IT-Dienstleister hat die Zugangsdaten: Datenschutzverstoss - Symbolbild: Photo Mix via Pixabay

Datenklau mit Zugangsdaten des IT-Dienstleisters: Schadenersatz

Wer hat eigentlich Zugangsdaten zu Ihren IT-Systemen?

Nicht gelöschte Zugangsdaten werden schnell zum teuren Risiko. Zur IT-Sicherheit im Unternehmen gehört es, Zugänge von Mitarbeitern und Dienstleistern regelmäßig zu überprüfen und bei Bedarf zu löschen.

Wenn ein Unternehmen die Zugangsdaten früherer Mitarbeiter und Dienstleister nicht deaktiviert und Unbefugte damit Daten stehlen, drohen Schadenersatzansprüche – und die können ohne Versicherung existenzbedrohend werden.

All das zeigt ein Fall, über den das Landgericht München I vor kurzem entschieden hat (LG München, 09.12.2021 – 31 O 16606/20). Das Urteil unterstreicht, warum Unternehmen unbedingt ihre Haftung für Datenschutzverstöße versichern sollten.

Haftung für Kundendaten, die über den Zugang eines Dienstleisters gestohlen wurden

Das Gericht sprach einem früheren Kunden des Finanzdienstleisters Scalable Capital 2.500 Euro Schadenersatz und einen zusätzlichen Anspruch auf Ersatz aller noch entstehenden Schäden zu.

Der Mann hatte bei dem Online-Broker ein Depotkonto eingerichtet und dazu viele personenbezogene Daten übermittelt. Diese fielen unbekannten Datendieben in die Hände: von der Post- und E-Mail-Adresse sowie der Handynummer über das Geburtsdatum und die Steuer-ID bis zu Wertpapierabrechnungen und der IBAN des Referenzkontos. Auch eine Ausweiskopie und das Porträtfoto fürs Post-Ident-Verfahren wurden entwendet.

Ausgangspunkt waren Zugangsdaten von CodeShip Inc., ein früherer Cloud- bzw. SaaS-Dienstleister von Scalable Capital („Software as a Service“, Cloud-Hosting von Anwendungen). Obwohl die Geschäftsbeziehung schon 2015 geendet hatte, funktionierte der CodeShip-Zugang zur IT von Scalable Jahre später noch immer. Mit diesen Zugangsdaten unternahmen Unbekannte drei großen Daten-Raubzüge: im April, im August und im Oktober 2020 wurden 389.000 Datensätze von insgesamt 33.200 Scalable-Kunden ausgelesen. Die Informationen wurden später für versuchten Kreditbetrug genutzt und im Darknet zum Verkauf angeboten.

Zugangsdaten beim Dienstleister, Haftung beim Auftraggeber

Scalable muss also zahlen, obwohl für den Hack bei CodeShip hinterlegte Zugangsdaten missbraucht wurden. Dabei befasste sich das Gericht gar nicht erst mit der möglichen Verantwortlichkeit von Scalable für Sicherheitsmängel beim früheren Dienstleister. Es sah entscheidende Versäumnisse bei dem Online-Broker selbst: Der hätte den Zugang des ehemaligen Geschäftspartners längst deaktivieren bzw. die Löschung des Zugangs überprüfen müssen.

Stattdessen verließ er sich fahrlässigerweise darauf, dass der frühere Geschäftspartner die Zugangsdaten schon löschen würde. In diesem Versäumnis sahen die Richter einen Datenschutzverstoß. Dieser führte zur Haftung des Finanzunternehmens. Es nützte ihm wenig, dass er nach dem Vorfall sofort Gegenmaßnahmen getroffen hatte und dem betroffenen Kunden noch kein konkreter materieller Schaden entstanden war.

Dem Unternehmen droht eine Klagewelle

Die 2.500 Euro plus Zinsen, die dem klagenden Kunden zugesprochen wurden, sollte man nicht unterschätzen. Von der Datenschutzverletzung waren wie erwähnt mehr als dreißigtausend Kunden betroffen. Sollte sich eine größere Anzahl von ihnen zur Klage entschließen, können schnell gewaltige Summen zusammenkommen.

Das Risiko von Datenschutzverletzungen lässt sich versichern!

  • Immer häufiger gestehen die Gerichte den Betroffenen einer Datenschutzverletzung Anspruch auf Schadenersatz zu.
  • Ein konkreter finanzieller Schaden muss dafür nicht vorliegen. Auch Nichtvermögensschäden begründen Entschädigungsansprüche, etwa Identitätsdiebstahl, Rufschädigung, gesellschaftliche Nachteile oder der Verlust der Vertraulichkeit (LG München I, 02.09.2021 – 23 O 10931/20).
  • Dazu kommen Bußgelder. Die sind bei Verstößen gegen die Datenschutzvorschriften oft von empfindlicher Höhe.

  • Der Verweis auf das hohe IT-Sicherheitsniveau nützte Scalable Capital vor Gericht gar nichts. Ja, die IT-Infrastruktur war gemäß ISO 27001 zertifiziert. Entscheidend war jedoch der nicht gelöschte Zugang. Das bestätigt wieder einmal: Selbst aktuelle Technik und Zertifizierungen garantieren keine IT-Sicherheit. Genau deshalb sind Versicherungen sinnvoll.

  • Die gute Nachricht: Die Haftung aus Datenschutzverstößen lässt sich versichern, solange sie nicht gerade vorsätzlich begangen werden. Auch für das Risiko der Unternehmensleitung, für solche Vorfälle persönlich zu haften, gibt es Versicherungsschutz. Das Gleiche gilt für Eigenschäden aus einer Cyber-Attacke.

acant hilft Ihnen beim Risikomanagement

Wir von acant sind Spezialversicherungsmakler für technische Unternehmensrisiken, Cyber-Bedrohungen und Manager-Haftung. Wir beraten Sie gerne dazu, wie sich das Risiko der Datenschutzhaftung in Ihrem Unternehmen betriebswirtschaftlich sinnvoll versichern lässt. Rufen Sie uns an (030 863 926 990) oder schreiben Sie uns!

Cyber-Versicherung oder Cyber-Sicherheit? Falsche Frage! Symbolbild: Andreas Lischka via Pixabay

Cyber-Versicherung oder IT-Sicherheit? Falsche Frage!

Entweder oder? So einfach ist es nicht

Vor kurzem bin ich in einem Fachbeitrag über folgende Passage gestolpert:

Eine gute Cybersecurity, die den Hackern eine aufmerksame und wirksame Verteidigung entgegenstellt, und eine Versicherung schließen sich nicht aus. Im Gegenteil: Häufig ist ein Mindestmaß an Security Voraussetzung für Versicherungen. Doch die Kosten für beides gleichzeitig sind oft sehr hoch und nicht von jedem Unternehmen zu stemmen. In diesem Fall muss ein Unternehmen besonders kosteneffizient handeln. Dabei lässt sich festhalten, dass ein Euro in eine gute Sicherheitsstruktur hier fast immer besser angelegt ist als in eine Versicherung. Sie verhindert, dass der Schaden überhaupt erst entsteht.

Frank Kölmel, „Was Cyberversicherungen leisten können – und was nicht“, Security-Insider.de

Wo sollten kluge Geschäftsleute ihr Geld besser investieren – in eine Cyber-Versicherung oder in technische IT-Sicherheitsmaßnahmen? Diese Frage, die der Autor anspricht, liegt mir am Herzen, seit ich mit Cyber-Versicherungen beschäftigte. (Und das sind mittlerweile fast zehn Jahre. acant war einer der ersten Makler in Deutschland, der sich auf Cyber-Risiken spezialisierte.)

Allerdings glaube ich nicht, dass die Frage „Cyber-Versicherung oder Cyber-Sicherheitstechnik?“ wirklich Sinn ergibt. Wer so fragt, hat ein Grundprinzip im Risikomanagement nicht verstanden.

Ganz einfach: Es braucht beides, Cyber-Versicherung und Cyber-Sicherheit

Bestimmte Maßnahmen verringern die Wahrscheinlichkeit, dass ein Schadensereignis wie die Betriebsunterbrechung durch Ransomware eintritt. Zu diesen Maßnahmen gehören technische Sicherheitsmaßnahmen, aber auch organisatorische Vorkehrungen wie Schulungen und strikt durchgesetzte Verhaltensregeln. Wenn die Kosten solcher Maßnahmen die geringere Schadenswahrscheinlichkeit rechtfertigen, ergeben sie betriebswirtschaftlich Sinn.

Diese Maßnahmen können Schäden aber nicht vollkommen ausschließen bzw. verhindern. Auch das ist schlicht eine Frage der Wahrscheinlichkeit. Schulungen können Leichtsinn nicht unterbinden. Technik kann Störungen erleiden, falsch verwendet oder bewusst missbraucht werden. Sabotage ist immer möglich.

Und deshalb erfordert ein vernünftiges IT-Sicherheitskonzept auch Versicherungen. Die können, wie Frank Kölmel richtig anmerkt, den Schadenseintritt nicht verhindern. Das ist auch nicht ihr Sinn. Sie können dafür etwas, was die Technololgie nicht schafft: Sie kompensieren den Schaden, wenn es doch zur Sicherheitsverletzung kommt.

Wer sich keine Cyber-Versicherung leisten kann, kann sich keine IT leisten

So könnte man es etwas überspitzt formulieren. Eine fachgerecht administrierte Unternehmens-IT hält das Risiko erfolgreicher Cyber-Angriffe in einem beherrschbaren Rahmen. Es sinkt aber keineswegs auf Null. Auch wenn mittlerweile jeder die Aussage kennt: Die Frage ist nicht, ob es zur IT-Sicherheitsverletzung kommt, sondern wann sie sich ereignet. Aufgabe der IT-Fachleute ist es, dieses „wann“ möglichst hinauszuzögern.

Wenn der Schaden dann doch eintritt, wird die Cyber-Versicherung wichtig. Die Versicherungsprämien, die das Unternehmen über die Jahre hinweg überwiesen (und als Betriebsausgaben geltend gemacht) hat, haben die Kosten des Cyber-Angriffs oder der Datenschutz-Panne schon im Voraus in planbarer Form bezahlt. Jetzt übernimmt die Versicherung die Kosten. Das Schadenereignis reißt also kein Loch in die Bilanz. Ebenso unvorhergesehene wie unvermeidbare Ausgaben wurden auf einen langen Zeitraum verteilt und betriebswirtschaftlich sinnvoll minimiert.

Es geht auch weniger abstrakt

Eine Cyber-Versicherung leistet viel mehr, als nur Schäden zu begleichen. Die meisten Versicherer leisten Akut-Hilfe direkt nach einer Attacke. Sie helfen bei der forensischen Analyse und dem Beseitigen der aufgetretenen Sicherheitslücke. In der Deckung sind nicht nur Eigenschäden eingeschlossen, sondern auch Schadenersatzansprüche anderer Unternehmen und Personen.

Cyberangriffe sind längst ein Teil der Unternehmensrealität. Technik und organisatorische Vorkehrungen mildern das Risiko ab. Versicherungen machen das Restrisiko betriebswirtschaftlich tragbar. Unternehmen können sich längst nicht mehr leisten, auf eine der beiden Komponenten zu verzichten.

Genauso wenig wie auf Beratung. So wie die Netzwerksicherheitslösung zum Firmennetz passen muss, hilft die Cyber-Versicherung nur, wenn sie auf das Unternehmen abgestimmt wurde. Dafür zu sorgen, ist unser Geschäftsfeld. Wir von acant sind auf Cyber-Versicherungen spezialisiert. Sie erreichen uns unter 030 863 926 990 oder über das Kontaktformular!

Betriebshaftpflicht nicht versichert bei IT-Dienstleistern, Symbolfoto Dünnes Eis von PublicDomainPictures via Pixabay

Haftungsrisiken für IT-Dienstleister: Dünnes Eis bei Projektverzug und Datenverlust

Viele IT-Dienstleister schätzen die eigentlichen Risiken falsch ein

Der IT- und Cyber-Versicherer Hiscox hat kleine und mittelständische IT-Dienstleister befragt. Eines der Ergebnisse: Die Risikoeinschätzung der Manager und Managerinnen passt nicht zu dem, was die Hiscox-Schadenstatistik als eigentliche Branchenrisiken ausweist.

Anders gesagt: die IT-Dienstleister unterschätzen, für welche Art Schadenersatzforderung am häufigsten bezahlt wird. Zudem sind gerade kleinere Unternehmen oft nicht ausreichend versichert.

Branchenrisiken von IT-Dienstleistungsunternehmen: Einschätzung und Fakten

Die IT-Entscheider sahen die Risiko-Rangliste so:

  1. Datenverlust durch Cyberangriff oder menschliches Versagen
  2. Ausfall der IT-Infrastruktur
  3. Projektverzögerung, Projektausfall oder Projektabbruch.

Die Schadenstatistik des Versicherers zeichnet dagegen ein anderes Bild der tatsächlichen Risiken:

  1. Projektverzögerung, Projektausfall oder Projektabbruch
  2. Datenverlust des Kunden durch Programmierfehler
  3. Kundenklagen wegen vermeintlicher Fehler des Dienstleisters

Für die Studie wurden etwas mehr als 200 Manager und Managerinnen sowie leitende Angestellte kleiner und mittelständischer IT-Dienstleistungsunternehmen befragt.

Zu wenige IT-Dienstleister sind versichert

Knapp 49 % der befragten Unternehmen haben eine IT-Betriebshaftpflichtversicherung, die durch den Betrieb verursachte Personen- und Sachschäden deckt. Knapp 44 Prozent sind gegen Cyber- und Datenrisiken versichert. Eine IT-Berufshaftpflicht zur Deckung von Vermögensschäden haben knapp 39 Prozent.

Gerade bei kleinen Unternehmen fehlen oft betriebliche Versicherungen. Beispielsweise haben etwa nur 22 Prozent in diesem Segment eine IT-Betriebshaftpflichtversicherung abgeschlossen.

Fehlende Versicherungen sind auch ein Problem für die Auftraggeber

Dabei darf man nicht übersehen: Mangelndes Risikomanagement von IT-Unternehmen steigert auch das Risiko der Auftraggeber. Schließlich fehlen dann oft die Mittel zum Begleichen von Schadenersatzforderungen, wenn der Auftragnehmer eines IT-Projekts für Mängel oder Verzögerungen verursacht.

Mit dem Versichern von IT-Projekten haben wir uns in den Beiträgen „Gewährleistungs- oder Erfüllungsbürgschaft für IT-Projekte“ und „IT-Projekt mit Freelancern als Subunternehmer versichern“ befasst.

Es gab noch weitere interessante Ergebnisse

Natürlich ging es nicht nur um Versicherungen und Haftung. Die Umfrage ergab außerdem weitere interessante Ergebnisse, zum Beispiel diese:

  • Mehr als 40 Prozent der IT-Dienstleister haben seit der Pandemie mehr Aufträge bekommen. Allerdings profitierten vor allem größere Betriebe, kaum die kleineren.
  • Als Digitalisierungsbremsen sehen die IT-Fachleute in erster Linie fehlendes Know-how bei ihren Auftraggebern sowie bürokratische Hürden. Investitionszurückhaltung und auch Datenschutzvorgaben werden seltener genannt.

acant berät IT-Dienstleister und ihre Kunden zu Versicherungen

acant ist Spezialmakler für IT-Versicherungen sowie für Managerhaftpflicht-Policen. Wir beraten Sie ausführlich und selbstverständlich kostenlos dazu, wie Sie ihre geschäftlichen Risiken günstig und verlässlich absichern – ob als IT-Dienstleister oder als Auftraggeber.
Rufen Sie uns an oder schreiben Sie uns!

Brandgefahr durch E-Autos und Ladestationen versichern? Symbolfoto: Reinhard Thrainer via Pixabay

Feuergefahr durch E-Autos und Ladestationen in Tiefgaragen: zahlt die Gebäudeversicherung?

Die Gebäudeversicherung und die Gefahr brennender E-Fahrzeuge: Viele Fragen

Zahlt die Gebäudeversicherung den Schaden, wenn ein E-Auto in der Tiefgarage brennt? Wie ist es mit der Feuerversicherung, wenn in der Tiefgarage oder direkt am Gebäude eine Ladestation eingerichtet wird? Steigen die Versicherungskosten?

Diese Fragen sind zurzeit sehr aktuell. Inzwischen haben erste Tiefgaragen die Zufahrt für E-Autos einschließlich von Hybridfahrzeugen gesperrt, so im fränkischen Kulmbach und im schwäbischen Leonberg. Die Begründung: Brandschutz.

Nach dem Brand eines E-Autos in der Tiefgarage kann das Gebäude abbruchreif sein

Stromer bzw. Hybridfahrzeuge geraten nicht häufiger in Brand als Autos mit Verbrennungsmotor. Das sagen zumindest die Statistiken, auch wenn für wirklich tragfähige Aussagen noch zu wenig Zahlen vorliegen.

Aber: Wenn es passiert, dann bringt sie am ehesten ein technischer Defekt beim Ladevorgang zum Brennen. Lithium-Ionen-Akkus sind gefährdet, wenn sie überladen werden oder Temperaturen von 180 Grad Celsius oder mehr ausgesetzt sind. Brennt die Batterie erst einmal, dann dauert der Autobrand in der Regel viel länger als bei herkömmlich angetriebenen Fahrzeugen.

Wenn der Akku Feuer fängt, hat die Feuerwehr ein Problem – der Immobilieneigentümer ebenfalls

Wenn der Akku eines E-Autos brennt, kann die Feuerwehr mit normalem Löschschaum nicht mehr viel ausrichten. In der Regel bleibt nur, den Wagen ausbrennen zu lassen – was mehrere Tage dauern kann. Viele Tiefgaragen sind zu niedrig und verwinkelt, um brennende E-Fahrzeuge mit dem nötigen Sicherheitsabstand ins Freie ziehen zu können. Außerdem entwickeln sich je nach Batterietyp giftige Gase.

Wenn das Brandgeschehen sich über Tage hinzieht und Stahlträger, tragende Wände und andere bauliche Elementen lange Zeit sehr hohen Temperaturen ausgesetzt sind, kann das die Bausubstanz komplett schädigen. Schlimmstenfalls ist die Statik des Gebäudes bedroht, der Abriss oder die Komplettsanierung die zwingende Folge.

Die Alternative: Große Mengen an Löschwasser

Als Alternative kann die Feuerwehr ganze Schwimmbecken an Löschwasser einsetzen, um die Batteriezellen zu kühlen, wenn der Zugang möglich ist. Das hat aber ebenfalls Folgen. Wenn Tausende von Litern Wasser durch die Tiefgarage fließen, sind ebenfalls Schäden vorprogrammiert.

Immerhin gibt es bereits Brandbekämpfungsmittel, die speziell für brennende Akkus entwickelt wurden: Löschlanzen werden in den Akku gerammt und sorgen dafür, dass das Wasser direkt die betroffenen Zellen kühlt. Das verringert den Wasserverbrauch erheblich. Es ist aber keinesfalls immer einfach, die Fahrzeugbatterie eines brennenden Wagens mit einer solchen Löschlanze zu erreichen.

Anforderungen der Sachversicherer

Bisher halten sich die Anforderungen der Sachversicherer noch im Rahmen. Die Versicherungsgesellschaften decken das Risiko der Akku-Brände in der Gebäudeversicherung bzw. Feuerversicherung mit ab. Eigene Deckungen oder Zusatzbausteine sind nicht erforderlich. Ladeeinrichtungen, ihre Umgebung und der bauliche Zustand müssen allerdings in Ordnung sein.

Der Gesamtverband der Deutschen Versicherungswirtschaft hat seine Anforderungen zu „Ladestationen für Elektrostraßenfahrzeuge“ im Merkblatt 3471 zusammengestellt. Es befasst sich sowohl mit Ladesäulen wie mit Wallboxen bzw. dem Laden über Haushaltsstrom, für E-Autos, Elektroroller und E-Bikes.

Überraschendes enthält das Merkblatt nicht. Selbst für Ladestationen in Mittel- und Großgaragen werden die Ladebetriebsart 4 (mit fest installierten Säulen) sowie ein angemessener zusätzlicher Überspannungsschutz nur empfohlen. Solange es bei Installation und Betrieb der Ladesäulen sachgerecht zugeht, wird die Versicherung Brandschäden wohl übernehmen müssen.

Wichtig: Gefahrenhöhung melden

Neu eingerichtete Ladestationen sollten Sie dem Versicherer als Gefahrerhöhung melden. Sonst verweigert der womöglich später die Regulierung von Schäden. Ein Anruf bei acant genügt: Wir kümmern uns um die Kommunikation mit der Versicherungsgesellschaft.

Die Versicherer sehen, dass das Risiko wächst

E-Autos waren lang genug reine Exoten. Inzwischen steigen die Zahlen rasant, es gibt immer mehr Hybrid- und E-Fahrzeuge. Gleichzeitig entwickelt sich die Batterietechnik weiter, der Ladevorgang wird schneller. Der gerade vorgestellte Hyundai Ioniq 5 hat eine Batteriespannung von 800 Volt und soll in 10 Minuten auf 80 Prozent laden.

Umgekehrt kann der Eigentümer des Gebäudes kaum kontrollieren, ob an der Ladestation auf dem Parkdeck oder direkt vor der Tür nur Fahrzeuge in einwandfreiem technischem Zustand aufgeladen werden. Derzeit kommt noch dazu, dass in vielen Gebäudeobjekten wegen Corona weniger Betrieb ist und ein Brand vielleicht später bemerkt wird.

Probleme für Eigentümer sind absehbar

Der Problemkomplex „E-Autos/Ladestationen/Brandrisiko/Versicherung“ dürfte weiter aktuell bleiben. Immobilieneigentümer, Eigentümergemeinschaften, Hausverwaltungen und Gewerbemieter sollten die Lage im Auge zu behalten.

  • In Eigentümergemeinschaften droht Konfliktpotential. Zum einen haben Eigentümer seit Dezember 2020 einen Anspruch darauf, auf eigene Kosten eine Ladevorrichtung einzubauen (§ 20 WEG). Andererseits kann das schnell zu Streit führen, wenn Miteigentümer ein erhöhtes Brandschaden-Risiko ins Feld führen, oder deshalb später einmal die Versicherungsprämien steigen. Außerdem kann die WEG zwar nicht verhindern, dass eine Ladestation eingebaut wird, sie kann aber über die Ausführung der Baumaßnahme bestimmen. Die E-Mobilität könnte also ein Streitpunkt bei der nächsten Eigentümerversammlung werden.
  • Für Vermieter gilt ähnliches: Mieter einschließlich von Gewerbemietern haben einen Anspruch darauf, auf eigene Kosten Ladestationen für E-Autos einzurichten (§ 554 BGB). In dem Fall muss der Vermieter schauen, dass der Versicherungsschutz das Brandrisiko angemessen abdeckt.
  • Wo es machbar ist, gehören Ladestationen ins Freie, in angemessener Distanz zum Gebäude und allem, was im Brandfall für teure Schäden gut ist. Im Moment ist das Versichern von Ladestationen zwar noch kein Problem. Doch in einigen Jahren kann es sich mit Blick auf die Versicherungsprämien auszahlen, wenn man jetzt schon vorausdenkt.

Wir von acant werden das Thema auf jeden Fall weiter verfolgen. Schließlich sind wir Spezial-Versicherungsmakler für technische Risiken. Wenn Sie Fragen oder Anmerkungen dazu haben, freuen wir uns über Ihre Rückmeldung: 030 863 926 990.

Versicherer kündigt Cyber-Versicherung oder erhöht Prämien? Symbolbild: OpenClipart-Vectors via Pixabay

Cyberversicherung: Was tun, wenn der Versicherer mehr Prämie will oder kündigt?

Wie verhindert man, dass der Versicherer die Cyber-Police kündigt? Wie reagieren, wenn er die Prämien anhebt, oder die Versicherungsbedingungen schlechter werden?

Die Situation am Cyber-Versicherungsmarkt: mehr Nachfrage, mehr Schäden = steigende Prämien

Die meisten Unternehmen sind sich des Kostenrisikos von Cyber-Angriffen, Hackern oder Datenschutzverletzungen mittlerweile bewusst. Dass eine Cyberversicherung ebenso zur betrieblichen Grundausstattung gehört wie die Feuerversicherung der Firmenimmobilie, wird von immer mehr Unternehmen akzeptiert.

Gleichzeitig werden die Versicherer zunehmend knausriger. Viele zwacken an der Deckung, während sie die Prämien anheben. Der Grund: Die Schadensfälle nehmen zu, weil Unternehmen laufend Opfer von Hackern werden (besonders von Ransomware, mit besonders teuren Folgen). Corona-Krise und Home-Office erhöhen die Risiken. Dazu kommt, dass Datenschutzverstöße konsequenter geahndet werden.

Und wenn die Schadensleistungen steigen, dann steigen auch die Prämien, das ist ein Naturgesetz auf dem Versicherungsmarkt. Was bedeutet das für die Versicherungskunden?

Je früher der Abschluss der Cyber-Versicherung, umso besser die Bedingungen

Bei Bestandsverträgen scheuen die Versicherungsgesellschaften einen sprunghaften Anstieg der Prämien oder harte Einschnitte bei der Deckung. Bei Neukunden haben sie dagegen kein Problem damit, die Daumenschrauben anzuziehen.

Diese Daumenregel (wenn man so will) gilt für alle Versicherungssparten, bei denen die Versicherer skeptischer und teurer werden: bei Cyber-Versicherungen, bei D&O-Versicherungen und generell bei Gewerbe- und Industrie-Versicherungen. Je länger man als Kunde wartet, desto ungünstiger fallen die Versicherungsbedingungen und Versicherungskosten aus.

Ein Versicherungsmakler schützt davor, den Preisanstieg über die Versicherungsbedingungen untergejubelt zu bekommen

Das Prinzip kennt man aus dem Supermarkt: Statt den Preis für die Packung Kekse zu erhöhen, packt man einfach weniger Kekse rein. Die Verpackung lässt man natürlich gleich groß. Das funktioniert auch bei betrieblichen Versicherungen: Die Prämie bleibt gleich, dafür bringt man ein paar Haftungsausschlüsse und Sublimits im Kleingedruckten unter. Kunden, die nur über den Preis kaufen, greifen trotzdem zu. Wer einen Versicherungsmakler hat, der den Markt (und das Kleingedruckte) genau im Auge behält, bekommt die Änderung mit und kann die Angebote sinnvoll vergleichen.

Die Gefahr dass der Versicherer kündigt, steigt

Wenn es zum Versicherungsfall kommt, haben beide Seiten ein Sonderkündigungsrecht. Selbst wenn der Versicherer das nicht gleich ausnutzt, wird er möglicherweise nach einem Schadensfall darauf hinweisen, dass man bei der Vertragsverlängerung doch die Prämie ein wenig anpassen sollte. Der Markt habe sich schließlich verändert. Solchen Anfragen sollte man natürlich nicht einfach nachgeben. Wer die Ohren jedoch komplett verschließt, muss unter Umständen damit rechnen, dass der Versicherer doch noch kündigt bzw. nicht mehr verlängert.

Gekündigt zu werden ist deshalb ein Problem, weil andere Versicherer ein vom Wettbewerber gekündigtes Unternehmen ebenfalls nicht gern versichern. Sie misstrauen dem Risiko. Im schlimmsten Fall steht man deshalb ganz ohne Versicherungsschutz dar.
Übrigens: Auch da helfen wir als Versicherungsmakler. Wir können Sie dazu beraten, ob es sinnvoll ist, nach einem Schaden einer maßvollen Prämien-Anhebung zuzustimmen. Alternativ suchen wir proaktiv und vor einer Kündigung eine andere Versicherungsgesellschaft. Das ist viel besser, als nach einer Kündigung suchen zu müssen.

Je enger der Versicherungsmarkt, umso wichtiger ist ein verlässlicher Versicherungsmakler

Der Markt für Cyber-Versicherungen wird enger, aber mit einem Makler wie acant befinden Sie sich trotzdem auf Augenhöhe mit den Versicherern. Wir wissen, welche Prämien angemessen sind, wie weit der Deckungsumfang jedes Versicherungsangebots wirklich reicht, und wir verhandeln für Sie mit den Versicherungsgesellschaften.

Rufen Sie einfach an – dann schauen wir gemeinsam, was wir für Ihr Unternehmen tun können: 030 863 926 990.

IT-Sicherheit im Home Office: Praxistipps

Home Office ist für Arbeitgeber nicht unproblematisch

Home Office heißt die Parole der Stunde. Die Corona-Situation ist nun einmal, wie sie ist. Allerdings sehen viele Arbeitgeber das mit gemischten Gefühlen. Ihre Skepsis betrifft nicht nur Mitarbeiter, die sich ohne den äußeren Rahmen schlecht motivieren und strukturieren. Ein mindestens ebenso großes Problem ist die Daten- und IT-Sicherheit.

Wenn die Mitarbeiter im Home Office arbeiten, steigt für den Betrieb das Risiko von IT-Sicherheitsverletzungen:

  • Ohne die soziale Kontrolle im Büro sinkt die Schwelle, neben der Arbeit mal eben auf zwielichtige Seiten zu gehen. Mit dem Risiko, sich dort Malware einfangen.
  • Ein isolierter Arbeitnehmer ist leichter angreifbar. Schließlich kann man bei Computerproblemen, unklaren E-Mail-Anhängen, verdächtigen Anfragen etc. im Büro die Kollegen um Rat fragen. Im Home Office liegt die Hürde höher.
  • Im privaten Umfeld können Außenstehende schnell Einblick oder Zugriff auf Hardware und Daten des Betriebs erhalten: beispielsweise Partner, Kinder, Besucher etc.
  • Wenn zuhause private Geräte oder das private WLAN genutzt werden, bedroht jede ihrer Sicherheitslücken das Firmennetz.

Weil auch wir von acant dazu immer wieder gefragt werden, haben wir hier einige hilfreiche Inhalte rund um „Sicherheit im Home Office“ zusammengestellt – Arbeitshilfen, kurze und lange Videos sowie Checklisten.

Mit am wichtigsten: Eine Cyber-Versicherung, die das Home Office abdeckt

Eine Cyber-Versicherung schützt vor den finanziellen Schäden durch Trojaner und Hacker, vor Datenschutzverstößen und IT-Sicherheitsverletzungen. Doch längst nicht jede Police deckt auch Schäden ab, die beim Arbeiten im heimischen Wohnzimmer entstanden sind.

Bei manchen Policen ist dieses Risiko mitversichert. Andere Versicherer verlangen zumindest eine Mitteilung über die Risikoerhöhung. Und wieder andere schließen IT-Sicherheitsverletzungen, die im Homeoffice entstehen, komplett aus der Deckung aus.

Wir von acant prüfen kostenlos, ob Home Office zum Deckungsumfang Ihrer Cyber-Versicherung gehört. Bei Bedarf kümmern wir uns auch um die Mitteilung an den Versicherer, um eine nötige Deckungserweiterung oder um eine bessere Police. Rufen Sie uns an (030 863 926 990) oder schreiben Sie uns (zum Kontaktformular).

Tipps für eine Sicherheitsrichtlinie zum Home Office

Die entscheidenden Punkte für eine betriebliche Sicherheitsrichtlinie zur Arbeit von zuhause aus hat das BSI (Bundesamt für Sicherheit in der Informationstechnik) zusammengefasst.

Die PDF-Broschüre umfasst vier Seiten: Regelungen für Telearbeiter / Sicherheitsrichtlinie für die Telearbeit.

IT-Sicherheit im Home Office: Webinar-Mitschnitt

Die IHK Oberbayern hat den Mitschnitt eines mehr als einstündigen Webinars zum Thema „IT-Sicherheit im Homeoffice“ bei Youtube eingestellt. Dozent ist der IT-Sicherheitsexperte Florian Hansemann. Dafür muss man sich natürlich Zeit nehmen. Im Gegenzug erhält einen umfassenden Einblick ins Thema.

Hier klicken, um den Inhalt von YouTube anzuzeigen.
Erfahre mehr in der Datenschutzerklärung von YouTube.

Weitere Tipps kann man in Florian Hansemanns Blog nachlesen: „3 x mehr Sicherheit im Home Office

Tipps vom Mittelstand-Kompetenzzentrum

Die „Mittelstand 4.0-Kompetenzzentren“ sollen die Digitalisierung in Deutschland voranbringen. Dafür gibt es 26 dieser Kompetenzzentren mit unterschiedlichen regionalen oder Branchen-Schwerpunkten. Viele bieten Tipps oder auch Seminare rund ums Heimbüro an. Hier einige Inhalte vom Berliner Mittelstand 4.0-Kompetenzzentrum „Gemeinsam Digital“: Arbeitsrecht und Home Office – in knapp vier Minuten die wichtigsten Grundlagen:

Tipps für Videokonferenzen prägnant zusammengefasst:

Hier klicken, um den Inhalt von YouTube anzuzeigen.
Erfahre mehr in der Datenschutzerklärung von YouTube.

Außerdem gibt es von Gemeinsam Digital zwei nützliche Checklisten:

Zum Schluss

Homeoffice-Arbeit erhöht objektiv das betriebliche Risiko. Deshalb ist betriebliches Risikomanagement gefordert. Kernstück sind Versicherungen: für Cyberschäden, Vertrauensschaden, Haftpflicht, Rechtsschutz etc.

Als Spezialmakler sorgen wir von acant dafür, dass Ihr Unternehmen den optimalen Schutz bei geringstmöglichen Kosten erhält: Sprechen Sie uns an.

Cyberversicherung, Elektronikversicherung, Maschinenversicherung - Symbolfoto: Michal Jarmoluk via Pixabay

All in one: Cyber-Versicherung, Maschinenversicherung, Elektronikversicherung

… und dazu eine Deckung für die Betriebsunterbrechung im Schadensfall

Für Unternehmen, die sich „in einem Aufwasch“ gegen Schäden …

  • durch einen Cyberangriff
  • an ihrer Elektronik
  • an ihren Maschinen

versichern wollen, gibt es mittlerweile Cyber-Policen mit entsprechender Deckungserweiterung für das elektronische Betriebsvermögen und die Maschinen des Betriebs.

Aus Sicht des Versicherungsexperten gibt es an dem Angebot mehrere positive Details:

  • Die Deckungserweiterungen betreffen je eine pauschale Maschinenversicherung und Elektronikversicherung.
  • Mitversichert ist auch eine Betriebsunterbrechung, die sich durch Maschinen- oder Elektronikschäden ergibt. Das ist ein wichtiger Punkt, denn was nützt der Schadenersatz für das kaputte Gerät, wenn der zweiwöchige Umsatzausfall dem Unternehmen das Genick bricht?
  • Es besteht keine Gefahr, dass eine Unterversicherung zur Kürzung der Versicherungsleistung führt. Bei anderen Sachpolicen kann es passieren, dass der Versicherer nach der Schadensmeldung erst einmal den Versicherungswert ermittelt, dann eine Unterversicherung moniert und deshalb nur einen Teil des Schadens ersetzt. Bei diesen Bausteinen handelt es sich dagegen um eine Versicherung „auf erstes Risiko“ mit Auszahlung der vollen Versicherungssumme. Und zwar unabhängig davon, ob der Versicherungswert der Versicherungssumme entspricht.
    Dieser Punkt ist bei Schadensfällen in der Praxis wichtig, denn es ist gar nicht so einfach, den Wert von Maschinen sowie elektronischen Anlagen und Geräten sauber zu bestimmen. Außerdem spart man sich den Aufwand, ständig aktuelle Inventar-Listen mit den aktuellen Versicherungswerten aller Maschinen und Anlagen zu führen.
  • Dadurch, dass sowohl Elektronik wie Maschinen versichert sind, spart man sich die Abgrenzung zwischen den beiden Versicherungsarten. Das ist keineswegs banal. Bei der Überprüfung der Bestandsversicherungen von Neukunden erleben wir immer wieder, dass eine elektronische Anlage als Maschine versichert ist, oder umgekehrt. Das kann im Schadensfall den Versicherungsschutz kosten. Wenn sowieso beides versichert ist, sind solche Probleme ausgeschlossen.

Cyber-, Elektronik- und Maschinenversicherung: Lohnt sich die Drei-in-eins-Police?

Brauchen Sie denn für Ihr Unternehmen eine Versicherungspolice, die erstens vor Verletzungen Ihrer IT-Sicherheit durch Hackerangriffe schützt, zweitens eine Maschinenversicherung umfasst und drittens auch Ihre Elektronik abdeckt? Sind diese Deckungen vielleicht schon vorhanden, vielleicht als Teil anderer Versicherungen wie einer Inhaltsversicherung?

Ob die Drei-in-eins-Police sinnvoll ist, lässt sich nicht pauschal sagen. Das Versicherungsangebot besitzt klare Vorteile, aber natürlich haben jeder Baustein und jede Deckungserweiterung ihren Preis.

Wie teuer, wie wichtig und wie gefährdet sind die Maschinen in Ihrem Unternehmen? Für welche davon ist eine Maschinenversicherung sinnvoll und notwendig? Wie steht es um die elektronischen Anlagen?

Solche Fragen können wir nur im konkreten Fall beantworten. Aber wir können Sie beantworten, und zwar kompetent. Versicherungen sind unser Metier, Cyber- und andere technische Risiken sind unser Schwerpunkt.

Rufen Sie uns an. 030 863 926 990. Oder schreiben Sie uns eine Nachricht. Wir nehmen uns Zeit für Ihre Fragen. Und wir prüfen gern und kostenlos Ihre bestehenden Versicherungen. Vielleicht können Sie für weniger Geld deutlich besseren Schutz bekommen?

Trojanerangriff auf Arztpraxis Symbolfoto: Reimund Bertrams via Pixabay

Hacker-Angriff auf die Arztpraxis: Trojaner verschlüsselt Patientendaten

Alle Daten der Arztpraxis verschlüsselt? Das kann niedergelassene Ärzte ruinieren

Ein Patient, den Sie gut kennen, schickt scheinbar ein eingescanntes Dokument an Ihre Arztpraxis. Es sieht nicht außergewöhnlich aus. Ihre Sprechstundenhilfe öffnet den Datei-Anhang. Allerdings wird kein Inhalt angezeigt. Darum schließt sie das Dokument achselzuckend.

Im Hintergrund nimmt das Unheil seinen Lauf. Ihre Angestellte hat, ohne es zu bemerken einen Ransomware-Trojaner aktiviert. Der beginnt nun, sämtliche Dateien zu verschlüsseln, die er im Netzwerk ihrer Arztpraxis findet – Patientendaten, Abrechnungsunterlagen, Terminverwaltung, Ihre Praxis-Buchhaltungssoftware mit allen Zahlen – einfach alles. Auch auf Cloud-Speichern, falls Sie welche nutzen .

Irgendwann taucht dann auf dem Bildschirm eine Erpresser-Botschaft auf. Sonst geht nichts mehr – kein Zugriff auf die gespeicherten Daten und installierten Dateien mehr möglich. Weder Ihr IT-Dienstleister noch der Anruf bei einer IT-Notfallnummer bringt Abhilfe. Stattdessen erklärt man ihnen, dass der Trojaner die Daten im schlimmsten Fall nicht nur verschlüsselt, sondern zudem auf fremde Server kopiert hat.

Die Katastrophe ist da.

Die Arztpraxis gegen den Alptraum Ransomware versichern – und andere Datenschutz- und IT-Sicherheitsverletzungen

Alptraum für jede Arztpraxis: Ransomware legt die Praxis-IT und damit auch den Praxisbetrieb lahm. Zur Betriebsunterbrechung kommt das mögliche Datenschutz-Debakel. Patienten- und Gesundheitsdaten sind gemäß DSGVO eine „besondere Kategorie“ personenbezogener Daten und besonders geschützt.

Schutz vor den Folgen bietet eine Cyberversicherung, die die Schäden von Ransomware-Angriffen übernimmt. Die Deckung reicht vom nicht mehr funktionsfähigen medizinischen Gerät bis zu den Kosten für das Kontaktieren aller Personen, der Daten kompromittiert sind.

Damit die Cyber-Versicherung sinnvollen Schutz bietet, sollte sie genau auf Ihre Branche zugeschnitten sein: Arztpraxen und vergleichbare Heilberufe. Sie kann im Ernstfall die Existenz der Praxis retten. Dabei kostet sie nicht besonders viel – in der Regel nur ein paar Promille vom Jahresumsatz.

Ransomware: für niedergelassene Ärzte und Heilberufe besonders gefährlich

Verschlüsselungstrojaner, sogenannte Ransomware, sind eine der Haupt-Gefahrenquellen für die IT-Sicherheit von Unternehmen einschließlich von Arztpraxen.

  • Die Erpresser-Summe selbst ist oft der kleinste Schaden. In manchen Fällen handelt es sich um wenig mehr als 1.000 Euro. Beim gezielten Angriff auf eine als finanzstark eingeschätzte Arztpraxis einer finanzstarken Praxis gekapert haben, werden aber vielleicht auch 50.000 oder 100.000 Euro gefordert.
    Besonders ärgerlich: Die Zahlung garantiert in keiner Weise, dass Sie den Code zur Entschlüsselung seiner Daten auch wirklich bekommen.
  • Zunächst einmal steht der Praxisbetrieb still, denn Sie haben ja nicht mal mehr Zugriff auf den digitalen Terminkalender. Welche Einbuße bedeutet jeder Ausfalltag in Ihrem Fall?
    Machen Sie sich auf längere Unterbrechungen gefasst. Schließlich müssen die Systeme wohl komplett neu aufgesetzt werden müssen.
  • Teuer kann die Datenschutz-Problematik werden. Datensätze von Patienten sind bei Hackern heiß begehrt. Außerdem sieht die DSGVO enorme Bußgelder vor (bis zu 2 Prozent vom Jahresumsatz), Patientendaten sind als besonders schutzwürdig eingestuft. Nach einem Datenschutzverstoß muss Ihre Arztpraxis jeden Patienten, jeden Kollegen und alle Geschäftspartner informieren, deren Daten betroffen sind. Allein das verursacht entsprechende Kosten.
  • Schließlich gibt es noch Verluste, die nicht sofort bezifferbar, langfristig jedoch besonders schmerzhaft sind: Imageverlust, abspringende Patienten, negative Berichterstattung.

Auf zwei Arten können niedergelassene Ärzte und Zahnärzte sich schützen – und Vertreterinnen und Vertreter anderer Heilberufe, Psychotherapeuten, Physiotherapeuten, Logopäden, Ergotherapeuten und so weiter, ebenfalls:

Konsequenz: IT-Sicherheit ernst nehmen – und die Praxis versichern

  • IT-Sicherheit ernst nehmen und echten Profis anvertrauen. Auch Hardware, Verschlüsselungslösungen und die Regeln zum Umgang mit der Praxis-IT sollten von Profis stammen und geprüft werden. Das kostet Geld, aber nicht unendlich viel: Eine Datensicherungslösung lässt sich für eine normale Arztpraxis für wenige Tausend Euro installieren. Dann werden laufend Backups aller relevanten Daten angefertigt, und Ransomware verliert einen Großteil ihres Schreckens.
  • Die Praxis versichern, gegen Ransomware, Hackerangriffe und Datenschutzverstöße. Eine spezielle Cyber-Versicherung für Arztpraxen ist für wenig Geld zu haben. Gleichzeitig ist sie jeden Cent wert. Hausnummer: Eine Praxis mit einem Jahresumsatz von einer Million Euro kann sich für etwas mehr als 500 Euro mit einer Versicherungssumme von mehr als einer halben Million Euro versichern.

Wir von acant versichern Ihre Praxis – und wir beraten Sie ausführlich und sachkundig

Wenn Sie Ihre Praxis gegen Ransomware, andere IT-Risiken und mögliche Datenschutzverletzungen absichern wollen, sind wir als Spezialmakler für Cyber-Risiken genau die richtige Adresse. Sie erreichen uns unter 030 863 926 990 oder über das Kontaktformular.

Geschäftsführerhaftung für IT-Sicherheit - Symbolbild, Foto: Myriam Zilles auf Pixabay

Geschäftsführerhaftung: GmbH-Geschäftsführer haften für versäumte IT-Sicherheit. Versichern schützt.

Für IT-Sicherheitsversäumnisse im Unternehmen haften Sie als GmbH-Geschäftsführer schneller, als Ihnen lieb sein kann. Persönlich, mit Ihrem privaten Vermögen.

Dieser Beitrag fasst im Überblick zusammen:

  • warum das Gewährleisten von IT-Sicherheit zu den Pflichten von GmbH-Geschäftsführern gehört,
  • wie schnell ein Cyber-Angriff zu immensen Schäden führt und
  • warum die Haftung dafür in vielen Fällen an der Geschäftsführung der GmbH hängen bleibt.

Dagegen können Sie sich versichern. Das sollten Sie auch tun – mit einer Cyberversicherung für Ihr Unternehmen, und einer D&O-Police, die Ihre Managerhaftpflicht deckt.

Der Beitrag erklärt ausführlich, warum das nicht aus der Luft gegriffen ist. Sie können uns auch direkt nach Versicherungsschutz für Cyberangriffe und Geschäftsführer-Haftung fragen: 030 863 926 990

IT-Sicherheit – die Achillesferse der Unternehmen

Unternehmen bieten Cyberkriminellen eine große Angriffsoberfläche. Das gilt auch für mittelständische und kleinere Unternehmen. Opfer eines gezielten oder zufälligen Cyberangriffs zu werden, ist heute Betriebsrisiko.

Schließlich kommen überall Rechner und Smartphones zum Einsatz, werden E-Mails geschrieben, werden Buchungen per Software erledigt und Bestell- oder Kundendaten abgespeichert. Maschinen, Fahrzeuge und Gebäudetechnik sind zunehmend vernetzt. Mitarbeiter nutzen Firmengeräte häufig auch privat. Umgekehrt hängt in Home-Office-Zeiten das Firmennetzwerk nicht selten von der Sicherheit privater WLAN-Router ab.

Ein erfolgreicher digitaler Angriff kostet das Unternehmen viele Nerven, eine Menge Zeit und vor allem sehr viel Geld. Der Schaden kann schnell existenzbedrohend sein – das ist keine Übertreibung. Systemausfälle dauern in der Regel Tage und Wochen, oft sogar Monate – bis dahin ist nur eingeschränkter Geschäftsbetrieb möglich. Jeder Kunde, Mitarbeiter oder Außenstehende, von dem personenbezogene Daten entwendet wurden, muss benachrichtigt, gegebenenfalls auch entschädigt werden. Auch der Notfalleinsatz von IT-Spezialisten, Anwälten und Experten von Krisen-PR ist nicht umsonst. Weitere Kostenrisiken: Schadenersatzklagen, verlorene Kunden, ein beschädigtes Image.

Der IT-Branchenverband Bitkom fand heraus, dass drei von vier deutschen Unternehmen Opfer von Datendiebstahl, Industriespionage oder Sabotage wurden. Er geht von einer Schadenssumme von 100 Mrd. Euro jährlich aus.

Das Gewährleisten von IT-Sicherheit ist Chefsache

IT-Sicherheit ist ein Thema, mit dem sich die Unternehmensführung beschäftigen muss. Natürlich muss der Chef oder die Chefin nicht selbst eine Firewall installieren. Aber sie müssen den Aufgabenbereich in qualifizierte Hände legen und zudem überwachen, ob die IT-Abteilung, der Administrator oder ein externen Dienstleister sich tatsächlich um angemessene digitale Sicherheit kümmern.

Das liegt auch im Eigeninteresse der Geschäftsführung. In einer GmbH oder UG (haftungsbeschränkt) führen Pflichtverletzungen schnell in die persönliche Haftung. Zu diesen Pflichten gehört der Schutz vor Cyberangriffen. GmbH-Geschäftsführer und AG-Vorstände tragen die Verantwortung dafür, dass die Gesellschaft funktionierende Lösungen für diese Bedrohung etabliert. Das gilt unabhängig davon, ob sie persönlich Interesse an digitaler Technologie haben.

Geschäftsführerhaftung: Wurde das IT-Sicherheitsthema versäumt, haftet der GmbH-Geschäftsführer

Kann die Geschäftsführung nach einer Cyber-Attacke nicht beweisen, dass sie für angemessene Vorkehrungen gesorgt hat, dann droht ihr die persönliche Haftung gegenüber der Gesellschaft oder Dritten, unter anderem für …

  • Schäden des Unternehmens z. B. durch beschädigte Geräte oder Waren, verdorbene Vorräte und den Lohn für untätige Mitarbeiter
  • Umsatzeinbußen durch die Betriebsunterbrechung: Maschinen stehen still, der Online-Shop ist nicht erreichbar etc.
  • Schadenersatz für geschädigte Kunden, Lieferanten oder Geschäftspartner sowie Vertragsstrafen für Verzögerungen, Nichterfüllung etc.
  • Schadenersatz für den Verlust personenbezogener Daten: Unternehmen, die personenbezogene Daten verarbeiten (und das sind so gut wie alle, man denke nur an Kunden- und Arbeitnehmerdaten), haften für materielle und immaterielle Schäden aus nicht DSGVO-konformer Verarbeitung
  • Kosten für das Neuinstallieren oder Wiederhochfahren der Systeme, für Forensik, Krisenmaßnahmen und Krisenberater (wie Anwälte und PR-Fachleute)
  • Schäden durch Imageverlust oder abgewanderte Kunden, auch solche Schäden sind grundsätzlich schadenersatzpflichtig, selbst wenn sie schwerer zu beziffern sind

Fragen zur Haftung für Schäden durch Cyberangriffe

Eine schwere IT-Sicherheitsverletzung beschert der GmbH außerplanmäßige Kosten. Das senkt den Gewinn und den Wert der Anteile. Wie wahrscheinlich ist es, dass die GmbH-Gesellschafter das auf sich beruhen lassen?

Der Geschäftsführer ist von vornherein in einer ungünstigen Situation, denn er muss die Verschuldensvermutung widerlegen, die das BGB ihm aufbürdet. Ohne ordnungsgemäß dokumentierte IT-Maßnahmen wird ihm dieser Nachweis schwer gelingen.

Haftung per AGB ausschließen?

Lässt sich die Haftung der Gesellschaft gegenüber Kunden und Geschäftspartnern nicht durch Allgemeine Geschäftsbedingungen ausschließen, so dass der Rückgriff auf den Geschäftsführer gar nicht erst notwendig wird?

Leider nein: Verhindert ein Cyberangriff, dass die Lieferung nicht vollständig oder fristgerecht erfolgt oder vertrauliche Informationen verloren werden, hilft kein Verweis auf AGB-Klauseln zum Haftungsausschluss vereinbart. Kann das funktionieren? Die vertragsgemäße Lieferung stellt ebenso wie die Vertraulichkeit eine wesentliche Vertragspflicht dar und kann nicht vertraglich abbedungen werden.

Arbeitnehmer in Haftung nehmen?

Vielleicht hat ein Arbeitnehmer den verhängnisvollen Dateianhang unvorsichtigerweise geöffnet. Den Mitarbeiter für sein Fehlverhalten persönlich haftbar zu machen, ist jedcoh ebenso wenig erfolgversprechend, Die Haftung von Arbeitnehmern ist auf fahrlässiges Handeln beschränkt. Und selbst dann wird bei mittlerer Fahrlässigkeit der Schaden in der Regel quotiert – ein Teil wird also dem Arbeitgeber zugewiesen.

Bei grober Fahrlässigkeit mag der Arbeitnehmer voll haftbar sein, doch selbst dann setzt die Rechtsprechung des Bundesarbeitsgerichts enge Grenzen. Ansprüche aus Haftung über ein Jahresgehalt des Mitarbeiters hinaus sind kaum möglich. Gemessen an den Kosten eines Cyberangriffs ist das ein Tropfen auf den heißen Stein.

Externen IT-Dienstleister haftbar machen?

Selbst wenn die IT-Dienstleistungen von externen Unternehmen eingekauft wurden, ist es schwierig, nach einem Cyberangriff einen Schadenersatzanspruch gegenüber dem Dienstleister durchzusetzen. Der Dienstleister haftet für die IT-Leistung, die er als Hauptleistung erbringt. Sie muss jedoch nicht zwangsläufig dem Stand der Technik entsprechen. Selbst wenn die installierte Technik versagt, ein Virus von der Antivirensoftware nicht erkannt wurde oder Hacker eine Server-Sicherheitslücke fanden: Gehörte es zur Hauptleistung, solche Angriffsflächen auszuschließen? Das scheitert vermutlich schon am Budget, den ein derart umfassender Auftrag erfordert hätte.

Die Geschäftsführerhaftung ist die einfachste Weg zum Schadenersatz

Schadenersatzansprüche aus einem Cyberangriff bleiben daher meist am GmbH-Geschäftsführer hängen, sowohl die Haftung gegenüber dem Unternehmen als auch gegenüber Dritten.

Maßstab für die Geschäftsführerpflichten bzw. die Geschäftsführerhaftung ist auch in puncto IT die „Sorgfalt eines ordentlichen und gewissenhaften Geschäftsleiters“ (§ 43 Abs. 2 GmbHG).

Eine Pflicht ergibt sich zudem aus dem Aktiengesetz (§ 91 Abs. 2 AktG). Es verlangt vom Vorstand, „geeignete Maßnahmen“ zur Risikoerkennung und -vermeidung. Die Rechtsprechung geht von einer „Ausstrahlungswirkung“ aus und überträgt diese Leitungspflicht auf GmbH-Geschäftsführer: diese müssen ebenfalls für Organisationsstandards sorgen, die eine Bestandsgefährdung des Unternehmens vermeiden. Cyberangriffe bedeuten eine Bestandsgefährdung.

Ein Organisationsverschulden und damit eine Pflichtverletzung durch mangelnde IT-Sicherheitsvorsorge kann sich aus weiteren Vorschriften ergeben:

  • § 109 TKG schreibt für Telekommunikationsanbieter technische Schutzmaßnahmen vor
  • § 13 Abs. 7 TMG verpflichtet Anbieter von Telemedien zu Maßnahmen gegen unerlaubten Zugriff, zum Schutz personenbezogener Daten und zum Verhindern von Störungen durch äußere Angriffe.
  • § 8a BSIG enthält Vorgaben zur Sicherheit in der Informationstechnik für Betreiber Kritischer Infrastrukturen.
  • § 25a Abs. 1 Nr. 5 KWG macht Finanzdienstleistern und Kreditinstituten Auflagen zur Geschäftsorganisation und schreibt ein Risikomanagement-System vor.
  • Art. 24 DSGVO verlangt eine IT nach dem Stand der Technik. Daraus folgt zugleich die Verpflichtung, dies durch eine sorgfältige und vollständige Dokumentation nachzuweisen.

IT-Risiken als Haftungsfalle: Handlungsempfehlungen für GmbH-Geschäftsführer

  • Zunächst muss das Cyber-Risiko des Unternehmens analysiert werden. Es geht um ganz konkrete Szenarien: Mit welcher Wahrscheinlichkeit sind welche Art von Sicherheitsverletzungen möglich, welche Konsequenzen und Kosten ergeben sich?

    Für diese Aufgabe benötigen Sie Ihre IT-Verantwortlichen. Ideal ist ein Experte speziell für IT-Sicherheit mit Zertifizierung nach ISO 27001. Weil Risikomanagement weit über Technologie hinausgeht, sollen Sie auch uns einbeziehen. Wir von acant sind als Versicherungsmakler auf Cyberrisiken spezialisiert und kennen die Schadensszenarien aus der Praxis. Schließlich haben wir regelmäßig damit zu tun.

  • Ein zweiter, wichtiger Schritt zur Abwehr der persönlichen Haftung: Sie müssen eine umfassende, aussagekräftige Dokumentation sicherstellen: dazu gehört der Ist-Zustand, die relevanten Bedrohungsszenarien und die Vorsorge- und Schutzmaßnahmen, die ergriffen werden. Zu diesen Maßnahmen gehört auf jeden Fall ein professionelles Datensicherungskonzept und ein praxistauglicher Notfallplan.

  • Dritter Schritt sind betriebliche Versicherungen. Einschlägig sind Cyberversicherungen, Vertrauensschadenversicherungen, Elektronik- oder Maschinenversicherungen sowie Deckungen für Rechtsschutz und Betriebshaftpflicht. Welche dieser Versicherungen zu konkreten Risiken des Unternehmens und des Geschäftsführung passen und betriebswirtschaftlich sinnvoll sind, hängt vom Einzelfall ab.

    Das Versichern des Unternehmens ist solides Risikomanagement. Schließlich weisen Sie Sie damit die Sorgfalt der Geschäftsführung bei der Abwehr von IT-Bedrohungen nach. Nicht wenige Juristen halten den Abschluss einer Cyber-Versicherung durch die Geschäftsführung für verpflichtend.
  • Das persönliche Element der Vorsorge ist eine D&O-Versicherung: diese deckt als Absicherung für den GmbH-Geschäftsführer dessen Geschäftsführerhaftung.

Bei diesen Schritten können wir von acant Sie und Ihr Unternehmen unterstützen. Genau dafür sind wir als Spezialmakler für Cyberrisiken und Geschäftsführerhaftung da. Rufen Sie uns an (030 863 926 990) oder schreiben Sie uns eine Nachricht.

Vorbereitet auf mögliche Cyber-Angriffe? Drei Grundregeln für kleinere Unternehmen

Schon mit ein paar Grundregeln sind auch kleinere Unternehmen im Fall eines Cyber-Angriffs viel besser vorbereitet. Für Cyber-Risiken gilt nichts anderes als für das Feuer-Risiko: Es kann jeden treffen, aber nicht überall entstehen die gleichen Schäden, denn das hängt von der Vorbereitung ab. Wenige, einfache Schritte können viel ausmachen.

(Wohlgemerkt: Es geht hier nicht um Technik – Firewalls, Intrusion Detection und ähnliches mehr. Sondern um das Vorbereitet-sein des Unternehmens, als Organisation.)

Was im Brandfall gilt …

Wie viel Schaden droht, wenn in einem Betrieb Feuer ausbricht? Dafür ist entscheidend, ob der Betrieb vorbereitet ist. Funktionieren die Feuerlöscher, wurden keine Brandschutztüren zugestellt? Fühlt sich gleich der erste Mitarbeiter, der den Brand bemerkt, für den Anruf bei der Feuerwehr zuständig? Kennen alle die Fluchtwege, und wissen sie, wo die Notausknöpfe und Unterbrechungsschalter in Werkstätten und Produktionshallen sind? Solche kleinen Dinge können viel Schaden verhindern.

… ist im Cyber-Angriffsfall nicht anders

Im Fall einer Cyber-Attacke auf die Unternehmens-IT gilt das Gleiche: Ein paar Verhaltensregeln können bereits einen guten Teil des Schaden eindämmen.

  • Grundregel für alle: reagieren – nicht warten. Die Mitarbeiter müssen aktiv werden, wenn es Anzeichen für einen Cyberangriff gibt. Der komische Dateianhang führt beim Bürorechner zu eigenartigem Verhalten? Ausschalten, vom Netz trennen, umgehend Bescheid sagen!
    DIe Mitarbeiter sollten geistig auf die Möglichkeit von Cyberangriffen vorbereitet sein. Das Bewusstsein für die digitale Gefahr muss Teil der Unternehmenskultur werden.
  • Klären, wer für IT-Notfälle zuständig ist. In größeren Unternehmen ist klar, wen man bei einem möglichen Trojaner-Befall anruft. Dort gibt es eine IT-Abteilung mit – hoffentlich – fertigen Notfallplänen. In kleineren Unternehmen gibt es vielleicht keinen eigenen Administrator. Gibt es einen externen Dienstleister für IT-Notfälle, und wissen alle, wie man ihn erreicht?
  • Eine funktionierende Datensicherung einrichten. Von einem Moment zum anderen alle- Personal-, Kunden-, Buchhaltungs-, Produktionsdaten etc. weg? Dann stehen auch kleinere Unternehmen vor dem Nichts, ohne Zugriff auf ihre geschäftlichen Informationen. Für eine niedrige vierstellige Summe bekommt man ein solides Backup-System für ein kleineres Unternehmen eingerichtet. Daran zu sparen ist wie auf Feuerlöscher zu verzichten. Mehr im Beitrag „Wie kann Datensicherung vor Ransomware schützen?

Natürlich ersetzen diese Regeln nicht eine professionell gemanagte und installierte IT-Security. Aber sie ergänzen sie um einen wichtigen Aspekt.

Vorbereitet sein – und versichern!

Brandschutzmaßnahmen und eine Feuerversicherung schließen sich nicht aus. Im Gegenteil. Das Gleiche gilt für die Bedrohung durch Cyber-Risiken, denn eine Cyber-Versicherung gehört zum Vorbereitet sein dazu.

Der Unterschied ist eher, dass die Wahrscheinlichkeit für einen Cyber-Angriff deutlich höher liegt als das Risiko einer Brandkatastrophe.

Haben Sie Fragen oder Anmerkungen? Rufen Sie uns an: +49 (0)30 863 926 990