Cyberversicherungen - Versicherungsbedingungen

Im Alltag begegnen uns – insbesondere im Kontext von Cyberversicherungen – häufig Anforderungen wie:

• „alle Sicherheitspatches werden innerhalb von höchstens 31 Tagen nach Verfügbarkeit eingespielt und aktiviert“
• „eine Sicherheitsfunktion wird verwendet, um den Zugriff von allen Arbeitsplatzrechnern auf bekannte schädliche URLs jederzeit zu blockieren.“
• „alle Sicherheitsmaßnahmen sind jederzeit wirksam“

Solche Formulierungen vermitteln den Eindruck, IT‑Sicherheit sei vollständig beherrschbar – ein Zustand, der in der Praxis grundsätzlich nicht erreichbar ist.

Beispiel 1: Software‑ und Patch‑Management

Ein typischer Windows‑PC umfasst ca. 50 bis über 150 Anwendungen und Komponenten. Viele Programme enthalten zusätzlich Drittbibliotheken, deren Schwachstellen und Updatezyklen weder transparent noch zentral steuerbar sind. Eine vollständige, regelmäßige oder gar fristgerechte Aktualisierung aller Komponenten ist daher systembedingt nicht möglich.

Beispiel 2: URL‑Filter und Sicherheitslösungen

Moderne Sicherheitslösungen wie URL‑Filter (z. B. Sophos) bieten einen hohen Schutz und werden mehrfach täglich aktualisiert. Die Einstufung schädlicher URLs erfolgt jedoch zwangsläufig mit zeitlicher Verzögerung, womit eine „jederzeit vollständige Blockierung“ rein technisch nicht realisierbar ist.

Damit verbleibt selbst bei sehr guten Sicherheitsprozessen stets ein Restrisiko und eine systembedingte Unvollständigkeit. Dies gilt für jede IT‑Landschaft – unabhängig von Größe oder Branche. Ein vollständig aktueller Zustand aller Systeme würde zudem einen permanenten Update‑ und Prüfaufwand erfordern, der nicht nur den Betrieb erheblich beeinträchtigen sondern insbesondere wirtschaftlich nicht vertretbar wäre.

Versicherungen definieren dennoch solche idealisierten Szenarien häufig als Maßstab. Im Schadenfall wird dann geprüft, ob die Anforderungen vollständig erfüllt wurden. Abweichungen – selbst wenn sie technisch unvermeidbar sind – können zu Leistungseinschränkungen oder sogar zur Leistungsablehnung führen.

Dies muss auch so sein: Etwa 50 % aller Unternehmen in Deutschland verfügen über eine Cyberversicherung. Dem gegenüber stehen lt. Bitkom jährliche Schäden durch Cyberangriffe von rund 200 Mrd. €, während die gesamten Prämieneinnahmen nur etwa 1 Mrd. € betragen. Die Schäden übersteigen die Prämien also um ein Vielfaches. Daraus folgt zwangsläufig:

• die Einhaltung der Anforderungen wird im Schadenfall sehr strikt geprüft
• Leistungen sind begrenzt
• nicht alle Schäden werden von den Versicherern beglichen

Andernfalls wäre die wirtschaftliche Tragfähigkeit des Versicherungssystems gar nicht darstellbar.

Wir setzen Sicherheitsmaßnahmen strukturiert, risikobasiert und gemäß anerkannten Standards (z. B. ISO 27001) um. Dabei geben wir jedoch keine unrealistischen Vollständigkeitszusagen ab. Dies wäre nicht nur unseriös, sondern auch praktisch nicht umsetzbar.

Eine Haftung für Schäden, die trotz angemessener Sicherheitsmaßnahmen aus verbleibenden, systembedingt nicht vollständig beherrschbaren Risiken oder aus nicht vollständig vermeidbaren menschlichen Fehlern entstehen, können wir daher nicht übernehmen.

Sollten Sie Fragen haben, stehen wir gerne zur Verfügung.