Mit einer Versicherung gehen auch Pflichten einher. Wer diese sogenannten Obliegenheiten verletzt, riskiert im Schadenfall, dass Leistungen gekürzt oder sogar ganz gestrichen werden. Ein konkreter Cyber-Fall zeigt, wie teuer diese Unkenntnis werden kann.

Wenn die Versicherung nur einen Drittel bezahlt

Ein echter Fall aus der Praxis: Bei einem Cyberangriff auf ein KMU verschlüsseln Hacker grosse Teile der Daten und fordern ein Lösegeld. Die Cyberversicherung zahlt zwar – allerdings nur rund einen Drittel der Gesamtkosten von etwa 150’000 Franken.

Die Begründung: Im Nachhinein wurde festgestellt, dass das Backup-System des Unternehmens gravierende Lücken aufwies. Wichtige Daten konnten nicht wiederhergestellt werden. Zudem fehlten klare Notfallprozesse. Kurzum: Die Cybersicherheitsmassnahmen entsprachen nicht den branchenüblichen Standards.

Brisant dabei war, dass der Versicherer des betroffenen Unternehmens im Gegensatz zu vielen Mitbewerbern keinen Fragebogen mit detaillierten Sicherheitsvorgaben vor Vertragsabschluss verlangt hatte. Auf diese Weise wird die Eintrittsschwelle niedrig gehalten – was im Schadenfall allerdings zu bösen Überraschungen führen kann. Denn geprüft wird dann trotzdem – nur eben erst hinterher.

Obliegenheiten: Was Versicherte beachten müssen

Im Versicherungsrecht unterscheidet man zwischen Obliegenheiten vor Vertragsabschluss und während der Vertragslaufzeit. Beide sind im Schadenfall entscheidend.

Vor Vertragsabschluss: Die Pflicht zur Offenlegung

Bevor ein Versicherer einen Vertrag ausstellt, will er wissen, wie gut das Risiko gemanagt wird – im Fall der Cyber-Versicherung also: Wie steht es um die IT-Sicherheit?

Fragebögen sind hier das Mittel der Wahl. Sie sind zwar mühsam, aber hilfreich: Unternehmen müssen unter anderem Angaben zu Passwort-Management, Zwei-Faktor-Authentifizierung, Backup-Strategien, Notfallplänen, Updates und externer IT-Unterstützung machen. Je nach Branche und Unternehmensgrösse variiert der Detaillierungsgrad. Besonders bei sensiblen Daten (z. B. im Finanz- oder Gesundheitsbereich) steigen die Anforderungen.

Auf Basis dieser Angaben wird das Angebot erstellt – oder eben abgelehnt. Gleichzeitig dient der Fragebogen als eine Art Gütesiegel: Wer ein Angebot erhält, hat seine IT zumindest in Grundzügen im Griff.

Während der Vertragslaufzeit: Umsetzung und Mitwirkung

Mit Vertragsbeginn hört die Verantwortung nicht auf. Die Angaben aus dem Fragebogen müssen laufend eingehalten und technische Schutzmassnahmen gepflegt werden. Zusätzlich können Versicherer Cybersensibilisierungs-Trainings verlangen. Im Schadenfall muss der Versicherte dann schnell und korrekt handeln:

• Unverzügliche Meldung an die Versicherung (nicht zuerst den Broker)
• Befolgung der Anweisungen: Oft heisst dies das sofortige Trennen vom Internet, forensische Untersuchung durch Spezialisten und strukturierte Schadenaufarbeitung.
• Dokumentation: Der Kunde muss Ausfallzeiten, Wiederherstellungsaufwände und eigene Arbeitsstunden belegen können.

Was gilt als Obliegenheitsverletzung?

Je nach Situation kann eine Obliegenheitsverletzung vorliegen, wenn:

• im Fragebogen falsche oder unvollständige Angaben gemacht wurden,
• auferlegte Schutzmassnahmen nicht eingehalten wurden (z. B. kein aktuelles Backup oder keine Zwei-Faktor-Authentifizierung),
• die Schadenmeldung verzögert oder nicht direkt an die Versicherung ging,
• Anweisungen im Schadenfall nicht befolgt wurden,
• relevante Unterlagen oder Nachweise nicht vorgelegt werden konnten.

Die Folgen: Geringere oder gar keine Leistungen

Wer gegen Obliegenheiten verstösst, riskiert eine Kürzung der Versicherungsleistung, welche abhängig von der Schwere des Verstosses ist. Dies musste auch das Unternehmen im eingangs erwähnten Beispiel erfahren. Im Extremfall fällt der Versicherungsschutz sogar vollständig weg, z. B. bei Inkaufnahme von bekannten Sicherheitslücken oder arglistiger Täuschung.

Fazit: Versicherungen schützen – aber nicht bedingungslos

Versicherungen sind keine Rundum-sorglos-Pakete. In jedem Versicherungsverhältnis übernehmen Versicherte neben dem Bezahlen der Prämie auch Pflichten, sogenannte Obliegenheiten. Dazu gehört, Risiken korrekt zu deklarieren, vertragliche Vereinbarungen einzuhalten und im Schadenfall aktiv mitzuwirken. Wer diese Obliegenheiten verletzt, riskiert Leistungskürzungen oder sogar den vollständigen Verlust des Versicherungsschutzes – unabhängig davon, ob es um Cyber-Risiken, Sachschäden oder andere Versicherungsbereiche geht.

In der Cyber-Versicherung zeigt sich aber besonders deutlich: Prävention und Eigenverantwortung sind nicht nur Pflicht, sondern liegen auch im ureigenen Interesse des Versicherten. Eine gut organisierte IT-Sicherheit schützt nicht nur den eigenen Betrieb, sondern schafft auch die Basis für eine reibungslose Schadenabwicklung.

Und auch wenn Fragebögen, Sicherheitsauflagen oder andere Anforderungen mühsam erscheinen – sie sind letztlich ein Service an den Versicherten selbst. Sie helfen, Schwachstellen frühzeitig zu erkennen und Risiken realistisch einzuschätzen. Wer sich seiner Pflichten bewusst ist, stellt sicher, dass die Versicherung im Ernstfall zuverlässig hilft – und vermeidet teure Überraschungen.