Cyberversicherung: Voraussetzungen für Betriebe

Ein Cyberangriff erreicht einen Kassenbetrieb über die Kassensoftware, den Fernzugriff des Anbieters oder den Bürorechner. Ob der Versicherer zahlt, hängt auch davon ab, wie der Betrieb dieses Risiko im Griff hat; die Maßnahmen stehen in Ihren Versicherungsbedingungen.

Woher die Anforderungen kommen

Für die Cyberrisiko-Versicherung gibt es Musterbedingungen des Gesamtverbands der Deutschen Versicherungswirtschaft (GDV): die Allgemeinen Versicherungsbedingungen (AVB Cyber, Stand Februar 2024). Sie sind für die Versicherer unverbindlich; maßgeblich ist der Bedingungstext Ihres Vertrags.

Abschnitt A1-16 enthält die Obliegenheiten vor Eintritt des Versicherungsfalls zur Gewährleistung der IT-Sicherheit. Sie gelten, solange kein Versicherungsfall eingetreten ist. A1-16.2 verlangt zusätzlich, alle gesetzlichen, behördlichen und vertraglich vereinbarten Sicherheitsvorschriften einzuhalten und besonders gefahrdrohende Umstände auf Verlangen des Versicherers innerhalb angemessener Frist zu beseitigen. Die Beseitigungspflicht entfällt, soweit sie unter Abwägung der beiderseitigen Interessen unzumutbar ist; ein Umstand, der zu einem Schaden geführt hat, gilt ohne weiteres als besonders gefahrdrohend.

Die Rechtsfolgen regelt B3-4: Verletzt der Versicherungsnehmer vorsätzlich oder grob fahrlässig eine Obliegenheit, die er vor Eintritt des Versicherungsfalls zu erfüllen hat, kann der Versicherer binnen eines Monats nach Kenntnis der Verletzung fristlos kündigen (B3-4.1); hat er die Obliegenheit weder vorsätzlich noch grob fahrlässig verletzt, besteht kein Kündigungsrecht. Bei Vorsatz ist er leistungsfrei, bei grober Fahrlässigkeit darf er die Leistung nach der Schwere des Verschuldens kürzen (B3-4.2.1); leistungspflichtig bleibt er, wenn die Verletzung weder für den Eintritt oder die Feststellung des Versicherungsfalls noch für die Feststellung oder den Umfang seiner Leistung ursächlich war, außer bei Arglist (B3-4.2.3). Deutschland: § 28 Abs. 1 bis 3 VVG.

In Österreich regelt § 6 VersVG die vereinbarte Leistungsfreiheit mit eigenen Bedingungen statt einer Kürzung nach Verschuldensschwere: Sie tritt bei unverschuldeter Verletzung nicht ein (Abs. 1) und bei Obliegenheiten nach Eintritt des Versicherungsfalls nur, wenn die Verletzung auf Vorsatz oder grober Fahrlässigkeit beruht (Abs. 3).

Was die GDV-Musterbedingungen verlangen

Der Musterkatalog nennt fünf Bereiche. Die Übersicht stellt sie den Maßnahmen an einem Kassenplatz gegenüber; die letzte Spalte nennt den Nachweis.

Obliegenheit (AVB Cyber A1-16.1)	Am Kassenplatz	Nachweis
a) individuelle Zugänge und Befugnisebenen, technisch erzwungene Passwort-Mindestanforderungen, Admin-Zugänge nur für Administratoren und nur für administrative Tätigkeiten	eigene Anmeldung je Mitarbeitendem statt Sammelkonto Kasse 1; getrennter Zugang für Storno, Preisänderung und Auswertung	Benutzerliste mit Rechten, Passwortregeln in der Konfiguration
b) zusätzlicher Schutz für Geräte mit erhöhtem Risiko: über das Internet erreichbare Server und Mobilgeräte, etwa Firewall und Zwei-Faktor-Authentifizierung, bei Mobilgeräten Verschlüsselung der Datenträger und Diebstahlsicherung	Fernzugriff des Kassen- oder TSE-Anbieters nur verschlüsselt und mit zweitem Faktor; Tablet und Laptop der Kasse verschlüsselt	Geräteliste mit Maßnahme je Gerät, Screenshot der Einstellungen
c) Schutz gegen Schadsoftware, dessen Niveau automatisch aktuell gehalten wird (etwa Virenscanner oder Code Signing)	Schutz auf jedem Gerät, das Kassen-, Kunden- oder Zahlungsdaten verarbeitet, nicht nur am Kassenplatz	Produkt und Version je Gerät, Stand der Signaturen
d) Patch-Management mit zeitnaher Installation relevanter Sicherheitsupdates; Systeme mit bekannten Lücken dürfen nur mit zusätzlichen Schutzmaßnahmen eingesetzt werden	Kassensoftware und Betriebssystem zeitnah aktualisieren; ältere Kassengeräte vor dem Einsatz auf bekannte Lücken prüfen	Update-Protokoll, Versionsstände, Termin für den nächsten Patch
e) Sicherung mindestens wöchentlich, wobei kein System und keine Befugnisstufe Schreibberechtigung auf Originale und Duplikate hat und beide gleichermaßen verändern oder vernichten kann; Prüfung der Wiederherstellung nach festgelegtem Turnus	Kassendaten samt Export sichern, Kopie vom Kassennetz getrennt und nicht beschreibbar halten, Rücksicherung turnusmäßig üben	Sicherungsplan, Protokoll der letzten Rücksicherung, Nachweis der getrennten Aufbewahrung

Ihr Vertrag kann strenger sein, etwa eine tägliche Sicherung verlangen; vergleichen Sie Ihre Bedingungen mit der Liste.

Was der GDV-Muster-Fragebogen abfragt

Ob und in welcher Form Ihr Versicherer vor Vertragsschluss einen Fragebogen einsetzt, steht in seinem Antragsverfahren; die GDV stellt dafür einen unverbindlichen Muster-Fragebogen bereit (Stand Dezember 2019). Er ordnet Betriebe in drei Kategorien: A bis 2 Millionen Euro Jahresumsatz, B bis 5 Millionen, C bis 10 Millionen; darüber ist eine individuelle Erfassung vorgesehen. Die zehn Fragen der Kategorie A sind verpflichtend.

Bestimmte Tätigkeiten heben die Kategorie unabhängig vom Umsatz: E-Commerce auf eigener Infrastruktur, die Verarbeitung sensibler Daten (insbesondere personenbezogener Daten Dritter), von Berufsgeheimnissen und von Betriebsgeheimnissen Dritter sowie der Betrieb automatisierter Produktionssysteme (Industrial Control Systems). Wer Kernaufgaben auslagert, erfasst jeden Dienstleister einzeln, etwa die Cloud-Kasse; dazu gehört die Auftragsverarbeitung bei der Cloud-Kasse.

Was schon gesetzlich gilt

Ein Teil steht ohnehin im Recht Ihres Landes.

Land und System	Vorgabe	Am Kassenplatz
Deutschland, elektronisches Aufzeichnungssystem nach § 146a AO	Elektronische und computergestützte Kassensysteme sowie Registrierkassen sind elektronische Aufzeichnungssysteme (§ 1 Abs. 1 Satz 1 KassenSichV); System und Aufzeichnungen sind durch eine zertifizierte technische Sicherheitseinrichtung zu schützen (§ 146a Abs. 1 Satz 2 AO). Eine offene Ladenkasse ist kein solches System	technische Sicherheitseinrichtung an der Kasse, Aufzeichnungen für Prüfungen verfügbar (Abs. 1 Satz 4); siehe TSE-Pflicht in Deutschland
Österreich, Registrierkasse	Wer eine Registrierkasse führen muss, schützt sie nach § 131b Abs. 2 BAO durch eine technische Sicherheitseinrichtung gegen Manipulation, mit Signatur oder Siegel jedes Barumsatzes	Signatur- oder Siegelerstellungseinheit und Datenerfassungsprotokoll; die Registrierkassenpflicht in Österreich regelt, wen sie trifft
Deutschland und Österreich, personenbezogene Daten	Art. 32 Abs. 1 DSGVO verlangt geeignete technische und organisatorische Maßnahmen für ein dem Risiko angemessenes Schutzniveau; dazu gehören gegebenenfalls unter anderem Verschlüsselung, die Sicherstellung von Vertraulichkeit, Integrität, Verfügbarkeit und Belastbarkeit, die rasche Wiederherstellung nach einem Zwischenfall und ein Verfahren zur regelmäßigen Überprüfung der Wirksamkeit	gilt für Kundenkartei, Treueprogramm und Bestelldaten, siehe DSGVO im Laden
Schweiz, Personendaten	Art. 8 Abs. 1 DSG verlangt eine dem Risiko angemessene Datensicherheit durch geeignete technische und organisatorische Maßnahmen; Art. 3 DSV nennt dafür die Schutzziele Vertraulichkeit (Zugriffs-, Zugangs- und Benutzerkontrolle), Verfügbarkeit und Integrität (darunter Wiederherstellung und Systemsicherheit) sowie Nachvollziehbarkeit	Umfang und Wahl der Maßnahmen richten sich nach Schutzbedarf und Risiko (Art. 1 DSV); als Umsetzung kommen etwa getrennte Rechte, aktuelle Systeme und eine geprüfte Wiederherstellung in Betracht; siehe Datenschutz für Kassensysteme

Ob die NIS-2-Regeln des BSI-Gesetzes Ihren Betrieb treffen, hängt von Branche und Größe ab (NIS2-Pflichten für Händler).

Beispielrechnung: die Sicherung im selben Netz

Ein Restaurant macht 1.500 Euro Umsatz pro Tag. An einem Freitag verschlüsselt Ransomware den Kassenserver; die Sicherung liegt auf einem NAS im selben Netz und wird mitverschlüsselt. Bis die Kassendaten wiederhergestellt sind, bleibt der Betrieb vier Tage geschlossen, also 6.000 Euro entgangener Umsatz (Beispielrechnung mit angenommenen Zahlen).

Der Versicherer prüft, ob die Sicherungspflicht aus A1-16.1 Buchstabe e eingehalten war: Ein NAS, das der Kassenserver löschen kann, erfüllt sie nicht. Bei grober Fahrlässigkeit ist er berechtigt, die Leistung nach der Schwere des Verschuldens zu kürzen (B3-4.2.1); weist der Betrieb nach, dass die Verletzung weder für den Eintritt oder die Feststellung des Versicherungsfalls noch für die Feststellung oder den Umfang der Leistung ursächlich war, bleibt der Versicherer leistungspflichtig (B3-4.2.3), außer bei Arglist. Von der Entschädigung zieht er die vereinbarte Selbstbeteiligung ab (A1-15, angenommen 1.000 Euro). Ein tragfähiges Sicherungskonzept beschreibt Kassendaten sichern.

Typische Fehler

• Sammelkonto an der Kasse: Es erfüllt A1-16.1 Buchstabe a nicht und liefert keinen Nachweis, wer was gebucht hat.
• Sicherung im Kassennetz: Eine Kopie, die der Kassenserver löschen kann, verstößt gegen Buchstabe e und fällt beim selben Angriff wie das Original.
• Rücksicherung nie geübt: Buchstabe e verlangt eine Prüfung nach festgelegtem Turnus; ungeprüft ist der Wiederherstellungsweg nicht belegt.
• Dienstleister nicht erfasst: Der Fragebogen sieht für jeden IT-Dienstleister einen eigenen Eintrag vor (DL1); fehlt die Cloud-Kasse in der Liste, fehlt dem Versicherer eine Angabe, die er abfragt.

So gehen Sie vor

1. Lesen Sie in Ihren Bedingungen den Abschnitt zu den Obliegenheiten und jeden Anhang mit Sicherheitsanforderungen.
2. Listen Sie Geräte, Zugänge und Dienstleister auf: Kassensystem, Sicherheitseinrichtung, Kartenterminal, Cloud und Fernzugriff.
3. Stellen Sie die Sicherung so her, dass kein System und keine Befugnisstufe Originale und Duplikate schreibend verändern oder löschen kann, und üben Sie die Rücksicherung. Redaktionelle Einschätzung: Diese Maßnahme deckt den größten Teil des Schadenspotenzials ab.
4. Bringen Sie die Zugänge in Ordnung: eigene Anmeldung je Person, getrennte Admin-Rechte, zweiter Faktor für jeden Fernzugriff.
5. Legen Sie fest, wer im Vorfall den Versicherer informiert (B3-3.2) und wer die Meldung nach Art. 33 DSGVO vorbereitet; die Grundmaßnahmen beschreibt Kasse vor Cyberangriffen schützen.
6. Halten Sie die Nachweise in einem Ordner jährlich aktuell.