Cyberversicherung für KMU: Fünf Fragen vor dem Vertragsabschluss

Das Wichtigste auf einen Blick

• Klären Sie die eigene Risikolage, bevor Sie über Leistungen verhandeln.
• Die GDV-Musterbedingungen AVB Cyber verlangen vor Eintritt des Schadenfalls konkrete IT-Sicherheitsvorkehrungen.
• Nach § 7 Abs. 1 VVG müssen die Vertragsbestimmungen vor Ihrer Vertragserklärung in Textform vorliegen.
• Ausschlüsse, Selbstbehalt und Datenwiederherstellung prüfen.

1. Wie groß ist unser Risiko wirklich?

Klären Sie vor dem Tarifvergleich die eigene Lage. Versicherer fragen im Antrag nach Systemen, Daten und Abläufen. Der GDV stellt einen unverbindlichen Muster-Fragebogen zur Risikoerfassung für KMU bereit, der Betriebe nach Jahresumsatz in die Kategorien A bis C einstuft.

Der GDV veröffentlicht zudem unverbindliche Musterbedingungen für die Cyberrisiko-Versicherung (AVB Cyber, Stand Februar 2024). Sie sind für Versicherer fakultativ, abweichende Vereinbarungen sind möglich.

Sammeln Sie zuerst Angaben zu Systemen, Zugängen und bekannten Vorfällen. Notieren Sie, welche Prozesse bei einem Ausfall zuerst stillstehen. Diese Liste ist die Grundlage für den Antrag.

2. Welche Präventionsauflagen verlangt der Versicherer?

Präventionsauflagen stehen im Bedingungstext. Die GDV-Musterbedingungen AVB Cyber (Stand Februar 2024) verlangen in Abschnitt A1-16 vor Eintritt des Versicherungsfalls unter anderem einen mindestens wöchentlichen Sicherungsprozess, Schutz gegen Schadsoftware und ein Patch-Management.

Prüfen Sie die vertraglichen Obliegenheiten und vereinbarten Rechtsfolgen. Sieht der Vertrag Leistungsfreiheit vor, kann nach § 28 Abs. 2 VVG Vorsatz zur Leistungsfreiheit, grobe Fahrlässigkeit zur anteiligen Kürzung führen. Bei fehlender Ursächlichkeit bleibt die Leistungspflicht nach Absatz 3 bestehen, außer bei Arglist.

Prüfen Sie jede Auflage auf dauerhafte Erfüllbarkeit. Legen Sie vor Vertragsschluss fest, wer welche Vorgabe kontrolliert.

Notieren Sie je Auflage: Wer ist zuständig, wie wird dokumentiert, wie oft wird kontrolliert? Diese Aufzeichnungen brauchen Sie als Nachweis.

Frage	Prüfkriterium	Nachweis
Zugänge	Hat jeder Nutzer eine eigene Kennung mit Passwort?	Systemrichtlinie, Benutzerliste
Backups	Werden Sicherungen isoliert und regelmäßig getestet?	Protokoll, Log
Schulungen	Nehmen alle Mitarbeitenden teil?	Teilnehmerliste

3. Was deckt der Tarif im Detail ab?

Cyberpolicen unterscheiden sich stark in Leistungen und Definitionen. Maßgeblich ist der Bedingungstext, nicht die Werbebroschüre. Nach § 7 Abs. 1 VVG muss der Versicherer die Vertragsbestimmungen einschließlich der AVB rechtzeitig vor Ihrer Vertragserklärung in Textform mitteilen.

Ein häufiges Missverständnis betrifft Daten. Nach Abschnitt A4-2 der AVB Cyber sind die notwendigen Aufwendungen zur Wiederherstellung betroffener Daten und zur Entfernung von Schadsoftware versichert, ohne dass ein Sachschaden am Datenträger nötig ist. Versichert sind nach A4-2.2 Daten, zu deren Nutzung Ihr Unternehmen berechtigt ist. Klären Sie je Vertrag, ob eine reine Sachversicherung diesen Punkt abdeckt.

Prüfen Sie dennoch je Vertrag, welche Daten versichert sind und welche Ausschlüsse gelten. Klären Sie zudem, ob Wiederherstellungskosten, Betriebsunterbrechung und Haftung getrennt geregelt sind und welche Meldefristen gelten.

4. Welche Ausschlüsse sind heikel?

Ausschlüsse sind der Kern jeder Police. Manche Klauseln greifen gerade bei Schäden, die kleine Betriebe treffen. Prüfen Sie grobe Fahrlässigkeit, verspätete Meldungen und Datenverlust ohne Sachschaden am Datenträger.

Hinterfragen Sie unklare Formulierungen und lassen Sie sich die Antwort schriftlich geben. Nach § 1a Abs. 3 VVG müssen alle Informationen zur Vertriebstätigkeit, einschließlich Werbemitteilungen, redlich und eindeutig sein.

Rechenbeispiel: Bei 100.000 Euro Deckungssumme und einem Selbstbehalt von 10 Prozent des Schadens verbleiben bei einem Schaden von 40.000 Euro rechnerisch 4.000 Euro bei Ihnen (40.000 Euro × 10 Prozent = 4.000 Euro). Das frei gewählte Beispiel zeigt nur die Wirkung eines prozentualen Selbstbehalts.

5. Wer hilft im Streitfall?

Gerät die Regulierung ins Stocken, brauchen Sie einen klaren Weg. Nach § 6 Abs. 1 VVG muss der Versicherer Sie vor Abschluss des Vertrags, soweit Anlass besteht, nach Ihren Wünschen und Bedürfnissen befragen, beraten und die Gründe für jeden Rat angeben. Verletzt er diese Pflicht, kann er nach § 6 Abs. 5 VVG schadensersatzpflichtig sein. Für Großrisiken und Verträge, die ein Versicherungsmakler vermittelt, gilt diese Beratungspflicht nicht (§ 6 Abs. 6 VVG).

Bewahren Sie Antrag, Police, Nachweise zu Präventionsauflagen und den Schriftwechsel zur Meldung auf. § 19 VVG regelt die Anzeigepflicht vor Vertragsschluss, § 23 VVG die Gefahrerhöhung.

Kontrollieren Sie Ihre Maßnahmen regelmäßig und dokumentieren Sie die Ergebnisse. Prüfen Sie bei jeder Verlängerung, ob Ihre Angaben stimmen. Unabhängige Beratung erbringt der Versicherer nicht: Nach § 6 VVG schuldet er Beratung und Dokumentation. Für unabhängigen Rat kommt ein Versicherungsberater nach § 59 Absatz 4 VVG infrage. Er berät zu Verträgen und Ansprüchen oder vertritt Sie außergerichtlich, ohne wirtschaftliche Vorteile vom Versicherer zu erhalten oder von ihm abhängig zu sein.

Häufige Fragen

Muss ich Präventionsauflagen einhalten? Erfüllen Sie vereinbarte Präventionspflichten und dokumentieren Sie die Umsetzung. Für Leistungsfreiheit oder Kürzung gelten die oben erläuterten Voraussetzungen und Ausnahmen des § 28 VVG.

Wie halte ich Zusagen aus dem Verkauf fest? Bitten Sie um schriftliche Bestätigung und vergleichen Sie Zusagen mit den Vertragsbedingungen. Nach § 1a Abs. 3 VVG müssen Werbemitteilungen redlich, eindeutig und nicht irreführend sein.

Wo bekomme ich unabhängige Hilfe und was leistet der Versicherer? Trennen Sie beides. Assistance-Leistungen erbringt der Versicherer selbst: Nach den unverbindlichen Musterbausteinen des GDV organisiert er etwa die Wiederherstellung elektronischer Daten oder das Löschen rechtswidriger Inhalte, ohne Erfolgsgarantie.