Unter einer Cyberversicherung fasst der Markt eine Police zusammen, die drei sonst getrennte Leistungsarten in einen Vertrag bündelt. Der erste Teil betrifft Eigenschäden des versicherten Unternehmens: die Wiederherstellung verschlüsselter oder gelöschter Daten, die forensische Untersuchung des Vorfalls, die Benachrichtigung betroffener Personen und den Ertragsausfall, solange die Systeme stillstehen. Der zweite Teil arbeitet wie eine Haftpflichtdeckung und übernimmt Ansprüche Dritter, von Kunden, deren Daten abgeflossen sind, bis zu Vertragspartnern, denen der Ausfall Kosten verursacht hat. Der dritte Teil besteht nicht aus Geld, sondern aus Organisation: ein erreichbares Krisenteam, IT-Fachleute auf Abruf, juristische Begleitung gegenüber der Aufsichtsbehörde und Hilfe in der Kommunikation.
Eine eigene gesetzliche Grundlage hat diese Sparte nicht. Wo in der Kraftfahrt- oder in der Krankenversicherung das Gesetz den Rahmen vorgibt, steht hier alles in den Bedingungen, und die Unterschiede zwischen zwei Angeboten sind größer als in jeder etablierten Sparte. Für die Beratung folgt daraus, dass ein Beitragsvergleich ohne Bedingungsvergleich nichts aussagt.
Was im Antrag abgefragt wird
Der Risikofragebogen ist der eigentliche Kern des Geschäfts. Gefragt wird nach Sicherungskopien und ihrer Trennung vom Netz, nach dem Stand der Aktualisierungen, nach der Anmeldung mit mehreren Faktoren, nach einem Notfallplan und nach Schulungen der Belegschaft. Diese Angaben sind Risikofragen im Sinne der vorvertraglichen Anzeigepflicht; wer sie freundlicher beantwortet, als der Betrieb es hergibt, gefährdet den Vertrag. Was während der Laufzeit einzuhalten ist, steht daneben als Obliegenheit in den Bedingungen, etwa die regelmäßige Sicherung der Daten.
Warum die Police schmaler ausfällt als erwartet
Verbreitet ist die Vorstellung, jede Störung der Informationstechnik sei ein Cyberschaden. Gedeckt ist in aller Regel nur, was auf eine Verletzung der Informationssicherheit zurückgeht, also auf einen Angriff oder eine unbefugte Handlung. Ein Bedienfehler, ein Defekt an der Hardware oder der Ausfall des Stromnetzes fallen nicht darunter. Für den Ertragsausfall kommt eine Karenzzeit von einigen Stunden hinzu, die kurze Störungen aus der Entschädigung herausnimmt. Und die klassische Betriebsunterbrechungsversicherung springt hier nicht ein, weil sie einen Sachschaden voraussetzt und Daten keine Sache sind. Wie Werte, Ertragsausfall und Besichtigung im gewerblichen Geschäft sonst zusammenhängen, beschreibt der Artikel zur gewerblichen Sachversicherung.
Dieser Begriff gehört zum Arbeitsalltag der Kaufleute für Versicherungen und Finanzen. Was der Beruf sonst verlangt, steht in der Ausbildung; was er zahlt, im Gehaltsvergleich.