Ein Erpressungstrojaner legt über Nacht die Server lahm, die Produktion steht still. Und die Cyberversicherung, die genau für diesen Fall abgeschlossen wurde, zahlt nicht.
Der Grund liegt dann oft nicht im Angriff selbst, sondern im Verhalten des Unternehmens: falsche Angaben im Antrag, nicht gelebte Sicherheitsvorgaben oder Fehler in den ersten Stunden nach der Attacke. Nach der aktuellen Bitkom-Studie „Wirtschaftsschutz 2025“ verursachen Cyberangriffe in der deutschen Wirtschaft Schäden von rund 202 Milliarden Euro pro Jahr. Umso genauer prüfen Versicherer nach einem Schaden, ob der Versicherungsnehmer seine Obliegenheiten erfüllt hat.
Wir beraten Sie zur Cyberversicherung.
Was sind Obliegenheiten in der Cyberversicherung?
Obliegenheiten sind Verhaltensanforderungen, die Gesetz und Versicherungsvertrag dem Versicherungsnehmer auferlegen. Ihre Verletzung kann den Versicherer nach § 28 VVG ganz oder teilweise von der Leistung befreien. Praktisch lassen sich drei Phasen unterscheiden: die Risikofragen vor Vertragsschluss, die laufenden Sicherheitsanforderungen während der Vertragslaufzeit und die Pflichten im Schadenfall.
Wichtig: Nicht jede technische Anforderung ist rechtlich eine Obliegenheit – sie kann auch Risikobeschreibung oder Ausschluss sein. Diese Einordnung entscheidet über die Rechtsfolgen und ist ein zentraler Ansatzpunkt der anwaltlichen Prüfung.
Fehler vor Vertragsschluss: Risikofragen nie „ins Blaue hinein“ beantworten
Das derzeit größte Risiko liegt im Antrag: Fragen zu Updates, Virenschutz, Datensicherung und Zugriffsschutz dürfen nicht ungeprüft bejaht werden. Das musste ein Unternehmen vor dem Landgericht Kiel (Urteil vom 23.05.2024, Az. 5 O 128/21) erfahren: Ein IT-Verantwortlicher hatte Fragen zu Sicherheitsupdates „ins Blaue hinein“ bejaht, obwohl veraltete Server liefen. Der Versicherer focht den Vertrag wegen arglistiger Täuschung an (§ 22 VVG, § 123 BGB) und musste trotz eines Millionenschadens nicht zahlen – bestätigt vom Schleswig-Holsteinischen Oberlandesgericht (Beschluss vom 09.01.2025, Az. 16 U 63/24). Wer eine technische Antwort nicht sicher geben kann, muss nachfragen oder prüfen lassen. Dass es auch anders ausgehen kann, zeigt das Landgericht Tübingen (Urteil vom 26.05.2023, Az. 4 O 193/21): Trotz teils veralteter Server blieb der Versicherer eintrittspflichtig, weil die pauschal gefassten Risikofragen nicht falsch beantwortet waren und auch eine Kürzung wegen grob fahrlässiger Herbeiführung des Versicherungsfalls (§ 81 Abs. 2 VVG) ausschied. Es kommt also auf Fragestellung, Wissen und Kausalität im Einzelfall an.
Fehler während der Laufzeit: Sicherheit nur auf dem Papier genügt nicht
Marktübliche Bedingungswerke – etwa die GDV-Musterbedingungen für die Cyberrisiko-Versicherung – verlangen unter anderem zeitnahes Patch-Management, aktuelle Schutzsoftware, regelmäßige und getrennt aufbewahrte Datensicherungen samt Wiederherstellungstests, individuelle Benutzerkonten und Mehr-Faktor-Authentifizierung. Solche Sicherheitsobliegenheiten sind ernst zu nehmen: Der Bundesgerichtshof hat selbst generalklauselartige Pflichten zur Einhaltung von Sicherheitsvorschriften gebilligt (Urteil vom 25.09.2024, Az. IV ZR 350/22). Wer zugesagte Maßnahmen nur auf dem Papier erfüllt, spielt mit dem Versicherungsschutz. Wesentliche Änderungen der IT-Landschaft – neue Fernzugänge, Cloud-Dienste, abgeschaltete Schutzsysteme – können zudem eine anzeigepflichtige Gefahrerhöhung sein; mehr dazu unser Beitrag zu Rücktritt und Gefahrerhöhung in der Cyberversicherung.
Fehler im Schadenfall: Jetzt zählt jede Stunde
Nach einem Angriff ist der Versicherungsfall unverzüglich über den vereinbarten Meldeweg anzuzeigen (§ 30 VVG), Fragen des Versicherers sind vollständig und wahrheitsgemäß zu beantworten (§ 31 VVG), und der Schaden ist so gering wie möglich zu halten (§ 82 VVG). Log-Dateien und betroffene Systeme müssen für die Forensik gesichert bleiben; kostenintensive Maßnahmen und erst recht Lösegeldzahlungen gehören vorab mit dem Versicherer abgestimmt. Was zu tun ist, wenn der Versicherer dennoch nicht zahlt, erläutert unser Beitrag „Cyberversicherung im Ernstfall“.
Führt jeder Fehler zum Verlust des Schutzes?
Nein. Bei vertraglichen Obliegenheiten gilt das gestufte System des § 28 VVG: Vorsatz führt zur Leistungsfreiheit, grobe Fahrlässigkeit nur zu einer Kürzung entsprechend der Schwere des Verschuldens. Diese Quote ist verhandelbar und gerichtlich voll überprüfbar. Zudem bleibt der Versicherer leistungspflichtig, wenn die Verletzung weder für den Versicherungsfall noch für die Schadenhöhe ursächlich war (§ 28 Abs. 3 VVG); nur bei Arglist ist dieser Kausalitätsgegenbeweis abgeschnitten. Bei Auskunfts- und Aufklärungspflichten setzt die vollständige Leistungsfreiheit außerdem eine gesonderte Belehrung in Textform voraus (§ 28 Abs. 4 VVG). Wichtig: Eine behauptete Obliegenheitsverletzung ist ein Einwand des Versicherers und somit kein Urteil.
Was bedeutet das für Versicherungsvermittler?
Für Versicherungsvermittler ist das Thema doppelt relevant: Technische Risikofragen sollten sie weder selbst beantworten noch ungeprüft aus Vorjahresanträgen übernehmen, sondern durch den Kunden und dessen IT verifizieren lassen und die Grundlage jeder Angabe dokumentieren. Auch die Produktauswahl will begründet sein – etwa ob Schäden durch Zahlungsbetrug per E-Mail mitversichert sind, die nach dem Urteil des Landgerichts Hagen (15.10.2024, Az. 9 O 258/23) nicht ohne Weiteres unter die klassische Cyberdeckung fallen. Beratungsfehler können sonst zu Schadensersatz nach § 60 ff. VVG führen.
Was Unternehmen tun sollten
Gleichen Sie Risikofragebogen und tatsächlichen IT-Zustand regelmäßig ab, übertragen Sie alle Obliegenheiten der Police in eine Kontrollliste mit klaren Zuständigkeiten, dokumentieren Sie Updates, Datensicherungen und Tests fortlaufend und machen Sie Melde- und Notfallwege intern bekannt. Geben Sie im Schadenfall keine vorschnellen Erklärungen zu vermeintlichen Versäumnissen ab – und akzeptieren Sie Kürzungen oder Ablehnungen nie ungeprüft.
Leistung gekürzt oder abgelehnt? Wir setzen Ihre Ansprüche durch
Ob eine Leistungskürzung berechtigt ist, entscheidet sich an der Auslegung der Klausel, am Grad des Verschuldens, an der Kausalität und an formalen Anforderungen wie der Belehrung. Wirth Rechtsanwälte aus Berlin beraten Unternehmen, Versicherungsvermittler, Maklerpools und Vertriebe bundesweit im Versicherungs- und Versicherungsvertriebsrecht: Wir prüfen Cyber-Versicherungsbedingungen, Risikofragebögen und Leistungsablehnungen, vertreten Versicherungsnehmer außergerichtlich wie gerichtlich und beraten Vermittler zu Haftung und Dokumentation – mehr dazu auf unserer Seite Rechtsanwalt für Cyberversicherung. Je früher wir eingebunden werden, desto mehr kann gerettet werden.
Fazit
Der Wert einer Cyber-Police entscheidet sich nicht erst beim Angriff, sondern bei Antrag, laufendem Betrieb und Schadenmeldung. Wer seine Obliegenheiten kennt und ihre Erfüllung dokumentiert, muss die Auseinandersetzung mit dem Versicherer nicht scheuen.
Wir beraten Sie zur Cyberversicherung.
Häufige Fragen (FAQ)
Nicht automatisch. Der Versicherer muss ein erhebliches Verschulden nachweisen, und er bleibt leistungspflichtig, wenn das fehlende Update für den Angriff nicht ursächlich war (§ 28 Abs. 3 VVG) – so im Ergebnis auch das LG Tübingen.
Der Versicherer darf die Leistung nur anteilig kürzen, entsprechend der Schwere des Verschuldens. Die Quote ist im Einzelfall verhandelbar und gerichtlich voll überprüfbar.
Unverzüglich, also ohne schuldhaftes Zögern – in der Praxis sofort nach Entdeckung über den in der Police vereinbarten Meldeweg, notfalls zunächst formlos mit Nachreichung der Einzelheiten.
Ja, bei arglistig falschen Angaben in den Risikofragen (so LG Kiel und OLG Schleswig). Dann entfällt der Schutz rückwirkend. Beantworten Sie Risikofragen deshalb nie „ins Blaue hinein“, sondern nach Prüfung durch die IT.
Rechtlicher Hinweis: Dieser Beitrag gibt einen allgemeinen Überblick und ersetzt keine Prüfung des konkreten Versicherungsvertrags im Einzelfall.
