Cyberrisiken in der D&O-Versicherung

Definition

Cyberrisiken in der D&O-Versicherung betreffen die Frage, ob und wie Haftungsansprüche gegen Geschäftsleiter nach Cyberangriffen oder IT-Versäumnissen über die D&O gedeckt sind. Dazu gehören Cyber-Ausschlüsse und die Abgrenzung zur Cyberversicherung des Unternehmens.

Erklärung / Hintergrund

Ein Cyberangriff trifft zuerst das Unternehmen: Systeme fallen aus, Daten werden verschlüsselt oder gestohlen, der Betrieb steht still. Diese Eigenschäden trägt, wenn vorhanden, eine Cyberversicherung. Danach stellt sich eine zweite Frage. Hat die Geschäftsleitung ihre Pflichten zur IT-Sicherheit verletzt, etwa weil es keine Backups, keine Mehrfaktor-Authentifizierung oder keine Schulungen gab? Dann kann die Gesellschaft ihren Schaden bei der Geschäftsleitung geltend machen. Für diesen Haftungsanspruch ist die D&O zuständig.

Die Pflichten der Geschäftsleitung ergeben sich aus der allgemeinen Organisationspflicht, für Unternehmen im Anwendungsbereich von NIS2 aus § 38 BSIG und beim Umgang mit personenbezogenen Daten aus dem Datenschutzrecht. Für den Einsatz künstlicher Intelligenz kommen Pflichten nach der EU-KI-Verordnung hinzu.

Ob die D&O leistet, hängt von mehreren Punkten ab:

• Cyber-Ausschlüsse: Einige Bedingungswerke enthalten Ausschlüsse oder Klarstellungen für Cyberrisiken. Sie können Ansprüche wegen IT-Versäumnissen ganz oder teilweise ausnehmen. Andere stellen ausdrücklich klar, dass Organhaftungsansprüche nach einem Cybervorfall versichert bleiben.
• Art des Schadens: Die D&O deckt reine Vermögensschäden. Ein Betriebsunterbrechungsschaden, den die Gesellschaft beim Geschäftsführer geltend macht, ist in der Regel ein solcher Vermögensschaden, solange er nicht auf einem Sachschaden, etwa an der Hardware, beruht. Wie Datenverluste einzuordnen sind, regeln die Bedingungswerke unterschiedlich.
• Verhältnis zur Cyberversicherung: Hat die Cyberversicherung den Eigenschaden bereits ersetzt, bleibt für einen Regress oft wenig übrig. Ist ihre Summe zu niedrig oder ihr Schutz enger, kann ein Teil beim Geschäftsführer landen. Eine Konditions- und Summendifferenzdeckung bezieht sich in der D&O auf andere D&O-Verträge, etwa eine lokale Police, und schließt keine Lücken der Cyberversicherung.
• Bußgelder: Datenschutzbußgelder treffen das Unternehmen. Ob die Gesellschaft sie beim Geschäftsführer zurückholen kann, ist umstritten. Über die D&O ist weder das Bußgeld selbst noch nach den GDV-Musterbedingungen ein solcher Regress versichert.

Abgrenzung:

• D&O vs. Cyberversicherung: Die Cyberversicherung schützt das Unternehmen vor eigenen Schäden und Ansprüchen Dritter nach einem Angriff. Die D&O schützt die Geschäftsleitung, wenn ihr Versäumnisse vorgeworfen werden.
• Cyberrisiken in der D&O vs. NIS2-Managerhaftung: NIS2 bestimmt die Pflichten. Hier geht es um die Frage, ob die Verletzung dieser Pflichten versichert ist.

Synonyme: Cyber-D&O, Cyberrisiken und Organhaftung.

Praxisrelevanz

Prüfen Sie, ob Ihre D&O einen Cyber-Ausschluss enthält und wie er formuliert ist. Sorgen Sie dafür, dass das Unternehmen eine Cyberversicherung mit ausreichender Summe hat, denn je besser der Eigenschaden gedeckt ist, desto geringer ist das Risiko eines Regresses gegen Sie. Dokumentieren Sie, welche IT-Sicherheitsmaßnahmen Sie veranlasst und wie Sie deren Umsetzung kontrolliert haben. Stimmen Sie D&O und Cyberversicherung so ab, dass keine Lücke entsteht.

Praxisbeispiel

Ein Ingenieurbüro wird Opfer eines Ransomware-Angriffs. Backups gab es nur auf einem Server im selben Netz, sie wurden mit verschlüsselt. Der Betrieb steht drei Wochen still, der Schaden liegt bei 400.000 Euro. Die Cyberversicherung zahlt 250.000 Euro, mehr gibt ihre Summe nicht her. Die GmbH verlangt den Rest vom Geschäftsführer.

Haftungsseite: Fehlende getrennte Backups können eine Verletzung der Organisationspflicht sein. Der Geschäftsführer haftet dann nach § 43 GmbHG für den nicht gedeckten Schaden.

Deckungsseite: Der Innenanspruch über 150.000 Euro kann über die D&O versichert sein, wenn kein Cyber-Ausschluss greift. Enthält die Police einen weiten Ausschluss, muss der Geschäftsführer den Betrag unter Umständen selbst tragen.

FAQ

Zahlt die D&O nach einem Cyberangriff?

Nicht für den Eigenschaden des Unternehmens. Sie kann aber leisten, wenn die Gesellschaft ihren Geschäftsführer wegen IT-Versäumnissen in Anspruch nimmt und kein Cyber-Ausschluss greift.

Was ist ein Cyber-Ausschluss in der D&O?

Eine Klausel, die Ansprüche im Zusammenhang mit Cybervorfällen ganz oder teilweise vom Schutz ausnimmt. Wie weit sie reicht, ist von Vertrag zu Vertrag verschieden.

Brauche ich neben der Cyberversicherung eine D&O?

Ja, denn beide decken unterschiedliche Risiken. Die Cyberversicherung schützt das Unternehmen, die D&O die Geschäftsleitung persönlich.

Haftet der Geschäftsführer für einen Cyberangriff?

Nicht für den Angriff selbst, aber für eigene Versäumnisse bei der IT-Sicherheit, wenn sie den Schaden ermöglicht oder vergrößert haben.

Sind Datenschutzbußgelder versichert?

Über die D&O nicht, nach den GDV-Musterbedingungen auch nicht der Regress der Gesellschaft gegen den Geschäftsführer. Manche Cyberversicherungen schließen Datenschutzbußgelder ein, soweit sie rechtlich versicherbar sind, was in Deutschland umstritten ist. Die Kosten eines Bußgeldverfahrens können je nach Vertrag gedeckt sein.

Verwandte Begriffe

• NIS2-Managerhaftung – die Pflichten der Geschäftsleitung zur Cybersicherheit.
• Datenschutzverstoß (Organhaftung) – die Haftung bei Datenschutzpannen.
• Ausschlüsse in der D&O-Versicherung – wo Cyber-Ausschlüsse einzuordnen sind.
• Subsidiarität – wie D&O und andere Verträge zusammenwirken.
• Organisationsverschulden – der typische Vorwurf nach einem Angriff.