§ 19 Vertrauensschadenversicherung / 4. Eingriffe in das EDV-System

Rz. 58

Nach §§ 14–16 AVB-VSV besteht Versicherungsschutz für Schäden durch vorsätzliche, rechtswidrige und zielgerichtete Eingriffe Dritter in das EDV-System des versicherten Unternehmens oder eines von diesem beauftragten Dienstleisters (sog. Hackerschäden). § 14 Abs. 2, 3 definieren als EDV-System die Gesamtheit aller zur elektronischen Datenverarbeitung rechtmäßig genutzten Soft- und Hardware […] und als Eingriff jede Einwirkung. Das Erfordernis der Erstattung einer Strafanzeige gegen den Dritten in § 18 AVB-VSV a.F. ist weggefallen.^[143] In diesem, von der Ausschnittsdeckung in §§ 14–16 AVB-VSV erfassten Bereich bestehen Überschneidungen mit der Cyberversicherung (Rdn 62), die durch sorgfältige Überprüfung des Deckungsumfangs der jeweils abgeschlossenen Versicherungen eines Unternehmens antizipiert werden sollten.^[144]

Rz. 59

Die Beschränkung der Deckung auf zielgerichtete Eingriffe nimmt erkennbaren Bezug auf Fälle von massenhaft verbreiteten Computerviren, die neben dem versicherten Unternehmen eine Vielzahl anderer Personen betreffen und die der Cyberversicherung zugeordnet werden sollen.^[145] Problematisch sind indes Fälle von Phishing bzw. Pharming, wobei durch manipulierte E-Mails bzw. Websites versucht wird, unberechtigterweise an Nutzerdaten zu kommen.^[146] Die Täter solcher Angriffe treffen durchaus eine gewisse Vorauswahl "bestimmter" Unternehmen nach Kriterien wie Branche, Unternehmensgröße, Verfügbarkeit von Kontaktdaten im Internet etc. Teils werden die betrügerischen E-Mails bzw. Websites, ggfs. unter Zuhilfenahme künstlicher Intelligenz, passgenau auf das jeweilige Opfer zugeschnitten. Für den VN ist i.d.R. weder ersichtlich noch ermittelbar, ob sich eine Phishing-/Pharming-Attacke nur gegen Mitarbeiter des eigenen Unternehmens oder gegen eine unbestimmte Zahl von Unternehmen richtet, sodass Transparenzbedenken (§ 307 Abs. 1 S. 2 BGB) gegen § 14 Abs. 4 AVB-VSV in seiner derzeitigen Formulierung bestehen.^[147] Hinzu kommt der typische Ablauf eines Phishing-/Pharming-Angriffs, bei dem zunächst möglicherweise eine unbestimmte Vielzahl von Unternehmen attackiert wird, die Täter aber sodann gezielt auf die EDV-Systeme derjenigen Opfer zugreifen, deren Mitarbeiter ihre Zugangsdaten preisgegeben haben. Spätestens ab diesem Zeitpunkt dürfte ein zielgerichteter Angriff i.S.v. § 14 Abs. 1 und 4 vorliegen.

Rz. 60

In Abweichung von § 49 Nr. 1 AVB-VSV sind gem. § 15 AVB-VSV bestimmte mittelbare Schäden im Zusammenhang mit Eingriffen Dritter in das EDV-System in die Deckung wiedereingeschlossen. Hierzu zählen Schäden durch die behördliche Beschlagnahme (von Teilen) des EDV-Systems wegen der Installation verbotener Software im EDV-System des versicherten Unternehmens (Nr. 1), sowie Schäden im Zusammenhang mit Überweisungen nach Ausspähen und Missbrauch von Benutzerzugangsdaten (Nr. 2).

Rz. 61

§ 16 AVB-VSV enthält eine einfache Subsidiaritätsklausel zu anderen Versicherungsverträgen, die (mittelbare) Vermögensschäden infolge von Eingriffen in die EDV nach §§ 14, 15 AVB-VSV abdecken. Hierbei ist zuvörderst an die Cyber-Versicherung zu denken (s. Rdn 14). Versicherungsschutz unter der VSV besteht gleichwohl im Fall der Ausschöpfung der Versicherungssumme der anderen (Cyber-) Versicherung (§ 16 Nr. 1 AVB-VSV), bei inhaltlich weitergehender Deckung (Nr. 2) sowie bei Zahlungsunfähigkeit des anderen VR (Nr. 3). Innerhalb des Bereichs von Deckungsüberschneidungen kann die VSV trotz Subsidiarität zum Zuge kommen, wenn sie – wie üblich – einen niedrigeren Selbstbehalt hat und damit Schäden unterhalb der Schwelle des Selbstbehalts der Cyber-Versicherung auffangen kann. § 16 Nr. 4 AVB-VSV stellt zudem sicher, dass ein unter einem anderen Versicherungsvertrag geleisteter Selbstbehalt auf den Selbstbehalt der VSV anzurechnen ist. Die Gesamtschau der Regelungen zur Subsidiarität in § 16 AVB-VSV positionieren die VSV im Bereich der Eingriffe Dritter in das EDV-System als sinnvolles Ergänzungsprodukt zur Cyber-Versicherung.

[143] Zu dogmatischen Problemen dieses Merkmals van Bühren/R. Koch/Sommer (7. Aufl.) Rn 25 (daselbst Fn 39).

[144] Vgl. Looschelders/Pohlmann/Looschelders/Hofer, Rn 44; Hauschka/Moosmayer/Lösler/Brieger/Beller, Rn 60.

[145] Vgl. Staudinger/Halm/Wendt/Loewen/C. Schroeder, Rn 45; s.a. Veith/Gräfe/Lange/Rogler/Lehmann, § 24 Rn 20.

[146] Ausführlich zu den Phänomen Wabnitz/Janovsky/Schmitt/Bär, Kap. 15 Rn 32.

[147] A.A. und für eine Beurteilung im Einzelfall Höra/Schubach/W. Schneider, § 29 Rn 184.