Ausrufezeichen über dem deutschen Cybermarkt

M.S. |

Das Urteil des Landgerichts Tübingen zur Leistungspflicht eines Cyberversicherers für Schäden aus einem Hackerangriff trotz mangelhafter Sicherheitsvorkehrungen hat die Cyber-Szene in Aufregung versetzt. (Az. 4 O 193/21). Im Zentrum stehen die vom Gericht festgestellten Lücken bei den Risikofragen des Versicherers. Dessen nachlässige Risikoprüfung bewirkte letztlich die Leistungspflicht. Der Versicherer hatte sich dagegen auf eine grob fahrlässige Herbeiführung des Versicherungsfalls infolge fehlender bzw. unzureichender Sicherheitsmaßnahmen zur Abwehr eines Cyberangriffs berufen. Er hatte aber bei Vertragsschluss nicht nach wesentlichen Sicherheitsvorkehrungen des Kunden wie etwa einer Zwei-Faktor-Authentifizierung gefragt.

Zudem stellte das Gericht fest, dass die Schäden durch den Hackerangriff auch unabhängig vom tatsächlichen Zustand der Sicherheitsvorkehrungen eingetreten wären, weil die Angreifer eine Design-Schwäche von Windows ausgenutzt hatten, die unabhängig von Updates der betroffenen Systeme bestand. Dieser sog. Kausalitätsgegenbeweis sicherte dem Kunden die Leistung aus seiner Cyber-Deckung in Höhe von 2,86 Mio. Euro plus Zinsen (knapp 70% der gesamten Schadensumme). Bis zur