Cyberangriff mit Sachschaden: Wer zahlt?

Jüngst sorgten Cyberangriffe für Schlagzeilen, bei denen vernetzte Kühlanlagen im Lebensmittelbereich manipuliert wurden. Anstatt zu kühlen, heizten die auf Abtaumodus geschalteten Anlagen auf bis zu 50 Grad Celsius auf. Tonnen an Lebensmitteln verdarben. Während sich derartige Fälle bislang im europäischen Ausland ereignet hatten, zielten die Hackerangriffe nun auch auf Supermärkte und Kühllager in Deutschland.

Das Szenario steht für eine größere Entwicklung. Cyberangriffe bleiben nicht mehr im digitalen Raum. Wer Steuerungen manipuliert und dadurch Waren verderben lassen kann, der kann auch Maschinen zerstören, Brände auslösen und Schlimmeres.

Es stellt sich dann die Frage, welche Versicherung für solche Sachschäden aufkommt.

I. Wo bestehende Policen an Grenzen stoßen

Naheliegend wäre es, in dieser Lage auf die Cyberversicherung setzen zu wollen. Für Sachschäden greift diese Versicherung in der Regel jedoch nicht.

Nach den GDV-Musterbedingungen AVB Cyber etwa sind Gegenstand dieser Versicherung lediglich reine Vermögensschäden, also Schäden, die weder Personen- noch Sachschäden sind noch sich unmittelbar aus solchen Schäden herleiten. Die verdorbene Kühlware fällt damit nicht unter die Deckung.

Ob Deckung unter einer Sachversicherung besteht, kann zweifelhaft erscheinen. Es kommt unter anderem darauf an, welche Art von Schaden eintritt.

Wird durch eine Cyberattacke etwa ein Brand oder eine Explosion verursacht, besteht regelmäßig Deckung in der Sachversicherung. Es ist nämlich in der Regel irrelevant, wie die versicherte Gefahr verursacht wurde.

Weniger klar ist die Deckungssituation aber, wenn ein Cyberangriff nicht zu einem versicherten Brand, sondern etwa zum bloßen Verderb von Lebensmitteln führt.

In manchen Sachversicherungszweigen, etwa nach Maßgabe von Ziff. A1-3.2 der Allgemeinen Bedingungen für die gebündelte industrielle Sachversicherung (AGiS 2024), ist die böswillige Beschädigung versicherter Sachen eine ausdrücklich versicherte Gefahr. Voraussetzung für den Versicherungsschutz ist allerdings, dass der Schaden unmittelbar durch die böswillige Handlung ausgelöst wird. Dass dies bei einem Cyberangriff der Fall ist, kann zweifelhaft sein.

Bei All-Risk-Deckungskonzepten für unbenannte Gefahren (z.B. nach Ziff. A1-14.1.1 AGiS 2024) liegt eine Deckung näher. Jedoch gibt es hier spezielle Ausschlüsse für Schäden an Vorräten, die durch den Ausfall oder die mangelhafte Funktion von Klima,- Kühl- oder Heizsystemen verursacht wurden (z.B. Ziff. A1-14.2.3 lit. b) AGiS 2024).

Darüber hinaus ist im Einzelfall zu prüfen, ob das konkret verwendete Bedingungswerk spezielle Ausschlüsse für cyberbedingte Schadensursachen vorsieht. Solche Ausschlüsse finden sich zunehmend. Die Assekuranz versucht, sogenannte Silent Cyber-Risiken grundsätzlich von der klassischen Sachversicherung auszunehmen.

II. Deckungslücken erkennen und schließen

Der erste Schritt ist eine Bestandsaufnahme. Sachpolicen sollten auf Cyber-Ausschlüsse und Cyberpolicen auf den Einschluss von Sachschäden hin überprüft werden.

Wenn sich dabei eine Lücke zeigt, lässt diese sich unter Umständen schließen. Manche Cyberpolicen bieten ausdrücklich Deckung für Sachschäden. Alternativ lassen sich in der Sachversicherung möglicherweise spezifische Deckungstatbestände oder umgekehrt Ausnahmen von Cyber-Ausschlüssen verhandeln.

Für besonders empfindliche Güter können schließlich auch spezielle Warenschadenversicherungen sinnvoll sein. Bei aufgetauten Lebensmitteln kommt beispielsweise eine Kühlgutversicherung in Betracht. Wichtig ist, dass diese auch eine Manipulation der Anlage durch Dritte erfasst und keinen Cyber-Ausschluss enthält.

Wir unterstützen Sie gerne bei der Prüfung und Verhandlung von Versicherungskonzepten sowie im Schadenfall.