Eigen- und Drittschaden in der Cyberversicherung erklärt

Was sind Eigen- und Drittschäden in der Cyberversicherung?

Eigenschäden betreffen Schäden und Aufwendungen des Versicherungsnehmers selbst; Drittschäden betreffen seine gesetzliche Haftpflicht wegen Ansprüchen Dritter. Ob und in welchem Umfang sie gedeckt sind, bestimmt die konkrete Cyberpolice.

Vertragliche Einordnung: Die Begriffe bezeichnen mögliche Deckungsbausteine, keine branchenweit einheitlichen Leistungen. Die unverbindlichen GDV-Musterbedingungen trennen Eigenschäden, darunter Betriebsunterbrechung und Datenwiederherstellung, von der Haftpflicht für Drittschäden. Für einen konkreten Leistungsanspruch sind jedoch Versicherungsschein, Nachträge und vollständige Bedingungen entscheidend.

Für wen ist die Unterscheidung relevant?

Sie ist für den im Versicherungsschein bezeichneten Versicherungsnehmer und gegebenenfalls für dort genannte mitversicherte Unternehmen relevant, sofern die jeweiligen Bausteine vereinbart wurden. Eine Cyberpolice enthält nicht automatisch beide Bereiche.

Welche Auslöser sieht das GDV-Muster vor?

Einordnung des unverbindlichen Musters: Bei Betriebsunterbrechung oder Datenwiederherstellung setzt der Eigenschadenbaustein eine Informationssicherheitsverletzung voraus. Beim Drittschaden muss der Versicherungsnehmer zusätzlich wegen einer daraus folgenden Schädigung von einem Dritten aufgrund gesetzlicher Haftpflichtbestimmungen privatrechtlichen Inhalts auf Schadensersatz in Anspruch genommen werden. Die Informationssicherheitsverletzung kann nach diesem Muster beim Versicherungsnehmer, einem mitversicherten Unternehmen oder beim Anspruchsteller eingetreten sein. Andere Policen können den Versicherungsfall und seine Auslöser anders festlegen.

Wie ist die technische Ursache einzuordnen?

Das GDV-Muster knüpft technisch an eine Beeinträchtigung der Verfügbarkeit, Integrität oder Vertraulichkeit elektronischer Daten oder informationsverarbeitender Systeme an, die der Versicherungsnehmer für seine betriebliche oder berufliche Tätigkeit nutzt. Erst danach wird geprüft, ob die Folgen unter einen vereinbarten Eigenschaden- oder Drittschadenbaustein fallen. Eine technische Störung allein ist deshalb noch keine Deckungszusage.

Welche Grenzen und Ausschlüsse sind zu prüfen?

Ausschlüsse, Versicherungssummen, Sublimits und Selbstbehalte können beide Bausteine begrenzen; besondere Vereinbarungen können den Versicherungsschutz erweitern. Die GDV-Musterbedingungen schließen bei Drittschäden beispielsweise Ansprüche aus Vertragserfüllung und Ansprüche aus, soweit sie über die gesetzliche Haftung hinausgehen. Für Eigenschäden enthalten sie besondere Ausschlüsse unter anderem für geplante Abschaltungen, geplante Datenänderungen sowie bestimmte Software- und Systemeinsätze. Auch Schäden, die aus dem Ausfall, der Unterbrechung oder der Störung der Dienstleistung eines externen Dienstleisters und der daraus folgenden Beeinträchtigung der Verfügbarkeit entstehen, sind nach dem Muster ausgeschlossen. Ob eine solche Regel im Einzelfall gilt, ergibt sich ausschließlich aus dem Vertrag.

Gelten einheitliche Fristen oder Schwellenwerte?

Nein. Für die Begriffe Eigen- und Drittschaden bestehen weder eine produktübergreifende Frist noch ein allgemeiner Schwellenwert. Meldeanforderungen, Zeiträume, Selbstbehalte, Höchstentschädigungen und Sublimits sind den konkreten Vertragsunterlagen zu entnehmen. Der im GDV-Muster vorgesehene mögliche Abschlagsanspruch einen Monat nach Schadenmeldung ist eine einzelne Musterregel und keine allgemeine Frist für Eigen- oder Drittschäden.

Welche Vertragsunterlagen entscheiden über die Deckung?

Maßgeblich sind der Versicherungsschein, sämtliche Nachträge und der vollständige Bedingungstext. Geprüft werden müssen der versicherte Personenkreis, die vereinbarten Bausteine, Definitionen und Auslöser, Ausschlüsse, Serviceleistungen, Selbstbehalte sowie Versicherungs- und Sublimits. Eine Zusammenfassung oder Produktbezeichnung ersetzt diese Gesamtprüfung nicht.

Häufige Fehlannahmen

„Jede Cyberpolice deckt Eigen- und Drittschäden.“ Falsch. Beide Bereiche sind mögliche Bausteine und müssen tatsächlich vereinbart sein.
„Ein Cyberangriff genügt für einen Leistungsanspruch.“ Falsch. Der vereinbarte Versicherungsfall, sämtliche Voraussetzungen und die Zuordnung des Schadens zum jeweiligen Baustein müssen erfüllt sein.
„Schäden bei externen Dienstleistern sind stets mitversichert.“ Falsch. Bedingungen können gerade für Ausfälle oder Störungen externer Dienste Ausschlüsse vorsehen.
„Für Eigen- und Drittschäden gelten automatisch dieselben Limits.“ Falsch. Versicherungssummen, Sublimits und Selbstbehalte können je Baustein oder Leistung unterschiedlich geregelt sein.
„Cyberversicherung ersetzt angemessene Sicherheitsmaßnahmen.“ Falsch. Versicherung überträgt ausgewählte finanzielle Risiken; sie ersetzt weder Prävention noch belastbare Reaktionsvorsorge.

Was die Geschäftsleitung tun sollte

Praxisempfehlung, keine aus dem Begriff folgende allgemeine Pflicht:

Kritische Daten, Systeme und realistische Schadensszenarien bestimmen und dabei eigene Betriebsfolgen sowie mögliche Ansprüche Dritter getrennt erfassen.
Versicherungsschein, Nachträge und vollständige Bedingungen gemeinsam auf Eigen- und Drittschadenbausteine, Auslöser, Ausschlüsse, Limits und Selbstbehalte prüfen lassen.
Überschneidungen und Lücken gegenüber bestehenden Versicherungen prüfen und die im Vorfall vorgesehenen Dienstleister sowie Serviceleistungen klären.
Angaben zu technischen und organisatorischen Sicherheitsmaßnahmen gegenüber dem Versicherer zutreffend und aktuell halten, soweit solche Angaben verlangt werden.
Versicherungsschutz und Sicherheitsvorsorge regelmäßig gemeinsam überprüfen; die Police darf angemessene Schutz- und Reaktionsmaßnahmen nicht ersetzen.

Für die Geschäftsleitung

Die entscheidende Frage lautet nicht, ob eine Police allgemein „Cyber“ abdeckt, sondern welcher Schadensträger, welcher Auslöser und welche Leistung konkret vereinbart sind. Die Geschäftsleitung sollte die benötigte Reichweite anhand eigener Szenarien festlegen, Eigen- und Drittschäden getrennt entscheiden und die Deckung anhand der vollständigen Vertragsunterlagen prüfen. Als Nachweis sollten die geprüfte Vertragsfassung, Nachträge und die vertragsbezogenen Prüfungsergebnisse vorgehalten werden; vom Versicherer verlangte Sicherheitsangaben sollten aktuell gehalten werden.