Die Sachversicherung für Betriebsstätten baut seit Jahrzehnten auf physischen Schäden auf: Feuer, Sturm, Leitungswasserschaden, Einbruch. Unter den heutigen Risiken gewinnt jedoch eine physisch „unsichtbare” Gefahrenquelle zunehmend an Gewicht: ein Angriff auf das IT-System oder dessen Ausfall. Viele Unternehmensleiter gehen davon aus, dass, wenn „wir versichert sind”, dies auch im Paket enthalten ist – dieser Artikel klärt, wann das zutrifft und wann nicht.
- Die auf benannten Gefahren aufbauende klassische Sachversicherung erstreckt sich im Grundfall nicht auf Ereignisse mit Cyber-Ursprung (Datenschutzvorfall, Ransomware, Systemausfall) – diese gelten typischerweise nicht als der in der Police benannte Sachschaden.
- Eine Ausnahme kann vorliegen, wenn infolge des Cyber-Ereignisses ein physischer Schaden eintritt – dessen Anerkennung und Nachweis ist jedoch für sich genommen eine komplexe Frage, die von Police zu Police unterschiedlich gehandhabt wird.
- Für Cyberrisiken gibt es eine eigene Produktkategorie, deren Umfang und Bedingungen sich schnell weiterentwickeln – es lohnt sich, dies bei der Bedarfsanalyse als eigenen Tagesordnungspunkt zu behandeln, statt es stillschweigend in der Sachversicherung „mitzudenken”.
Warum fällt es aus der klassischen Deckung heraus?
Die Sachversicherung baut auf benannten Gefahren auf – Feuer, Sturm, Leitungswasserschaden, Einbruch – oder, in einem engeren Kreis, auf einer „All-Risk”-Basis, die jedes nicht ausgeschlossene physische Ereignis deckt: Ihr Wesenskern ist der an der versicherten Sache eintretende Sachschaden. Ein Cyber-Ereignis verursacht typischerweise nicht auf diese Weise einen Verlust: Es zieht Datenverlust, einen Betriebsausfall, Erpressung oder Wiederherstellungskosten nach sich, ohne physischen Schaden am Server oder an der Maschine. Diese Art von Verlust taucht in der Sprache der klassischen Police schlicht nicht als benanntes Ereignis auf – wie es auch der Artikel was gedeckt ist und was nicht sowie der Artikel Ausschluss-Übersicht für andere Schadenarten zeigen.
Manchmal berühren sich die beiden Welten doch
Verursacht ein Cyber-Ereignis – etwa eine Störung eines Steuerungs- oder Prozessleitsystems – auch einen physischen Schaden (Überhitzung, Geräteschaden), rückt das schon näher an den gewöhnlichen Bereich der Schadenarten heran, ähnlich dem, was der Artikel Elektronische Geräte zu inneren Störungen beschreibt. Das bedeutet jedoch nicht, dass jedes Problem mit Cyber-Ursprung automatisch hierunter fällt: Der Nachweis – dass der physische Schaden tatsächlich durch ein IT-Ereignis verursacht wurde – entscheidet zusammen mit dem genauen Wortlaut der jeweiligen Police, was geschieht.
Was deckt ein Cyber-Zusatzbaustein typischerweise ab?
Die am Markt verfügbaren Cyber-Deckungen zielen typischerweise auf Wiederherstellungskosten, die Kosten der Bearbeitung eines Datenschutzvorfalls (Meldung, Experten, Rechtskosten), einen IT-bedingten Betriebsausfall und in manchen Konstruktionen auch auf die Haftung gegenüber Dritten. Der Umfang und die genauen Bedingungen unterscheiden sich erheblich je nach Versicherer, und der Bereich entwickelt sich schnell – gerade deshalb lohnt es sich nicht, sich auf eine allgemeine Beschreibung zu verlassen, sondern das aktuelle Marktangebot muss am Profil des Unternehmens gemessen betrachtet werden.
Für wen lohnt es sich, sich mit dem Thema zu befassen?
Es hängt nicht davon ab, ob das Thema „im Trend” liegt, sondern davon, welchen Datenumfang das Unternehmen verwaltet und wie sehr der tägliche Betrieb von einem durchgehend laufenden IT-System abhängt – Webshop, Produktionssteuerung, Kundenverwaltung, Logistiksystem. Wo diese Abhängigkeit erheblich ist, lohnt es sich, nach der Bereinigung der klassischen Vermögensgrundlage – ohne Unterversicherung, mit den richtigen Summen – den Cyber-Zusatzbaustein bewusst zu prüfen, im selben Portfolio-Blick, in dem das Unternehmen seine übrigen Deckungen verwaltet.
Was sollte bei der Besichtigung gefragt werden?
Kommt das Thema überhaupt zur Sprache, helfen einige praktische Fragen zu entscheiden, welches Gewicht ihm zukommen sollte. Welche und wie viele Kunden- bzw. Zahlungsdaten verwaltet das Unternehmen, und in welchem System werden sie gespeichert? Wie lange würde ein einzelner IT-Ausfall den Tagesbetrieb aufhalten – ist der Ausfall in Stunden oder in Tagen zu messen? Gibt es eine Erwartung seitens eines Partners, einer Bank oder eines Vertrags, die ausdrücklich das Vorhandensein einer Cyber-Deckung verlangt – in der Praxis eine bei größeren Kundenverträgen zunehmend häufige Klausel? Und schließlich: Welche grundlegenden IT-Schutzmaßnahmen (Datensicherung, Zugriffsverwaltung, Updates) sind bereits vorhanden, denn danach fragen Versicherer bei der Risikoprüfung typischerweise. Die Antworten zusammen zeigen, ob das Thema eine einfache Orientierung bleibt oder bei der nächsten Besichtigung zu einem eigenen Tagesordnungspunkt wird.
Eine Frage speziell zu Ihrer Betriebsstätte? Buchen Sie ein 20-minütiges, kostenfreies Beratungsgespräch zur Betriebsbesichtigung →
