Kurz gesagt
Eine Cyberversicherung zahlt nicht bedingungslos. In jeder Police stehen Obliegenheiten, also Pflichten, die Sie als Versicherungsnehmer erfüllen müssen. Die Musterbedingungen des Gesamtverbands der Versicherer (GDV) nennen individuelle Zugänge mit Passwortregeln, zusätzlichen Schutz für alles, was aus dem Internet erreichbar ist, Schutz gegen Schadsoftware, zeitnahe Sicherheitsupdates und eine mindestens wöchentliche, räumlich getrennte Datensicherung. Wer eine davon grob fahrlässig verletzt, riskiert im Schadensfall eine Kürzung; wer schon im Antrag falsche Angaben gemacht hat, riskiert den ganzen Vertrag. Das Landgericht Kiel hat 2024 genau das entschieden: 400.000 € Schaden, kein Cent von der Versicherung, weil ein Server ohne Updates lief, obwohl im Antrag „ja“ stand. Die gute Nachricht: Alles, was die Police verlangt, ist Alltag eines sauber betriebenen IT-Betriebs, und alles davon lässt sich belegen.
Was eine Cyberversicherung abdeckt, und was nicht
Die typische Police für einen mittelständischen Betrieb deckt drei Dinge: den eigenen Schaden (Wiederherstellung von Daten und Systemen, Forensik, Benachrichtigung Betroffener), die Betriebsunterbrechung (entgangener Gewinn und laufende Kosten während des Stillstands) und die Haftpflicht gegenüber Dritten, etwa Kunden, deren Daten abgeflossen sind. Dazu kommt bei den meisten Versicherern eine Krisenhotline mit Forensikern und Anwälten, die ab der ersten Stunde helfen. Das ist der Teil, der im Ernstfall am meisten wert ist.
Was die GDV-Musterbedingungen ausschließen, und viele Policen entsprechend:
- Lösegeld. Die Musterbedingungen schließen Lösegeldzahlungen aus. Einzelne Versicherer decken sie gegen Aufpreis; prüfen Sie Ihre Police, und rechnen Sie nicht damit.
- Krieg und staatliche Angriffe. Schäden durch einen Staat oder in dessen Auftrag sind seit der Fassung 2024 ausdrücklich ausgeschlossen. Die Beweislast für die Zuordnung liegt beim Versicherer.
- Ausfall Ihrer Dienstleister. Fällt Ihr Cloud-Anbieter oder Rechenzentrum aus, ist das in den Musterbedingungen kein Versicherungsfall für Sie. Der Dienstleister haftet nach seinem Vertrag.
- Überweisungsbetrug ohne Einbruch. Der klassische Fall: Eine gefälschte E-Mail des „Lieferanten“ nennt eine neue Bankverbindung, die Buchhaltung überweist. Das Landgericht Hagen hat 2024 entschieden, dass ohne nachgewiesene Verletzung der Netzwerksicherheit kein Versicherungsfall vorliegt; 85.000 € blieben beim Unternehmen. Manche Policen decken das als Zusatzbaustein.
Die drei Momente, in denen die Police entscheidet
Ob die Versicherung zahlt, entscheidet sich an drei Stellen. Die meisten Betriebe kümmern sich nur um die erste, und die auch nur beim Abschluss:
Der Antrag
Im Risikofragebogen beantworten Sie Fragen zu Ihrer IT. Jede Antwort ist eine Erklärung, auf die der Versicherer den Vertrag baut. Falsche Angaben können den Vertrag anfechtbar machen, und zwar rückwirkend, auch wenn der Fehler nichts mit dem späteren Schaden zu tun hat, sobald Arglist im Spiel ist.
Die Laufzeit
In der Police stehen Obliegenheiten, die Sie während der gesamten Laufzeit einhalten müssen. Was beim Abschluss stimmte, muss auch drei Jahre später stimmen. Der Server, der 2024 aktuell war, ist 2027 ohne Updates eine Obliegenheitsverletzung.
Der Schadenfall
Nach dem Angriff gelten Anzeigepflichten, Mitwirkungspflichten und Weisungen des Versicherers. Wer die Spuren löscht, bevor der Forensiker da war, oder den Vorfall erst nach zwei Wochen meldet, gefährdet die Leistung noch einmal.
Der Antrag: was der Risikofragebogen fragt
Der GDV stellt einen unverbindlichen Risikofragebogen bereit, an dem sich viele Versicherer orientieren. Die Fragen dort sind konkret, und sie sind der Maßstab, an dem Ihre Angaben später gemessen werden. Die wichtigsten, mit dem, was Sie brauchen, um ehrlich „ja“ zu sagen:
| Frage im GDV-Fragebogen (sinngemäß) | Was dahinter steckt | Was Sie brauchen |
|---|---|---|
| Hat jeder Nutzer und Administrator eine eigene Zugangskennung mit individuellem Passwort? | Kein gemeinsames Konto für die Buchhaltung, kein „Werkstatt“-Login für alle | Ein Konto je Person, Sperrung beim Austritt, Liste der Konten |
| Werden Passwort-Mindestanforderungen technisch erzwungen? | Nicht als Anweisung, als Einstellung im System | Richtlinie in Active Directory oder Microsoft 365 |
| Sind Administratorrechte nur Administratoren vorbehalten, und nutzen diese sie nur für Administration? | Der Geschäftsführer arbeitet nicht als Domänenadministrator | Getrennte Admin-Konten, regelmäßige Prüfung |
| Sind über das Internet erreichbare und mobile Systeme zusätzlich gegen unberechtigten Zugriff geschützt? | Firewall, VPN, Mehrfaktor-Anmeldung | Betreute Firewall, Mehrfaktor für Fernzugriff und E-Mail |
| Machen Sie mindestens einmal pro Woche eine Sicherungskopie? | Die Mindestanforderung; täglich ist Standard | Managed Backup mit Überwachung |
| Bewahren Sie die Sicherung physisch getrennt vom gesicherten System auf? | Eine Kopie außer Haus oder vom Netz getrennt | Kopie in der Cloud, vom Server aus nicht löschbar |
| Verhindern Sie Manipulation und unberechtigten Zugriff auf die Sicherung? | Eigene Zugangsdaten, kein Netzlaufwerk | Getrenntes Netzsegment, unveränderbare Kopie |
| Testen Sie regelmäßig die Wiederherstellung? | Die Frage, an der die meisten scheitern | Restore-Test mit Protokoll |
| Werden Sicherheitsupdates automatisch und zeitnah eingespielt, alle Systeme auf aktuellem Stand? | Auch der eine alte Server. Ein System ohne Herstellersupport bekommt keine Updates mehr | Patch-Management mit Protokoll, keine Systeme nach Supportende |
| Haben alle Computer, Handys und Systeme einen automatisch aktualisierten Schutz gegen Schadsoftware? | Alle, nicht die meisten | Endgeräteschutz mit Lizenz auf jedem Gerät |
| Schulen Sie regelmäßig alle Mitarbeiter zur Informationssicherheit? | Phishing ist der häufigste Einstieg | Jährliche Schulung mit Teilnehmerliste |
| Haben Sie schriftliche IT-Notfall- und Wiederanlaufkonzepte mit benannten Verantwortlichen? | Wer ruft wen an, in welcher Reihenfolge | Ein Notfallblatt, zwei Seiten reichen |
Die Fragen beantwortet oft der Geschäftsführer, mit dem Makler am Tisch, in einer halben Stunde. Was er dabei nicht weiß, kreuzt er mit „ja“ an, weil es plausibel klingt. Juristen nennen das Angaben „ins Blaue hinein“, und das ist der Punkt, an dem aus einer Ungenauigkeit Arglist wird. Beantworten Sie den Bogen mit dem, der Ihre IT betreut, und heben Sie eine Kopie der Antworten auf.
Die Laufzeit: was die Musterbedingungen verlangen
Der GDV hat seine Allgemeinen Versicherungsbedingungen für die Cyberrisiko-Versicherung (AVB Cyber) zuletzt im Februar 2024 neu gefasst; die erste Fassung stammt von 2017. Neu waren 2024 Regelungen zu mobilem Arbeiten, externen Dienstleistern, Krieg und staatlichen Angriffen und die neu formulierten Obliegenheiten. Diese verlangen als Pflichten vor dem Versicherungsfall:
- Individuelle Zugänge für alle Nutzer, Passwörter mit Mindestanforderungen
- Zusätzlichen Schutz gegen unberechtigten Zugriff für Server und alle über das Internet erreichbaren oder mobil eingesetzten Geräte
- Schutz gegen Schadsoftware, der sich automatisch aktualisiert
- Ein Verfahren, mit dem Sicherheitsupdates zeitnah eingespielt werden
- Eine mindestens wöchentliche Datensicherung, räumlich getrennt vom Original
- Einhaltung gesetzlicher Sicherheitsvorschriften und Beseitigung gefahrdrohender Umstände, wenn der Versicherer es verlangt
Das sind Musterbedingungen. Jeder Versicherer formuliert seine eigenen, und viele sind seit 2023 strenger geworden: Mehrfaktor-Anmeldung für Fernzugriffe, E-Mail und Administratoren als Pflicht, eine Sicherung, die vom Netz getrennt oder unveränderbar ist, Fristen für kritische Updates, etwa 14 oder 30 Tage nach Veröffentlichung, und ein Verbot von Systemen ohne Herstellersupport. Was für Sie gilt, steht in Ihrer Police unter „Obliegenheiten“ oder „Pflichten des Versicherungsnehmers“, und oft zusätzlich in einem Anhang „IT-Sicherheitsmindeststandards“.
Seit dem 14. Oktober 2025 betrifft das jeden Betrieb mit Windows 10, ab dem 12. Januar 2027 jeden mit Windows Server 2016: Ohne erweiterten Support bekommen diese Systeme keine Sicherheitsupdates mehr, und damit ist die Obliegenheit „alle Systeme auf aktuellem Stand“ nicht mehr erfüllbar. Mehr dazu im Artikel Windows 10 und Server 2016: Supportende.
Was passiert, wenn eine Obliegenheit verletzt wird
Das regelt § 28 des Versicherungsvertragsgesetzes, und die AVB Cyber übernehmen es:
| Verschulden | Folge | Beispiel |
|---|---|---|
| Vorsatz | Versicherer ist leistungsfrei | Der Virenschutz wurde bewusst abgeschaltet, weil er die Branchensoftware störte |
| Grobe Fahrlässigkeit | Kürzung im Verhältnis zur Schwere des Verschuldens, von 25 bis 100 Prozent | Server seit einem Jahr ohne Updates, Sicherung auf derselben Festplatte wie die Daten, Administratorpasswort „Firma2024“ |
| Einfache Fahrlässigkeit | Leistung bleibt bestehen | Ein Update wurde um zwei Wochen verschoben, weil es die Software stört |
Zwei Dinge daran sind wichtig. Erstens: Die Beweislast, dass keine grobe Fahrlässigkeit vorlag, trägt der Versicherungsnehmer, also Sie. Zweitens: Die Leistung bleibt bestehen, wenn Sie nachweisen, dass die Verletzung weder für den Eintritt noch für den Umfang des Schadens ursächlich war. Dieser Kausalitätsgegenbeweis ist Ihr stärkstes Werkzeug, aber er gilt nicht bei Arglist. Wer im Antrag wissentlich falsch geantwortet hat, kann ihn nicht führen.
Und das alles diskutieren Sie in dem Moment, in dem Ihr Betrieb steht, mit einem Versicherer, der jeden Beleg sehen will. Deshalb geht es weniger um die Frage, ob Sie die Pflichten erfüllen, als darum, ob Sie es belegen können.
Drei Urteile, die zeigen, wo die Grenze liegt
Landgericht Kiel, 23. Mai 2024, 5 O 128/21: der Vertrag ist weg
Ein Unternehmen gab im Antrag 2020 an, alle Rechner hätten aktuellen Virenschutz und Sicherheitsupdates würden unverzüglich eingespielt. Tatsächlich lief der zentrale Webshop-Server auf Windows Server 2008, ohne Updates seit Supportende und ohne Virenscanner. Nach einem Angriff mit rund 400.000 € Schaden focht der Versicherer den Vertrag an. Das Gericht gab ihm recht: Die Fragen seien „ins Blaue hinein“ beantwortet worden, das sei arglistige Täuschung, der Vertrag nichtig. Das Unternehmen trug den Schaden allein, und es spielte keine Rolle, ob der alte Server der Einstiegspunkt war.
Landgericht Tübingen, 4 O 193/21 (2023): der Versicherer muss zahlen
Von 21 Servern hatten 11 keine aktuellen Updates. Der Versicherer verweigerte die Leistung. Der Sachverständige stellte aber fest: Der Angriff war auch auf aktuell gepatchten Servern erfolgreich, die fehlenden Updates hätten weder den Angriff verhindert noch den Schaden verringert. Keine Kausalität, keine Kürzung; zugesprochen wurden rund 2,86 Mio. €. Das Gericht merkte außerdem an, dass fehlende Mehrfaktor-Anmeldung und fehlendes Monitoring schon beim Abschluss bestanden und der Versicherer sie durch Risikofragen hätte klären können. Die Berufung lief beim OLG Stuttgart.
Landgericht Hagen, 15. Oktober 2024, 9 O 258/23: kein Versicherungsfall
Betrüger gaben sich per E-Mail als polnischer Lieferant aus und nannten eine neue Bankverbindung; das Unternehmen überwies 85.000 €. Die Klage gegen den Versicherer wurde abgewiesen: keine nachgewiesene Verletzung der Netzwerksicherheit, kein Kausalitätsnachweis, dazu mögliche Obliegenheitsverletzungen. Betrug über gefälschte E-Mails ist ohne Zusatzbaustein meist nicht gedeckt.
Die Lehre aus den dreien: Der Unterschied zwischen Kiel und Tübingen war nicht der Zustand der Server. In beiden Fällen waren Systeme veraltet. Der Unterschied war, was im Antrag stand. Wer ehrlich angibt, was er hat, behält die Möglichkeit, im Streitfall die fehlende Kausalität zu beweisen. Wer „ja“ ankreuzt, ohne es zu wissen, hat diese Möglichkeit nicht mehr.
Der Schadenfall: die ersten 24 Stunden
Nach dem Angriff gelten die Obliegenheiten nach Eintritt des Versicherungsfalls. Die Reihenfolge, die wir mit betreuten Betrieben abgesprochen haben:
Betroffene Geräte vom Netz nehmen, aber nicht ausschalten, nicht neu aufsetzen, nichts bereinigen. Der Versicherer will Forensik, und Forensik braucht Spuren. Wer vorher „aufräumt“, verletzt die Pflicht zur Schadenminderung und zur Mitwirkung.
Die Police verlangt unverzügliche Anzeige. Die meisten Versicherer haben eine Hotline rund um die Uhr, die Forensiker und Anwälte stellt. Die Nummer gehört auf das Notfallblatt, neben die unseres Technikers.
Ab jetzt bestimmt der Versicherer mit, welcher Forensiker kommt und was zuerst passiert. Eigene Dienstleister stimmen Sie mit ihm ab. Wir arbeiten in dem Fall dem Forensiker zu, mit Protokollen aus Überwachung, Endgeräteschutz und Sicherung.
Wer hat wann was bemerkt, getan, entschieden. Ein Protokoll ab der ersten Stunde ist später der Beleg für Schadenminderung und Mitwirkung.
Sind personenbezogene Daten betroffen, gilt die Meldung an die Datenschutzaufsicht binnen 72 Stunden. Fallen Sie unter NIS2, gilt die Erstmeldung ans BSI binnen 24 Stunden. Beides läuft parallel zur Versicherung.
Wie Sie die Obliegenheiten nachweisen
Im Schadensfall prüft der Versicherer Belege, nicht Absichten. Was hilft:
- Der Betreuungsvertrag mit Leistungsschein, aus dem hervorgeht, dass Updates, Endgeräteschutz und Sicherung laufend und von einem Dienstleister erledigt werden, mit Reaktionszeiten
- Protokolle aus der Überwachung: Patchstand je Gerät mit Datum, Status des Endgeräteschutzes, letzte erfolgreiche Sicherung
- Das Protokoll des letzten Restore-Tests, mit Datum, Umfang und Dauer
- Eine Liste der Benutzer- und Administratorkonten mit dem Datum der letzten Prüfung und der Mehrfaktor-Einstellung
- Die Teilnehmerliste der letzten Mitarbeiterschulung
- Eine Kopie des beantworteten Risikofragebogens und der Bericht, auf dessen Grundlage er ausgefüllt wurde
- Der Bericht eines Sicherheitschecks, in dem die Obliegenheiten Ihrer Police Punkt für Punkt abgeglichen sind: erfüllt, nicht erfüllt, unklar
Für betreute Betriebe liefern wir die ersten fünf Punkte aus dem laufenden Betrieb, auf Anfrage als Zusammenfassung für den Makler. Es ist dieselbe Mappe, die auch für den NIS2-Fragebogen eines Kunden passt; die Fragen überschneiden sich zu großen Teilen.
Selbsttest: sieben Fragen aus Sicht des Versicherers
- Liegt die Police mit dem Anhang zu den IT-Mindeststandards griffbereit, und haben Sie beide gelesen?
- Wer hat den Risikofragebogen beantwortet, und würde Ihr IT-Betreuer jede Antwort heute unterschreiben?
- Läuft irgendwo ein System ohne Herstellersupport, etwa Windows 10, Server 2012 oder 2016 ohne erweiterten Support?
- Können Sie für jedes Gerät den Patchstand mit Datum zeigen?
- Gibt es eine Sicherung, die vom Server aus nicht löschbar ist, und ein Protokoll des letzten Restore-Tests?
- Ist Mehrfaktor-Anmeldung für E-Mail, Fernzugriff und alle Administratorkonten aktiv?
- Steht die Nummer der Krisenhotline Ihres Versicherers auf dem Notfallblatt, und weiß Ihr Vertreter, wo es liegt?
Sieben Mal ja: Ihre Police hält. Ein Nein bei Frage 2 oder 3: Das sollten Sie diese Woche klären, mit dem Makler und mit uns. Drei Mal nein: Sicherheitscheck mit Versicherungsabgleich, bevor der nächste Jahresbeitrag fällig wird.
Standpunkt von MintCode Solutions
Unsere Einschätzung
Die Obliegenheiten einer Cyberversicherung sind keine Zusatzanforderung. Sie beschreiben, was ein Betrieb ohnehin haben sollte, damit er nach einem Angriff wieder arbeiten kann. Wer sie erfüllt, hat zwei Dinge: eine Versicherung, die zahlt, und einen Betrieb, der seltener einen Schaden meldet. Wer sie nicht erfüllt, hat eine Police, die im Ernstfall zur Diskussion wird, und zahlt den Beitrag für ein Stück Papier.
Das größere Risiko als die Obliegenheit ist der Antrag. Ein falsches „ja“ im Fragebogen hat in Kiel den gesamten Vertrag gekostet. Deshalb unser Rat, unabhängig davon, ob Sie mit uns arbeiten: Füllen Sie den Fragebogen nie allein aus. Lassen Sie den, der Ihre IT betreut, jede Antwort gegenzeichnen. Und gleichen Sie die Police einmal im Jahr gegen den Ist-Zustand ab. Dafür gibt es bei uns den Versicherungsabgleich im Sicherheitscheck: Police mitbringen, und jede Obliegenheit bekommt ein Häkchen oder eine Maßnahme mit Preis.
Quellen
- GDV, Medieninformation „Versicherungsschutz gegen Cyberangriffe: GDV veröffentlicht neue Musterbedingungen“, 19. Februar 2024: gdv.de
- GDV, Allgemeine Versicherungsbedingungen für die Cyberrisiko-Versicherung (AVB Cyber), unverbindliche Musterbedingungen, Fassung Februar 2024, Abschnitte A1-16 (Obliegenheiten vor dem Versicherungsfall), A1-17 (Ausschlüsse), B3-3 und B3-4 (Obliegenheiten, Rechtsfolgen)
- GDV, Risikofragebogen Cyber, unverbindliche Musterversion, Dezember 2019: gdv.de (PDF)
- § 28 Versicherungsvertragsgesetz (VVG), Verletzung einer vertraglichen Obliegenheit; §§ 19 bis 22 VVG, Anzeigepflicht und Arglistanfechtung: gesetze-im-internet.de
- Landgericht Kiel, Urteil vom 23. Mai 2024, 5 O 128/21; Besprechung bei Gleiss Lutz: gleisslutz.com
- Landgericht Tübingen, Urteil 4 O 193/21 (2023), Berufung OLG Stuttgart 7 U 262/23; Besprechung bei Rechtsanwalt Ferner: ferner-alsdorf.de
- Landgericht Hagen, Urteil vom 15. Oktober 2024, 9 O 258/23; Besprechung bei Rechtsanwalt Ferner: ferner-alsdorf.de
Stand: 6. Oktober 2026. Kein Rechtsrat. Was für Sie gilt, steht in Ihrer Police; im Zweifel fragen Sie Ihren Makler oder Anwalt. Wir beurteilen die Technik und liefern die Belege.
