Silent Cyber – Versicherte und unversicherte Cyberschäden in Betriebs- und Produkthaftpflichtversicherungen unter Berücksichtigung des Digital Services Act
1. Einleitung
Mit der zunehmenden Digitalisierung stehen Unternehmen vor neuen Herausforderungen im Bereich der Cyberrisiken. „Silent Cyber“ bezeichnet dabei Cyberschäden, die durch traditionelle Versicherungsverträge bereits versichert sind, ohne dass Cyberrisiken ausdrücklich als versicherte Gefahr genannt werden.
In diesem Aufsatz wird die Relevanz von Silent Cyber in der Betriebs- und Produkthaftpflichtversicherung analysiert und die Auswirkungen des Digital Services Act (DSA) der Europäischen Union auf diese Thematik beleuchtet.
2. Silent Cyber und seine Bedeutung in der Versicherungspraxis
Silent Cyber beschreibt eine unklare Deckungssituation, in der Cyberrisiken unbeabsichtigt durch traditionelle Versicherungsverträge gedeckt oder ausgeschlossen sein können. Besonders in der Betriebs- und Produkthaftpflichtversicherung sind diese Risiken relevant, da Cyberangriffe oder IT-bezogene Produktschäden erhebliche finanzielle Folgen für Unternehmen und Dritte haben können.
Cyberschäden entstehen ganz allgemein durch Verletzung der Informationssicherheit, weil Daten ihre Vertraulichkeit, Integrität oder Authentizität verloren haben.
2.1 Versicherte Cyberschäden in der Betriebs- und Produkthaftpflichtversicherung
Die Betriebs- und Produkthaftpflichtversicherung deckt Schäden bei Personen oder an Sachen ab, die durch betriebliche Tätigkeiten oder fehlerhafte Produkte entstehen.
Eine Deckung für echte Vermögensschäden bei Dritten, so wie sie durch Cyberattacken hauptsächlich entstehen, besteht nur in einem eng definierten Umfang.
Jede moderne Betriebshaftpflichtversicherung bietet bereits standardmäßig Versicherungsschutz für Haftpflichtschäden aus dem Austausch, der Übermittlung und der Bereitstellung elektronischer Daten, z. B. im Internet, per E-Mail oder mittels Datenträger.
Abgedeckt sind ausschließlich folgende echte Vermögensschäden:
- Schäden aus der Löschung, Unterdrückung, Unbrauchbarmachung oder Veränderung von Daten (Datenveränderung) bei Dritten durch Computerviren oder andere Schadprogramme
- Schäden aus der Datenveränderung aus sonstigen Gründen sowie der Nichterfassung und fehlerhaften Speicherung von Daten, und zwar wegen der Kosten zur Wiederherstellung der veränderten Daten bzw. Erfassung/korrekten Speicherung nicht oder fehlerhaft erfasster Daten;
- Schäden aus der Störung des Zugangs Dritter zum elektronischen Datenaustausch
Der vorhandene Deckungsschutz war in der Vergangenheit ausreichend, sofern mit dem Betrieb oder seinen Produkten keine IT-Dienste und keine IT-Leistungen erbracht werden. Der Versicherungsschutz wird sowieso nur dann gewährt, wenn der Versicherungsnehmer keine IT-Dienste und keine IT-Leistungen erbringt.
2.2 unversicherte Cyberschäden in Betriebs- und Produkthaftpflichtversicherungen
Die oben genannte Grunddeckung für Cyberschäden bietet nur einen begrenzten Versicherungsschutz.
Mit der fortschreitenden Digitalisierung von Produkten und Dienstleistungen erhöht sich das Risiko, dass Informationssicherheitsverletzungen, Cyberangriffe oder Softwaremängel zu nicht versicherten Schadenfällen führen.
Beispiele sind:
- Manipulierte Softwareupdates, die Produktionsausfälle verursachen,
- Sicherheitslücken in vernetzten Produkten, die Haftungsansprüche nach sich ziehen,
- Cyberangriffe auf Betriebssysteme, die zu Sachschäden führen.
3. Wie können Ansprüche Dritter wegen echter Vermögensschäden durch Cyberangriffe umfassender abgesichert werden?
Hierzu werden im Markt u. a. allgemeine Cyberversicherungen, aber auch Cyber-Haftpflichtversicherungen, Cyber-Rechtsschutzversicherungen und viele andere Versicherungskonstrukte angeboten, die das Wort „Cyber“ enthalten.
Zur Ergänzung der Absicherung einer Betriebs- und Produkthaftpflichtversicherung muss im Kern eine Versicherungslösung gefunden werden, welche das Unternehmen vor Vermögensschäden ohne vorausgehenden Sach- oder Personenschaden schützt. Insbesondere muss der Schutz vor Risiken in Zusammenhang mit der Informationstechnologie erhöht werden.
Wie immer gilt: „Versicherungen nur zusammen mit einem Experten einkaufen!“
Keine andere Versicherungssparte hat so unterschiedliche Versicherungsbedingungen wie die Sparte der Cyberversicherung. Wer seine Versicherungen selbst googelt und einkauft, der bezahlt seine Versicherungsprämien für eine Black-Box.
4. Der Digital Services Act und seine Auswirkungen auf Unternehmen und Versicherungspolicen
Der Digital Services Act (DSA) ist eine EU-Verordnung, die am 16. November 2022 in Kraft getreten ist und schrittweise umgesetzt wird.
Ziel ist es unter anderem, digitale Plattformen und Dienste sicherer, transparenter und verantwortungsvoller zu gestalten. Der DSA ergänzt den Digital Markets Act (DMA) und bildet zusammen mit diesem das „Digital Services Package“ der EU.
Der Digital Services Act hat unmittelbare Auswirkungen auf die Risikobewertung und die Haftung im Zusammenhang mit Cyberrisiken.
4.1 Wichtige Inhalte und Regelungen des Digital Services Act
4.1.1 Wer ist vom DSA betroffen?
Der DSA betrifft alle digitalen Plattformen, Online-Marktplätze und Vermittlungsdienste, die in der EU tätig sind.
Besonders strenge Regeln gelten für sehr große Online-Plattformen (VLOPs) mit mehr als 45 Millionen Nutzern in der EU, wie z. B.:
- Google (Suchmaschine, YouTube)
- Meta (Facebook, Instagram, WhatsApp)
- Amazon, Ebay, Etsy (Betreiber von Online-Shops, digitale Marktplätze, Cloud-Dienste)
- TikTok
„Online-Plattform“ ist jeder, der Unternehmen oder Privatpersonen ermöglicht, Waren oder Dienstleistungen online zu verkaufen.
4.1.2 DSA bringt neue Haftungs- und Sorgfaltspflichten
Der Digital Services Act verlangt von Plattformen, illegale Inhalte schneller zu entfernen (z. B. Hassrede, Desinformation, gefälschte Produkte).
Hierzu müssen auch klare Mechanismen für Meldung und Beschwerde für Nutzer über schädliche Inhalte vorgehalten werden.
Außerdem gibt es strenge Vorschriften für Werbung. So ist z. B. gezielte Werbung für Minderjährige verboten und auf sensiblen Daten basierende Werbung.
4.1.3 DSA verlangt von Unternehmen mehr Transparenz und Kontrolle
Der Digital Services Act verlangt von Plattformen die Offenlegung ihrer Algorithmen und Empfehlungssysteme. Ziele ist es den Nutzern mehr Kontrolle über personalisierte Inhalte zu verschaffen.
Große Plattformen sind verpflichtet jährliche Risikoberichte zu erstellen.
4.1.4 Nichteinhaltung des DSA zieht Strafen nach sich
Verstöße gegen den Digital Services Act können mit Geldbußen von bis zu 6 % des globalen Jahresumsatzes geahndet werden. Über die Versicherbarkeit von solchen Geldbußen wird auf einen bekannten Blog verwiesen.
Zur Durchsetzung will die EU-Kommission große Plattformen direkt überwachen. Nationale Behörden sind für kleinere Anbieter zuständig.
4.1.5 DSA verschärft Haftungsrisiken für Unternehmen
Mit dem Digital Services Act will der EU-Gesetzgeber die fortschreitende Stärkung des Verbraucherschutzes und der digitalen Sicherheit in der EU erreichen.
Der Digital Services Act ist damit ein weiterer Meilenstein für die Verschärfung der Haftung für Unternehmen in Europa.
4.2. Auswirkungen des Digital Services Act auf Versicherungspolicen
Die neuen Vorschriften sollten Versicherungsnehmer aus Industrie, Handel, Handwerk, Gewerbe und Dienstleistung dazu veranlassen ihren Versicherungsmakler zu konsultieren, um Cyberrisiken, neue Haftungsrisiken sowie neue Rechtskostenrisiken in den Fokus zu nehmen und mit dem vorhandenen Versicherungsschutz abzugleichen.
Der standardmäßig vorhandene Versicherungsschutz durch eine Betriebs- und Produkthaftpflichtversicherung war bisher schon nur ein Teilkaskoschutz.
Mögliche Diskussionsthemen sind:
- Höhere Anforderungen an Unternehmen in Bezug auf IT-Sicherheit und Risikomanagement,
- Entwicklung neuer Versicherungskonzepte speziell für digitale Risiken,
- Präzisere Klauseln zur Abdeckung von Cyberrisiken.
5. Fazit
Silent Cyber ist eine wachsende Herausforderung für Unternehmen und deren existenzielle Absicherung durch die Betriebs- und Produkthaftpflichtversicherung.
Durch den Digital Services Act haben sich Haftungsrisiken verändert und machen eine Überprüfung der Versicherungsverträge erforderlich.
Unternehmen sollten sich aktiv mit jeder neuen regulatorischen Anforderung auseinandersetzen und gemeinsam mit ihrem Versicherungsmakler geeignete Deckungslösungen für Cyberrisiken erarbeiten.
6. Schaubilder auf Anfrage:
- Deckung und Deckungslücken für digitale Risiken in der Betriebs- und Produkthaftpflichtversicherung
- Deckungsunterschiede für digitale Risiken zwischen Cyberversicherung und Betriebs- und Produkthaftpflichtversicherungen
Sie suchen eine individuelle Versicherungslösung für Ihr Unternehmen?
Wedel, 01.03.2025, Diplom-Kaufmann Christian Fuchs ist der „Versicherungs-Fuchs“ für Produkthaftpflichtversicherungen und staatlich geprüfter Haftpflicht-Underwriter (DVA)
Folgende Artikel könnten für Dich interessant sein:
Cyber Resilience Act (CRA) und dessen Bedeutung für die Betriebs- und Produkthaftpflichtversicherung
Die neue Produkthaftungsrichtline der EU-Kommission hat es in sich – schärfer, komplexer, teurer
