04.10.2024 · Fachbeitrag · Cyberversicherung

Hackerangriff: Falschangaben des VN können bei Hackerangriff zur Leistungsfreiheit des VR führen

von RAin Heike Mareck, Dortmund

| Der VR kann den Vertrag wegen arglistiger Täuschung anfechten, wenn der VN bei Abschluss der Cyberversicherung falsche Angaben macht. Folge ist, dass der Schaden durch den Hackerangriff nicht vom VR bezahlt werden muss. Wie das LG Kiel entschieden hat, und welche Auswirkungen dies auf den Datenschutz im Unternehmen hat, erfahren Sie hier. |

1. VR legte bei Vertragsschluss Fragenkatalog vor

Der VN, ein Unternehmen, schloss eine Cyberversicherung ab. Diese sieht u. a. vor: „Der VR erkennt an, dass ihm bei Abschluss des Versicherungsvertrags alle Gefahrumstände, die für seinen Entschluss, den Vertrag mit dem vereinbarten Inhalt zu schließen, erheblich waren, bekannt geworden sind. Dieses Anerkenntnis gilt jedoch nicht für Gefahrumstände, die durch den VN arglistig verschwiegen wurden ...“

• Fragen bei Vertragsschluss

Bei Vertragsabschluss beantwortete die Klägerin die Fragen wie folgt:

• 1. Die IT des Unternehmens wird durch mindestens einen IT-Spezialisten betreut: Ja

• 2. Es werden regelmäßig (mindestens wöchentlich) Datensicherungen durchgeführt: Ja

• 3. Alle stationären und mobilen Arbeitsrechner sind mit aktueller Software zur Erkennung und Vermeidung von Schadsoftware ausgestattet: Ja

• 4. Verfügbare Sicherheitsupdates werden ohne schuldhaftes Zögern durchgeführt, und für die Software, die für den Betrieb des IT-Systems erforderlich ist, werden lediglich Produkte eingesetzt, für die vom Hersteller Sicherheitsupdates bereitgestellt werden (dies betrifft v. a. Betriebssysteme, Virenscanner, Firewall, Router, NAS-Systeme): Ja

• 5. Es existieren Regelungen zum Umgang mit IT-Zugangsdaten im Unternehmen, deren Umsetzung überwacht wird: Ja

• 6. Es werden Hard- und Software (wie Firewalls) zum Schutz des Unternehmensnetzwerks eingesetzt: Ja

• 7. Mitarbeiter dürfen private Geräte für dienstliche Zwecke verwenden: Ja

• 8. Gab es in den letzten drei Jahren einen Cyber-Schaden oder einen Datenschutzvorfall im Unternehmen? Nein