Kategorie: Versicherungen

Wie läuft eine Gutachtensverhandlung im IT-Streit ab? Ein Blick hinter die Kulissen

Sie haben einen IT-Streit, der Richter hat einen Sachverständigen bestellt, und nach Monaten liegt das schriftliche Gutachten vor. Jetzt steht im Kalender: Gutachtenserörterung. Für die meisten Beteiligten – Unternehmer, Geschäftsführer, IT-Projektleiter – ist das ein völlig unbekanntes Terrain. Was passiert in diesem Termin? Wer darf Fragen stellen? Was sagt der Sachverständige? Und wie können Sie sich vorbereiten, damit der Termin für Ihre Position arbeitet statt gegen sie? Dieser Beitrag gibt Ihnen den Blick hinter die Kulissen – aus der Perspektive eines IT-Sachverständigen, der auf beiden Seiten des Verhandlungstisches sitzt.
Der Weg zum Gutachten: Was vor der Verhandlung passiert
Bevor es zur Gutachtenserörterung kommt, sind in der Regel Monate vergangen. Der typische Ablauf in einem IT-Streit vor einem österreichischen Zivilgericht sieht so aus.
In der vorbereitenden Tagsatzung stellen die Parteien ihre Standpunkte dar, und das Gericht legt das Prozessprogramm fest. Wenn technische Fragen zu klären sind – was bei IT-Streitigkeiten fast immer der Fall ist –, beschließt das Gericht die Einholung eines Sachverständigengutachtens und formuliert die Beweisfragen. Der Richter bestellt einen allgemein beeideten und gerichtlich zertifizierten Sachverständigen aus der Gerichtssachverständigenliste, typischerweise aus der Fachgruppe Informationstechnologie.
Dann beginnt die eigentliche Gutachtensarbeit. Der Sachverständige erhält den Gerichtsakt, fordert von den Parteien die technischen Unterlagen an, führt Befundaufnahmen durch – also die Untersuchung der streitgegenständlichen IT-Systeme, Projektdokumentationen oder forensischen Daten – und erstattet sein schriftliches Gutachten. Bei einem gescheiterten ERP-Projekt kann allein die Aktenlage mehrere tausend Seiten umfassen. Bei einer Cyberangriff-Analyse kommen forensische Images, Logfiles und Monitoring-Daten hinzu. Dieser Prozess dauert je nach Komplexität zwischen drei und zwölf Monaten.
Das schriftliche Gutachten wird den Parteien zugestellt. Jetzt beginnt die Phase, die den weiteren Verlauf entscheidend prägt: Die Parteien haben die Möglichkeit, Einwendungen gegen das Gutachten zu erheben, ergänzende Fragen zu formulieren und die mündliche Erörterung des Gutachtens zu beantragen.
Was eine Gutachtenserörterung ist – und was sie nicht ist
Die Gutachtenserörterung ist eine mündliche Verhandlung, in der der Sachverständige sein schriftliches Gutachten erläutert und Fragen der Parteien und des Gerichts beantwortet. Sie ist kein zweites Gutachten, kein Kreuzverhör und kein freies Gespräch.
Die rechtliche Grundlage in Österreich: Jede Partei hat das Recht, die Ladung des Sachverständigen zur mündlichen Erörterung zu beantragen. Das Gericht muss diesem Antrag grundsätzlich stattgeben, weil die Parteien nach dem Grundsatz des rechtlichen Gehörs einen Anspruch darauf haben, dem Sachverständigen Fragen zu stellen. Auch das Gericht selbst kann den Sachverständigen zur Erläuterung laden, wenn es dies für die Urteilsfindung für erforderlich hält.
In der Praxis wird die Gutachtenserörterung vor allem dann beantragt, wenn eine Partei mit dem Ergebnis des schriftlichen Gutachtens nicht einverstanden ist. Das ist kein Zeichen von Schwäche. Im Gegenteil: Die mündliche Erörterung ist das wichtigste Instrument, um ein Gutachten zu hinterfragen, Unklarheiten zu beseitigen und den Sachverständigen zu einer Präzisierung oder sogar Korrektur seiner Feststellungen zu veranlassen.
Der Ablauf: Was am Verhandlungstag passiert
Eine Gutachtenserörterung in einem IT-Streit folgt einem festen Ablauf, auch wenn jeder Richter seinen eigenen Stil hat.
Eröffnung und Zusammenfassung
Der Richter eröffnet die Verhandlung und bittet den Sachverständigen, die wesentlichen Ergebnisse seines schriftlichen Gutachtens zusammenzufassen. Das ist keine vollständige Wiederholung des gesamten Gutachtens. Der Sachverständige fasst die Kernfeststellungen in komprimierter Form zusammen, häufig unterstützt durch eine vorbereitete Tischvorlage mit den wichtigsten Grafiken, Zeitachsen oder Systemübersichten.
Bei IT-Streitigkeiten ist diese Zusammenfassung besonders wichtig, weil das schriftliche Gutachten oft hochgradig technisch ist. Der Richter ist kein IT-Experte. Die mündliche Zusammenfassung gibt dem Sachverständigen die Gelegenheit, die technischen Sachverhalte so zu erklären, dass sie auch ohne Informatikstudium nachvollziehbar sind. Ein guter IT-Sachverständiger nutzt dabei Analogien, vereinfachte Darstellungen und klare Sprache, ohne die fachliche Präzision zu opfern.
Fragen des Gerichts
Nach der Zusammenfassung stellt der Richter seine Fragen. Diese betreffen typischerweise Punkte, die im schriftlichen Gutachten nicht eindeutig waren, die der Richter für die rechtliche Bewertung braucht oder die zwischen den Feststellungen des Gutachtens und dem Vorbringen der Parteien in Spannung stehen.
In IT-Streitigkeiten sind die Richterfragen oft auf Übersetzung ausgerichtet. Der Richter versteht das technische Ergebnis, braucht aber eine Formulierung, die er in die juristische Bewertung übersetzen kann. Typische Richterfragen in IT-Verfahren lauten: „Herr Sachverständiger, können Sie in einfachen Worten erklären, was der festgestellte Mangel in der Praxis für den Nutzer bedeutet hat?“ Oder: „Hätte ein sorgfältiger IT-Dienstleister diesen Fehler erkennen müssen?“ Oder: „Wäre der Schaden auch eingetreten, wenn die Gegenpartei ihre Mitwirkungspflichten erfüllt hätte?“
Die letzte Frage zeigt, worauf es dem Gericht oft ankommt: Kausalität. Nicht ob ein Mangel vorlag, sondern ob der Mangel den Schaden verursacht hat. Und genau diese Kausalitätsfrage ist in IT-Streitigkeiten technisch komplex und erfordert eine differenzierte Antwort.
Fragen der Parteien
Nach den Richterfragen erhalten die Parteien – in der Praxis ihre Rechtsanwälte – die Gelegenheit, dem Sachverständigen Fragen zu stellen. Das ist der Moment, in dem die Vorbereitung den Unterschied macht.
Ein gut vorbereiteter Anwalt stellt keine offenen Fragen ins Blaue. Er hat das schriftliche Gutachten analysiert, die methodischen Schwachstellen identifiziert und einen strukturierten Fragenkatalog vorbereitet. Die Fragen zielen darauf ab, den Sachverständigen zu einer Präzisierung zu bewegen, alternative technische Erklärungen einzuführen, die der Sachverständige im Gutachten nicht berücksichtigt hat, die Grenzen der Sachverständigenfeststellungen offenzulegen oder die Bedeutung der Feststellungen für die konkrete Rechtsfrage zu schärfen.
Ein Beispiel aus einem ERP-Streit: Der Sachverständige hat festgestellt, dass die Software nicht alle Anforderungen des Lastenhefts erfüllt. Die Frage des Anwalts der Gegenseite: „Herr Sachverständiger, Sie haben festgestellt, dass fünf von 120 Anforderungen nicht umgesetzt wurden. Können Sie einschätzen, ob diese fünf Anforderungen für den Geschäftsbetrieb des Klägers wesentlich waren oder ob es sich um Randfunktionen handelte?“ Diese Frage zielt auf die Wesentlichkeit des Mangels – eine Frage, die über Wandlung oder bloße Preisminderung entscheiden kann.
Wichtig: Der Sachverständige beantwortet Fragen zum technischen Sachverhalt. Er trifft keine rechtlichen Bewertungen. Wenn eine Frage in den rechtlichen Bereich übergreift, wird der Sachverständige darauf hinweisen, dass diese Bewertung dem Gericht obliegt.
Stellungnahme zu Privatgutachten
Hat eine der Parteien ein Privatgutachten vorgelegt, das zu abweichenden Ergebnissen kommt, wird der Gerichtssachverständige in der Erörterung dazu befragt. Der Richter oder der Anwalt der betreffenden Partei konfrontiert den Sachverständigen mit den Feststellungen des Privatgutachters und bittet um eine Stellungnahme.
Das ist einer der spannendsten Momente der Verhandlung. Zwei Fachleute kommen zu unterschiedlichen Ergebnissen, und der Gerichtssachverständige muss erklären, warum er zu seiner Einschätzung steht und wo er den Privatgutachter für falsch hält – oder gegebenenfalls einräumen, dass der Privatgutachter einen Punkt hat, den er übersehen hat. Für das Gericht sind diese Momente besonders aufschlussreich, weil sie zeigen, wie belastbar die jeweiligen Feststellungen sind.
Protokollierung
Alles, was in der Gutachtenserörterung gesagt wird, wird protokolliert und damit Teil des Gerichtsakts. Der Sachverständige sollte sich dieser Tatsache bewusst sein und jede Aussage so formulieren, als würde sie im Urteil zitiert. Denn genau das geschieht häufig: Das Gericht stützt sein Urteil nicht nur auf das schriftliche Gutachten, sondern auch auf die mündlichen Erläuterungen und Präzisierungen.
Die besonderen Herausforderungen bei IT-Streitigkeiten
Eine Gutachtenserörterung in einem IT-Streit unterscheidet sich in mehreren Punkten von einer Erörterung in klassischen Sachverständigengebieten wie Bau oder Medizin.
Die erste Herausforderung ist die Erklärungslücke. Der Richter ist in der Regel kein IT-Fachmann. Anders als bei einem Baumangel, den man fotografieren und zeigen kann, sind IT-Sachverhalte abstrakt. Ob eine Datenbankabfrage zu langsam ist, ob eine API-Schnittstelle fehlerhaft implementiert wurde oder ob ein Firewall-Regelwerk unzureichend konfiguriert war, lässt sich nicht mit einem Foto zeigen. Der Sachverständige muss in der Lage sein, diese Sachverhalte so zu erklären, dass ein juristisch geschulter, aber technisch nicht vorgebildeter Richter sie versteht und in seinem Urteil nachvollziehbar darstellen kann.
Die zweite Herausforderung ist die Dokumentationslage. In Baustreitigkeiten gibt es Pläne, Fotos und physische Bausubstanz. In IT-Streitigkeiten ist die Dokumentation oft lückenhaft. Projektprotokolle fehlen, E-Mails wurden gelöscht, Systemzustände wurden durch Updates verändert. Der Sachverständige muss in der Erörterung transparent machen, auf welcher Datenbasis seine Feststellungen beruhen und wo die Grenzen seiner Aussagen liegen, weil die Dokumentation Lücken aufweist.
Die dritte Herausforderung ist die Verantwortungsteilung. IT-Projekte und IT-Betrieb sind fast immer ein Zusammenspiel von Auftraggeber und Auftragnehmer. Die Schuld liegt selten zu hundert Prozent auf einer Seite. Der Sachverständige muss in der Erörterung differenziert darstellen, welcher Anteil der Probleme auf welche Seite zurückzuführen ist – und er muss diese Differenzierung auch unter kritischen Nachfragen aufrechterhalten.
Wie Sie sich als Partei optimal vorbereiten
Die Vorbereitung auf die Gutachtenserörterung entscheidet darüber, ob der Termin Ihre Position stärkt oder schwächt. Für Unternehmen und ihre Anwälte gelten folgende Grundsätze.
Lesen Sie das Gutachten vollständig und identifizieren Sie die Kernfeststellungen, die für Ihre Position günstig oder ungünstig sind. Konzentrieren Sie sich nicht auf jedes technische Detail, sondern auf die Feststellungen, die die Beweisfragen beantworten.
Bereiten Sie die Fragen vor. Jede Frage sollte ein Ziel haben: eine Präzisierung, eine Einschränkung, eine alternative Erklärung oder eine Bestätigung Ihrer Position. Fragen ohne klares Ziel kosten Zeit und können unbeabsichtigt Ihre Position schwächen, wenn der Sachverständige seine ungünstige Feststellung nochmals bestätigt.
Holen Sie sich technische Beratung. Wenn das Gutachten gegen Ihre Position ausfällt, ist ein Privatgutachter nicht nur für die inhaltliche Auseinandersetzung wertvoll, sondern gerade für die Vorbereitung der Erörterung. Er kann Ihrem Anwalt erklären, welche Feststellungen methodisch angreifbar sind, welche alternativen Erklärungen möglich wären und welche Fragen den Sachverständigen in Erklärungsnot bringen könnten.
Bringen Sie die richtige Person mit. In IT-Streitigkeiten kann es hilfreich sein, dass nicht nur der Anwalt, sondern auch der Projektleiter oder IT-Verantwortliche des Unternehmens bei der Erörterung anwesend ist. Er kann dem Anwalt während der Verhandlung technische Hinweise geben und auf Unstimmigkeiten in den Aussagen des Sachverständigen aufmerksam machen, die einem Juristen möglicherweise nicht auffallen.
Was nach der Erörterung passiert
Nach der Gutachtenserörterung gibt es mehrere mögliche Verläufe.
Im günstigsten Fall sind alle Fragen geklärt, und das Gericht hält die Sache für entscheidungsreif. Es schließt die Verhandlung und kündigt einen Urteilstermin an. Das Gericht stützt sein Urteil dann auf das schriftliche Gutachten und die mündlichen Erläuterungen.
Häufig gewährt das Gericht den Parteien eine Schriftsatzfrist, um zu den Ergebnissen der Erörterung Stellung zu nehmen. Das ist besonders bei komplexen IT-Fällen sinnvoll, weil die technischen Ausführungen des Sachverständigen erst in Ruhe ausgewertet werden müssen.
Wenn die Erörterung neue Fragen aufgeworfen hat oder Widersprüche nicht aufgelöst werden konnten, kann das Gericht ein Ergänzungsgutachten anordnen. Der Sachverständige beantwortet dann die offenen Fragen schriftlich. In seltenen Fällen – wenn das Gericht grundlegende Zweifel an der Qualität des Gutachtens hat – kann es nach § 362 ZPO ein Obergutachten durch einen anderen Sachverständigen einholen.
Nicht selten passiert aber auch etwas anderes: Die Gutachtenserörterung zeigt beiden Seiten realistisch, wie der Fall steht. Wenn der Sachverständige seine Feststellungen überzeugend erläutert hat und beide Seiten verstehen, wie das Gericht voraussichtlich entscheiden wird, entstehen plötzlich Vergleichsgespräche. In IT-Streitigkeiten ist das ein häufiges und aus Mandantensicht oft optimales Ergebnis: Der Fall wird gelöst, ohne dass ein Urteil den Geschäftsbeziehungen endgültig schadet.
Die Perspektive des Sachverständigen
Abschließend ein Einblick, den Sie sonst nicht bekommen: Wie erlebt der Sachverständige die Gutachtenserörterung?
Für einen erfahrenen Sachverständigen ist die mündliche Erörterung kein Stresstest, sondern eine willkommene Gelegenheit. Das schriftliche Gutachten ist an die Grenzen der Schriftform gebunden. Komplexe technische Zusammenhänge, die im schriftlichen Gutachten auf mehreren Seiten dargestellt werden, lassen sich mündlich oft verständlicher erklären – mit Skizzen, Analogien und im direkten Dialog mit dem Richter.
Gleichzeitig ist die Erörterung der Moment, in dem die Qualität der Arbeit auf dem Prüfstand steht. Der Sachverständige muss jede Feststellung begründen können. Er muss offenlegen, wo seine Datenbasis endet und Annahmen beginnen. Und er muss bereit sein, einen Fehler einzuräumen, wenn ein Privatgutachter oder ein gut vorbereiteter Anwalt einen berechtigten Einwand vorbringt. Denn die Glaubwürdigkeit des Sachverständigen vor Gericht hängt nicht davon ab, dass er immer Recht hat, sondern davon, dass er ehrlich und methodisch sauber arbeitet.
Als allgemein beeideter und gerichtlich zertifizierter IT-Sachverständiger stehe ich sowohl Gerichten als auch Parteien für die objektive technische Klärung von IT-Streitigkeiten zur Verfügung. Wenn Sie Fragen zur Vorbereitung auf eine Gutachtenserörterung haben oder einen Sachverständigen für ein Privatgutachten suchen, kontaktieren Sie mich für ein unverbindliches Erstgespräch.

9. Feber 2026
Privatgutachten als strategische Waffe: Wie Anwälte IT-Expertise im Verfahren nutzen

Ihr Mandant kommt mit einem gescheiterten ERP-Projekt, einem Cyberangriff oder einem Outsourcing-Streit. Der Sachverhalt ist technisch komplex, die Gegenseite behauptet das Gegenteil, und Sie wissen: Ein Gericht wird diese Frage nicht ohne Sachverständigen entscheiden. Aber warten Sie wirklich, bis das Gericht einen Gutachter bestellt? Der Gerichtssachverständige braucht Monate, Sie haben keinen Einfluss auf die Fragestellung, und das Ergebnis ist ein Glücksspiel. Es gibt einen besseren Weg: das Privatgutachten. Richtig eingesetzt, verschafft es Ihrem Mandanten einen erheblichen strategischen Vorteil – von der vorprozessualen Positionierung bis zur gezielten Erschütterung eines ungünstigen Gerichtsgutachtens.
Die prozessuale Stellung des Privatgutachtens in Österreich
Ein Privatgutachten ist ein Gutachten, das eine Partei auf eigene Kosten bei einem Sachverständigen in Auftrag gibt, ohne dass ein Gericht daran beteiligt ist. Prozessual gilt es in Österreich als qualifiziertes Parteivorbringen. Das bedeutet: Es ist kein eigenständiges Beweismittel im Sinne der ZPO, aber es ist deutlich mehr als eine bloße Parteibehauptung.
Die entscheidende Konsequenz: Wenn ein Privatgutachten dem Gerichtsgutachten widerspricht, darf das Gericht den Widerspruch nicht einfach übergehen. Es muss sich inhaltlich mit den Einwänden auseinandersetzen. Es kann den Gerichtssachverständigen zur Stellungnahme auffordern, eine mündliche Erörterung anberaumen oder nach § 362 ZPO ein weiteres Gutachten einholen. Was das Gericht nicht darf: das Privatgutachten mit dem Hinweis abtun, es sei ja nur ein Parteivorbringen.
Diese Pflicht zur inhaltlichen Auseinandersetzung ist der Hebel, der das Privatgutachten zur strategischen Waffe macht. Aber nur, wenn es fachlich auf dem Niveau eines Gerichtsgutachtens steht. Ein schlecht gemachtes Privatgutachten, das wie ein Gefälligkeitsgutachten wirkt, schadet der Position Ihres Mandanten mehr als es nützt.
Warum IT-Streitigkeiten ohne technische Expertise scheitern
IT-Streitigkeiten unterscheiden sich fundamental von anderen technischen Streitigkeiten. Bei einem Baumangel kann ein Richter den Riss in der Wand sehen. Bei einer gescheiterten ERP-Einführung sieht er nur Aktenordner voller Projektdokumentation, Screenshots und Logfiles.
Die technische Komplexität betrifft dabei nicht nur die Sachfragen, sondern bereits die Formulierung der Beweisfragen. Ein Anwalt, der ohne technische Beratung einen Beweisantrag formuliert, riskiert Fragen, die entweder zu weit gefasst sind (und ein teures Gutachten über Monate produzieren), zu eng gefasst sind (und die entscheidende technische Ursache nicht erfassen) oder schlicht die falsche Frage stellen (weil die juristische und die technische Kausalität auseinanderfallen).
Ein Beispiel: Ihr Mandant hatte einen Ransomware-Angriff und die Cyberversicherung kürzt die Leistung wegen angeblich fehlender Multi-Faktor-Authentifizierung. Die naheliegende Frage wäre: „War MFA implementiert?“ Aber die strategisch richtige Frage ist eine andere: „War die fehlende MFA kausal für den Schadenseintritt, oder erfolgte der Angriff über einen anderen Vektor?“ Denn selbst bei nachgewiesener Obliegenheitsverletzung muss der Versicherer nach § 6 Abs. 3 VersVG den Kausalitätsgegenbeweis führen. Die technische Analyse des Angriffsvektors entscheidet den Fall – nicht die Frage, ob MFA vorhanden war.
Ohne vorherige technische Beratung formulieren Sie die Beweisfrage falsch. Mit einem Privatgutachter an Ihrer Seite formulieren Sie die Frage, deren Antwort Ihren Fall gewinnt.
Fünf strategische Einsatzszenarien für das Privatgutachten
1. Vorprozessuale Positionsbewertung
Bevor Sie überhaupt eine Klage einbringen oder ein Verfahren empfehlen, brauchen Sie eine realistische Einschätzung der technischen Sachlage. Wie stark ist die Position Ihres Mandanten tatsächlich? In IT-Streitigkeiten lässt sich das ohne technische Expertise nicht beantworten.
Ein Privatgutachten in dieser Phase dient der internen Bewertung. Es zeigt Ihnen die Stärken und Schwächen der technischen Position, bevor Sie sich festlegen. Wenn das Gutachten ergibt, dass die Position Ihres Mandanten technisch schwach ist, können Sie auf einen Vergleich hinarbeiten – aus einer Position des Wissens statt aus einer Position der Ungewissheit. Wenn es die Position bestätigt, gehen Sie mit Sicherheit in das Verfahren.
Der Kostenvorteil ist erheblich: Ein vorprozessuales Privatgutachten kostet einen Bruchteil eines Gerichtsverfahrens mit ungewissem Ausgang.
2. Außergerichtliche Streitbeilegung
Viele IT-Streitigkeiten eignen sich für eine außergerichtliche Lösung, scheitern aber daran, dass keine gemeinsame Faktenbasis existiert. Jede Seite hat ihre eigene technische Darstellung, und ohne neutrale Bewertung dreht sich die Verhandlung im Kreis.
Ein Privatgutachten kann diese Pattsituation auflösen. Wenn Sie der Gegenseite ein fundiertes technisches Gutachten vorlegen, das die Sachlage objektiv darstellt, verschiebt das die Verhandlungsdynamik. Die Gegenseite muss sich inhaltlich mit den Feststellungen auseinandersetzen. Entweder sie akzeptiert die Fakten und verhandelt auf dieser Basis, oder sie beauftragt ein eigenes Gutachten – was Zeit und Geld kostet und das Ergebnis möglicherweise bestätigt.
In meiner Erfahrung führen Privatgutachten in der Mehrheit der außergerichtlichen IT-Streitigkeiten zu einem Vergleich, weil die technischen Fakten weniger Interpretationsspielraum lassen als beide Seiten vorab angenommen hatten.
3. Vorbereitung der Beweisführung im Verfahren
Wenn ein Gerichtsverfahren unvermeidbar ist, verschafft ein Privatgutachten Ihnen einen strukturellen Vorteil bei der Beweisführung. Sie kennen die technische Sachlage bereits im Detail und können den Beweisantrag präzise formulieren.
Konkret bedeutet das: Sie formulieren die Beweisfragen so, dass sie die für Ihren Mandanten günstigen technischen Aspekte in den Mittelpunkt stellen. Sie legen dem Gericht ein strukturiertes Privatgutachten vor, das den Sachverhalt technisch aufbereitet und dem Gerichtssachverständigen eine fundierte Ausgangsbasis liefert. Und Sie sind in der Lage, bei der mündlichen Erörterung des Gerichtsgutachtens die richtigen Fragen zu stellen, weil Ihr Privatgutachter Sie inhaltlich vorbereitet hat.
Dieser Vorteil ist nicht zu unterschätzen. Der Gerichtssachverständige bekommt in der Regel einen Aktenordner mit Unterlagen und eine Beweisfrage. Wie er den Fall angeht, welche Aspekte er priorisiert und welche er für nachrangig hält, liegt in seinem Ermessen. Ein gutes Privatgutachten steckt den Rahmen ab, innerhalb dessen sich die Diskussion bewegt.
4. Gezielte Erschütterung eines ungünstigen Gerichtsgutachtens
Das vielleicht wirkungsvollste Einsatzszenario: Ihr Mandant hat ein ungünstiges Gerichtsgutachten erhalten, und Sie müssen es angreifen. Ohne technische Expertise ist das praktisch unmöglich. Sie können die methodischen Schwächen nicht erkennen, die falschen Annahmen nicht identifizieren und die fehlenden Untersuchungsschritte nicht benennen.
Ein Privatgutachter analysiert das Gerichtsgutachten Schritt für Schritt: Stimmen die technischen Feststellungen? Ist die Methodik nachvollziehbar? Wurden alle relevanten Datenquellen berücksichtigt? Sind die Schlussfolgerungen durch den Befund gedeckt? Gibt es alternative technische Erklärungen, die der Gerichtsgutachter nicht geprüft hat?
Wenn der Privatgutachter substanzielle Mängel identifiziert, zwingen Sie das Gericht zur Auseinandersetzung. Das Gericht kann den Gerichtssachverständigen zur ergänzenden Stellungnahme auffordern, eine mündliche Erörterung anordnen, bei der Ihr Privatgutachter die Fragen vorbereitet, oder im äußersten Fall ein Obergutachten nach § 362 ZPO einholen. Jedes dieser Szenarien ist besser als die widerspruchslose Hinnahme eines ungünstigen Gutachtens.
5. Beweissicherung vor Beweisverlust
IT-Beweise sind flüchtig. Arbeitsspeicher geht bei jedem Neustart verloren, Logfiles werden durch Rotation überschrieben, Server werden bei der Wiederherstellung nach einem Cyberangriff reimaged. Wenn Sie warten, bis ein Gericht ein Beweissicherungsverfahren nach §§ 384 ff. ZPO bewilligt und einen Sachverständigen bestellt, können die entscheidenden Beweise bereits vernichtet sein.
Ein Privatgutachter kann sofort handeln. Er sichert forensische Images, erstellt Hashwerte zur Integritätssicherung, dokumentiert den Systemzustand und bewahrt die Beweiskette. Diese Sicherung folgt denselben forensischen Standards wie eine gerichtlich angeordnete Beweissicherung. Solange die Chain of Custody lückenlos dokumentiert ist, sind die gesicherten Beweise auch in einem späteren Gerichtsverfahren verwertbar.
Gerade bei Cyberangriffen, Datenverlusten und IT-Systemausfällen ist die sofortige Beweissicherung durch einen Privatgutachter oft die einzige Möglichkeit, die technische Beweislage zu erhalten.
Worauf es bei der Auswahl des Privatgutachters ankommt
Die Wirksamkeit des Privatgutachtens steht und fällt mit der Person des Gutachters. Ein Privatgutachten, das wie ein Gefälligkeitsgutachten wirkt, ist prozessual wertlos. Ein Gutachten, das fachlich auf Gerichtsgutachten-Niveau steht, ist ein mächtiges Instrument.
Entscheidend ist zunächst die formale Qualifikation. Ein allgemein beeideter und gerichtlich zertifizierter Sachverständiger nach dem SDG bringt eine institutionelle Glaubwürdigkeit mit, die ein nicht zertifizierter Sachverständiger nicht hat. Er unterliegt den Standesregeln des Hauptverbandes, ist zur Objektivität verpflichtet und haftet für sein Gutachten. Wenn derselbe Sachverständige sowohl als Gerichtsgutachter als auch als Privatgutachter tätig ist, signalisiert das dem Gericht: Dieses Gutachten folgt denselben Standards.
Ebenso wichtig ist die praktische Erfahrung im konkreten Fachgebiet. IT-Sachverstand ist kein monolithisches Feld. Ein Sachverständiger, der sich auf Netzwerktechnik spezialisiert hat, ist nicht automatisch der richtige Gutachter für eine gescheiterte ERP-Einführung. Achten Sie auf einschlägige Projekterfahrung, nicht nur auf die Fachgruppenzuordnung in der Sachverständigenliste.
Schließlich zählt die Erfahrung in der Zusammenarbeit mit Anwälten. Ein guter Privatgutachter versteht, dass sein Gutachten in einen juristischen Kontext eingebettet wird. Er formuliert seine Feststellungen so, dass sie rechtlich verwertbar sind, ohne die Grenze zur Rechtsberatung zu überschreiten. Er trennt sauber zwischen Befund und Gutachten, zwischen Feststellung und Bewertung. Und er kann bei Bedarf an einer mündlichen Erörterung teilnehmen und seine Feststellungen auch unter kritischer Befragung verteidigen.
Zusammenspiel von Privatgutachten und Gerichtsgutachten
Ein häufiges Missverständnis: Das Privatgutachten ersetzt das Gerichtsgutachten nicht. Auch wenn Sie ein exzellentes Privatgutachten vorlegen, wird das Gericht in der Regel einen eigenen Sachverständigen bestellen. Aber das Privatgutachten verändert die Dynamik des gesamten Verfahrens.
Der Gerichtssachverständige wird das Privatgutachten in seine Arbeit einbeziehen. Er muss sich mit den dort getroffenen Feststellungen auseinandersetzen, auch wenn er zu anderen Ergebnissen kommt. Wenn er vom Privatgutachten abweicht, muss er das begründen. Das erhöht die Qualität des Gerichtsgutachtens, weil der Sachverständige weiß, dass seine Arbeit von einem fachkundigen Kollegen geprüft wird.
Wichtig ist dabei ein formaler Punkt: Der Privatgutachter darf in derselben Sache nicht als Gerichtssachverständiger bestellt werden. Seine vorherige Tätigkeit als Privatgutachter begründet einen Ablehnungsgrund nach § 355 ZPO in Verbindung mit den Befangenheitsregeln. Das sollte bei der Auswahl von Anfang an berücksichtigt werden.
Die optimale Konstellation sieht so aus: Sie beauftragen den Privatgutachter vorprozessual. Im Verfahren legen Sie das Gutachten als qualifiziertes Parteivorbringen vor. Das Gericht bestellt einen eigenen Sachverständigen. Sie nutzen das Wissen des Privatgutachters, um die Beweisfragen zu formulieren, das Gerichtsgutachten zu analysieren und bei der mündlichen Erörterung die richtigen Fragen zu stellen. Der Privatgutachter bleibt während des gesamten Verfahrens Ihr technischer Berater im Hintergrund.
Kosten und Kostenerstattung
Die Kosten eines Privatgutachtens trägt zunächst der Auftraggeber. Bei IT-Gutachten hängt der Aufwand stark von der Komplexität des Falls ab: Eine Kurzstellungnahme zu einer einzelnen technischen Frage kann in wenigen Tagen erstellt werden. Ein umfassendes Gutachten zu einem gescheiterten ERP-Projekt mit Analyse der Projektdokumentation, Systemtests und Schadensermittlung kann mehrere Wochen erfordern.
Entscheidend für die Mandantenberatung: Die Kosten des Privatgutachtens können im Verfahren geltend gemacht werden, wenn die Gutachtenseinholung für die gerichtliche Rechtsverfolgung notwendig und zweckmäßig war. Die Rechtsprechung stellt dabei auf den Zeitpunkt der Beauftragung ab. Ein Gutachten, das in Auftrag gegeben wurde, als sich der Rechtsstreit bereits konkret abzeichnete, hat bessere Chancen auf Erstattung als eines, das rein vorsorglich erstellt wurde.
In der Praxis überwiegt der strategische Nutzen die Kosten bei Weitem. Ein Privatgutachten, das einen aussichtslosen Fall frühzeitig erkennt, erspart Ihrem Mandanten die Kosten eines verlorenen Prozesses. Ein Privatgutachten, das die Vergleichsverhandlung ermöglicht, spart die gesamten Verfahrenskosten. Und ein Privatgutachten, das ein ungünstiges Gerichtsgutachten erschüttert, kann den Ausgang des Verfahrens drehen.
Der richtige Zeitpunkt
Für Anwälte, die IT-Streitigkeiten betreuen, gilt eine einfache Regel: Je früher der Privatgutachter eingebunden wird, desto größer ist der strategische Nutzen. Im Idealfall holen Sie technische Expertise ein, bevor Sie den Fall inhaltlich bewerten, bevor Beweise verloren gehen, bevor Sie Schriftsätze formulieren und bevor Sie Beweisanträge stellen.
Als allgemein beeideter und gerichtlich zertifizierter IT-Sachverständiger arbeite ich regelmäßig mit Rechtsanwaltskanzleien zusammen, die IT-Streitigkeiten betreuen. Von der vorprozessualen Positionsbewertung über die Beweissicherung bis zur Analyse von Gerichtsgutachten – kontaktieren Sie mich für ein unverbindliches Erstgespräch zur Einschätzung Ihres Falls.

7. Feber 2026
IT-Outsourcing schiefgegangen: Wann ein Gutachten den Vertragsstreit entscheidet

Ihr Unternehmen hat die IT an einen externen Dienstleister ausgelagert. Am Anfang lief alles gut, dann häuften sich die Probleme: Systeme fallen aus, Reaktionszeiten werden nicht eingehalten, Sicherheitsupdates fehlen, und auf Beschwerden kommt nur die Antwort, das sei im Vertrag so nicht vereinbart. Oder umgekehrt: Sie sind IT-Dienstleister und Ihr Kunde behauptet Mängel, die aus Ihrer Sicht auf sein eigenes Fehlverhalten zurückgehen. In beiden Fällen eskaliert die Situation, Anwälte werden eingeschaltet, und plötzlich steht die Frage im Raum: Was war eigentlich vereinbart, was wurde tatsächlich geleistet, und wer trägt die Verantwortung für den Schaden? Genau hier kommt ein IT-Sachverständiger ins Spiel.
Warum IT-Outsourcing-Streitigkeiten so schwer zu lösen sind
IT-Outsourcing-Verträge sind juristisch komplex, weil sie keinem einzelnen gesetzlichen Vertragstyp entsprechen. Ein Outsourcing-Vertrag enthält Elemente aus dem Dienstvertrag (laufende Betreuung, Helpdesk), dem Werkvertrag (Migration, Projektleistungen), dem Mietvertrag (Bereitstellung von Infrastruktur) und dem Kaufvertrag (Lizenzbeschaffung). Welches Vertragsrecht im konkreten Fall anwendbar ist, hängt davon ab, welche Leistung gerade strittig ist. Das macht die rechtliche Beurteilung bereits ohne technische Analyse schwierig.
Hinzu kommt ein Grundproblem, das in der Praxis die meisten Outsourcing-Streitigkeiten prägt: Die Leistungsbeschreibung ist unzureichend. In der Vertriebsphase wirbt der Dienstleister mit umfassendem Know-how und reibungslosem Betrieb. Der Kunde erwartet, dass „alles läuft“. Aber was „alles läuft“ konkret bedeutet, steht oft nicht im Vertrag. Wenn es dann zum Streit kommt, stehen sich zwei Versionen gegenüber: Der Kunde sagt, er habe eine umfassende Betreuung erwartet. Der Dienstleister sagt, er habe nur das geliefert, was im Vertrag steht. Beide haben aus ihrer Perspektive recht.
Ein Gericht kann diesen Streit nicht allein auf Basis der Vertragstexte entscheiden. Es braucht eine technische Analyse, die feststellt, was tatsächlich vereinbart war, was tatsächlich geleistet wurde und ob die Leistung dem Stand der Technik entsprach. Genau das ist die Aufgabe eines IT-Sachverständigen.
Die fünf häufigsten Streitpunkte beim IT-Outsourcing
In meiner Erfahrung als Sachverständiger drehen sich Outsourcing-Streitigkeiten regelmäßig um fünf wiederkehrende Themen.
1. Verfügbarkeit und SLA-Verletzungen
Das Service Level Agreement (SLA) ist das Herzstück jedes Outsourcing-Vertrags. Es definiert Parameter wie Systemverfügbarkeit, Reaktionszeiten und Fehlerbehebungsfristen. Ein typisches SLA garantiert beispielsweise eine Verfügbarkeit von 99,5 Prozent pro Kalendermonat, eine Reaktionszeit von vier Stunden bei kritischen Störungen und eine Behebungszeit von acht Stunden bei Priorität-1-Fehlern.
Der Streit beginnt, wenn diese Parameter nicht eingehalten werden. Aber die Frage, ob ein SLA tatsächlich verletzt wurde, ist technisch keineswegs trivial. Was zählt als Ausfallzeit? Zählt eine geplante Wartung? Wird die Verfügbarkeit auf den einzelnen Server bezogen oder als End-to-End-Verfügbarkeit gemessen? Was ist, wenn das System zwar erreichbar war, aber so langsam, dass ein Arbeiten praktisch unmöglich war? Und wer misst die Verfügbarkeit – der Dienstleister mit seinen eigenen Monitoring-Tools oder der Kunde mit seinen Erfahrungswerten?
Der Sachverständige analysiert die Monitoring-Daten, Ticketsysteme und Logfiles beider Seiten und stellt objektiv fest, ob und in welchem Umfang SLA-Verletzungen vorlagen.
2. Unklare Leistungsabgrenzung
Beim IT-Outsourcing existiert kein typisiertes Leistungsbild. Das Spektrum reicht von der Betreuung einzelner Server bis zum vollständigen Betrieb der gesamten IT-Infrastruktur. Wenn im Vertrag steht, der Dienstleister übernimmt den „IT-Betrieb“, kann das je nach Auslegung die reine Serveradministration oder die vollständige Verantwortung einschließlich Endgerätesupport, Netzwerkmanagement und Applikationsbetreuung bedeuten.
In der Praxis entsteht der Streit häufig an den Rändern: Wer ist für die Firewall-Konfiguration zuständig? Wer kümmert sich um die Lizenzverwaltung? Wer verantwortet die Datensicherung der Endgeräte? Diese Abgrenzungsfragen scheinen im laufenden Betrieb unwichtig, werden aber im Schadensfall zur entscheidenden Haftungsfrage.
Der Sachverständige rekonstruiert den tatsächlichen Leistungsumfang anhand des Vertrags, der Leistungsscheine, der Tickethistorie und der gelebten Praxis. Denn in vielen Outsourcing-Beziehungen weicht die tatsächliche Leistungserbringung erheblich vom schriftlichen Vertrag ab. Wenn der Dienstleister über Jahre hinweg Aufgaben übernommen hat, die nicht im Vertrag stehen, kann daraus eine konkludente Vertragserweiterung entstehen. Wenn er umgekehrt vertragliche Leistungen systematisch nicht erbracht hat, ohne dass der Kunde reklamiert hat, kann der Dienstleister argumentieren, dass der Kunde dies stillschweigend akzeptiert hat.
3. Mangelhafte Transition
Die Transition, also die Überführung der IT-Verantwortung vom Kunden auf den Dienstleister, ist die kritischste Phase eines Outsourcing-Projekts. In dieser Phase wird die bestehende IT-Infrastruktur dokumentiert, werden Zugänge übertragen, Monitoring eingerichtet und Prozesse definiert. Fehler in der Transition wirken sich über die gesamte Vertragslaufzeit aus.
Ein typischer Streitfall: Der Dienstleister übernimmt die IT eines mittelständischen Unternehmens. Die Transition wird in vier Wochen durchgeführt. Dabei wird die bestehende Infrastruktur nicht vollständig dokumentiert. Ein Jahr später fällt ein System aus, das der Dienstleister nicht in seinem Monitoring hatte, weil es während der Transition nicht erfasst wurde. Der Kunde sagt: Der Dienstleister hätte das System erfassen müssen. Der Dienstleister sagt: Der Kunde hat ihm die Existenz des Systems nicht mitgeteilt.
Der Sachverständige prüft, ob die Transition nach fachlichen Standards durchgeführt wurde, ob der Dienstleister eine angemessene Bestandsaufnahme vorgenommen hat und ob der Kunde seiner Mitwirkungspflicht nachgekommen ist.
4. Sicherheitsmängel
Die Verantwortung für die IT-Sicherheit ist einer der heikelsten Punkte im Outsourcing. Wenn ein Unternehmen seine IT auslagert, erwartet es in der Regel, dass der Dienstleister auch für die Sicherheit sorgt. Aber der Umfang der Sicherheitsverantwortung ist häufig nicht präzise definiert. Gehört Patch-Management dazu? Endpoint Protection? Phishing-Awareness-Training für die Mitarbeiter des Kunden? Firewall-Management? Penetrationstests?
Im Schadensfall – etwa nach einem erfolgreichen Cyberangriff – wird die Frage, wer für welchen Sicherheitsaspekt verantwortlich war, zur zentralen Haftungsfrage. Der Sachverständige untersucht, welche Sicherheitsmaßnahmen vertraglich geschuldet waren, welche tatsächlich implementiert waren und ob der Stand der Technik eingehalten wurde. Dabei muss er auch die Frage beantworten, ob die nicht implementierten Maßnahmen den Angriff hätten verhindern können, also ob die Sicherheitslücke kausal für den Schaden war.
5. Probleme beim Exit oder Providerwechsel
Weniger bekannt, aber in der Praxis zunehmend relevant, sind Streitigkeiten am Ende der Outsourcing-Beziehung. Wenn ein Unternehmen den Dienstleister wechseln oder die IT zurückholen möchte (Backsourcing), ist es auf die Mitwirkung des bisherigen Dienstleisters angewiesen. Daten müssen übergeben, Systeme migriert, Zugänge übertragen und Dokumentationen bereitgestellt werden.
In der Praxis funktioniert das häufig nicht reibungslos. Der bisherige Dienstleister hat wenig Motivation, den Übergang zu unterstützen. Die Dokumentation ist lückenhaft, weil sie während der Vertragslaufzeit nicht gepflegt wurde. Zugangsdaten sind nur beim Dienstleister hinterlegt. Und die Daten liegen in einem Format vor, das vom neuen Dienstleister nicht ohne Weiteres übernommen werden kann.
Der Sachverständige prüft, ob die Mitwirkungspflichten für den Exit-Fall vertraglich geregelt waren, ob der Dienstleister die vereinbarten Übergabeleistungen erbracht hat und ob durch eine mangelhafte Übergabe ein Schaden entstanden ist.
Was der Sachverständige konkret untersucht
Bei einem Outsourcing-Streit führt der Sachverständige eine mehrstufige Analyse durch.
Zunächst die Vertragsanalyse: Was war der geschuldete Leistungsumfang? Der Sachverständige liest nicht nur den Rahmenvertrag, sondern auch alle Leistungsscheine, SLAs, Änderungsvereinbarungen (Change Requests), Protokolle von Jour-fixe-Terminen und relevante E-Mail-Korrespondenz. Gerade bei langjährigen Outsourcing-Beziehungen hat sich der Leistungsumfang im Laufe der Zeit häufig erheblich verändert, ohne dass dies schriftlich festgehalten wurde.
Dann die Leistungsanalyse: Was wurde tatsächlich erbracht? Hier wertet der Sachverständige das Ticketsystem des Dienstleisters aus, analysiert Monitoring-Daten, prüft Konfigurationen und Systemzustände und vergleicht die tatsächliche Leistung mit den vertraglichen Vorgaben. Die Auswertung der Tickethistorie allein kann Monate abdecken und Tausende von Vorgängen umfassen.
Schließlich die Schadensanalyse: Welcher Schaden ist durch die festgestellten Mängel entstanden? Der Sachverständige beziffert die direkten Kosten (Wiederherstellung, Ersatzmaßnahmen), die Folgeschäden (Betriebsunterbrechung, Datenverlust) und den zusätzlichen Aufwand, der durch die mangelhafte Leistung entstanden ist. Er grenzt dabei den Schaden ab, der auf die Mängel des Dienstleisters zurückzuführen ist, von Schäden, die andere Ursachen haben oder durch den Kunden selbst mitverschuldet wurden.
Der „mittlere Ausführungsstandard“ als Maßstab
Wenn der Vertrag keine ausreichende Leistungsbeschreibung enthält, greift die Rechtsprechung auf den „mittleren Ausführungsstandard“ zurück: Der Dienstleister schuldet eine Leistung in der Qualität, die für vergleichbare Leistungen üblich ist. Beim IT-Outsourcing ist die Feststellung dieses Standards eine Herausforderung, weil kein typisiertes Leistungsbild existiert. Das Leistungsspektrum ist so breit gefächert, dass für viele Varianten der ausgelagerten Leistungen kein allgemeingültiger Standard existiert.
Der Sachverständige stützt sich in diesen Fällen auf branchenübliche Frameworks und Best Practices: ITIL für das IT-Service-Management, ISO 27001 für die Informationssicherheit, BSI-Grundschutz für die technische Absicherung und die einschlägigen Herstellerempfehlungen für die verwendeten Produkte. Er kann daraus ableiten, welche Leistungsqualität ein Kunde bei einem professionellen IT-Dienstleister erwarten durfte, auch wenn der Vertrag die Details nicht regelt.
Wann ein Gutachten den Unterschied macht
Ein Gutachten ist dann besonders wirkungsvoll, wenn es nicht erst im Gerichtsverfahren eingeholt wird, sondern die Verhandlung überhaupt erst ermöglicht. In vielen Outsourcing-Streitigkeiten eskaliert der Konflikt, weil beide Seiten technisch unterschiedliche Standpunkte vertreten und keine gemeinsame Faktenbasis existiert. Ein unabhängiges Gutachten schafft diese Faktenbasis.
Vor Gericht wird der Sachverständige ohnehin hinzugezogen, wenn technische Fragen geklärt werden müssen. Das kann im Zivilprozess als gerichtlich bestellter Sachverständiger geschehen, den das Gericht nach §§ 351 ff. ZPO (Österreich) beauftragt. Es kann aber auch als Privatgutachten erfolgen, das eine der Parteien in Auftrag gibt und als qualifiziertes Parteivorbringen in das Verfahren einbringt. Der Vorteil eines Privatgutachtens: Es kann schneller erstellt werden als ein Gerichtsgutachten, und es gibt der beauftragenden Partei vorab Klarheit über die Stärken und Schwächen ihrer Position.
Außergerichtlich kann ein Gutachten als Grundlage für einen Vergleich dienen. Wenn beide Seiten die technischen Fakten akzeptieren, reduziert sich die Auseinandersetzung auf die rechtliche Bewertung und die Schadenshöhe. Das spart Zeit, Kosten und Geschäftsbeziehungen.
Als allgemein beeideter und gerichtlich zertifizierter IT-Sachverständiger unterstütze ich Unternehmen und IT-Dienstleister gleichermaßen bei der objektiven Klärung von Outsourcing-Streitigkeiten. Kontaktieren Sie mich für ein unverbindliches Erstgespräch.

5. Feber 2026
NIS2-Meldepflicht: Was tun bei einem Cybersicherheitsvorfall in Österreich?

Am 12. Dezember 2025 hat der österreichische Nationalrat das NISG 2026 beschlossen – die nationale Umsetzung der europäischen NIS2-Richtlinie. Ab 1. Oktober 2026 gelten für geschätzt über 5.000 Unternehmen in Österreich neue Pflichten bei Cybersicherheitsvorfällen. Eine der einschneidendsten Änderungen: die mehrstufige Meldepflicht mit Fristen ab 24 Stunden. Was das für Unternehmen bedeutet, wie der Meldeprozess abläuft und welche Rolle ein IT-Sachverständiger dabei spielen kann, erklärt dieser Beitrag.
Wer ist betroffen?
Die NIS2-Richtlinie erweitert den Kreis der betroffenen Unternehmen gegenüber der bisherigen NIS1-Regelung erheblich. Waren unter NIS1 in Österreich rund 100 bis 200 Unternehmen erfasst, sind es unter dem NISG 2026 über 5.000 direkt betroffene Einrichtungen – und schätzungsweise 50.000 weitere Unternehmen, die als Lieferanten und Dienstleister indirekt betroffen sind.
Das Gesetz unterscheidet zwischen wesentlichen und wichtigen Einrichtungen in 18 Sektoren. Dazu gehören Energie, Transport, Gesundheitswesen, Trinkwasserversorgung, digitale Infrastruktur, Abwasserwirtschaft, öffentliche Verwaltung, Weltraum, Post- und Kurierdienste, Abfallwirtschaft, Lebensmittelproduktion, Chemie, verarbeitendes Gewerbe, digitale Dienste und Forschung. Die Größenschwelle liegt grundsätzlich bei 50 Mitarbeitern oder 10 Millionen Euro Jahresumsatz, wobei es Ausnahmen gibt: Anbieter öffentlicher Kommunikationsnetze, DNS-Diensteanbieter und bestimmte weitere Einrichtungen fallen unabhängig von ihrer Größe unter das Gesetz.
Entscheidend für die Praxis: Auch Unternehmen unterhalb der Größenschwelle können betroffen sein, wenn sie als Lieferant oder Dienstleister für eine wesentliche oder wichtige Einrichtung arbeiten. Die Lieferkettensicherheit ist ein zentrales Element der NIS2-Richtlinie, und betroffene Einrichtungen werden die Anforderungen vertraglich an ihre Zulieferer weitergeben.
Die mehrstufige Meldepflicht: Was wann gemeldet werden muss
Das Herzstück der neuen Regelung für den Anlassfall ist die mehrstufige Meldepflicht bei erheblichen Cybersicherheitsvorfällen. Sie ist bewusst als eskalierendes System angelegt, das in der akuten Phase nur eine Erstmeldung verlangt und die detaillierte Analyse in spätere Phasen verschiebt.
Stufe 1: Frühwarnung innerhalb von 24 Stunden. Nach der Erkennung eines erheblichen Cybersicherheitsvorfalls hat das Unternehmen 24 Stunden Zeit, eine Frühwarnung an das nationale CSIRT (in Österreich: CERT.at) zu übermitteln. Diese Frühwarnung muss angeben, ob der Vorfall vermutlich auf einer rechtswidrigen oder böswilligen Handlung beruht und ob er grenzüberschreitende Auswirkungen haben könnte. Die Frühwarnung ist bewusst niedrigschwellig gehalten: Es geht um eine erste Einordnung, nicht um eine abschließende Analyse.
Stufe 2: Erstbewertung innerhalb von 72 Stunden. Binnen 72 Stunden nach der Erkennung muss eine erste Einschätzung des Vorfalls an die zuständige Behörde übermittelt werden. Diese Erstbewertung enthält eine Aktualisierung der Frühwarnung, eine erste Bewertung des Vorfalls einschließlich Schweregrad und Auswirkungen sowie gegebenenfalls vorhandene Kompromittierungsindikatoren (Indicators of Compromise, IoC).
Stufe 3: Zwischen- oder Abschlussbericht innerhalb eines Monats. Spätestens einen Monat nach der Erstmeldung ist ein ausführlicher Bericht vorzulegen. Dieser enthält eine detaillierte Beschreibung des Vorfalls einschließlich Schweregrad und Auswirkungen, die Art der Bedrohung oder die Ursache, die angewandten und laufenden Abhilfemaßnahmen sowie gegebenenfalls die grenzüberschreitenden Auswirkungen. Ist der Vorfall nach einem Monat noch nicht abgeschlossen, wird zunächst ein Zwischenbericht eingereicht und der Abschlussbericht nach Abschluss der Vorfallbearbeitung nachgereicht.
Was ein erheblicher Cybersicherheitsvorfall ist
Nicht jede IT-Störung löst die Meldepflicht aus. Die NIS2-Richtlinie definiert einen erheblichen Sicherheitsvorfall als einen Vorfall, der schwerwiegende Betriebsstörungen der Dienste oder finanzielle Verluste für die betreffende Einrichtung verursacht hat oder verursachen kann, oder der andere Personen oder Einrichtungen durch erhebliche materielle oder immaterielle Schäden beeinträchtigt hat oder beeinträchtigen kann.
In der Praxis bedeutet das: Ein Ransomware-Angriff, der Produktionssysteme verschlüsselt, ist ein erheblicher Vorfall. Ein Datendiebstahl, bei dem Kundendaten exfiltriert werden, ist ein erheblicher Vorfall. Ein DDoS-Angriff, der die Erreichbarkeit eines wesentlichen Dienstes über Stunden verhindert, ist ein erheblicher Vorfall. Ein fehlgeschlagener Phishing-Versuch, der rechtzeitig erkannt und abgewehrt wurde, ist in der Regel kein erheblicher Vorfall, kann aber freiwillig gemeldet werden.
Die Abgrenzung ist im Einzelfall nicht trivial. Gerade in der Frühphase eines Vorfalls ist das Ausmaß oft noch unklar. Die 24-Stunden-Frist für die Frühwarnung beginnt mit der Erkennung des Vorfalls, nicht mit der vollständigen Analyse. Im Zweifel ist eine frühzeitige Meldung immer besser als eine verspätete: Eine Frühwarnung, die sich im Nachhinein als unnötig erweist, hat keine negativen Konsequenzen. Eine verspätete Meldung kann dagegen sanktioniert werden.
Die parallelen Meldepflichten: NIS2 und DSGVO
Wenn ein Cybersicherheitsvorfall auch personenbezogene Daten betrifft, laufen zwei Meldepflichten parallel. Die NIS2-Meldung an das CSIRT und die DSGVO-Meldung an die Datenschutzbehörde sind voneinander unabhängig und ersetzen sich nicht gegenseitig.
Die DSGVO-Meldung nach Art. 33 DSGVO hat eine Frist von 72 Stunden und geht an die österreichische Datenschutzbehörde. Sie betrifft die Verletzung des Schutzes personenbezogener Daten. Die NIS2-Meldung hat eine erste Frist von 24 Stunden (Frühwarnung) und geht an das CSIRT (CERT.at). Sie betrifft die Betriebsstörung und die Cybersicherheit.
In der Praxis erfordert das eine koordinierte Vorfallbearbeitung, die beide Meldepflichten berücksichtigt. Die Inhalte der Meldungen überschneiden sich teilweise, sind aber nicht identisch. Die DSGVO-Meldung fokussiert auf die betroffenen personenbezogenen Daten und die Risiken für die Betroffenen. Die NIS2-Meldung fokussiert auf den technischen Vorfall, seine Ursache und seine Auswirkungen auf die Dienste.
Was ein IT-Sachverständiger in diesem Prozess leistet
Die Meldepflicht stellt Unternehmen vor eine doppelte Herausforderung: Sie müssen den Vorfall bewältigen und gleichzeitig strukturiert dokumentieren und melden. In der akuten Krise sind die internen Ressourcen mit der Eindämmung und Wiederherstellung vollständig ausgelastet. Die Meldung wird dann entweder zu knapp, zu spät oder inhaltlich unzureichend.
Ein IT-Sachverständiger kann in mehreren Phasen des Prozesses unterstützen.
In der akuten Phase liefert er die technische Ersteinschätzung, die für die Frühwarnung und die Erstbewertung benötigt wird: Welche Systeme sind betroffen? Handelt es sich um einen gezielten Angriff oder einen opportunistischen Vorfall? Gibt es Hinweise auf Datenexfiltration? Sind grenzüberschreitende Auswirkungen möglich? Diese Einschätzungen erfordern forensische Kompetenz, die in vielen KMU intern nicht vorhanden ist.
In der Analysephase erstellt er die detaillierte Vorfallanalyse, die für den Zwischen- und Abschlussbericht erforderlich ist: Rekonstruktion des Angriffsverlaufs, Identifikation des Angriffsvektors, Bestimmung des Schadensumfangs, Bewertung der ergriffenen Abhilfemaßnahmen. Diese Analyse muss in einer Form dokumentiert werden, die sowohl für die Behörde nachvollziehbar als auch für eine etwaige gerichtliche Auseinandersetzung verwertbar ist.
In der Nachbereitung unterstützt er bei der Bewertung, ob die vorhandenen Risikomanagementmaßnahmen dem Vorfall angemessen waren und welche zusätzlichen Maßnahmen erforderlich sind. Diese Bewertung ist nicht nur für die interne Verbesserung relevant, sondern auch als Nachweis gegenüber der Cybersicherheitsbehörde, die ab Oktober 2028 die Umsetzung der Maßnahmen prüfen wird.
Die Sanktionen: Was bei Nichtbeachtung droht
Das NISG 2026 sieht für wesentliche Einrichtungen Geldstrafen von bis zu 10 Millionen Euro oder 2 Prozent des weltweiten Jahresumsatzes vor, je nachdem, welcher Betrag höher ist. Für wichtige Einrichtungen liegt die Obergrenze bei 7 Millionen Euro oder 1,4 Prozent des Jahresumsatzes.
Neben den Geldstrafen kann die Cybersicherheitsbehörde weitere Maßnahmen anordnen: verbindliche Anweisungen zur Umsetzung von Sicherheitsmaßnahmen, bei wesentlichen Einrichtungen im Extremfall die vorübergehende Aussetzung der Tätigkeit und sogar ein vorübergehendes Tätigkeitsverbot für Personen mit Geschäftsleitungsaufgaben.
Besonders relevant für die Geschäftsführung: Die Leitungsorgane haften persönlich für die Einhaltung der Cybersicherheitsmaßnahmen. Die Geschäftsführung muss die Risikomanagementmaßnahmen billigen, ihre Umsetzung überwachen und an Cybersicherheitsschulungen teilnehmen. Diese persönliche Haftung kann nicht delegiert werden.
Der Zeitplan: Was jetzt zu tun ist
Das NISG 2026 wurde am 23. Dezember 2025 im Bundesgesetzblatt veröffentlicht. Die wichtigsten Fristen sind klar definiert.
Am 1. Oktober 2026 tritt das Gesetz in Kraft. Ab diesem Zeitpunkt müssen die Risikomanagementmaßnahmen umgesetzt sein und die Meldepflichten werden wirksam. Bis 31. Dezember 2026 müssen sich wesentliche und wichtige Einrichtungen bei der Cybersicherheitsbehörde registrieren. Bis 30. September 2027 muss eine Selbstdeklaration mit der Beschreibung der Risikomanagementmaßnahmen und den Ergebnissen der Risikoanalysen an die Cybersicherheitsbehörde übermittelt werden. Ab 1. Oktober 2028 kann die Cybersicherheitsbehörde die tatsächliche Umsetzung der Maßnahmen prüfen und nachweisen lassen.
Für Unternehmen, die noch nicht begonnen haben, sich mit den Anforderungen auseinanderzusetzen, wird die Zeit knapp. Die Umsetzung eines angemessenen Risikomanagements, die Einrichtung von Meldeprozessen und die Schulung der Verantwortlichen erfordern Vorlaufzeit.
Vorbereitung auf den Ernstfall: Der Melde- und Dokumentationsprozess
Die Meldepflicht lässt sich nicht erst im Schadensfall organisieren. Unternehmen sollten jetzt drei Dinge vorbereiten.
Erstens einen Incident-Response-Plan, der die NIS2-Meldefristen berücksichtigt. Dieser Plan definiert, wer im Unternehmen für die Erkennung, Bewertung und Meldung von Vorfällen zuständig ist, wie der interne Eskalationsprozess abläuft und wer die Meldung an das CSIRT und gegebenenfalls an die Datenschutzbehörde verantwortet. Der Plan sollte auch die Kontaktdaten eines externen IT-Sachverständigen enthalten, der im Ernstfall kurzfristig verfügbar ist.
Zweitens die technischen Voraussetzungen für die Vorfallserkennung. Die Meldepflicht setzt voraus, dass das Unternehmen einen erheblichen Vorfall überhaupt erkennt. Ohne funktionierendes Monitoring, zentralisierte Log-Erfassung und definierte Erkennungsmechanismen kann die 24-Stunden-Frist nicht eingehalten werden, weil der Vorfall möglicherweise erst Tage oder Wochen nach seinem Beginn bemerkt wird.
Drittens die Dokumentationsstrukturen. Die mehrstufige Meldepflicht erfordert eine fortlaufende Dokumentation des Vorfalls von der Erkennung bis zum Abschluss. Diese Dokumentation muss detailliert genug sein, um die Behörde zu informieren, und gleichzeitig forensisch belastbar, falls der Vorfall zu rechtlichen Auseinandersetzungen führt.
Als allgemein beeideter und gerichtlich zertifizierter IT-Sachverständiger unterstütze ich Unternehmen sowohl bei der Vorbereitung auf die NIS2-Meldepflichten als auch bei der forensischen Dokumentation im akuten Vorfallsfall. Kontaktieren Sie mich für ein unverbindliches Erstgespräch.

2. Feber 2026
Datenverlust im Unternehmen: Wer haftet – und was ein Gutachten klärt

Daten sind weg. Kundendaten, Buchhaltung, Konstruktionszeichnungen, E-Mail-Archive – was gestern noch selbstverständlich verfügbar war, ist nach einem Serverausfall, einem fehlgeschlagenen Update oder einem Cyberangriff plötzlich nicht mehr da. Die unmittelbare Frage lautet: Wie bekommen wir die Daten zurück? Aber kurz danach kommt die zweite Frage: Wer ist dafür verantwortlich? Die Antwort darauf ist selten einfach, denn bei Datenverlust im Unternehmen kommen mehrere Haftungsebenen ins Spiel. Ein IT-Sachverständiger kann klären, was technisch passiert ist, wer welche Pflichten verletzt hat und welcher Schaden tatsächlich entstanden ist.
Warum die Haftungsfrage bei Datenverlust so komplex ist
Bei einem Wasserschaden in der Lagerhalle ist die Haftungskette in der Regel überschaubar: Der Installateur hat ein Rohr fehlerhaft montiert, das Rohr ist gebrochen, das Wasser hat die Ware beschädigt. Bei Datenverlust ist die Situation grundlegend anders, weil regelmäßig mehrere Verantwortungsebenen zusammenwirken.
Das Unternehmen selbst hat eine Pflicht zur Datensicherung. Die Geschäftsführung trägt die Organisationsverantwortung für die IT-Sicherheit. Der externe IT-Dienstleister hat möglicherweise einen Wartungsvertrag, der Backup-Management einschließt. Der Softwarehersteller hat vielleicht ein fehlerhaftes Update ausgeliefert. Und der Mitarbeiter, der den falschen Knopf gedrückt hat, handelte möglicherweise ohne ausreichende Schulung.
In der Praxis stellt sich daher nicht die Frage „Wer ist schuld?“, sondern: „Wer hat welche Pflicht verletzt, und in welchem Umfang hat diese Pflichtverletzung zum Schaden beigetragen?“ Genau diese Frage beantwortet ein IT-Sachverständiger.
Die vier Haftungsebenen bei Datenverlust
Bei einem Datenverlust im Unternehmen sind typischerweise vier Ebenen zu prüfen, die jeweils eigene rechtliche Grundlagen und Anforderungen haben.
Ebene 1: Die Geschäftsführerhaftung
Die Geschäftsführung ist für die Organisation der IT-Sicherheit im Unternehmen verantwortlich. Das ergibt sich aus der allgemeinen Sorgfaltspflicht nach § 25 GmbHG in Österreich (bzw. § 43 GmbHG in Deutschland) und wird durch die DSGVO konkretisiert. Art. 32 DSGVO verlangt vom Verantwortlichen, technische und organisatorische Maßnahmen zu treffen, die ein dem Risiko angemessenes Schutzniveau gewährleisten. Dazu gehört ausdrücklich die Fähigkeit, die Verfügbarkeit personenbezogener Daten rasch wiederherzustellen.
In der Praxis bedeutet das: Die Geschäftsführung muss nicht selbst Backups konfigurieren. Aber sie muss sicherstellen, dass ein angemessenes Datensicherungskonzept existiert, dass es umgesetzt wird und dass seine Funktionsfähigkeit regelmäßig geprüft wird. Das OLG Dresden hat 2021 erstmals einen Geschäftsführer als eigenständigen datenschutzrechtlichen Verantwortlichen im Sinne der DSGVO eingestuft und persönlich haftbar gemacht. Das Urteil hat Signalwirkung.
Der Sachverständige prüft in diesem Zusammenhang, ob ein dokumentiertes Datensicherungskonzept existierte, ob die Umsetzung regelmäßig kontrolliert wurde, ob die gewählten Maßnahmen dem Stand der Technik und dem Risiko angemessen waren und ob Wiederherstellungstests durchgeführt wurden. Wenn die Geschäftsführung die IT-Verantwortung an einen internen IT-Leiter oder an einen externen Dienstleister delegiert hat, prüft der Sachverständige zusätzlich, ob die Delegation sachgerecht erfolgte und ob die Kontrollpflichten eingehalten wurden. Denn delegieren entlastet von der Ausführung, nicht von der Überwachung.
Ebene 2: Die Haftung des IT-Dienstleisters
In den meisten kleinen und mittleren Unternehmen wird die IT ganz oder teilweise von einem externen Dienstleister betreut. Der Leistungsumfang reicht von der reinen Hardware-Wartung bis zum vollständigen Managed-Service, der auch Backup, Monitoring und Sicherheitsmanagement umfasst. Die Haftung des Dienstleisters richtet sich nach dem Vertrag und der tatsächlich übernommenen Verantwortung.
Die häufigsten Streitpunkte in der Praxis betreffen das Backup-Management. Der Vertrag sieht regelmäßige Backups vor, aber der Dienstleister hat die Sicherungen nicht überwacht und den Ausfall des Backup-Systems nicht bemerkt. Oder die Backups wurden erstellt, aber nie auf Wiederherstellbarkeit getestet, und im Schadensfall stellt sich heraus, dass die Sicherungen unvollständig oder korrupt sind. Oder der Dienstleister hat ein Systemupdate eingespielt, das zum Datenverlust geführt hat, ohne vorher eine Sicherung zu erstellen.
Der Sachverständige prüft den Vertrag und die tatsächliche Leistungserbringung. Was genau war der Dienstleister schuldig? Was hat er tatsächlich getan? Wo liegt die Abweichung? Dabei ist zu beachten, dass sich IT-Dienstleister in ihren AGB häufig von der Haftung für Datenverluste freizuzeichnen versuchen. Die Rechtsprechung setzt solchen Haftungsausschlüssen jedoch enge Grenzen: Wenn die Datensicherung zum Kernbereich der vertraglichen Leistung gehört, handelt es sich um eine Kardinalpflicht, deren Verletzung nicht wirksam ausgeschlossen werden kann.
Ebene 3: Das Mitverschulden des Unternehmens
Selbst wenn der IT-Dienstleister eine Pflicht verletzt hat, wird die Haftung regelmäßig um ein Mitverschulden des Unternehmens gekürzt. Der BGH hat bereits früh klargestellt, dass die regelmäßige Datensicherung zu den grundlegenden Pflichten eines jeden Unternehmens gehört. Wer keine eigenen Sicherungen vorhält, muss sich ein erhebliches Mitverschulden anrechnen lassen.
In einem bekannten Fall verurteilte das Landgericht Frankfurt einen IT-Dienstleister und dessen Sohn zum Ersatz von 70 Prozent des Schadens, der durch die Zerstörung von Daten auf einem Betriebsrechner entstanden war. Die restlichen 30 Prozent wurden dem geschädigten Ingenieurbüro als Mitverschulden angelastet, weil es keine eigene Datensicherung vorgenommen hatte. Der bezifferte Schaden lag bei 350.000 Euro.
Der Sachverständige dokumentiert, welche Datensicherungsmaßnahmen das Unternehmen selbst getroffen hat, ob diese Maßnahmen dem Stand der Technik entsprachen und ob der Schaden bei einer angemessenen eigenen Datensicherung vermeidbar gewesen wäre. Das Ergebnis dieser Prüfung bestimmt die Mitverschuldensquote, die den Schadenersatzanspruch gegen den IT-Dienstleister reduziert.
Ebene 4: Die DSGVO-Haftung bei personenbezogenen Daten
Wenn der Datenverlust personenbezogene Daten betrifft, kommt eine zusätzliche Haftungsebene ins Spiel. Art. 82 DSGVO gewährt jeder Person, der durch einen Datenschutzverstoß ein materieller oder immaterieller Schaden entstanden ist, einen Schadenersatzanspruch gegen den Verantwortlichen. In Österreich können zudem Verwaltungsstrafen von bis zu 20 Millionen Euro oder 4 Prozent des weltweiten Jahresumsatzes verhängt werden.
Sind mehrere Verantwortliche oder Auftragsverarbeiter an der Datenverarbeitung beteiligt, haftet nach Art. 82 Abs. 4 DSGVO jeder einzelne für den gesamten Schaden als Gesamtschuldner. Das Unternehmen kann sich nicht darauf berufen, dass sein IT-Dienstleister die Sicherung hätte durchführen sollen. Die betroffene Person kann sich an beide wenden. Im Innenverhältnis können Unternehmen und Dienstleister dann Regress nehmen.
Der Sachverständige stellt fest, welche personenbezogenen Daten vom Verlust betroffen sind, ob die Daten endgültig verloren oder wiederherstellbar sind, ob eine Meldepflicht an die Datenschutzbehörde besteht (Art. 33 DSGVO: innerhalb von 72 Stunden) und ob die betroffenen Personen benachrichtigt werden müssen (Art. 34 DSGVO). Diese Feststellungen bilden die Grundlage für die rechtliche Beurteilung durch den Anwalt und für die Kommunikation mit der Datenschutzbehörde.
Was der Sachverständige technisch untersucht
Die Haftungsprüfung steht und fällt mit der technischen Analyse. Der Sachverständige untersucht drei Bereiche.
Die Ursache des Datenverlusts. War es ein Hardwaredefekt, ein Softwarefehler, menschliches Versagen, ein Cyberangriff oder eine Kombination? Die Ursache bestimmt, wer potenziell haftet. Ein Hardwaredefekt trifft den Hersteller (Produkthaftung) oder den Dienstleister (wenn er die Überwachung versäumt hat). Ein Softwarefehler nach einem Update trifft den, der das Update ohne Sicherung eingespielt hat. Menschliches Versagen führt zur Frage, ob der Mitarbeiter ausreichend geschult und die Systeme angemessen gegen Fehlbedienung geschützt waren.
Den Zustand der Datensicherung. Der Sachverständige analysiert das Backup-Konzept und seine tatsächliche Umsetzung: Welche Systeme und Datenbestände waren in die Sicherung eingeschlossen? In welchen Intervallen wurde gesichert? Wurden die Sicherungen an einem getrennten Ort aufbewahrt? Wurden Wiederherstellungstests durchgeführt, und wenn ja, wann zuletzt? Welche Daten sind trotz Backup verloren, und warum? Diese Analyse zeigt, ob der Datenverlust bei einer funktionierenden Datensicherung vermeidbar gewesen wäre und wo die Schwachstelle lag.
Den eingetretenen Schaden. Der Sachverständige dokumentiert den Umfang des Datenverlusts: Welche Daten sind betroffen, welche sind unwiederbringlich verloren, welche können aus Backups, aus Fremdsystemen oder aus anderen Quellen rekonstruiert werden? Er beziffert den Wiederherstellungsaufwand und die Kosten, die durch den Verlust entstehen, etwa durch Betriebsunterbrechung, Neuerstellung verlorener Daten oder Folgeschäden gegenüber Kunden.
Typische Konstellationen aus der Praxis
Drei Konstellationen kommen in meiner Erfahrung als Sachverständiger besonders häufig vor.
Das vergessene Backup-Monitoring. Der IT-Dienstleister hat ein automatisiertes Backup eingerichtet, das über Monate fehlerfrei lief. Dann schlägt eine Sicherung fehl, weil der Speicherplatz erschöpft ist. Die Fehlermeldung wird nicht bemerkt, weil kein aktives Monitoring eingerichtet ist. Wochen später tritt ein Serverdefekt ein, und die letzte funktionsfähige Sicherung ist zwei Monate alt. Der Sachverständige prüft, ob das Monitoring vertraglich geschuldet war, ob der Dienstleister die Fehlermeldung hätte bemerken müssen und welcher Datenverlust auf die Monitoring-Lücke zurückzuführen ist. Der Schaden umfasst nur die Daten, die seit dem letzten erfolgreichen Backup entstanden sind, nicht den gesamten Datenbestand.
Das Update ohne Sicherung. Der IT-Dienstleister spielt ein größeres Softwareupdate auf dem Produktivserver ein, ohne vorher ein vollständiges Backup zu erstellen. Das Update schlägt fehl und korrumpiert die Datenbank. Teile der Daten sind nicht wiederherstellbar. Hier liegt die Pflichtverletzung in der Regel klar beim Dienstleister: Vor jedem Eingriff in ein Produktivsystem gehört eine Sicherung zum Fachstandard. Das Mitverschulden des Unternehmens kann dennoch relevant sein, wenn es keine eigene, vom Dienstleister unabhängige Sicherungskopie vorhielt.
Der unbemerkte Ransomware-Befall. Ransomware verschlüsselt die Daten des Unternehmens. Die vorhandenen Backups sind ebenfalls verschlüsselt, weil sie im selben Netzwerk lagen. Der IT-Dienstleister hatte eine getrennte Aufbewahrung empfohlen, das Unternehmen hatte aus Kostengründen darauf verzichtet. Hier liegt möglicherweise ein Mitverschulden des Unternehmens vor, weil es die Empfehlung des Dienstleisters ignoriert hat. Entscheidend ist, ob die Empfehlung dokumentiert wurde und ob das Unternehmen über das Risiko aufgeklärt wurde.
Warum ein Gutachten vor der Haftungsdiskussion stehen sollte
Die Haftungsfrage wird häufig zu früh und auf zu schmaler Grundlage diskutiert. Der IT-Dienstleister sagt, das Unternehmen habe keine ordentliche Sicherung gehabt. Das Unternehmen sagt, der Dienstleister hätte das Backup überwachen müssen. Beide Seiten argumentieren aus ihrer Perspektive, ohne den technischen Sachverhalt vollständig geklärt zu haben.
Ein Gutachten schafft die objektive Grundlage, auf der eine faire Haftungsverteilung möglich wird. Es beantwortet die Fragen, die ein Gericht, eine Versicherung oder ein Mediator braucht: Was genau ist passiert? Wer hatte welche Pflichten? Welche Pflichten wurden verletzt? Welcher Schaden ist durch welche Pflichtverletzung verursacht worden? Und welcher Schaden wäre bei pflichtgemäßem Verhalten aller Beteiligten vermeidbar gewesen?
Diese Fragen lassen sich nur durch eine technische Untersuchung beantworten, nicht durch juristische Argumente allein. Deshalb steht das Gutachten vor der Haftungsdiskussion und nicht danach.
Was Sie jetzt tun sollten
Wenn Ihr Unternehmen einen Datenverlust erlitten hat: Sichern Sie den aktuellen Zustand, bevor Sie mit der Wiederherstellung beginnen. Ein späteres Gutachten basiert auf den Spuren, die jetzt noch vorhanden sind. Wenn Sie sich in einer Haftungsauseinandersetzung mit Ihrem IT-Dienstleister befinden: Ein unabhängiges Gutachten klärt die technischen Fakten und schafft eine faire Verhandlungsgrundlage. Wenn Sie präventiv handeln wollen: Lassen Sie Ihr Datensicherungskonzept prüfen, bevor der Schadensfall eintritt.
Als allgemein beeideter und gerichtlich zertifizierter IT-Sachverständiger unterstütze ich Unternehmen, Anwälte und Versicherungen bei der Klärung von Datenverlust-Fällen. Kontaktieren Sie mich für ein unverbindliches Erstgespräch.

31. Jänner 2026
Ransomware-Angriff: Schadenshöhe ermitteln und gerichtsfest dokumentieren

Ein Ransomware-Angriff hat Ihre Systeme verschlüsselt. Die erste Panik ist vorbei, der Krisenstab arbeitet an der Wiederherstellung. Aber jetzt stellt sich eine Frage, die in der akuten Phase oft untergeht: Wie hoch ist der Schaden tatsächlich? Und wie dokumentiert man ihn so, dass er vor Gericht, gegenüber der Versicherung oder in Verhandlungen mit dem IT-Dienstleister standhält? Genau diese Frage beantwortet ein IT-Sachverständiger.
Warum die Schadenshöhe so schwer zu beziffern ist
Bei einem Wasserschaden kann ein Sachverständiger den Schaden relativ einfach beziffern: beschädigter Boden, feuchte Wände, zerstörtes Inventar. Bei einem Ransomware-Angriff ist das grundlegend anders. Der Schaden verteilt sich auf mehrere Kategorien, die zeitlich versetzt eintreten, sich gegenseitig beeinflussen und teilweise erst Wochen oder Monate nach dem Angriff vollständig sichtbar werden.
Ein produzierendes Unternehmen mit 80 Mitarbeitern wird an einem Freitagabend verschlüsselt. Am Montag können die Mitarbeiter nicht arbeiten. Die Produktion steht. Liefertermine werden gerissen. Kunden wechseln zum Mitbewerber. Ein externer IT-Dienstleister wird für die Forensik und Wiederherstellung beauftragt. Ein Anwalt kümmert sich um die DSGVO-Meldung, weil personenbezogene Daten betroffen sein könnten. Der Steuerberater warnt, dass die Buchhaltungsdaten der letzten drei Monate möglicherweise nicht vollständig wiederherstellbar sind. Der Vertrieb meldet, dass ein Großkunde den Rahmenvertrag nicht verlängert hat.
Welche dieser Posten gehören zum Schaden? Wie werden sie berechnet? Und wie weist man nach, dass sie tatsächlich auf den Angriff zurückzuführen sind? Das sind die Fragen, die ein IT-Sachverständiger beantworten muss.
Die vier Schadenskategorien bei Ransomware
Die Schadensermittlung nach einem Ransomware-Angriff gliedert sich in vier Hauptkategorien, die jeweils eigene Berechnungsmethoden und Nachweisanforderungen haben.
Kategorie 1: Direkte IT-Kosten
Die direkten IT-Kosten sind der am einfachsten zu beziffernde Teil des Schadens, weil sie sich weitgehend durch Rechnungen belegen lassen. Dazu gehören die IT-Forensik, also die Untersuchung des Angriffsverlaufs, die Identifikation der Schadsoftware und die Bestimmung des Angriffsumfangs. Hinzu kommen die Kosten für die Wiederherstellung der Systeme: Neuinstallation von Betriebssystemen, Einspielen von Backups, Rekonfiguration der Infrastruktur. Falls Hardware kompromittiert oder durch den Angriff beschädigt wurde, fallen Neubeschaffungskosten an. Und schließlich die Kosten für zusätzliche Sicherheitsmaßnahmen, die nach dem Angriff implementiert werden, um eine Wiederholung zu verhindern.
Die Herausforderung liegt hier im Detail. Nicht jede Rechnung eines IT-Dienstleisters ist automatisch angemessen. Der Sachverständige prüft, ob der geleistete Aufwand in einem angemessenen Verhältnis zum Schaden steht, ob die gewählten Maßnahmen sachgerecht waren und ob Kosten angefallen sind, die auch ohne den Angriff entstanden wären. Wenn ein Unternehmen den Angriff zum Anlass nimmt, seine gesamte Serverinfrastruktur zu erneuern, die ohnehin veraltet war, ist nur der Anteil der Kosten dem Angriff zuzurechnen, der für die Wiederherstellung des vorherigen Zustands erforderlich gewesen wäre.
Kategorie 2: Betriebsunterbrechungsschaden
Der Betriebsunterbrechungsschaden ist in den meisten Fällen der größte Einzelposten. Er kann den direkten IT-Schaden um ein Vielfaches übersteigen. Das Landgericht Tübingen sprach in einem bekannten Fall rund 2,5 Millionen Euro allein für die Betriebsunterbrechung zu, bei einem Gesamtschaden von über 2,8 Millionen Euro.
Die Berechnung folgt einer klaren Methodik. Zunächst wird der Unterbrechungszeitraum definiert: Von wann bis wann war der Betrieb ganz oder teilweise eingeschränkt? Dann wird der Deckungsbeitrag ermittelt, den das Unternehmen in diesem Zeitraum unter normalen Umständen erwirtschaftet hätte. Davon werden ersparte Kosten abgezogen, etwa variable Materialkosten, die während des Stillstands nicht angefallen sind. Zusätzlich werden Mehrkosten addiert, die das Unternehmen aufgewendet hat, um den Schaden zu begrenzen, etwa die Anmietung externer Arbeitsplätze oder die Vergabe von Aufträgen an Subunternehmer.
Was einfach klingt, wird in der Praxis komplex. Der Sachverständige muss drei Aspekte besonders sorgfältig dokumentieren.
Erstens die Dauer der Unterbrechung. Ein Ransomware-Angriff führt selten zu einem binären Zustand von „alles steht“ zu „alles läuft wieder“. In der Realität werden Systeme stufenweise wiederhergestellt. Die Produktion läuft vielleicht nach fünf Tagen wieder, aber das ERP-System erst nach drei Wochen, und die vollständige Buchhaltung wird erst nach sechs Wochen rekonstruiert. Jede Stufe hat unterschiedliche Auswirkungen auf die Ertragskraft des Unternehmens.
Zweitens die Kausalität zum Umsatzrückgang. Wenn ein Unternehmen im Monat nach dem Angriff weniger Umsatz macht, muss nachgewiesen werden, dass dieser Rückgang tatsächlich auf den Angriff zurückzuführen ist und nicht auf saisonale Schwankungen, Marktveränderungen oder andere Faktoren. Hier werden Vergleichszeiträume herangezogen: Wie hat sich der Umsatz in den gleichen Monaten der Vorjahre entwickelt? Wie haben sich vergleichbare Unternehmen in der Branche im selben Zeitraum entwickelt?
Drittens die Schadensminderungspflicht. Das Unternehmen ist verpflichtet, den Schaden so gering wie möglich zu halten. Wenn die Wiederherstellung deutlich länger dauert als nötig, weil zu wenige Ressourcen eingesetzt werden, kann ein Teil des Betriebsunterbrechungsschadens als vermeidbar eingestuft werden.
Kategorie 3: Datenverlustschaden
Wenn Daten trotz aller Wiederherstellungsbemühungen verloren gehen, entsteht ein eigenständiger Schaden, der über die reinen IT-Wiederherstellungskosten hinausgeht. Der Verlust von Buchhaltungsdaten kann zu Problemen bei der steuerlichen Dokumentationspflicht führen. Der Verlust von Kundendaten kann Geschäftsbeziehungen beeinträchtigen. Der Verlust von Konstruktionsdaten oder Rezepturen kann einen erheblichen Substanzverlust bedeuten.
Die Bewertung von verlorenen Daten ist eine der schwierigsten Aufgaben in der Schadensermittlung. Daten haben keinen standardisierten Marktwert. Ihr Wert bemisst sich nach dem Aufwand, der für ihre Wiederherstellung oder Neuerstellung erforderlich ist, nach ihrem wirtschaftlichen Nutzwert für das Unternehmen und nach den Folgekosten, die aus ihrem Fehlen entstehen.
Der Sachverständige dokumentiert, welche Datenbestände verloren gegangen sind, welche teilweise wiederhergestellt werden konnten und welche vollständig intakt sind. Er bewertet den Wiederherstellungsaufwand und schätzt die wirtschaftlichen Folgen des Verlusts ein, soweit dies auf technischer Grundlage möglich ist. Die betriebswirtschaftliche Bewertung des Datenverlusts erfordert häufig die Zusammenarbeit mit einem Wirtschaftsprüfer oder betriebswirtschaftlichen Sachverständigen.
Kategorie 4: Folge- und Drittschäden
Die vierte Kategorie umfasst Schäden, die nicht unmittelbar durch den Angriff selbst entstehen, sondern durch seine Folgen. Dazu gehören DSGVO-bezogene Kosten wie die Meldung an die Datenschutzbehörde, die Benachrichtigung betroffener Personen und mögliche Bußgelder. Hinzu kommen Vertragsstrafen gegenüber Kunden, wenn Liefertermine nicht eingehalten werden, sowie Reputationsschäden, die sich in einem langfristigen Kundenverlust niederschlagen können.
Der Sachverständige kann hier die technische Grundlage liefern: Wurden personenbezogene Daten exfiltriert? Welche Daten sind betroffen? Wie lange war das Unternehmen nicht lieferfähig? Diese technischen Feststellungen bilden die Basis, auf der Juristen und Betriebswirte die rechtlichen und finanziellen Folgen beziffern.
Was gerichtsfeste Dokumentation bedeutet
Ein Gutachten ist dann gerichtsfest, wenn es den Anforderungen standhält, die ein Gericht an Beweismittel stellt. Das klingt abstrakt, hat aber sehr konkrete Implikationen für die Arbeit des Sachverständigen.
Die Beweissicherung muss forensischen Standards folgen. Das bedeutet: Bevor ein System analysiert wird, wird ein forensisches Image erstellt, also eine bitgenaue Kopie des gesamten Datenträgers. Die Integrität dieses Images wird durch kryptografische Hashwerte (SHA-256) gesichert. Jeder Arbeitsschritt wird in einem Untersuchungsprotokoll dokumentiert: Was wurde wann, von wem, mit welchem Werkzeug untersucht? Ergebnisse müssen von einem anderen Sachverständigen anhand der dokumentierten Methodik nachvollzogen und überprüft werden können. Das ist das Prinzip der Reproduzierbarkeit.
Die Schadensberechnung muss nachvollziehbar sein. Jede Zahl im Gutachten muss auf einer dokumentierten Grundlage beruhen. Wenn der Sachverständige einen Betriebsunterbrechungsschaden von 500.000 Euro ermittelt, muss das Gutachten zeigen, aus welchen Teilbeträgen sich diese Summe zusammensetzt, auf welchen Daten die Berechnung basiert (Umsatzzahlen, Deckungsbeiträge, Vergleichszeiträume), welche Annahmen getroffen wurden und warum, und welche alternativen Berechnungsmethoden zu welchen Ergebnissen geführt hätten.
Die Kausalitätskette muss lückenlos sein. Das Gutachten muss den Zusammenhang zwischen dem Angriff und dem geltend gemachten Schaden nachweisen. Bei direkten IT-Kosten ist das in der Regel einfach. Bei der Betriebsunterbrechung wird es anspruchsvoller, und bei Folgeschäden wie Kundenverlust oder Reputationsschäden ist der Nachweis oft nur mit Einschränkungen möglich.
Der Zeitfaktor: Parallel zur Wiederherstellung dokumentieren
Die größte Fehlerquelle bei der Schadensermittlung nach Ransomware-Angriffen ist die zeitliche Abfolge. Die meisten Unternehmen konzentrieren sich verständlicherweise zuerst auf die Wiederherstellung und denken an die Dokumentation erst danach. Zu diesem Zeitpunkt sind aber entscheidende Beweise bereits vernichtet.
Die Wiederherstellung selbst zerstört Beweise: Wenn ein Server neu aufgesetzt wird, sind die verschlüsselten Dateien, die Logfiles und die Spuren des Angreifers auf diesem System gelöscht. Wenn ein Backup eingespielt wird, überschreibt es den kompromittierten Zustand. Wenn die IT-Abteilung im Krisenmodus arbeitet und keine Stundenaufzeichnungen führt, fehlen später die Nachweise für den internen Aufwand.
Deshalb muss die Dokumentation parallel zur Incident Response beginnen. Der Sachverständige sollte idealerweise eingebunden werden, bevor die ersten Systeme wiederhergestellt werden. Seine erste Aufgabe ist dann, forensische Images der betroffenen Systeme zu erstellen, die flüchtigen Spuren zu sichern (Arbeitsspeicher, Netzwerkverbindungen, laufende Prozesse) und den Ist-Zustand der Verschlüsselung zu dokumentieren, bevor die Wiederherstellung beginnt.
Falls der Sachverständige erst nach der Wiederherstellung eingeschaltet wird, kann er den Schaden immer noch ermitteln. Aber die Beweislage ist schwächer, die Analyse dauert länger und bestimmte Aspekte des Angriffsverlaufs lassen sich möglicherweise nicht mehr rekonstruieren. Das kann sich in einem Gerichtsverfahren oder in der Auseinandersetzung mit der Versicherung nachteilig auswirken.
Wann ein Schadensgutachten gebraucht wird
Ein Schadensgutachten nach einem Ransomware-Angriff wird in mehreren Konstellationen benötigt. Gegenüber der Cyberversicherung: Der Versicherer verlangt eine nachvollziehbare Schadensaufstellung als Grundlage für die Regulierung. Je professioneller diese Aufstellung ist, desto geringer ist das Risiko von Leistungskürzungen. In Haftungsfragen gegenüber IT-Dienstleistern: Wenn der Angriff durch eine Sicherheitslücke möglich wurde, die der betreuende IT-Dienstleister hätte schließen müssen, bildet das Gutachten die Grundlage für Schadenersatzforderungen. In Strafverfahren: Bei Anzeige gegen die Angreifer beziffert das Gutachten den strafrechtlich relevanten Schaden. Und bei internen Entscheidungen: Auch ohne externe Auseinandersetzung braucht die Geschäftsführung eine belastbare Zahl, um den Vorfall gegenüber Gesellschaftern, Aufsichtsräten oder Banken zu dokumentieren.
In all diesen Fällen gilt: Ein Gutachten, das von Anfang an nach forensischen Standards erstellt wird, kann in jeder dieser Konstellationen verwendet werden. Eine nachträgliche Aufwertung einer unvollständigen Dokumentation ist dagegen aufwendig und in der Beweiskraft eingeschränkt.
Als allgemein beeideter und gerichtlich zertifizierter IT-Sachverständiger unterstütze ich Unternehmen bei der forensischen Beweissicherung, der Schadensermittlung und der gerichtsfesten Dokumentation nach Ransomware-Angriffen. Kontaktieren Sie mich für ein unverbindliches Erstgespräch – idealerweise, bevor die erste Wiederherstellungsmaßnahme gestartet wird.

25. Jänner 2026
Zahlt die Cyberversicherung? Was ein IT-Sachverständiger bei Obliegenheitsverletzungen prüft

Sie haben eine Cyberversicherung abgeschlossen und wurden Opfer eines Angriffs. Jetzt stellen Sie fest: Die Versicherung kürzt die Leistung oder verweigert sie ganz. Die Begründung lautet häufig: Obliegenheitsverletzung. Der Versicherer behauptet, Ihr Unternehmen habe die im Vertrag vereinbarten Sicherheitsanforderungen nicht eingehalten. In dieser Situation kann ein unabhängiger IT-Sachverständiger den entscheidenden Unterschied machen.
Was Obliegenheiten sind – und warum sie zum Problem werden
Obliegenheiten sind vertragliche Pflichten des Versicherungsnehmers, die Voraussetzung für den vollen Versicherungsschutz sind. Bei Cyberversicherungen betreffen sie die IT-Sicherheit des versicherten Unternehmens. Der Gedanke dahinter ist nachvollziehbar: Die Versicherung deckt das Restrisiko, aber das Unternehmen muss einen angemessenen Grundschutz gewährleisten.
In der Praxis werden Obliegenheiten auf drei Wegen definiert. Erstens über die Risikofragen vor Vertragsabschluss: Der Versicherer fragt konkret ab, ob bestimmte Sicherheitsmaßnahmen implementiert sind. Die Antworten des Unternehmens werden Vertragsgrundlage. Wer hier falsche Angaben macht, riskiert die Anfechtung des gesamten Vertrags. Zweitens über die Allgemeinen Versicherungsbedingungen (AVB): Diese enthalten laufende Pflichten, etwa regelmäßige Datensicherungen oder zeitnahe Installation von Sicherheitsupdates. Drittens über Auflagen: Wenn die IT-Sicherheit des Unternehmens bei Vertragsabschluss nicht den Anforderungen des Versicherers entspricht, wird der Vertrag unter der Auflage geschlossen, bestimmte Maßnahmen innerhalb einer Frist umzusetzen.
Das Problem: Viele Unternehmen schließen eine Cyberversicherung ab, ohne die konkreten Obliegenheiten im Detail zu prüfen. Der Versicherungsantrag wird vom Geschäftsführer ausgefüllt, die Risikofragen werden nach bestem Wissen beantwortet, aber niemand gleicht die Antworten systematisch gegen den tatsächlichen Stand der IT-Sicherheit ab. Wenn dann der Schadensfall eintritt, prüft der Versicherer genau das, was bei Vertragsabschluss nicht geprüft wurde.
Die fünf häufigsten Obliegenheiten – und wo es in der Praxis hakt
In meiner Erfahrung als IT-Sachverständiger drehen sich die meisten Streitigkeiten um fünf wiederkehrende Obliegenheitsbereiche.
Backup-Obliegenheit. Nahezu jede Cyberversicherung verlangt regelmäßige Datensicherungen. Die Formulierungen variieren: manche Policen fordern tägliche Backups, manche wöchentliche, manche verlangen die Aufbewahrung offline oder in einer vom Produktivsystem getrennten Umgebung. In der Praxis zeigt sich häufig, dass zwar ein Backup-System existiert, aber die Backups seit Monaten nicht auf Wiederherstellbarkeit getestet wurden, die Backup-Medien im selben Netzwerksegment liegen und daher bei einem Ransomware-Angriff mitverschlüsselt werden, oder einzelne Systeme von der automatisierten Sicherung ausgenommen sind, ohne dass dies dokumentiert wurde.
Update- und Patch-Obliegenheit. Die Pflicht, Sicherheitsupdates zeitnah zu installieren, ist eine der am häufigsten verletzten Obliegenheiten. Die typische Formulierung lautet, dass sicherheitsrelevante Updates „unverzüglich“ oder „innerhalb eines angemessenen Zeitraums“ nach Verfügbarkeit eingespielt werden müssen. In der Praxis gibt es jedoch berechtigte Gründe, ein Update nicht sofort einzuspielen: Es könnte die Kompatibilität mit branchenspezifischer Software gefährden, es muss in einer Testumgebung geprüft werden, oder es erfordert einen Systemneustart, der im laufenden Betrieb nicht ohne Weiteres möglich ist. Der Sachverständige prüft, ob die verzögerte Installation sachlich begründet war oder ob sie auf mangelndes Patch-Management zurückzuführen ist.
Multi-Faktor-Authentifizierung (MFA). MFA ist mittlerweile eine Standardanforderung der meisten Cyberversicherer. Geprüft wird, ob MFA für alle Remote-Zugänge (VPN, Remote Desktop), für den Zugriff auf Cloud-Dienste und für administrative Konten mit erhöhten Berechtigungen implementiert ist. In der Praxis ist MFA häufig für die meisten Systeme aktiviert, aber einzelne Legacy-Anwendungen oder administrative Zugänge sind ausgenommen, weil sie technisch kein MFA unterstützen. Genau über solche Ausnahmen dringt der Angreifer ein, und genau diese Ausnahmen reklamiert der Versicherer als Obliegenheitsverletzung.
Netzwerksegmentierung. Fortgeschrittenere Policen fordern die Segmentierung des Netzwerks nach Schutzbedarf. Das bedeutet: Produktivsysteme, Entwicklungsumgebungen, Verwaltungsnetzwerk und Gästezugang sollen in getrennten Netzwerksegmenten betrieben werden, damit ein Angreifer, der in ein Segment eindringt, nicht automatisch Zugriff auf alle anderen Segmente hat. Die Prüfung durch den Sachverständigen zeigt häufig, dass zwar VLANs eingerichtet sind, aber die Firewall-Regeln zwischen den Segmenten zu permissiv konfiguriert sind, sodass die Segmentierung in der Praxis keinen wirksamen Schutz bietet.
Mitarbeitersensibilisierung. Viele Policen verlangen, dass Mitarbeiter regelmäßig zu Cyberrisiken geschult werden, teilweise mit konkreten Vorgaben wie „mindestens eine Phishing-Simulation pro Jahr“. In der Praxis wird diese Obliegenheit oft am wenigsten ernst genommen, kann aber zum Problem werden, wenn der Angriff nachweislich über eine Phishing-E-Mail erfolgte, die ein geschulter Mitarbeiter hätte erkennen können.
Was der IT-Sachverständige konkret prüft
Wenn eine Versicherung die Leistung kürzt oder verweigert und der Versicherungsnehmer diese Entscheidung anfechten will, beauftragt in der Regel der Anwalt des Unternehmens einen IT-Sachverständigen. Die Prüfung umfasst mehrere Ebenen.
Auf der ersten Ebene prüft der Sachverständige den tatsächlichen Sicherheitsstand zum Zeitpunkt des Angriffs. Welche Maßnahmen waren implementiert, welche nicht? Diese Prüfung basiert auf der forensischen Analyse der Systeme, auf der IT-Dokumentation des Unternehmens und auf Interviews mit den IT-Verantwortlichen. Das Ergebnis ist eine objektive Bestandsaufnahme.
Auf der zweiten Ebene vergleicht der Sachverständige den festgestellten Sicherheitsstand mit den konkreten Anforderungen der Versicherungspolice. Die Obliegenheiten werden einzeln durchgegangen: Was genau fordert die Police? Was war tatsächlich umgesetzt? Wo gibt es Abweichungen? Diese Prüfung erfordert sowohl technisches als auch versicherungsrechtliches Verständnis, denn die Formulierungen in den AVB sind oft unbestimmt. Was bedeutet „zeitnah“ bei der Installation von Updates? Was ist ein „angemessenes“ Backup-Konzept? Der Sachverständige beurteilt, ob die getroffenen Maßnahmen dem Stand der Technik entsprochen haben und ob die Obliegenheit bei vernünftiger Auslegung erfüllt war.
Auf der dritten Ebene prüft der Sachverständige die Kausalität: Ist der Schaden tatsächlich auf die behauptete Obliegenheitsverletzung zurückzuführen? Dieser Punkt ist oft der entscheidende. Denn selbst wenn eine Obliegenheit verletzt wurde, ist der Versicherer nur dann zur Leistungskürzung berechtigt, wenn die Verletzung für den Eintritt oder den Umfang des Schadens ursächlich war. Der Kausalitätsgegenbeweis nach § 28 Abs. 3 VVG (bzw. § 6 Abs. 3 VersVG in Österreich) kann die Position des Versicherungsnehmers erheblich stärken.
Der Kausalitätsgegenbeweis: Wo die Argumentation oft gewonnen wird
Der Kausalitätsgegenbeweis ist das schärfste Instrument des Versicherungsnehmers gegen eine Leistungskürzung. Er funktioniert so: Selbst wenn eine Obliegenheit verletzt wurde, bleibt der Versicherer leistungspflichtig, wenn die Verletzung für den Schaden nicht ursächlich war.
Drei Beispiele verdeutlichen das Prinzip.
Ein Unternehmen hat die MFA-Obliegenheit nicht vollständig erfüllt: Der VPN-Zugang war ohne MFA erreichbar. Der Angriff erfolgte aber nachweislich nicht über den VPN-Zugang, sondern über eine Phishing-E-Mail, die einen Mitarbeiter dazu brachte, Schadsoftware herunterzuladen. Die fehlende MFA war nicht kausal für den Angriff.
Ein Unternehmen hat ein Sicherheitsupdate für eine Serversoftware drei Wochen lang nicht eingespielt. Der Angriff erfolgte aber über eine andere Schwachstelle, die zum Zeitpunkt des Angriffs noch gar nicht bekannt war (Zero-Day-Exploit). Das fehlende Update war nicht kausal für den Angriff.
Ein Unternehmen hat seine Backups nicht wie vorgeschrieben offline gespeichert. Die Backups wurden bei einem Ransomware-Angriff mitverschlüsselt. Der Versicherer kürzt die Leistung für die Wiederherstellungskosten. Aber der Betriebsunterbrechungsschaden, der den größten Teil des Gesamtschadens ausmacht, wäre auch bei funktionierenden Backups in gleicher Höhe eingetreten, weil die Wiederherstellung in jedem Fall mehrere Tage gedauert hätte. Die Obliegenheitsverletzung ist nur für einen Teil des Schadens kausal.
Für den Kausalitätsgegenbeweis braucht es eine detaillierte technische Analyse. Der Sachverständige muss den Angriffsverlauf rekonstruieren und zeigen, welcher konkrete Angriffsweg genutzt wurde und ob die verletzte Obliegenheit diesen Weg hätte verhindern können. Diese Analyse ist oft der Dreh- und Angelpunkt der gesamten Auseinandersetzung.
Vorvertragliche Anzeigepflicht: Wenn die Risikofragen zum Problem werden
Neben den laufenden Obliegenheiten prüft der Versicherer im Schadensfall regelmäßig, ob die Risikofragen vor Vertragsabschluss korrekt beantwortet wurden. Die Frage „Werden regelmäßige Backups durchgeführt?“ wurde mit „Ja“ beantwortet, aber die forensische Analyse zeigt, dass das Backup-System seit sechs Monaten fehlerhaft läuft. Die Frage „Werden Sicherheitsupdates zeitnah installiert?“ wurde bejaht, aber auf einem kritischen Server läuft eine Software mit einer seit zwei Jahren bekannten Sicherheitslücke.
In diesen Fällen kann der Versicherer den Vertrag wegen Verletzung der vorvertraglichen Anzeigepflicht anfechten oder von ihm zurücktreten. Die Folge wäre, dass gar kein Versicherungsschutz besteht.
Der Sachverständige prüft hier, ob die Angaben im Risikoantrag zum Zeitpunkt der Antragstellung korrekt waren. Das ist ein feiner, aber wichtiger Unterschied: Wenn das Backup-System bei Antragstellung funktioniert hat und erst danach ausgefallen ist, liegt keine falsche Angabe vor, sondern allenfalls eine Verletzung der laufenden Obliegenheit. Die zeitliche Einordnung kann entscheidend sein.
Was Unternehmen aus Obliegenheitsstreitigkeiten lernen können
Die meisten Obliegenheitsstreitigkeiten wären vermeidbar gewesen. Nicht unbedingt, weil die IT-Sicherheit hätte besser sein müssen, sondern weil die Diskrepanz zwischen den vertraglichen Zusagen und dem tatsächlichen Sicherheitsstand nicht erkannt wurde.
Meine Empfehlung an Unternehmen mit Cyberversicherung: Lassen Sie einen IT-Fachmann die Obliegenheiten Ihrer Police gegen den tatsächlichen Stand Ihrer IT-Sicherheit prüfen. Nicht nach einem Angriff, sondern jetzt. Dieser Abgleich zeigt, wo Lücken bestehen, die entweder geschlossen oder der Versicherung gegenüber offengelegt werden sollten. Und er zeigt, wo die Formulierungen in der Police unklar sind und eine Klarstellung mit dem Versicherer sinnvoll wäre.
Wenn Sie sich bereits in einer Auseinandersetzung mit Ihrer Cyberversicherung befinden: Ein unabhängiges Gutachten durch einen IT-Sachverständigen kann die technische Grundlage liefern, die Ihr Anwalt für die Verhandlung oder das Verfahren braucht. Es kann zeigen, dass die behauptete Obliegenheitsverletzung nicht vorliegt, dass sie nicht kausal für den Schaden war, oder dass die Leistungskürzung unverhältnismäßig ist.
Als allgemein beeideter und gerichtlich zertifizierter IT-Sachverständiger prüfe ich sowohl den tatsächlichen Sicherheitsstand als auch die Kausalität zwischen behaupteten Obliegenheitsverletzungen und dem eingetretenen Schaden. Kontaktieren Sie mich für ein unverbindliches Erstgespräch.

20. Jänner 2026
Cyberangriff auf Ihr Unternehmen: Was ein IT-Gutachter für Ihre Versicherung dokumentiert

Ein Cyberangriff trifft Ihr Unternehmen. Die Systeme stehen still, Daten sind verschlüsselt, die Produktion steht. In den ersten Stunden geht es um Schadensbegrenzung und Wiederherstellung. Aber parallel dazu muss an die Versicherung gedacht werden. Denn eine Cyberversicherung zahlt nur, wenn der Schaden nachvollziehbar dokumentiert ist. Was ein IT-Sachverständiger in dieser Situation leistet und welche Dokumentation die Versicherung erwartet, erklärt dieser Beitrag.
Warum die Versicherung ein Gutachten braucht
Cyberversicherungen sind modular aufgebaut. Sie decken typischerweise Eigenschäden wie Betriebsunterbrechung und Datenwiederherstellung, Drittschäden wie Datenschutzverletzungen gegenüber Kunden, und Krisenmanagement-Kosten wie IT-Forensik, Rechtsberatung und Krisenkommunikation. Die Deckungssummen können erheblich sein: Bei mittelständischen Unternehmen sind Policen mit einer Deckung von 500.000 bis mehreren Millionen Euro keine Seltenheit.
Damit die Versicherung reguliert, muss der Versicherungsnehmer den Schaden nicht nur melden, sondern auch nachweisen. Und zwar in einer Form, die für die Schadensabteilung der Versicherung nachvollziehbar und überprüfbar ist. Ein Anruf mit dem Satz „Wir wurden gehackt, es ist alles weg“ reicht dafür nicht aus.
Die Versicherung will wissen, was genau passiert ist, wann es passiert ist, wie es passieren konnte, welcher Schaden entstanden ist und ob der Versicherungsnehmer seine Obliegenheiten erfüllt hat. Für die Beantwortung dieser Fragen braucht es eine strukturierte technische Analyse. Genau das ist die Aufgabe eines IT-Sachverständigen.
Die sechs Bereiche der Dokumentation
Ein IT-Gutachten für die Versicherung nach einem Cyberangriff umfasst typischerweise sechs Bereiche, die zusammen ein vollständiges Bild des Vorfalls und seiner Folgen ergeben.
1. Der Angriffsvektor: Wie ist der Angreifer eingedrungen?
Die Versicherung muss verstehen, auf welchem Weg der Angriff erfolgt ist. Das ist aus zwei Gründen wichtig: Erstens, um zu prüfen, ob ein versichertes Ereignis vorliegt. Zweitens, um zu beurteilen, ob der Versicherungsnehmer seine Sicherheitspflichten eingehalten hat.
Der Sachverständige rekonstruiert den Angriffsweg anhand der verfügbaren Spuren: Logfiles der Firewall, des E-Mail-Servers, der Endpoint-Protection, der Active-Directory-Protokolle und gegebenenfalls der Cloud-Dienste. Typische Eintrittspunkte sind Phishing-E-Mails mit schadhaften Anhängen oder Links, kompromittierte Zugangsdaten (etwa durch Credential Stuffing oder Brute-Force-Angriffe), ausgenutzte Schwachstellen in ungepatchter Software, offene RDP-Zugänge (Remote Desktop Protocol) ohne Multi-Faktor-Authentifizierung sowie kompromittierte Lieferanten oder Dienstleister (Supply-Chain-Angriff).
Die Dokumentation hält fest, welcher Angriffstyp vorliegt, welche Systeme zuerst betroffen waren, wie sich der Angreifer im Netzwerk ausgebreitet hat (Lateral Movement) und wann die verschiedenen Phasen des Angriffs stattgefunden haben.
2. Der Zeitverlauf: Die Timeline des Angriffs
Für die Versicherung ist der zeitliche Ablauf aus mehreren Gründen relevant. Er bestimmt den Beginn der Betriebsunterbrechung, er zeigt, wie schnell das Unternehmen reagiert hat, und er kann Hinweise darauf geben, ob der Angriff hätte früher erkannt werden können.
Der Sachverständige erstellt eine forensische Timeline, die die einzelnen Phasen des Angriffs chronologisch darstellt: den initialen Zugriff, die Ausbreitung im Netzwerk, die Eskalation von Berechtigungen, die Exfiltration von Daten (falls erfolgt) und die eigentliche Schadensaktion, etwa die Verschlüsselung durch Ransomware. Diese Timeline basiert auf der Korrelation von Zeitstempeln aus verschiedenen Quellen: Systemlogs, Netzwerkprotokolle, Dateisystem-Metadaten und Sicherheitssoftware-Meldungen.
Die präzise Dokumentation des Zeitverlaufs ist auch deshalb wichtig, weil viele Cyberversicherungen eine Karenzzeit für die Betriebsunterbrechungsdeckung vorsehen. Der Sachverständige muss nachweisen, ab welchem Zeitpunkt der Betrieb tatsächlich beeinträchtigt war.
3. Der technische Schaden: Was wurde beschädigt oder zerstört?
Der technische Schaden umfasst alles, was durch den Angriff an IT-Systemen und Daten beschädigt, zerstört oder kompromittiert wurde. Der Sachverständige dokumentiert, welche Server, Arbeitsplatzrechner und Netzwerkkomponenten betroffen sind, welche Datenbanken und Dateisysteme verschlüsselt, gelöscht oder manipuliert wurden, welche Anwendungen nicht mehr funktionsfähig sind, welche Backups verfügbar und intakt sind und welche Systeme neu aufgesetzt werden müssen.
Diese Bestandsaufnahme ist die Grundlage für die Berechnung der Wiederherstellungskosten. Die Versicherung benötigt eine nachvollziehbare Aufstellung, die zwischen reparablen und irreparablen Schäden unterscheidet.
4. Der wirtschaftliche Schaden: Was kostet der Vorfall?
Die Schadensermittlung ist der Bereich, in dem die Interessen des Versicherungsnehmers und der Versicherung am ehesten auseinandergehen können. Der Sachverständige liefert hier eine objektive, nachvollziehbare Grundlage.
Die direkten Kosten umfassen die IT-Forensik selbst, die Wiederherstellung der Systeme, die Neubeschaffung von Hardware (falls nötig), die Wiedereinspieling von Backups, die Rekonfiguration von Systemen und die zusätzlichen Arbeitsstunden des IT-Personals.
Die Betriebsunterbrechungskosten bemessen sich nach der Dauer des Stillstands und den daraus resultierenden Einnahmeausfällen. Der Sachverständige dokumentiert, welche Geschäftsprozesse ab welchem Zeitpunkt nicht mehr funktioniert haben und wann sie wiederhergestellt wurden. Er beziffert den Ertragsausfall auf Basis der betriebswirtschaftlichen Kennzahlen des Unternehmens.
Die Drittschäden entstehen, wenn durch den Angriff personenbezogene Daten von Kunden oder Mitarbeitern abgeflossen sind. In diesem Fall greifen die Meldepflichten der DSGVO: Meldung an die Datenschutzbehörde innerhalb von 72 Stunden gemäß Art. 33 DSGVO, gegebenenfalls Benachrichtigung der betroffenen Personen gemäß Art. 34 DSGVO. Die Kosten für diese Maßnahmen, einschließlich Rechtsberatung und Krisenkommunikation, fallen unter die Deckung der Cyberversicherung.
5. Die Obliegenheitsprüfung: Hat das Unternehmen seine Pflichten erfüllt?
Hier wird es für viele Unternehmen heikel. Cyberversicherungen stellen in ihren Bedingungen konkrete Anforderungen an die IT-Sicherheit des Versicherungsnehmers. Diese Obliegenheiten sind die Voraussetzung für den Versicherungsschutz. Typische Anforderungen sind regelmäßige und funktionierende Datensicherungen, zeitnahe Installation von Sicherheitsupdates und Patches, Einsatz von Firewall und Antiviren-Software, Zugangsschutz durch Passwortrichtlinien und Multi-Faktor-Authentifizierung, Sensibilisierung der Mitarbeiter für Cyberrisiken sowie Trennung von Administrator- und Benutzerkonten.
Wenn die Versicherung feststellt, dass der Versicherungsnehmer diese Obliegenheiten verletzt hat, kann sie die Leistung kürzen oder im Extremfall verweigern. Der Sachverständige dokumentiert objektiv, welche Sicherheitsmaßnahmen zum Zeitpunkt des Angriffs implementiert waren und welche nicht. Er stellt fest, ob die vorhandenen Maßnahmen dem Stand der Technik entsprochen haben und ob die Obliegenheiten aus dem Versicherungsvertrag erfüllt waren.
Diese Prüfung ist für das Unternehmen ein zweischneidiges Schwert: Ein ehrliches Gutachten kann Schwachstellen aufzeigen, die die Versicherung als Obliegenheitsverletzung wertet. Andererseits stärkt ein Gutachten, das die Einhaltung der Sicherheitsstandards bestätigt, die Position des Versicherungsnehmers erheblich. In jedem Fall ist es besser, wenn diese Prüfung durch einen unabhängigen Sachverständigen erfolgt als durch einen Gutachter, den die Versicherung selbst beauftragt.
6. Die Ursache-Wirkungs-Kette: Kausalität zwischen Angriff und Schaden
Die Versicherung deckt nur Schäden, die kausal auf das versicherte Ereignis zurückzuführen sind. Der Sachverständige muss daher die Kausalitätskette nachweisen: Der Angriff führte zur Verschlüsselung der Systeme, die Verschlüsselung führte zum Betriebsstillstand, der Betriebsstillstand führte zum dokumentierten Ertragsausfall.
Was einfach klingt, kann in der Praxis komplex werden. Wenn ein Unternehmen bereits vor dem Angriff mit IT-Problemen zu kämpfen hatte, wird die Versicherung argumentieren, dass ein Teil des Schadens nicht auf den Angriff zurückzuführen ist. Wenn die Wiederherstellung länger dauert als nötig, weil interne Ressourcen fehlen, stellt sich die Frage, ob die gesamte Dauer der Betriebsunterbrechung als versicherter Schaden gilt. Der Sachverständige muss diese Abgrenzungen nachvollziehbar treffen.
Der Zeitfaktor: Warum die Dokumentation sofort beginnen muss
Die forensische Dokumentation eines Cyberangriffs muss parallel zur Incident Response beginnen, nicht erst nach der Wiederherstellung. Dafür gibt es zwei Gründe.
Erstens sind digitale Spuren flüchtig. Die Logfiles, die den Angriffsverlauf zeigen, werden durch den laufenden Betrieb oder durch die Wiederherstellungsmaßnahmen selbst überschrieben. Arbeitsspeicherinhalte gehen bei einem Neustart verloren. Cloud-Logs haben begrenzte Aufbewahrungsfristen. Was in den ersten Stunden nicht gesichert wird, ist möglicherweise unwiederbringlich verloren.
Zweitens verlangen die meisten Cyberversicherungen eine unverzügliche Schadensmeldung, häufig innerhalb von 24 bis 72 Stunden. Diese Meldung muss bereits eine erste Einschätzung des Vorfalls enthalten. Ein Sachverständiger, der von Anfang an eingebunden ist, kann diese Ersteinschätzung fundiert liefern.
Die Versicherung selbst hat in der Regel ebenfalls ein Netzwerk aus IT-Forensikern, die sie im Schadensfall einsetzt. Es ist jedoch im Interesse des Versicherungsnehmers, auch einen eigenen Sachverständigen einzuschalten. Denn der Forensiker der Versicherung arbeitet im Auftrag der Versicherung, nicht im Auftrag des Versicherungsnehmers. Ein unabhängiger Sachverständiger stellt sicher, dass die Dokumentation die Interessen des Unternehmens angemessen berücksichtigt.
Was Sie jetzt tun sollten – auch ohne akuten Vorfall
Wenn Ihr Unternehmen eine Cyberversicherung hat oder eine abschließen möchte, sollten Sie drei Dinge prüfen.
Kennen Sie die Obliegenheiten Ihrer Police? Viele Unternehmen schließen eine Cyberversicherung ab, ohne die konkreten Sicherheitsanforderungen der Versicherungsbedingungen zu kennen. Im Schadensfall kann das zur Leistungskürzung führen. Lassen Sie die Anforderungen durch einen IT-Fachmann gegen Ihren tatsächlichen Sicherheitsstand abgleichen.
Haben Sie einen Incident-Response-Plan? Ein dokumentierter Ablaufplan für den Fall eines Cyberangriffs beschleunigt nicht nur die Reaktion, sondern zeigt der Versicherung auch, dass Sie vorbereitet waren. Dieser Plan sollte die Kontaktdaten eines IT-Sachverständigen enthalten, der im Ernstfall innerhalb kurzer Zeit verfügbar ist.
Ist Ihre IT-Dokumentation aktuell? Eine aktuelle Dokumentation der IT-Infrastruktur, der Netzwerkarchitektur, der Backup-Strategie und der Sicherheitsmaßnahmen ist nicht nur für die Prävention wichtig. Sie ist auch die Grundlage, auf der ein Sachverständiger im Schadensfall arbeitet. Ohne diese Dokumentation dauert die Befundaufnahme deutlich länger und wird entsprechend teurer.
Als allgemein beeideter und gerichtlich zertifizierter IT-Sachverständiger unterstütze ich Unternehmen sowohl bei der forensischen Dokumentation nach einem Cyberangriff als auch bei der Vorbereitung auf den Ernstfall. Kontaktieren Sie mich für ein unverbindliches Erstgespräch.

20. Jänner 2026
Beweissicherung bei IT-Streitigkeiten: Warum der Zeitpunkt entscheidend ist

Digitale Beweise sind flüchtig. Server werden neu aufgesetzt, Logfiles rotieren, Testumgebungen werden abgebaut, Cloud-Instanzen gelöscht, Mitarbeiter verlassen das Unternehmen. Was heute noch auf einem System nachvollziehbar ist, kann morgen unwiederbringlich verloren sein. Bei IT-Streitigkeiten entscheidet der Zeitpunkt der Beweissicherung deshalb häufig über den Ausgang des gesamten Verfahrens.
Digitale Beweise sind anders als physische Beweise
Im Bauwesen kann ein Sachverständiger auch Jahre nach der Fertigstellung einen Riss in der Wand dokumentieren oder eine fehlerhafte Abdichtung freilegen. Der Mangel ist physisch vorhanden und verändert sich in der Regel nur langsam. Bei IT-Streitigkeiten ist das grundlegend anders.
Software existiert in einem bestimmten Zustand zu einem bestimmten Zeitpunkt. Dieser Zustand verändert sich laufend: durch Updates, Patches, Konfigurationsänderungen, durch den normalen Betrieb, durch den Ablauf automatisierter Prozesse und durch bewusste oder unbewusste Eingriffe. Wenn ein ERP-System im Januar fehlerhaft arbeitet und der Anbieter im März ein Update einspielt, ist der fehlerhafte Zustand vom Januar möglicherweise nicht mehr rekonstruierbar. Der Mangel wurde vielleicht behoben, aber der Beweis für seine Existenz ist verschwunden.
Noch gravierender ist die Situation bei Logfiles und Protokolldaten. Die meisten Systeme speichern Protokolle nur für einen begrenzten Zeitraum. Webserver-Logs werden typischerweise nach 30 bis 90 Tagen rotiert, Firewall-Logs nach wenigen Wochen überschrieben, Datenbankprotokolle nach der nächsten Archivierung gelöscht. Wer sechs Monate nach einem Vorfall einen Sachverständigen einschaltet, findet oft keine verwertbaren Protokolldaten mehr vor.
Deshalb gilt bei IT-Streitigkeiten eine einfache Regel: Die Beweissicherung muss so früh wie möglich erfolgen. Jeder Tag, der verstreicht, reduziert die Menge und Qualität der verfügbaren Beweise.
Was bei IT-Streitigkeiten gesichert werden muss
Die Beweissicherung bei IT-Streitigkeiten umfasst deutlich mehr als eine Kopie der Software. Je nach Fallkonstellation können folgende Beweismittel relevant sein.
Der aktuelle Zustand der Software ist der offensichtlichste Beweisgegenstand. Welche Version ist installiert? Welche Module sind aktiv? Welche Konfiguration ist hinterlegt? Welche Anpassungen (Customizing) wurden vorgenommen? Bei Webanwendungen oder Cloud-Lösungen muss dieser Zustand gesichert werden, bevor der Anbieter Zugriff entzieht oder Änderungen vornimmt.
Die Datenbankinhalte dokumentieren den tatsächlichen Betriebszustand. Sind die Stammdaten korrekt migriert? Stimmen die Lagerbestände? Funktionieren die Preiskalkulationen? Bei ERP-Streitigkeiten liegen die entscheidenden Beweise häufig nicht in der Software selbst, sondern in den Daten, die sie verarbeitet.
Logfiles und Protokolldaten sind oft die einzige Möglichkeit, Vorgänge in der Vergangenheit zu rekonstruieren. Systemprotokolle zeigen, wann welche Fehler aufgetreten sind. Anmeldeprotokolle belegen, wer wann auf das System zugegriffen hat. Änderungsprotokolle dokumentieren, welche Konfigurationsänderungen vorgenommen wurden. E-Mail-Server-Logs können beweisen, dass eine bestimmte Benachrichtigung gesendet oder empfangen wurde.
Die Projektdokumentation umfasst Verträge, Lastenhefte, Pflichtenhefte, Projektprotokolle, Statusberichte, E-Mail-Korrespondenz, Ticketsysteme und Change Requests. Diese Dokumente sind weniger flüchtig als technische Daten, aber auch sie können verloren gehen: wenn Projektplattformen abgeschaltet, Ticketsysteme archiviert oder E-Mail-Konten gelöscht werden.
Testumgebungen und Entwicklungssysteme werden nach dem Go-Live oft als erste abgebaut. Dabei sind sie für die Begutachtung häufig wertvoller als das Produktivsystem, weil sie den Zustand der Software zu einem bestimmten Zeitpunkt konservieren, ohne dass der laufende Betrieb die Spuren überschrieben hat.
Die Flüchtigkeit digitaler Beweise: Fünf typische Szenarien
Aus meiner Praxis als IT-Sachverständiger kenne ich eine Reihe von Situationen, in denen der Zeitpunkt der Beweissicherung den Ausgang des Verfahrens bestimmt hat.
Der Anbieter spielt ein Update ein. Ein Unternehmen beklagt sich über systematische Rechenfehler in der Fakturierung seines neuen ERP-Systems. Der Anbieter erkennt das Problem an und spielt ein Update ein. Damit ist der Fehler behoben, aber zugleich ist der Beweis für die ursprüngliche Fehlfunktion verschwunden. Hätte das Unternehmen vor dem Update den Zustand der Software dokumentiert und die fehlerhaften Berechnungen mit Testdaten reproduziert, wäre der Mangel nachweisbar gewesen.
Der Cloud-Zugang wird gesperrt. Ein SaaS-Vertrag wird gekündigt oder läuft aus. Der Anbieter sperrt den Zugang zum System. Ab diesem Zeitpunkt ist eine technische Befundaufnahme nicht mehr möglich. Die Daten, die Konfiguration, die Fehlerprotokolle, alles liegt auf der Infrastruktur des Anbieters und ist nicht mehr zugänglich. Wenn die Beweissicherung nicht vor der Sperrung erfolgt ist, fehlt dem Sachverständigen die Grundlage für eine Begutachtung.
Server werden neu aufgesetzt. Nach einem gescheiterten IT-Projekt entscheidet das Unternehmen, die alte Infrastruktur abzubauen und ein neues System einzuführen. Die Server des gescheiterten Systems werden formatiert und neu installiert. Damit gehen nicht nur die Software und ihre Konfiguration verloren, sondern auch sämtliche Logfiles, temporären Dateien und Datenbankstände, die den fehlerhaften Betrieb dokumentiert haben.
Mitarbeiter verlassen das Unternehmen. Der Projektleiter beim IT-Dienstleister, der die Implementierung verantwortet hat, wechselt zu einem anderen Arbeitgeber. Sein E-Mail-Konto wird deaktiviert, seine lokalen Dateien gelöscht. Die E-Mails, in denen er bestimmte Funktionalitäten zugesagt oder Probleme eingeräumt hat, sind nicht mehr zugänglich, sofern sie nicht auf dem Mailserver des Empfängers gesichert wurden.
Automatische Löschfristen greifen. Viele Unternehmen haben, nicht zuletzt aus datenschutzrechtlichen Gründen, automatisierte Löschprozesse implementiert. E-Mails werden nach zwölf Monaten gelöscht, Logfiles nach 90 Tagen rotiert, Tickets nach Abschluss archiviert und nach einem Jahr entfernt. Diese Prozesse laufen im Hintergrund und erfassen auch diejenigen Daten, die für eine spätere Streitigkeit relevant wären.
Die Beweissicherung aus rechtlicher Sicht
Das österreichische Zivilprozessrecht kennt das Beweissicherungsverfahren gemäß §§ 384 bis 389 ZPO. Dieses Verfahren ermöglicht die vorsorgliche Aufnahme von Beweisen, auch schon vor der Einbringung einer Klage. Voraussetzung ist, dass der Antragsteller ein rechtliches Interesse an der Beweissicherung glaubhaft macht, insbesondere dass ein Beweisverlust droht.
Im gerichtlichen Beweissicherungsverfahren bestellt das Gericht einen Sachverständigen, der den gegenwärtigen Zustand einer Sache feststellt. Bei IT-Streitigkeiten bedeutet das: Der Sachverständige dokumentiert den aktuellen Zustand der Software, der Systeme und der Daten. Wichtig ist, dass im Rahmen der Beweissicherung grundsätzlich ein Befund erstattet wird, also eine Feststellung des Ist-Zustands. Die Erstattung eines vollständigen Gutachtens mit rechtlicher Würdigung ist im Beweissicherungsverfahren nicht vorgesehen, kann aber im anschließenden Hauptverfahren erfolgen.
Alternativ kann ein Privatgutachten beauftragt werden. Der Sachverständige wird dabei direkt von einer Partei beauftragt und erstellt eine Befundaufnahme auf privatrechtlicher Grundlage. Ein Privatgutachten hat vor Gericht den Charakter eines urkundlich belegten Parteienvorbringens, nicht eines Beweismittels im prozessualen Sinn. Für die Beweissicherung kann es dennoch entscheidend sein: Es dokumentiert den Zustand zu einem bestimmten Zeitpunkt und schafft damit eine Grundlage, auf die sich ein späteres Gerichtsgutachten stützen kann.
In der Praxis ist das Privatgutachten bei IT-Streitigkeiten häufig der schnellere Weg. Ein gerichtliches Beweissicherungsverfahren erfordert einen Antrag, einen Beschluss, die Bestellung eines Sachverständigen und die Terminierung. Das kann Wochen dauern. Bei flüchtigen digitalen Beweisen sind Wochen manchmal zu lang.
Die Chain of Custody: Damit Beweise auch Beweise bleiben
Die Sicherung digitaler Beweise muss so erfolgen, dass ihr Beweiswert erhalten bleibt. Dafür ist die Chain of Custody, die lückenlose Kette der Obhut, entscheidend. Sie dokumentiert, wer wann welches Beweismittel gesichert, transportiert, aufbewahrt und untersucht hat.
Konkret bedeutet das: Von Datenträgern werden forensische Duplikate (Images) erstellt, nicht einfache Kopien. Die Integrität des Duplikats wird durch kryptografische Hashwerte (SHA-256) sichergestellt. Jeder Schritt wird dokumentiert: Datum, Uhrzeit, beteiligte Personen, verwendete Werkzeuge, Vorgehen. Das Originalsystem wird nach der Sicherung möglichst nicht mehr verändert.
Bei der Sicherung laufender Systeme ist die Reihenfolge wichtig: Flüchtige Daten (Arbeitsspeicher, aktive Netzwerkverbindungen, laufende Prozesse) werden zuerst gesichert, weil sie beim Herunterfahren verloren gehen. Dann folgen die Massenspeicher (Festplatten, SSDs), anschließend die externen Speichermedien. Dieses Prinzip der Flüchtigkeitsreihenfolge stellt sicher, dass die kurzlebigsten Beweise zuerst erfasst werden.
Für den späteren Beweiswert ist außerdem die Vier-Augen-Regel bedeutsam: Die Sicherung sollte von zwei Personen durchgeführt oder bezeugt werden, damit die korrekte Vorgehensweise im Verfahren bestätigt werden kann.
Beweissicherung bei verschiedenen Streittypen
Der Umfang und die Dringlichkeit der Beweissicherung hängen vom konkreten Streittyp ab.
Bei gescheiterten IT-Projekten wie ERP-Einführungen ist die Beweissicherung dringlich, aber nicht minutenkritisch. Hier geht es darum, den Zustand der Software, die Projektdokumentation und die Kommunikation zwischen den Parteien zu sichern, bevor Systeme abgebaut oder Dokumente gelöscht werden. Ein Zeitfenster von einigen Wochen ist typisch, aber es sollte nicht unnötig ausgereizt werden.
Bei Cyberangriffen und Sicherheitsvorfällen ist die Beweissicherung höchst zeitkritisch. Angriffsspuren im Arbeitsspeicher gehen bei einem Neustart verloren. Logfiles, die den Angriffsverlauf zeigen, werden möglicherweise durch den Angreifer selbst gelöscht oder durch den normalen Systembetrieb überschrieben. Hier muss die forensische Sicherung innerhalb von Stunden beginnen.
Bei Softwaremängeln im laufenden Betrieb besteht die besondere Herausforderung darin, den fehlerhaften Zustand zu dokumentieren, ohne den Betrieb zu unterbrechen. Hier kommen häufig gezielte Testszenarien zum Einsatz: Der Sachverständige reproduziert den Fehler unter kontrollierten Bedingungen und dokumentiert ihn protokollfest.
Bei Streitigkeiten über Datenverlust oder Datenmanipulation steht die Integrität der Daten im Mittelpunkt. Hier muss nachgewiesen werden, dass Daten zu einem bestimmten Zeitpunkt in einem bestimmten Zustand waren. Ohne zeitnahe Sicherung ist dieser Nachweis kaum zu führen.
Was Sie jetzt tun sollten
Wenn Sie sich in einer IT-Streitigkeit befinden oder eine solche befürchten, sollten Sie sofort handeln.
Sichern Sie den aktuellen Zustand. Erstellen Sie Backups aller relevanten Systeme, Datenbanken und Konfigurationen. Exportieren Sie Logfiles, bevor die automatische Rotation sie löscht. Dokumentieren Sie den Zustand mit Screenshots, Bildschirmaufnahmen und Protokollen. Auch wenn diese interne Sicherung nicht den forensischen Standards eines Sachverständigengutachtens entspricht, ist sie besser als gar keine Sicherung.
Bewahren Sie die Kommunikation auf. Sichern Sie alle E-Mails, Chat-Verläufe, Ticketsystem-Einträge und Projektdokumente, die mit dem Streitgegenstand zusammenhängen. Deaktivieren Sie automatische Löschprozesse für die betroffenen Daten.
Schalten Sie einen Sachverständigen ein, bevor Sie technische Veränderungen vornehmen. Bevor Sie ein System abschalten, ein Update einspielen, einen Server neu aufsetzen oder eine Testumgebung abbauen, sollte ein Sachverständiger die Gelegenheit haben, den aktuellen Zustand zu dokumentieren.
Handeln Sie nicht vorschnell, aber handeln Sie schnell. Die Beweissicherung muss nicht am selben Tag abgeschlossen sein. Aber sie muss begonnen werden, bevor die Beweise verschwinden. Und das kann schneller passieren, als man denkt.
Als allgemein beeideter und gerichtlich zertifizierter IT-Sachverständiger führe ich Beweissicherungen sowohl im Rahmen gerichtlicher Beweissicherungsverfahren als auch als Privatgutachter durch. Im Erstgespräch können wir gemeinsam einschätzen, welche Beweise in Ihrem Fall gefährdet sind und welche Maßnahmen prioritär ergriffen werden sollten. Kontaktieren Sie mich für ein unverbindliches Erstgespräch.

17. Jänner 2026
Was kostet ein IT-Gutachten in Österreich? Gebühren, Stundensätze und Einflussfaktoren

Die Frage nach den Kosten ist die häufigste, die mir gestellt wird. Verständlich, denn ein IT-Gutachten ist eine Investition, deren Umfang sich nicht mit einem Pauschalpreis beantworten lässt. Ob ein Gutachten 2.000 oder 20.000 Euro kostet, hängt von der Art des Auftrags, der Komplexität des Sachverhalts und dem rechtlichen Rahmen ab. Dieser Beitrag erklärt, wie sich die Kosten zusammensetzen, welche gesetzlichen Grundlagen gelten und womit Sie in der Praxis rechnen sollten.
Gerichtsgutachten und Privatgutachten: Zwei unterschiedliche Kostenmodelle
Bevor es um konkrete Zahlen geht, muss eine grundlegende Unterscheidung klar sein. Die Kosten eines IT-Gutachtens hängen zunächst davon ab, ob es sich um ein Gerichtsgutachten oder ein Privatgutachten handelt. Beide folgen unterschiedlichen Regeln.
Bei einem Gerichtsgutachten wird der Sachverständige vom Gericht bestellt. Die Vergütung richtet sich nach dem Gebührenanspruchsgesetz (GebAG), das den Rahmen für Stundensätze, Reisekosten und weitere Gebührenbestandteile vorgibt. Die Parteien des Verfahrens müssen vorab einen Kostenvorschuss leisten, der vom Gericht festgesetzt wird.
Bei einem Privatgutachten beauftragt ein Unternehmen, eine Anwaltskanzlei oder eine Versicherung den Sachverständigen direkt. Hier gelten keine gesetzlich vorgeschriebenen Tarife. Der Stundensatz wird frei vereinbart und orientiert sich an den marktüblichen Honoraren für vergleichbare Sachverständigentätigkeiten. Privatgutachten werden in der Regel auf Basis eines schriftlichen Angebots erstellt, das den voraussichtlichen Aufwand und die Kosten transparent aufschlüsselt.
Die gesetzliche Grundlage: Das Gebührenanspruchsgesetz (GebAG)
Das GebAG regelt die Vergütung von Sachverständigen, die im Auftrag eines Gerichts tätig werden. Die relevanten Bestimmungen finden sich in den §§ 24 bis 42. Für IT-Sachverständige ist insbesondere § 34 relevant, der die Gebühr für Mühewaltung regelt. Unter Mühewaltung versteht das Gesetz die Aufnahme des Befundes und die Erstattung des Gutachtens.
Für die Höhe der Gebühr unterscheidet das GebAG nach dem erforderlichen Qualifikationsniveau. Für Tätigkeiten, die besonders hohe fachliche Kenntnisse erfordern, welche durch ein Universitätsstudium oder eine gleichwertige Vorbildung vermittelt werden, sieht § 34 Abs. 3 Z 3 GebAG einen Gebührenrahmen von 80 bis 150 Euro pro angefangener Stunde vor. Dieser Rahmen bildet die Basis.
Seit 1. Jänner 2024 gilt zusätzlich eine Zuschlagsverordnung (BGBl. II Nr. 430/2023), die die festen Gebührenbeträge im GebAG um bis zu 45 Prozent anhebt. Damit liegt der effektive Gebührenrahmen für qualifizierte IT-Sachverständige bei rund 116 bis 217,50 Euro pro Stunde. Innerhalb dieses Rahmens bestimmt das Gericht die konkrete Gebühr nach richterlichem Ermessen, wobei die aufgewendete Zeit, die Schwierigkeit der Aufgabe und die marktüblichen Einkünfte des Sachverständigen berücksichtigt werden.
Wichtig: Diese Sätze gelten nur für Gerichtsgutachten. Bei Privatgutachten ist der Sachverständige nicht an das GebAG gebunden.
Was kostet ein Privatgutachten in der Praxis?
Die Stundensätze für private IT-Gutachten in Österreich orientieren sich am außergerichtlichen Markt und liegen typischerweise höher als die GebAG-Sätze. Je nach Fachgebiet, Komplexität und Erfahrung des Sachverständigen bewegen sich die Honorare in einem Bereich, der vergleichbar ist mit spezialisierten IT-Beratungsleistungen oder den Leitlinien der Bundeskammer der Ziviltechniker:innen, die für die höchste Leistungskategorie Orientierungswerte von 187 bis 293 Euro pro Stunde ausweist.
Die Gesamtkosten eines Privatgutachtens hängen vor allem vom Umfang ab. Ein einfaches Kurzgutachten zu einer überschaubaren Fragestellung, etwa ob eine bestimmte Software eine vereinbarte Funktion erfüllt, kann mit einem Aufwand von 10 bis 20 Stunden erstellt werden. Ein umfangreiches Gutachten zu einem gescheiterten ERP-Projekt mit Analyse der Projektdokumentation, der Vertragslage und der technischen Umsetzung kann einen Aufwand von 50 bis 100 Stunden oder mehr erfordern.
Als grobe Orientierung für die Praxis: Einfache Privatgutachten beginnen bei einigen tausend Euro. Komplexe Gutachten zu IT-Großprojekten oder umfangreichen Cyberschäden können auch deutlich darüber liegen. Der tatsächliche Aufwand lässt sich erst nach einer ersten Sichtung des Sachverhalts seriös einschätzen, weshalb ein unverbindliches Erstgespräch der richtige erste Schritt ist.
Woraus setzt sich die Gesamtgebühr zusammen?
Die Kosten eines IT-Gutachtens bestehen nicht allein aus dem Stundensatz multipliziert mit der aufgewendeten Zeit. Das GebAG listet in § 24 mehrere Gebührenbestandteile auf, die auch bei Privatgutachten als Orientierung dienen.
Die Gebühr für Mühewaltung ist der größte Posten. Sie deckt die eigentliche Gutachtenstätigkeit ab: die Analyse der Unterlagen, die technische Untersuchung, die Befundaufnahme und das Verfassen des schriftlichen Gutachtens. Hier fällt der Großteil des zeitlichen Aufwands an.
Das Aktenstudium ist bei IT-Verfahren oft erheblich. Verträge, Pflichtenhefte, Lastenhefte, Projektprotokolle, E-Mail-Korrespondenz, technische Dokumentation: Bevor ein Sachverständiger eine Beurteilung abgeben kann, muss er die relevanten Unterlagen vollständig sichten und verstehen. Je nach Umfang der Akten kann allein dieser Schritt mehrere Stunden bis Tage in Anspruch nehmen.
Kosten für die Beiziehung von Hilfskräften fallen an, wenn der Sachverständige für Teilbereiche spezialisierte Mitarbeiter oder externe Fachleute hinzuzieht, etwa für die forensische Datensicherung oder die Analyse bestimmter Softwaresysteme.
Reise- und Aufenthaltskosten entstehen, wenn der Sachverständige für die Befundaufnahme vor Ort sein muss, etwa für eine Besichtigung der IT-Infrastruktur, ein Gespräch mit den beteiligten Personen oder die Teilnahme an einer Gerichtsverhandlung.
Die Gebühr für die Teilnahme an einer Verhandlung fällt bei Gerichtsgutachten an, wenn der Sachverständige sein Gutachten mündlich erörtern und Fragen der Parteien beantworten muss.
Welche Faktoren beeinflussen die Kosten am stärksten?
Aus meiner Erfahrung gibt es fünf wesentliche Faktoren, die den Gesamtpreis eines IT-Gutachtens bestimmen.
Der erste und wichtigste Faktor ist die Komplexität des technischen Sachverhalts. Die Prüfung, ob eine Website eine vereinbarte Funktionalität erfüllt, ist eine andere Aufgabe als die Analyse eines mehrjährigen IT-Migrationsprojekts mit dutzenden beteiligten Systemen und Dienstleistern. Je komplexer die technische Fragestellung, desto mehr Zeit braucht der Sachverständige für Befund und Gutachten.
Der zweite Faktor ist der Umfang der Unterlagen. Wenn ein Projektordner aus 200 Seiten besteht, ist die Ausgangslage eine andere als bei einem Datenraum mit 10.000 Dokumenten. Dieser Punkt wird von Auftraggebern häufig unterschätzt. Eine gründliche Analyse braucht Zeit, und Abkürzungen gehen auf Kosten der Qualität und der Belastbarkeit des Gutachtens.
Der dritte Faktor ist die Anzahl und Art der Gutachtensfragen. Je mehr Fragen ein Gericht oder ein Auftraggeber stellt, desto umfangreicher wird das Gutachten. Auch die Art der Fragen spielt eine Rolle: Eine rein technische Bewertung ist weniger aufwendig als eine Frage, die technische und wirtschaftliche Aspekte verknüpft, etwa die Ermittlung eines Schadens in Euro.
Der vierte Faktor ist die Dringlichkeit. Wenn ein Gutachten kurzfristig benötigt wird, etwa weil eine gerichtliche Frist läuft oder Beweise gesichert werden müssen, bevor sie verloren gehen, kann das den Aufwand erhöhen. Nicht weil der Stundensatz steigt, sondern weil andere Aufträge priorisiert und zusätzliche Ressourcen eingesetzt werden müssen.
Der fünfte Faktor ist das Erfordernis einer Verhandlungsteilnahme oder Erörterung. Bei Gerichtsgutachten ist die Teilnahme an der Gutachtenserörterung üblich und verursacht zusätzlichen Zeitaufwand: für die Vorbereitung, die Anreise und die Verhandlung selbst.
Wer trägt die Kosten eines IT-Gutachtens?
Die Kostentragung hängt vom Kontext ab.
Bei Gerichtsgutachten muss die beweisführende Partei einen Kostenvorschuss leisten. Dieser wird vom Gericht mit Beschluss festgesetzt und deckt die voraussichtlichen Kosten des Sachverständigen ab. Am Ende des Verfahrens werden die Sachverständigenkosten als Teil der Verfahrenskosten zugesprochen. In der Regel trägt die unterlegene Partei die gesamten Kosten, einschließlich der Sachverständigengebühren.
Bei Privatgutachten trägt der Auftraggeber die Kosten selbst. Wird das Privatgutachten im Rahmen eines Rechtsstreits eingebracht und gewinnt die auftraggebende Partei das Verfahren, können die Kosten unter bestimmten Voraussetzungen als erstattungsfähige Prozesskosten geltend gemacht werden.
Bei Versicherungsgutachten hängt die Kostentragung von der vertraglichen Vereinbarung ab. In vielen Fällen beauftragt die Versicherung selbst einen Sachverständigen. Wenn der Versicherungsnehmer ein eigenes Gutachten einholt, trägt er zunächst die Kosten, kann diese aber je nach Vertragslage und Ausgang des Falls erstattet bekommen.
Was ein Gutachten kosten darf und was es wert ist
Die Kosten eines IT-Gutachtens stehen nie isoliert im Raum. Sie müssen immer in Relation zum Streitwert, zum möglichen Schaden oder zum Risiko gesetzt werden, das ohne Gutachten besteht.
Ein Gutachten für 5.000 Euro kann ein Unternehmen vor einem sechsstelligen Schaden bewahren, wenn es rechtzeitig die Beweislage klärt. Umgekehrt kann das Fehlen eines Gutachtens dazu führen, dass ein berechtigter Anspruch nicht durchgesetzt werden kann, weil die technische Grundlage fehlt.
Besonders bei Privatgutachten, die als Vorbereitung auf ein Verfahren eingeholt werden, ist das Kosten-Nutzen-Verhältnis oft eindeutig: Eine fundierte technische Einschätzung vor der Klage kann entweder die Verhandlungsposition stärken oder aber rechtzeitig zeigen, dass eine Klage wenig Aussicht auf Erfolg hätte. In beiden Fällen spart das Gutachten am Ende Geld.
So erhalten Sie eine realistische Kosteneinschätzung
Seriöse IT-Sachverständige geben keine Pauschalpreise ab, bevor sie den Sachverhalt kennen. Das wäre weder ehrlich noch professionell. Was sie hingegen leisten können und sollten, ist eine transparente Ersteinschätzung des voraussichtlichen Aufwands nach einem ersten Gespräch oder einer kurzen Sichtung der Unterlagen.
Als allgemein beeideter und gerichtlich zertifizierter IT-Sachverständiger biete ich Ihnen ein unverbindliches Erstgespräch an, in dem wir Ihre Situation besprechen. Dabei kläre ich mit Ihnen, ob ein Gutachten für Ihren Fall sinnvoll ist, welchen Umfang es voraussichtlich haben wird und mit welchen Kosten Sie rechnen sollten. Erst auf dieser Basis entscheiden Sie, ob Sie den Auftrag erteilen möchten.
Kontaktieren Sie mich für ein unverbindliches Erstgespräch. Ich nehme mir die Zeit, Ihren Fall zu verstehen, bevor über Kosten gesprochen wird.

4. Jänner 2026

Kategorie: Versicherungen

Der Weg zum Gutachten: Was vor der Verhandlung passiert

Was eine Gutachtenserörterung ist – und was sie nicht ist

Der Ablauf: Was am Verhandlungstag passiert

Eröffnung und Zusammenfassung

Fragen des Gerichts

Fragen der Parteien

Stellungnahme zu Privatgutachten

Protokollierung

Die besonderen Herausforderungen bei IT-Streitigkeiten

Wie Sie sich als Partei optimal vorbereiten

Was nach der Erörterung passiert

Die Perspektive des Sachverständigen

Die prozessuale Stellung des Privatgutachtens in Österreich

Warum IT-Streitigkeiten ohne technische Expertise scheitern

Fünf strategische Einsatzszenarien für das Privatgutachten

1. Vorprozessuale Positionsbewertung

2. Außergerichtliche Streitbeilegung

3. Vorbereitung der Beweisführung im Verfahren

4. Gezielte Erschütterung eines ungünstigen Gerichtsgutachtens

5. Beweissicherung vor Beweisverlust

Worauf es bei der Auswahl des Privatgutachters ankommt

Zusammenspiel von Privatgutachten und Gerichtsgutachten

Kosten und Kostenerstattung

Der richtige Zeitpunkt

Warum IT-Outsourcing-Streitigkeiten so schwer zu lösen sind

Die fünf häufigsten Streitpunkte beim IT-Outsourcing

1. Verfügbarkeit und SLA-Verletzungen

2. Unklare Leistungsabgrenzung

3. Mangelhafte Transition

4. Sicherheitsmängel

5. Probleme beim Exit oder Providerwechsel

Was der Sachverständige konkret untersucht

Der „mittlere Ausführungsstandard“ als Maßstab

Wann ein Gutachten den Unterschied macht

Wer ist betroffen?

Die mehrstufige Meldepflicht: Was wann gemeldet werden muss

Was ein erheblicher Cybersicherheitsvorfall ist

Die parallelen Meldepflichten: NIS2 und DSGVO

Was ein IT-Sachverständiger in diesem Prozess leistet

Die Sanktionen: Was bei Nichtbeachtung droht

Der Zeitplan: Was jetzt zu tun ist

Vorbereitung auf den Ernstfall: Der Melde- und Dokumentationsprozess

Warum die Haftungsfrage bei Datenverlust so komplex ist

Die vier Haftungsebenen bei Datenverlust

Ebene 1: Die Geschäftsführerhaftung

Ebene 2: Die Haftung des IT-Dienstleisters

Ebene 3: Das Mitverschulden des Unternehmens

Ebene 4: Die DSGVO-Haftung bei personenbezogenen Daten

Was der Sachverständige technisch untersucht

Typische Konstellationen aus der Praxis

Warum ein Gutachten vor der Haftungsdiskussion stehen sollte

Was Sie jetzt tun sollten

Warum die Schadenshöhe so schwer zu beziffern ist

Die vier Schadenskategorien bei Ransomware

Kategorie 1: Direkte IT-Kosten

Kategorie 2: Betriebsunterbrechungsschaden

Kategorie 3: Datenverlustschaden

Kategorie 4: Folge- und Drittschäden

Was gerichtsfeste Dokumentation bedeutet

Der Zeitfaktor: Parallel zur Wiederherstellung dokumentieren

Wann ein Schadensgutachten gebraucht wird

Was Obliegenheiten sind – und warum sie zum Problem werden

Die fünf häufigsten Obliegenheiten – und wo es in der Praxis hakt

Was der IT-Sachverständige konkret prüft

Der Kausalitätsgegenbeweis: Wo die Argumentation oft gewonnen wird

Vorvertragliche Anzeigepflicht: Wenn die Risikofragen zum Problem werden

Was Unternehmen aus Obliegenheitsstreitigkeiten lernen können

Warum die Versicherung ein Gutachten braucht

Die sechs Bereiche der Dokumentation

1. Der Angriffsvektor: Wie ist der Angreifer eingedrungen?

2. Der Zeitverlauf: Die Timeline des Angriffs

3. Der technische Schaden: Was wurde beschädigt oder zerstört?

4. Der wirtschaftliche Schaden: Was kostet der Vorfall?

5. Die Obliegenheitsprüfung: Hat das Unternehmen seine Pflichten erfüllt?

6. Die Ursache-Wirkungs-Kette: Kausalität zwischen Angriff und Schaden

Der Zeitfaktor: Warum die Dokumentation sofort beginnen muss

Was Sie jetzt tun sollten – auch ohne akuten Vorfall

Digitale Beweise sind anders als physische Beweise

Was bei IT-Streitigkeiten gesichert werden muss