Cyberversicherung: Keine Leistungsfreiheit trotz alter Systeme

Ein Beitrag von Tobias Strübing, Fachanwalt für Versicherungsrecht der Wirth–Rechtsanwälte

In dem entschiedenen Sachverhalt hatte ein Mitarbeiter der Klägerin versehentlich eine Schadensoftware heruntergeladen. Diese konnte sich auf 16 der insgesamt 21 Server ausbreiten und verschlüsselte diese Server unwiderruflich. Die Wiederherstellungsarbeiten dauerte Monate und kosteten die Klägerin mehrere Millionen Euro, insbesondere auch aufgrund der längeren Betriebsunterbrechung.

Elf der insgesamt 21 Server waren bereits bei Vertragsschluss veraltet und hatten zum Teil seit Jahren keine Sicherheitsupdates mehr erhalten. Dies nahm die verklagte Cyberversicherung zum Anlass, den Rücktritt vom Vertrag zu erklären und jede Versicherungsleistung zu verweigern.

Damit scheiterte sie jedoch vor dem Landgericht Tübingen (Urteil vom 26.05.2023, GZ: 4 O 193/21) und muss nun etwa 2,5 Millionen Euro an die Klägerin zahlen. Das Landgericht Tübingen stellte nämlich nach einer umfangreichen Beweisaufnahme zunächst fest, dass die Klägerin etwaige Anzeigepflichten bestenfalls fahrlässig verletzt hat. Zusätzlich konnte sie den so genannten Kausalitätsgegenbeweis führen.

Das vom Gericht eingeholte Sachverständigengutachten kam nämlich zu dem Ergebnis, dass von der heruntergeladenen Schadensoftware die alten und neuen Server gleichermaßen betroffen waren. Mithin hatten die fehlenden Sicherheitsupdates offensichtlich keinen Einfluss auf den Eintritt oder die Höhe des Schadens. Aus diesen Gründen war die Cyberversicherung auch nicht wegen einer Gefahrerhöhung leistungsfrei. Damit scheiterte die Cyberversicherung mit ihren Einwendungen und musste nun für den unstreitigen Versicherungsfall zahlen.

Doch auch wenn die Klägerin in diesem Fall durchaus etwas Glück hatte, so müssen auch in der Cyberversicherung Gefahrfragen richtig beantworten werden. Anderenfalls kann es im Leistungsfall zu bösen Überraschungen kommen.