Cyberversicherung zahlt nicht? Ihre Rechte bei Leistungsverweigerung

Cyberangriffe sind längst Teil des wirtschaftlichen Alltags und können existenzbedrohende Schäden verursachen. Nach den aktuellen Erkenntnissen des Bundesamtes für Sicherheit in der Informationstechnik bleibt die Gefährdungslage in Deutschland angespannt: Sowohl die Zahl als auch die Qualität der Angriffe nehmen kontinuierlich zu, wobei zunehmend auch kleine und mittlere Unternehmen in den Fokus geraten.

Viele Betroffene verlassen sich daher auf den Schutz ihrer Cyberversicherung. Umso gravierender ist es, wenn der Versicherer im Schadensfall die Leistung ganz oder teilweise verweigert. Obwohl Cyberrisiken – von Ransomware-Angriffen in Verbindung mit Datenleaks über Phishing bis hin zu Systemausfällen – allgegenwärtig sind, enthalten Versicherungsverträge häufig komplexe Obliegenheiten, weitreichende Risikoausschlüsse und auslegungsbedürftige Klauseln, auf die sich Versicherer zur Begründung einer Leistungsablehnung stützen.

Vor dem Hintergrund der verschärften Bedrohungslage stellt sich damit die zentrale rechtliche Frage, ob eine solche Leistungsverweigerung im Einzelfall Bestand hat – oder ob Versicherungsnehmer ihre Ansprüche erfolgreich durchsetzen können.

Was ist eine Cyberversicherung? Leistungen im Überblick

Cyberversicherungen sind kein gesetzlich eigenständig geregelter Vertragstyp, sondern kombinieren unterschiedliche versicherungsrechtliche Elemente zu einem einheitlichen Deckungskonzept. In der Praxis werden insbesondere Bausteine des Sach- bzw. Kostenversicherung, der Betriebsuntergangsversicherung sowie der Haftpflichtversicherung miteinander verknüpft, um die wirtschaftlichen Folgen von Cybervorfällen abzubilden.

Gegenstand des Versicherungsschutzes ist regelmäßig die Absicherung von Vermögensschäden, die infolge von IT-Sicherheitsvorfällen entstehen. Hierzu zählen insbesondere Kosten der Wiederherstellung von IT-Systemen und Daten sowie Aufwendungen zu Schadensbegrenzung. Über eine integrierte Haftpflichtkomponente werden zudem Ansprüche Dritter erfasst. Ergänzend enthalten viele Versicherungsverträge sog. Assistance-Leistungen, die eine unmittelbare Unterstützung im Schadensfall vorsehen.

Im privaten Bereich erstreckt sich der Versicherungsschutz insbesondere auf Risiken wie Identitätsmissbrauch, Online-Betrug oder Datenverlust. Je nach konkreter Ausgestaltung der Versicherungsbedingungen können darüber hinaus auch Leistungen bei Persönlichkeitsrechtsverletzungen im Internet – etwa bei der unbefugten Veröffentlichung personenbezogener Inhalte oder im Zusammenhang mit Cybermobbing – umfasst sein.

Für die rechtliche Bewertung entscheidend ist jedoch weniger der abstrakte Leistungsumfang als vielmehr die konkrete Ausgestaltung der Versicherungsbedingungen. Diese enthalten regelmäßig detaillierte Obliegenheiten, insbesondere im Hinblick auf einzuhaltende IT-Sicherheitsstandards sowie organisatorische Schutzmaßnahmen. Verstöße hiergegen können – je nach Einzelfall – zu einer Kürzung oder gar zum vollständigen Ausschluss der Versicherungsleistung führen und bilden nicht selten den Kern späterer Auseinandersetzungen.

LG Tübingen: Deckungsschutz trotz fehlender Sicherheitsupdates

Mit Urteil vom 26. Mai 2023 hat das Landgericht Tübingen entschieden, dass selbst veraltete Server und fehlende Sicherheitsupdates in der Cyberversicherung nicht zwangsläufig zum Leistungsausschluss führen (Az.: 4 O 193/21). Es handelt sich dabei um die erste veröffentlichte Entscheidung eines deutschen Gerichts zu einem Cyberversicherungsfall, die als Grundsatzurteil maßgebliche Orientierung für die Vertragsauslegung und Schadensregulierung in diesem noch jungen Versicherungszweig bietet.

Im zugrunde liegenden Fall war fast die gesamte IT-Infrastruktur eines mittelständischen Unternehmens infolge eines sog. „Ransomware-Angriffs“ lahmgelegt worden. Die Wiederherstellung der IT-Systeme verursachte Kosten in Millionenhöhe. Der Versicherer verweigert die Leistung jedoch mit der Begründung, Teile der IT-Infrastruktur seien veraltet gewesen und es seien nicht durchgehend aktuelle Sicherheitsupdates eingespielt worden. Darin sah er eine Verletzung vorvertraglicher Anzeigeobliegenheiten sowie eine grobfahrlässige Herbeiführung des Versicherungsfalles. Gleichwohl hat das Landgericht Tübingen die Leistungsverweigerung weitgehend zurückgewiesen und dabei zentrale Leitlinien für die Regulierungspraxis der Cyberversicherung herausgearbeitet.

Zunächst befasste sich das Gericht mit der Frage, ob die Klägerin im Rahmen der Antragstellung arglistig unrichtige Angaben gemacht hatte. Hintergrund war die Frage, ob verfügbare Sicherheitsupdates ohne schuldhaftes Zögern durchgeführt und nur vom Hersteller unterstützte Softwareprodukte verwendet werden. Diese Frage hatte die Klägerin bejaht, obwohl zum Zeitpunkt des Vertragsschlusses bereits mehrere Server nicht mehr auf dem aktuellen Stand waren.

Eine arglistige Täuschung im Sinne des § 19 VVG verneinte das Gericht jedoch. Es genügt nicht, dass eine Risikofrage objektiv falsch beantwortet wurde; hinzukommen muss der Vorsatz, den Versicherer über gefahrerhebliche Umstände täuschen zu wollen. Nach dem Ergebnis der Beweisaufnahme bestanden dafür keine Anhaltspunkte. Vielmehr sei durch den Assekuradeur, der die Klägerin vor Vertragsschluss betreute, der Eindruck entstanden, dass die Versicherung keine besonderen Anforderungen an die IT‑Sicherheit stelle. Zudem war dem Vertreter des Versicherers die Existenz veralteter Server bekannt – dessen Wissen ist dem Versicherer zuzurechnen. Das Gericht nahm daher allenfalls Fahrlässigkeit, aber keine Arglist an.

Zentral für die Entscheidung war die versicherungsvertragsrechtliche Kausalitätsprüfung. Eine mögliche Verletzung vorvertraglicher Anzeigepflichten führt danach nicht automatisch zur Leistungsfreiheit des Versicherers, sofern der Versicherungsnehmer nachweisen kann, dass der nicht angezeigte Umstand weder für den Eintritt des Versicherungsfalls noch für den Umfang des Schadens ursächlich war.

Nach den Feststellungen des vom Gericht beauftragten Sachverständigen beruhte der Cyberangriff nicht auf der fehlenden Aktualisierung einzelner Server, sondern auf der Erlangung von Administratorrechten über eine Phishing-Mail. Die Angreifer nutzen eine sog. „Design-Schwäche“ des Windows-Betriebssystems aus und konnten dadurch sämtliche Systeme kompromittieren – unabhängig davon, ob diese veraltet oder aktuell waren. Von insgesamt 21 untersuchten Server waren zwar elf nicht mit den neuesten Sicherheitsupdates versehen, betroffen waren jedoch alte und neue Systeme gleichermaßen.

Das Gericht schloss sich der Einschätzung des Sachverständigen an, wonach das Versäumen von Sicherheitsupdates weder den Angriff selbst ermöglichte noch den Schaden vergrößerte. Damit war der Klägerin der sog. Kausalitätsgegenbeweis gelungen, sodass eine Leistungsverweigerung mangels Ursächlichkeit der behaupteten Obliegenheitsverletzung nicht begründet war.

Aus diesem Grund scheiterte der Versicherer auch mit dem Einwand aufgrund einer Gefahrerhöhung leistungsfrei zu sein. Nach § 26 Abs. 3 Nr. 1 VVG bleibt die Leistungspflicht bestehen, wenn der Versicherungsnehmer den Kausalitätsgegenbeweis erbringt. Dabei ließ das Gericht ausdrücklich offen, ob die Klägerin ihre Risikolage nach Vertragsschluss überhaupt hätte erhöhen können – was eher zweifelhaft erscheint.

Schlussendlich stellte das Landgericht Tübingen klar, dass auch eine Kürzung der Versicherungsleistung wegen grob fahrlässiger Herbeiführung des Versicherungsfalles ausscheidet, wenn die maßgebliche Risikokonstellation bereits bei Vertragsschluss bestand. § 81 Abs. 2 VVG greift nur, wenn der Versicherungsnehmer durch sein Verhalten nachträglich eine Gefahrerhöhung bewirkt oder den Schaden durch eigenes Verschulden ermöglicht. Zwar hätten technische Maßnahmen zur Verfügung gestanden, die den Schaden auch bei veralteter Software möglicherweise verhindert oder zumindest verringert hätten. Diese Sicherheitsvorkehrungen waren im betroffenen Unternehmen jedoch bereits zum Zeitpunkt des Vertragsschlusses nicht implementiert. Der Versicherer hätte diese Umstände im Rahmen seiner Risikoprüfung erkennen und durch entsprechende Risikofragen oder Vertragsklauseln berücksichtigen können. Unterlässt er dies, trägt ihr das Risiko bewusst mit. Eine nachträgliche Berufung auf vermeintliche Sicherheitsmängel ist in einer solchen Konstellation ausgeschlossen.

Das Urteil des Landgerichts Tübingen setzt klare Grenzen für die Leistungsablehnung in der Cyberversicherung. Versicherer können sich nicht pauschal auf vermeintliche IT-Sicherheitsmängel berufen, sondern müssen nachweisen, dass diese konkret für den Schaden ursächlich waren. Allgemein gehaltene oder unklare Risikofragen gehen dabei zu Lasten des Versicherers. Soll ein bestimmtes Sicherheitsniveau Voraussetzung für die Deckung sein, muss dies klar und vertraglich bestimmt sein. Ohne eine solche Grundlage kann der Versicherer seine Leistung nicht verweigern.

Das Urteil stärkt damit die Rechtsposition von Versicherungsnehmern und setzt zugleich wichtige Maßstäbe für die Auslegung von Anzeigepflichten, Sicherheitsobliegenheiten und Kausalitätsfragen in der Cyberversicherung. Es markiert den Beginn einer sich entwickelnden Rechtsprechung, die insbesondere für Unternehmen mit komplexer IT‑Infrastruktur künftig wegweisend sein dürfte.

LG Kiel: Arglistanfechtung bei falschen Angaben zur IT-Sicherheit

Nach der grundlegenden Entscheidung des Landgerichts Tübingen hatte mit Urteil vom 23. Mai 2024 nunmehr auch das Landgericht Kiel Gelegenheit, zentrale Rechtsfragen der Cyberversicherung zu klären (Az.: 5 O 128/21).

Dem Verfahren lag eine Cyberversicherung zugrunde, die über ein Online-Portal im sog. „Invitatio-Modell“ abgeschlossen wurde. Im Rahmen der Vertragsanbahnung hatte der Versicherungsnehmer verschiedene Risikofragen zur IT-Sicherheit zu beantworten, insbesondere zur Aktualität von Sicherheitsupdates und zum Einsatz von Schutzsoftware. Solche Risikofragen dienen der individuellen Risikobewertung durch den Versicherer. Die Angaben des Versicherungsnehmer sind Grundlage der Risikoprüfung und damit maßgeblich für die Entscheidung des Versicherers, ob und zu welchen Konditionen Versicherungsschutz gewährt wird.

Nach einem Cyberangriff berief sich der Versicherer auf Leistungsfreiheit wegen unzutreffender Beantwortung der Risikofragen, Gefahrerhöhung sowie grob fahrlässiger Herbeiführung des Versicherungsfalles und erklärte zudem den Rücktritt vom Versicherungsvertrag sowie die Anfechtung wegen arglistige Täuschung. Das Gericht folgte im Ergebnis der Argumentation des Versicherers und stellte fest, dass der Versicherungsvertrag aufgrund arglistiger Täuschung von Anfang an als nichtig anzusehen sei, sodass kein Versicherungsschutz bestand.

Im zugrunde liegenden Fall hatte das versicherte Unternehmen im Antragsverfahren angegeben, sämtliche stationären und mobilen Arbeitsrechner seien mit aktueller Schutzsoftware ausgestattet und Sicherheitsupdates würden ohne schuldhaftes Zögern eingespielt. Tatsächlich waren jedoch mehrere zentrale Server bereits zum Zeitpunkt des Vertragsschlusses veraltet, nicht mehr updatefähig und teilweise ohne wirksamen Virenschutz. Die Risikofragen waren damit objektiv unzutreffend beantwortet worden.

Rechtlich entscheidend war daher die Abgrenzung zwischen grober Fahrlässigkeit und arglistiger Täuschung. Während grob fahrlässige Falschangaben unter Umständen lediglich zu einer Kürzung der Versicherungsleistung oder zu einem Rücktrittsrecht des Versicherers führen können, hat eine arglistige Verletzung der vorvertraglichen Anzeigeobliegenheit deutlich weitergehende Folgen. In diesem Fall kann der Versicherer den Vertrag gem. § 22 VVG in Verbindung mit §§ 123 Abs. 1 Alt. 1, 142 Abs. 1 BGB anfechten, sodass dieser rückwirkend als von Anfang an nichtig gilt.

Arglist liegt vor, wenn der Versicherungsnehmer bzw. dessen Vertreter Risikofragen bewusst falsch beantwortet oder Angaben macht, obwohl er weiß, dass er über die tatsächlichen Umstände keine sichere Kenntnis hat und der Versicherer die Angaben seiner Entscheidung über den Vertragsschluss zu Grunde legen wird. Dabei ist anerkannt, dass bereits Angaben „ins Blaue hinein“ den Vorwurf der Arglist begründen können. Wer also im Bewusstsein eigener Unkenntnis gefahrerhebliche Fragen beantwortet, ohne die erforderlichen Informationen zu überprüfen, oder sich der Kenntnis bewusst verschließt, handelt arglistig.

Die rechtlichen Konsequenzen sind erheblich: Eine wirksame Arglistanfechtung führt zur vollständigen Leistungsfreiheit des Versicherers. Anders als beim Rücktritt ist dem Versicherungsnehmer in diesem Fall insbesondere der sog. Kausalitätsgegenbeweis nach § 21 Abs. 2 Satz 2 VVG verwehrt. Es kommt als nicht mehr darauf an, ob die Falschangaben für den späteren Eintritt oder Umfang des Schadens ursächlich waren. Bereits die arglistige Falschbeantwortung gefahrerheblicher Risikofragen führt zum vollständigen Verlust des Versicherungsschutzes (vgl. LG Kiel, r+s 2024, 609, 612).

Vor diesem rechtlichen Hintergrund bejahte das Gericht im entschiedenen Fall eine arglistige Täuschung. Nach den Feststellungen des Landgericht Kiel hatte der verantwortliche IT-Leiter die Risikofragen zur IT-Sicherheit beantwortet, ohne den tatsächlichen Sicherheitszustand der Systeme zu überprüfen, obwohl eine entsprechende Prüfung mit geringem Aufwand möglich gewesen wäre. Das Gericht wertete dieses Verhalten als Angaben „ins Blaue hinein“ und damit als bewusste Unkenntnis in Bezug auf gefahrerhebliche Umstände. Eine solche bewusste Unkenntnis erfüllt nach der Rechtsprechung den Tatbestand der Arglist, da der Versicherungsnehmer damit zumindest billigend in Kauf nimmt, dass der Versicherer seine Entscheidung über den Vertragsschluss auf unzutreffende Angaben stützt. Der Versicherer war daher zur Anfechtung des Versicherungsvertrags berechtigt. Die Anfechtung führte dazu, dass der Versicherungsvertrag als von Anfang an nichtig anzusehen war, sodass ein Leistungsanspruch nicht bestand.

Die Entscheidung des Landgericht Kiel steht damit in einem deutlichen Kontrast zur Rechtsprechung des Landgericht Tübingen. Während das Landgericht Tübingen eine Leistungsfreiheit des Versicherers mangels Kausalität zwischen behaupteten Sicherheitsdefiziten und dem eingetretenen Schaden verneinte, stellte das Landgericht Kiel entscheidend auf das vorvertragliche Verhalten des Versicherungsnehmers ab und bejahte eine arglistige Täuschung.

Der Unterschied liegt damit im rechtlichen Ansatz: Im Fall des Landgerichts Tübingen kam es maßgeblich auf die Frage der Ursächlichkeit einer etwaigen Obliegenheitsverletzung an, sodass der Versicherungsnehmer durch den Kausalitätsgegenbeweis seinen Versicherungsschutz erhalten konnte. Demgegenüber führt die vom Landgericht Kiel angenommene Arglistanfechtung dazu, dass es auf eine Kausalität gerade nicht mehr ankommt; der Versicherungsvertrag ist von Anfang an nichtig.

Cyberversicherung zahlt nicht? Wir helfen weiter

Nach einem Cyberangriff stehen viele Unternehmen vor erheblichen wirtschaftlichen Schäden – umso belastender ist es, wenn die Cyberversicherung die Leistung verweigert. Unsere Erfahrung zeigt, dass Versicherer Leistungsablehnungen häufig auf angebliche Obliegenheitsverletzungen, Sicherheitsmängel oder falsche Angaben im Antragsverfahren stützen. Ob eine Leistungsverweigerung tatsächlich berechtigt ist, hängt jedoch immer vom konkreten Einzelfall ab und sollte rechtlich überprüft werden.

Als Rechtsanwalt mit besonderer Erfahrung im Versicherungsrecht steht Dr. Alexander Lang Betroffenen bundesweit zur Seite – sowohl bei der Geltendmachung der Versicherungsleistung als auch bei unberechtigter Ablehnung, Rücktritt oder Anfechtung durch die Versicherung.

Gern beantworten wir Ihre Fragen in einem persönlichen Gespräch. Dank unserer technischer Ausstattung kann dieses Gespräch auch telefonisch oder online stattfinden. Rufen Sie uns unter 0931 308 11 968 an, schreiben Sie uns eine E-Mail oder nutzen Sie unseren kostenlosen Rückruf-Service.