Cyberrisiken in der D&O-Versicherung betreffen die Frage, ob und wie Haftungsansprüche gegen Geschäftsleiter nach Cyberangriffen oder IT-Versäumnissen über die D&O gedeckt sind. Dazu gehören Cyber-Ausschlüsse und die Abgrenzung zur Cyberversicherung des Unternehmens.
Ein Cyberangriff trifft zuerst das Unternehmen: Systeme fallen aus, Daten werden verschlüsselt oder gestohlen, der Betrieb steht still. Diese Eigenschäden trägt, wenn vorhanden, eine Cyberversicherung. Danach stellt sich eine zweite Frage. Hat die Geschäftsleitung ihre Pflichten zur IT-Sicherheit verletzt, etwa weil es keine Backups, keine Mehrfaktor-Authentifizierung oder keine Schulungen gab? Dann kann die Gesellschaft ihren Schaden bei der Geschäftsleitung geltend machen. Für diesen Haftungsanspruch ist die D&O zuständig.
Die Pflichten der Geschäftsleitung ergeben sich aus der allgemeinen Organisationspflicht, für Unternehmen im Anwendungsbereich von NIS2 aus § 38 BSIG und beim Umgang mit personenbezogenen Daten aus dem Datenschutzrecht. Für den Einsatz künstlicher Intelligenz kommen Pflichten nach der EU-KI-Verordnung hinzu.
Ob die D&O leistet, hängt von mehreren Punkten ab:
Abgrenzung:
Synonyme: Cyber-D&O, Cyberrisiken und Organhaftung.
Prüfen Sie, ob Ihre D&O einen Cyber-Ausschluss enthält und wie er formuliert ist. Sorgen Sie dafür, dass das Unternehmen eine Cyberversicherung mit ausreichender Summe hat, denn je besser der Eigenschaden gedeckt ist, desto geringer ist das Risiko eines Regresses gegen Sie. Dokumentieren Sie, welche IT-Sicherheitsmaßnahmen Sie veranlasst und wie Sie deren Umsetzung kontrolliert haben. Stimmen Sie D&O und Cyberversicherung so ab, dass keine Lücke entsteht.
Ein Ingenieurbüro wird Opfer eines Ransomware-Angriffs. Backups gab es nur auf einem Server im selben Netz, sie wurden mit verschlüsselt. Der Betrieb steht drei Wochen still, der Schaden liegt bei 400.000 Euro. Die Cyberversicherung zahlt 250.000 Euro, mehr gibt ihre Summe nicht her. Die GmbH verlangt den Rest vom Geschäftsführer.
Haftungsseite: Fehlende getrennte Backups können eine Verletzung der Organisationspflicht sein. Der Geschäftsführer haftet dann nach § 43 GmbHG für den nicht gedeckten Schaden.
Deckungsseite: Der Innenanspruch über 150.000 Euro kann über die D&O versichert sein, wenn kein Cyber-Ausschluss greift. Enthält die Police einen weiten Ausschluss, muss der Geschäftsführer den Betrag unter Umständen selbst tragen.
Nicht für den Eigenschaden des Unternehmens. Sie kann aber leisten, wenn die Gesellschaft ihren Geschäftsführer wegen IT-Versäumnissen in Anspruch nimmt und kein Cyber-Ausschluss greift.
Eine Klausel, die Ansprüche im Zusammenhang mit Cybervorfällen ganz oder teilweise vom Schutz ausnimmt. Wie weit sie reicht, ist von Vertrag zu Vertrag verschieden.
Ja, denn beide decken unterschiedliche Risiken. Die Cyberversicherung schützt das Unternehmen, die D&O die Geschäftsleitung persönlich.
Nicht für den Angriff selbst, aber für eigene Versäumnisse bei der IT-Sicherheit, wenn sie den Schaden ermöglicht oder vergrößert haben.
Über die D&O nicht, nach den GDV-Musterbedingungen auch nicht der Regress der Gesellschaft gegen den Geschäftsführer. Manche Cyberversicherungen schließen Datenschutzbußgelder ein, soweit sie rechtlich versicherbar sind, was in Deutschland umstritten ist. Die Kosten eines Bußgeldverfahrens können je nach Vertrag gedeckt sein.