Cyberversicherung im Gewerbe: Wo die Deckung kippt und wer dann haftet

Bei jedem Betrieb, der in irgendeiner Form digital arbeitet — und sei es nur die Rechnungsstellung. Ein Handwerksunternehmen, das seine Rechnungen online schreibt, ist im Thema. Die Frage lautet nie „ob“, sondern nur, wo der Schwerpunkt liegt.

• Freie Berufe und Dienstleister — Ärzte, Apotheken, Steuerberater, Rechtsanwälte: Hier treibt die Vertraulichkeit sensibler Daten das Risiko. Berufsgeheimnisträger haften doppelt: nach DSGVO und wegen Verletzung von Privatgeheimnissen nach § 203 StGB.
• Produzierendes Gewerbe und Industrie — hier zählt die Verfügbarkeit der Systeme. Im Vordergrund steht die Cyber-Betriebsunterbrechung mit entgangenem Gewinn.
• Handel und E-Commerce — Schwerpunkt Zahlungsverkehr und missbräuchliche Transaktionen.

NIS2 trifft unter anderem Abfallwirtschaft, Lebensmittel und produzierendes Gewerbe ab 50 Mitarbeitenden oder 10 Mio. € Umsatz. Zwei Punkte tragen das Gespräch:

• Die persönliche Haftung der Geschäftsführung. Ein Regressverzicht der Gesellschaft ist dabei häufig unwirksam — die Police schützt also auch den Geschäftsführer selbst.
• Die 24-Stunden-Meldepflicht. Ein mittelständischer Betrieb ohne durchgehend erreichbare Assistance schafft das kaum rechtssicher.

Damit ist die Police kein freiwilliger Schutz mehr, sondern der Nachweis erfüllter Risikomanagement-Pflichten.

• Eigen- und Drittschäden — der eigene Schaden und Ansprüche Dritter, deren Daten betroffen sind.
• Cyber-Erpressung — Kosten im Zusammenhang mit Erpressung, insbesondere Ransomware.
• Cyber-Betriebsunterbrechung — entgangener Gewinn und fortlaufende Kosten, solange der Betrieb durch einen IT-Vorfall stillsteht.
• Cyber-E-Payment — missbräuchliche Transaktionen im Zahlungsverkehr.

Den Preis rechtfertigt in der Praxis die Assistance: IT-Forensik zur Ursachenforschung, Krisenkommunikation nach einem Reputationsschaden, rechtliche Begleitung der DSGVO-Meldung, Wiederherstellung von Daten und Systemen. Der größte Kostenblock ist dabei die Forensik, nicht die Wiederherstellung — ab etwa 2.500 € pro Tag.

Zwischen technischem Hack und Social Engineering ist streng zu trennen. Wird ein Mitarbeiter durch Täuschung dazu gebracht, aktiv Geld zu überweisen — Stichwort Fake President Fraud —, ohne dass die IT kompromittiert wurde, greifen viele Basis-Cyber-Policen nicht.

Dieses Risiko gehört primär in die Vertrauensschadenversicherung. In der Beratung ist deshalb immer zu klären: Enthält der Tarif ein Zusatzmodul für Social Engineering, oder braucht es eine parallele Deckung? Ebenso durchrutschend im Alltag: Sind private Geräte, die beruflich genutzt werden, ausdrücklich mitversichert?

Die Obliegenheiten nicht wirklich mit dem Kunden geklärt zu haben. Ist der Betrieb gar nicht versicherbar und wurden die Obliegenheiten weder besprochen noch nachgesehen, hat der Makler ein Haftungsproblem — nicht der Kunde.

Typisch verlangt werden aktuelle Schutzsoftware auf allen Systemen, eine Firewall auf allen beruflich genutzten internetfähigen Geräten, eine vollständige Datensicherung mindestens wöchentlich und das zeitnahe Einspielen sicherheitsrelevanter Updates.

Das sind keine Empfehlungen, sondern Obliegenheiten nach § 28 VVG — ihre Verletzung kann zur Leistungsfreiheit führen. Der kritische Punkt ist das Patch-Management: Die Fristen werden im Alltag regelmäßig gerissen, und genau daran scheitert im Schadenfall die Leistung. Wie lang die Frist ist, unterscheidet sich je Bedingungswerk erheblich — im Gespräch gehört die Frist des konkreten Vertrags genannt, nicht eine Marktüblichkeit.

§ 61 VVG verpflichtet zur Bedarfsermittlung. Da Cyber-Risiken systematisch unterschätzt werden, muss aktiv auf die Lücke zwischen Eigenwahrnehmung und Realität hingewiesen werden. Die Risikoanalyse ist hier kein Vertriebswerkzeug, sondern Beweismittel.

In Branchenbefragungen taucht regelmäßig dieselbe Schere auf: Gefragt nach dem Risiko für die eigene Branche, schätzen Unternehmer es deutlich höher ein als das Risiko für das eigene Unternehmen. Dieselbe Person hält also ihr Haus für sicherer als die Branche, in der es steht.

Genau in diese Lücke gehört die Frage im Erstgespräch: „Was macht Ihr Betrieb anders als die anderen in Ihrer Branche?“ Meist folgt Schweigen — und danach lässt sich sachlich reden.

Zwei weitere Fragen machen den Bedarf greifbar. Erstens die Melde-Falle: „Wüssten Sie exakt, wie und an wen Sie am Sonntag um drei Uhr nachts die DSGVO-Meldung schicken müssen — und wer haftet, wenn die Frist verstreicht?“ Zweitens der Kunden-Sturm: „Wenn nach einem Datenverlust hundert wütende Kunden gleichzeitig anrufen — wer in Ihrem Team beantwortet das rechtssicher?“