Fake-Rechnung vom Lieferanten: Cyber- oder Vertrauensschadenversicherung?

Ihr langjähriger Lieferant schreibt Ihnen. Er habe die Bank gewechselt, die Gebühren seien zu hoch geworden, bitte ab sofort auf das neue Konto überweisen. Die E-Mail kommt von der bekannten Adresse, die Rechnungsnummern stimmen, der Ansprechpartner ist derselbe wie immer. Sie zahlen. Wochen später ruft der Lieferant an und fragt, wo sein Geld bleibt.

Spätestens jetzt stellt sich die Frage, welche Versicherung diesen Schaden übernimmt. Viele Unternehmer gehen selbstverständlich davon aus, dass die Cyberversicherung zahlt. Schließlich war ein Hacker im Spiel. Genau diese Annahme ist in vielen Fällen falsch, und ein Urteil des Landgerichts Hagen zeigt, warum. Der Unterschied zwischen Cyberversicherung und Vertrauensschadenversicherung gehört zu den wichtigsten und am häufigsten übersehenen Punkten in der gewerblichen Absicherung.

Was ist im Fall vor dem Landgericht Hagen passiert?

Ein deutsches Unternehmen erhielt E-Mails seines polnischen Lieferanten. Darin hieß es, der Lieferant habe wegen hoher Bankgebühren das Institut gewechselt, und die neue Kontoverbindung wurde mitgeteilt. Das Unternehmen veranlasste daraufhin vier Überweisungen über insgesamt 85.000 Euro auf das neue Konto.

Tatsächlich hatte der Lieferant seine Bank nie gewechselt. Kriminelle hatten den Server des Lieferanten gehackt und dadurch Zugriff auf die Kontaktdaten seiner Geschäftspartner erhalten. Die E-Mails stammten von ihnen.

Das geschädigte Unternehmen hatte eine Cyberversicherung, die sowohl Netzwerksicherheitsverletzungen als auch Täuschungsschäden abdeckte. Trotzdem lehnte der Versicherer ab, und das Landgericht Hagen gab ihm recht (Az. 9 O 258/23). Nach den Bedingungen waren nur Angriffe auf die IT des Versicherten selbst versichert. Gehackt worden war aber nicht das eigene System, sondern das des Lieferanten.

Warum zahlt die Cyberversicherung in solchen Fällen oft nicht?

Eine Cyberversicherung ist im Kern auf Ereignisse in Ihrer eigenen IT zugeschnitten. Versichert ist typischerweise, was passiert, wenn jemand in Ihre Systeme eindringt, Ihre Daten verschlüsselt oder Ihr Postfach übernimmt. Daraus folgen dann Kosten für Forensik, Wiederherstellung, Betriebsunterbrechung und unter Umständen auch für betrügerisch veranlasste Zahlungen.

Wird dagegen ein Geschäftspartner gehackt und Sie werden von außen getäuscht, ist Ihre eigene IT technisch völlig intakt. Es fehlt dann an dem Ereignis, an das die Cyberversicherung anknüpft. Manche Tarife erweitern den Schutz ausdrücklich auf solche Täuschungen durch Dritte, viele aber nicht oder nur mit niedrigen Grenzen. Das steht im Kleingedruckten, und genau dort entscheidet sich der Schadenfall.

Sie möchten wissen, wie Ihre aktuelle Police an dieser Stelle formuliert ist? Wir lesen die Bedingungen gerne mit Ihnen gemeinsam durch. Vereinbaren Sie hier einen kostenlosen Beratungstermin.

Was leistet eine Vertrauensschadenversicherung?

Die Vertrauensschadenversicherung, oft auch als Crime-Versicherung bezeichnet, schützt Unternehmen vor Vermögensschäden durch vorsätzliche Handlungen. Klassisch geht es dabei um eigene Mitarbeiter, die etwa Geld veruntreuen oder Waren unterschlagen. Moderne Bedingungen gehen aber deutlich weiter.

Je nach Tarif sind auch Schäden durch externe Täter versichert, die Ihr Unternehmen durch Täuschung zu einer Zahlung bringen. Genau darunter fallen typische Fälle wie die gefälschte Bankverbindung eines Lieferanten, der falsche Anruf eines angeblichen Geschäftsführers oder die Zahlungsaufforderung eines vermeintlichen Behördenvertreters. Ob und in welchem Umfang solche Social-Engineering-Schäden versichert sind, unterscheidet sich zwischen den Anbietern erheblich.

Wo überschneiden sich Cyber- und Vertrauensschadenversicherung?

Die beiden Sparten ergänzen sich, sie ersetzen sich nicht. Vereinfacht lässt sich sagen: Die Cyberversicherung schaut auf das, was in Ihren Systemen passiert, die Vertrauensschadenversicherung auf das, was mit Ihrem Geld durch Täuschung oder Untreue passiert.

Wird das Postfach Ihres Geschäftsführers gehackt und daraus eine falsche Zahlungsanweisung verschickt, können beide Verträge berührt sein. Welcher vorrangig leistet, regeln die Bedingungen. Wird dagegen ein Lieferant gehackt, ist in vielen Fällen nur die Vertrauensschadenversicherung zuständig. Und unterschlägt ein Mitarbeiter über Jahre Geld, ohne dass ein Angriff auf die IT vorliegt, hilft die Cyberversicherung gar nicht.

In unserer Beratungspraxis setzen wir deshalb beide Verträge bewusst nebeneinander und prüfen die Schnittstellen. Es kommt durchaus vor, dass ein Unternehmen eine sehr gute Cyberversicherung beim einen Anbieter hat und die Vertrauensschadenversicherung bei einem anderen platziert wird, weil dort die Täuschungsschäden besser geregelt sind.

Wie schützen Sie sich vor gefälschten Bankverbindungen?

Die wichtigste Regel ist so einfach wie wirksam: Jede Änderung einer Bankverbindung wird telefonisch bestätigt. Rufen Sie dafür eine Nummer an, die Sie aus Ihren eigenen Unterlagen kennen, niemals eine Nummer aus der E-Mail, in der die Änderung mitgeteilt wird. Halten Sie das Ergebnis schriftlich fest.

Hilfreich ist außerdem eine klare Zuständigkeit für Stammdatenänderungen im Zahlungsverkehr, getrennt von der Person, die Überweisungen ausführt. Und: Stutzig werden sollten Sie immer, wenn eine Änderung mit Zeitdruck verbunden ist oder wenn das neue Konto in einem anderen Land liegt als der Sitz des Lieferanten.

Häufige Fragen zur Vertrauensschadenversicherung

Brauche ich eine Vertrauensschadenversicherung, wenn ich schon eine Cyberversicherung habe?
In vielen Fällen ja. Die Cyberversicherung deckt Angriffe auf Ihre eigenen Systeme. Täuschungen über gehackte Geschäftspartner oder Untreue eigener Mitarbeiter sind dort oft nicht oder nur begrenzt versichert.

Ist CEO-Fraud über die Vertrauensschadenversicherung versichert?
Bei vielen modernen Tarifen ja, sofern Täuschungsschäden durch Dritte eingeschlossen sind. Die Bedingungen unterscheiden sich hier stark, ein genauer Blick lohnt sich.

Für welche Unternehmen lohnt sich eine Vertrauensschadenversicherung?
Für alle, die regelmäßig größere Zahlungen abwickeln, mit vielen Lieferanten arbeiten oder Mitarbeitern Zugriff auf Konten und Warenbestände geben. Das betrifft auch kleine und mittlere Betriebe.

Was hat das Landgericht Hagen entschieden?
Das Gericht hat die Klage eines Unternehmens gegen seine Cyberversicherung abgewiesen, weil der Hackerangriff beim Lieferanten stattfand und die Bedingungen nur Angriffe auf die eigene IT umfassten (Az. 9 O 258/23).

Fazit: Zwei Verträge, ein Ziel

Der Fall aus Hagen zeigt eindrücklich, dass „Hacker im Spiel“ nicht automatisch „Cyberversicherung zahlt“ bedeutet. Entscheidend ist, wo der Angriff stattfand und wie die Bedingungen formuliert sind. Wer Zahlungsbetrug wirklich absichern will, sollte die Cyberversicherung für Unternehmen und die Vertrauensschadenversicherung als Einheit denken. Wie Täter dabei typischerweise vorgehen, lesen Sie in unserem Beitrag über CEO-Fraud im Unternehmen.

Als Versicherungsmakler mit Zugang zu allen relevanten Anbietern prüfen wir beide Sparten spartenübergreifend und ohne Scheuklappen. Vereinbaren Sie hier Ihren kostenlosen Beratungstermin. Oder rufen Sie uns an unter 040 603 1081.