Obliegenheiten und Sicherheitsanforderungen: Wann der Versicherer die Leistung kürzen darf

Der Versicherer darf die Leistung kürzen oder verweigern, wenn Sie eine vertraglich vereinbarte Obliegenheit verletzen und diese Verletzung für den Schaden oder seinen Umfang ursächlich war. Obliegenheiten sind Pflichten wie vereinbarte Sicherheitsmaßnahmen vor dem Schaden oder Meldung und Mitwirkung danach. Das Versicherungsvertragsgesetz setzt dem Grenzen: Maßgeblich sind Verschulden und Ursächlichkeit, nicht jeder Verstoß führt automatisch zum Verlust des Schutzes.

Was sind Obliegenheiten?

Eine Obliegenheit ist keine einklagbare Pflicht, sondern eine Voraussetzung dafür, dass Sie Ihren Anspruch behalten. Das VVG unterscheidet drei Zeitpunkte: Obliegenheiten vor Vertragsschluss (vorvertragliche Anzeigepflicht nach Paragraf 19), vor dem Versicherungsfall (zum Beispiel Sicherheitsvorschriften) und nach dem Versicherungsfall (Anzeige, Auskunft, Schadenminderung). Bei der Cyberversicherung sind besonders die zweite und dritte Gruppe wichtig.

Typische Sicherheitsobliegenheiten vor dem Schaden

In den Bedingungen finden sich häufig Vorgaben zu:

• Datensicherung: regelmäßige Backups, Aufbewahrung getrennt vom Produktivnetz, Tests der Wiederherstellung
• Zugriffsschutz: Mehrfaktor-Authentisierung für Fernzugänge und privilegierte Konten
• Patchmanagement: Einspielen von Sicherheitsupdates innerhalb einer genannten Frist
• Schutzsoftware: aktuelle Virenschutz- und Erkennungslösungen
• Berechtigungskonzept: Zugriff nach dem Prinzip der geringsten Rechte
• Verschlüsselung: zum Beispiel von mobilen Datenträgern oder Laptops
• Schulung: regelmäßige Sensibilisierung der Beschäftigten

Diese Vorgaben stehen entweder direkt in den Bedingungen oder in einem Fragebogen, dessen Angaben zum Vertragsinhalt werden. Beides sollten Sie als verbindlich ansehen.

Wie das Versicherungsvertragsgesetz Kürzungen regelt

Paragraf 28 VVG regelt die Verletzung von Obliegenheiten vor dem Versicherungsfall. Die Grundstruktur:

1. Vorsatz: Der Versicherer kann leistungsfrei sein.
2. Grobe Fahrlässigkeit: Er darf die Leistung in einem der Schwere des Verschuldens entsprechenden Verhältnis kürzen; Sie tragen die Beweislast für einen geringeren Grad.
3. Einfache Fahrlässigkeit: Keine Kürzung.
4. Kausalität: Bleibt die Verletzung ohne Einfluss auf Eintritt oder Umfang des Schadens, muss er voll leisten, außer bei Arglist.

Für Verstöße nach dem Versicherungsfall (Anzeige, Auskunft, Weisungen) gelten ähnliche Maßstäbe. Zusätzlich verlangt Paragraf 82 VVG, dass Sie den Schaden abwenden oder mindern, soweit möglich und zumutbar. Eine Vereinbarung, die zu Ihrem Nachteil von diesen Vorschriften abweicht, ist unwirksam, soweit das Gesetz das bestimmt. Bei Großrisiken können Abweichungen möglich sein.

Worked Example: Backup-Obliegenheit

Illustratives Beispiel: Die Bedingungen verlangen eine Datensicherung, die „getrennt vom Netzwerk“ aufbewahrt wird. Im Betrieb liegt das Backup auf einem Netzlaufwerk, das bei einem Ransomware-Angriff ebenfalls verschlüsselt wird. Der Schaden wird dadurch erheblich größer. Der Versicherer beruft sich auf die Obliegenheit. Prüfung: War die Anforderung klar formuliert? Handelte der Betrieb vorsätzlich, grob fahrlässig oder leicht fahrlässig? War der Verstoß ursächlich für den Umfang? In diesem Fall könnte eine Kürzung in Betracht kommen, deren Höhe vom Verschulden abhängt. Hätten Sie das Backup getrennt gehalten und der Angriff wäre trotzdem teuer geworden, entfällt die Kausalität. Dieses Beispiel ist erfunden und zeigt nur die Prüfschritte.

So setzen Sie Obliegenheiten nachweisbar um

1. Anforderungen sammeln: Lesen Sie Bedingungen und Fragebogen und erstellen Sie eine Liste aller Vorgaben.
2. Verantwortliche benennen: Ordnen Sie jeder Vorgabe eine Person oder einen IT-Dienstleister zu.
3. Realistisch bleiben: Nicht erfüllbare Vorgaben vor Vertragsschluss ansprechen und ändern lassen, statt sie später zu verletzen.
4. Nachweise führen: Protokolle von Backup-Tests, Schulungslisten, Update-Berichte und Konfigurationsnachweise.
5. Regelmäßig prüfen: Mindestens einmal im Jahr, vor jeder Erneuerung.
6. Änderungen melden: Wenn sich Antwortinhalte ändern, etwa durch neue Systeme, prüfen Sie die Meldepflicht.

Die Abschluss-Checkliste hilft bei den Grundlagen; Details zum Fragebogen im Guide Risikofragebogen richtig ausfüllen.

Obliegenheiten nach dem Schaden

Nach einem Vorfall verlangen Bedingungen und Gesetz üblicherweise:

• Unverzügliche Anzeige beim Versicherer, teilweise über die Hotline
• Auskunft und Belege, die der Versicherer zur Prüfung braucht
• Schadenminderung nach Weisungen des Versicherers, soweit zumutbar
• Beweissicherung: keine Veränderungen an betroffenen Systemen ohne Abstimmung
• Anzeige bei der Polizei, wenn die Bedingungen es verlangen

Der Ablauf wird im Guide Cyberschaden melden beschrieben.

Obliegenheiten im Alltag: Wer ist verantwortlich?

In kleineren Betrieben liegt die IT oft bei einem externen Dienstleister, während die Geschäftsführung den Vertrag unterschreibt. Das kann zu Brüchen führen: Der Versicherer erwartet, dass vereinbarte Maßnahmen umgesetzt sind, der Dienstleister kennt die Vorgaben aber vielleicht nicht. Geben Sie deshalb die relevanten Vertragsklauseln an Ihren IT-Dienstleister weiter und lassen Sie sich schriftlich bestätigen, dass die Anforderungen umgesetzt sind und laufend eingehalten werden. Prüfen Sie im Dienstleistungsvertrag, ob er Pflichten zu Backups, Updates und Meldungen enthält und wie Ausfälle haftungsrechtlich geregelt sind. Vereinbaren Sie einen jährlichen Termin, bei dem Versicherungsanforderungen und tatsächlicher Stand abgeglichen werden. So vermeiden Sie, dass sich über Jahre unbemerkt Abweichungen aufbauen, etwa weil ein neues System ohne die vereinbarten Schutzmaßnahmen eingeführt wurde. Dokumentierte Abstimmungen helfen im Streitfall, Verschulden und Ursächlichkeit nachvollziehbar darzustellen.

Änderungen im laufenden Vertrag

Sicherheitsmaßnahmen sind kein statischer Zustand. Wer ein System austauscht, den Dienstleister wechselt oder Fernzugänge ausbaut, verändert womöglich die Grundlage der Antragsangaben. Prüfen Sie bei wesentlichen Änderungen, ob die Bedingungen eine Mitteilung verlangen und ob neue Systeme dieselben Schutzmaßnahmen erhalten. Im Zweifel fragen Sie den Versicherer in Textform und bewahren die Antwort auf.

Häufige Fragen

Kann der Versicherer wegen eines Updates, das ich verspätet eingespielt habe, die Leistung verweigern?

Nur wenn es eine entsprechende Obliegenheit gibt, der Verstoß schuldhaft war und für den Schaden ursächlich. Bei einfacher Fahrlässigkeit gibt es keine Kürzung.

Gelten Obliegenheiten auch für Dienstleister?

Das hängt von der Formulierung ab. Oft muss der Versicherungsnehmer auch für das Verhalten von Dienstleistern einstehen, die mit der IT betraut sind. Prüfen Sie diese Klausel.

Was ist der Unterschied zwischen Obliegenheit und Ausschluss?

Ein Ausschluss nimmt einen Risikobereich aus; eine Obliegenheit macht den Schutz von einem Verhalten abhängig. Siehe Guide zu den Ausschlüssen.

Quellen

• Gesetze im Internet — Versicherungsvertragsgesetz (Paragrafen 19, 28, 82)
• BSI — Hinweise zu Basismaßnahmen der IT-Sicherheit
• GDV — Musterbedingungen mit Obliegenheiten
• Versicherungsombudsmann — Schlichtungsstelle, vor allem für Verbraucher