Fake-President und Rechnungsbetrug: Was Cyberversicherung und Vertrauensschadenversicherung zahlen

Schäden durch Täuschung, etwa Fake-President-Mails oder manipulierte Rechnungen, sind in der Cyberversicherung nur gedeckt, wenn die Police einen Baustein für Cyber-Betrug oder Social Engineering enthält, und dann meist mit einem niedrigen Sublimit und festgelegten Prüfpflichten. Ohne diesen Baustein bleibt der Schaden häufig unversichert, denn in der Betriebshaftpflicht und in vielen Sachpolicen sind reine Vermögensschäden durch Betrug nicht erfasst.

Wie diese Betrugsmaschen funktionieren

Fake-President oder CEO-Fraud: Täter geben sich per E-Mail oder Telefon als Geschäftsführung aus und weisen die Buchhaltung an, eine dringende, vertrauliche Zahlung zu leisten. Rechnungsbetrug: Eine echte Lieferantenrechnung wird abgefangen, die Bankverbindung geändert, und Sie zahlen an die Täter. Kontoübernahme: Täter dringen in ein Mail-Konto ein und lesen Korrespondenz mit, um den richtigen Moment für die Täuschung zu wählen. Gemeinsam ist: Es muss keine Schadsoftware auf Ihren Systemen laufen. Oft reicht ein gestohlenes Passwort oder gute Recherche aus sozialen Netzwerken.

Was die Cyberversicherung typischerweise vorsieht

Wenn ein Baustein vorhanden ist, gelten häufig folgende Merkmale:

• Sublimit: Die Erstattung ist auf einen Betrag begrenzt, der deutlich unter der Gesamtversicherungssumme liegt.
• Eigenanteil: Zusätzlich gilt eine Selbstbeteiligung, manchmal höher als im Grundvertrag.
• Voraussetzungen: Die Bedingungen verlangen nicht selten bestimmte Verfahren, etwa Rückbestätigung bei Änderungen von Zahlungsdaten oder Vier-Augen-Prinzip ab einer Betragsgrenze.
• Definition der Täuschung: Versichert ist oft nur der Betrug durch Dritte außerhalb des Unternehmens; Taten eigener Mitarbeitender fallen in die Vertrauensschaden-Deckung.

Beispiel (illustrativ): Eine Police hat 1 Mio. € Versicherungssumme, aber ein Sublimit für Cyber-Betrug von 50.000 € und 5.000 € Selbstbeteiligung. Bei einem Betrugsschaden von 120.000 € zahlt der Versicherer höchstens 50.000 € (je nach Berechnung nach oder vor Abzug der Selbstbeteiligung). Der Rest von rund 70.000 € bleibt bei Ihnen. Prüfen Sie in den Bedingungen, wie die Selbstbeteiligung gegen das Sublimit angerechnet wird.

Abgrenzung zur Vertrauensschadenversicherung

Die Vertrauensschadenversicherung ersetzt Vermögensschäden, die Mitarbeitende, und je nach Police auch Dritte durch vorsätzliche Handlungen verursachen, etwa Unterschlagung, Betrug oder Manipulation von Zahlungsvorgängen. Sie ist von der Cyberversicherung zu unterscheiden:

Bei Unternehmen mit häufigen und hohen Zahlungen kann sich eine Kombination lohnen. Klären Sie mit Ihrer Beratung, welche Police welchen Fall abdeckt, damit keine Lücke und keine unnötige Doppelversicherung entsteht.

Prävention, die Versicherer erwarten

Versicherer fragen nach Maßnahmen, weil sie das Risiko wirklich senken:

1. Rückbestätigung von Änderungen: Neue Bankverbindungen werden telefonisch über eine bekannte Nummer, nicht über die Nummer in der E-Mail, bestätigt.
2. Vier-Augen-Prinzip bei Zahlungen ab einer festgelegten Höhe.
3. Mehrfaktor-Authentisierung für E-Mail-Konten, damit gestohlene Passwörter allein nicht genügen.
4. Schulung zu typischen Maschen, mit Beispielen aus dem eigenen Alltag.
5. Klare Regeln für Anweisungen der Geschäftsführung: Dringende Sonderzahlungen werden nie allein per E-Mail freigegeben.
6. Meldeweg für Verdachtsfälle ohne Schuldzuweisung, damit schnell reagiert wird.

Die Maßnahmen helfen auch bei der Ausfüllung des Risikofragebogens und werden in der Abschluss-Checkliste aufgeführt.

Wenn es passiert ist

Handeln Sie sofort: Rufen Sie Ihre Bank an und bitten Sie um Rückruf der Überweisung (Recall), informieren Sie die Polizei und melden Sie den Schaden beim Versicherer. Je schneller die Bank reagiert, desto größer die Chance, dass Gelder zurückgehalten werden können. Sichern Sie E-Mails und Header als Beweis, ändern Sie Passwörter und prüfen Sie weitere Konten. Die Abläufe finden Sie im Guide zur Schadenmeldung. Bei Anzeige und Meldung bieten die Zentralen Ansprechstellen Cybercrime der Landeskriminalämter Hilfe; Ihre örtliche Polizei kennt die zuständige Stelle.

Beispiel für eine Prüfroutine bei Zahlungsänderungen

Viele Versicherer erwarten ein dokumentiertes Verfahren, das sich im Alltag bewährt. Ein praktikables Beispiel: Geht eine E-Mail mit neuer Bankverbindung eines Lieferanten ein, wird sie nicht direkt umgesetzt. Die Buchhaltung ruft unter der bereits gespeicherten Telefonnummer an, lässt sich die Änderung bestätigen und vermerkt Datum, Uhrzeit und Gesprächspartner in der Lieferantenakte. Erst danach wird die Stammdatenänderung von einer zweiten Person freigegeben. Bei Erstzahlungen an neue Empfänger oder bei Beträgen oberhalb einer festgelegten Grenze gilt zusätzlich das Vier-Augen-Prinzip. Ein solches Verfahren kostet wenig Zeit, verhindert viele Betrugsversuche und liefert im Schadenfall den Nachweis, dass Sie die vereinbarten Prüfpflichten eingehalten haben. Halten Sie die Regel schriftlich fest, schulen Sie neue Beschäftigte darauf und prüfen Sie stichprobenweise, ob sie tatsächlich gelebt wird.

Schulung mit Praxisbezug

Schulungen wirken, wenn sie konkrete Fälle aus dem Betrieb aufgreifen: eine gefälschte Paketbenachrichtigung, eine angebliche Mahnung, eine Nachricht vom vermeintlichen Chef mit Dringlichkeitston. Lassen Sie Beschäftigte üben, Absenderadresse, Tonfall und Zahlungsaufforderung zu hinterfragen, und machen Sie deutlich, dass Nachfragen ausdrücklich erwünscht ist, auch gegenüber der Geschäftsleitung. Kurze Auffrischungen alle paar Monate sind wirksamer als eine lange Jahresveranstaltung. Dokumentieren Sie Termine und Teilnehmende, denn Versicherer fragen nach diesem Nachweis.

Häufige Fragen

Zahlt die Betriebshaftpflicht bei Fake-President?

In der Regel nein. Sie schützt gegen Ansprüche Dritter, nicht gegen Ihren eigenen Vermögensschaden durch Betrug.

Gilt der Schutz, wenn ein Mitarbeiter die Anweisung ausgeführt hat?

Bei Täuschung von außen kommt es auf die Bedingungen an. Manche verlangen, dass vorgeschriebene Verifizierungen eingehalten wurden, andere sind großzügiger.

Wie hoch sollte das Sublimit sein?

Orientieren Sie sich an der höchsten Einzelzahlung, die Ihr Betrieb im Jahr tätigt, und an Ihren internen Freigabegrenzen.

Hilft die Bank bei Betrugsüberweisungen?

Die Bank kann einen Rückruf versuchen, ein Erfolg ist nicht garantiert. Zeit ist entscheidend.

Quellen

• BSI — Hinweise zu Phishing und Social Engineering
• Bundeskriminalamt (BKA) — Informationen zu Cybercrime
• GDV — Informationen zu Cyber- und Vertrauensschadenversicherung