Wer bei der Cyber-Versicherung schummelt, geht leer aus

Ein Versicherer gegen Cyberkriminalität kann die Regulierung des Schadens verweigern, wenn der Kunde bei Vertragsabschluss falsche Angaben macht. Das Landgericht Kiel sah darin eine arglistige Täuschung.

Dieser Artikel gehört zum Themen-Special Cyber-Attacken auf Handwerksbetriebe

Auch Handwerker geraten zunehmend ins Visier von Cyber-Kriminellen: Vor allem kleine und mittlere Betriebe sind attraktive Ziele, da sie meist über weniger ausgefeilte Schutzmechanismen verfügen. Die Folgen können gravierend sein – von längeren Betriebsausfällen über finanzielle Erpressung bis hin zum vollständigen Datenverlust. Mit Cyber-Versicherungen schützen sich Unternehmen vor Hacker-Angriffen und Datenverlust. In den letzten Jahren haben die Versicherer ihre Anforderungen für die Gewährung von Versicherungsschutz erhöht. Als Vorbedingung müssen potenzielle Kunden häufig einen Fragebogen zur Risikobewertung ausfüllen. Dabei sollten sie ehrlich sein, sonst schaden sie sich selbst.

Gibt der Kunde aber bei der Risikoanalyse vor Vertragsschluss unwahre Antworten, kann die Versicherung sich im Schadensfall weigern, den Vorfall zu regulieren, urteilte das Landgericht Kiel.

Der Fall

Ein Kunde beantragte nach einem Cyber-Angriff bei seiner Versicherung die Regulierung des Schadens. Den Vertrag hatte er über einen Makler abgeschlossen. Dieser hatte den Fragenkatalog der Versicherung ausgefüllt, nachdem er Rücksprache mit der IT-Abteilung des Kunden gehalten hatte. Diese erklärte, dass alle Rechner mit aktueller Software zur Erkennung und Vermeidung von Schadsoftware ausgestattet seien. Ebenso seien Sicherheitsupdates ohne schuldhaftes Zögern durchgeführt worden.

Später ergaunerten sich Hacker Zugang zum IT-System des Kunden und nutzten die Rechenkapazitäten des Unternehmens. Eine Begutachtung des IT-Systems ergab, dass der Betrieb eine veraltete Serversoftware nutzte und dass es keine Anti-Malware-Software gab. Die Versicherung verweigerte daraufhin die Auszahlung der Versicherungssumme. Der Kunde erhob dagegen Klage und verlangte die Auszahlung. 

Das Urteil

Das Landgericht (LG) Kiel gab der Versicherung Recht. Sie muss nicht zahlen, denn sie habe den Versicherungsvertrag wirksam angefochten – wegen arglistiger Täuschung durch den Kunden. Das Gericht musste dabei zwischen fahrlässigen und arglistigen Falschangaben des Kunden beim Abschluss der Cyber-Versicherung unterscheiden. Diese Abgrenzung ist wichtig, weil davon die Möglichkeit des Versicherers abhängt, sich vom Vertrag zu lösen. 

Bei Arglist wird der Vertrag nichtig

Bei Arglist kann der Vertrag angefochten und rückwirkend nichtig werden (§ 142 Abs. 1 BGB), während bei grober Fahrlässigkeit Rücktritt oder Kündigung möglich sind (§ 19 Abs. 2, Abs. 3 VVG). Bei grober Fahrlässigkeit des Versicherungsnehmers kann der Versicherer den Schaden auch mindern, wenn der Versicherungsfall eintritt (§ 81 Abs. 3 VVG). Das Wissen und Wollen der Arbeitnehmer wird dem Arbeitgeber hierbei zugerechnet.

Der Kunde habe hier bei den Fragen arglistig über den Software- und Update-Status seiner EDV getäuscht, stellte das Gericht klar. Das Unternehmen müsse sich die Auskünfte seiner Mitarbeiter zurechnen lassen. Laut eigener Aussage hatte der Mitarbeiter, der die Antworten gab, weder den Sicherheitsstatus der EDV selbst geprüft, noch konnte er sich daran erinnern, dies beauftragt zu haben. Das Gericht wertete dies so, dass der Mitarbeiter Angaben ins Blaue gemacht und dabei billigend in Kauf genommen habe, dass die Angaben zum EDV-Status unrichtig seien. Dies gelte umso mehr, als es sich um Kernsysteme gehandelt habe.

Praxistipp

Beim Abschluss einer Cyber-Versicherung sollten daher immer zwei Personen prüfen, ob die Angaben im Fragenbogen korrekt sind. Sonst riskiert man, dass man auf dem Schaden sitzen bleibt.

Landgericht Kiel, Urteil vom 23. Mai 2024, Az. 5 O 128/21

Die Berater in den Handwerkskammern helfen Ihnen bei Rechtsfragen gerne weiter!

DHB jetzt auch digital!Einfach hier klicken und für das digitale Deutsche Handwerksblatt (DHB) registrieren!