Die Relevanz von Sicherheitspatches für den Erhalt einer Cyberversicherung

Die Professionalisierung der Cyberkriminalität erfordert von Unternehmen eine kontinuierliche Absicherung ihrer IT-Infrastruktur. Hierbei ist das Schwachstellen- und Sicherheitspatch-Management ein zentraler Faktor. Für Versicherungsmakler ist ein fundiertes Verständnis dieser technischen Prozesse sowie der vertraglichen Implikationen notwendig, um Mandanten risikogerecht zu beraten, Haftungsrisiken bei der Vermittlung von Cyberpolicen zu minimieren und im Schadensfall den Deckungsschutz zu gewährleisten.

Der Unterschied zwischen Sicherheitspatches und Funktionsupdates

Sicherheitspatches sind spezifische, zeitkritische Korrekturen von Softwarecode, um identifizierte Sicherheitslücken zu schließen. Diese Schwachstellen werden im standardisierten „Common Vulnerabilities and Exposures“-System (CVE) erfasst und nach ihrer Kritikalität bewertet. Ein Sicherheitspatch adressiert somit eine konkrete Verwundbarkeit, die unter Umständen bereits von Angreifern ausgenutzt wird. Die Dringlichkeit lässt sich über das Common Vulnerability Scoring System (CVSS) bestimmen. Weist eine Schwachstelle eine Einstufung von mehr als 7 auf, ist eine zeitnahe Installation des Patches erforderlich, um das Einbruchsrisiko zu minimieren.

Demgegenüber dienen normale Funktionsupdates der Systempflege. Sie enthalten funktionale Erweiterungen, Leistungsoptimierungen oder Anpassungen der Benutzeroberfläche. Im Gegensatz zu Sicherheitspatches sind diese Updates nicht zeitkritisch. Ihre Installation kann im Rahmen geplanter, zyklischer Wartungsfenster erfolgen, ohne die unmittelbare IT-Sicherheit des Unternehmens zu gefährden.

Das Risiko von Falschangaben bei Versicherungsverträgen

Bei Abschluss einer Cyberversicherung verlangen Versicherer die Beantwortung eines Risikofragebogens. Die dort gemachten Angaben bilden die Kalkulationsgrundlage für das Risiko und die Prämie. Kommt es zu einem Schadensfall, prüfen Versicherer diese vorvertraglichen Angaben. Weichen die realen Gegebenheiten von den Antworten im Fragebogen ab und war diese Abweichung ursächlich für den Cybervorfall, kann dem Versicherungsnehmer der Verlust des Versicherungsschutzes drohen.

Verifikation statt Schätzung

Ein häufiger Fehler im Antragsprozess ist das Beantworten von Risikofragen auf Basis von Schätzungen. Wenn eine verantwortliche Person wie die Geschäftsführung oder ein Abteilungsleiter die Durchführung von Sicherheitspatches bejaht, ohne den tatsächlichen Ist-Zustand geprüft zu haben, wird dieses Wissen dem Unternehmen zugerechnet. Bewusst falsch beantwortete Antragsfragen können rechtlich als arglistige Täuschung gewertet werden.

Rechtliche Konsequenzen im Schadensfall

Unvollständige Angaben im Risikofragebogen führen im Schadensfall zu rechtlichen Konsequenzen. Je nach Verschuldensgrad reicht die Bandbreite von einer rückwirkenden Anfechtung oder einem Rücktritt vom Versicherungsvertrag bis hin zu einer Kündigung oder Vertragsanpassung. Im ungünstigsten Fall entfällt der Versicherungsschutz vollständig, sodass das Unternehmen den Schaden selbst tragen muss. Der Risikofragebogen sollte daher ausschließlich auf Basis verifizierter Informationen der zuständigen Fachbereiche ausgefüllt werden.

Moderne Versicherungsanbieter: Kontinuierliche Risiko-Scans statt statischer Abfragen

Statische, jährliche Risikofragebögen können das dynamische IT-Risiko eines Unternehmens nicht mehr adäquat abbilden. Digitale Risiken verändern sich kontinuierlich, weshalb moderne Cyberversicherer eine Verbindung aus Versicherungsschutz und proaktiver IT-Sicherheit etablieren.

Anstatt sich rein auf punktuelle Angaben im Risikobogen zu verlassen, beinhalten zeitgemäße Policen automatisierte Risiko-Scans der externen IT-Infrastruktur. So prüfen Anbieter Risiken beispielsweise mittels Schwachstellenscans. Dieser Ansatz optimiert das Risikomanagement auf mehreren Ebenen:

• Frühzeitige Identifizierung: Technische Schwachstellen und offene Einbruchstore werden automatisiert erkannt, bevor Angreifer sie ausnutzen können.
• Minimierung der Haftung: Durch die kontinuierliche externe Validierung sinkt das Risiko, veraltete Systeme zu übersehen, was im Schadensfall den Vorwurf der Täuschung entkräftet.
• Effizienz im Antragsprozess: Durch den Einsatz moderner Technologie wie dem Deep Scan von Baobab Risk Solutions reduziert sich der Antragsprozess erheblich. Bei einem Umsatz bis 100 Mio. € genügen oft nur 4 Fragen im Antrag, da der Scan bis zu 40% der klassischen Risikofragen ersetzt.

Fazit und Empfehlungen für die Maklerpraxis

Das Thema Sicherheitspatches ist eine essenzielle Rechts- und Haftungsfrage für Unternehmen und deren Versicherungsmakler. Für die tägliche Beratungspraxis lassen sich vier Kernstrategien ableiten:

1. IT-Verifikation etablieren: Risikofragebögen sollten immer durch die IT-Abteilung oder den externen IT-Dienstleister des Mandanten freigegeben werden. Makler sollten darauf hinwirken, dass eine fachkundige Person die technischen Angaben im Versicherungsantrag validiert und dokumentiert.
2. Wissenslücken transparent dokumentieren: Ist der genaue Status des Sicherheitspatches bestimmter Altsysteme bei Antragstellung unklar, darf die Frage nicht pauschal mit „Ja“ beantwortet werden. Der Makler sollte den Mandanten anleiten, diese Lücke explizit im Antrag zu vermerken und dem Versicherer gegenüber offenzulegen (z. B. durch den Zusatz: „Prüfung läuft, Altsysteme teilweise isoliert“). Dies schließt den Vorwurf der Täuschung aus.
3. Bevorzugung präventionsbasierter Cyber-Policen: Makler sollten zur eigenen Haftungsbegrenzung bevorzugt Cyberversicherungen vermitteln, die proaktive Sicherheitsleistungen wie regelmäßige Risiko-Scans fest in den Tarif integrieren, um die Resilienz des Mandanten zu erhöhen.