Was ist eine Cyberversicherung?
Eine Cyberversicherung sichert ein bestimmtes vereinbartes Cyberrisiko durch eine Leistung beim Eintritt des vereinbarten Versicherungsfalls ab; Umfang und Bedingungen folgen der Police.
Einordnung: Die allgemeinen Pflichten aus dem Versicherungsvertrag ergeben sich aus § 1 VVG. Welche Cyberrisiken, Leistungen und Auslöser vereinbart sind, muss anhand des Vertrags und der vollständigen Bedingungen geprüft werden.
Der Normwortlaut
Normtext aus § 1 VVG:
Der Versicherer verpflichtet sich mit dem Versicherungsvertrag, ein bestimmtes Risiko des Versicherungsnehmers oder eines Dritten durch eine Leistung abzusichern, die er bei Eintritt des vereinbarten Versicherungsfalles zu erbringen hat. Der Versicherungsnehmer ist verpflichtet, an den Versicherer die vereinbarte Zahlung (Prämie) zu leisten.
Rechtliche Einordnung: Die Vorschrift verpflichtet Versicherer und Versicherungsnehmer nach Maßgabe des Versicherungsvertrags. Eine Leistung des Versicherers knüpft an den Eintritt des vereinbarten Versicherungsfalls an. § 1 VVG definiert weder die Cyberversicherung noch eine bestimmte Mindestdeckung.
Für wen und welche Risiken ist sie gedacht?
Der persönliche und sachliche Umfang folgt dem vereinbarten Vertrag. § 1 VVG erfasst ein bestimmtes Risiko des Versicherungsnehmers oder eines Dritten. Welche Cyberrisiken die Police einschließt und welche Leistungen sie dafür vorsieht, lässt sich deshalb nur den vollständigen Vertragsunterlagen entnehmen.
Wann leistet eine Cyberversicherung?
Ein Cybervorfall allein genügt nicht. Nach § 1 VVG erbringt der Versicherer die vereinbarte Leistung beim Eintritt des vereinbarten Versicherungsfalls. Ob ein konkreter Vorfall darunter fällt und welche Leistung vereinbart ist, muss anhand der vollständigen Vertragsunterlagen bestimmt werden.
Welche Sicherheitsanforderungen können relevant sein?
Versicherungsbedingungen können konkrete IT-Sicherheitsmaßnahmen verlangen. Das BSI nennt im Ransomware-Kontext beispielhaft ein geeignetes Backup-Konzept. Ob eine solche Vorgabe tatsächlich vereinbart wurde und welche Folgen ihre Nichteinhaltung hat, kann nicht pauschal beantwortet werden, sondern ist anhand der konkreten Police zu prüfen.
Welche vertraglichen Grenzen gibt es?
Der Schutz reicht nur so weit wie das vereinbarte Risiko, der vereinbarte Versicherungsfall, die zugesagte Leistung und die vereinbarten Bedingungen. Auch konkrete IT-Sicherheitsanforderungen können für die Deckungsprüfung relevant sein. Welche Grenzen im Einzelfall gelten, ist ausschließlich anhand der vollständigen Police zu bestimmen.
Welche Fristen und Schwellenwerte sind relevant?
Behördenempfehlung: Das BSI weist darauf hin, dass Cyberversicherungsverträge in der Regel zeitliche Meldefristen regeln, und empfiehlt bei einem IT-Sicherheitsvorfall eine zeitnahe Alarmierung des Versicherers. Die konkrete Frist ist der jeweiligen Police zu entnehmen; „zeitnah“ bezeichnet hier keine allgemeine gesetzliche Frist.
Eine allgemeine, produktübergreifende gesetzliche Meldefrist oder Entschädigungsschwelle ist in den verbleibenden erreichbaren amtlichen Quellen nicht belegt. Unabhängig anwendbare gesetzliche Vorfallmeldepflichten bleiben davon unberührt.
Ersetzt die Police Informationssicherheit und Incident Response?
Nein. Eine Cyberversicherung ist finanzieller Risikotransfer und kein Nachweis angemessener Informationssicherheit. Prävention sowie die technische und organisatorische Reaktion auf einen Vorfall bleiben erforderlich. Vertraglich vereinbarte Unterstützung oder Ratschläge des Versicherers können die Vorfallbewältigung ergänzen, ersetzen sie aber nicht.
Besteht nach § 1 VVG eine Pflicht zum Abschluss?
Nein. § 1 VVG beschreibt die Pflichten aus einem bestehenden Versicherungsvertrag. Die Vorschrift ordnet keinen Abschluss einer Cyberversicherung an. Ob außerhalb dieser Vorschrift besondere Anforderungen für einen konkreten Adressaten gelten, ist davon getrennt zu prüfen.
Häufige Fehlannahmen
- „Jeder Cybervorfall löst eine Leistung aus.“ Falsch: Erforderlich ist der Eintritt des vertraglich vereinbarten Versicherungsfalls.
- „§ 1 VVG legt den Inhalt jeder Cyberversicherung fest.“ Falsch: Die Vorschrift regelt allgemeine Vertragspflichten; das konkrete Risiko und der Versicherungsfall werden vereinbart.
- „Eine Police ersetzt Backups, Prävention und Incident Response.“ Falsch: Versicherung überträgt finanzielle Risiken, ersetzt aber keine Informationssicherheit oder technische Reaktion.
- „Für jede Cyberversicherung gelten dieselben Meldefristen.“ Falsch: Konkrete Fristen müssen dem Vertrag oder einer unabhängig anwendbaren Spezialnorm entnommen werden.
- „Ein Backup-Konzept ist in jeder Police identisch vorgeschrieben.“ Falsch: Das BSI nennt es als Beispiel; entscheidend sind die tatsächlich vereinbarten Bedingungen.
- „§ 1 VVG verpflichtet zum Abschluss einer Cyberversicherung.“ Falsch: Die Norm beschreibt Pflichten aus einem bestehenden Versicherungsvertrag.
Was die Geschäftsleitung tun sollte
Die folgenden Schritte sind Praxisempfehlungen und werden nicht als allgemeine gesetzliche Pflichten zum Abschluss einer Cyberversicherung ausgegeben:
- Kritische Geschäftsprozesse und die zu übertragenden Cyberrisiken gemeinsam mit Informationssicherheitsverantwortlichen und Fachleuten bestimmen.
- Vor Abschluss oder Erneuerung Versicherungsfall, zugesagte Leistungen, Sicherheitsanforderungen und Meldefristen anhand der vollständigen Vertragsunterlagen bewerten.
- Backups, Prävention und technische Reaktionsfähigkeit unabhängig vom Versicherungsschutz aufrechterhalten.
- Police, Ansprechpartner und vertragliche Meldewege im Incident-Prozess verfügbar halten.
- Bei einem Vorfall den Versicherer zeitnah und innerhalb der konkret vereinbarten Vertragsfristen einbinden, ohne davon unabhängige gesetzliche Meldepflichten zu vernachlässigen.
Für die Geschäftsleitung
Reichweite: Eine Cyberversicherung schützt nur im Rahmen des vereinbarten Risikos, Versicherungsfalls, Leistungsumfangs und der vereinbarten Bedingungen. Entscheidung: Leistungen, Sicherheitsanforderungen und Meldewege müssen zur eigenen Risikolage und Reaktionsorganisation passen. Nachweis: Vollständige Vertragsunterlagen sowie im Incident-Prozess verfügbare Police, Ansprechpartner und vertragliche Meldewege schaffen die Grundlage für zielgerichtetes Handeln. Der Abschluss allein weist keine angemessene Informationssicherheit nach.
