Die rechtlichen Risiken in Cyber-Versicherungspolicen

In Zeiten ständiger Ransomware-Angriffe ist es ohnehin schon schwierig genug, einen Cyber-Versicherungsschutz abzuschließen und aufrechtzuerhalten. Nun müssen sich Unternehmen offenbar Sorgen machen, dass Versicherer sie vor Gericht bringen, um ihre Verträge für nichtig zu erklären – so, als hätten diese nie existiert.

Ende August einigten sich die Travelers Property Casualty Company of America und International Control Services (ICS) vor einem Bundesgericht in Illinois darauf, die Kündigung der Police von ICS sowie jegliche Ansprüche auf Versicherungsschutz im Anschluss an einen kürzlich erfolgten Ransomware-Angriff zu genehmigen. Travelers hatte in seiner Klage geltend gemacht, dass ICS bei der Ausfüllung seines Antrags auf eine Cyber-Risiko-Versicherung fälschlicherweise angegeben habe, über eine Multifaktor-Authentifizierung (MFA) von zu verfügen, was derzeit in den meisten derartigen Policen vorgeschrieben ist. (Travelers und ICS haben auf Anfragen nach einer Stellungnahme nicht reagiert.)

Dass ein großer Versicherer versucht hat, die Zahlung einer Versicherungsleistung zu umgehen, ist nicht überraschend. Versicherer tun das ständig. Die Anfechtung der Gültigkeit einer bereits ausgestellten Police ist jedoch bei jeder Art von Versicherungsschutz äußerst ungewöhnlich und sollte Unternehmen, die eine Cyber-Risiko-Versicherung abschließen möchten, als Warnung dienen, mit Bedacht vorzugehen.

Warum einen Streit anzetteln?

Zwar sollten Versicherungsnehmer nicht davon ausgehen, dass solche Klagen zur Regel werden, doch wird es laut Scott Godes, Partner und Co-Vorsitzender der Praxisgruppe für Versicherungsansprüche und -beratung bei Barnes & Thornburg – einer landesweit tätigen Anwaltskanzlei, die Unternehmen in Fällen von Versicherungsansprüchen vertritt – wahrscheinlich vermehrt zu solchen Klagen kommen.

„. Die Versicherer drohen bereits seit einiger Zeit stillschweigend damit, die Kündigung von Verträgen als ‚nukleare Option‘ einzusetzen.“

Scott Godes, Partner und Co-Vorsitzender des Fachbereichs Versicherungsansprüche und -beratung bei Barnes & Thornburg

„Die Versicherer drohen schon seit einiger Zeit stillschweigend damit, die Kündigung von Verträgen als ‚nukleare Option‘ einzusetzen“, sagt er. „Es ist äußerst enttäuschend, das mit anzusehen.“ Meiner Meinung nach handelt es sich hierbei um ein Beispiel dafür, dass dem Versicherungsnehmer die Schuld gegeben wird, anstatt sich um eine sorgfältigere Schadenverhütung zu bemühen. „Dies ist ein Beispiel dafür, wie mehrdeutige und geschickt formulierte Fragen im Antragsformular gegen die Versicherungsnehmer eingesetzt werden.“

Godes bezieht sich auf die Praxis, Unternehmen die Verantwortung dafür aufzuerlegen, regelmäßig die von ihnen ergriffenen Maßnahmen zur Stärkung der Cybersicherheit zu bestätigen , anstatt eng mit den Versicherungsnehmern zusammenzuarbeiten, um sicherzustellen, dass diese die Erwartungen hinsichtlich ihrer Sicherheitslage erfüllen. Nach einem Angriff prüfen die Versicherer die Cybersicherheitsvorkehrungen eines Versicherungsnehmers besonders genau. Häufig wird ein forensischer Ermittler beauftragt, die Richtigkeit der Maßnahmen zur Cybersicherheit zu überprüfen, die ein Unternehmen in seinem Versicherungsantrag angegeben hat.

Versicherer sollten enger mit den Versicherungsnehmern zusammenarbeiten, um Cyberangriffe abzuwehren und jegliche Unklarheiten zu vermeiden, die zu Meinungsverschiedenheiten führen könnten, so Godes. Einige Versicherer wenden dies bereits bei anderen Versicherungsarten an. So werben beispielsweise einige Versicherer damit, dass sie Autofahrern, die bereit sind, ein Gerät zur Überwachung ihres Fahrverhaltens in ihrem Fahrzeug anzubringen, vergünstigte Tarife anbieten können. Versicherer könnten bei der Ausstellung von Cyber-Risiko-Policen eine ähnliche Strategie zur „Schadenvermeidung“ verfolgen, anstatt die Antworten in den Antragsformularen als „Hintertüren“ zu nutzen, argumentiert Godes.

[Lesen Sie auch: Ransomware setzt der Cyberversicherungsbranche schwer zu]

Viele Unternehmen zögern jedoch, detaillierte Informationen über ihre Maßnahmen zur Cybersicherheit preiszugeben. Sie befürchten, dass sich Versicherer in Angelegenheiten einmischen, die sie nichts angehen, oder dass die Offenlegung von Sicherheitsmaßnahmen rechtliche Konsequenzen nach sich ziehen könnte.

Umgang mit mühsamen Anträgen

Angesichts dieser Schwierigkeiten und der zunehmenden Häufung von Ransomware-Angriffen wie „ “ sowie anderer Cyberangriffe verlangen viele Cyberversicherer von Antragstellern, dass sie umfangreiche und unübersichtliche Fragebögen ausfüllen, um für einen Versicherungsschutz in Frage zu kommen, so Josephine Wolff, außerordentliche Professorin für Cybersicherheitspolitik an der Fletcher School der Tufts University und Autorin von „ “ sowie „Cyberinsurance Policy: Rethinking Risk in an Age of Ransomware, Computer Fraud, Data Breaches, and Cyberattacks“.

„Wenn Menschen in ihren Versicherungsanträgen Angaben falsch darstellen – sei es absichtlich oder unabsichtlich –, werden Versicherungsgesellschaften dagegen vorgehen.“

Gerry Glombicki, Senior Director bei Fitch Ratings

„Diese Bewerbungsunterlagen sind mittlerweile so umfangreich geworden, dass manche Unternehmen Teams aus drei oder mehr Mitarbeitern in Räume setzen und ihnen sagen: ‚Das Ausfüllen dieses Fragebogens ist Ihre Aufgabe für den nächsten Monat.‘“

Natürlich geht so viel Zeitaufwand zu Lasten anderer Aufgaben. Häufiger ist es, dass ein Mitarbeiter aus dem Büro des CISO, des CIO, des CFO oder des Finanzvorstands die Versicherungsunterlagen ausfüllt.

Das Problem: Es ist unwahrscheinlich, dass eine einzelne Person über das nötige Fachwissen oder die Zeit verfügt, um jede technisch detaillierte Frage präzise und vollständig zu beantworten. Infolgedessen kommt es zu Fehlern, Auslassungen und Falschangaben, die Versicherer dazu veranlassen, Ansprüche abzulehnen oder – wie Travelers in seinem wegweisenden Fall gezeigt hat – den Versicherungsschutz zu widerrufen.

[Lesen Sie auch: Wird die Bundesregierung für Cyberversicherungen bürgen?]

„Ich glaube, die wichtigste Entwicklung, die Sie beobachten werden, ist, dass Versicherungsgesellschaften Gegenmaßnahmen ergreifen werden, wenn Menschen in ihren Versicherungsanträgen – sei es absichtlich oder unabsichtlich – falsche Angaben machen“, sagt Gerry Glombicki, Senior Director bei Fitch Ratings, einer der führenden Ratingagenturen.

Sich ihre Kämpfe aussuchen

Doch selbst wenn andere dem Beispiel von Travelers folgen sollten, gehen Branchenbeobachter davon aus, dass sie dies wahrscheinlich nur in begrenztem Umfang tun werden. Es macht keinen guten Eindruck, Versicherungsnehmer von Cyberversicherungen vor Gericht zu bringen.

„Es ist für die Versicherungsgesellschaften wirklich nicht von Vorteil, sich in eine ganze Reihe von Rechtsstreitigkeiten zu verstricken, in denen sie versuchen, den Versicherungsschutz aufgrund von Formfehlern für ungültig zu erklären“, sagt David Anderson, Leiter des Bereichs Cyber-Versicherungen in den USA beim Rückversicherungsmakler McGill and Partners.

„: Alles, was Sie schriftlich an Versicherungsgesellschaften richten, stellt eine Erklärung dar, unabhängig davon, ob es mit Ihrer Unterschrift versehen ist oder nicht.“

David Anderson, Leiter des Bereichs Cybersicherheit in den USA bei McGill and Partners

„Ich bin überrascht, dass es überhaupt zu solchen Rechtsstreitigkeiten kommt“, pflichtet Sean O’Brien, Gastwissenschaftler am Information Society Project der Yale Law School, bei. „Das ist eine schreckliche Strategie, denn sie wird dazu führen, dass niemand mehr Vertrauen in diese Produkte hat.“ „Sie haben ohnehin schon genug Schwierigkeiten, Cyberversicherungen zu verkaufen.“

„Das ist ein heikles Unterfangen“, fügt Gerry Kennedy, Geschäftsführer bei Charles River Insurance, hinzu. „Sie geben vor, den Versicherungsnehmern Versicherungsschutz zu gewähren, wenn sie ihn benötigen.“ Aber dann ziehen Sie ihnen [durch die Kündigung von Verträgen] den Boden unter den Füßen weg, wenn es soweit ist? Die meisten Menschen würden sagen: „Es wäre schön gewesen, zu wissen, dass es diese Möglichkeit gab, bevor Sie meinen Antrag abgelehnt haben.“

Vermeidung rechtlicher Risiken

Um unangenehme Überraschungen zu vermeiden, empfehlen Branchenbeobachter die folgenden Vorsichtsmaßnahmen.

• Nehmen Sie den Fragebogen ernst. So umständlich diese Anträge auch geworden sind, stellen sie doch rechtlich verbindliche Sachverhaltsdarstellungen dar. Rechtsstreitigkeiten können jederzeit entstehen, wenn Unklarheiten bestehen. Bevor Sie einen Antrag ausfüllen, empfiehlt Herr Anderson von McGill and Partners, ein funktionsübergreifendes Risikomanagement-Team zusammenzustellen, um alle betrieblichen und technischen Details zu erfassen, die für die Bereitstellung möglichst vollständiger und genauer Antworten erforderlich sind.
• Beauftragen Sie einen Anwalt. Anderson empfiehlt zudem, frühzeitig einen Rechtsanwalt hinzuzuziehen, der den Prozess begleitet und die Antworten auf den Fragebogen prüft. „Alles, was Sie schriftlich an Versicherungsgesellschaften richten, stellt eine Erklärung dar, unabhängig davon, ob es mit Ihrer Unterschrift versehen ist oder nicht“, sagt er. „Die Beauftragung eines Rechtsanwalts ist mit hohen Kosten verbunden, und nicht viele Unternehmen – insbesondere kleine Familienbetriebe – können sich dies leisten.“ „Wenn Sie jedoch die Möglichkeit dazu haben, ist dies ratsam.“
• Erfassen Sie Ihr Risiko. Während des Antragsverfahrens sollten Sie bedenken, dass Cyberkriminelle häufig Dritte angreifen. „Es könnte später zu einem Problem werden, wenn ein Unternehmen angibt, über MFA zu verfügen, aber nicht sicherstellt, dass seine Partner und Lieferanten unter diese ebenfalls nutzen“, merkt Kennedy von Charles River an. Er empfiehlt, sich mit dem Versicherer in Verbindung zu setzen, um zu klären, ob das Risikomanagement durch Dritte zu dessen Erwartungen gehört, und, falls ja, sich die genauen Anforderungen bestätigen zu lassen.
• Seien Sie sich bewusst, was Sie damit bestätigen. Die Verantwortung liegt letztendlich bei der Person, die einen Antrag auf eine Cyberversicherung unterzeichnet. Sollte später ein Problem auftreten, wird diese Person im Mittelpunkt etwaiger rechtlicher Verfahren stehen. Aus diesem Grund betont Herr Glombicki von Fitch, dass der Unterzeichner – der idealerweise eine Führungskraft in leitender Position sein sollte – wissen sollte, was er bestätigt – sowohl zu seinem eigenen Schutz als auch zum Schutz der Organisation.
• Seien Sie offen. Wolff von der Tufts University weist darauf hin, dass das Schlimmste, was ein Unternehmen tun kann, darin besteht, die Wahrheit zu beschönigen. Auch wenn sie es mit den Details nicht übertreiben müssen, sollten Führungskräfte so offen wie möglich sein, um Vorwürfe der Falschdarstellung zu vermeiden. Wenn ein Unternehmen beispielsweise an einigen Standorten MFA eingeführt hat, an anderen jedoch nicht, sollten die Führungskräfte ermitteln, wo diese vorhanden ist und wo nicht.
• Machen Sie sich mit dem Inhalt der Police vertraut. Gehen Sie bei der Beantragung einer Cyberversicherung nicht davon aus, dass Ihre Police Schutz vor jedem denkbaren Szenario bietet. So funktioniert eine Versicherung nicht. Es ist daher äußerst wichtig, den Inhalt einer Police zu verstehen und besonders auf die in der Police aufgeführten Ausschlüsse zu achten , warnt Eric Gyasi, Rechtsanwalt und Vizepräsident bei Stroz Friedberg, einem Unternehmen der Aon-Gruppe.

[Lesen Sie auch: 6 Fragen zur Cybersicherheit, die ich den Vorständen stets empfehle zu stellen]

„Das mag vielleicht etwas abgedroschen klingen, aber Unternehmen neigen dazu, dies einmal festzulegen und dann zu vergessen“, sagt er. „Tatsächlich deckt eine Versicherung möglicherweise nicht das ab, was Sie angenommen haben.“

Die Versicherer stehen noch nicht Schlange, um die von ihnen ausgestellten Policen zu widerrufen. Beobachter gehen jedoch davon aus, dass mit ziemlicher Sicherheit weitere Rechtsstreitigkeiten wie „Travelers gegen ICS“ folgen werden, da die Branche bestrebt ist, ihre Risikomodelle und Vorschriften zu verfeinern.

Wie Godes von Barnes & Thornburg warnt: „Unternehmen sollten sich bewusst sein, dass die Netzbetreiber bei der Auslegung ihrer Anträge zunehmend aggressivere und strengere Standpunkte vertreten – und entsprechend reagieren.“