Eine Cyberversicherung benötigen Unternehmen aller Branchen und Größen. Sie übernimmt die Schäden nach einem Cyber-Angriff, etwa einer Ransomware-Attacke. Wegen der großen Zahl an Schadensfällen schauen die Versicherer beim Abschluss neuer Policen inzwischen recht genau hin. Wer ihre Risikofragen falsch beantwortet und den Zustand der betrieblichen IT beschönigt, tut sich keinen Gefallen: dann kann das Versicherungsunternehmen im Ernstfall die Zahlung verweigern. Das wurde vom Landgericht Kiel bestätigt.
Ein im Großhandel tätiges Unternehmen mit 16 Standorten in ganz Norddeutschland wurde Opfer einer Cyber-Attacke. Dabei wurde eine Backdoor-Software eingeschleust. Das Unternehmensnetzwerk musste komplett neu aufgesetzt werden. Die Folgen: ein Betriebsausfall und hohen Kosten für externe Dienstleister.
Trotz bestehender Cyber-Versicherung wurde der Schaden nicht übernommen. Das Unternehmen hatte dem Versicherer gegenüber den Stand der IT-Sicherheitsmaßnahmen falsch dargestellt.
Für betroffene Unternehmen sind Cyber-Attacken häufig katastrophal. Der Betrieb kommt von einem Moment zum nächsten zum Erliegen. Aufträge können nicht mehr ausgeführt werden. Bei Ransomware geht regelmäßig der Zugriff auf sämtliche Unterlagen und Daten zu Kunden und Geschäftsvorgängen verloren. Normalerweise müssen die Systeme neu aufgesetzt beziehungsweise installiert werden, denn selbst die Datensicherungen können kompromittiert sein. Kunden, Interessenten und Geschäftspartner müssen über den illegalen Zugriff auf ihre personenbezogenen Daten informiert werden.
Oft zieht sich die Betriebsunterbrechung mehrere Wochen oder sogar Monate hin. Dazu kommt der Image- und Vertrauensverlust. Bei Datendiebstahl ist mit Schadenersatzklagen Betroffener zu rechnen. Für Versäumnisse, die einen DSGVO-Verstoß darstellen, drohen hohe Bußgelder.
Gleichzeitig sind Cyber-Angriffe zur alltäglichen Bedrohung geworden. Sie treffen Unternehmen jeder Größe. Die Frage sei nicht mehr ob, sondern wann ein Angriff erfolgt. So lautet zumindest ein Satz, den man von IT-Sicherheitsexperten häufig zu hören bekommt. Die Strafverfolgung bringt selten Erfolge. Die Drahtzieher hinter Ransomware, Bitcoin Mining, Daten- und Identitätsdiebstahl und anderen Cyber-Straftaten agieren fast immer aus dem Ausland. Sie können selten ermittelt und noch seltener zur Verantwortung gezogen werden.
Vor dem Abschuss der Cyberversicherung im März 2020 hatte der Versicherer dem Großhandelsunternehmen eine Reihe von Risikofragen gestellt. Das Unternehmen hatte sie positiv beantwortet. Es bestätigte unter anderem, dass in dem Betrieb …
Im September des Jahres bekamen Angreifer Zugriff auf die Rechner des Unternehmens. Sie schleusten die Backdoor-Programme DoublePulsar und EternalBlue ein. Ein Datenbankserver für die Web-Anwendungen wurde in großem Umfang für illegales Bitcoin Mining missbraucht. Dabei nutzen Cyberkriminelle fremde Rechenkapazität, um virtuelle Geldeinheiten der Kryptowährung zu erstellen.
Nachdem dies im Oktober 2020 bemerkt wurde, musste die gesamte IT-Infrastruktur neu installiert werden. Die Kosten bezifferte der Großhändler mit rund 420.000 Euro. Die wollte er von seiner Cyber-Versicherung wiederhaben. Doch das Versicherungsunternehmen lehnte die Zahlung ab und trat vom Versicherungsvertrag zurück.
Nach dem Angriff wurde eine Informatikerin mit einer forensischen Klärung beauftragt. Ihre Analyse ergab, dass bei den IT-Systemen des Großhändlers vieles im Argen lag:
Das geschädigte Unternehmen verklagte seinen Cyber-Versicherer auf Übernahme der Schäden, nachdem dieser die Versicherungsleistung verweigert hatte. Das Landgericht Kiel hielt diese Forderung jedoch für unbegründet. Das Versicherungsunternehmen musste nicht zahlen (LG Kiel 23.05.2024 - 5 O 128/21).
Die Richter warfen dem Unternehmen vor, den Versicherer durch die falsche Beantwortung der Risikofragen „arglistig getäuscht“ zu haben. Besonders ging es dem Landgericht um die Frage, ob „alle stationären und mobilen Arbeitsrechner“ mit „aktueller Software zur Erkennung und Vermeidung von Schadsoftware“ ausgestattet waren, und ob verfügbare Sicherheitsupdates „ohne schuldhaftes Zögern durchgeführt“ sowie nur Software eingesetzt wurde, „für die vom Hersteller Sicherheitsupdates bereitgestellt werden“. Das zu bejahen, war angesichts der veralteten Server-Betriebssysteme und fehlenden Virenscanner „objektiv falsch“, so das Gericht.
Dass der IT-Leiter, der die Fragen beantwortete, die veralteten Programme und ungeschützten Rechner nach eigener Aussage „übersehen“ und „einfach vergessen“ hatte, sie ihm unbekannt waren und er sich blind auf Mitarbeiter und Dienstleister verlassen hatte, kam erschwerend hinzu. Er habe nicht nur mit fahrlässiger, sondern mit bewusster Unkenntnis gehandelt. Dank Sicherheitskonsole und Windows Server Update Services wäre es relativ einfach gewesen, sich einen Überblick zu verschaffen, so das Gericht.
Die Lehren aus dem Urteil sind klar: Wer bei beziehungsweise vor Abschluss einer Cyberversicherung die Lage im eigenen Betrieb beschönigt, zahlt anschließend Versicherungsprämien, ohne sich auf den Versicherungsschutz verlassen zu können. Im Ernstfall ist der Vertrag nichtig.
Doch der Fall zeigt noch mehr. Er belegt auch, dass eine vernachlässigte IT-Infrastruktur für Unternehmen nicht weniger gefährlich ist als mangelnder Brandschutz. Und er beweist die fatalen Folgen der Einstellung „nicht so schlimm, wir sind ja versichert“.
Eine Feuerversicherung ist kein Grund, an Feuerlöschern und Brandschutztüren zu sparen. Bei Cyber-Versicherungen ist es genauso. In Zeiten, in denen die Policen teurer und die Versicherungsunternehmen wählerischer werden, gilt das besonders. Zumal der Abschluss auf Basis des schönen Scheins nichts bringt.
Stattdessen lässt sich der angestrebte Versicherungsabschluss für eine generelle Bestandsaufnahme in Sachen IT-Sicherheit nutzen. Sicher, externe Berater, neue Hardware und Software sowie die interne Umstellung des Betriebs kosten Geld und Zeit. Doch all das steigert nicht nur die Attraktivität als Versicherungskunde. Der Fokus auf eine sichere betriebliche IT ist aktives Risikomanagement in einem besonders gefährdeten Bereich.
Umgekehrt ist es genauso kurzsichtig, allein auf technische und organisatorische Maßnahmen zu setzen. Sicherheitssysteme verringern die Wahrscheinlichkeit einer Sicherheitsverletzung. Unüberwindbar sind sie nie. Dazu kommt der Faktor Mensch als schwächstes Glied der Sicherheitskette. Sind Angriffe trotz aller Maßnahmen erfolgreich, bildet Versicherungsschutz eine letzte, wirtschaftliche Verteidigungslinie. Sie kann ein Unternehmen im schlimmsten Fall vor der Insolvenz retten. Dieses Szenario ist keineswegs übertrieben. Ransomware-Attacken können zu monatelangen Betriebsunterbrechungen, massenhafter Datendiebstahl zu hohen Schadenersatzforderungen führen. Dann wird eine Cyber-Versicherung zum Rettungsanker – vorausgesetzt, sie kann nicht die Leistung verweigern, weil man die Risikofragen zu wenig ernst nahm.
Rechtschutzversicherungen für Selbstständige und Unternehmen sind Thema eines weiteren Beitrags im orgaMAX-Blog: „Rechtsschutzversicherung für Selbstständige: sinnvoll oder überflüssiger Kostenfaktor?“
Weiterführende Informationen zu Rechts- und Steuerthemen finden Sie im orgaMAX-Blog und im Newsletter-Archiv: