Forensik- und Wiederherstellungskosten erklärt

Was sind Forensik- und Wiederherstellungskosten?

Forensik- und Wiederherstellungskosten bezeichnen Aufwendungen für Analyse und Beweissicherung nach einem IT-Sicherheitsvorfall sowie für die Wiederherstellung von Daten oder Systemen.

Der Ausdruck ist kein einheitlich normierter Leistungstatbestand. Die unverbindlichen Musterbedingungen des Gesamtverbands der Deutschen Versicherungswirtschaft (GDV) behandeln Kostenpositionen rund um den Versicherungsfall und die Datenwiederherstellung als Eigenschaden getrennt. Ob konkrete Aufwendungen versichert sind, ergibt sich ausschließlich aus Versicherungsschein, Nachträgen und vollständigen Bedingungen des individuellen Vertrags.

Für wen ist die Kostenposition relevant?

Sie ist für Organisationen beim Vergleich einer Cyberversicherung sowie bei der Bearbeitung eines Schadenfalls relevant. Der persönliche und sachliche Schutzbereich folgt aus dem jeweiligen Vertrag. Die GDV-Musterbedingungen sind unverbindlich und zur fakultativen Verwendung bestimmt; Versicherer können davon abweichende Vereinbarungen treffen.

Wann kommt eine Erstattung in Betracht?

Technischer Ausgangspunkt ist ein IT-Sicherheitsvorfall. Für eine Erstattung müssen zusätzlich ein nach dem individuellen Vertrag gedeckter Versicherungsfall und eine vom vereinbarten Deckungsumfang erfasste Kostenart vorliegen. Der technische Vorfall allein begründet keine Leistungspflicht für jede Analyse-, Wiederherstellungs- oder Verbesserungsmaßnahme.

Wie unterscheiden sich Forensik und Wiederherstellung technisch?

IT-Forensik sichert und analysiert Spuren zur Aufklärung und Beweissicherung. Dafür sind Untersuchungsziele und relevante Datenquellen festzulegen. Wiederherstellung führt Daten oder Systeme aus Sicherungen zurück beziehungsweise bereitet ihren Wiederanlauf vor. Sicherungen und Wiederherstellungsverfahren müssen praktisch geprüft werden, weil eine vorhandene Datensicherung allein weder die Wiederherstellbarkeit noch die Wiederaufnahme von Anwendungen und Geschäftsprozessen gewährleistet.

Beweissicherung und sofortige Wiederherstellung können miteinander kollidieren: Forensisch relevante Daten sollen möglichst wenig verändert werden, während der Wiederanlauf Veränderungen an betroffenen Systemen erfordern kann. Die Reihenfolge ist deshalb situationsabhängig abzustimmen; schnell flüchtige forensische Daten sollten technisch zeitnah gesichert werden.

Welche Kosten sind getrennt zu prüfen?

Forensik, Daten- und Systemwiederherstellung, Betriebsunterbrechung, Mehrkosten und Sicherheitsverbesserungen sind eigenständige Positionen und dürfen nicht allein wegen der Sammelbezeichnung als gedeckt behandelt werden. Für jede Position sind insbesondere Definitionen, Melde- und Zustimmungswege, Erforderlichkeitsvorgaben, Ausschlüsse, Selbstbehalte, Sublimits und Entschädigungsgrenzen des vollständigen Vertrags zu prüfen.

Welche technischen Grenzen hat die Wiederherstellung?

Eine vollständige oder erfolgreiche Wiederherstellung ist nicht garantiert. Ungeprüfte, manipulierte oder unbrauchbare Sicherungen können die Rückführung verhindern. Zudem deckt eine Datensicherung nicht automatisch die Wiederherstellung von Anwendungen oder die Wiederaufnahme der zugehörigen Geschäftsprozesse ab. Technische Wiederherstellbarkeit und versicherungsvertragliche Erstattungsfähigkeit sind daher getrennt zu beurteilen.

Welche Fristen und Schwellenwerte gelten?

Es gibt keine allgemeine produktübergreifende Frist oder Kostenschwelle für diese Sammelbezeichnung. Melde- und Beauftragungswege, Zustimmungsvorbehalte, Selbstbehalte, Sublimits und Entschädigungsgrenzen sind dem individuellen Vertrag zu entnehmen. Die technische Empfehlung, schnell flüchtige forensische Daten zeitnah zu sichern, ist keine allgemeine Frist für die Erstattungsfähigkeit.

Häufige Fehlannahmen

„Ein Cybervorfall löst automatisch Kostendeckung aus.“ Nein. Zusätzlich müssen der Versicherungsfall und die konkrete Kostenart nach dem individuellen Vertrag gedeckt sein.
„Forensik und Wiederherstellung sind dieselbe Leistung.“ Nein. Forensik dient Analyse und Beweissicherung; Wiederherstellung zielt auf die Rückführung beziehungsweise den Wiederanlauf von Daten und Systemen.
„Ein vorhandenes Backup garantiert den Wiederanlauf.“ Nein. Sicherungen können unbrauchbar sein, und die Datensicherung umfasst nicht automatisch Anwendungen und Geschäftsprozesse.
„Betriebsunterbrechung, Mehrkosten und Sicherheitsverbesserungen zählen immer dazu.“ Nein. Diese Positionen müssen getrennt anhand der vollständigen Vertragsunterlagen geprüft werden.
„Die GDV-Musterbedingungen legen jede Police verbindlich fest.“ Nein. Sie sind unverbindlich; individuelle Vereinbarungen können abweichen.

Was die Geschäftsleitung tun sollte

Die folgenden Schritte sind Risikomanagementempfehlungen und werden hier nicht als allgemeine Rechtspflichten dargestellt:

Zuständigkeiten, Krisenstab und Incident-Response-Abläufe einschließlich Forensik und Wiederherstellung festlegen.
Verfahren vorbereiten, mit denen entscheidungsrelevante Informationen nach einem Vorfall schnell und möglichst spurschonend erhoben werden.
Geeignete interne oder externe forensische Unterstützung vorab bestimmen und ihre Einbindung organisatorisch vorbereiten.
Datensicherungen und Wiederherstellungsverfahren praktisch testen und dabei die Kritikalität von Daten, Systemen und Geschäftsprozessen berücksichtigen.
Die Police vorab auf erfasste Kostenarten, Melde- und Zustimmungswege, Ausschlüsse, Selbstbehalte, Sublimits und Entschädigungsgrenzen prüfen lassen.

Für die Geschäftsleitung

Die Sammelbezeichnung beschreibt weder eine Standardzusage noch ein technisches Erfolgsversprechen. Entscheidend sind zwei getrennte Prüfungen: Ist die konkrete Maßnahme technisch geeignet und ist ihre Kostenart im individuellen Vertrag erfasst? Nachweisbar werden Entscheidungen durch vorbereitete Zuständigkeiten, dokumentierte Abstimmungswege, belastbare Vorfallinformationen, getestete Wiederherstellungsverfahren und eine Prüfung der vollständigen Vertragsunterlagen.