Mitarbeiter verursacht Cyber-Schaden: Greift die Cyberversicherung?

Wenn ein Cyber-Schaden durch einen Mitarbeiter verursacht wird, stellt sich schnell die Frage nach der Deckung durch deine Cyberversicherung. Nicht jede Police greift hier automatisch, und die genauen Bedingungen sind entscheidend für die Leistungspflicht des Versicherers.

Cyber-Schäden durch Mitarbeiter: Die häufigsten Szenarien

Menschliches Versagen ist nach wie vor eine der größten Schwachstellen in der IT-Sicherheit von Unternehmen. Die Bandbreite der Vorfälle, die durch Mitarbeiter verursacht werden können, ist groß und reicht von harmlosen Fehlern bis hin zu vorsätzlichen Handlungen. Hier sind einige der häufigsten Szenarien:

• Phishing und Social Engineering: Mitarbeiter fallen auf gefälschte E-Mails oder Anrufe herein und geben unbewusst Zugangsdaten preis oder laden schädliche Anhänge herunter. Dies ist nach wie vor einer der Hauptvektoren für Cyberangriffe.
• Verlust oder Diebstahl von Geräten: Laptops, Smartphones oder USB-Sticks mit sensiblen Unternehmensdaten können verloren gehen oder gestohlen werden. Wenn die Geräte nicht ausreichend verschlüsselt sind, stellt dies ein erhebliches Risiko dar.
• Unsichere Handhabung von Daten: Ungesicherte Datentransfers, die Speicherung sensibler Informationen auf nicht autorisierten Cloud-Diensten oder die Weitergabe von Passwörtern können zu Datenlecks führen.
• Unachtsamkeit bei der Software-Nutzung: Die Nutzung von nicht genehmigter Software, das Umgehen von Sicherheitsrichtlinien oder die mangelhafte Aktualisierung von Systemen können Sicherheitslücken schaffen.
• Vorsätzliche Handlungen: In selteneren Fällen können Mitarbeiter auch absichtlich Daten stehlen, Systeme sabotieren oder sensible Informationen an Dritte weitergeben, oft aus Groll, finanzieller Not oder aufgrund von Bestechung.

Greift die Cyberversicherung bei Mitarbeiterverschulden? Die entscheidenden Faktoren

Ob deine Cyberversicherung bei einem durch Mitarbeiter verursachten Schaden leistet, hängt maßgeblich von den konkreten Vertragsbedingungen und der Art des Verschuldens ab. Die meisten Policen unterscheiden zwischen fahrlässigem und vorsätzlichem Handeln des Mitarbeiters.

Fahrlässiges Handeln des Mitarbeiters

Bei fahrlässigem Handeln, also wenn der Mitarbeiter einen Schaden unbeabsichtigt verursacht, weil er nicht die gebotene Sorgfalt hat walten lassen, greift die Cyberversicherung in der Regel. Beispiele hierfür sind:

• Ein Mitarbeiter klickt auf einen Phishing-Link, ohne die Verdächtigkeit der E-Mail zu erkennen.
• Ein Laptop mit sensiblen Daten wird unbeaufsichtigt im Café liegen gelassen.
• Sensible Daten werden versehentlich an die falsche E-Mail-Adresse gesendet.

In solchen Fällen übernimmt die Versicherung typischerweise die Kosten für:

• Wiederherstellung von Daten und Systemen: Kosten für IT-Forensik, Datenrettung und die Wiederherstellung von Servern und Netzwerken.
• Betriebsunterbrechung: Entschädigung für entgangenen Gewinn, wenn dein Geschäftsbetrieb durch den Vorfall lahmgelegt wird.
• Krisenmanagement und PR: Kosten für die Kommunikation mit Betroffenen, Kunden und der Öffentlichkeit, um den Reputationsschaden zu minimieren.
• Rechtliche Beratung und Abwehr von Ansprüchen: Übernahme von Anwaltskosten, wenn Dritte Schadensersatzansprüche geltend machen.

Vorsätzliches Handeln des Mitarbeiters

Bei vorsätzlichem Handeln des Mitarbeiters, also wenn der Schaden bewusst und mit Absicht herbeigeführt wurde, wird es komplizierter. Hier kommt es stark auf die individuelle Police und die Rechtsprechung an. Grundsätzlich gilt:

• Eigenschadensversicherung: Viele Cyberversicherungen schließen Schäden aus, die der Versicherungsnehmer selbst (oder seine Mitarbeiter als Erfüllungsgehilfen) vorsätzlich verursacht hat. Dies dient dazu, dass sich Unternehmen nicht gegen eigene böswillige Handlungen versichern können.
• Haftpflichtschäden: Wenn der Schaden jedoch Dritte betrifft (z.B. Kunden, deren Daten abhandenkommen), kann die Haftpflichtkomponente der Cyberversicherung unter Umständen greifen, auch wenn ein Mitarbeiter vorsätzlich gehandelt hat. Dies ist jedoch oft von Fall zu Fall zu prüfen und kann Einschränkungen unterliegen.
• Beweislast: Es muss nachweisbar sein, dass der Mitarbeiter tatsächlich vorsätzlich gehandelt hat. Dies kann rechtlich komplex sein.

Wichtig ist hierbei die Unterscheidung, ob der Mitarbeiter als Erfüllungsgehilfe des Unternehmens agiert hat. Wenn der Schaden durch eine gezielte Sabotage eines verärgerten Mitarbeiters entsteht, kann die Versicherung hier im Haftpflichtbereich unter Umständen Leistungen erbringen, sofern die Police eine entsprechende Klausel enthält (z.B. für Schäden an Dritten).

Was deine Cyberversicherung typischerweise abdeckt und was nicht

Eine umfassende Cyberversicherung deckt eine breite Palette von Risiken ab, die durch Cyberangriffe entstehen. Bei Verschulden durch Mitarbeiter sind jedoch einige Nuancen zu beachten:

Typische Deckungspunkte (auch bei Mitarbeiterverschulden im Sinne von Fahrlässigkeit):

• Erste-Hilfe-Leistungen (Notfallmanagement): Sofortige Unterstützung durch IT-Experten, Krisenkommunikation und Rechtsberatung nach einem Sicherheitsvorfall.
• Wiederherstellungskosten: Kosten für die Wiederherstellung von Daten, IT-Systemen und Netzwerken.
• Betriebsunterbrechungsschäden: Entschädigung für entgangenen Gewinn während der Ausfallzeit.
• Reputationsschäden: Kosten für PR-Maßnahmen zur Schadensbegrenzung des Images.
• Haftpflichtansprüche Dritter: Wenn du von Kunden oder Partnern wegen eines Datenlecks oder Systemausfalls haftbar gemacht wirst.
• Schadensersatzansprüche von Betroffenen: Kosten, die dir entstehen, wenn du Betroffenen eines Datenlecks Schadensersatz zahlen musst.
• Kosten für forensische Untersuchung: Ermittlung der Ursache und des Umfangs des Schadens.

Was oft ausgeschlossen ist (insbesondere bei Vorsatz):

• Vorsätzlich herbeigeführte Schäden: Eigene vorsätzliche Handlungen, auch durch Mitarbeiter, sind in der Regel ausgeschlossen.
• Fehlende oder veraltete Sicherheitsmaßnahmen: Wenn nachgewiesen werden kann, dass du grundlegende Sicherheitsstandards grob fahrlässig missachtet hast, kann die Leistung verweigert werden.
• Schäden durch Krieg, Terrorismus, Naturkatastrophen: Diese sind meist gesondert zu versichern.
• Wertverlust: Die Cyberversicherung deckt in der Regel keine Wertverluste von Vermögenswerten ab.

Die Rolle des Arbeitgebers: Prävention und Schulung

Unabhängig von der Versicherungspolice liegt eine erhebliche Verantwortung beim Arbeitgeber, präventive Maßnahmen zu ergreifen und seine Mitarbeiter zu schulen. Dies reduziert nicht nur das Risiko von Schäden, sondern kann im Ernstfall auch die Leistung der Versicherung positiv beeinflussen, da gezeigt wird, dass du deine Sorgfaltspflichten wahrgenommen hast.

• Regelmäßige Sicherheitsschulungen: Sensibilisierung der Mitarbeiter für die Gefahren von Phishing, Social Engineering und Ransomware.
• Klare Richtlinien und Prozesse: Festlegung von Regeln für die Nutzung von Unternehmensressourcen, Passwortmanagement, Umgang mit externen Speichermedien und Datenweitergabe.
• Technische Schutzmaßnahmen: Implementierung von Firewalls, Antivirensoftware, Intrusion Detection Systemen und regelmäßige Updates.
• Zugriffsmanagement: Gewährung von Zugriffsrechten nur nach dem Prinzip der geringsten Rechte (Least Privilege).
• Incident-Response-Plan: Ein klar definierter Plan, wie auf Sicherheitsvorfälle reagiert wird.

Wichtige Klauseln in deiner Cyberversicherungspolice

Beim Abschluss oder der Überprüfung deiner Cyberversicherung solltest du besonders auf folgende Klauseln achten, wenn es um Mitarbeiterverschulden geht:

• Definition von „Mitarbeiter“: Wer ist explizit als Mitarbeiter im Sinne der Police zu verstehen?
• Ausschluss von Vorsatz: Wie klar ist der Ausschluss von vorsätzlichen Handlungen formuliert? Gibt es Ausnahmen, z.B. für Schäden an Dritten?
• Grobfahrlässigkeit: Ist grobfahrlässiges Verhalten des Mitarbeiters explizit genannt und wie wird es behandelt?
• Mitwirkungspflicht des Versicherungsnehmers: Welche Pflichten hast du, um Schäden zu verhindern und abzumildern?
• Regressmöglichkeiten: Unter welchen Umständen darf der Versicherer bei grober Fahrlässigkeit oder Vorsatz Regress beim Mitarbeiter nehmen?

Aspekt	Deckungsgrad bei Mitarbeiterverschulden (Fahrlässig)	Deckungsgrad bei Mitarbeiterverschulden (Vorsätzlich)	Präventionsmaßnahmen durch Arbeitgeber
Datensicherheit & Wiederherstellung	Hoher Deckungsgrad; Kosten für Forensik, Datenrettung etc. werden übernommen.	Sehr eingeschränkt bis kein Deckungsgrad; abhängig von der genauen Police und ob Dritte geschädigt wurden.	Regelmäßige Schulungen, technische Schutzmaßnahmen, klare Richtlinien.
Betriebsunterbrechung	Hoher Deckungsgrad; Entschädigung für entgangenen Gewinn.	Eingeschränkt bis kein Deckungsgrad; oft nur, wenn die Ursache nicht auf eigenem Vorsatz beruht.	Notfallpläne, redundante Systeme, Outsourcing-Optionen.
Haftpflicht gegenüber Dritten	Hoher Deckungsgrad; Schutz vor Schadensersatzansprüchen von Kunden, Partnern etc.	Kann greifen, wenn Dritte geschädigt wurden, aber oft mit Einschränkungen verbunden. Nachweis des Vorsatzes ist entscheidend.	Datenschutzrichtlinien, sichere Datenverarbeitung, Verträge mit klaren Haftungsregelungen.
Reputationsschäden & Krisenmanagement	Hoher Deckungsgrad; Kosten für PR, Krisenkommunikation etc.	Kann greifen, wenn das Unternehmen selbst nicht als Verursacher im Sinne von Vorsatz auftritt, sondern Dritte geschädigt wurden.	Klare Kommunikationsstrategien, transparente Information im Krisenfall.

Häufige Fallstricke und was du beachten solltest

Um sicherzustellen, dass deine Cyberversicherung im Ernstfall leistet, solltest du einige Fallstricke vermeiden:

• Unvollständige Angaben bei Antragstellung: Verschweige keine relevanten Informationen über deine IT-Sicherheitsprozesse oder frühere Vorfälle.
• Mangelnde Kooperation mit dem Versicherer: Stelle alle angeforderten Informationen und Dokumente zeitnah zur Verfügung.
• Ignorieren von Warnsignalen: Wenn dir oder deinen Mitarbeitern Unregelmäßigkeiten auffallen, reagiere sofort.
• Keine regelmäßige Überprüfung der Police: Die Bedrohungslandschaft ändert sich ständig. Stelle sicher, dass deine Police aktuell und ausreichend ist.

FAQ – Häufig gestellte Fragen zu Mitarbeiter verursacht Cyber-Schaden: Greift die Cyberversicherung?

Was passiert, wenn ein Mitarbeiter unwissentlich eine Ransomware-Attacke auslöst?

Wenn ein Mitarbeiter unwissentlich durch einen Klick auf einen Phishing-Link oder das Herunterladen einer infizierten Datei eine Ransomware-Attacke auslöst, handelt es sich in der Regel um ein fahrlässiges Verhalten. In diesem Fall greift die Cyberversicherung typischerweise und übernimmt die Kosten für die Wiederherstellung der Daten, die IT-Forensik und eventuelle Betriebsunterbrechungen.

Greift die Cyberversicherung, wenn ein Mitarbeiter absichtlich Daten an die Konkurrenz verkauft?

Das ist eine schwierige Frage und hängt stark von den genauen Klauseln deiner Police ab. Grundsätzlich sind vorsätzlich herbeigeführte Schäden oft ausgeschlossen. Wenn jedoch der Schaden Dritte betrifft (z.B. Kunden, deren Daten kompromittiert wurden), kann die Haftpflichtkomponente der Cyberversicherung unter Umständen greifen, sofern die Police dies nicht explizit ausschließt. Hier ist eine genaue Prüfung der Vertragsbedingungen und ggf. die Rücksprache mit deinem Versicherer unerlässlich. Die Beweislast für den Vorsatz liegt beim Versicherer bzw. muss im Schadensfall geklärt werden.

Was sind die „Erste Hilfe“-Leistungen einer Cyberversicherung bei einem Mitarbeiterfehler?

Die „Erste Hilfe“-Leistungen sind darauf ausgelegt, den Schaden nach einem Vorfall sofort einzudämmen und professionelle Hilfe zu organisieren. Dazu gehören in der Regel: sofortige technische Beratung durch IT-Sicherheitsexperten, Unterstützung bei der Krisenkommunikation (z.B. Information an Betroffene), juristische Beratung und die Einleitung erster Schritte zur Schadensbegrenzung.

Wie kann ich sicherstellen, dass meine Cyberversicherung auch bei internen Bedrohungen greift?

Um sicherzustellen, dass deine Police auch bei internen Bedrohungen greift, solltest du auf die Formulierungen bezüglich fahrlässigen und vorsätzlichen Handelns achten. Achte auf klare Definitionen, wer als Mitarbeiter im Sinne der Police gilt und welche Einschränkungen es bei Vorsatz gibt. Eine gute Police sollte explizit die Risiken durch interne Fehler abdecken, solange kein Vorsatz vorliegt. Regelmäßige Schulungen und die Einhaltung von Sicherheitsrichtlinien durch deine Mitarbeiter sind hierbei ebenfalls essenziell.

Welche Rolle spielen meine internen IT-Sicherheitsrichtlinien für die Deckung?

Deine internen IT-Sicherheitsrichtlinien spielen eine sehr wichtige Rolle. Sie zeigen dem Versicherer, dass du proaktiv Maßnahmen zur Risikominimierung ergreifst. Wenn ein Schaden trotz vorhandener und gelebter Richtlinien durch einen Mitarbeiter verursacht wird, ist die Wahrscheinlichkeit einer Deckung durch die Cyberversicherung höher. Umgekehrt kann die Nichtbeachtung oder das Fehlen von essenziellen Sicherheitsrichtlinien im Schadensfall zur Leistungsverweigerung führen, insbesondere bei grober Fahrlässigkeit.

Muss ich meine Cyberversicherung über jeden einzelnen Mitarbeiter informieren?

Nein, du musst nicht jeden einzelnen Mitarbeiter namentlich bei deiner Cyberversicherung melden. Die Police versichert dein Unternehmen. Wichtig ist jedoch, dass du die Anzahl der Mitarbeiter und die Art ihrer Tätigkeit (ggf. mit Zugang zu sensiblen Daten) bei der Antragsstellung korrekt angibst, da dies die Beitragshöhe beeinflusst. Außerdem solltest du sicherstellen, dass deine Mitarbeiter über die geltenden Sicherheitsrichtlinien informiert sind und diese befolgen.