Underwriting (Risikoprüfung)

Kurzdefinition: Underwriting ist die Risikoprüfung und Zeichnungsentscheidung des Versicherers. Es entscheidet über Annahme, Prämie, Deckungsumfang und Ausschlüsse — und die Angaben, auf denen es beruht, sind beim Vertragsschluss zugleich die vorvertragliche Anzeige nach § 19 VVG. [N-VVG-19]

Was ist mit Underwriting gemeint?

Underwriting bezeichnet den Vorgang, mit dem ein Versicherer ein angebotenes Risiko bewertet und entscheidet, ob und zu welchen Bedingungen er es zeichnet. Das Ergebnis sind vier Größen: die Annahme oder Ablehnung, die Prämie, der Deckungsumfang mit Versicherungssumme, Sublimits und Selbstbehalt sowie der Katalog der Ausschlüsse.

Der Begriff stammt aus der Praxis, nicht aus dem Gesetz. Rechtlich relevant wird er über die Angaben, auf denen er beruht.

Was macht ein Underwriter bei einer Cyber-Police?

Er beurteilt die Sicherheitslage des Antragstellers. Dazu dient ein Risikofragebogen, der Fragen zum Unternehmen, zu seiner Informationstechnik, zu den Sicherheitsmaßnahmen und zur Schadenhistorie bündelt — typischerweise zu Multi-Faktor-Authentifizierung, Backup- und Wiederherstellungsverfahren, Patch-Management, Netzsegmentierung, Rechtekonzepten und zurückliegenden Vorfällen.

Aus den Antworten leitet der Underwriter die Zeichnungsentscheidung ab. Ein belegbar gutes Sicherheitsniveau verbessert die Konditionen; erkennbare Lücken führen zu Prämienaufschlägen, Sublimits, Ausschlüssen oder zur Ablehnung.

Warum ist das Underwriting rechtlich so heikel?

Weil die Angaben im Fragebogen keine Marketingunterlage sind, sondern die vorvertragliche Anzeige. § 19 Abs. 1 Satz 1 VVG verpflichtet den Versicherungsnehmer, bis zur Abgabe seiner Vertragserklärung die ihm bekannten Gefahrumstände anzuzeigen, die für den Entschluss des Versicherers erheblich sind und nach denen dieser in Textform gefragt hat. Genau das ist der Fragebogen.

Zwei Grenzen sind dabei wichtig. Die Pflicht reicht nur so weit wie die gestellten Fragen — eine spontane Offenbarungspflicht begründet § 19 VVG nicht. Und sie endet mit der Abgabe der Vertragserklärung; stellt der Versicherer danach, aber vor der Annahme weitere Fragen, lebt sie insoweit wieder auf. [N-VVG-19]

Was passiert bei falschen Angaben im Fragebogen?

Dann greift die gestufte Rechtsfolge der Anzeigepflichtverletzung. Der Versicherer kann grundsätzlich zurücktreten; bei weder vorsätzlicher noch grob fahrlässiger Verletzung ist der Rücktritt ausgeschlossen und es bleibt die Kündigung mit Monatsfrist. Hätte der Versicherer den Vertrag auch bei Kenntnis geschlossen, wenn auch zu anderen Bedingungen, kommt es zur Vertragsanpassung; bei einer vom Versicherungsnehmer nicht zu vertretenden Pflichtverletzung wirken die anderen Bedingungen erst ab der laufenden Versicherungsperiode. Alle diese Rechte stehen ihm nur zu, wenn er zuvor durch gesonderte Mitteilung in Textform über die Folgen belehrt hat. [N-VVG-19]

Seine Rechte muss der Versicherer binnen eines Monats ab Kenntnis der Verletzung schriftlich geltend machen; sie erlöschen fünf Jahre nach Vertragsschluss, bei vorsätzlicher oder arglistiger Verletzung erst nach zehn Jahren (§ 21 Abs. 1 und 3 VVG). [N-VVG-21]

Zahlt der Versicherer trotz falscher Antwort?

Möglicherweise. Tritt der Versicherer nach Eintritt des Versicherungsfalles zurück, ist er nicht zur Leistung verpflichtet — es sei denn, die Anzeigepflichtverletzung bezieht sich auf einen Umstand, der weder für den Eintritt oder die Feststellung des Versicherungsfalles noch für die Feststellung oder den Umfang der Leistungspflicht ursächlich ist (§ 21 Abs. 2 Satz 1 VVG). Eine falsch beantwortete Frage ohne Bezug zum eingetretenen Schaden kostet also nicht automatisch die Deckung.

Bei arglistiger Verletzung entfällt dieses Gegenrecht; dann ist der Versicherer nicht zur Leistung verpflichtet (§ 21 Abs. 2 Satz 2 VVG). [N-VVG-21]

Löst eine Verlängerung eine neue Anzeigepflicht aus?

Nicht automatisch. Aus den Regeln über Beginn, Ende und Verlängerung des Versicherungsverhältnisses folgt nicht, dass jede Verlängerung einen neuen Antrag oder eine neue Anzeigepflicht nach § 19 VVG auslöst. Maßgeblich ist, ob der Versicherer erneut in Textform fragt — dann lebt die Anzeigepflicht insoweit auf — und im Übrigen der konkrete Vertrag.

Davon zu trennen ist eine vertraglich vereinbarte Aktualisierungspflicht: Sie ist eine Obliegenheit und wird über ihren Wortlaut und gegebenenfalls § 28 VVG geprüft, nicht über § 19 VVG. [N-VVG-19] [N-VVG-28]

Wie hängt das Underwriting mit NIS-2 zusammen?

Über den Nachweisbestand — allerdings nur für einen Teil der Unternehmen. Die Risikomanagementmaßnahmen des § 30 BSIG treffen besonders wichtige und wichtige Einrichtungen. Ist Ihr Unternehmen davon erfasst, dokumentieren Sie ohnehin genau das, wonach der Underwriter fragt: Maßnahmen, Konzepte, Wirksamkeitsbewertungen. Der NIS-2-Nachweisbestand wird dann zur naheliegenden Belegbasis für den Antrag.

Für nicht erfasste Unternehmen besteht diese Verbindung nicht. Der Fragebogen bleibt gleichwohl ein haftungsrelevantes Dokument. [N-BSIG-30]

Häufige Fehlannahmen

• „Der Fragebogen ist Vertriebsunterlage.“ Er ist die Anzeige nach § 19 Abs. 1 VVG. Falsche Angaben können — je nach Verschulden, Belehrung und hypothetischem Vertragsschluss — Rücktritt, Kündigung oder Vertragsanpassung auslösen. [N-VVG-19]
• „Ich muss alles offenlegen, was relevant sein könnte.“ Die gesetzliche Anzeigepflicht reicht nur so weit wie die in Textform gestellten Fragen. Arglistiges Verschweigen bleibt gleichwohl gefährlich. [N-VVG-19]
• „Eine falsche Antwort kostet immer die Deckung.“ Ohne Vorsatz und grobe Fahrlässigkeit ist der Rücktritt ausgeschlossen; ohne Kausalität bleibt die Leistungspflicht bestehen — außer bei Arglist. [N-VVG-19] [N-VVG-21]
• „Der Versicherer kann sich jederzeit auf falsche Angaben berufen.“ Er muss binnen eines Monats ab Kenntnis handeln; die Rechte erlöschen nach fünf, bei Vorsatz oder Arglist nach zehn Jahren. [N-VVG-21]
• „Jede Cyber-Police setzt § 30 BSIG voraus.“ § 30 BSIG betrifft besonders wichtige und wichtige Einrichtungen, nicht jedes versicherte Unternehmen. [N-BSIG-30]
• „Bei jeder Verlängerung muss ich alles neu anzeigen.“ Nicht automatisch. Eine neue Anzeigepflicht entsteht, soweit der Versicherer erneut in Textform fragt. [N-VVG-19]

Was die Geschäftsleitung tun sollte

1. Den Fragebogen als Haftungsdokument behandeln. Fassung, Datum, Fragesteller und Antwortgeber festhalten und archivieren.
2. Fachlich freigeben lassen. Antworten zu MFA, Backup, Patch-Management und Schadenhistorie gehören von der verantwortlichen Fachstelle geprüft, nicht vom Vertrieb ausgefüllt.
3. Nur beantworten, was gefragt ist — aber das vollständig. Keine Schätzungen, keine Rundungen, keine Wunschzustände.
4. Mit dem Nachweisbestand abgleichen. Soweit § 30 BSIG greift, liefern die dortigen Nachweise die Belege. Widersprüche zwischen Fragebogen und Nachweisbestand sind im Schadenfall besonders gefährlich. [N-BSIG-30]
5. Die Belehrung archivieren. Ohne gesonderte Mitteilung in Textform stehen dem Versicherer die Rechte aus § 19 Abs. 2 bis 4 VVG nicht zu. [N-VVG-19]

Für die Geschäftsleitung

Das Underwriting ist der Moment, in dem über Ihre spätere Deckung mitentschieden wird — nicht der Schadenfall. Behandeln Sie den Risikofragebogen wie einen Vertrag: fachlich freigegeben, versioniert, belegt. Eine unrichtige Antwort kostet die Deckung nicht automatisch, aber sie verschiebt jede spätere Auseinandersetzung auf Ihr Terrain der Beweisnot.

Quellen

1. [N-VVG-19] § 19 VVG (Anzeigepflicht), Abs. 1 bis 5. Geltende Fassung, Stand 10. Juli 2026. Amtlich: https://www.gesetze-im-internet.de/vvg_2008/__19.html
2. [N-VVG-28] § 28 VVG (Verletzung einer vertraglichen Obliegenheit), Abs. 2. Geltende Fassung, Stand 10. Juli 2026. Amtlich: https://www.gesetze-im-internet.de/vvg_2008/__28.html
3. [N-VVG-21] § 21 VVG (Ausübung der Rechte des Versicherers), Abs. 1 bis 3. Geltende Fassung, Stand 10. Juli 2026. Amtlich: https://www.gesetze-im-internet.de/vvg_2008/__21.html
4. [N-BSIG-30] § 30 BSIG (Risikomanagementmaßnahmen), Abs. 1 Satz 1. Geltende Fassung, Stand 10. Juli 2026. Amtlich: https://www.gesetze-im-internet.de/bsig_2025/__30.html