten gefahrerheblichen Umständen, nach denen der Versicherer in Textform gefragt hat.[Q25]

§ 19 Abs. 4 bewirkt keine automatische Vertragsanpassung. Nur auf Verlangen des Versicherers werden die anderen Bedingungen rückwirkend Vertragsbestandteil. Hat der Versicherungsnehmer die Pflichtverletzung nicht zu vertreten, gelten sie erst ab der laufenden Versicherungsperiode.

§ 20 VVG regelt eine besondere Vertreterkonstellation. Für die dort genannten Rechtsfolgen sind Kenntnis und Arglist des Vertreters und des Versicherungsnehmers zu berücksichtigen.

Auf fehlenden Vorsatz oder fehlende grobe Fahrlässigkeit kann sich der Versicherungsnehmer nur berufen, wenn beides weder ihm noch dem Vertreter zur Last fällt. § 20 ist nicht § 47 VVG.[Q25]

§ 21 Abs. 1 verlangt eine schriftliche Geltendmachung innerhalb eines Monats ab Kenntnis der konkreten Pflichtverletzung. Der Versicherer muss die tragenden Umstände angeben.

Weitere Umstände dürfen später nur nachgeschoben werden, wenn für sie die eigene Monatsfrist noch läuft. Diese Regel verhindert eine grenzenlose nachträgliche Begründung.[Q25]

Im Fall eines Rücktritts nach § 19 Abs. 2 nach Eintritt des Versicherungsfalls enthält § 21 Abs. 2 die Kausalitätsgegenprüfung. Die Leistung bleibt bestehen, soweit die Pflichtverletzung weder für Eintritt oder Feststellung noch für Feststellung oder Umfang der Leistungspflicht ursächlich war.

Diese Gegenprüfung gilt nicht bei Arglist. Die Rechte nach § 19 Abs. 2 bis 4 erlöschen grundsätzlich fünf Jahre nach Vertragsschluss; das gilt nicht für Versicherungsfälle, die vor Ablauf dieser Frist eingetreten sind. Bei vorsätzlicher oder arglistiger Verletzung beträgt die Frist zehn Jahre.[Q25]

§ 22 lässt die Anfechtung wegen arglistiger Täuschung unberührt. Die Norm enthält nicht allein sämtliche Voraussetzungen, Fristen und Rechtsfolgen der Anfechtung.

Wer Anfechtung materiell prüft, muss den einschlägigen Pfad der §§ 123 bis 144 BGB heranziehen. § 124 setzt eine Jahresfrist. Bei Täuschung beginnt sie mit deren Entdeckung; bei Drohung mit dem Ende der Zwangslage. §§ 206, 210 und 211 gelten entsprechend. Zehn Jahre nach Abgabe der Erklärung ist die Anfechtung ausgeschlossen. Zusätzlich sind Erklärung und Gegner nach § 143, Rückwirkung nach § 142 und mögliche Bestätigung nach § 144 zu prüfen. Rücktritt, Kündigung, Vertragsanpassung und Anfechtung bleiben getrennte Gestaltungsrechte.[Q25][Q31]

6.3 Gefahrerhöhung — §§ 23 bis 27 VVG

Eine erhebliche Änderung der IT-Architektur, ein Unternehmenskauf oder die Abschaltung zentraler Schutzmaßnahmen kann ein Prüfanlass sein. Daraus folgt nicht automatisch eine Gefahrerhöhung.

Änderung nach Abgabe der Vertragserklärung

→ § 27: nur erhebliche und nicht als mitversichert anzusehende Erhöhung

→ § 23 Abs. 1, 2 oder 3 bestimmen

→ § 24 Kündigungspfad

→ § 25 als Alternative zur Kündigung

→ § 26 Leistungsfolge

→ § 26 Abs. 3 Gegenprobe

→ gegebenenfalls § 29 Teilfolge.

Für § 26 Abs. 2 lautet die belastbare Kette:

Fall des § 23 Abs. 2 oder 3

→ Zeitpunkt bestimmen, zu dem die Anzeige hätte zugehen müssen

→ Versicherungsfall später als einen Monat danach

→ Kenntnis des Versicherers zu diesem Zeitpunkt?

→ wenn nein: Vorsatz, grobe Fahrlässigkeit, einfache Fahrlässigkeit oder Schuldlosigkeit bestimmen

→ Vorsatz: grundsätzlich Leistungsfreiheit

→ grobe Fahrlässigkeit: proportionale Kürzung

→ einfache Fahrlässigkeit oder Schuldlosigkeit: volle Leistung

→ anschließend § 26 Abs. 3 zu Kausalität und abgelaufener Kündigungsfrist.

Kündigungs-, Anpassungs- und Leistungsfolgen werden nicht zu einer Einheitsfolge verkürzt.[Q25]

6.4 Teilrechtsfolgen — § 29 VVG

§ 29 ist keine allgemeine Ermächtigung zu beliebigen Teilkürzungen. Die Norm betrifft mehrere versicherte Gegenstände oder Personen und verlangt eine Trennbarkeitsprüfung.[Q25]

• Absatz 1 begrenzt Rücktritt oder Kündigung grundsätzlich auf den betroffenen Teil.
• Eine Erstreckung auf den übrigen Teil ist nur zulässig, wenn anzunehmen ist, dass der Versicherer diesen übrigen Teil allein nicht unter den gleichen Bedingungen geschlossen hätte.
• Absatz 2 gibt dem Versicherungsnehmer ein Anschlusskündigungsrecht für den übrigen Teil.
• Diese Kündigung muss spätestens zum Schluss der Versicherungsperiode erklärt werden, in der der Rücktritt oder die Kündigung des Versicherers wirksam wird.
• Absatz 3 überträgt Absatz 1 auf eine nur teilweise Leistungsfreiheit wegen Gefahrerhöhung.

Die Norm wird nur aktiviert, wenn die Voraussetzungen tatsächlich nur einen abgrenzbaren Teil der versicherten Gegenstände oder Personen betreffen.

6.5 Vertragliche Obliegenheiten — § 28 VVG

Mehrfaktor-Authentisierung, Patch-, Backup- oder Wiederherstellungsvorgaben sind nicht schon wegen ihres technischen Inhalts Obliegenheiten. Vor § 28 steht die Klauselfunktion.

Klauselwortlaut und Vertragsrang

→ Einbeziehung und Auslegung

→ Primärdeckungsvoraussetzung, Ausschluss, Risikoabgrenzung, Bewertungs- oder Limitregel, echte Obliegenheit oder bloße Beschreibung

→ nur bei einer echten vertraglichen Pflicht gegenüber dem Versicherer § 28 aktivieren

→ Erfüllungszeitpunkt vor oder nach dem Versicherungsfall

→ objektiver Verstoß und wirksame vertragliche Rechtsfolgenklausel

→ Vorsatz, grobe, einfache oder fehlende Fahrlässigkeit

→ Kausalitätsgegenprobe

→ bei nachvertraglicher Auskunft oder Aufklärung den Hinweis nach Absatz 4

→ Kündigungs- und Leistungsfolge getrennt.

§ 28 besitzt fünf Absätze mit verschiedenen Funktionen:[Q9]

1. Absatz 1 — Kündigung: Bei Verletzung einer vertraglichen Obliegenheit, die der Versicherungsnehmer vor Eintritt des Versicherungsfalls gegenüber dem Versicherer zu erfüllen hat, kann der Versicherer innerhalb eines Monats nach Kenntnis der Verletzung ohne Frist kündigen. Das gilt nicht, wenn die Verletzung weder vorsätzlich noch grob fahrlässig war.
2. Absatz 2 — Leistungsfolge: Nur wenn der Vertrag die Leistungsfreiheit für diese Obliegenheitsverletzung bestimmt, führt Vorsatz zur Leistungsfreiheit. Grobe Fahrlässigkeit eröffnet eine proportionale Kürzung. Der Versicherungsnehmer trägt die Beweislast für das Nichtvorliegen grober Fahrlässigkeit.
3. Absatz 3 — Kausalitätsgegenprobe: Die Leistung bleibt bestehen, soweit die Verletzung weder für Eintritt oder Feststellung des Versicherungsfalls noch für Feststellung oder Umfang der Leistungspflicht ursächlich war. Bei Arglist gilt diese Gegenprobe nicht.

Die amtliche Gesetzesbegründung behandelt die fehlende Kausalität nach Absatz 3 als vom Versicherungsnehmer nachzuweisen. Das ist eine Materialienaussage, keine ausdrückliche Wortlautregel.[Q23]

4.

Absatz 4 — Nach-Versicherungsfall-Hinweis: Bei einer nach Eintritt des Versicherungsfalls bestehenden Auskunfts- oder Aufklärungsobliegenheit setzt vollständige oder teilweise Leistungsfreiheit einen gesonderten Hinweis in Textform auf diese Rechtsfolge voraus.

5.

Absatz 5 — Rücktrittsklauselverbot: Eine Vereinbarung, die dem Versicherer wegen einer Obliegenheitsverletzung ein Rücktrittsrecht gibt, ist unwirksam.

„Kein MFA“ bedeutet deshalb nicht automatisch Leistungsfreiheit. Zuerst ist die Klauselfunktion, danach der vollständige §-28-Pfad zu prüfen. Ein fehlender Absatz-1-Kündigungstatbestand schließt eine mögliche Absatz-2-Leistungsfolge nicht automatisch aus; beide Folgen haben eigene Voraussetzungen.

6.6 Herbeiführung des Versicherungsfalls — § 81 VVG

§ 81 wird nur für den als Schadensversicherung qualifizierten Modulteil geprüft. Nach Absatz 1 ist der Versicherer bei vorsätzlicher Herbeiführung des Versicherungsfalls nicht zur Leistung verpflichtet. Absatz 2 erlaubt bei grob fahrlässiger Herbeiführung eine Kürzung nach der Schwere des Verschuldens.[Q10]

Der Normwortlaut enthält keine ausdrückliche Beweislastregel. Die amtliche Gesetzesbegründung geht davon aus, dass der Versicherer Vorsatz oder grobe Fahrlässigkeit nachweist. Weil dies eine Materialienaussage und keine Wortlautregel ist, bleibt eine streitentscheidende Beweislastaussage ohne zugelassene aktuelle Autorität im konkreten Fall offen.[Q23]

Dasselbe technische Defizit kann § 28 und § 81 berühren. Die Konkurrenzprüfung lautet:

konkretes Verhalten präzisieren

→ identisches oder verschiedenes Verhalten

→ § 28 und § 81 jeweils vollständig subsumieren

→ Pflichtadressat, Zurechnung, Verschulden, Kausalität und Beweisstatus getrennt

→ vorläufige Rechtsfolge je Pfad

→ Bedingungswerk, AGB-Kontrolle und zugelassene Autorität für die Konkurrenzlösung

→ keine mechanische Addition, aber auch kein unbelegter genereller Vorrang oder Doppelquotelungsausschluss.

Die amtliche Gesetzesbegründung zieht beim Zusammentreffen beider Regime eine mehrfache Quotelung in Betracht. Sie beschreibt keine automatische Rechenformel.[Q23] § 83 Abs. 2 kann eine rechtmäßig begründete Kürzung auf den Aufwendungsersatz nach § 83 Abs. 1 durchschlagen lassen.

§ 81 wird nicht durch § 87 VVG vor nachteiliger Abweichung geschützt. Vertragsinhalt, Einbeziehung, AGB-Kontrolle und gegebenenfalls § 210 bleiben gesondert zu prüfen.[Q15]

6.7 Bewusst falsche Angaben im Schadenfall

Als Claim Fraud wird hier eine bewusst falsche, manipulierte oder künstlich erhöhte Schadenangabe bezeichnet. Der Begriff benennt nur den Prüfgegenstand; die Rechtsfolge folgt nicht aus dem Etikett.

§ 22 betrifft die arglistige Täuschung beim Vertragsschluss. Manipulierte Rechnungen oder bewusst falsche Schadenangaben nach Vertragsschluss werden nicht automatisch § 22 zugeordnet.

Zu prüfen sind:

• konkrete Auskunfts- oder Aufklärungsobliegenheit,
• vertragliche Rechtsfolgenklausel,
• Hinweis nach § 28 Abs. 4,
• Vorsatz, grobe Fahrlässigkeit oder Arglist,
• eigenständige Claim-Fraud-Klausel,
• Einbeziehung, Auslegung und Wirksamkeit,
• belastbare Judikatur, falls die Aussage davon abhängt.

Gegenprobe: Wurde ein technisches Defizit, ein Prämienrückstand oder eine fehlerhafte Angabe ohne vollständigen Tatbestand zur automatischen Leistungsfreiheit erklärt?

7. Anzeige, Auskunft und Schadenminderung — §§ 30 bis 32 und 82 VVG

Vorfallanzeige, Anspruchsanmeldung, gesetzliche Meldung und Schadenminderung sind verschiedene Vorgänge. Sie können zeitgleich laufen, aber nicht durch ein einziges E-Mail-Betreffwort ersetzt werden.

Vorfallanzeige und Auskunft

§ 30 VVG verlangt nach Eintritt des Versicherungsfalls grundsätzlich eine unverzügliche Anzeige, nachdem der Versicherungsnehmer davon Kenntnis erlangt hat. Ist ein Dritter leistungsberechtigt, trifft ihn die Anzeigeobliegenheit ebenfalls.

§ 31 VVG erlaubt dem Versicherer, notwendige Auskünfte zur Feststellung des Versicherungsfalls oder des Leistungsumfangs und Belege zu verlangen, soweit deren Beschaffung billigerweise zugemutet werden kann. Steht die Leistung einem Dritten zu, treffen ihn nach Absatz 2 ebenfalls die Pflichten des Absatzes 1. Das entlastet den Versicherungsnehmer nicht automatisch. Eine Sanktion folgt nicht allein aus § 31, sondern braucht die passende vertragliche und gesetzliche Rechtsfolgenmechanik.

Hat der Versicherer auf andere Weise rechtzeitig Kenntnis erlangt, kann § 30 Abs. 2 eine vereinbarte Leistungsfreiheitsfolge wegen unterlassener Anzeige ausschließen. Andere Pflichten bleiben davon unberührt.[Q11]

Schutzgrenze des § 32 VVG

Von §§ 19 bis 28 Abs. 4 und § 31 Abs. 1 Satz 2 darf nicht zum Nachteil des Versicherungsnehmers abgewichen werden. Für verpflichtende Anzeigen kann Schrift- oder Textform vereinbart werden.[Q11]

Diese Schutzregel ersetzt weder die Vertragsauslegung noch die AGB-Kontrolle. Sie darf nicht auf andere Vorschriften ausgedehnt werden.

Schadenabwendung und Schadenminderung

§ 82 gehört zum Schadensversicherungszweig. Vor seiner Anwendung muss der betroffene Modulteil als Schadensversicherung qualifiziert und ein Versicherungsfall in diesem Modul eingetreten sein.

„(1) Der Versicherungsnehmer hat bei Eintritt des Versicherungsfalles nach Möglichkeit für die Abwendung und Minderung des Schadens zu sorgen.“

— § 82 Abs. 1 VVG[Q12]

Absatz 2 verlangt, zumutbare Weisungen des Versicherers zu befolgen und Weisungen einzuholen, wenn die Umstände dies gestatten. Bei unterschiedlichen Weisungen mehrerer beteiligter Versicherer entscheidet der Versicherungsnehmer nach pflichtgemäßem Ermessen.

Die Pflicht beginnt mit dem Versicherungsfall. Ist nur ein Verdachtsfall bekannt, können vertragliche Assistance- oder Vorfeldpflichten und allgemeine Gefahrenabwehr geboten sein. § 82 darf aber nicht ohne seinen Tatbestand auf jede Sicherheitsmaßnahme übertragen werden.

Bei vorsätzlicher Verletzung einer Obliegenheit nach Absatz 1 oder 2 ist der Versicherer nach § 82 Abs. 3 nicht zur Leistung verpflichtet, vorbehaltlich Absatz 4. Bei grober Fahrlässigkeit darf er proportional kürzen; der Versicherungsnehmer trägt die Beweislast für das Nichtvorliegen grober Fahrlässigkeit. Einfache Fahrlässigkeit oder Schuldlosigkeit allein lösen keine Kürzung nach Absatz 3 aus. Nach Absatz 4 bleibt die Leistung insoweit geschuldet, als die Verletzung weder für Feststellung des Versicherungsfalls noch für Feststellung oder Umfang der Leistungspflicht ursächlich war. Bei Arglist gilt diese Gegenprobe nicht.[Q12]

Die amtliche Gesetzesbegründung legt dem Versicherungsnehmer außerdem den Nachweis fehlender Kausalität nach Absatz 4 auf. Das ist eine Materialienaussage, keine ausdrückliche Wortlautregel.[Q23]

Der richtige Empfänger entscheidet

Für Versicherungsvertreter bestimmt § 69 Abs. 1 VVG gesetzliche Empfangsvollmachten. Sie erfassen Anträge samt Widerruf, vorvertragliche Anzeigen, Änderungs- und Verlängerungsanträge samt Widerruf, Kündigung, Rücktritt, sonstige vertragsbezogene Erklärungen und während der Vertragsdauer geschuldete Anzeigen.

Der Vertreter gilt außerdem als bevollmächtigt, vom Versicherer ausgefertigte Versicherungs- oder Verlängerungsscheine zu übermitteln. § 69 Abs. 2 enthält daneben eine begrenzte Zahlungsannahmevollmacht im Zusammenhang mit Vermittlung oder Abschluss.

Eine Beschränkung dieser Zahlungsannahmevollmacht wirkt nur, wenn der Versicherungsnehmer sie bei Zahlung kannte oder grob fahrlässig nicht kannte. Nach § 69 Abs. 3 trägt er die Beweislast für Abgabe und Inhalt der dort genannten Willenserklärungen.

Der Versicherer trägt nach § 69 Abs. 3 die Beweislast für die Verletzung einer Anzeigepflicht oder Obliegenheit. Diese besondere Regel darf nicht zu einer allgemeinen Beweislastformel für alle Deckungsfragen erweitert werden.

Nach § 70 VVG steht Vertreterkenntnis grundsätzlich der Versichererkenntnis gleich. Ausgenommen ist Wissen, das außerhalb der Vertretertätigkeit und ohne Zusammenhang mit dem betreffenden Versicherungsvertrag erlangt wurde.

Besitzt der Vertreter Abschlussvollmacht, umfasst § 71 VVG auch Vertragsänderung, Verlängerung sowie eigene Kündigungs- und Rücktrittserklärungen. Eine AVB-Beschränkung der Vollmachten aus §§ 69 und 71 ist nach § 72 gegenüber Versicherungsnehmern und Dritten unwirksam.

§ 73 VVG erstreckt §§ 69 bis 72 entsprechend auf betraute Versichererangestellte und bestimmte selbständige, nicht gewerbsmäßig tätige Vertreter. Makler, Berater, TPA, Hotline und Panel-Dienstleister werden dadurch nicht zu Versicherungsvertretern.[Q26]

Die erste E-Mail sollte deshalb Erklärungstyp, Police, Rechtsträger, Zeitpunkt, Sachverhalt, gewünschte Weisung oder Freigabe und Anlagen eindeutig bezeichnen. Versand, Zugang und Reaktion sind beweissicher zu dokumentieren.

Operative Konsequenz

Versicherungsfall oder begründeter Verdacht

→ Vorfall und Anspruch vorsorglich an den richtigen Adressaten melden

→ Sofortmaßnahmen und Beweise sichern

→ notwendige Weisungen und Freigaben einholen

→ zumutbare Weisungen dokumentiert umsetzen

→ Kosten, Entscheidungen und Abweichungen fortlaufend protokollieren.

Eine vorsorgliche Versicherungsanzeige sollte als Frist- und Obliegenheitswahrung formuliert werden. Sie sollte kein Anerkenntnis von Versicherungsfall, Deckung, Pflichtverletzung, Kausalität, Schadenhöhe, Haftung oder Rechtsverstoß enthalten.

Das Krisenmanagement der ersten 72 Stunden steht in Cyber-Vorfall: die ersten 72 Stunden. Die BSI-Meldekaskade steht in BSI-Meldepflicht (§ 32 BSIG). Versicherungsanzeige und gesetzliche Meldung sind nicht austauschbar.

Wenn sich der Versicherungsfall nicht bestätigt

Kein Versicherungsfall nach dem geprüften Leistungstatbestand

→ keine Leistung, deren Trigger gerade dieser Versicherungsfall ist

→ Verdachtsfall-, False-Positive-, Vorfeld-, Präventions- und Assistance-Trigger gesondert prüfen

→ keine eigenständige §-82-Obliegenheit ohne eingetretenen Versicherungsfall

→ § 90 VVG nur bei gesicherter Sachversicherungseinordnung und unmittelbar bevorstehendem Versicherungsfall

→ sonstige Anzeige-, Gefahrenabwehr-, Dokumentations- und Beweissicherungspflichten gesondert prüfen.

Gegenprobe: Wurde eine Mitteilung an Makler, Hotline oder Dienstleister ohne Prüfung als Zugang beim zuständigen Versicherer behandelt?

8. Rettungskosten, Schadenfeststellung, Limits, Liquidität und Verjährung

Zwei gesetzliche Über-Summen-Mechaniken, verschiedene Tatbestände.

§ 83 VVG betrifft Aufwendungen der Schadenabwendung und Schadenminderung. § 85 VVG betrifft Kosten der Ermittlung und Feststellung des zu ersetzenden Schadens. Beide Normen dürfen nicht zu einer allgemeinen Zusage oberhalb aller Sublimits und Aggregate erweitert werden.

Die folgenden §§ 83 bis 87 setzen einen als Schadensversicherung qualifizierten Modulteil voraus. Eine direkte Service- oder Summenleistung folgt zunächst ihrem eigenen Vertragspfad.

Aufwendungsersatz nach § 83 VVG

„(3) Aufwendungen des Versicherungsnehmers, die er gemäß den Weisungen des Versicherers macht, sind auch insoweit zu erstatten, als sie zusammen mit der sonstigen Entschädigung die Versicherungssumme übersteigen.“

— § 83 Abs. 3 VVG[Q13]

§ 83 Abs. 1 erfasst auch erfolglose Maßnahmen, soweit der Versicherungsnehmer sie den Umständen nach für geboten halten durfte. Der Vorschuss muss verlangt werden. § 83 Abs. 2 erlaubt eine entsprechende Kürzung des Aufwendungsersatzes, wenn der Versicherer seine Leistung kürzen darf.

§ 83 Abs. 3 gilt nur für Aufwendungen gemäß Versichererweisung. Eine Zustimmung, Panel-Empfehlung oder Kostenfreigabe ist nicht automatisch eine Weisung. Die Norm sagt auch nicht, dass jedes vertragliche Sublimit oder Jahresaggregat ohne weitere Prüfung durchbrochen wird. § 83 Abs. 4 betrifft ausschließlich die Tierversicherung und hat hier keinen Cyber-Bezug.

Schadensermittlungskosten nach § 85 VVG

„(1) Der Versicherer hat dem Versicherungsnehmer die Kosten, die durch die Ermittlung und Feststellung des von ihm zu ersetzenden Schadens entstehen, insoweit zu erstatten, als ihre Aufwendung den Umständen nach geboten war. Diese Kosten sind auch insoweit zu erstatten, als sie zusammen mit der sonstigen Entschädigung die Versicherungssumme übersteigen.“

— § 85 Abs. 1 VVG[Q14]

§ 85 Abs. 1 verlangt keine Versichererweisung. Er enthält aber keinen eigenen Vorschussanspruch. Die Norm betrifft nur die Ermittlung und Feststellung eines Schadens, den der Versicherer zu ersetzen hat. Kosten eines selbst hinzugezogenen Sachverständigen oder Beistands sind nach Absatz 2 grundsätzlich nicht zu erstatten. Eine Ausnahme gilt, wenn der Versicherungsnehmer zur Zuziehung vertraglich verpflichtet oder vom Versicherer aufgefordert wurde. Absatz 3 erlaubt eine entsprechende Kürzung, wenn die Versicherungsleistung gekürzt werden darf.

§ 85 gehört nicht zu den in § 87 VVG ausdrücklich halbzwingend geschützten Vorschriften. Daraus folgt nicht, dass jede vertragliche Beschränkung wirksam ist. Einbeziehung, Auslegung, AGB-Kontrolle und gegebenenfalls die Großrisikoregel des § 210 VVG bleiben gesondert zu prüfen.[Q15]

Die amtliche Begründung zur VVG-Reform bezeichnet einen vollständigen AVB-Ausschluss des Kostenersatzes, der den Versicherungsschutz aushöhlt, als nach § 307 BGB unwirksam. Das ist eine Gesetzgebungsmaterialie, kein Gesetzeswortlaut und kein allgemeines Urteil über jede Beschränkung.[Q23]

Schutzvorschriften und Vertragsfreiheit

§ 5 Abs. 4 und § 14 Abs. 3 enthalten eigene Unwirksamkeitsgebote. Fehlt eine Norm in einem Schutzkatalog, bleibt die Prüfung von Vertragsschluss, Rang, Auslegung und §§ 305 ff. BGB bestehen.[Q15][Q30]

Ein Großrisiko bestimmt sich nach den gesetzlichen Risikokategorien und Schwellen. „Laufende Versicherung“ bezeichnet die besondere Vertragsart der §§ 53 bis 58 VVG, nicht jeden jährlich verlängerten Vertrag. Ob § 210 aktiviert ist, muss vor der Berufung auf eine nachteilige Vertragsabweichung positiv oder negativ festgestellt werden. Die AGB-Kontrolle nach §§ 305 ff. BGB wird dadurch nicht pauschal beseitigt.[Q15][Q29]

Fünf Kosten- und Leistungswege im Vergleich

Limit- und Aggregationswasserfall

Eine Begrenzung wird nicht angewandt, bevor feststeht, auf welchen Anspruch sie rechtlich wirkt und ob sie wirksam ist.

Rechnung nach Tätigkeit, Person, Zeitraum, System und Zweck aufteilen

→ jede Position § 83, § 85, regulärer Vertragsentschädigung, direkter Assistance oder Vorfeldleistung zuordnen

→ Modul als Schaden-, Summen-, Service- oder Haftpflichtleistung qualifizieren

→ Großrisiko oder laufende Versicherung im Sinn der §§ 53 bis 58 VVG nach § 210 positiv oder negativ bestimmen

→ Einbeziehung, Auslegung und AGB-Kontrolle jeder vertraglichen Kürzungs- oder Begrenzungsklausel prüfen

→ bei einer Abweichung von §§ 82 oder 83 und nicht aktiviertem § 210 zusätzlich § 87 als halbzwingende Schranke prüfen

→ für § 85 beachten: keine §-87-Schranke; Einbeziehung, Auslegung und AGB-Kontrolle bleiben

→ erstattungsfähigen Ausgangsbetrag jeder Position bestimmen

→ festgestellte gesetzliche und nur wirksame vertragliche Kürzungen erfassen, insbesondere §§ 19/21, 26, 28, 81 oder 82

→ Kürzungsdurchgriff nach § 83 Abs. 2 oder § 85 Abs. 3 nur im jeweiligen Tatbestand

→ konkrete Reihenfolge von Quote, zeitlicher oder monetärer Selbstbeteiligung, Franchise, Sublimit und Hauptlimit bestimmen; keine Universalreihenfolge unterstellen

→ Serien-, Gesellschafts-, Standort- und Periodenzuordnung

→ Sublimits, gemeinsam genutzte Limits, Hauptsumme, Kostenanrechnung, Jahresaggregat, Vorverbrauch und Wiederauffüllung

→ Mitversicherungsanteile und andere Policen

→ Über-Summen-Wirkung nach § 83 Abs. 3 oder § 85 Abs. 1 nur für den jeweils erfassten Anspruch

→ Vorsteuer, Währung, Kryptowert, Umrechnungsstichtag, Transaktionskosten, Zuschüsse, Rückflüsse, Restwerte und Regresszahlungen

→ Aufrechnung nach § 35 und sonstige Abzüge nur aus eigener Grundlage

→ richtigen Anspruchs- und Zahlungsempfänger bestimmen; bei Annahme einer Versichererleistung durch einen Vermittler § 64 gesondert prüfen

→ Nettoleistung.

§ 83 Abs. 3 oder § 85 Abs. 1 darf nicht erst nach einer ungeprüften Limitkürzung „hinzugerechnet“ werden. Zuerst ist zu bestimmen, ob die konkrete Begrenzung den gesetzlichen Anspruch wirksam erfasst. Direkte Dienstleistungen oder vom Versicherer beauftragte Anbieter können Limits verbrauchen, müssen es aber nicht; entscheidend ist die wirksame Anrechnungsregel. Auch die Reihenfolge von Quote, Selbstbeteiligung und Limit ist nicht universell, sondern aus Rechtsgrund und Police abzuleiten.

Liquidität: Abschlag, Vorschuss und Direktleistung

§ 14 VVG regelt die Fälligkeit von Geldleistungen nach Abschluss der notwendigen Erhebungen. Sind die Erhebungen bis zum Ablauf eines Monats seit der Anzeige des Versicherungsfalls nicht beendet, kann der Versicherungsnehmer einen Abschlag in Höhe des voraussichtlich mindestens geschuldeten Betrags verlangen. Die Monatsfrist ist gehemmt, solange die Erhebungen infolge seines Verschuldens nicht beendet werden können.[Q16]

Davon zu trennen sind:

• Vorschuss auf §-82-Aufwendungen nach § 83 Abs. 1 Satz 2,
• vertraglicher Vorschuss,
• direkte Beauftragung oder Assistance durch den Versicherer,
• Teilzahlung ohne endgültige Deckungsentscheidung.

Eine unmittelbare Dienstleistung ist nicht automatisch eine Geldleistung nach § 14. § 14 Abs. 3 erklärt nur einen Verzicht auf Verzugszinsen für unwirksam; Verzug und Zinshöhe folgen eigenen Voraussetzungen.

Anspruchsanmeldung und Verjährung

Wird ein Anspruch beim Versicherer angemeldet, ist die Verjährung nach § 15 VVG bis zum Zugang der Entscheidung in Textform gehemmt.[Q17] § 15 bestimmt weder die Verjährungsfrist noch deren Beginn.

Vorfallanzeige und Anspruchsanmeldung können in einer Erklärung zusammenfallen. Das muss sich aus dem Inhalt ergeben. Eine reine Ereignismeldung ist nicht automatisch eine Anspruchsanmeldung.

Weitere Hemmungs- oder Neubeginnstatbestände, etwa Verhandlungen, Rechtsverfolgungsmaßnahmen oder Anerkenntnis, folgen ihren eigenen Voraussetzungen im Bürgerlichen Gesetzbuch. Schweigen, Eingangsbestätigung oder Teilzahlung dürfen nicht pauschal eingeordnet werden.

Sachverständigenverfahren und Aufwendungen vor dem Versicherungsfall

§ 84 VVG betrifft ein vertraglich vorgesehenes Sachverständigenverfahren zur Feststellung einzelner Voraussetzungen des Versicherungsanspruchs oder der Schadenhöhe. Die Feststellung ist bei offensichtlicher erheblicher Abweichung von der wirklichen Sachlage nicht bindend; dann entscheidet das Gericht. Gleiches gilt bei Nichtkönnen, Nichtwollen oder Verzögerung der Sachverständigen. Sieht der Vertrag eine gerichtliche Ernennung vor, ist grundsätzlich das Amtsgericht am Schadensort zuständig. Eine ausdrückliche Vereinbarung kann ein anderes Amtsgericht bestimmen. Die Verfügung, die dem Ernennungsantrag stattgibt, ist nicht anfechtbar. Das Verfahren ist nicht mit eigenen Schadensermittlungskosten nach § 85 gleichzusetzen.[Q1]

§ 90 VVG ordnet bei unmittelbar bevorstehendem Versicherungsfall die entsprechende Anwendung von § 83 Abs. 1 Satz 1 sowie Abs. 2 und 3 an. Das setzt eine gesicherte Einordnung als Sachversicherung und den gesetzlichen Tatbestand voraus. Der Vorschuss aus § 83 Abs. 1 Satz 2 wird nicht einbezogen.[Q27]

Bei gesicherter Sachversicherungseinordnung ist die Entschädigung nach § 91 VVG nach Ablauf eines Monats seit Anzeige des Versicherungsfalls mit vier Prozent jährlich zu verzinsen, soweit nicht aus einem anderen Rechtsgrund höhere Zinsen verlangt werden können. Der Lauf der Frist ist gehemmt, solange der Schaden infolge eines Verschuldens des Versicherungsnehmers nicht festgestellt werden kann. Diese Verzinsung ist weder Fälligkeit noch Abschlag oder Vorschuss.[Q27]

Gegenprobe: Wurde aus einer Forensikrechnung oder Versichererfreigabe vorschnell eine unbegrenzte Erstattung oberhalb aller vertraglichen Grenzen abgeleitet?

9. Regress, Beweissicherung und Zurechnung — § 86 VVG

§ 86 gehört zum Schadensversicherungszweig. Besteht ein Ersatzanspruch des Versicherungsnehmers gegen einen Dritten und ersetzt der Versicherer den Schaden, geht der Anspruch kraft Gesetzes im Umfang der Leistung auf den Versicherer über. Der Übergang darf nicht zum Nachteil des Versicherungsnehmers geltend gemacht werden.[Q18]

Mögliche Anspruchsgegner können sein:

• IT-Dienstleister,
• Cloud- oder Hosting-Anbieter,
• Softwarelieferanten,
• Wartungsunternehmen,
• sonstige Vertragspartner,
• deliktisch verantwortliche Personen, soweit identifizierbar; Durchsetzbarkeit und wirtschaftlicher Wert werden davon getrennt geprüft.

Ob ein Anspruch besteht, richtet sich nicht nach der Cyber-Police. Vertragsinhalt, Leistungsstandard, Haftungsbegrenzungen, Kausalität, Mitverschulden, Verjährung und anwendbares Recht des Drittrechtsverhältnisses sind gesondert zu prüfen.

Wahrung und Mitwirkung

Der Versicherungsnehmer muss den Ersatzanspruch und Sicherungsrechte unter Beachtung geltender Formen und Fristen wahren und bei der Durchsetzung durch den Versicherer soweit erforderlich mitwirken. Vorsätzliche Pflichtverletzung wirkt nur insoweit, wie der Versicherer deshalb keinen Ersatz erlangen kann. Bei grober Fahrlässigkeit gilt die gesetzliche Quotelung und der Gegenbeweis des Versicherungsnehmers.[Q18]

Die amtliche Gesetzesbegründung versteht auch die grob fahrlässige Rechtsfolge als auf den beeinträchtigten Drittersatz begrenzt. Das ist eine Materialienaussage, kein zusätzlicher Wortlaut des § 86 Abs. 2.[Q23]

Die Regressakte sollte enthalten:

• Vertrag und Leistungsbeschreibung des Dienstleisters,
• Service-Level und Änderungsdokumentation,
• Tickets, Warnungen und Eskalationen,
• Logs, Images, Backups und technische Berichte,
• Chronologie der Ursache und Schadenentwicklung,
• Haftungs- und Freistellungsklauseln,
• Verjährungs- und Ausschlussfristen,
• mögliche Anerkenntnisse, Vergleiche oder Verzichtserklärungen,
• Sicherheiten und Versicherungsinformationen des Dritten.

Ein vorschneller Haftungsverzicht, Vergleich oder eine Beweisvernichtung kann die Regressposition beeinträchtigen. Notwendige Eindämmung darf dennoch nicht allein zur Beweissicherung unterlassen werden. Beide Ziele sind dokumentiert abzuwägen.

Häusliche Gemeinschaft statt allgemeines Angehörigenprivileg

§ 86 Abs. 3 beschränkt die Geltendmachung des übergegangenen Anspruchs gegen eine Person, die bei Eintritt des Schadens mit dem Versicherungsnehmer in häuslicher Gemeinschaft lebt. Bei vorsätzlicher Schadensverursachung greift diese Beschränkung nicht. Die Norm ist kein allgemeines Privileg für alle Angehörigen.[Q18]

Versicherung für fremde Rechnung im Konzernprogramm

Bei Konzern- oder Mehrgesellschaftsprogrammen ist vor jeder Zurechnung zu prüfen, ob §§ 43 bis 48 VVG eingreifen.[Q26]

• § 43 erlaubt den Vertragsschluss im eigenen Namen für einen anderen. Im Zweifel liegt bei erkennbarer Fremdrechnung keine Stellvertretung vor; ohne erkennbares fremdes Interesse gilt der Vertrag als für eigene Rechnung geschlossen.
• § 44 ordnet die Rechte grundsätzlich dem Versicherten zu. Ohne Zustimmung des Versicherungsnehmers darf er nur bei Besitz des Versicherungsscheins verfügen und gerichtlich vorgehen.
• § 45 lässt den Versicherungsnehmer im eigenen Namen verfügen. Bei ausgestelltem Versicherungsschein braucht er für Leistungsannahme oder Rechtsübertragung ohne Zustimmung des Versicherten dessen Besitz; Leistung an ihn setzt die Zustimmung des Versicherten zur Versicherung voraus.
• § 46 betrifft seinen sachbezogenen Sonderfall und ist nicht pauschal auf immaterielle Cyber-Interessen übertragbar.
• § 47 enthält eigene Wissens- und Verhaltensregeln samt Ausnahmen bei fehlendem Wissen, unmöglicher oder unzumutbarer Benachrichtigung und nicht offengelegtem Vertrag ohne Auftrag.
• § 48 betrifft Versicherungen „für Rechnung wen es angeht“ und vergleichbar unbestimmte Interessenlagen.

Aus der Bezeichnung „mitversichert“ folgt weder automatisch Anspruchsinhaberschaft noch Empfangs-, Verfügungs- oder Wissenszurechnung.

Zurechnung bei Unternehmen

Vor einer Kürzung oder Regressfolge ist zu klären:

betroffener Rechtsträger und Baustein

→ konkrete Pflicht

→ Pflichtadressat

→ handelnde oder wissende Person

→ gesetzliche oder vertragliche Zurechnungsregel

→ Verschulden und Kausalität

→ Beweisstatus

→ erst dann Rechtsfolge.

Das Verhalten eines Mitarbeiters, Organs, Versicherungsvertreters, Maklers oder Dienstleisters darf nicht ohne benannte Zurechnungsgrundlage dem Versicherungsnehmer zugerechnet werden. § 20 VVG und § 47 VVG regeln unterschiedliche Konstellationen.[Q25][Q26]

Negativ- und Wertprüfung:

• Ist kein Ersatzanspruch entstanden oder war er von Anfang an wirksam ausgeschlossen, findet kein Übergang nach § 86 Abs. 1 statt.
• Besteht ein Anspruch, ist er aber bestritten, einredebehaftet, vertraglich begrenzt, beweisschwach oder wirtschaftlich schwer realisierbar, kann der gesetzliche Übergang dennoch eintreten. Durchsetzbarkeit und wirtschaftlicher Wert sind dann gesondert zu bewerten.
• Die First-Party-Leistung folgt unabhängig davon ihrem eigenen Tatbestand.

10. Abgrenzungen, Ausschlüsse, andere Policen und Vertragsfortbestand

Was nicht der First-Party-Baustein ist

§ 65 BSIG enthält Bußgeldtatbestände und Bußgeldrahmen. Die Norm entscheidet nicht, ob eine Geldbuße versicherbar ist. Aus ihr darf keine pauschale Versicherbarkeitsaussage abgeleitet werden.[Q19]

Beratungs-, Vertriebs- und Sonderrollen sind keine Deckungsbausteine

Beratungs-, Informations- und Widerrufsfragen nach §§ 6 bis 9 VVG sowie Vermittlerpflichten nach §§ 59 bis 68 VVG sind keine First-Party-Leistungen. Ein eigenständiger Pflichten- oder Ersatzpfad wird nur bei konkretem Anlass vollständig geprüft und sonst zu Antrag & Anzeigepflicht (Underwriting) geroutet.[Q29]

Soll ein Vermittler eine Versichererleistung annehmen, ist § 64 VVG unabhängig von einem Beratungsfehler zu prüfen. Die gesonderte schriftliche Annahmevollmacht ist keine Empfangsvollmacht für Anzeigen oder Weisungsanfragen.[Q26][Q30]

§ 65 VVG im Vermittlerrecht, § 210 VVG zu Großrisiken und § 65 BSIG zu Bußgeldern regeln verschiedene Gegenstände. § 216 VVG kann bei Lloyd’s einen engen Prozessfall betreffen, schafft aber keine allgemeine Empfangs- oder Regulierungsbefugnis.[Q1][Q15][Q19]

Ausschluss und Wiedereinschluss

Ein Ausschluss ist keine bloße Überschrift. Zu prüfen sind:

Primärdeckung

→ genauer Ausschlusstatbestand

→ erforderlicher Ursachenzusammenhang

→ konkurrierende oder mitwirkende Ursachen

→ gegebenenfalls eine Klausel zu zugleich wirkenden Ursachen, häufig „Anti-Concurrent-Causation“-Klausel genannt, nach ihrem Wortlaut

→ Rückausnahme, Wiedereinschluss oder Unterausnahme

→ verbleibende Kosten- und Schadenarten

→ Beweisstatus.

Der Ausschluss einer Kostenposition schließt nicht automatisch den gesamten Vorfall aus. Ein Wiedereinschluss kann nur die Reichweite haben, die sein Wortlaut trägt.

Mögliche Ausschlussfelder sind policeabhängig. Dazu können Krieg oder staatliche Cyberangriffe, Infrastruktur, bekannte Umstände, vorsätzliches Verhalten, Vermögensabfluss, Social Engineering, Sach- oder Personenschäden, externe Dienstleister, Vertragsstrafen, Bußgelder und Verbesserungen gehören. Auch konkreter Wiederherstellungsaufwand ist vom bloßen wirtschaftlichen Wertverlust von Daten, geistigem Eigentum oder Geschäftsgeheimnissen zu trennen. Kein Feld darf ohne konkrete Police als allgemeiner Marktstandard dargestellt werden.

Serien- und Aggregationsklauseln sind zunächst Zuordnungsmechaniken für Ereignisse, Perioden, Selbstbeteiligungen oder Limits. Eine ausschließende Wirkung darf nur aus dem konkreten Wortlaut abgeleitet werden.

Silent Cyber bezeichnet eine nicht affirmative Cyber-Exponierung in einer Police, in der Cyberdeckung weder ausdrücklich einbezogen noch ausdrücklich ausgeschlossen ist. Einen ausdrücklichen Cyber-Ausschluss und einen ausdrücklichen Cyber-Wiedereinschluss davon getrennt prüfen. Ob eine Sach-, Elektronik-, Betriebsunterbrechungs-, Crime- oder Haftpflichtpolice reagiert, folgt aus deren Vertragsinhalt.[Q32]

Versicherungswert, Versicherungssumme und Taxe — nur bei wertbezogenem Schadensversicherungsbaustein

Dieser Zweig wird nur aktiviert, wenn der konkrete Modulteil als Schadensversicherung eingeordnet ist und mit einem Versicherungswert arbeitet.[Q27]

Versicherungswert, Taxe, Tagessatz, Kostenlimit, Sublimit und Versicherungssumme sind unterschiedliche Mechaniken.

Andere Policen und Mehrfachversicherung

Mehrere Policen bedeuten nicht automatisch Mehrfachversicherung im Sinn der §§ 77 und 78 VVG. Dafür müssen insbesondere dasselbe Interesse und dieselbe Gefahr betroffen sein; § 78 Abs. 1 enthält zusätzliche Schwellen.[Q20]

Nach § 77 ist jeder Versicherer unverzüglich zu informieren; der andere Versicherer und die Versicherungssumme sind anzugeben. Bei getrennter Versicherung von entgehendem Gewinn und sonstigem Schaden gilt die Anzeige entsprechend.[Q20]

§ 78 Abs. 1 verlangt zusätzlich, dass die zusammengefassten Summen den Versicherungswert oder die hypothetischen Einzelentschädigungen den Gesamtschaden übersteigen. Die Versicherer haften dann im Außenverhältnis als Gesamtschuldner: Jeder schuldet seinen Vertragsbetrag, insgesamt bleibt es beim Schaden.

Im Innenausgleich tragen die Versicherer die Last nach den Beträgen, die sie aus dem jeweiligen Vertrag schulden. Für eine Versicherung unter ausländischem Recht besteht der Ausgleichsanspruch des betreffenden Versicherers nach § 78 Abs. 2 nur, wenn er selbst nach diesem Recht zum Ausgleich verpflichtet ist. Absatz 3 betrifft die Haftpflichtversicherung von Gespannen und hat hier keinen Cyber-Bezug. Absatz 4 macht jeden Vertrag nichtig, der in der Absicht eines rechtswidrigen Vermögensvorteils geschlossen wurde, und belässt dem Versicherer die Prämie bis zu seiner Kenntnis.

Hat der Versicherungsnehmer den die Mehrfachversicherung auslösenden Vertrag ohne Kenntnis ihres Entstehens geschlossen, kann er die Aufhebung des später geschlossenen Vertrags verlangen. Alternativ kann er dessen Versicherungssumme unter verhältnismäßiger Prämienminderung auf den durch die frühere Versicherung nicht gedeckten Teilbetrag herabsetzen lassen. Absatz 1 gilt entsprechend, wenn die Mehrfachversicherung erst durch einen späteren Rückgang des Versicherungswerts entsteht. Nur in diesem Absatz-2-Fall ist bei gleichzeitig oder im Einvernehmen der Versicherer geschlossenen Verträgen allein eine verhältnismäßige Herabsetzung der Versicherungssummen und Prämien möglich.[Q20]

Es gibt keinen automatischen Vorrang der Cyber-Police. Andere-Versicherung-, Vorrang-, Subsidiaritäts-, Difference-in-Conditions- oder Difference-in-Limits-Klauseln brauchen eine gemeinsame Vertragsanalyse.

Versichertes Interesse und Sachversicherung

Die §§ 74 bis 80 VVG sind nur auf den rechtlich als Schadensversicherung eingeordneten Teil anzuwenden. Eine Versicherungssumme unterhalb tatsächlicher Kosten ist nicht automatisch eine gesetzliche Unterversicherung. Versicherungswert, Taxe, Sublimit und Kostenlimit sind verschiedene Mechaniken.[Q27]

Besteht das versicherte Interesse bei Versicherungsbeginn nicht oder entsteht ein für die Zukunft versichertes Interesse nicht, schuldet der Versicherungsnehmer nach § 80 Abs. 1 keine Prämie; der Versicherer kann eine angemessene Geschäftsgebühr verlangen. Fällt das Interesse später weg, bestimmt Absatz 2 die Prämie nach dem hypothetischen Vertragsende zum Zeitpunkt der Kenntnis des Versicherers. Absatz 3 enthält einen eigenständigen Nichtigkeits- und Prämienpfad, wenn ein nicht bestehendes Interesse zur Erlangung eines rechtswidrigen Vermögensvorteils versichert wurde. Dieser Ausnahmefall darf weder übergangen noch ohne seine besondere Absicht unterstellt werden.[Q21]

Die §§ 88 bis 99 VVG werden nur aktiviert, wenn ein konkreter Modulteil rechtlich als Sachversicherung einzuordnen ist. Dann sind unter anderem § 92 zur Kündigung nach dem Versicherungsfall und § 93 zu Wiederherstellungs- oder Wiederbeschaffungsklauseln zu prüfen. Ein Cyber-Baustein ist nicht allein wegen Daten- oder Hardwarebezug automatisch Sachversicherung.[Q27]

Wird ein Modulteil tatsächlich als Sachversicherung eingeordnet und betrifft er eine veräußerbare versicherte Sache, sind zusätzlich §§ 95 bis 98 VVG zu prüfen. Das betrifft insbesondere Eintritt des Erwerbers, Kündigungsrechte, Anzeige der Veräußerung und den Schutz des Erwerbers vor nachteiligen Abweichungen. Für reine Daten-, Kosten-, Service- oder Betriebsunterbrechungsbausteine wird dieser Zweig nicht ohne gesicherte Sachversicherungsqualifikation aktiviert.[Q27]

§ 93 wird nur aktiviert, wenn der Vertrag einen Teil der Entschädigung von der Wiederherstellung oder Wiederbeschaffung der versicherten Sache abhängig macht. Ein Betrag oberhalb des Versicherungswerts kann dann erst verlangt werden, wenn Wiederherstellung oder Wiederbeschaffung gesichert ist. Unterbleibt sie innerhalb angemessener Frist infolge eines Verschuldens des Versicherungsnehmers, ist der über den Versicherungswert hinaus gezahlte Teil zurückzuzahlen.[Q27]

Nach dem Schadenfall

Für Beginn, Laufzeit und Vertragsfortbestand sind gesetzliche Ausgangspunkte und Police getrennt zu lesen:[Q29]

• § 10 VVG regelt bei einer nach Tagen, Wochen, Monaten oder einem mehrere Monate umfassenden Zeitraum bestimmten Dauer den gesetzlichen Beginn und das Ende.
• Bei einem auf bestimmte Zeit eingegangenen Versicherungsverhältnis ist eine im Voraus vereinbarte Verlängerung für den Fall unterbliebener Kündigung nach § 11 Abs. 1 unwirksam, soweit sie sich jeweils auf mehr als ein Jahr erstreckt.
• Ein Vertrag auf unbestimmte Zeit kann nach § 11 Abs. 2 grundsätzlich nur zum Schluss der laufenden Versicherungsperiode gekündigt werden. Ein Kündigungsverzicht ist höchstens für zwei Jahre zulässig.
• Die Kündigungsfrist muss nach § 11 Abs. 3 für beide Parteien gleich sein und zwischen einem und drei Monaten liegen.
• Bei einer Vertragsdauer von mehr als drei Jahren kann der Versicherungsnehmer nach § 11 Abs. 4 zum Ende des dritten oder eines Folgejahres kündigen. Die Frist beträgt drei Monate.

Hat der Versicherungsnehmer eine Anschriftenänderung nicht mitgeteilt, kann für eine Willenserklärung des Versicherers nach § 13 Abs. 1 die Absendung eines eingeschriebenen Briefes an die letzte bekannte Anschrift genügen. Die Erklärung gilt drei Tage nach der Absendung als zugegangen. Das gilt entsprechend für eine Namensänderung. Wurde die Versicherung im Gewerbebetrieb genommen, gilt Absatz 1 Satz 1 und 2 nach § 13 Abs. 2 entsprechend für die Verlegung der gewerblichen Niederlassung. Diese Zugangsfiktion darf nur in ihrem engen gesetzlichen Tatbestand angewandt werden.[Q29]

Diese gesetzlichen Ausgangspunkte ersetzen weder abweichende wirksame Vertragsregeln noch besondere Kündigungsrechte. § 18 VVG schützt § 11 Abs. 2 bis 4 vor nachteiliger Abweichung.[Q30]

Eine wirksame Kündigung nach dem Schadenfall wirkt für den künftigen Vertragsbestand. Der bereits entstandene Anspruch bleibt nach seinem eigenen Tatbestand zu prüfen.

Wird ein Modul als Sachversicherung qualifiziert, kann § 92 VVG hinzutreten:[Q27]

• Nach Eintritt des Versicherungsfalls kann jede Vertragspartei kündigen.
• Die Kündigung ist nur bis zum Ablauf eines Monats seit Abschluss der Entschädigungsverhandlungen zulässig.
• Der Versicherer muss eine Kündigungsfrist von einem Monat einhalten.
• Der Versicherungsnehmer darf nicht für einen späteren Zeitpunkt als den Schluss der laufenden Versicherungsperiode kündigen.
• Der Hagelversicherungs-Sonderfall wird nur bei einem tatsächlich einschlägigen Sachverhalt aktiviert; für den beschriebenen Cyber-First-Party-Kern ist kein solcher Trigger erkennbar.

Daneben sind vertragliches Kündigungsrecht, Nichtverlängerung, Erklärungsfrist, Wirksamkeitszeitpunkt, Programmebene, Nachhaftung, Nachmeldefrist, bekannte Umstände, verbrauchtes Aggregat und neue oder fortdauernde Vorfälle zu prüfen. Vertragsverlängerung oder Vertragserneuerung, im Markt oft „Renewal“ genannt, und Underwriting stehen in Antrag & Anzeigepflicht (Underwriting).

Gegenprobe: Wurde aus dem Ausschluss einer einzelnen Kostenart oder der Kündigung nach dem Schadenfall ein vollständiger rückwirkender Deckungswegfall abgeleitet?

11. Arbeitsprodukte und Prüfreihenfolge — das Deckungs-Playbook

Der belastbare Schadenfall entsteht in der Dokumentation ab der ersten Stunde. Geschäftsleitung, Recht, Informationssicherheit, Finanzen, Versicherung und externe Berater müssen dieselbe Tatsachengrundlage verwenden.

Mindestmatrix für Darlegung, Beweis und Evidenz

Die Matrix wird nicht erst später angelegt. Sie gehört ab dem ersten Vorfallstag in die Schadenakte. Jede Zeile trennt vier Ebenen: ausdrückliche Wortlautregel, amtliche Materialienaussage, nur mit zugelassener Autorität klärbaren Rest und den konkreten Aktenstatus. Ein offener Punkt ist kein materielles Ergebnis.

Die konkrete Akte ergänzt je Position Bestreitensrichtung, verantwortliche Person, Speicherort, Zugriffsrechte, Sicherungsfrist, Lücke, nächste Maßnahme und Freigabestatus.[Q23]

Akut: die ersten versicherungsbezogenen Entscheidungen

1. Sämtliche potenziell relevanten Policen und Notfallkontakte sichern.
2. Betroffenen Rechtsträger, Programmebene und richtigen Versicherer bestimmen.
3. Vorfall und Anspruch frist- und obliegenheitswahrend, aber ohne Anerkenntnis von Versicherungsfall, Deckung, Pflichtverletzung, Kausalität, Schadenhöhe, Haftung oder Rechtsverstoß an den richtigen Empfänger melden.
4. Notwendige Sofortmaßnahmen durchführen und ihre Gründe dokumentieren.
5. Weisungen und Freigaben präzise anfragen, ohne notwendige Eindämmung zu verzögern.
6. Rechnungen nach Tätigkeit und Zweck strukturieren.
7. Betriebsunterbrechungsdaten ab dem ersten Ausfallzeitpunkt sichern.
8. Straf-, Sanktions- und Insolvenzfragen bei Erpressung getrennt eskalieren.
9. Regressbeweise, Vertrags- und Verjährungsfristen sichern.
10. Abschlag, Vorschuss oder Direktleistung rechtzeitig beantragen.

Forensische Beweissicherung und Informationsgovernance

Eine dokumentierte Beweismittelkette, oft „Chain of Custody“ genannt, hält Herkunft, Übernahme, Integrität, Bearbeitung und Weitergabe eines Beweismittels nachvollziehbar fest. Ein Entscheidungsprotokoll, oft „Decision Log“ genannt, dokumentiert Entscheidung, Zeitpunkt, Verantwortliche, Tatsachengrundlage und verworfene Alternativen.

Beweis- und Incident-Response-Zweck

→ Rechtsgrundlage, Verantwortlichkeit und Mandat

→ Datenarten, Beschäftigtendaten und Geschäftsgeheimnisse

→ Erforderlichkeit und Datenminimierung

→ Zugriffsrollen, Trennung von Mandaten und Versionierung

→ Beweismittelkette und Integritätsnachweis

→ Befugnis zur Weitergabe an Versicherer, Forensiker, Anwälte, Behörden oder weitere Dritte

→ Aufbewahrung, Sperrung, Löschung und dokumentierte Aufbewahrungs- oder Sperranweisung („Legal Hold“)

→ Vertraulichkeits- und Privilegstatus konkret prüfen, nicht pauschal behaupten

→ Beweiserhalt gegen notwendige Eindämmung abwägen und die Entscheidung dokumentieren.

Eine Aufbewahrungsanweisung, versionierte Forensikakte oder Beweismittelkette kann fachlich erforderlich sein. Daraus folgt ohne eigenen Norm- oder Vertragsanker weder eine allgemeine gesetzliche Pflicht noch ein pauschaler anwaltlicher Vertraulichkeits-, Beschlagnahme- oder Privilegschutz. Technische Sicherung, Datenschutz, Beschäftigtendaten, Geschäftsgeheimnisse und notwendige Eindämmung bleiben getrennte, aber koordinierte Arbeitsstränge.

Vorstandsfazit

Eine Cyber-Police ist kein einheitlicher Kostentopf. Zuerst werden Vertrag, Rechtsträger, Ereignis und Kostenart bestimmt; danach folgen Pflichten, Rechtsfolgen und Berechnung. Forensik kann § 83, § 85 oder einer regulären Vertragsleistung zuzuordnen sein. Lösegelddeckung, Zahlungszulässigkeit und Unternehmensentscheidung bleiben getrennt. Ein möglicher Anspruch ist nur so belastbar wie seine rechtzeitige Dokumentation.

12. Zeitlicher und Markt-Geltungsstand

Diese Fassung verwendet den am 25. Juni 2026 über „Gesetze im Internet“ abrufbaren konsolidierten Text des Versicherungsvertragsgesetzes. Die amtliche Metadatenzeile nennt als letzte Änderung Artikel 12 des Gesetzes vom 26. Mai 2026, BGBl. 2026 I Nr. 156. Bei Anwendung ist für jede verwendete Norm zu prüfen, welche Änderung am maßgeblichen Stichtag tatsächlich in Kraft ist.[Q1]

Die hier ausgewertete GDV-Quelle betrifft Musterbedingungen für die Cyberrisiko-Versicherung mit Stand Februar 2024. Der GDV bezeichnet seine Musterbedingungen als unverbindlich und zur fakultativen Verwendung; abweichende Vereinbarungen sind möglich.[Q6]

Aus einem Musterbedingungswerk darf weder ein allgemeiner Marktstandard noch der Inhalt einer konkreten Police abgeleitet werden. Ebenso wird ohne aktuelle methodische Primärstudie nicht behauptet, Underwriting oder Leistungsregulierung würden allgemein „strenger“.

Zulässig ist nur die begrenzte Aussage: Konkrete Fragebögen und Bedingungen können technische Mindestanforderungen, Zustimmungsvorgaben, Zeitmechaniken und Sublimits enthalten. Deren Bedeutung folgt aus der jeweiligen Vertragsakte.

Diese Fassung ist ein allgemeines Navigationsbild unter deutschem Recht. Sie ist kein police-spezifisches Deckungstestat.

13. Schnittstellen

• Die Versicherungsarchitektur steht in Cyber-Versicherungs-Architektur.
• Die D&O-Versicherung im Cyber-Kontext steht in D&O-Versicherung im Cyber-Kontext.
• Der Strafrechtsschutz steht in Strafrechtsschutz für die Cyber-Verteidigung.
• Antragspraxis, Underwriting und Gefahrerhöhung stehen in Antrag & Anzeigepflicht (Underwriting).
• Das Krisenmanagement der ersten 72 Stunden steht in Cyber-Vorfall: die ersten 72 Stunden.
• Die BSI-Meldekaskade steht in BSI-Meldepflicht (§ 32 BSIG).
• Die Lösegeldentscheidung steht in Lösegeld — ja oder nein?.
• Bußgelder und Sanktionen stehen in Haftung und Sanktionen — Überblick.
• Anwendungsbereich und Einrichtungsstatus stehen in Schwellenwerte (250 MA / 50 Mio. €).

Regulatorische Spezialpfade bleiben getrennt von der Versicherungsanzeige. Datenschutz-, Telekommunikations- und ePrivacy-Pflichten, DORA, produkt- oder softwarebezogene Pflichten und KI-bezogene Pflichten werden in diesem Artikel nicht ausformuliert; sie werden nur bei eigenem Trigger geprüft, etwa bei personenbezogenen Daten, Telekommunikationsbezug, einschlägigem Finanzunternehmen- oder IKT-Drittdienstleisterstatus, Produkt-/Hersteller-/Importeur-/Händlerrolle oder Anbieter-/Betreiberrolle eines KI-Systems. Die Police entscheidet weder das Bestehen gesetzlicher Melde- oder Benachrichtigungspflichten noch die Zulässigkeit einer Zahlung. Umgekehrt ersetzt eine gesetzliche Meldung nicht die VVG- oder Police-Anzeige.

Die Verweise vertiefen Spezialfragen. Sie ersetzen nicht die Prüfmechanik dieses Artikels.

14. Kurzantworten auf die 24 Lese-Fragen

1. Lautet die erste Frage „Ist Cyber versichert?“? Nein. Die erste Frage lautet: Wessen Schaden oder Haftungsrisiko soll welcher Baustein tragen? First-Party-/Eigenschaden-Deckung, Cyber-Haftpflicht und D&O-Versicherung sind verschiedene Schutzrichtungen; ein Eigenschadenbaustein ersetzt keine Organhaftpflicht und umgekehrt.
2. Definiert das VVG den Cyber-Deckungsumfang? Nein. Es gibt kein eigenständiges gesetzliches Cyber-Versicherungsrecht; das VVG liefert nur den allgemeinen Rahmen (Vertragsschluss, Prämie, Anzeige, Obliegenheiten, Kosten, Regress, Entschädigung). Den primären Deckungsumfang definiert der Vertrag.
3. Beweist ein weltweiter Deckungsbereich, dass deutsches Recht gilt? Nein. Vor einer VVG-Rechtsfolge sind Rechtswahl, objektives Vertragsstatut, zwingende Vorschriften und Risikobelegenheit zu klären. Artikel 7 Rom-I gilt nicht für Rückversicherung (auf diese ist das VVG nach § 209 nicht anwendbar); Vertragsstatut, Deckungsgebiet und internationale Zuständigkeit bleiben getrennt.
4. Besteht der Vertrag nur aus dem Versicherungsschein? Nein. Maßgeblich sind Antrag, Annahme, Risikofragebogen, Schein, Nachträge, Individualvereinbarungen, besondere und Allgemeine Versicherungsbedingungen. Weicht der Schein vom Antrag ab, ist § 5 VVG zu prüfen; Klauselwirksamkeit folgt §§ 305 bis 307 und § 310 BGB.
5. Welche vier Prüfphasen dürfen nicht vermischt werden? A Vertragsinhalt und Beteiligte, B Primärdeckung, C nachgelagerte Pflichten und Rechtsfolgen, D Quantifizierung und Auszahlung. Das ist eine Prüf-, keine operative Warteanweisung — Anzeige, Meldung, Beweissicherung und Eindämmung werden nicht aufgeschoben.
6. Ist jede Rechnung mit Cyber-Bezug ein versicherter Eigenschaden? Nein. Entscheidend ist, welche Tätigkeit zu welchem Zweck, für welchen Rechtsträger und in welchem Zeitraum erbracht wurde. Mischrechnungen werden zuerst aufgeteilt; sechs rechtliche Kosten- und Leistungswege (u. a. §§ 82/83, § 85, reguläre Vertragsleistung) werden getrennt.
7. Ist „Wiederherstellung“ ein einheitlicher Begriff? Nein. Früherer Zustand, notwendige Ersatztechnologie und Verbesserung werden getrennt; Bewertungsbasis, Abschreibung und Restwert folgen dem Vertrag. Eine Modernisierungskomponente darf nicht unbemerkt in die Wiederherstellungsforderung einfließen.
8. Ist jeder Umsatzrückgang ein versicherter Betriebsunterbrechungsschaden? Nein. Zuerst das vertragliche Ereignis, dann die wirtschaftliche Berechnung. Umsatzrückgang, Unterbrechungsschaden und Entschädigung sind nicht dasselbe; die Haftzeit ist nicht die Versicherungsperiode (§ 12), und zeitliche Selbstbeteiligung, Karenz und Franchise wirken je nach Wortlaut verschieden.
9. Ist die Aussage „Lösegeld ist versichert“ belastbar? Nein. Vertraglicher Trigger, versicherte Kosten, rechtliche Zulässigkeit und Unternehmensentscheidung sind vier getrennte Fragen. Das unverbindliche GDV-Modell (Februar 2024) schließt die Zahlung von Löse-/Erpressungsgeldern aus; eine Versichererfreigabe ist keine behördliche oder strafrechtliche Freigabe.
10. Lässt eine nachträgliche Obliegenheitsverletzung die Primärdeckung rückwirkend wegfallen? Nein. Der primäre Ereignistatbestand bleibt; die Verletzung kann eine eigenständige Kündigungs-, Kürzungs- oder Leistungsfreiheitsfolge auslösen, deren Voraussetzungen, Verschulden, Kausalität, Hinweis und Fristen getrennt zu prüfen sind.
11. Folgen die §§ 33 bis 38 VVG einer Einheitslogik? Nein. § 33 Abs. 1 (Fälligkeit unverzüglich nach 14 Tagen nach Scheinzugang), § 37 (Rücktritt Abs. 1, Leistungsfreiheit Abs. 2 nur mit gesonderter Mitteilung in Textform oder auffälligem Hinweis) und § 38 (Folgeprämie mit qualifizierter Fristsetzung von mindestens zwei Wochen und Einzelbezifferung) haben eigene Tatbestände.
12. Ist jede Falschangabe eine § 19-Verletzung? Nein. Erforderlich ist die Verletzung einer Anzeigepflicht zu bekannten gefahrerheblichen Umständen, nach denen der Versicherer in Textform gefragt hat. Rücktritt (§ 19 Abs. 2) setzt Hinweis (Abs. 5), Verschulden (Abs. 3/4) und fristgerechte Ausübung (§ 21) voraus; die Anfechtung (§ 22) bleibt ein eigener Pfad nach §§ 123 bis 144 BGB.
13. Welche Fristen tragen die § 19-Rechte des Versicherers? § 21 Abs. 1: schriftliche Geltendmachung binnen eines Monats ab Kenntnis. § 21 Abs. 2: Kausalitätsgegenprüfung bei Rücktritt nach dem Versicherungsfall (Ausnahme Arglist). § 21 Abs. 3: Erlöschen fünf Jahre nach Vertragsschluss, bei Vorsatz oder Arglist zehn Jahre.
14. Ist jede IT-Änderung eine Gefahrerhöhung? Nein. § 27 schließt unerhebliche oder als mitversichert anzusehende Erhöhungen aus. § 23 enthält drei Tatbestände; § 24 (Kündigung), § 25 (Prämie/Ausschluss statt Kündigung), § 26 (Leistungsfolge mit Quotelung und zwei Gegenproben in Abs. 3) folgen getrennt.
15. Bedeutet „kein MFA“ automatisch Leistungsfreiheit? Nein. § 28 schafft die Pflicht nicht selbst; zuerst ist die Klauselfunktion zu prüfen. Abs. 1 Kündigung, Abs. 2 Leistungsfreiheit/Quotelung (Beweislast des Versicherungsnehmers), Abs. 3 Kausalitätsgegenprobe (nicht bei Arglist), Abs. 4 Hinweis bei Nachschadenobliegenheiten, Abs. 5 unwirksames Rücktrittsrecht.
16. Welche Folge hat die Herbeiführung des Versicherungsfalls (§ 81)? Nur im Schadensversicherungsteil: Abs. 1 Leistungsfreiheit bei Vorsatz, Abs. 2 Kürzung nach Schwere bei grober Fahrlässigkeit. Der Wortlaut enthält keine ausdrückliche Beweislastregel (nur Materialienaussage); § 81 ist nicht durch § 87 vor nachteiliger Abweichung geschützt.
17. Ersetzt ein E-Mail-Betreff Anzeige, Auskunft und Schadenminderung? Nein. § 30 (Anzeige), § 31 (Auskunft), § 32 (Schutzgrenze, Anzeigenform vereinbar) und § 82 (Schadenminderung) sind verschiedene Vorgänge. Der richtige Empfänger entscheidet; Empfangs- und Vertretungsmacht folgen §§ 69 bis 73 VVG, eine Maklermitteilung ist nicht automatisch Zugang beim Versicherer.
18. Wann gilt § 82 VVG? Nur wenn der betroffene Modulteil als Schadensversicherung qualifiziert ist und ein Versicherungsfall eingetreten ist. Zumutbare Weisungen sind zu befolgen, aber kein Befehl zu einer rechtlich unzulässigen Zahlung; Abs. 3/4 regeln Verschulden, Quotelung (Beweislast des Versicherungsnehmers) und Kausalitätsgegenprobe.
19. Sind § 83 und § 85 VVG allgemeine Über-Summen-Zusagen? Nein. § 83 Abs. 3 wirkt über die Versicherungssumme nur bei Aufwendungen gemäß Versichererweisung; § 85 Abs. 1 wirkt über die Summe ohne Weisung, gewährt aber keinen Vorschuss. Kein Sublimit oder Aggregat wird ohne Prüfung der wirksamen Erfassung durchbrochen.
20. Wie wirken die Schutzvorschriften (§§ 18, 32, 42, 87, 210)? Jede hat einen eigenen Schutzkatalog. § 87 schützt u. a. § 74, § 78 Abs. 4, § 80, §§ 82 bis 83, § 84 Abs. 1 Satz 1 und § 86 — nicht § 81 und nicht § 85. § 210 greift nur bei positiv festgestelltem Großrisiko oder laufender Versicherung; die AGB-Kontrolle nach §§ 305 ff. BGB bleibt.
21. Was regelt § 86 VVG beim Regress? Den gesetzlichen Forderungsübergang im Umfang der Leistung, nicht zum Nachteil des Versicherungsnehmers; dieser muss den Anspruch wahren und mitwirken. Abs. 3 beschränkt den Übergang gegen in häuslicher Gemeinschaft Lebende (kein allgemeines Angehörigenprivileg; nicht bei Vorsatz). Ob ein Anspruch besteht, folgt dem Drittrechtsverhältnis.
22. Folgt aus „mitversichert“ automatisch Anspruch, Verfügung oder Wissenszurechnung? Nein. Bei Versicherung für fremde Rechnung (§§ 43 bis 48) stehen die Rechte grundsätzlich dem Versicherten zu (§ 44); Verfügung und Empfang sind gesondert geregelt. Eine Zurechnung von Handeln oder Wissen braucht eine benannte gesetzliche oder vertragliche Grundlage (§ 20 und § 47 betreffen verschiedene Konstellationen).
23. Bedeuten mehrere Policen automatisch Mehrfachversicherung? Nein. §§ 77 und 78 setzen dasselbe Interesse und dieselbe Gefahr sowie die Schwellen des § 78 Abs. 1 voraus. § 77 verlangt unverzügliche Anzeige; im Außenverhältnis haften die Versicherer als Gesamtschuldner, der Innenausgleich folgt den geschuldeten Beträgen. Einen automatischen Vorrang der Cyber-Police gibt es nicht.
24. Wie wird der Limit- und Zahlungswasserfall gebildet? Es gibt keine Universalreihenfolge. Zuerst ist zu bestimmen, ob die konkrete Begrenzung den Anspruch wirksam erfasst; § 83 Abs. 3 oder § 85 Abs. 1 werden nicht erst nach einer ungeprüften Limitkürzung „hinzugerechnet“. Reihenfolge von Quote, Selbstbeteiligung, Franchise, Sublimit und Hauptlimit folgt aus Rechtsgrund und Police.

15. Quellen

Die Quellen sind in sechs Gruppen geordnet und behalten ihre Kennungen [Q1] bis [Q32], auf die der Fließtext verweist. Die Links zu Gesetze im Internet führen auf konsolidierte Arbeits- und Recherchefassungen; die amtliche Verkündung steht im Bundesgesetzblatt. Abrufdatum ist jeweils der 25. Juni 2026.

15.1 Nationale Normen

[Q1] Versicherungsvertragsgesetz.

Bundesministerium der Justiz und Bundesamt für Justiz, konsolidierter Gesamttext, Abruf 25. Juni 2026:

https://www.gesetze-im-internet.de/vvg\_2008/

[Q3] § 209 VVG — Rückversicherung und Seeversicherung.

Abruf 25. Juni 2026:

https://www.gesetze-im-internet.de/vvg\_2008/\_\_209.html

[Q4] § 5 VVG — Abweichender Versicherungsschein.

Abruf 25. Juni 2026:

https://www.gesetze-im-internet.de/vvg\_2008/\_\_5.html

[Q5] Bürgerliches Gesetzbuch, insbesondere §§ 133, 157, 305, 305b, 305c, 306, 307 und 310.

Abruf 25. Juni 2026:

https://www.gesetze-im-internet.de/bgb/

[Q7] § 12 VVG — Versicherungsperiode.

Abruf 25. Juni 2026:

https://www.gesetze-im-internet.de/vvg\_2008/\_\_12.html

[Q8] §§ 33 bis 38 VVG — Fälligkeit, Drittzahlung, Aufrechnung, Leistungsort, Erstprämie und Folgeprämie.

Abruf 25. Juni 2026:

https://www.gesetze-im-internet.de/vvg\_2008/\_\_33.html

https://www.gesetze-im-internet.de/vvg\_2008/\_\_34.html

https://www.gesetze-im-internet.de/vvg\_2008/\_\_35.html

https://www.gesetze-im-internet.de/vvg\_2008/\_\_36.html

https://www.gesetze-im-internet.de/vvg\_2008/\_\_37.html

https://www.gesetze-im-internet.de/vvg\_2008/\_\_38.html

[Q9] § 28 VVG — Verletzung einer vertraglichen Obliegenheit.

Abruf 25. Juni 2026:

https://www.gesetze-im-internet.de/vvg\_2008/\_\_28.html

[Q10] § 81 VVG — Herbeiführung des Versicherungsfalles.

Abruf 25. Juni 2026:

https://www.gesetze-im-internet.de/vvg\_2008/\_\_81.html

[Q11] §§ 30 bis 32 VVG — Anzeige, Auskunft und abweichende Vereinbarungen.

Abruf 25. Juni 2026:

https://www.gesetze-im-internet.de/vvg\_2008/\_\_30.html

https://www.gesetze-im-internet.de/vvg\_2008/\_\_31.html

https://www.gesetze-im-internet.de/vvg\_2008/\_\_32.html

[Q12] § 82 VVG — Abwendung und Minderung des Schadens.

Abruf 25. Juni 2026:

https://www.gesetze-im-internet.de/vvg\_2008/\_\_82.html

[Q13] § 83 VVG — Aufwendungsersatz.

Abruf 25. Juni 2026:

https://www.gesetze-im-internet.de/vvg\_2008/\_\_83.html

[Q14] § 85 VVG — Schadensermittlungskosten.

Abruf 25. Juni 2026:

https://www.gesetze-im-internet.de/vvg\_2008/\_\_85.html

[Q15] §§ 87 und 210 VVG — Abweichende Vereinbarungen und Großrisiken.

Abruf 25. Juni 2026:

https://www.gesetze-im-internet.de/vvg\_2008/\_\_87.html

https://www.gesetze-im-internet.de/vvg\_2008/\_\_210.html

[Q16] § 14 VVG — Fälligkeit der Geldleistung.

Abruf 25. Juni 2026:

https://www.gesetze-im-internet.de/vvg\_2008/\_\_14.html

[Q17] § 15 VVG — Hemmung der Verjährung.

Abruf 25. Juni 2026:

https://www.gesetze-im-internet.de/vvg\_2008/\_\_15.html

[Q18] § 86 VVG — Übergang von Ersatzansprüchen.

Abruf 25. Juni 2026:

https://www.gesetze-im-internet.de/vvg\_2008/\_\_86.html

[Q19] § 65 BSIG — Bußgeldvorschriften.

Abruf 25. Juni 2026:

https://www.gesetze-im-internet.de/bsig\_2025/\_\_65.html

[Q20] §§ 77 bis 79 VVG — Mehrere Versicherer und Mehrfachversicherung.

Abruf 25. Juni 2026:

https://www.gesetze-im-internet.de/vvg\_2008/\_\_77.html

https://www.gesetze-im-internet.de/vvg\_2008/\_\_78.html

https://www.gesetze-im-internet.de/vvg\_2008/\_\_79.html

[Q21] § 80 VVG — Fehlendes versichertes Interesse.

Abruf 25. Juni 2026:

https://www.gesetze-im-internet.de/vvg\_2008/\_\_80.html

[Q24] § 3 VVG — Versicherungsschein, Abschriften eigener Erklärungen, Kosten und Vorschuss.

Abruf 25. Juni 2026:

https://www.gesetze-im-internet.de/vvg\_2008/\_\_3.html

[Q25] §§ 19 bis 29 VVG — vorvertragliche Anzeigepflicht, Gefahrerhöhung, vertragliche Obliegenheiten und Teilrechtsfolgen.

Abruf 25. Juni 2026; Einzelnormen:

https://www.gesetze-im-internet.de/vvg\_2008/\_\_19.html

https://www.gesetze-im-internet.de/vvg\_2008/\_\_20.html

https://www.gesetze-im-internet.de/vvg\_2008/\_\_21.html

https://www.gesetze-im-internet.de/vvg\_2008/\_\_22.html

https://www.gesetze-im-internet.de/vvg\_2008/\_\_23.html

https://www.gesetze-im-internet.de/vvg\_2008/\_\_24.html

https://www.gesetze-im-internet.de/vvg\_2008/\_\_25.html

https://www.gesetze-im-internet.de/vvg\_2008/\_\_26.html

https://www.gesetze-im-internet.de/vvg\_2008/\_\_27.html

https://www.gesetze-im-internet.de/vvg\_2008/\_\_28.html

https://www.gesetze-im-internet.de/vvg\_2008/\_\_29.html

[Q26] §§ 43 bis 48 sowie §§ 64 und 69 bis 73 VVG — Versicherung für fremde Rechnung, Annahme von Versichererleistungen und Vertretervollmacht.

Abruf 25. Juni 2026; Einzelnormen:

https://www.gesetze-im-internet.de/vvg\_2008/\_\_43.html

https://www.gesetze-im-internet.de/vvg\_2008/\_\_44.html

https://www.gesetze-im-internet.de/vvg\_2008/\_\_45.html

https://www.gesetze-im-internet.de/vvg\_2008/\_\_46.html

https://www.gesetze-im-internet.de/vvg\_2008/\_\_47.html

https://www.gesetze-im-internet.de/vvg\_2008/\_\_48.html

https://www.gesetze-im-internet.de/vvg\_2008/\_\_64.html

https://www.gesetze-im-internet.de/vvg\_2008/\_\_69.html

https://www.gesetze-im-internet.de/vvg\_2008/\_\_70.html

https://www.gesetze-im-internet.de/vvg\_2008/\_\_71.html

https://www.gesetze-im-internet.de/vvg\_2008/\_\_72.html

https://www.gesetze-im-internet.de/vvg\_2008/\_\_73.html

[Q27] §§ 74 bis 80 und §§ 88 bis 99 VVG — Versicherungswert, mehrere Versicherer, versichertes Interesse und bedingter Sachversicherungszweig.

Abruf 25. Juni 2026; Einzelnormen:

https://www.gesetze-im-internet.de/vvg\_2008/\_\_74.html

https://www.gesetze-im-internet.de/vvg\_2008/\_\_75.html

https://www.gesetze-im-internet.de/vvg\_2008/\_\_76.html

https://www.gesetze-im-internet.de/vvg\_2008/\_\_77.html

https://www.gesetze-im-internet.de/vvg\_2008/\_\_78.html

https://www.gesetze-im-internet.de/vvg\_2008/\_\_79.html

https://www.gesetze-im-internet.de/vvg\_2008/\_\_80.html

https://www.gesetze-im-internet.de/vvg\_2008/\_\_88.html

https://www.gesetze-im-internet.de/vvg\_2008/\_\_89.html

https://www.gesetze-im-internet.de/vvg\_2008/\_\_90.html

https://www.gesetze-im-internet.de/vvg\_2008/\_\_91.html

https://www.gesetze-im-internet.de/vvg\_2008/\_\_92.html

https://www.gesetze-im-internet.de/vvg\_2008/\_\_93.html

https://www.gesetze-im-internet.de/vvg\_2008/\_\_94.html

https://www.gesetze-im-internet.de/vvg\_2008/\_\_95.html

https://www.gesetze-im-internet.de/vvg\_2008/\_\_96.html

https://www.gesetze-im-internet.de/vvg\_2008/\_\_97.html

https://www.gesetze-im-internet.de/vvg\_2008/\_\_98.html

https://www.gesetze-im-internet.de/vvg\_2008/\_\_99.html

[Q29] Rückwärtsversicherung sowie bedingte Beratungs-, Informations-, Beginns-, Laufzeit-, Prämien-, vorläufige Deckungs-, laufende Versicherungs- und Vermittlerpfade des VVG.

Abruf 25. Juni 2026:

https://www.gesetze-im-internet.de/vvg\_2008/\_\_2.html

https://www.gesetze-im-internet.de/vvg\_2008/\_\_6.html

https://www.gesetze-im-internet.de/vvg\_2008/\_\_6a.html

https://www.gesetze-im-internet.de/vvg\_2008/\_\_7.html

https://www.gesetze-im-internet.de/vvg\_2008/\_\_7a.html

https://www.gesetze-im-internet.de/vvg\_2008/\_\_7b.html

https://www.gesetze-im-internet.de/vvg\_2008/\_\_7c.html

https://www.gesetze-im-internet.de/vvg\_2008/\_\_8.html

https://www.gesetze-im-internet.de/vvg\_2008/\_\_9.html

https://www.gesetze-im-internet.de/vvg\_2008/\_\_10.html

https://www.gesetze-im-internet.de/vvg\_2008/\_\_11.html

https://www.gesetze-im-internet.de/vvg\_2008/\_\_13.html

https://www.gesetze-im-internet.de/vvg\_2008/\_\_34.html

https://www.gesetze-im-internet.de/vvg\_2008/\_\_35.html

https://www.gesetze-im-internet.de/vvg\_2008/\_\_36.html

https://www.gesetze-im-internet.de/vvg\_2008/\_\_49.html

https://www.gesetze-im-internet.de/vvg\_2008/\_\_50.html

https://www.gesetze-im-internet.de/vvg\_2008/\_\_51.html

https://www.gesetze-im-internet.de/vvg\_2008/\_\_52.html

https://www.gesetze-im-internet.de/vvg\_2008/\_\_53.html

https://www.gesetze-im-internet.de/vvg\_2008/\_\_54.html

https://www.gesetze-im-internet.de/vvg\_2008/\_\_55.html

https://www.gesetze-im-internet.de/vvg\_2008/\_\_56.html

https://www.gesetze-im-internet.de/vvg\_2008/\_\_57.html

https://www.gesetze-im-internet.de/vvg\_2008/\_\_58.html

https://www.gesetze-im-internet.de/vvg\_2008/\_\_59.html

https://www.gesetze-im-internet.de/vvg\_2008/\_\_60.html

https://www.gesetze-im-internet.de/vvg\_2008/\_\_61.html

https://www.gesetze-im-internet.de/vvg\_2008/\_\_62.html

https://www.gesetze-im-internet.de/vvg\_2008/\_\_63.html

https://www.gesetze-im-internet.de/vvg\_2008/\_\_65.html

https://www.gesetze-im-internet.de/vvg\_2008/\_\_66.html

https://www.gesetze-im-internet.de/vvg\_2008/\_\_67.html

https://www.gesetze-im-internet.de/vvg\_2008/\_\_68.html

[Q30] Schutz-, Zahlungs-, Leistungs- und Vertragsfreiheitsgrenzen des VVG.

Abruf 25. Juni 2026:

https://www.gesetze-im-internet.de/vvg\_2008/\_\_18.html

https://www.gesetze-im-internet.de/vvg\_2008/\_\_32.html

https://www.gesetze-im-internet.de/vvg\_2008/\_\_42.html

https://www.gesetze-im-internet.de/vvg\_2008/\_\_64.html

https://www.gesetze-im-internet.de/vvg\_2008/\_\_87.html

https://www.gesetze-im-internet.de/vvg\_2008/\_\_210.html

[Q31] Bürgerliches Gesetzbuch, insbesondere §§ 123, 124, 142 bis 144, 206, 210 und 211 — Anfechtungsgrund, Frist, Erklärung, Wirkung, Bestätigung sowie entsprechende Hemmungs- und Fristregeln.

Abruf 25. Juni 2026:

https://www.gesetze-im-internet.de/bgb/\_\_123.html

https://www.gesetze-im-internet.de/bgb/\_\_124.html

https://www.gesetze-im-internet.de/bgb/\_\_142.html

https://www.gesetze-im-internet.de/bgb/\_\_143.html

https://www.gesetze-im-internet.de/bgb/\_\_144.html

https://www.gesetze-im-internet.de/bgb/\_\_206.html

https://www.gesetze-im-internet.de/bgb/\_\_210.html

https://www.gesetze-im-internet.de/bgb/\_\_211.html

15.2 EU-Recht

[Q2] Verordnung (EG) Nr. 593/2008 über das auf vertragliche Schuldverhältnisse anzuwendende Recht (Rom I), insbesondere Artikel 7.

EUR-Lex, konsolidierte beziehungsweise amtlich veröffentlichte Fassung, Abruf 25. Juni 2026:

https://eur-lex.europa.eu/legal-content/DE/TXT/?uri=CELEX:32008R0593

[Q22] Verordnung (EU) Nr. 1215/2012 über die gerichtliche Zuständigkeit sowie die Anerkennung und Vollstreckung von Entscheidungen in Zivil- und Handelssachen, insbesondere Kapitel II Abschnitt 3.

Europäisches Parlament und Rat, konsolidierte Fassung, Abruf 25. Juni 2026:

https://eur-lex.europa.eu/legal-content/DE/TXT/?uri=CELEX:02012R1215-20150226

[Q28] Übereinkommen von Lugano vom 30. Oktober 2007 über die gerichtliche Zuständigkeit und Anerkennung von Entscheidungen.

EUR-Lex, Abruf 25. Juni 2026:

https://eur-lex.europa.eu/legal-content/DE/TXT/?uri=CELEX:22007A1221(03)

15.3 Rechtsprechung

Keine tragenden Rechtsprechungsquellen in dieser Fassung. Der Artikel stützt keine Aussage auf ein Gericht, ein Aktenzeichen, eine ECLI oder einen Leitsatz; die rechtlichen Aussagen folgen unmittelbar aus dem Normtext und den ausdrücklich als Materialien gekennzeichneten Gesetzgebungsmaterialien.

15.4 Behörden, Gesetzesmaterialien und amtliche Praxis

[Q23] Entwurf eines Gesetzes zur Reform des Versicherungsvertragsrechts, BT-Drs. 16/3945, insbesondere Begründungen zu § 19 Abs. 3 und 4, § 28 Abs. 2 und 3 sowie §§ 81 bis 83, 85 und 86 VVG.

Gedruckte Drucksachenseiten 65, 69 und 80–81; bei nullbasierter PDF-Zählung Seiten 64, 68 und 79–80. Deutscher Bundestag, 20. Dezember 2006, Abruf 25. Juni 2026:

https://dserver.bundestag.de/btd/16/039/1603945.pdf

[Q32] EIOPA, Supervisory Statement on Management of Non-Affirmative Cyber Exposures, EIOPA-BoS-22-414, insbesondere Rn. 1.9.

Quellenhinweis: behördliche Leitlinie. Abruf 25. Juni 2026:

https://www.eiopa.europa.eu/system/files/2022-09/supervisory\_statement\_on\_management\_of\_non-affirmative\_cyber\_exposures.pdf

15.5 Markt, Verträge, Versicherer und Banken

[Q6] Allgemeine Versicherungsbedingungen für die Cyberrisiko-Versicherung, Musterbedingungen des GDV, Stand Februar 2024.

Unverbindliche Bekanntgabe zur fakultativen Verwendung; Abruf 25. Juni 2026:

https://www.gdv.de/resource/blob/6100/a0fed56c4947751cdc20b5206c171d98/01-allgemeine-versicherungsbedingungen-fuer-die-cyberrisiko-versicherung-avb-cyber--data.pdf

Aktuelle Musterbedingungsübersicht:

https://www.gdv.de/gdv/service/musterbedingungen

15.6 Prüfstatus und Schlusssatz

• Rechts- und Redaktionsstand: 26. Juni 2026, Version 1.12. Recherchequellen am 25. Juni 2026 abgerufen.
• VVG-Standangabe: zuletzt geändert durch Artikel 12 des Gesetzes vom 26. Mai 2026, BGBl. 2026 I Nr. 156; für jede verwendete Norm ist der am maßgeblichen Stichtag in Kraft befindliche Text zu bestimmen. Maßgebliche Verkündungs- und Geltungsquelle bleibt das Bundesgesetzblatt.
• Mustercharakter der Marktquellen: Das GDV-Material ist unverbindlich und fakultativ; aus ihm folgt weder ein Marktstandard noch der Inhalt einer konkreten Police.
• Materialienvorbehalt: Beweislastaussagen aus BT-Drs. 16/3945 sind als Gesetzgebungsmaterialien gekennzeichnet und ersetzen keinen Normwortlaut und kein Urteil.

16. CyberSchutzEngel-Hinweis

CyberSchutzEngel ordnet Cyber-Risiken entlang von Recht, Technik, Organisation und Versicherungsvertrag. Dieser Artikel schafft ein gemeinsames Prüf- und Dokumentationsbild, ersetzt aber keine Prüfung der konkreten Police oder des konkreten Schadenfalls.