Versicherung gegen Cyber-Schäden: Aber was geschieht bei Fahrlässigkeit?

Advertorial: Cyberpolicen gelten als Rettungsring in Zeiten, in denen Angriffe Systeme lahmlegen, Daten abfließen und Hotlines heißlaufen. Entscheidend ist jedoch selten die Existenz einer Police, vielmehr zählt, ob sie im Ernstfall tatsächlich trägt. Sobald menschliche Nachlässigkeit ins Spiel kommt, verschiebt sich der Fokus von der Technik auf das Verhalten, das letztlich über Erstattung, Kürzung oder Streit entscheidet.

Gerade in einer Phase, in der Cyberangriffe immer raffinierter werden, ist das Zusammenspiel aus Versicherungsschutz und Eigenverantwortung wichtiger denn je. Denn die beste Police verliert ihren Wert, wenn die Sorgfalt im Alltag vernachlässigt wird.

Unachtsamkeit wird teuer und Fahrlässigkeit plötzlich zum Problem

Juristisch unterscheidet sich leichte von grober Fahrlässigkeit durch den Grad der verletzten Sorgfaltspflicht. Ein vergessenes Passwortblatt im Büro gilt als einfache Nachlässigkeit, monatelang ausbleibende Sicherheitsupdates oder triviale Kennwörter sind dagegen ein schweres Versäumnis. Abhilfe für Ersteres kann ein Passwortmanager für Unternehmen schaffen, der dafür sorgt, dass die sensiblen Daten sicher verwahrt bleiben. Dazwischen liegt ein breites Feld an Situationen, die harmlos erscheinen, in Summe aber ein Einfallstor öffnen.

Genau in dieser Grauzone wird oft entschieden, wie streng bewertet wird. In der Praxis hängt die Einschätzung häufig von technischen Details ab, etwa davon, ob eine Sicherheitslücke aktiv ausgenutzt wurde oder nur zufällig entdeckt wurde. Aus einem kleinen Versehen kann dadurch rasch ein juristischer Streit entstehen, der Wochen oder gar Monate dauert.

In der Regel erstatten viele Versicherer bei leichter Fahrlässigkeit den Schaden ohne Abstriche. Kommt grobe Fahrlässigkeit hinzu, greift das Quotelungsprinzip des § 81 Absatz 2 VVG, das Kürzungen entsprechend der Schwere des Verschuldens ermöglicht. Eine vollständige Leistungsfreiheit ist nur bei Vorsatz vorgesehen. Am Ende steht eine individuelle Prüfung, bei der Verhalten, Vertragstext und Zusammenhang mit dem Schaden sorgfältig gegeneinander abgewogen werden.

In der Realität führt das oft zu intensiven Auseinandersetzungen, weil Versicherer und Versicherungsnehmer den Begriff der groben Fahrlässigkeit unterschiedlich verstehen. Nicht selten dreht sich der Streit um die Frage, ob das Verhalten tatsächlich ursächlich für den entstandenen Schaden war oder ob der Angriff ohnehin erfolgreich gewesen wäre.

Die Vertragsdetails entscheiden und bestimmen die Tragweite der Absicherung

Viele Policen enthalten genaue Vorgaben, die die IT-Sicherheit im Unternehmen betreffen. Dazu gehören regelmäßige Updates, sicher gestaltete Passwörter, Zwei-FaktorAuthentifizierung, Backups mit Wiederherstellungstests und klare Zugriffsprozesse. Einige Anbieter verzichten freiwillig auf Kürzungsrechte bei grober Fahrlässigkeit, andere verknüpfen die Leistung mit Mindeststandards.

Gerichte achten sehr genau auf die vertragliche Ausgangslage und auf den Kausalzusammenhang. 2023 erhielt ein Versicherungsnehmer trotz grober Fahrlässigkeit einen großen Teil seines Schadens ersetzt, weil keine konkreten Sicherheitsvorgaben im Vertrag standen und die Kausalität nicht eindeutig nachgewiesen werden konnte.

Diese Entscheidung verdeutlicht, dass Formulierungen in Verträgen und die Beweisführung im Ereignisfall entscheidend sind. Eine starre Schwarz-Weiß-Logik existiert nicht, vielmehr zählt das Zusammenspiel aus Verhalten, Vereinbarung und Folgen. Inzwischen reagieren Versicherungen spürbar sensibler auf diese Entwicklungen, was dazu führt, dass Verträge differenzierter gestaltet und Pflichten klarer definiert werden.

Verantwortung beginnt vor dem Schadensfall und endet nicht mit der Police

Eine Versicherung gleicht finanzielle Folgen aus, ersetzt aber keine solide Sicherheitskultur. Sinnvoll sind verbindliche Richtlinien, regelmäßige Übungen, ein wachsames Auge auf Zugriffsrechte und die Erkenntnis, dass Bequemlichkeit im digitalen Umfeld oft ihren Preis hat.

Prävention kostet weniger als ein Ausfalltag und senkt das Risiko, dass ein juristischer Konflikt überhaupt entsteht. Sie schafft zudem Vertrauen innerhalb des Unternehmens sowie gegenüber Kunden, die zunehmend auf einen verantwortungsvollen Umgang mit ihren Daten achten. Wird Prävention zum festen Bestandteil der Unternehmenskultur, stärkt das nicht nur den Schutz, sondern auch die Glaubwürdigkeit nach außen.