Cyber-Versicherung: Wie füllen wir den Fragebogen wahrheitsgemäß aus?

Irgendwann liegt er auf dem Tisch: ein PDF vom Makler, vier bis acht Seiten, dreißig bis sechzig Fragen zur IT-Sicherheit. Die meisten lassen sich mit „ja” oder „nein” beantworten. Der übliche Weg ist, das Dokument an den IT-Dienstleister weiterzuleiten mit der Bitte, „das mal auszufüllen”. Zurück kommt der ausgefüllte Bogen. Unterschrieben wird er von Ihnen.

Genau hier entsteht das Risiko. Der Fragebogen sieht aus wie ein technisches Formular, ist aber ein Rechtsdokument. Er bestimmt die Prämie. Und er entscheidet im Schadenfall darüber, ob der Vertrag überhaupt Bestand hat.

Die kurze Antwort

Beantworten Sie jede Frage erst, nachdem Sie den tatsächlichen Zustand geprüft haben, und halten Sie fest, wer wann was geprüft hat. Wo eine Frage nicht uneingeschränkt mit „ja” zu beantworten ist, tragen Sie die Einschränkung schriftlich ein, statt sie wegzulassen. Ein eingeschränktes „ja” führt meist nur zu einer Prämien- oder Bedingungsanpassung. Ein ungeprüftes „ja” kann den gesamten Vertrag kosten. Nach § 19 VVG stehen dem Versicherer bei einer verletzten Anzeigepflicht abgestufte Rechte zu: Rücktritt erst ab grober Fahrlässigkeit, darunter Kündigung oder rückwirkende Vertragsanpassung. Wer eine Frage bewusst ins Blaue hinein beantwortet, riskiert zusätzlich die Anfechtung wegen arglistiger Täuschung nach § 22 VVG. Dann besteht rückwirkend kein Schutz.

Warum der Fragebogen kein Technik-Formular ist

§ 19 Abs. 1 VVG verpflichtet Sie, die Ihnen bekannten Gefahrumstände anzuzeigen, nach denen der Versicherer in Textform gefragt hat. Der Versicherer bestimmt durch seine Fragen, was er wissen will. Sie schulden darauf eine zutreffende Antwort.

Wichtig ist die Zurechnung. Wenn Ihr IT-Leiter oder Ihr externer Dienstleister die Antworten liefert, handeln diese für das Unternehmen. Deren Kenntnis und deren Sorgfalt werden Ihnen zugerechnet. Die Aussage „das hat unser Dienstleister ausgefüllt” ist im Schadenfall keine Entlastung. Dabei geht es um zwei verschiedene Fragen. Im Betrieb zählt, ob eine Maßnahme eingerichtet ist und funktioniert. Der Fragebogen fragt nach einem nachweisbaren Zustand über den gesamten Bestand, also über jedes Gerät und jedes Konto. Diese Auskunft setzt eine Liste voraus, keine Einschätzung.

Was passiert, wenn Sie falsch antworten?

Die Rechtsfolgen sind gestuft, und die Unterschiede sind erheblich:

• Einfache Fahrlässigkeit oder unverschuldet: Der Versicherer kann nicht zurücktreten. Ihm bleibt ein Kündigungsrecht mit einer Frist von einem Monat (§ 19 Abs. 3 Satz 2 VVG). Auch dieses entfällt, wenn er den Vertrag in Kenntnis der Umstände zu anderen Bedingungen geschlossen hätte; dann kann er stattdessen die Anpassung des Vertrags verlangen. Bei unverschuldeter Falschangabe gilt sie erst ab der laufenden Versicherungsperiode (§ 19 Abs. 4 VVG).
• Grobe Fahrlässigkeit: Rücktritt ist möglich. Er ist aber ausgeschlossen, wenn der Versicherer den Vertrag in Kenntnis der Umstände zu anderen Bedingungen geschlossen hätte. Dann werden diese anderen Bedingungen rückwirkend Vertragsbestandteil (§ 19 Abs. 4 VVG). In der Praxis heißt das oft: höhere Prämie oder ein Selbstbehalt, aber der Schutz bleibt.
• Vorsatz: Rücktritt ohne diese Einschränkung.
• Arglist: Der Versicherer kann den Vertrag zusätzlich anfechten (§ 22 VVG). Der Vertrag gilt dann als von Anfang an nichtig.

Zwei Punkte werden regelmäßig übersehen. Erstens: Auch nach einem wirksamen Rücktritt bleibt der Versicherer zur Leistung verpflichtet, wenn der nicht angezeigte Umstand weder für den Eintritt oder die Feststellung des Versicherungsfalls noch für den Umfang der Leistung ursächlich war (§ 21 Abs. 2 VVG). Wer beim Thema Datensicherung ungenau war, verliert deshalb nicht automatisch den Schutz nach einem Vorfall, der damit nichts zu tun hatte. Bei Arglist gilt dieser Kausalitätsschutz allerdings nicht.

Zweitens: Der Versicherer kann Rücktritt, Kündigung und Vertragsanpassung nur geltend machen, wenn er Sie durch gesonderte Mitteilung in Textform auf die Folgen einer Anzeigepflichtverletzung hingewiesen hat (§ 19 Abs. 5 VVG). Prüfen Sie, ob dieses Hinweisblatt in Ihren Unterlagen liegt. Die Arglistanfechtung bleibt davon unberührt.

Was ein Gericht daraus gemacht hat

Ein Unternehmen hatte im Antrag bestätigt, alle stationären und mobilen Arbeitsrechner seien mit aktueller Schadsoftware-Erkennung ausgestattet und verfügbare Sicherheitsupdates würden ohne schuldhaftes Zögern eingespielt. Nach einem Angriff fand die Forensik einen Server ohne Herstellersupport im Betrieb, fehlenden Virenschutz und einen Domain Controller im Auslieferungszustand.

Der Versicherer focht den Vertrag wegen arglistiger Täuschung an. Das Landgericht Kiel gab ihm recht, und im Januar 2025 bestätigte das Schleswig-Holsteinische Oberlandesgericht die Entscheidung (Az. 16 U 63/24). Entscheidend war nicht, dass der zuständige Mitarbeiter lügen wollte. Entscheidend war, dass er antwortete, obwohl er wusste, dass er den erfragten Zustand nicht hinreichend genau kannte. Das werteten die Gerichte als bewusst unrichtige Angabe. Es handelt sich um eine obergerichtliche Einzelfallentscheidung; eine höchstrichterliche Klärung durch den Bundesgerichtshof steht für Risikofragen in der Cyberversicherung bislang aus.

Die praktische Konsequenz: Gutgläubigkeit schützt nicht. Ein „ja” ohne vorherige Prüfung ist rechtlich riskanter als ein ehrliches „nein”.

Diese Fragen kommen fast immer vor und was sie bedeuten

Der GDV stellt einen unverbindlichen Musterfragebogen bereit, an dem sich viele Versicherer orientieren. Die folgenden Themen finden sich in nahezu jedem Antrag.

Ein Beispiel für die Schärfe der Formulierungen: Microsoft verlangt seit Oktober 2024 stufenweise eine Mehr-Faktor-Anmeldung an den Azure-, Entra- und Intune-Verwaltungsportalen, seit Februar 2025 auch am Microsoft-365-Adminportal. Eine zweite Stufe betrifft seit Oktober 2025 Zugriffe über Kommandozeile, Skripte und Programmierschnittstellen zur Verwaltung von Azure-Ressourcen; der letzte Aufschub dafür endete am 1. Juli 2026. Wer daraus schließt, MFA sei „überall aktiv”, antwortet zu weit. Erzwungen sind nur bestimmte Verwaltungszugänge. Nicht jeder Zugriffsweg jedes Kontos fällt darunter.

Ähnlich beim Backup. Microsoft 365 hält gelöschte Inhalte nur befristet vor: gelöschte Elemente standardmäßig 14 Tage, erhöhbar auf maximal 30; gelöschte Postfächer 30 Tage; die Papierkörbe von SharePoint und OneDrive 93 Tage über beide Stufen zusammen. Das ist eine Aufbewahrungsfrist, kein Backup. Eine echte Sicherung erfordert ein zusätzliches, kostenpflichtiges Produkt, ob von Microsoft oder von Dritten. Wer die Backup-Frage allein mit Blick auf die Papierkörbe bejaht, hat sie falsch beantwortet.

Wie Sie ehrlich antworten, ohne sich zu schaden

Ein „nein” im Fragebogen ist kein Ablehnungsgrund, sondern ein Preisfaktor. Versicherer kalkulieren Risiken; sie bestrafen keine Offenheit. Was sie nicht kalkulieren können, sind Angaben, die sich später als unzutreffend herausstellen.

Vier Regeln haben sich bewährt:

1. Zerlegen Sie Mehrfachfragen. „Regelmäßig erstellt, getrennt aufbewahrt und getestet” sind drei Aussagen. Wenn nur zwei zutreffen, ist die Antwort nicht „ja”.
2. Nutzen Sie das Bemerkungsfeld. Formulierungen wie „ja, mit Ausnahme von zwei Dienstkonten für die Warenwirtschaft; Umstellung bis 30.09. geplant” sind zulässig und wirken risikomindernd. Sie nehmen dem Versicherer die Möglichkeit, sich später auf Unkenntnis zu berufen.
3. Fragen Sie zurück, wenn eine Frage unklar ist. Lassen Sie sich die Auslegung vom Versicherer schriftlich bestätigen und legen Sie die Antwort zur Police.
4. Dokumentieren Sie die Prüfung. Notieren Sie zu jeder Frage, wer sie wann und auf welcher Grundlage geprüft hat. Dieser Vermerk ist im Streitfall Ihr wichtigstes Beweismittel.

Checkliste vor dem Absenden

• Wurde jede „alle”-Frage tatsächlich gegen eine Geräte- und Kontenliste geprüft, nicht aus dem Gedächtnis beantwortet?
• Sind Konten Ihres IT-Dienstleisters, Dienstkonten und Notfallkonten mitgezählt?
• Ist die Backup-Frage getrennt nach lokalen Systemen und Microsoft 365 beantwortet?
• Liegt der schriftliche Hinweis des Versicherers nach § 19 Abs. 5 VVG vor?
• Gibt es zu jeder Einschränkung einen Eintrag im Bemerkungsfeld statt einer Auslassung?
• Ist dokumentiert, wer die Antworten fachlich verantwortet?

Nach der Unterschrift gelten andere Regeln

Die Anzeigepflicht endet mit Vertragsschluss. Danach greifen die vertraglichen Obliegenheiten, also Ihre Zusage, bestimmte Maßnahmen dauerhaft aufrechtzuerhalten. Hier gilt § 28 VVG: Bei vorsätzlicher Verletzung ist der Versicherer leistungsfrei, bei grober Fahrlässigkeit darf er die Leistung in einem der Schwere des Verschuldens entsprechenden Verhältnis kürzen, bei einfacher Fahrlässigkeit bleibt er voll leistungspflichtig. Und nach § 28 Abs. 3 VVG bleibt er zur Leistung verpflichtet, soweit die Verletzung für Eintritt, Feststellung oder Umfang des Schadens nicht ursächlich war.

Die verbreitete Behauptung, ohne lückenlose MFA zahle die Police grundsätzlich nicht, ist in dieser Form falsch. Versicherer verlangen MFA für definierte Bereiche wie Fernzugriffe, privilegierte Konten sowie Cloud- und E-Mail-Zugänge. Die Rechtsfolge einer Lücke ist gestuft, nicht binär. Das ist keine Entwarnung: Eine Kürzung um einen erheblichen Anteil kann ein Unternehmen ebenso hart treffen wie eine Ablehnung.

Praktisch bedeutet das: Was Sie im Antrag zusagen, müssen Sie über die gesamte Vertragslaufzeit halten. Das gilt auch, wenn ein Projekt zwischendurch eine Ausnahme nötig macht. Solche Ausnahmen gehören dokumentiert und, wenn sie dauerhaft werden, dem Versicherer angezeigt.

Kein Versicherer erwartet eine perfekte Umgebung. Erwartet wird, dass Sie wissen, was Sie unterschreiben. Wo Sie das für einzelne Antworten nur vermuten, lohnt sich eine Prüfung des tatsächlichen Zustands vor der Unterschrift, schriftlich und mit Datum.

Quellen

• § 19 Abs. 1 VVG: Anzeigepflicht für bekannte Gefahrumstände, nach denen der Versicherer in Textform gefragt hat. Abs. 2: Rücktrittsrecht. Abs. 3 Satz 1: kein Rücktritt bei weder vorsätzlicher noch grob fahrlässiger Verletzung; Abs. 3 Satz 2: stattdessen Kündigung mit Monatsfrist. Abs. 4 Satz 1: Rücktritt und Kündigung ausgeschlossen, wenn der Versicherer auch zu anderen Bedingungen abgeschlossen hätte; diese werden rückwirkend Vertragsbestandteil, bei unverschuldeter Falschangabe erst ab der laufenden Versicherungsperiode (Abs. 4 Satz 2). Abs. 5 Satz 1: sämtliche Rechte nach den Absätzen 2 bis 4 nur bei gesondertem Hinweis in Textform (gesetze-im-internet.de)
• § 21 Abs. 2 VVG: Nach Rücktritt bleibt der Versicherer leistungspflichtig, wenn der nicht angezeigte Umstand weder für Eintritt oder Feststellung des Versicherungsfalls noch für Umfang der Leistungspflicht ursächlich war; bei arglistiger Verletzung gilt dies nicht. Abs. 3: Erlöschen der Rechte nach fünf Jahren, bei Vorsatz oder Arglist nach zehn Jahren (gesetze-im-internet.de)
• § 22 VVG: Das Recht des Versicherers, den Vertrag wegen arglistiger Täuschung anzufechten, bleibt unberührt (gesetze-im-internet.de)
• § 28 Abs. 2 VVG: Leistungsfreiheit bei vorsätzlicher Obliegenheitsverletzung, Kürzung entsprechend der Schwere des Verschuldens bei grober Fahrlässigkeit. Abs. 3: Leistungspflicht bleibt bestehen, soweit die Verletzung weder für Eintritt oder Feststellung des Versicherungsfalls noch für Feststellung oder Umfang der Leistungspflicht ursächlich war (gesetze-im-internet.de)
• Schleswig-Holsteinisches OLG, Beschluss vom 09.01.2025, Az. 16 U 63/24 (Zurückweisung der Berufung nach vorangegangenem Hinweisbeschluss), bestätigt LG Kiel, Urteil vom 23.05.2024, Az. 5 O 128/21: Der Versicherungsnehmer hatte bejaht, dass alle stationären und mobilen Arbeitsrechner mit aktueller Schadsoftware-Erkennung ausgestattet seien und Sicherheitsupdates ohne schuldhaftes Zögern eingespielt würden. Forensik ergab einen End-of-Life-Server ohne Updates, fehlende Antivirensoftware und einen Domain Controller im Auslieferungszustand. Anfechtung wegen arglistiger Täuschung war wirksam. Es handelt sich um eine obergerichtliche Einzelfallentscheidung; eine BGH-Entscheidung zu Risikofragen in der Cyberversicherung liegt bislang nicht vor (goerg.de)
• OLG Schleswig 16 U 63/24: Das Gericht wertete Antworten, die der Zeuge abgab, obwohl er wusste, dass er über die erfragten Umstände keine hinreichend genauen Kenntnisse hatte, als bewusst unrichtige Angaben und damit als Arglist. Ob der Antwortende dabei gutgläubig war, spielte für das Gericht keine Rolle (ferner-alsdorf.de)
• OLG Schleswig: Cyberversicherung muss bei falschen Angaben nicht für Schäden aus Hackerangriffen aufkommen; Entscheidung vom 09.01.2025 (dr-bahr.com)
• Der GDV stellt einen unverbindlichen Musterfragebogen (Risikofragebogen Cyber) bereit, an dem sich Versicherer bei der Risikoeinschätzung vor Vertragsschluss orientieren können (gdv.de)
• GDV-Musterbedingungen für die Cyberrisikoversicherung (AVB Cyber), veröffentlicht am 19. Februar 2024; sie stellen unter anderem klar, dass auch der Fernzugriff auf die Unternehmens-IT versichert ist, und richten sich an kleine und mittlere Unternehmen (gdv.de)
• Exchange Online: Endgültig gelöschte Elemente werden standardmäßig 14 Tage im Ordner „Wiederherstellbare Elemente” aufbewahrt; der Wert kann auf maximal 30 Tage erhöht werden (learn.microsoft.com)
• Exchange Online: Ein gelöschtes (soft-deleted) Postfach wird 30 Tage aufbewahrt und ist danach endgültig gelöscht und nicht wiederherstellbar (learn.microsoft.com)
• SharePoint und OneDrive: Gelöschte Elemente verbleiben insgesamt 93 Tage in den Papierkörben (beide Stufen zusammen), gerechnet ab dem Löschen am ursprünglichen Ort (learn.microsoft.com)
• Mandatory MFA, Phase 1: seit Oktober 2024 MFA-Pflicht für Anmeldungen am Azure-Portal, Microsoft-Entra-Admin-Center und Microsoft-Intune-Admin-Center; seit Februar 2025 zusätzlich für das Microsoft-365-Admin-Center. Der Aufschub für Phase 1 war bis zum 30. September 2025 möglich. Phase 2: seit 1. Oktober 2025 MFA-Pflicht für Azure CLI, Azure PowerShell, Azure-Mobile-App, IaC-Werkzeuge, REST-API (Control Plane) und Azure SDK bei Create-, Update- und Delete-Vorgängen; der Aufschub für Phase 2 war bis zum 1. Juli 2026 möglich (learn.microsoft.com)