Anzeigepflichtverletzung in der Cyberversicherung

Cyberversicherungen können Unternehmen helfen, sich vor finanziellen Schäden durch Cyberangriffe zu schützen und die Kosten für Schadensersatzforderungen, Wiederherstellung von Daten, IT-Forensik und Krisenkommunikation zu decken. Einige Cyberversicherungen bieten auch Schutz vor Haftungsansprüchen und Rechtsstreitigkeiten, die aus einer Cyberattacke resultieren können. Dieses breite Spektrum versicherter Risiken erfordert auch eine umfassende Risikoerfassung im vorvertraglichen Stadium. Nur so können Versicherer eine realistische Vorstellung von den Deckungsbedürfnissen ihrer Vertragspartner bekommen. Der nachfolgende Beitrag soll die Frage erläutern, welche Rolle die vorvertragliche Anzeigepflicht des Versicherungsnehmers hat und welche Folgen die Anzeigepflichtverletzung in der Cyberversicherung hat.

I. Praktische Bedeutung der Anzeigepflicht

§ 19 VVG statuiert für Versicherungsnehmer eine Anzeigepflicht im vorvertraglichen Stadium:

"(1) Der Versicherungsnehmer hat bis zur Abgabe seiner Vertragserklärung die ihm bekannten Gefahrumstände, die für den Entschluss des Versicherers, den Vertrag mit dem vereinbarten Inhalt zu schließen, erheblich sind und nach denen der Versicherer in Textform gefragt hat, dem Versicherer anzuzeigen. Stellt der Versicherer nach der Vertragserklärung des Versicherungsnehmers, aber vor Vertragsannahme Fragen im Sinn des Satzes 1, ist der Versicherungsnehmer auch insoweit zur Anzeige verpflichtet."

1. Informierte Einzelfallentscheidung

Sowohl Versicherungsverträge des Alltags, die ein relativ geringes wirtschaftliches Gewicht haben, als auch komplizierte Industrieversicherungsverträge mit vielen 100 Mio. Deckungssumme haben als Fundament folgende Bedingung: der Versicherer muss zunächst das zu übernehmende Risiko kennenlernen, damit er zur Einschätzung und Berechnung der Versicherungsprämien in der Lage ist und auch die Umstände festlegen kann, für die er das Risiko nicht übernehmen will.

Unzulässig ist der Fall, dass er sich zunächst zur Übernahme aller Risiken bereit erklärt, nur um später – etwa nach dem Eintritt eines Versicherungsfalls – durch Kündigung, Rücktritt, Vertragsanpassung oder Anfechtung vom Vertrag abzuweichen. Ziel der vorschriftsmäßigen Risikoprüfung durch den Versicherer ist es daher, einen zuverlässigen und haltbaren Versicherungsschutz zu ermöglichen.

2. Prämienberechnung

Die enorme Bedeutung des § 19 VVG wird nicht nur bei der Cyberversicherung im Kontext einer Anzeigepflichtverletzung, sondern in jeder Sparte bei der Berechnung der individuellen Prämie konkret ersichtlich. Der Versicherer hat gesetzlich angeordnete Kriterien zu benutzen und versicherungswirtschaftlichen Maßstäben anzuwenden. Im Allgemeinen gilt der sogenannte Äquivalenzgrundsatz, also das Gleichgewicht zwischen Prämie und Risiko.

Häufig bieten nur sog. Schadensstatistiken die Möglichkeit an, eine präzise Beitragsberechnung für die Gewährung von Versicherungsschutz nach bestimmten Tarifen zu erzielen. Die Benutzung von Tarifen ist für eine rationell betriebene Versicherung unerlässlich. Ausschlaggebend sind die Schadensstatistiken der Verbände, des Statistischen Bundesamtes und der Versicherungsaufsicht. Üblich und für eine adäquate Prämienberechnung notwendig ist die Berücksichtigung von zahlreichen Zusammen- und Gegenüberstellungen, Abbildungen von Schadensbeobachtungen in großer Zahl zu bestimmten Zeitpunkten (Stichtagstatistik) oder in bestimmten Zeiträumen (Zeitraumstatistik). Obwohl die statistische Berechnung der Prämie eine schlichte prognostische Entwicklung aufgrund zurückliegender Schadenerfahrungen wiedergibt, ist die vorvertragliche Anzeige des Versicherungsnehmers unvermeidlich, weil nur dadurch eine richtige Zuordnung des Individualrisikos zu Tarifverbänden zu erreichen ist.

II. Risikoerfassung in der Cyberversicherung

Gerade in der Cyberversicherung ist eine richtige Risikoerfassung von enormer Bedeutung, da die Bandbreite versicherter Risiken sehr groß ist. Ein Vergleich mit der Hausratversicherung ergibt, dass die meisten Cyberversicherer nicht auf standardisierte Fragen setzen, sondern ihre eigenen Fragebögen präzise ausgestalten um das versicherte Risiko im Einzelnen möglichst zutreffend zu erfassen.

Die Perspektive des Maklers zeigt, dass die Komplexität der vorvertraglichen Antragsfragen in den Jahren 2021 und 2022 erheblich gestiegen ist. Dies deutet darauf hin, dass der Markt schadenträchtig wird, was für Versicherer die Bedürfnis begründet, bei dem Vertragsschluss selektiver vorzugehen. Konkret bedeutet dies, dass die Deckung bestimmter Risiken zunehmend von der Beantwortung der Fragen durch den potentiellen Versicherungsnehmer oder von der Einhaltung bestimmter Sicherheitskriterien bzw. Durchführung bestimmter Tests abhängig gemacht wird.

Eine solche Komplexität der Fragen fehlt bei der Sachversicherung. Dort werden nämlich oft nur Fragen hinsichtlich eines Vorversicherers gestellt, oder zum Wert des Versicherungsobjekts, die sehr verständlich und eindeutig vom Versicherungsnehmer beantwortet werden können.

In der Cyberversicherung besteht hingegen – aufgrund der Komplexität – notwendigerweise die erhöhte Möglichkeit der Falschbeantwortung der Fragen einer (fahrlässigen oder vorsätzlichen) Anzeigepflichtverletzung.

Ähnlich wie bei der technischen Versicherung, ist in der Cyberversicherung die Komplexität der Fragen unentbehrlich. Dies entspricht der Vielschichtigkeit dieses Versicherungsprodukts, welches sich oft aus mehreren „Bausteinen“ zusammensetzt. Neben dem Gebrauch von technischen Begrifflichkeiten, wie z.B. die „Zwei-Faktor-Authentifizierung“, erstellt der Versicherer zumeist auch ein Glossar. In diesem werden die in den Fragen enthaltenen Begriffe zum besseren Verständnis definiert. Da die Cyberversicherung vornehmlich eine Geschäftsversicherung ist, kann dabei dem Versicherungsnehmer auch die eigene Recherche nach der Bedeutung benutzter Begrifflichkeiten bis zu einem gewissen Maße zugemutet werden.

III. Folgen der Anzeigepflichtverletzung

Je nach Verschuldensgrad der Anzeigepflichtverletzung und abhängig davon, ob es sich um einen nicht oder falsch angezeigten vertragshindernden oder -ändernden Gefahrumstand handelt, kann der Versicherer vom Vertrag zurücktreten, den Vertrag kündigen, rückwirkend ab Vertragsbeginn oder ab Beginn der laufenden Versicherungsperiode anpassen oder anfechten. Bei Vorsatz ist der Versicherer zum Rücktritt berechtigt. Es ist muss zunächst zu prüfen, ob derjenige der die Fragen beantwortet hat, vorsätzlich falsche Angaben gemacht hat. Sodann ist zu klären, ob es sich um einen nicht oder falsch angezeigten vertragshindernden oder -ändernden Umstand handelt.

Im Falle eines vertragsändernden Umstandes kommt es auf das Vorliegen einfacher oder grober Fahrlässigkeit nicht mehr an. Der Versicherer muss sich dann am Vertrag festhalten und kann im Rahmen des Anpassungsrechts (§ 19 Abs. 4 S. 2 VVG) rückwirkend ab Vertragsbeginn bzw. bei schuldloser Anzeigepflichtverletzung ab Beginn der laufenden Versicherungsperiode lediglich eine Vertragsanpassung vornehmen.

Nur im Falle eines vertragshindernden Umstandes ist die grobe Fahrlässigkeit von Bedeutung, da der Versicherung dann vom Vertrag zurücktreten kann. Bei einfacher oder fehlender Fahrlässigkeit kann der Versicherer im Fall eines vertragshindernden Umstandes den Vertrag mit Wirkung für die Zukunft kündigen. Das Recht zur Anfechtung gem. § 119 Abs. 2 BGB wird durch § 19 VVG gesperrt. Hiervon unberührt bleibt eine Anfechtung wegen arglistiger Täuschung.

Der Versicherungsnehmer kann versuchen den Kausalitätsgegenbeweis nach § 21 VVG zu führen. Bei der Sachversicherung gelingt das ihm relativ leicht – dort reichen nämlich subjektive Umstände für das Wegfallen der Kausalität aus, die Rechtsprechung ist relativ großzügig. Dies ist deutlich schwerer bei einer Anzeigepflichtverletzung in der Cyberversicherung, dort wird der Versicherungsnehmer den Kausalitätsgegenbeweis kaum führen können.

IV. Zurechnungsprobleme

Steht einmal fest, dass objektiv eine Anzeigepflichtverletzung vorliegt, muss im nächsten Schritt geprüft werden, ob eigenes oder fremdes Verschulden zur Pflichtverletzung geführt hat, wobei die Sparte der Cyberversicherung einige Besonderheiten aufweist.

Beim Fremdverschulden kann die Zurechenbarkeit der Anzeigepflichtverletzung in Frage stehen. Dies ist regelmäßig der Fall, wenn nicht der Geschäftsführer des Unternehmens, sondern von ein Angestellter oder Makler die Fragen beantwortet. In der Praxis werden die Fragebögen selten von dem Geschäftsführer des Unternehmens selbst ausgefüllt. Wegen der Komplexität der angewandten Fachbegriffen den jeweiligen IT Abteilungen zur Beantwortung vorgelegt. Dabei ist stets zu beachten, dass die Abteilungsleiter nicht selbst unterzeichnen können. Es muss zwingend der Versicherungsnehmer bzw. sein Repräsentant sein, der die Richtigkeit der Angaben durch seine Unterschrift bestätigt. Dies kann konkrete Zurechnungsfragen bei einer Falschbeantwortung begründen, da eine zweite Überprüfung dem Geschäftsführer zumeist nicht möglich ist. Versicherungsnehmer sind daher im Zweifel stets anzuraten, die Angaben der eigenen IT Abteilung durch einen externen IT Beauftragten vor Abgabe an den Versicherer überprüfen zu lassen.

Bei Falschangaben durch den Makler kommt eine Zurechnung seiner Angaben dem Versicherungsnehmer in Betracht, da der Makler in diesem Fall kein „Dritter“ i.S.d. § 123 II BGB ist. In den AGB des Versicherers ist zumeist eine sog. „Maklerklausel“ enthalten, welche die Befugnisse des Maklers zur Entgegennahme bzw. Weitergabe von Willens- und Wissenserklärungen zwischen Versicherungsnehmer und Versicherer gesondert konkretisiert.

Wenn der Versicherungsnehmer jemanden beauftragt den Antrag auszufüllen, muss er sich dessen Verschulden bei der Falschbeantwortung zurechnen lassen, der Dritte gilt in diesem Fall als Wissensvertreter nach außen auftritt.

Die dritte Möglichkeit ist die Repräsentantenstellung, die bei der Risikoverwaltung und/oder Vertragsverwaltung für den Versicherungsnehmer in Betracht kommt. Ein Repräsentant kann etwa der Geschäftsführer oder Prokurist sein. In der Praxis enthalten die AGB der Versicherer eine sog. Repräsentantenklausel, durch welche der ohnehin enge Begriff des Repräsentanten zu Gunsten des Versicherungsnehmers noch enger gefasst wird.

V. Fazit und Ausblick

Die vorvertragliche Anzeigepflicht ist für Abschluss und Durchführung des Versicherungsvertrages von eminenter Bedeutung. Es geht es dabei nicht nur um die Bestimmung individueller Konditionen wie Prämienhöhe und Leistungsausschlüssen, sondern auch um die Vermeidung nicht adäquat berechenbarer Risiken. Um sich einen adäquaten Versicherungsschutz zu sichern, sollte jeder Versicherungsnehmer eine möglichst wahrheitsgemäße und detaillierte Beantwortung der Risikofragen anstreben. Wenn Angeben des Versicherungsnehmers sich später als unzutreffend erweisen, hat der Versicherer eine große Auswahl an Reaktionsmöglichkeiten. Entsprechend der gravierenden Rolle der vorvertraglichen Anzeigepflicht, enthält das Gesetz Sanktionsmittel, die bei Nichtbeachtung durch den Versicherungsnehmer drohen. Diese sollen eine wahrheitsgemäße Erfüllung der vorvertraglichen Anzeigepflicht durch den Versicherungsnehmer bzw. die zu versichernde Person sicherstellen.

Sollten Sie als Versicherungsnehmer oder Versicherer Fragen zum Thema Anzeigepflichtverletzung in der Cyberversicherung oder zur generell zur Cyberversicherung haben, zögern Sie nicht unser Team zu kontaktieren. Wir klären Sie gerne im Einzelnen auf.