Reicht meine Betriebshaftpflicht bei Cyberangriffen?

Ein verschlüsselter Server, ausgefallene Aufträge und die Frage nach möglicherweise betroffenen Daten: Genau in dieser Situation wird oft geprüft, ob die bestehende Police hilft. Reicht meine Betriebshaftpflicht bei Cyberangriffen? In den meisten Fällen lautet die Antwort: nur sehr eingeschränkt oder gar nicht. Eine Betriebshaftpflicht und eine Cyberversicherung schützen unterschiedliche Risikobereiche. Wer beides gleichsetzt, riskiert im Schadenfall eine erhebliche Deckungslücke.

Die Betriebshaftpflicht bleibt für Unternehmen unverzichtbar. Sie ist jedoch nicht als Absicherung für den Ausfall der eigenen IT, die Wiederherstellung von Daten oder die Steuerung eines Cybervorfalls konzipiert. Entscheidend ist nicht die Bezeichnung der Police, sondern der konkrete Wortlaut der Bedingungen, vereinbarte Erweiterungen und Ausschlüsse.

Warum die Betriebshaftpflicht bei Cyberangriffen oft nicht reicht

Die klassische Betriebshaftpflicht übernimmt grundsätzlich berechtigte Ansprüche Dritter, wenn das Unternehmen einen Personen-, Sach- oder daraus folgenden Vermögensschaden verursacht hat. Sie prüft Ansprüche, wehrt unberechtigte Forderungen ab und leistet im Rahmen des Vertrags bei berechtigten Schäden.

Ein Cyberangriff trifft jedoch meist zuerst das eigene Unternehmen. Wenn Geschäftssysteme nicht verfügbar sind, Daten wiederhergestellt werden müssen oder der Betrieb stillsteht, handelt es sich regelmäßig um Eigenschäden. Genau diese Kosten gehören typischerweise nicht zum Kern der Betriebshaftpflicht.

Hinzu kommt: Viele Betriebshaftpflichtverträge enthalten Cyber-, IT- oder Datenschutz-Ausschlüsse. Diese können Ansprüche ausschließen, die mittelbar oder unmittelbar durch eine Verletzung der Datensicherheit, Schadsoftware, einen unbefugten Systemzugriff oder die Übertragung digitaler Daten ausgelöst wurden. Ob eine Formulierung tatsächlich greift, hängt vom jeweiligen Vertrag und Schadenbild ab. Auf allgemeine Aussagen oder einzelne Werbeaussagen sollte sich kein Unternehmen verlassen.

Welche Schäden nach einem Cyberangriff entstehen können

Ein Cybervorfall ist selten nur ein IT-Problem. Er wird schnell zum Betriebsunterbrechungs-, Vertrags-, Datenschutz- und Haftungsthema. Die finanzielle Belastung entsteht häufig aus mehreren Positionen gleichzeitig.

Bei einem Angriff können Kosten für die technische Erstbewertung, forensische Untersuchung, Wiederherstellung von Systemen und Daten sowie externe Krisenkommunikation entstehen. Fällt die IT aus, kommen Ertragsausfälle und fortlaufende Fixkosten hinzu. Werden personenbezogene Daten oder vertrauliche Informationen betroffen, können Melde-, Informations- und Abwehrpflichten folgen. Kunden oder Geschäftspartner können außerdem Schadensersatzforderungen erheben, etwa wegen Verzögerungen, ausgefallener Leistungen oder der Verletzung vertraglicher Sicherheitsanforderungen.

Die Betriebshaftpflicht kann in einzelnen Konstellationen einen Teil von Drittschäden erfassen, etwa wenn ein versicherter Schaden ursächlich zu einem Personen- oder Sachschaden führt. Das ist aber etwas anderes als ein umfassender Schutz für digitale Betriebsrisiken. Besonders die Kosten, die das eigene Unternehmen wieder handlungsfähig machen sollen, bleiben oft ungedeckt.

Betriebshaftpflicht und Cyberversicherung: Die Aufgaben sind verschieden

Die Betriebshaftpflicht ist eine Haftpflichtversicherung. Ihr Schwerpunkt liegt auf Ansprüchen Dritter, die aus der betrieblichen Tätigkeit entstehen. Die Cyberversicherung ist dagegen auf die finanziellen und organisatorischen Folgen eines IT-Sicherheitsvorfalls ausgerichtet.

Eine passend strukturierte Cyberpolice kann - abhängig von Tarif und Vereinbarung - unter anderem Eigenschäden durch Betriebsunterbrechung, Wiederherstellungskosten, Kosten der Incident Response, Haftpflichtansprüche Dritter und datenschutzbezogene Aufwendungen absichern. Der konkrete Umfang ist entscheidend: Sublimits, Selbstbehalte, Wartezeiten bei Betriebsunterbrechung, Obliegenheiten und Definitionen können die Leistung im Ernstfall wesentlich beeinflussen.

Auch eine Vermögensschadenhaftpflicht, eine D&O-Versicherung oder eine Vertrauensschadenversicherung ersetzen nicht automatisch eine Cyberversicherung. Diese Policen können wichtige Bausteine sein, verfolgen aber jeweils andere Zwecke. Gerade bei Geschäftsführern entsteht häufig die falsche Annahme, jede Versicherung mit einem Haftpflichtbezug müsse auch digitale Schäden abfangen. Eine abgestimmte Betrachtung der vorhandenen Verträge verhindert Überschneidungen ebenso wie unbemerkte Lücken.

Reicht meine Betriebshaftpflicht bei Cyberangriffen? Diese Punkte entscheiden

Die richtige Frage lautet nicht nur, ob eine Cyberklausel im Vertrag steht. Sie lautet: Welche Schadenarten sind versichert, welche ausdrücklich ausgeschlossen und welche Voraussetzungen müssen im Unternehmen erfüllt sein? Für eine belastbare Prüfung sollten mindestens diese vier Punkte betrachtet werden:

• Cyber-Ausschlüsse und Deckungserweiterungen: Erfasst der Vertrag Schäden im Zusammenhang mit Daten, Software, Netzwerken oder Datenschutzverletzungen überhaupt?
• Eigenschäden: Sind Wiederherstellung, externe Spezialisten, Betriebsunterbrechung und Mehrkosten nach einem IT-Ausfall versichert?
• Drittschäden: Wie sind Ansprüche von Kunden, Lieferanten oder Betroffenen wegen digital verursachter Vermögensschäden geregelt?
• Obliegenheiten und Sicherheitsstandard: Welche technischen und organisatorischen Maßnahmen fordert der Versicherer vor Vertragsschluss und während der Laufzeit?

Eine Deckungsanalyse sollte nicht bei der Betriebshaftpflicht enden. Relevant sind auch bestehende Vertragsstrafenrisiken, Abhängigkeiten von Cloud-Diensten, die Rolle externer IT-Dienstleister sowie die Frage, wie lange das Unternehmen ohne zentrale Systeme arbeitsfähig bleibt. Ein Produktionsbetrieb, ein Dienstleister mit sensiblen Kundendaten und ein Handelsunternehmen mit stark digitalisierter Lieferkette brauchen keine identische Absicherung.

Sicherheitsmaßnahmen beeinflussen Versicherbarkeit und Leistung

Cyberversicherung ist kein Ersatz für IT-Sicherheit. Sie bildet die dritte Säule neben präventiven organisatorischen Maßnahmen und technischen Schutzvorkehrungen. Versicherer prüfen deshalb zunehmend konkreter, wie ein Unternehmen seine Zugänge, Datensicherungen, Berechtigungen und Reaktionsfähigkeit organisiert hat.

Im Mittelpunkt stehen häufig mehrstufige Anmeldung für externe Zugriffe und besonders privilegierte Konten, belastbare und regelmäßig überprüfte Datensicherungen, geregeltes Patch- und Berechtigungsmanagement sowie Sensibilisierung der Mitarbeitenden. Ebenso wichtig ist ein nachvollziehbarer Notfallprozess: Wer entscheidet im Ernstfall? Wie wird der IT-Dienstleister erreicht? Welche Systeme haben Priorität? Und wer koordiniert Kommunikation, Wiederanlauf und Dokumentation?

Diese Anforderungen sollten nicht als reine Hürde verstanden werden. Sie helfen dabei, die tatsächliche Widerstandsfähigkeit des Unternehmens zu verbessern und im Schadenfall nachvollziehbar zu machen, dass vereinbarte Schutzmaßnahmen umgesetzt wurden. Gerade im Umfeld von Datenschutz, NIS2-relevanten Anforderungen und kundenseitigen Sicherheitsvorgaben wird diese Dokumentation wichtiger.

Typische Fehlannahmen in der Praxis

Eine verbreitete Annahme lautet: „Wir sind zu klein, um ein Ziel zu sein.“ Für die Versicherungsfrage ist die Unternehmensgröße allein jedoch nicht entscheidend. Bereits wenige Tage IT-Ausfall können bei einem kleinen oder mittleren Unternehmen Liquidität, Kundenbeziehungen und Lieferfähigkeit spürbar belasten.

Ebenso riskant ist die Annahme, der IT-Dienstleister hafte automatisch für jeden Vorfall. Verantwortlichkeiten aus Dienstleistungsverträgen, tatsächliche Ursache, vereinbarte Leistungen und Haftungsbegrenzungen sind stets gesondert zu bewerten. Selbst wenn ein Anspruch gegen einen Dienstleister bestehen sollte, löst das nicht das akute Problem: Systeme müssen stabilisiert, Geschäftsprozesse fortgeführt und mögliche Meldepflichten koordiniert werden.

Auch die Aussage „Unsere Betriebshaftpflicht enthält Datenschutz“ ist keine ausreichende Antwort. Eine begrenzte Erweiterung für einzelne Datenschutzansprüche kann sinnvoll sein, deckt aber nicht zwingend Forensik, Datenwiederherstellung, Betriebsunterbrechung oder Krisenunterstützung ab. Versicherungsbedingungen müssen als Gesamtwerk gelesen werden.

So entsteht ein belastbarer Versicherungsschutz

Der erste Schritt ist eine strukturierte Bestandsaufnahme. Unternehmen sollten vorhandene Betriebshaftpflicht-, Vermögensschaden-, D&O- und Cyberverträge zusammen mit ihren wesentlichen IT-Abhängigkeiten betrachten. Daraus lässt sich ableiten, welche Risiken bereits gedeckt sind, wo Ausschlüsse wirken und welche Versicherungssumme sowie Bausteine zum Geschäftsmodell passen.

Danach folgt der Abgleich mit den tatsächlichen Sicherheitsmaßnahmen. Hier ist die Zusammenarbeit von Geschäftsführung, IT-Verantwortung und gegebenenfalls Systemhaus besonders wertvoll. Nicht jede Maßnahme muss sofort vollständig neu aufgebaut werden. Entscheidend ist ein priorisierter Plan, der Versicherererwartungen, tatsächliche Risikolage und betriebliche Umsetzbarkeit zusammenführt.

CyberShield unterstützt Unternehmen dabei, Policen unabhängig zu vergleichen, bestehende Deckungen fachlich einzuordnen und die Voraussetzungen für Versicherbarkeit strukturiert mit der eigenen IT zu verbinden. Eine solche Prüfung schafft keine absolute Sicherheit, aber sie ersetzt Vermutungen durch nachvollziehbare Entscheidungen.

Wer die Betriebshaftpflicht frühzeitig auf Cyber-Ausschlüsse und digitale Deckungslücken prüft, gewinnt vor allem Zeit: Zeit, Sicherheitsmaßnahmen sinnvoll zu priorisieren, den Versicherungsschutz passend zu strukturieren und im Ernstfall nicht erst nach einem zuständigen Kostenträger suchen zu müssen.

Fachtexte und Ratgeberbeiträge entstehen unter Einsatz von KI und werden vor der Veröffentlichung fachlich geprüft. Die redaktionelle Verantwortung liegt bei uns.