Der Trend geht zum Zweit-Makler. Aus gutem Grund.

Inzwischen nutzen viele unserer Kunden acant als „Zweitmakler“. Ihr angestammter Versicherungsmakler bleibt für die klassischen betrieblichen Versicherungen zuständig, wir betreuen als Fachmakler die Themen Cyberversicherung, Geschäftsführer-/Managerhaftung sowie IT-Projektversicherung.

Wie bei Rechtsanwälten und Ärzten wächst auch bei Versicherungsmaklern der Bedarf an Fachbetreuung für bestimmte Gebiete.

Beispiel Cyber-Police: Der Versicherungstyp ist jung. Die Major Player wie Allianz Global, AXA, ACE, Chubb, R+V, BVK, Hiscox, Württembergische, AIG und die Gothaer haben noch keine jahrelange Schadenerfahrung. Sie passen ihre Produkte deshalb laufend an. Schwerpunkte und Zielgruppen der Policen sind zudem sehr unterschiedlich. Deutsche Versicherern siedeln das Cyber-Thema oft in den Haftpflichtabteilung an, US-Assekuranzen eher bei „Financial Lines“. Daraus ergeben sich  unterschiedliche Vertragsausrichtungen: eher haftpflichtorientiert mit Deckungserweiterung für Eigenschäden im deutschen Fall, Individualpolicen auf Basis von Versicherungsklauseln für Garantieversicherungen oder für Vertrauensschaden und Computermissbrauch bei US-Gesellschaften.

Um zu wissen, was davon für Ihren Bedarf am besten passt und gleichzeitig die geringsten Kosten verursacht, sollte Ihr Versicherungsmakler sich schon etwas häufiger mit Cyber-Risiken befasst haben. Bei persönlichen Haftungsrisiken im Beruf ist das nicht anders. Hier ist es die Rechtsentwicklung, die dafür sorgt, dass sich der Markt für D&O-Policen und andere Betriebs- und Berufshaftpflichtversicherungen laufend ändert. Deshalb sollten Sie auch hier einem Fachmakler vertrauen.

Zweite Meinung?

Sie können sich übrigens auch an uns wenden, wenn Sie eine zweite Meinung zu Versicherungsangelegenheiten einholen wollen. Rufen Sie  an (030 863 926 990) oder schreiben Sie uns.

Cookie-Monster und die Rechtsunsicherheit

In einer idealen Welt würde das Online-Recht klar umsetzbare Vorgaben für Website-Betreiber liefern. Die Wirklichkeit ist weit davon entfernt.

Ein Beispiel von vielen: Ob deutschen Seitenbetreiber jedes Mal vorher um Erlaubnis fragen müssen, bevor sie Cookies setzen, ist höchst umstritten. Die Konferenz der Datenschutzbeauftragten von Bund und Ländern neigt natürlich zur restriktiven Sicht. Ob der BGH zustimmen würde, weiß keiner, jedenfalls bis jetzt. Die Folge ist wieder einmal Rechtsunsicherheit.

Versicherungen sind kein Allheilmittel dagegen – aber sie können das Risiko durchaus begrenzen, auch wenn das nicht allgemein bekannt ist. Die Versicherer bieten entsprechende Produkte unter ganz unterschiedlichen Namen an (Cyber-Versicherung, Media-Police, IT-Safe Care – um ein paar Beispiel zu nennen.) Die genauen Deckungsvereinbarungen muss man sich im Einzelfall anschauen. Aber grundsätzlich lässt sich der Schaden versichern, der entsteht, wenn Ihnen jemand aus den  Cookies Ihrer Unternehmenswebsite einen Strick drehen bzw. einen Verstoß gegen Datenschutzrecht konstruieren will. Zumindest solange, wie die Cookie-Zustimmung noch nicht allgemeiner Standard in Deutschland ist und die fehlende Abfrage nicht als grob fahrlässig ausgelegt werden kann.

Man könnte fast sagen: Auch Rechtsunsicherheit ist ein Stück weit versicherbar.

Cyber-Risiken und Haftungsansprüche in den USA versichern

Gregg Steinhafel, Ex-CEO des US-Einzelhandelsriesen Target, ist ein besonders prominentes Beispiel dafür, wie drastisch die persönlichen Folgen von IT-Sicherheitsmängeln für Manager ausfallen können: Erst verdarben Hacker ihm  die Weihnachtsfeiertage 2013 – mit dem Diebstahl von Kundendaten in großem Stil. Ein halbes Jahr später kostete ihn der Vorfall dann auch noch den Vorstandsposten. Oder wie das  Handelsblatt schrieb: „Daten weg, Kunden weg, Chef weg“.

Und was, wenn ein deutsches Unternehmen Geschäfte in den USA macht und dort für Cyber-Schäden haftbar gemacht werden soll? In Amerika sind Schadenersatzsummen bekanntlich oft (alp-)traumhaft hoch. Sind solche Ansprüche durch die Cyber-Versicherung mit abgedeckt?

Hier muss man ein wenig ins Detail gehen: Grundsätzlich sind Auslandsrisiken durch Haftungsansprüche Dritter im Normalfall mitversichert. Eine Cyber-Versicherung bzw. Haftpflicht-Police bietet Deckung also auch im Ausland.

Es gibt aber Länder, die ausgeschlossen sind – zum Beispiel solche, die nur die Regulierung durch vor Ort registrierte Versicherungen zulassen. Und praktisch alle großen Versicherer schließen Ansprüche in den USA und Kanada durch Standardklauseln aus – das „litigation law“ dort ist einfach zu hemmungslos für eine pauschale Deckung. Trotzdem ist es oft möglich,  Haftpflichtansprüche in den USA auch ohne teure Zusatzdeckungen mitversichert zu bekommen, vor allem bei auf weltweiten Schutz spezialisierte Gesellschaften wie z. B. ACE. Die Versicherer wollen das Risiko aber vorher einzelfallbezogen in Augenschein nehmen.

Deutsche Unternehmen, die ihr USA-Geschäft mit in ihre Cyber-Versicherung einschließen wollen, sollten also dafür sorgen, dass die Deckung ihrer Police entsprechend erweitert wird, möglichst ohne Kosten. Und auf zwei weitere Dinge gilt es aufzupassen:

  • Die Mitarbeiter sollten mitversichert sein. Denn auch in den USA kann schnell eine persönliche Haftung entstehen.
  • Und zweitens: Manche Versicherer verfügen über ein eigenes Data Breach Team in den USA, das im Schadensfall als schnelle Eingreiftruppe fungiert – ein entscheidender Vorteil.

Übrigens: Auf solche Details zu achten, ist Teil meiner Aufgabe als Versicherungsmakler. Haben Sie Fragen dazu? Rufen Sie mich an: 030 863926 990.

Stockfotos als Abmahnrisiko – aber eine Cyber-Versicherung schützt

Nehmen wir an, irgendein schlechter Mensch lädt fremde Fotos bei einer Stockfoto-Datenbank hoch, um sie dort zu verkaufen. Oder eine unzuverlässige Werbeagentur dreht dem Kunden Bilder ohne Lizenz an. Der gutgläubige Kunde baut die Fotos auf der eigenen Website ein – und erhält etwas später vom  Fotografen eine Schadenersatzforderung.

Dann sind die Chancen groß, dass bezahlt werden muss. Wer fremde Fotos im Internet nutzt, muss selbst nachprüfen, ob eine lückenlose „Rechtekette“ bis hin zum Fotografen existiert. Er darf sich nicht auf die Zusicherung eines „Zwischenhändlers” verlassen, dass urheberrechtlich schon alles okay sei. Das hat das OLG München vor einiger Zeit ausdrücklich bestätigt (Beschl. v. 15.01.2015 – 29 W 2554/14).

Das man solche „Sorgfaltspflichten” im Geschäftsalltag gar nicht immer umsetzen kann, liegt auf der Hand. Wie soll man  alle Verträge der beauftragten Werbeagentur oder einer Bilddatenbank (vermutlich mit Sitz im Ausland) und aller weiterer Beteiligten kontrollieren?  Zum Glück hilft eine Cyber-Versicherung  auch gegen dieses Rechts- und Abmahnrisiko. Eine Cyber-Police schließt im Regelfall auch Schäden durch Urheberrechtsverletzungen ein. Wenn der Verstoß nicht gerade sehenden Auges begangen wurde, wäre eine solche Schadenersatzforderung also regulierbar.

 

Britischer Minister für mehr Cyber-Versicherungsschutz

Ein Regierungsbericht aus Großbritannien beklagt den eklatanten Mangel an Cyber-Versicherungsschutz, meldet die BBC. Obwohl 81 Prozent der britischen Unternehmen in den zurückliegenden zwölf Monaten Opfer einer Sicherheitsverletzung wurden, seien nur zwei Prozent angemessen gegen Cyber-Risiken versichert, so der Minister für Kabinettsangelegenheiten, Francis Meade.

Die Hälfte der befragten Firmenchefs wusste nicht einmal von der Möglichkeit, sich gegen Cyber-Risiken zu versichern.

Als Konsequenz will die Regierung in London die Unternehmen nun verstärkt zum Abschluss von Cyber-Versicherungen motivieren. Bleibt aus deutscher Sicht hinzuzufügen: Die Cyber-Versicherungslücke ist bei uns kaum weniger groß und die Cyber-Risiken sowieso nicht. Der Unterschied ist, dass hier die Politik bislang noch nicht so recht verstanden hat, wie sinnvoll Cyber-Versicherungsschutz als Mittel gegen dieses Risiko ist.

Nicht nur aufgrund der finanziellen Unterstützung. Wenn der Schadensfall eintritt, ist die ebenfalls in der Police enthaltene, schnelle Unterstützung durch Berater und Spezialisten genau so wichtig, wie der Regierungsbericht unterstreicht.

 

Neue Cyber-Leitlinie der Versicherer: „Brandschutz des 21. Jahrhunderts“

Anfang der Woche war ich auf der CeBIT. Dort hat der Verband der Sachversicherer (VdS) seine neue „VdS-Cyber-Leitlinie VdS 3473“ zur Informationssicherheit in KMU vorgestellt, die voraussichtlich im Juli in Kraft tritt. Unternehmen, die diese Anforderungen an Technik, Organisation, Präventionsmaßnahmen und Managementprozesse einhalten, werden eine Cyber-Versicherung zu günstigen Standardbedingungen abschließen können. Damit sind sie vor den Folgen von Hacks, Datenverlusten, Havarien etc. geschützt, auch vor daraus resultierenden Schadenersatzforderungen.

Hintergrund der Einführung: Der Bedarf nach Cyber-Absicherung wird auch den Unternehmen immer mehr bewusst. Aber bislang fehlen – anders als beim Brandschutz oder Arbeitssicherheit – vor allem bei KMU allgemein genutzte IT-Sicherheitsstandards. Das ist für die Versicherer ein Problem. Sie wollen schnell und einfach einschätzen, woran sie bei einem neuen Kunden sind.

Deshalb will der VdS seine neue Richtlinie speziell bei KMU rasch populär machen. Dazu beitragen soll bereits jetzt ein kleines Web-Tool zur Selbsteinschätzung, der VdS-Quick-Check. Wenn dessen Ergebnisse in Ordnung sind, reicht das dem Versicherer als Risikobeurteilung bereits aus. Zeigt die Auswertung gelbe oder rote Felder, wird den Unternehmen der ein- oder zweitägige „Quick-Audit“ durch Experten empfohlen, und als große Lösung die komplette Zertifizierung.

Parallel wird eine Fortbildung zum „Informationssicherheitsbeauftragten“ angeboten.

Die neue Leitlinie bringt nicht nur für die Versicherer selbst, sondern auch für unsere Kunden, die Unternehmen mit Versicherungsbedarf, wirklich Vorteile:

  •  Der Nachweis des eigenen IT-Qualitätsstandards ist mit  der VdS-Leitlinie  viel unaufwändiger als mit dem IT-Grundschutz-Katalog des BSI.
  • Für die vielen unterschiedlichen Versicherungsangebote der Versicherer wird ein gemeinsamer Maßstab festgelegt, Deckungsinhalte und Prämien sind besser vergleichbar.
  • Das Netzwerk von Experten, das bei der Risikoaufnahme hilft, steht dann auch im Schadenfall kurzfristig bereit, um die Wiederherstellung der IT-Sicherheit zu gewährleisten.
  • Die VdS-Richtlinien machen die Haftung des Managements für IT-Sicherheit und Compliance transparent und –  mit einer Cyber-Versicherung und D&O-Lösungen – versicherbar.

Fazit: Zumindest den Quick-Check würde ich jedem Unternehmen empfehlen. Diese zwanzig Minuten sind sicher sinnvoll investiert, denn damit zeigt sich der aktuelle Stand des Unternehmens in Sachen Cyber-Sicherheit.

Versicherungsfall bei der IT-Haftpflicht: Das „Wann“ ist ganz entscheidend!

Frage eines Interessenten zum Thema IT-Haftpflichtversicherung: „Angenommen, unser Unternehmen schließt eine IT-Haftpflichtversicherung ab. Und dann ergibt sich auf einmal ein Schaden aus einem Projekt, das wir schon vor einem halben Jahr abgeschlossen haben – ein Programmierfehler, die falsche Hardware, irgend so etwas. Ist das dann auch gedeckt?“

Die Antwort: Es kommt darauf an. Am besten erklärt man es an einem Beispiel:

  • Nehmen wir an, Ihr Versicherungsschutz beginnt laut Vertrag am 1. Juni.
  • Bereits am 5. April  wurde beim Kunden eine mit mangelnder Sorgfalt erstellte Software installiert. Ein Fehler im Quellcode wartet darauf, Unheil anzurichten. (Der Fehler darf bei Abschluss des Versicherungsvertrags aber noch nicht bekannt gewesen sein!)
  • Am 13. Juli ist es dann soweit – das Problem wird virulent, die Datenbank des Kunden havariert, seine Produktion stockt.
  • Am 2. August erreicht sie das Einschreiben mit der Schadenersatzforderung.

Ist dieser Schaden durch Ihre IT-Haftpflicht gedeckt? Das hängt davon ab, welches von drei möglichen, branchenüblichen Prinzipien für die Definition des Versicherungsfalls bei Ihrer Police gilt:

  • Das Verstoßprinzip: Entscheidend ist der Zeitpunkt, zu dem die Pflichtverletzung passierte, die zur Haftpflicht führt.  In unserem Fall ist das im April, also vor Versicherungsbeginn, deshalb haben Sie mit dem Verstoßprinzip Pech.
  • Das Schadensereignisprinzip: Hier ist der Zeitpunkt des Schadens ausschlaggebend. Das war bei uns im Juli, im Folgemonat des Versicherungsbeginns. Hier haben Sie also Glück, die Ansprüche sind versichert.
  • Das Claims-made-Prinzip macht das Datum zum Stichtag, an dem die Schäden geltend gemacht werden, bei uns der  2. August. Auch in diesem Fall sind Sie geschützt.

Wenn der Softwarefehler allerdings beim Abschluss der Versicherung schon bekannt war, dann ist es so gut wie unmöglich, dafür eine Deckung zu erhalten – egal, wie der Versicherungsfall bei Ihrem Vertrag definiert ist.

Und daran sieht man, weshalb es wichtig ist, einen fachkundigen Versicherungsmakler zu haben. Denn der kann Ihnen sagen, welchen Schutz eine bestimmte Police Ihnen tatsächlich bietet.

 

Das schmutzige kleine Geheimnis der Cyber-Security

„Here’s the dirty little secret of cyber security, though: nothing is 100 per cent secure.“

„Hier ist das schmutzige kleine Geheimnis der Cyber-Sicherheit: Nichts ist zu 100 Prozent sicher.“ Das ist die zentrale Aussage in einem Beitrag der britischen IT-News-Website The Register.

Eigentlich will der Artikel erklären, dass ein Viren- und Malware-Scanner zwar unverzichtbar ist, aber keineswegs ausreicht, um die Rechner im Firmennetzwerk gegen Angriffe zu sichern. Man braucht vielmehr „layered security“, d.h. mehrere Schichten von Sicherheitsmaßnahmen. Es geht darum, weitere Löcher stopfen, durch Zugangsfilter für zwielichtige Websites, durch Viren- und Spamfilter auf dem Mailserver und durch pflichtbewusstes Installieren von  Updates und Patches.

Das ist alles richtig. Ansonsten ist der Artikel sicher nicht der beste Ratgeber zur Cyber-Security, den es je gab. Von Firewalls und mobilen Datenträgern zum Beispiel spricht er  gar nicht erst. Und das Konzept der „layered security“ ist ja nicht gerade neu. ABER: Der Satz oben ist entscheidend. Es gibt keine hundertprozentige IT-Sicherheit.

Ich füge hinzu: Dafür gibt es Cyber-Versicherungen. Denn das ist eine Sicherheitsmaßnahme, die auch der hinterhältigste Hacker der Welt nicht löschen, deaktivieren, zum Absturz bringen oder überschreiben kann.

 

Cyber-Angriff + Kündigungsschutz = Risiko persönlicher Haftung

„Eine Betriebsunterbrechungsversicherung sorgt dafür, dass im Schadensfall – z. B. Betriebsausfall durch Brand – die fixen Kosten übernommen werden. Dazu gehören auch Löhne und Gehälter.

Und weil es solche Versicherungen gibt, wird es schwierig bis unmöglich, Mitarbeiter betriebsbedingt zu kündigen, nur weil  die Firma gerade abgebrannt ist. Begründung der Arbeitsrichter: „Sie, Herr Geschäftsführer, hätten ja versichern können.” Hat der Manager die Versicherung versäumt, droht ihm die persönliche Haftung für die Lohnkosten der Mitarbeiter, die jetzt unproduktiv herumsitzen.

Genau das gleiche Risiko zeichnet sich auch bei Cyber-Angriffen ab. Datenbank platt, Produktion lahmgelegt, enorme Ausfälle – aber Kündigungen gehen trotzdem nicht durch. Statt dessen muss die Geschäftsführung sich mit Fragen zur persönlichen Haftung herumschlagen – wenn es keine Cyber-Risk-Versicherung gab.

Cyber-Risiken sind eben nicht (nur) das Problem der IT-Abteilung. Eine Cyber-Versicherung auch für die Geschäftsführung wichtig.  Und eine D&O-Police zur Absicherung der persönlichen Haftpflicht ebenfalls.

Cyber-Schwachstelle Heimcomputer – selbst im Kanzleramt

„Regin”, ein NSA-/GCHQ-Trojaner, wurde auf einem Laptop im Bundeskanzleramt entdeckt. Er kam von einem infizierten Heimcomputer  per USB-Stick. Eine hochrangige Mitarbeiterin hatte sich Arbeit mit nach Hause genommen. „Die Benutzung eines privaten USB-Sticks für solche Dateitransfers sei verboten, hieß es weiter.” Tja.

„Spear fishing” heißt es, gezielt einer bestimmten Person durch eine auf sie zugeschnittene Fake-Nachricht „Malware” unterzujubeln. Hat immer wieder Erfolg. Aber eine Cyber-Risk-Versicherung hilft auch dann.

Quellen: „Bild” und z. B. auch Golem.de.