Versicherung und Schadensersatz: Was Versicherungsnehmer über Cyber-Schäden wissen müssen

Im Versicherungswesen legt der Begriff „Entschädigungszeitraum“ den Zeitraum fest, in dem der Versicherungsnehmer (Versicherte) Anspruch auf Entschädigung für finanzielle Verluste hat, die aus einem versicherten Ereignis resultieren. Er dient als Begrenzung des Versicherungsschutzes und beschränkt diesen bei Betriebsunterbrechungsschäden (BI) auf den Zeitpunkt, zu dem die Auswirkungen auf den Geschäftsbetrieb enden, oder auf den in der Police festgelegten Höchstzeitraum – je nachdem, welcher Zeitpunkt früher eintritt.

Überraschenderweise wird dieser wichtige Aspekt einer Police jedoch oft übersehen, wenn es um die Verlängerung geht. Schauen wir uns einmal an, woran das liegt und was Versicherungsnehmer tun können, um dem einen Schritt voraus zu sein. 

Wie wird eine Entschädigungsfrist festgelegt?

Betrachten wir zunächst, wie die Entschädigungsfristen in einem Standardprogramm für industrielle Sonderrisiken (ISR) festgelegt werden. Da es sich um eine „ Sachschaden “-Police handelt, steht die Wiederherstellung des ursprünglichen Zustands oft im Vordergrund, wenn es um die Versicherungsbedingungen und die praktische Abwicklung eines Schadensfalls geht. Dies kann manchmal kontraintuitiv sein, da die Entschädigungsfrist so festgelegt werden sollte, dass die meisten denkbaren finanziellen Auswirkungen auf das Unternehmen, die durch einen versicherten Schaden verursacht werden, innerhalb der in der Police festgelegten maximalen Entschädigungsfrist (MIP) eintreten.

Ein typischer ISR-Vertrag sieht eine maximale Entschädigungsdauer von mindestens 12 Monaten vor. Dieser Zeitraum richtet sich in der Regel nach der Zeit, die erforderlich ist, um einen hypothetischen Totalschaden zu beheben, wobei die voraussichtliche Reparaturdauer für den versicherten „ Sachschaden “ berücksichtigt wird. Oft wird jedoch übersehen, dass Ansprüche aus Betriebsunterbrechungen nicht zwangsläufig mit der Behebung des Schadens enden. 

Es gibt mehrere Gründe, warum ein Anspruch wegen Betriebsunterbrechung über den Zeitpunkt hinausgehen kann, zu dem der versicherte Schaden behoben wurde. Dazu gehören unter anderem Marktanteilsverluste, zeitliche Aspekte im Zusammenhang mit der Umsatzrealisierung und der Nutzung vorhandener Lagerbestände sowie eine verlängerte Phase der Rückkehr zum normalen Betriebsniveau. Sofern kein Totalschaden vorliegt, sollte der maximale Entschädigungszeitraum in den meisten Fällen ausreichen, um Verluste abzudecken, die über den Abschluss der materiellen Reparaturen hinausgehen. Bei längeren und komplexeren Reparaturen können jedoch Verluste, die über das Ende des Entschädigungszeitraums hinausgehen, zu einem Problem im Schadensfall werden. 

Cyber-Richtlinien und wie sie sich von einer ISR unterscheiden

Das Bild wird komplexer und die Entschädigungsfrist exponentiell wichtiger, wenn wir die oben genannten Konzepte auf eineCyber-Versicherunganwenden. Die Auswirkungen eines Cyberangriffs auf den Geschäftsbetrieb lassen sich im Vorfeld weitaus schwerer abschätzen. Es gibt keine Fristen für die Wiederherstellung von Gebäuden oder anderen „ Sachschaden “, die als Grundlage für die Festlegung einer Entschädigungsfrist dienen könnten. Die Schäden, die ein Cyberangriff verursachen kann, sind zudem unter Umständen weitreichend und im Vorfeld schwer vorhersehbar, da die Auswirkungen auf das Unternehmen sehr unterschiedlich und umfangreich sein können – insbesondere angesichts der im Vergleich zu herkömmlichen „ Sachschaden “-Schäden und -Reparaturen noch begrenzten Erfahrungswerte mit Cyberangriffen. Hinzu kommt, dass ein typischer Cyberangriff kurz und heftig ist und in der Regel innerhalb weniger Tage oder Wochen vorbei ist. Die Auswirkungen des Angriffs können jedoch oft weitaus länger anhalten. 

Übertragen wir die oben beschriebene Denkweise auf die Festlegung von ISR-Richtlinien, ist davon auszugehen, dass die Entschädigungsfrist einer Cyber-Versicherung in der Regel auf der Grundlage des Cybervorfalls selbst festgelegt wird und nicht auf der Grundlage der anhaltenden Auswirkungen auf das Unternehmen. Eine Website oder ein Server mit erheblichen Auswirkungen kann oft innerhalb weniger Stunden, Tage oder höchstens Wochen mithilfe von Backups oder durch Wiederherstellung wieder online sein. Eine Deckungsdauer in einer Cyber-Versicherungspolice spiegelt dies häufig wider und wird in der Regel auf etwa 90 Tage festgelegt. Reicht dies angesichts der Komplexitäten, die bei einem Betriebsunterbrechungsschaden auftreten können, aus, um das Risiko sowohl für den Versicherten als auch für die Versicherer angemessen abzudecken?

Auswirkungen auf einen Anspruch

Betrachten wir nun ein Szenario, in dem ein Unternehmen Opfer eines Cyberangriffs wird, der zu einer erheblichen Störung seines Betriebs führt.

Erholt sich das Unternehmen erfolgreich und nimmt es den normalen Geschäftsbetrieb innerhalb der Entschädigungsfrist wieder auf, sind alle in diesem Zeitraum entstandenen, entschädigungsfähigen Verluste (sei es entgangener Gewinn oder entstandene Mehrkosten) in der Regel durch die Police abgedeckt.

Sollte der Wiederherstellungsprozess jedoch länger dauern als erwartet oder – was häufiger der Fall ist – sollten sich die tatsächlichen finanziellen Auswirkungen auf das Unternehmen erst nach Ablauf der Deckungsfrist konkretisieren, gilt der Versicherungsschutz nicht mehr. Es gibt eine Reihe von Möglichkeiten, wie sich dies in einem Schadensfall konkretisieren könnte. So könnte ein Versicherter beispielsweise langfristige Verträge verlieren, weil er seine normale Geschäftstätigkeit nicht ausüben kann, oder er stellt seine Rechnungen vierteljährlich bzw. bei Projektabschluss aus, sodass zwar Arbeitsausfälle entstehen, innerhalb der Deckungsfrist jedoch keine finanziellen Auswirkungen auf das Unternehmen zu verzeichnen sind. Cyber-Schäden werden zudem stark in den Medien thematisiert, und die Gefahr eines anhaltenden Reputationsschadens ist ein erhebliches Problem.

Einschränkungen des Versicherungsschutzes

Nach Ablauf einer Entschädigungsfrist deckt die Versicherungspolice in der Regel keine darüber hinausgehenden Schäden ab. Das bedeutet, dass Schäden, die nach Ablauf der Entschädigungsfrist entstehen, vom Versicherer nicht ersetzt werden, selbst wenn sie eine direkte Folge des ursprünglichen Ereignisses sind.

Wichtig ist – und dies wird manchmal weniger beachtet –, dass auch das Gegenteil zutrifft, was die Versicherer einem Risiko aussetzt. Wenn ein Versicherter während der Entschädigungsfrist einen Schaden erleidet, diesen Schaden aber nach Ablauf der Entschädigungsfrist vollständig wieder ausgleichen kann, sind die Versicherer verpflichtet, dem Versicherten die erlittenen Schäden zu erstatten, auch wenn möglicherweise ein teilweiser oder vollständiger Ausgleich erfolgt ist, der normalerweise die geltend gemachten Schäden ausgleichen würde.

Dies ist insbesondere im Zusammenhang mit Cyber-Schäden aus zwei Hauptgründen von Bedeutung. Erstens sehen Cyber-Versicherungspolicen, wie bereits erwähnt, in der Regel kürzere Entschädigungsfristen vor. Zweitens lässt sich der volle Umfang der Auswirkungen eines Datenlecks manchmal erst lange nach der Wiederherstellung abschätzen. Daher kann es vorkommen, dass die Netzwerkinfrastruktur des Versicherten zwar vollständig wiederhergestellt ist, die betrieblichen Auswirkungen jedoch noch nicht erkennbar sind.

Zusammenfassung

Zusammenfassend lässt sich sagen: Ist die Entschädigungsfrist zu kurz und reichen die Auswirkungen für den Versicherten über diesen Zeitraum hinaus, könnte das Unternehmen für den Zeitraum nach Ablauf des Versicherungsschutzes mit nicht entschädigten finanziellen Verlusten konfrontiert sein. Umgekehrt müssen sich Versicherer bewusst sein, dass eine kurze Entschädigungsfrist zwar im Hinblick auf die Entschädigung eines Schadens vorteilhaft erscheinen mag, sich jedoch zugunsten des Versicherten auswirken kann, wenn nach Ablauf der Entschädigungsfrist eine Entschädigung erfolgt.

Die korrekte Festlegung einer Entschädigungsfrist bei Vertragsabschluss oder Vertragsverlängerung kann erhebliche Auswirkungen auf die praktischen Folgen im Schadensfall haben. Es ist wichtig, Sachverständige hinzuzuziehen, die mit den für die jeweilige Police spezifischen Betriebsunterbrechungsschäden vertraut sind, um sicherzustellen, dass alle relevanten Aspekte berücksichtigt werden. Dies führt hoffentlich zu einer reibungslosen und angemessenen Schadenabwicklung für alle Beteiligten.

Weitere Informationen > Kontaktieren Sie [email protected].