Start › Ratgeber

Cyberangriff im KMU: Was ist gedeckt – und was nicht?

Ein Verschlüsselungstrojaner legt die Auftragsverwaltung lahm, ein gefälschtes Mail löst eine Überweisung aus, Kundendaten liegen plötzlich offen. Ob deine bestehende Betriebspolizze dafür einsteht, entscheidet sich nicht am Wort „Cyber", sondern an der Risikobeschreibung in der Polizze und an den Ausschlüssen im Bedingungswerk.

Worauf es ankommt

Ein Cyberschaden ist versicherungstechnisch selten ein einziger Schaden. Er zerfällt in mehrere Teile, und jeder Teil wird von einem anderen Vertragsbaustein beurteilt: der eigene Datenverlust und die Wiederherstellung der Systeme, der Stillstand des Betriebs, Ansprüche Dritter (Kunden, Lieferanten, Betroffene einer Datenschutzverletzung) und am Ende die reinen Vermögensabflüsse, etwa eine fehlgeleitete Zahlung.

Der erste Schritt ist deshalb immer derselbe: Welches versicherte Risiko ist überhaupt beschrieben? In der Haftpflichtversicherung ergibt sich das versicherte Risiko aus der in der Polizze festgelegten Risikobeschreibung – so formuliert es Art. 1 Pkt. 1.1 der AHVB-P 2023 ausdrücklich. Was dort nicht steht, ist nicht automatisch mitversichert, nur weil es zum Betrieb gehört. Umgekehrt gilt: Was dort steht, kann der Versicherer nicht über einen weit ausgelegten Ausschluss wieder einfangen. Risikoausschlüsse sind nach ständiger Rechtsprechung eng auszulegen, und unklare Formulierungen gehen nach § 915 ABGB zu Lasten dessen, der sie verwendet hat.

Der zweite Schritt ist die Ausschlussseite. Hier zeigt sich sehr deutlich, warum klassische Haftpflichtdeckungen Cyberschäden nur teilweise auffangen. Die AHVB-P 2023 behandeln Informationssicherheitsverletzungen gesondert: Nach Art. 7 Pkt. 3.2.3 bezieht sich der dortige Ausschluss nicht auf Personenschäden (mit Ausnahme von Veränderungen oder Beeinträchtigungen der psychischen und emotionalen Gesundheit), nicht auf Sachschäden und nicht auf aus versicherten Personen- oder Sachschäden abgeleitete Vermögensschäden. Und dann kommt der entscheidende Satz: „Ausgeschlossen bleiben jedoch auch in diesem Umfang Kosten im direkten oder indirekten Zusammenhang mit der Wiederherstellung, Sammlung oder Neuordnung von Daten oder mit Datenschutzverletzungen."

Übersetzt heißt das: Genau die Positionen, die bei einem Ransomware-Angriff den größten Teil der Rechnung ausmachen – Forensik, Datenrekonstruktion, Neuaufsetzen von Systemen, Aufwand rund um eine Datenschutzverletzung –, sind in diesem Bedingungswerk ausgenommen. Wer diese Kosten versichert haben will, braucht eine eigene, ausdrücklich dafür geschaffene Deckung. Eine Haftpflichtpolizze allein trägt sie nicht.

Der dritte Schritt betrifft die Sachversicherung und die Betriebsunterbrechung. Dort hängt alles daran, ob ein versicherter Sachschaden vorliegt. Verschlüsselte Daten ohne jede Beschädigung der Hardware sind kein selbstverständlicher Sachschaden – ob sie einem solchen gleichgestellt werden, muss das konkrete Bedingungswerk sagen. Fehlt diese Gleichstellung, läuft auch eine angehängte Betriebsunterbrechungsdeckung ins Leere, weil ihr der Auslöser fehlt.

Typische Streitpunkte

Streitpunkt eins: Sachschaden oder nicht. Der Versicherer argumentiert, der Server funktioniere ja noch, es seien nur Daten unbrauchbar. Du argumentierst, die Anlage sei in ihrer bestimmungsgemäßen Nutzbarkeit zerstört. Die Antwort steht im Bedingungswerk, nicht im Bauchgefühl – und wenn sie dort nicht eindeutig steht, hilft die kundenfreundliche Auslegung nach § 915 ABGB.

Streitpunkt zwei: echter oder unechter Vermögensschaden. Geht Geld durch eine manipulierte Zahlungsanweisung verloren, ohne dass eine Sache beschädigt wurde, ist das ein reiner Vermögensschaden. Solche Schäden sind in der allgemeinen Betriebshaftpflicht typischerweise nicht gedeckt, sondern brauchen eine eigene Klausel. Entsteht dagegen ein Folgeschaden aus einem versicherten Sach- oder Personenschaden, sieht die Lage anders aus – die AHVB-P 2023 nehmen in Art. 7 Pkt. 3.2.3 aus versicherten Personen- oder Sachschäden abgeleitete Vermögensschäden ausdrücklich vom Ausschluss aus.

Streitpunkt drei: Obliegenheiten vor dem Schaden. Viele Verträge verlangen bestimmte technische oder organisatorische Mindeststandards. Werden sie nicht eingehalten, kommt der Vorwurf der Obliegenheitsverletzung. Dabei gilt aber § 6 VersVG: Bei Obliegenheiten, die vor dem Versicherungsfall zu erfüllen sind, tritt die vereinbarte Rechtsfolge nicht ein, wenn die Verletzung als unverschuldete anzusehen ist. Und bei Gefahrverminderungsobliegenheiten kann sich der Versicherer nach § 6 Abs. 2 VersVG nicht auf Leistungsfreiheit berufen, wenn die Verletzung keinen Einfluss auf den Eintritt des Versicherungsfalls hatte. Die Beweislast für den Ausschluss und für die Obliegenheitsverletzung liegt beim Versicherer.

Streitpunkt vier: Angaben bei Antragstellung. Wer Fragen zu IT-Sicherheit, Backup-Konzept oder früheren Vorfällen unrichtig beantwortet, riskiert einen Rücktritt nach § 16 VersVG oder § 17 VersVG. Der Rücktritt ist aber nach § 20 VersVG nur innerhalb eines Monates ab Kenntnis zulässig, und nach § 21 VersVG bleibt die Leistungspflicht bestehen, wenn der verschwiegene Umstand keinen Einfluss auf den Eintritt des Versicherungsfalls oder den Umfang der Leistung hatte.

Streitpunkt fünf: Selbstbehalt und Sublimits. Ein Schaden unterhalb des vereinbarten Selbstbehalts ist keine Ablehnung, sondern ein gedeckter Schaden ohne Auszahlung. Bedingungswerke formulieren das deutlich – in den Allianz-Bedingungen „Mein Zuhause – einfach erklärt" heißt es in Kapitel 2.1.4: „Schäden und Schadenersatzansprüche bzw. -verpflichtungen unterhalb dieses allgemeinen Selbstbehaltes fallen nicht unter Versicherungsschutz." Prüfe, ob neben dem allgemeinen Selbstbehalt zusätzlich spezifische Selbstbehalte je Gefahr vereinbart sind.

Obliegenheiten und Fristen nach dem Angriff

Nach einem Vorfall zählen Stunden, und zwar doppelt: technisch und versicherungsrechtlich. Den Eintritt des Versicherungsfalls musst du nach § 33 VersVG unverzüglich anzeigen, sobald du davon Kenntnis erlangt hast. Parallel greift die Schadenminderungspflicht nach § 62 VersVG: Du sollst nach Möglichkeit für Abwendung und Minderung des Schadens sorgen und dabei Weisungen des Versicherers befolgen, soweit die Umstände es gestatten, diese einzuholen.

Praktisch bedeutet das: Systeme isolieren, Logfiles und Images sichern, statt vorschnell alles plattzumachen. Wer die einzige Spur löscht, nimmt sich selbst die Beweismöglichkeit – und der Versicherungsnehmer trägt die Beweislast dafür, dass überhaupt ein Versicherungsfall vorliegt. Dokumentiere Zeitpunkt der Entdeckung, betroffene Systeme, Ausfallzeiten, Mehrkosten und jede Kommunikation mit Angreifern oder Behörden.

Zahlt der Versicherer nicht, lohnt der Blick auf die Fristen. Geldleistungen sind nach § 11 Abs. 1 VersVG mit Beendigung der nötigen Erhebungen fällig; sind sie einen Monat nach der Schadenanzeige nicht beendet, kannst du nach § 11 Abs. 2 VersVG Abschlagszahlungen in der Höhe des Mindestbetrags verlangen. Ansprüche aus dem Versicherungsvertrag verjähren nach § 12 Abs. 1 VersVG in drei Jahren. Und eine qualifizierte Ablehnung löst die Frist des § 12 Abs. 3 VersVG aus: Der Versicherer wird leistungsfrei, wenn der Anspruch nicht innerhalb eines Jahres gerichtlich geltend gemacht wird – diese Frist beginnt aber erst, wenn die Ablehnung begründet und unter Angabe der Rechtsfolge erfolgt ist.

Was Referenzfälle zeigen

Aus dem Fall-Archiv lassen sich Muster ablesen, die bei Cybervorfällen eins zu eins wiederkehren – auch wenn die Auslöser andere waren.

Der Fall „Vandalenakt flutet Neubau — gedeckt oder nicht?" zeigt, wie eine Betriebshaftpflicht an der Grenze zwischen Erfüllungsausschluss und vertraglicher Zusage kippt. Der Ausgang hing nicht am Schadensbild, sondern an der Frage, welches Risiko konkret beschrieben war. Genau das ist bei Cyber die Kernfrage: Ist die Verantwortung für fremde Daten oder Systeme Teil der beschriebenen Tätigkeit – oder nur Nebengeräusch?

„Werkzeugdiebstahl auf der Baustelle — gedeckt oder nicht?" ist das Lehrstück zur Reichweite von Ausschlüssen. Dort griff ein Ausschluss vollumfänglich, obwohl der Versicherungsnehmer alles getan hatte, was er für vernünftig hielt. Übertragen heißt das: Ein Ausschluss für Kosten der Wiederherstellung von Daten lässt sich nicht dadurch überwinden, dass der Schaden besonders bitter ist. Er lässt sich nur durch eine speziellere Deckungserweiterung verdrängen – oder durch den Nachweis, dass er den Sachverhalt bei enger Auslegung gar nicht erfasst.

„Heizungsleitung am Bau beschädigt — zahlt die Betriebshaftpflicht den Verdienstentgang?" betrifft die Unterscheidung zwischen Schäden am eigenen Werk und Folgeschäden an Fremdem sowie die Behandlung abgeleiteter Vermögensschäden. Bei einem Cybervorfall in der Lieferkette ist das dieselbe Logik: Der Stillstand beim Kunden ist etwas anderes als die Nachbesserung der eigenen fehlerhaften Leistung.

„Krank vor Vertragsbeginn — zahlt die Betriebsunterbrechung?" schließlich zeigt, wie hart vorvertragliche Angaben wirken. Dort scheiterte die Deckung an einer Anzeigepflichtverletzung nach § 16 VersVG. Bei Cyberanträgen mit Fragebogen zu Sicherheitsmaßnahmen und Vorschäden ist das Risiko identisch – nur, dass die Fragen technisch sind und oft von jemandem beantwortet werden, der die IT gar nicht verantwortet.

So findest du es für deinen Fall heraus

Nimm die Polizze und arbeite sie in dieser Reihenfolge durch. Erstens: Ist der Vertrag aufrecht, sind die Prämien bezahlt? Bei Zahlungsverzug greifen § 38 VersVG und § 39 VersVG mit eigenen Rechtsfolgen.

Zweitens: Was steht in der Risikobeschreibung? Suche nach den Begriffen Daten, Informationssicherheit, Netzwerk, Cyber, Vermögensschaden, elektronische Datenverarbeitung. Notiere wörtlich, was du findest – und was du nicht findest.

Drittens: Welche Bausteine sind überhaupt gebucht? Sachversicherung, Betriebsunterbrechung, Betriebshaftpflicht und eine allfällige eigene Cyberdeckung haben getrennte Bedingungswerke und getrennte Versicherungssummen. Prüfe für jeden Baustein eigens, ob der konkrete Schadenteil dort hineinpasst.

Viertens: Welche Ausschlüsse nennt das Bedingungswerk, und erfassen sie deinen Sachverhalt wirklich – eng gelesen? Eine Klausel, die „Kosten im direkten oder indirekten Zusammenhang mit der Wiederherstellung von Daten" ausnimmt, sagt nichts über einen physischen Schaden an Hardware.

Fünftens: Obliegenheiten. Welche Sicherheitsmaßnahmen hast du vertraglich zugesagt, und wie dokumentierst du, dass sie bestanden? Falls etwas gefehlt hat: Hätte es den Angriff verhindert? Der Kausalitätsgegenbeweis nach § 6 Abs. 2 VersVG und § 6 Abs. 3 VersVG ist oft der stärkste Hebel.

Sechstens: Höhe. Selbstbehalt, Sublimits, Unterversicherung nach § 56 VersVG, Entschädigungsgrenzen je Position.

Siebtens: Ist die ablehnungsbegründende Klausel überhaupt wirksam? Ungewöhnliche, nachteilige Klauseln werden nach § 864a ABGB nicht Vertragsbestandteil; gröblich benachteiligende Klauseln sind nach § 879 Abs. 3 ABGB nichtig. Die Transparenzregel des § 6 Abs. 3 KSchG greift allerdings nur bei Verbrauchern – bei einem Unternehmensvertrag bleiben dir § 864a ABGB, § 879 Abs. 3 ABGB und § 915 ABGB.

Wenn dir dabei entscheidende Vertragsdetails fehlen, rate nicht. Hole die vollständige Polizze samt allen einbezogenen Bedingungswerken und Klauselblättern ein. Mit diesen Unterlagen lässt sich eine Ablehnung Punkt für Punkt prüfen – das ist genau der Weg, den auch die KI-Deckungsprüfung geht.

Häufige Fragen

Deckt meine Betriebshaftpflicht einen Hackerangriff?

Nur insoweit, als das Bedingungswerk es vorsieht. Die AHVB-P 2023 nehmen in Art. 7 Pkt. 3.2.3 Personenschäden, Sachschäden und daraus abgeleitete Vermögensschäden aus Informationssicherheitsverletzungen vom Ausschluss aus, halten aber Kosten im Zusammenhang mit der Wiederherstellung von Daten oder mit Datenschutzverletzungen ausdrücklich ausgeschlossen.

Sind verschlüsselte Daten ein Sachschaden?

Das entscheidet das jeweilige Bedingungswerk. Ohne ausdrückliche Gleichstellung von Datenverlust mit einem Sachschaden fehlt der Betriebsunterbrechungsdeckung oft der Auslöser. Ist die Klausel unklar formuliert, spricht § 915 ABGB für die kundenfreundliche Auslegung.

Verliere ich die Deckung, wenn mein Backup veraltet war?

Nicht automatisch. Nach § 6 VersVG tritt Leistungsfreiheit bei einer vor dem Schaden zu erfüllenden Obliegenheit nicht ein, wenn die Verletzung unverschuldet war, und nach § 6 Abs. 2 VersVG auch dann nicht, wenn sie keinen Einfluss auf den Eintritt des Versicherungsfalls hatte. Der Versicherer trägt die Beweislast.

Wie schnell muss ich den Vorfall melden?

Nach § 33 VersVG unverzüglich, sobald du vom Eintritt des Versicherungsfalls Kenntnis erlangt hast. Parallel gilt die Schadenminderungspflicht nach § 62 VersVG – sichere Spuren, bevor du Systeme neu aufsetzt.

Der Versicherer prüft seit Wochen und zahlt nicht. Was kann ich tun?

Nach § 11 Abs. 2 VersVG kannst du Abschlagszahlungen in Höhe des Mindestbetrags verlangen, wenn die Erhebungen einen Monat nach der Schadenanzeige nicht beendet sind. Fälligkeit tritt nach § 11 Abs. 1 VersVG mit Abschluss der nötigen Erhebungen ein.

Was passiert, wenn ich den Sicherheitsfragebogen falsch ausgefüllt habe?

Dann droht ein Rücktritt nach § 16 VersVG oder § 17 VersVG, allerdings nur innerhalb eines Monates ab Kenntnis des Versicherers (§ 20 VersVG). Nach § 21 VersVG bleibt die Leistungspflicht bestehen, wenn der Umstand keinen Einfluss auf Eintritt oder Umfang des Schadens hatte.

Passende Fälle aus dem Archiv

Alle 100 Fälle im Fall-Archiv →

Dieser Ratgeber informiert allgemein und ersetzt keine Beratung im Einzelfall. Deckungsfragen entscheidet immer der konkrete Vertragstext — die gedeckt-Ampel ist eine dokumentengestützte Ersteinschätzung mit Quellenzitaten, keine Rechtsberatung.