Ausschlüsse, Bedingungen und Schaden
Betriebsunterbrechung durch Cyberangriff: Ertragsausfall berechnen und richtig versichern
Wie die Cyber-Betriebsunterbrechung funktioniert, was Wartezeit, Haftzeit und Entschädigungsgrenze bedeuten und wie Sie den Ertragsausfall mit einem Rechenbeispiel selbst abschätzen.
Die Betriebsunterbrechungsdeckung der Cyberversicherung ersetzt den entgangenen Gewinn und die fortlaufenden Kosten, solange Ihre Systeme nach einem versicherten Cybervorfall stillstehen, nach Abzug einer Wartezeit und begrenzt durch Haftzeit und Entschädigungsgrenze. Wie hoch die Leistung ausfällt, hängt weniger vom Umsatz als davon ab, wie genau die Bedingungen den Ertragsausfall definieren und wie gut Sie ihn nachweisen können.
Was versichert ist: Gewinn und fortlaufende Kosten
Klassisch versichert die Betriebsunterbrechungsversicherung den Betriebsgewinn und die fortlaufenden Kosten, also Aufwendungen, die trotz Stillstand weiterlaufen, etwa Löhne, Mieten, Leasing und Zinsen. Vereinfacht entspricht das dem Rohertrag oder dem Deckungsbeitrag, abzüglich nicht weiterlaufender Kosten. Manche Policen arbeiten statt mit Gewinn und Kosten mit einer Tagesentschädigung, also einem vereinbarten festen Betrag pro Ausfalltag. Das vereinfacht die Abwicklung, kann aber bei stark schwankenden Umsätzen ungenau sein.
Zusätzlich ersetzen die meisten Policen Mehrkosten, die entstehen, um den Ausfall zu verkürzen: Notbetrieb, externe Rechenleistung, manuelle Bearbeitung, Überstunden. Ersetzt werden meist nur Mehrkosten, die den Ausfall tatsächlich verringern und in einem angemessenen Verhältnis dazu stehen.
Wartezeit, Haftzeit, Entschädigungsgrenze
| Begriff | Bedeutung | Auswirkung |
|---|---|---|
| Wartezeit | Zeit ab Beginn der Unterbrechung ohne Leistung, oft in Stunden oder Tagen | Je länger, desto niedriger der Beitrag, aber desto mehr tragen Sie selbst |
| Haftzeit | Zeitraum, in dem der Versicherer Ertragsausfall ersetzt | Bei längerer Wiederherstellung kann das Ende der Haftzeit entscheidend sein |
| Entschädigungsgrenze | Höchstbetrag für die Betriebsunterbrechung, oft Teil der Gesamtsumme oder Sublimit | Begrenzt die Leistung unabhängig vom tatsächlichen Schaden |
| Selbstbeteiligung | Fester Betrag zusätzlich oder anstelle der Wartezeit | Eigenanteil im Schaden |
Für Onlinehandel und Produktion sind kurze Wartezeiten und lange Haftzeiten wichtig, für Büros genügt oft weniger. Beachten Sie, dass die Haftzeit bei vielen Bedingungen mit dem Beginn der Unterbrechung startet, nicht mit der Schadenmeldung, und dass die Wiederherstellung nach schweren Angriffen Wochen dauern kann.
Rechenbeispiel (rein illustrativ)
Annahmen: Ein Unternehmen mit 3,6 Mio. € Jahresumsatz. Der jährliche Betriebsgewinn plus fortlaufende Kosten (Versicherungswert für die Unterbrechung) beträgt 1,2 Mio. €. Das entspricht rechnerisch rund 3.300 € pro Kalendertag (1.200.000 geteilt durch 365). Der Ausfall dauert 10 Tage, die Wartezeit beträgt 24 Stunden (1 Tag).
- Gedeckte Ausfalltage: 10 − 1 = 9 Tage
- Entschädigung: 9 × 3.300 € = 29.700 €
- Hinzu kommen Mehrkosten für Notbetrieb, zum Beispiel 4.000 €, falls vertraglich gedeckt.
Der Ausfallkosten-Rechner nutzt eine ähnliche Struktur mit Ihren eigenen Zahlen. Die Beträge hier sind erfunden. In der Praxis rechnen Sachverständige Ausfälle anhand von Vergleichszeiträumen, Saisonverläufen und Buchhaltung.
Nachweis des Ertragsausfalls
Der Versicherer zahlt, was Sie nachweisen. Sammeln Sie daher:
- Betriebswirtschaftliche Auswertungen der letzten Jahre mit Umsätzen und Kosten pro Monat.
- Auftragsbücher, Bestellzahlen und Terminlisten des Ausfallzeitraums.
- Kostenaufstellung der fortlaufenden Aufwendungen.
- Nachweise über Notmaßnahmen und deren Wirkung.
- Bericht über Ursache und Dauer des Ausfalls, idealerweise vom Forensiker.
Wer vorab einen Ertragsausfallplan pflegt, kann den Schaden leichter belegen. Eine jährliche Aktualisierung der Versicherungswerte verhindert Unterversicherung, wenn Umsatz oder Kosten gewachsen sind. Manche Policen kürzen die Leistung anteilig, wenn die angegebene Versicherungssumme deutlich niedriger war als der tatsächliche Wert.
Typische Stolpersteine
- Ausfall bei Dienstleistern: Ob Betriebsunterbrechung gedeckt ist, wenn ein Cloud-Anbieter oder Hoster betroffen ist, hängt von der Dienstleisterklausel ab.
- Technischer Ausfall ohne Angriff: Manche Policen zahlen nur bei Cyberangriffen oder Bedienfehlern, nicht bei reinen Systemfehlern.
- Teilunterbrechung: Wenn nur ein Teil des Betriebs ausfällt, wird der Ertragsausfall anteilig berechnet.
- Nachholeffekte: Verlorener Umsatz, der später nachgeholt wird, mindert den Schaden.
- Fehlende Mitwirkung: Wer den Ausfall nicht nach Zumutbarkeit mindert, riskiert Kürzung.
- Vorlaufzeit der Haftzeit: Wenn die Haftzeit zu kurz ist, endet der Ersatz, bevor die Umsätze sich erholt haben.
Wartezeit richtig wählen
Eine praktische Methode: Überlegen Sie, wie viele Stunden oder Tage Ihr Betrieb ohne IT ohne nennenswerten Verlust auskommt. Für ein Büro mit Notbetrieb über Mobilgeräte können dies ein bis zwei Tage sein, für einen Onlineshop nur wenige Stunden. Wählen Sie die Wartezeit nicht länger als Ihre Pufferzeit. Vergleichen Sie Angebote mit identischer Wartezeit, sonst sind Beiträge nicht vergleichbar, wie im Guide Cyberversicherung vergleichen beschrieben.
Notbetrieb vorbereiten und Ausfall verkürzen
Je kürzer der Ausfall, desto geringer der Schaden, und desto weniger müssen Sie mit der Versicherung diskutieren. Überlegen Sie vorab, wie der Betrieb ohne Hauptsystem weiterlaufen kann: Welche Aufgaben lassen sich auf Papier, mit Tabellen auf getrennten Geräten oder über mobile Hotspots erledigen? Wer entscheidet über Notmaßnahmen, und wer informiert Kunden? Legen Sie fest, in welcher Reihenfolge Systeme wiederhergestellt werden, beginnend mit denen, die Umsatz oder Sicherheit tragen, etwa Warenwirtschaft, Telefonie oder Zahlungsverkehr. Halten Sie Zugangsdaten und Notfallnummern offline bereit. Üben Sie das Szenario mindestens einmal im Jahr in einer kurzen Übung. Solche Vorbereitung senkt nicht nur das tatsächliche Schadenausmaß, sondern belegt auch gegenüber dem Versicherer, dass Sie Ihrer Pflicht zur Schadenminderung nachkommen. Erfassen Sie während eines Ausfalls laufend Mehrkosten und entgangene Umsätze, damit die spätere Abrechnung belastbar ist.
Häufige Fragen
Zahlt die Cyberversicherung auch Umsatzausfall nach Rufschädigung?
Das ist meist nur eingeschränkt oder gar nicht versichert. Prüfen Sie, ob ein Baustein für Reputationsschäden besteht und wie er begrenzt ist.
Was ist, wenn nur ein Standort betroffen ist?
Der Ausfall wird anteilig berechnet. Klären Sie, ob mehrere Standorte versichert und in den Versicherungswerten erfasst sind.
Wie lange dauert die Regulierung?
Das hängt von der Komplexität und der Verfügbarkeit der Nachweise ab. Teilzahlungen sind manchmal möglich; fragen Sie danach.
Muss ich Zahlen für den Versicherungswert jedes Jahr melden?
Viele Policen sehen eine jährliche Meldung oder Anpassung vor. Das verhindert Unterversicherung.
Quellen
- GDV — Informationen zu Betriebsunterbrechung und Cyberversicherung
- BaFin — Aufsicht und Verbraucherinformationen
- Gesetze im Internet — Versicherungsvertragsgesetz (insbesondere Regelungen zur Unterversicherung)
