Versichert, solange Sie es beweisen

Eine Cyberversicherung verspricht nicht, jeden Angriff zu bezahlen. Sie verspricht, den Angriff zu bezahlen, wenn das versicherte Unternehmen bestimmte Pflichten erfüllt hat. Diese Pflichten heißen im Versicherungsrecht Obliegenheiten, und in Cyber-Policen sind es meist dieselben: Mehr-Faktor-Anmeldung für Fernzugriff und privilegierte Konten, eine Datensicherung, die offline oder unveränderlich liegt, eine Frist für kritische Sicherheitsupdates, Schutz auf allen Endgeräten, keine offenen Fernwartungsdienste im Internet.

Solange nichts passiert, sind das Zeilen in einem Vertrag, den zuletzt jemand beim Abschluss gelesen hat. Relevant werden sie am Tag nach dem Angriff.

Was § 28 VVG regelt

Das Versicherungsvertragsgesetz ordnet die Folgen einer verletzten Obliegenheit nach dem Verschulden. § 28 Absatz 2 VVG: Bei vorsätzlicher Verletzung ist der Versicherer leistungsfrei, sofern der Vertrag das vorsieht. Bei grob fahrlässiger Verletzung darf er seine Leistung „in einem der Schwere des Verschuldens des Versicherungsnehmers entsprechenden Verhältnis“ kürzen. Und dann der Halbsatz, auf den es ankommt: „die Beweislast für das Nichtvorliegen einer groben Fahrlässigkeit trägt der Versicherungsnehmer.“

Absatz 3 mildert das ab. Der Versicherer bleibt zur Leistung verpflichtet, soweit die Verletzung für den Schaden nicht ursächlich war. Eine fehlende Verschlüsselung der Notebooks ändert nichts an einem Einbruch über ein ungepatchtes VPN-Gateway. Aber auch diese Abgrenzung muss jemand darlegen können, und für Arglist gilt sie nicht.

Der Nachweis entsteht vorher oder gar nicht

Im Schadenfall fragt der Versicherer nach, meist mit einem Dienstleister für die Forensik an der Seite: War die Mehr-Faktor-Anmeldung für den Fernzugriff am Tag des Angriffs aktiv, und zwar für alle Konten? Gab es die Offline-Kopie, und wann wurde zuletzt aus ihr wiederhergestellt? Wie lange war die ausgenutzte Schwachstelle bekannt?

Diese Fragen kommen in der Woche, in der die IT den Betrieb wieder aufbaut, und oft sind genau die Systeme verschlüsselt, auf denen die Antworten lagen. Ein Nachweis, der erst dann zusammengesucht wird, ist im besten Fall lückenhaft. Er muss vorher entstehen, fortlaufend, mit Datum, und dort liegen, wo der Angriff nicht hinkommt.

Dazu kommt die Meldung selbst. § 30 VVG verlangt, den Versicherungsfall „unverzüglich anzuzeigen“. Wer die Schadenhotline und die Vertragsnummer erst im Postfach eines verschlüsselten Mailservers suchen muss, verliert Zeit, die in keinem Notfallplan steht.

Wie isidaten das abbildet

Im Vertragsmanagement wird die Cyberversicherung als Vertrag geführt, ihre Obliegenheiten als Vertragspflichten. Eine Vorlage bringt zwölf typische, fachlich neutral formulierte Obliegenheiten mit, von der Mehr-Faktor-Anmeldung über Netzsegmentierung und Sensibilisierung bis zur Meldung des Versicherungsfalls. Übernommen wird, was im eigenen Vertrag steht.

Je Obliegenheit lassen sich drei Nachweisquellen verknüpfen. Erstens der Umsetzungsstand der passenden Kontrolle in der Erklärung zur Anwendbarkeit. Zweitens eine Außenprüfung aus der Außennote der eigenen Domains, etwa offene Fernwartungsports oder die E-Mail-Absenderprüfung; es zählt die schwächste Domain. Drittens ein manueller Nachweis mit Dokument, Datum und verantwortlicher Person, der nach zwölf Monaten nur noch als teilweise erfüllt gilt. Daraus ergibt sich der Stand: erfüllt, teilweise, nicht erfüllt oder ungeprüft. Wer ihn übersteuert, muss das begründen, und der berechnete Stand bleibt daneben sichtbar.

Vor der nächsten Kündigungs- oder Verlängerungsfrist legt das Modul eine Wiedervorlage an, 60 Tage vorher, denn dann fragt der Versicherer erfahrungsgemäß den Stand neu ab. Der Obliegenheiten-Nachweis lässt sich als PDF erzeugen, auch für die Ablage außerhalb der eigenen Systeme.

Eine Einschränkung gehört dazu: Die Vorlage ist neutral, maßgeblich ist der Wortlaut des eigenen Vertrags. Weicht er ab, etwa bei der Patchfrist, gilt die Frist aus dem Vertrag.

Die Prüffrage

Welche Obliegenheiten stehen in Ihrer Cyber-Police, und wer könnte heute für jede einzelne einen Beleg mit Datum vorlegen?

Wenn Sie für die erste Hälfte der Frage die Police suchen müssen, kennt im Schadenfall nur der Versicherer die Antwort.

Quellen

§ 28 VVG, Verletzung einer vertraglichen Obliegenheit. § 30 VVG, Anzeige des Versicherungsfalles.