Cyber-Versicherung für IT-Unternehmen

Abgrenzung: IT-Haftpflicht und Cyber-Versicherung im Zusammenspiel

Viele IT-Unternehmen verwechseln die Cyber-Versicherung mit der IT-Berufshaftpflicht, dabei decken beide Policen unterschiedliche Schadenquellen ab. Die IT-Haftpflicht greift, wenn ein Kunde durch einen Vermögensschaden aus fehlerhafter Dienstleistung geschädigt wird, etwa weil eine fehlerhaft programmierte Schnittstelle Buchungsdaten dupliziert oder ein falsch konfiguriertes Update den Onlineshop eines Kunden tagelang lahmlegt. Es handelt sich dabei um einen reinen Vermögensschaden ohne Personen- oder Sachschaden, der klassischerweise nicht von einer Betriebshaftpflicht erfasst wird und deshalb eine eigene Berufshaftpflichtkomponente braucht.

Die Cyber-Versicherung setzt an einer anderen Stelle an: Sie deckt in erster Linie die eigenen Kosten des IT-Unternehmens nach einem Sicherheitsvorfall, etwa Forensik, Systemwiederherstellung und Betriebsausfall. Der entscheidende Berührungspunkt entsteht, wenn ein Cyberangriff auf das eigene Unternehmen gleichzeitig Kundendaten oder Kundensysteme betrifft. Dann haftet das IT-Unternehmen seinen Kunden gegenüber für den entstandenen Schaden, während die eigenen Wiederherstellungskosten separat anfallen. Ein sauberer Versicherungsschutz braucht deshalb beide Komponenten, entweder als kombinierte Police oder als aufeinander abgestimmte Einzelverträge ohne Deckungslücke an der Schnittstelle.

Besonders bei Ausfällen wird der Unterschied greifbar: Fällt die eigene Infrastruktur aus, ersetzt die Cyber-Versicherung den eigenen entgangenen Gewinn. Kann ein IT-Dienstleister wegen eines Angriffs vertraglich zugesagte Leistungen für einen Kunden nicht erbringen, etwa Hosting, Wartung oder eine vereinbarte Verfügbarkeit, und entsteht dem Kunden dadurch ein Schaden, ist das eine Haftungsfrage gegenüber Dritten. Verträge mit Kunden sollten deshalb genau prüfen, welche Verfügbarkeitszusagen (SLAs) gemacht wurden, da Vertragsstrafen aus SLA-Verletzungen in vielen Cyber-Policen nur eingeschränkt oder gar nicht mitversichert sind.

Ransomware im Kundenauftrag und das Lieferkettenrisiko

IT-Dienstleister, die für Kunden Wartung, Hosting oder Administration übernehmen, tragen ein doppeltes Ransomware-Risiko. Wird der eigene Zugang zu Kundensystemen kompromittiert, etwa über ein gestohlenes Administrator-Passwort oder eine ungepatchte Fernwartungssoftware, kann sich der Angriff von dort auf mehrere Kundenumgebungen gleichzeitig ausbreiten. Für Angreifer sind IT-Dienstleister deshalb ein besonders lohnendes Ziel: Ein einziger erfolgreicher Zugriff öffnet potenziell die Tür zu Dutzenden Kundennetzwerken. Diese Angriffsform wird als Supply-Chain-Angriff bezeichnet und trifft in den letzten Jahren zunehmend kleinere und mittlere IT-Häuser, nicht nur große Softwarehersteller.

Für die Cyber-Versicherung ergibt sich daraus eine wichtige Prüffrage: Deckt die Police nur Schäden am eigenen System, oder auch Ansprüche von Kunden, deren Daten oder Systeme über den kompromittierten Zugang des IT-Dienstleisters verschlüsselt wurden. Standardtarife für Kleinunternehmen begrenzen die Drittschadendeckung oft auf eine vergleichsweise niedrige Summe, die bei mehreren betroffenen Kunden gleichzeitig schnell ausgeschöpft ist. IT-Unternehmen mit vielen Wartungskunden sollten die Deckungssumme deshalb nicht am eigenen Umsatz, sondern an der Anzahl und Größe der betreuten Kundensysteme ausrichten.

Ein weiterer Aspekt betrifft die Sorgfaltspflicht bei Fernzugängen. Versicherer verlangen zunehmend den Nachweis von Mindeststandards wie Multi-Faktor-Authentifizierung für administrative Zugänge, segmentierten Netzwerken pro Kunde und protokollierten Zugriffen. Fehlen diese Maßnahmen, drohen im Schadenfall Leistungskürzungen wegen grober Fahrlässigkeit. Der Nachweis angemessener Zugriffskontrollen ist damit nicht nur eine technische, sondern auch eine versicherungsrelevante Frage geworden.

Aus den Schadenakten

NIS2-Betroffenheit für IT-Dienstleister

Mit der Umsetzung der NIS2-Richtlinie ins deutsche Recht fallen deutlich mehr IT-Unternehmen unter verbindliche Sicherheitspflichten als bisher angenommen. Betroffen sind unter anderem Anbieter von Managed Services, Cloud-Computing-Diensten, Rechenzentren und digitalen Diensten oberhalb bestimmter Mitarbeiter- und Umsatzschwellen. Anders als bei der klassischen Betriebshaftpflicht reicht hier nicht mehr das bloße Vorhandensein einer Versicherung, die Geschäftsführung muss aktiv Risikomanagementmaßnahmen nachweisen und ist bei Verstößen persönlich in der Verantwortung.

Für IT-Dienstleister, die selbst als Zulieferer größerer NIS2-pflichtiger Unternehmen agieren, verschärft sich die Lage zusätzlich: Auch wenn der eigene Betrieb unterhalb der Schwellenwerte liegt, verlangen viele Auftraggeber inzwischen vertraglich den Nachweis von Mindeststandards und einer angemessenen Cyber-Versicherung als Voraussetzung für die weitere Zusammenarbeit. Wer diesen Nachweis nicht erbringen kann, riskiert den Verlust von Aufträgen, unabhängig davon, ob eine eigene gesetzliche Pflicht besteht.

DSGVO-Bußgelder: Was die Cyber-Versicherung übernimmt und was nicht

Ein weit verbreitetes Missverständnis betrifft die Deckung von DSGVO-Bußgeldern. In Deutschland gelten behördlich verhängte Bußgelder nach überwiegender Rechtsauffassung und gängiger Versicherungspraxis als grundsätzlich nicht versicherbar, da es sich um eine hoheitliche Sanktion mit Strafcharakter handelt. Eine Versicherung, die diese Sanktionswirkung durch Kostenübernahme abfedert, würde dem Zweck des Bußgelds widersprechen. Anbieter, die eine uneingeschränkte Bußgelddeckung bewerben, sollten deshalb genau geprüft werden, in vielen Fällen gilt die Zusage nur, soweit eine Versicherbarkeit rechtlich überhaupt zulässig ist, was faktisch kaum vorkommt.

Versicherbar sind dagegen die Kosten, die im Umfeld einer Datenpanne tatsächlich entstehen, unabhängig vom Bußgeld selbst: die Meldung an die Aufsichtsbehörde innerhalb der 72-Stunden-Frist, die Benachrichtigung betroffener Personen, externe Anwaltskosten zur Einschätzung der Meldepflicht, forensische Untersuchung des Vorfalls und Kosten eines externen Krisenberaters. Auch berechtigte Schadenersatzansprüche einzelner betroffener Personen nach Artikel 82 DSGVO sind in vielen Policen als Drittschaden mitversichert, auch das ist von einem behördlichen Bußgeld strikt zu unterscheiden.

Für IT-Unternehmen bedeutet das in der Praxis: Eine gute Cyber-Versicherung reduziert die Folgekosten einer Datenpanne erheblich, ersetzt aber keine sorgfältige DSGVO-konforme Datenverarbeitung. Wer als IT-Dienstleister im Auftrag von Kunden personenbezogene Daten verarbeitet, sollte die Auftragsverarbeitungsverträge (AV-Verträge) mit Kunden und die eigene Cyber-Police so abstimmen, dass Meldewege und Kostenübernahme im Ernstfall nicht zwischen beiden Verträgen zerfallen.

Kostenorientierung nach Unternehmensgröße

Die folgende Übersicht zeigt grobe Richtwerte für die jährliche Prämie einer Cyber-Versicherung für IT-Unternehmen. Die tatsächlichen Beiträge hängen von Umsatz, Anzahl betreuter Kundensysteme, IT-Sicherheitsniveau und gewählter Deckungssumme ab und dienen ausschließlich der ersten Orientierung, nicht als verbindliches Angebot.