Kategorie: Anwälte

Ein Ransomware-Angriff hat Ihre Systeme verschlüsselt. Die erste Panik ist vorbei, der Krisenstab arbeitet an der Wiederherstellung. Aber jetzt stellt sich eine Frage, die in der akuten Phase oft untergeht: Wie hoch ist der Schaden tatsächlich? Und wie dokumentiert man ihn so, dass er vor Gericht, gegenüber der Versicherung oder in Verhandlungen mit dem IT-Dienstleister standhält? Genau diese Frage beantwortet ein IT-Sachverständiger.

Warum die Schadenshöhe so schwer zu beziffern ist

Bei einem Wasserschaden kann ein Sachverständiger den Schaden relativ einfach beziffern: beschädigter Boden, feuchte Wände, zerstörtes Inventar. Bei einem Ransomware-Angriff ist das grundlegend anders. Der Schaden verteilt sich auf mehrere Kategorien, die zeitlich versetzt eintreten, sich gegenseitig beeinflussen und teilweise erst Wochen oder Monate nach dem Angriff vollständig sichtbar werden.

Ein produzierendes Unternehmen mit 80 Mitarbeitern wird an einem Freitagabend verschlüsselt. Am Montag können die Mitarbeiter nicht arbeiten. Die Produktion steht. Liefertermine werden gerissen. Kunden wechseln zum Mitbewerber. Ein externer IT-Dienstleister wird für die Forensik und Wiederherstellung beauftragt. Ein Anwalt kümmert sich um die DSGVO-Meldung, weil personenbezogene Daten betroffen sein könnten. Der Steuerberater warnt, dass die Buchhaltungsdaten der letzten drei Monate möglicherweise nicht vollständig wiederherstellbar sind. Der Vertrieb meldet, dass ein Großkunde den Rahmenvertrag nicht verlängert hat.

Welche dieser Posten gehören zum Schaden? Wie werden sie berechnet? Und wie weist man nach, dass sie tatsächlich auf den Angriff zurückzuführen sind? Das sind die Fragen, die ein IT-Sachverständiger beantworten muss.

Die vier Schadenskategorien bei Ransomware

Die Schadensermittlung nach einem Ransomware-Angriff gliedert sich in vier Hauptkategorien, die jeweils eigene Berechnungsmethoden und Nachweisanforderungen haben.

Kategorie 1: Direkte IT-Kosten

Die direkten IT-Kosten sind der am einfachsten zu beziffernde Teil des Schadens, weil sie sich weitgehend durch Rechnungen belegen lassen. Dazu gehören die IT-Forensik, also die Untersuchung des Angriffsverlaufs, die Identifikation der Schadsoftware und die Bestimmung des Angriffsumfangs. Hinzu kommen die Kosten für die Wiederherstellung der Systeme: Neuinstallation von Betriebssystemen, Einspielen von Backups, Rekonfiguration der Infrastruktur. Falls Hardware kompromittiert oder durch den Angriff beschädigt wurde, fallen Neubeschaffungskosten an. Und schließlich die Kosten für zusätzliche Sicherheitsmaßnahmen, die nach dem Angriff implementiert werden, um eine Wiederholung zu verhindern.

Die Herausforderung liegt hier im Detail. Nicht jede Rechnung eines IT-Dienstleisters ist automatisch angemessen. Der Sachverständige prüft, ob der geleistete Aufwand in einem angemessenen Verhältnis zum Schaden steht, ob die gewählten Maßnahmen sachgerecht waren und ob Kosten angefallen sind, die auch ohne den Angriff entstanden wären. Wenn ein Unternehmen den Angriff zum Anlass nimmt, seine gesamte Serverinfrastruktur zu erneuern, die ohnehin veraltet war, ist nur der Anteil der Kosten dem Angriff zuzurechnen, der für die Wiederherstellung des vorherigen Zustands erforderlich gewesen wäre.

Kategorie 2: Betriebsunterbrechungsschaden

Der Betriebsunterbrechungsschaden ist in den meisten Fällen der größte Einzelposten. Er kann den direkten IT-Schaden um ein Vielfaches übersteigen. Das Landgericht Tübingen sprach in einem bekannten Fall rund 2,5 Millionen Euro allein für die Betriebsunterbrechung zu, bei einem Gesamtschaden von über 2,8 Millionen Euro.

Die Berechnung folgt einer klaren Methodik. Zunächst wird der Unterbrechungszeitraum definiert: Von wann bis wann war der Betrieb ganz oder teilweise eingeschränkt? Dann wird der Deckungsbeitrag ermittelt, den das Unternehmen in diesem Zeitraum unter normalen Umständen erwirtschaftet hätte. Davon werden ersparte Kosten abgezogen, etwa variable Materialkosten, die während des Stillstands nicht angefallen sind. Zusätzlich werden Mehrkosten addiert, die das Unternehmen aufgewendet hat, um den Schaden zu begrenzen, etwa die Anmietung externer Arbeitsplätze oder die Vergabe von Aufträgen an Subunternehmer.

Was einfach klingt, wird in der Praxis komplex. Der Sachverständige muss drei Aspekte besonders sorgfältig dokumentieren.

Erstens die Dauer der Unterbrechung. Ein Ransomware-Angriff führt selten zu einem binären Zustand von „alles steht“ zu „alles läuft wieder“. In der Realität werden Systeme stufenweise wiederhergestellt. Die Produktion läuft vielleicht nach fünf Tagen wieder, aber das ERP-System erst nach drei Wochen, und die vollständige Buchhaltung wird erst nach sechs Wochen rekonstruiert. Jede Stufe hat unterschiedliche Auswirkungen auf die Ertragskraft des Unternehmens.

Zweitens die Kausalität zum Umsatzrückgang. Wenn ein Unternehmen im Monat nach dem Angriff weniger Umsatz macht, muss nachgewiesen werden, dass dieser Rückgang tatsächlich auf den Angriff zurückzuführen ist und nicht auf saisonale Schwankungen, Marktveränderungen oder andere Faktoren. Hier werden Vergleichszeiträume herangezogen: Wie hat sich der Umsatz in den gleichen Monaten der Vorjahre entwickelt? Wie haben sich vergleichbare Unternehmen in der Branche im selben Zeitraum entwickelt?

Drittens die Schadensminderungspflicht. Das Unternehmen ist verpflichtet, den Schaden so gering wie möglich zu halten. Wenn die Wiederherstellung deutlich länger dauert als nötig, weil zu wenige Ressourcen eingesetzt werden, kann ein Teil des Betriebsunterbrechungsschadens als vermeidbar eingestuft werden.

Kategorie 3: Datenverlustschaden

Wenn Daten trotz aller Wiederherstellungsbemühungen verloren gehen, entsteht ein eigenständiger Schaden, der über die reinen IT-Wiederherstellungskosten hinausgeht. Der Verlust von Buchhaltungsdaten kann zu Problemen bei der steuerlichen Dokumentationspflicht führen. Der Verlust von Kundendaten kann Geschäftsbeziehungen beeinträchtigen. Der Verlust von Konstruktionsdaten oder Rezepturen kann einen erheblichen Substanzverlust bedeuten.

Die Bewertung von verlorenen Daten ist eine der schwierigsten Aufgaben in der Schadensermittlung. Daten haben keinen standardisierten Marktwert. Ihr Wert bemisst sich nach dem Aufwand, der für ihre Wiederherstellung oder Neuerstellung erforderlich ist, nach ihrem wirtschaftlichen Nutzwert für das Unternehmen und nach den Folgekosten, die aus ihrem Fehlen entstehen.

Der Sachverständige dokumentiert, welche Datenbestände verloren gegangen sind, welche teilweise wiederhergestellt werden konnten und welche vollständig intakt sind. Er bewertet den Wiederherstellungsaufwand und schätzt die wirtschaftlichen Folgen des Verlusts ein, soweit dies auf technischer Grundlage möglich ist. Die betriebswirtschaftliche Bewertung des Datenverlusts erfordert häufig die Zusammenarbeit mit einem Wirtschaftsprüfer oder betriebswirtschaftlichen Sachverständigen.

Kategorie 4: Folge- und Drittschäden

Die vierte Kategorie umfasst Schäden, die nicht unmittelbar durch den Angriff selbst entstehen, sondern durch seine Folgen. Dazu gehören DSGVO-bezogene Kosten wie die Meldung an die Datenschutzbehörde, die Benachrichtigung betroffener Personen und mögliche Bußgelder. Hinzu kommen Vertragsstrafen gegenüber Kunden, wenn Liefertermine nicht eingehalten werden, sowie Reputationsschäden, die sich in einem langfristigen Kundenverlust niederschlagen können.

Der Sachverständige kann hier die technische Grundlage liefern: Wurden personenbezogene Daten exfiltriert? Welche Daten sind betroffen? Wie lange war das Unternehmen nicht lieferfähig? Diese technischen Feststellungen bilden die Basis, auf der Juristen und Betriebswirte die rechtlichen und finanziellen Folgen beziffern.

Was gerichtsfeste Dokumentation bedeutet

Ein Gutachten ist dann gerichtsfest, wenn es den Anforderungen standhält, die ein Gericht an Beweismittel stellt. Das klingt abstrakt, hat aber sehr konkrete Implikationen für die Arbeit des Sachverständigen.

Die Beweissicherung muss forensischen Standards folgen. Das bedeutet: Bevor ein System analysiert wird, wird ein forensisches Image erstellt, also eine bitgenaue Kopie des gesamten Datenträgers. Die Integrität dieses Images wird durch kryptografische Hashwerte (SHA-256) gesichert. Jeder Arbeitsschritt wird in einem Untersuchungsprotokoll dokumentiert: Was wurde wann, von wem, mit welchem Werkzeug untersucht? Ergebnisse müssen von einem anderen Sachverständigen anhand der dokumentierten Methodik nachvollzogen und überprüft werden können. Das ist das Prinzip der Reproduzierbarkeit.

Die Schadensberechnung muss nachvollziehbar sein. Jede Zahl im Gutachten muss auf einer dokumentierten Grundlage beruhen. Wenn der Sachverständige einen Betriebsunterbrechungsschaden von 500.000 Euro ermittelt, muss das Gutachten zeigen, aus welchen Teilbeträgen sich diese Summe zusammensetzt, auf welchen Daten die Berechnung basiert (Umsatzzahlen, Deckungsbeiträge, Vergleichszeiträume), welche Annahmen getroffen wurden und warum, und welche alternativen Berechnungsmethoden zu welchen Ergebnissen geführt hätten.

Die Kausalitätskette muss lückenlos sein. Das Gutachten muss den Zusammenhang zwischen dem Angriff und dem geltend gemachten Schaden nachweisen. Bei direkten IT-Kosten ist das in der Regel einfach. Bei der Betriebsunterbrechung wird es anspruchsvoller, und bei Folgeschäden wie Kundenverlust oder Reputationsschäden ist der Nachweis oft nur mit Einschränkungen möglich.

Der Zeitfaktor: Parallel zur Wiederherstellung dokumentieren

Die größte Fehlerquelle bei der Schadensermittlung nach Ransomware-Angriffen ist die zeitliche Abfolge. Die meisten Unternehmen konzentrieren sich verständlicherweise zuerst auf die Wiederherstellung und denken an die Dokumentation erst danach. Zu diesem Zeitpunkt sind aber entscheidende Beweise bereits vernichtet.

Die Wiederherstellung selbst zerstört Beweise: Wenn ein Server neu aufgesetzt wird, sind die verschlüsselten Dateien, die Logfiles und die Spuren des Angreifers auf diesem System gelöscht. Wenn ein Backup eingespielt wird, überschreibt es den kompromittierten Zustand. Wenn die IT-Abteilung im Krisenmodus arbeitet und keine Stundenaufzeichnungen führt, fehlen später die Nachweise für den internen Aufwand.

Deshalb muss die Dokumentation parallel zur Incident Response beginnen. Der Sachverständige sollte idealerweise eingebunden werden, bevor die ersten Systeme wiederhergestellt werden. Seine erste Aufgabe ist dann, forensische Images der betroffenen Systeme zu erstellen, die flüchtigen Spuren zu sichern (Arbeitsspeicher, Netzwerkverbindungen, laufende Prozesse) und den Ist-Zustand der Verschlüsselung zu dokumentieren, bevor die Wiederherstellung beginnt.

Falls der Sachverständige erst nach der Wiederherstellung eingeschaltet wird, kann er den Schaden immer noch ermitteln. Aber die Beweislage ist schwächer, die Analyse dauert länger und bestimmte Aspekte des Angriffsverlaufs lassen sich möglicherweise nicht mehr rekonstruieren. Das kann sich in einem Gerichtsverfahren oder in der Auseinandersetzung mit der Versicherung nachteilig auswirken.

Wann ein Schadensgutachten gebraucht wird

Ein Schadensgutachten nach einem Ransomware-Angriff wird in mehreren Konstellationen benötigt. Gegenüber der Cyberversicherung: Der Versicherer verlangt eine nachvollziehbare Schadensaufstellung als Grundlage für die Regulierung. Je professioneller diese Aufstellung ist, desto geringer ist das Risiko von Leistungskürzungen. In Haftungsfragen gegenüber IT-Dienstleistern: Wenn der Angriff durch eine Sicherheitslücke möglich wurde, die der betreuende IT-Dienstleister hätte schließen müssen, bildet das Gutachten die Grundlage für Schadenersatzforderungen. In Strafverfahren: Bei Anzeige gegen die Angreifer beziffert das Gutachten den strafrechtlich relevanten Schaden. Und bei internen Entscheidungen: Auch ohne externe Auseinandersetzung braucht die Geschäftsführung eine belastbare Zahl, um den Vorfall gegenüber Gesellschaftern, Aufsichtsräten oder Banken zu dokumentieren.

In all diesen Fällen gilt: Ein Gutachten, das von Anfang an nach forensischen Standards erstellt wird, kann in jeder dieser Konstellationen verwendet werden. Eine nachträgliche Aufwertung einer unvollständigen Dokumentation ist dagegen aufwendig und in der Beweiskraft eingeschränkt.

Als allgemein beeideter und gerichtlich zertifizierter IT-Sachverständiger unterstütze ich Unternehmen bei der forensischen Beweissicherung, der Schadensermittlung und der gerichtsfesten Dokumentation nach Ransomware-Angriffen. Kontaktieren Sie mich für ein unverbindliches Erstgespräch – idealerweise, bevor die erste Wiederherstellungsmaßnahme gestartet wird.

Sie haben eine Cyberversicherung abgeschlossen und wurden Opfer eines Angriffs. Jetzt stellen Sie fest: Die Versicherung kürzt die Leistung oder verweigert sie ganz. Die Begründung lautet häufig: Obliegenheitsverletzung. Der Versicherer behauptet, Ihr Unternehmen habe die im Vertrag vereinbarten Sicherheitsanforderungen nicht eingehalten. In dieser Situation kann ein unabhängiger IT-Sachverständiger den entscheidenden Unterschied machen.

Was Obliegenheiten sind – und warum sie zum Problem werden

Obliegenheiten sind vertragliche Pflichten des Versicherungsnehmers, die Voraussetzung für den vollen Versicherungsschutz sind. Bei Cyberversicherungen betreffen sie die IT-Sicherheit des versicherten Unternehmens. Der Gedanke dahinter ist nachvollziehbar: Die Versicherung deckt das Restrisiko, aber das Unternehmen muss einen angemessenen Grundschutz gewährleisten.

In der Praxis werden Obliegenheiten auf drei Wegen definiert. Erstens über die Risikofragen vor Vertragsabschluss: Der Versicherer fragt konkret ab, ob bestimmte Sicherheitsmaßnahmen implementiert sind. Die Antworten des Unternehmens werden Vertragsgrundlage. Wer hier falsche Angaben macht, riskiert die Anfechtung des gesamten Vertrags. Zweitens über die Allgemeinen Versicherungsbedingungen (AVB): Diese enthalten laufende Pflichten, etwa regelmäßige Datensicherungen oder zeitnahe Installation von Sicherheitsupdates. Drittens über Auflagen: Wenn die IT-Sicherheit des Unternehmens bei Vertragsabschluss nicht den Anforderungen des Versicherers entspricht, wird der Vertrag unter der Auflage geschlossen, bestimmte Maßnahmen innerhalb einer Frist umzusetzen.

Das Problem: Viele Unternehmen schließen eine Cyberversicherung ab, ohne die konkreten Obliegenheiten im Detail zu prüfen. Der Versicherungsantrag wird vom Geschäftsführer ausgefüllt, die Risikofragen werden nach bestem Wissen beantwortet, aber niemand gleicht die Antworten systematisch gegen den tatsächlichen Stand der IT-Sicherheit ab. Wenn dann der Schadensfall eintritt, prüft der Versicherer genau das, was bei Vertragsabschluss nicht geprüft wurde.

Die fünf häufigsten Obliegenheiten – und wo es in der Praxis hakt

In meiner Erfahrung als IT-Sachverständiger drehen sich die meisten Streitigkeiten um fünf wiederkehrende Obliegenheitsbereiche.

Backup-Obliegenheit. Nahezu jede Cyberversicherung verlangt regelmäßige Datensicherungen. Die Formulierungen variieren: manche Policen fordern tägliche Backups, manche wöchentliche, manche verlangen die Aufbewahrung offline oder in einer vom Produktivsystem getrennten Umgebung. In der Praxis zeigt sich häufig, dass zwar ein Backup-System existiert, aber die Backups seit Monaten nicht auf Wiederherstellbarkeit getestet wurden, die Backup-Medien im selben Netzwerksegment liegen und daher bei einem Ransomware-Angriff mitverschlüsselt werden, oder einzelne Systeme von der automatisierten Sicherung ausgenommen sind, ohne dass dies dokumentiert wurde.

Update- und Patch-Obliegenheit. Die Pflicht, Sicherheitsupdates zeitnah zu installieren, ist eine der am häufigsten verletzten Obliegenheiten. Die typische Formulierung lautet, dass sicherheitsrelevante Updates „unverzüglich“ oder „innerhalb eines angemessenen Zeitraums“ nach Verfügbarkeit eingespielt werden müssen. In der Praxis gibt es jedoch berechtigte Gründe, ein Update nicht sofort einzuspielen: Es könnte die Kompatibilität mit branchenspezifischer Software gefährden, es muss in einer Testumgebung geprüft werden, oder es erfordert einen Systemneustart, der im laufenden Betrieb nicht ohne Weiteres möglich ist. Der Sachverständige prüft, ob die verzögerte Installation sachlich begründet war oder ob sie auf mangelndes Patch-Management zurückzuführen ist.

Multi-Faktor-Authentifizierung (MFA). MFA ist mittlerweile eine Standardanforderung der meisten Cyberversicherer. Geprüft wird, ob MFA für alle Remote-Zugänge (VPN, Remote Desktop), für den Zugriff auf Cloud-Dienste und für administrative Konten mit erhöhten Berechtigungen implementiert ist. In der Praxis ist MFA häufig für die meisten Systeme aktiviert, aber einzelne Legacy-Anwendungen oder administrative Zugänge sind ausgenommen, weil sie technisch kein MFA unterstützen. Genau über solche Ausnahmen dringt der Angreifer ein, und genau diese Ausnahmen reklamiert der Versicherer als Obliegenheitsverletzung.

Netzwerksegmentierung. Fortgeschrittenere Policen fordern die Segmentierung des Netzwerks nach Schutzbedarf. Das bedeutet: Produktivsysteme, Entwicklungsumgebungen, Verwaltungsnetzwerk und Gästezugang sollen in getrennten Netzwerksegmenten betrieben werden, damit ein Angreifer, der in ein Segment eindringt, nicht automatisch Zugriff auf alle anderen Segmente hat. Die Prüfung durch den Sachverständigen zeigt häufig, dass zwar VLANs eingerichtet sind, aber die Firewall-Regeln zwischen den Segmenten zu permissiv konfiguriert sind, sodass die Segmentierung in der Praxis keinen wirksamen Schutz bietet.

Mitarbeitersensibilisierung. Viele Policen verlangen, dass Mitarbeiter regelmäßig zu Cyberrisiken geschult werden, teilweise mit konkreten Vorgaben wie „mindestens eine Phishing-Simulation pro Jahr“. In der Praxis wird diese Obliegenheit oft am wenigsten ernst genommen, kann aber zum Problem werden, wenn der Angriff nachweislich über eine Phishing-E-Mail erfolgte, die ein geschulter Mitarbeiter hätte erkennen können.

Was der IT-Sachverständige konkret prüft

Wenn eine Versicherung die Leistung kürzt oder verweigert und der Versicherungsnehmer diese Entscheidung anfechten will, beauftragt in der Regel der Anwalt des Unternehmens einen IT-Sachverständigen. Die Prüfung umfasst mehrere Ebenen.

Auf der ersten Ebene prüft der Sachverständige den tatsächlichen Sicherheitsstand zum Zeitpunkt des Angriffs. Welche Maßnahmen waren implementiert, welche nicht? Diese Prüfung basiert auf der forensischen Analyse der Systeme, auf der IT-Dokumentation des Unternehmens und auf Interviews mit den IT-Verantwortlichen. Das Ergebnis ist eine objektive Bestandsaufnahme.

Auf der zweiten Ebene vergleicht der Sachverständige den festgestellten Sicherheitsstand mit den konkreten Anforderungen der Versicherungspolice. Die Obliegenheiten werden einzeln durchgegangen: Was genau fordert die Police? Was war tatsächlich umgesetzt? Wo gibt es Abweichungen? Diese Prüfung erfordert sowohl technisches als auch versicherungsrechtliches Verständnis, denn die Formulierungen in den AVB sind oft unbestimmt. Was bedeutet „zeitnah“ bei der Installation von Updates? Was ist ein „angemessenes“ Backup-Konzept? Der Sachverständige beurteilt, ob die getroffenen Maßnahmen dem Stand der Technik entsprochen haben und ob die Obliegenheit bei vernünftiger Auslegung erfüllt war.

Auf der dritten Ebene prüft der Sachverständige die Kausalität: Ist der Schaden tatsächlich auf die behauptete Obliegenheitsverletzung zurückzuführen? Dieser Punkt ist oft der entscheidende. Denn selbst wenn eine Obliegenheit verletzt wurde, ist der Versicherer nur dann zur Leistungskürzung berechtigt, wenn die Verletzung für den Eintritt oder den Umfang des Schadens ursächlich war. Der Kausalitätsgegenbeweis nach § 28 Abs. 3 VVG (bzw. § 6 Abs. 3 VersVG in Österreich) kann die Position des Versicherungsnehmers erheblich stärken.

Der Kausalitätsgegenbeweis: Wo die Argumentation oft gewonnen wird

Der Kausalitätsgegenbeweis ist das schärfste Instrument des Versicherungsnehmers gegen eine Leistungskürzung. Er funktioniert so: Selbst wenn eine Obliegenheit verletzt wurde, bleibt der Versicherer leistungspflichtig, wenn die Verletzung für den Schaden nicht ursächlich war.

Drei Beispiele verdeutlichen das Prinzip.

Ein Unternehmen hat die MFA-Obliegenheit nicht vollständig erfüllt: Der VPN-Zugang war ohne MFA erreichbar. Der Angriff erfolgte aber nachweislich nicht über den VPN-Zugang, sondern über eine Phishing-E-Mail, die einen Mitarbeiter dazu brachte, Schadsoftware herunterzuladen. Die fehlende MFA war nicht kausal für den Angriff.

Ein Unternehmen hat ein Sicherheitsupdate für eine Serversoftware drei Wochen lang nicht eingespielt. Der Angriff erfolgte aber über eine andere Schwachstelle, die zum Zeitpunkt des Angriffs noch gar nicht bekannt war (Zero-Day-Exploit). Das fehlende Update war nicht kausal für den Angriff.

Ein Unternehmen hat seine Backups nicht wie vorgeschrieben offline gespeichert. Die Backups wurden bei einem Ransomware-Angriff mitverschlüsselt. Der Versicherer kürzt die Leistung für die Wiederherstellungskosten. Aber der Betriebsunterbrechungsschaden, der den größten Teil des Gesamtschadens ausmacht, wäre auch bei funktionierenden Backups in gleicher Höhe eingetreten, weil die Wiederherstellung in jedem Fall mehrere Tage gedauert hätte. Die Obliegenheitsverletzung ist nur für einen Teil des Schadens kausal.

Für den Kausalitätsgegenbeweis braucht es eine detaillierte technische Analyse. Der Sachverständige muss den Angriffsverlauf rekonstruieren und zeigen, welcher konkrete Angriffsweg genutzt wurde und ob die verletzte Obliegenheit diesen Weg hätte verhindern können. Diese Analyse ist oft der Dreh- und Angelpunkt der gesamten Auseinandersetzung.

Vorvertragliche Anzeigepflicht: Wenn die Risikofragen zum Problem werden

Neben den laufenden Obliegenheiten prüft der Versicherer im Schadensfall regelmäßig, ob die Risikofragen vor Vertragsabschluss korrekt beantwortet wurden. Die Frage „Werden regelmäßige Backups durchgeführt?“ wurde mit „Ja“ beantwortet, aber die forensische Analyse zeigt, dass das Backup-System seit sechs Monaten fehlerhaft läuft. Die Frage „Werden Sicherheitsupdates zeitnah installiert?“ wurde bejaht, aber auf einem kritischen Server läuft eine Software mit einer seit zwei Jahren bekannten Sicherheitslücke.

In diesen Fällen kann der Versicherer den Vertrag wegen Verletzung der vorvertraglichen Anzeigepflicht anfechten oder von ihm zurücktreten. Die Folge wäre, dass gar kein Versicherungsschutz besteht.

Der Sachverständige prüft hier, ob die Angaben im Risikoantrag zum Zeitpunkt der Antragstellung korrekt waren. Das ist ein feiner, aber wichtiger Unterschied: Wenn das Backup-System bei Antragstellung funktioniert hat und erst danach ausgefallen ist, liegt keine falsche Angabe vor, sondern allenfalls eine Verletzung der laufenden Obliegenheit. Die zeitliche Einordnung kann entscheidend sein.

Was Unternehmen aus Obliegenheitsstreitigkeiten lernen können

Die meisten Obliegenheitsstreitigkeiten wären vermeidbar gewesen. Nicht unbedingt, weil die IT-Sicherheit hätte besser sein müssen, sondern weil die Diskrepanz zwischen den vertraglichen Zusagen und dem tatsächlichen Sicherheitsstand nicht erkannt wurde.

Meine Empfehlung an Unternehmen mit Cyberversicherung: Lassen Sie einen IT-Fachmann die Obliegenheiten Ihrer Police gegen den tatsächlichen Stand Ihrer IT-Sicherheit prüfen. Nicht nach einem Angriff, sondern jetzt. Dieser Abgleich zeigt, wo Lücken bestehen, die entweder geschlossen oder der Versicherung gegenüber offengelegt werden sollten. Und er zeigt, wo die Formulierungen in der Police unklar sind und eine Klarstellung mit dem Versicherer sinnvoll wäre.

Wenn Sie sich bereits in einer Auseinandersetzung mit Ihrer Cyberversicherung befinden: Ein unabhängiges Gutachten durch einen IT-Sachverständigen kann die technische Grundlage liefern, die Ihr Anwalt für die Verhandlung oder das Verfahren braucht. Es kann zeigen, dass die behauptete Obliegenheitsverletzung nicht vorliegt, dass sie nicht kausal für den Schaden war, oder dass die Leistungskürzung unverhältnismäßig ist.

Als allgemein beeideter und gerichtlich zertifizierter IT-Sachverständiger prüfe ich sowohl den tatsächlichen Sicherheitsstand als auch die Kausalität zwischen behaupteten Obliegenheitsverletzungen und dem eingetretenen Schaden. Kontaktieren Sie mich für ein unverbindliches Erstgespräch.