Die Cyberversicherung, die Sie gar nicht haben
Im Onlineportal des Versicherers stehen die Risikofragen, neben jeder ein Schalter für Ja und einer für Nein. Sind alle stationären und mobilen Arbeitsrechner mit aktueller Software gegen Schadsoftware ausgestattet? „Ja.“ Werden verfügbare Sicherheitsupdates ohne schuldhaftes Zögern eingespielt? „Ja.“ Der Leiter der IT gibt die Antworten vor, der Makler trägt sie ein.
Im Netz des Unternehmens stehen an diesem Tag Rechner mit Windows 2003, die als zentraler Speicher dienen und keinen Virenschutz haben. Der SQL-Server hinter dem Webshop läuft mit Windows 2008, die Sicherheitsupdates des Herstellers sind ausgelaufen. Ein Domain-Controller befindet sich seit März 2019 im Auslieferungszustand.
Der Windows-2008-Server wird zum Einfallstor für die Angreifer. Der Versicherer ficht den Vertrag an, und das Landgericht Kiel gibt ihm am 23. Mai 2024 recht (Az. 5 O 128/21): Der Vertrag ist wegen arglistiger Täuschung nichtig, der Versicherer muss nichts leisten. Die Berufung blieb nach den veröffentlichten Berichten vor dem Oberlandesgericht Schleswig ohne Erfolg (Az. 16 U 63/24).
Das Unternehmen hatte eine Police. Versichert war es nie.
Die gleiche Frage, das andere Ergebnis
Ein Jahr vorher entscheidet das Landgericht Tübingen einen Fall, der fast gleich beginnt (Urteil vom 26. Mai 2023, Az. 4 O 193/21). Der Versicherer hatte acht Risikofragen gestellt, sieben waren mit Ja beantwortet, darunter die Frage nach den Sicherheitsupdates. Nach einem Angriff mit Ransomware stellt der Sachverständige fest: Von 21 forensisch gesicherten Servern hatten 11 keine aktuellen Sicherheitsupdates. Der Versicherer tritt vom Vertrag zurück.
Das Gericht verurteilt ihn zur Zahlung von knapp 2,86 Millionen Euro.
Zwei Gründe tragen das Urteil. Der erste ist die Ursächlichkeit. Die Angreifer nutzten eine Schwäche von Windows, die unabhängig vom Updatestand besteht, und der Angriff gelang auf 16 der 21 Server, darunter aktuelle Windows Server 2019. Nach dem Gutachten hätte das Einspielen der versäumten Updates weder den Angriff abgewehrt noch den Schaden verringert. Damit durfte der Versicherer die Leistung nicht versagen.
Der zweite Grund ist das Verschulden. Arglist konnte das Gericht nicht feststellen. Die Mitarbeiter hatten aus einer Veranstaltung vor dem Abschluss den Eindruck mitgenommen, die Anforderungen an die IT-Sicherheit seien niedrig. Mehrere Zeugen erinnerten sich an die Aussage, als Firewall reiche „jede Fritzbox“.
Was die beiden Fälle trennt
Die Qualität der IT trennt sie kaum. In beiden Häusern liefen veraltete Systeme. In Kiel stellte das Gericht falsche Antworten fest. In Tübingen kam nach seiner Würdigung allenfalls die Antwort auf die Frage nach den Updates als falsch in Betracht.
Es trennt sie, was das Unternehmen über den eigenen Stand wusste, als es antwortete. In Kiel sagte der Leiter der IT aus, die Rechner mit Windows 2003 seien beim Beantworten „geflissentlich übersehen“ worden. Eine Prüfung der Systeme hatte er vorher nach eigenen Angaben nicht vorgenommen. Das Gericht nennt das Antworten „ins Blaue hinein“ und wertet es als arglistige Täuschung. Wer eine Cyberversicherung abschließt, erkenne ohne Weiteres, dass die Risikobewertung des Versicherers von Virenschutz und Sicherheitsupdates abhängt.
Der Sachverständige in Kiel erläuterte, der Sicherheitszustand des Netzes hätte sich vor dem Antworten „relativ leicht durch einen Blick“ prüfen lassen. Die zentrale Konsole des Virenschutzes hätte es gezeigt. Im WSUS-System wären die nicht aktualisierten Rechner aufgefallen.
Die Kontrolle war möglich. Der Leiter der IT hat sie nicht vorgenommen.
Drei Zusagen, die an einer Police hängen
Wer eine Cyberversicherung abschließt, sagt dem Versicherer an drei Stellen etwas über seine IT zu.
Vor dem Abschluss sind es die Antworten im Risikofragebogen. Nach § 19 VVG sind die bekannten Gefahrumstände anzuzeigen, nach denen der Versicherer in Textform gefragt hat. Wer diese Pflicht verletzt, riskiert je nach Verschulden den Rücktritt des Versicherers, die Kündigung oder eine Anpassung des Vertrags. Bei arglistiger Täuschung bleibt dem Versicherer die Anfechtung nach § 22 VVG und § 123 BGB. Das war der Weg in Kiel.
Während der Laufzeit sind es die Obliegenheiten. Die Musterbedingungen des GDV (AVB Cyber, Stand Februar 2024) zählen sie in Abschnitt A1-16 auf. Administrative Zugänge sind danach „ausschließlich Administratoren und ausschließlich zur Erledigung administrativer Tätigkeiten vorbehalten“. Verlangt werden ein Schutz gegen Schadsoftware, der automatisch aktuell gehalten wird, und ein Patch-Management, das relevante Sicherheitsupdates zeitnah installiert. Die Datensicherung läuft mindestens wöchentlich, und kein System und keine Befugnisebene darf Originale und Duplikate gleichermaßen verändern oder vernichten können. Die Wiederherstellung ist regelmäßig zu prüfen. Die Bedingungen einzelner Versicherer weichen davon ab; maßgeblich ist die eigene Police.
Die Folgen regelt § 28 VVG in Stufen. Bei Vorsatz kann der Versicherer leistungsfrei sein, bei grober Fahrlässigkeit darf er die Leistung nach der Schwere des Verschuldens kürzen. Er bleibt zur Leistung verpflichtet, soweit die Verletzung weder für den Eintritt oder die Feststellung des Versicherungsfalls noch für die Feststellung oder den Umfang der Leistung ursächlich war. Nach den Musterbedingungen muss der Versicherungsnehmer das nachweisen. Bei Arglist hilft auch das nicht.
Bei Änderungen kommt die Gefahrerhöhung hinzu. Nach § 23 VVG darf der Versicherungsnehmer nach Abgabe seiner Vertragserklärung ohne Einwilligung des Versicherers keine Gefahrerhöhung vornehmen. Erkennt er nachträglich, dass er es doch getan hat, oder tritt sie ohne seinen Willen ein und erfährt er davon, muss er sie unverzüglich anzeigen.
Der Tübinger Fall wurde über den Kausalitätsgegenbeweis bei der vorvertraglichen Anzeige entschieden, der Kieler über die Anfechtung wegen arglistiger Täuschung. In beiden Verfahren stellten Sachverständige nach dem Schaden fest, wie es um die Systeme stand.
Wie die Lücke entsteht
Ein Risikofragebogen sieht aus wie ein Formular. Rechtlich ist jede Antwort eine Anzeige gegenüber dem Versicherer. Die Fragen sind kurz, die Antwort ist ein Schalter.
In beiden Urteilen beschrieb die Antwort eine Annahme über die IT. In Kiel erklärte der Leiter der IT, er habe sich auf Mitarbeiter und einen externen Dienstleister verlassen. Das Gericht überzeugte das nicht. In Tübingen gingen die Beteiligten davon aus, dass der Versicherer wenig verlangt.
Dazu kommt die Zeit. Die Antwort im Fragebogen beschreibt den Stand vor dem Vertrag, die Obliegenheiten gelten an jedem Tag danach. Ein Administratorkonto, das für ein Projekt vergeben und nie entzogen wird, verändert den Stand. Ein Backup-Server, der in dasselbe Active Directory aufgenommen wird wie die gesicherten Systeme, verändert ihn ebenfalls: Die Musterbedingungen nennen die Einbindung in ein einheitliches Managementsystem als Beispiel für das, was bei Backups über das Netzwerk nicht sein darf.
Es ist dasselbe Muster wie beim Fragebogen im GRC-Tool: Belegt ist, dass jemand geantwortet hat. Bei der Versicherung hängt daran die Deckung.
Was daraus folgt
Behandeln Sie jede Antwort im Risikofragebogen wie eine Aussage im Audit. Zu jeder gehört ein Beleg aus dem System, ein Datum und der Name dessen, der nachgesehen hat.
Fehlt im Haus jemand, der das regelmäßig tut, kann ein externer CISO die Prüfung führen.
Die Belege liegen meist schon vor. Die Konsole des Virenschutzes zeigt, welche Rechner erfasst sind. Die Patch-Verwaltung zeigt, welche Systeme keine Updates mehr bekommen. Der Verzeichnisdienst liefert die Liste der Konten mit administrativen Rechten. Das Protokoll des letzten Wiederherstellungstests zeigt, ob die Sicherung trägt.
Wiederholen Sie die Probe vor jeder Verlängerung und nach jeder größeren Änderung an der IT. Weicht die Messung von der Antwort ab, gehört das auf den Tisch, bevor ein Schaden eintritt. Was dann gegenüber dem Versicherer zu erklären ist, klären Sie mit Ihrem Makler oder Ihrem Anwalt. Dieser Beitrag ersetzt keine Rechtsberatung.
OdySecure führt 23 Konnektoren zu angeschlossenen Systemen. Der Bericht einer Cloud-Prüfung mit Prowler etwa wird als Nachweis an der Kontrolle abgelegt, mit einem Frischezustand, der zeigt, wie alt die Messung ist. Der Kieler Fall hing an der Frage, ob jemand nachgesehen hat. Wie sich der Stand vor einem Abschluss oder einer Verlängerung erheben lässt, beschreibt die Seite zum Cybersecurity Assessment.
Die Probe
Nehmen Sie den Risikofragebogen Ihrer Police zur Hand und lassen Sie zu jeder Antwort heute den Beleg aus dem System ziehen.
Wo sich keiner ziehen lässt, steht in Ihrer Police eine Annahme.
Quellen: LG Tübingen, Urteil vom 26.05.2023, 4 O 193/21; LG Kiel, Urteil vom 23.05.2024, 5 O 128/21, Mitteilung des Gerichts und veröffentlichte Entscheidungsgründe; GDV, AVB Cyber, Stand Februar 2024; VVG §§ 19, 22, 23, 28. Die Entscheidung des OLG Schleswig (16 U 63/24) ist nach Berichten Dritter wiedergegeben. Stand 12.10.2026. Die Angabe zu OdySecure beschreibt die Fähigkeit der Plattform, keine Zusage über Umfang oder Verfügbarkeit einer einzelnen Installation.