Die teure Falle falscher Angaben im Antrag

Ein unachtsames „Ja“ im Antragsformular kann im Schadensfall Millionen kosten. Wer eine Cyber-Versicherung abschließt, muss die gestellten Risikofragen mit größter Sorgfalt beantworten. Antworten ins Blaue hinein können den Versicherungsschutz komplett zunichtemachen, wie ein aktuelles Urteil zeigt. Worauf Unternehmen und Selbstständige achten müssen, um nicht in diese Falle zu tappen, erfahren Sie in diesem Rechtstipp.

In einer zunehmend digitalisierten Welt sind Unternehmen Hackerangriffen, Datenlecks und IT-Ausfällen stärker ausgesetzt denn je. Eine Cyber-Versicherung verspricht finanzielle Absicherung gegen die oft verheerenden Folgen solcher Vorfälle. Sie kann die Kosten für die Wiederherstellung von Daten, die Betriebsunterbrechung, die Beauftragung von IT-Forensikern und sogar die Abwehr von Schadensersatzansprüchen Dritter abdecken. Doch der Weg zum wirksamen Versicherungsschutz ist mit einer entscheidenden Hürde gepflastert: dem Antragsformular.

Versicherer stellen hier sehr detaillierte und technisch anspruchsvolle Fragen zum IT-Sicherheitskonzept des antragstellenden Unternehmens. Die Versuchung ist groß, diese Fragen schnell und optimistisch zu beantworten, um den Prozess zu beschleunigen oder eine günstigere Prämie zu erhalten. Viele Antragsteller wiegen sich in dem Glauben, ihre IT sei „schon in Ordnung“, und machen ihre Kreuze, ohne die technischen Details genau zu kennen. Dieses Vorgehen kann sich als fataler Fehler erweisen. Denn wenn der Ernstfall eintritt und die Versicherung leisten soll, prüft sie die im Antrag gemachten Angaben ganz genau. Stellt sich heraus, dass diese nicht der Wahrheit entsprachen, kann der Versicherer die Leistung verweigern und der Vertrag ist unter Umständen von Anfang an unwirksam.

Die vorvertragliche Anzeigepflicht: Kein Kavaliersdelikt

Das Kernproblem liegt in der sogenannten „vorvertraglichen Anzeigepflicht“, die im Versicherungsvertragsgesetz (VVG) in § 19 geregelt ist. Dieses Gesetz verpflichtet den Versicherungsnehmer, vor Abschluss des Vertrages alle ihm bekannten gefahrerheblichen Umstände wahrheitsgemäß anzuzeigen. Gefahrerheblich ist alles, wonach der Versicherer in Textform fragt.

Einfach ausgedrückt: Die Versicherung muss das Risiko, das sie versichert, einschätzen können. Bei einer Cyber-Versicherung sind das eben Fragen wie:

• Werden regelmäßig Backups erstellt und werden diese getrennt vom Netzwerk (offline) aufbewahrt?

• Gibt es ein System zur Rechte- und Rollenvergabe für den Zugriff auf sensible Daten?

• Werden die Systeme und die Software regelmäßig auf den neuesten Stand gebracht (Patch-Management)?

• Existiert eine aktuelle Antiviren-Software auf allen Endgeräten?

• Werden die Mitarbeiter regelmäßig zu IT-Sicherheits-Themen geschult?

Beantwortet ein Antragsteller diese Fragen falsch, verletzt er seine Pflicht. Die rechtlichen Konsequenzen hängen vom Grad des Verschuldens ab – also davon, ob die Falschangaben bewusst, grob fahrlässig oder nur leicht fahrlässig gemacht wurden.

Vertiefung: Die Konsequenzen falscher Angaben und was die Gerichte dazu sagen

Die Folgen einer Anzeigepflichtverletzung sind für den Versicherungsnehmer gravierend und reichen von einer Vertragsanpassung bis hin zum vollständigen Verlust des Versicherungsschutzes.

1. Die schärfste Waffe des Versicherers: Anfechtung wegen arglistiger Täuschung

Wenn der Versicherer nachweisen kann, dass der Versicherungsnehmer ihn bewusst getäuscht hat, um den Vertrag zu erhalten oder bessere Konditionen zu bekommen, kann er den Vertrag wegen „arglistiger Täuschung“ anfechten (§ 123 BGB, § 22 VVG).

Was bedeutet „Arglist“ in diesem Zusammenhang? Arglist erfordert nicht zwingend, dass der Antragsteller wusste, dass sein IT-System schlecht war und er dies vertuschen wollte. Arglist liegt nach der Rechtsprechung bereits dann vor, wenn jemand Angaben „ins Blaue hinein“ macht. Das bedeutet, er beantwortet Fragen, obwohl er weiß, dass er keine ausreichende Kenntnis über den Sachverhalt hat, und nimmt dabei billigend in Kauf, dass seine Antworten falsch sein könnten. Er handelt also quasi auf gut Glück und erweckt bewusst den Eindruck, er hätte gesichertes Wissen.

Die Folge einer wirksamen Anfechtung ist dramatisch: Der Versicherungsvertrag wird als von Anfang an nichtig angesehen (§ 142 Abs. 1 BGB).  Es ist so, als hätte es ihn nie gegeben. Der Versicherer muss im Schadensfall nicht leisten, darf aber die bisher gezahlten Prämien behalten.

2. Rücktritt, Kündigung oder Vertragsanpassung bei Fahrlässigkeit

Hat der Versicherungsnehmer die Falschangaben nicht arglistig, sondern „nur“ vorsätzlich oder grob fahrlässig gemacht, kann der Versicherer vom Vertrag zurücktreten (§ 19 Abs. 2, 3 VVG). Bei einfacher Fahrlässigkeit kann er den Vertrag kündigen oder eine Anpassung der Prämie und der Konditionen verlangen (§ 19 Abs. 4, 5 VVG). Auch hier ist der Versicherungsschutz im Schadensfall massiv gefährdet.

Ein Urteil aus der Praxis: Antworten „auf gut Glück“ sind arglistig

Wie streng die Gerichte das Vorgehen bewerten, zeigt eine aktuelle Entscheidung des Schleswig-Holsteinischen Oberlandesgerichts (Beschluss vom 09.01.2025, Az. 16 U 63/24). 

Der Fall: Ein großes Online-Unternehmen mit über 400 Mitarbeitern und einem Jahresumsatz von über 140 Millionen Euro schloss eine Cyber-Versicherung ab.  Ein Mitarbeiter des Unternehmens, der für den Abschluss zuständig war, beantwortete die detaillierten technischen Risikofragen des Versicherers. Später kam es zu einem erheblichen Cyberschaden. Die Versicherung verweigerte die Zahlung und focht den Vertrag wegen arglistiger Täuschung an. Sie argumentierte, die Antworten im Antrag seien falsch gewesen.

Die Entscheidung des Gerichts: Das Gericht gab dem Versicherer recht und wies die Klage des Unternehmens ab. Die Richter stellten fest, dass der Mitarbeiter die Fragen beantwortet hatte, ohne über die erfragten Umstände tatsächlich hinreichend genaue Kenntnisse zu haben.  Er hatte schlicht darauf vertraut, dass die IT-Sicherheit schon ausreichend sein würde, unter anderem weil externe Dienstleister involviert waren. 

Das Gericht wertete dieses Verhalten – das Erklären praktisch „auf gut Glück“ – als bewusste Unrichtigkeit und damit als arglistig.  Es betonte, dass ein Versicherer bei einer so speziellen Police für ein großes Unternehmen erwarten darf, dass die Fragen mit der gebotenen Sorgfalt beantwortet werden.  Die Ausrede des Mitarbeiters, er habe keine Ahnung von den Gepflogenheiten bei Cyber-Versicherungen gehabt, ließen die Richter nicht gelten.  Wer erkennt, dass er spezifische, technische Fragen nicht valide beantworten kann, darf nicht einfach raten oder aus einem vagen Gefühl der Sicherheit heraus zustimmen. Genau dieses Vortäuschen von Wissen, das man nicht hat, begründet den Vorwurf der Arglist. 

Praxistipps: So vermeiden Sie die Anfechtungsfalle

Um sicherzustellen, dass Ihre Cyber-Versicherung im Ernstfall auch wirklich leistet, sollten Sie den Antragsprozess mit höchster Priorität behandeln:

• Nehmen Sie sich Zeit: Lesen Sie jede Frage im Antrag sorgfältig durch. Es handelt sich nicht um bloße Formalitäten.

• Ziehen Sie Experten hinzu: Als Geschäftsführer oder Inhaber können Sie unmöglich jedes technische Detail Ihrer IT-Infrastruktur kennen. Holen Sie zwingend Ihren IT-Administrator, Ihren internen Datenschutzbeauftragten oder Ihren externen IT-Dienstleister mit ins Boot. Lassen Sie die Fachexperten die Antworten prüfen und freigeben.

• Seien Sie ehrlich – auch bei Wissenslücken: Wenn Sie oder Ihr IT-Team eine Frage nicht zweifelsfrei beantworten können, geben Sie dies offen zu. Kontaktieren Sie den Versicherer oder Makler und bitten Sie um Klärung. Eine offene Wissenslücke ist immer besser als eine falsche Angabe.

• Dokumentieren Sie alles: Halten Sie schriftlich fest, wer welche Informationen für den Antrag geliefert hat und auf welcher Grundlage die Antworten gegeben wurden. Dies kann später im Streitfall entscheidend sein.

• Verstehen Sie den Zweck der Fragen: Die Fragen zielen darauf ab, Ihr individuelles Risiko zu bewerten. Sie geben Ihnen zugleich eine hervorragende Checkliste an die Hand, um die eigene IT-Sicherheit kritisch zu hinterfragen und gegebenenfalls zu verbessern.

Fazit

Eine Cyber-Versicherung ist ein wichtiges Instrument zur Risikominimierung. Ihre Wirksamkeit steht und fällt jedoch mit der Ehrlichkeit und Sorgfalt beim Vertragsabschluss. Die Entscheidung des OLG Schleswig-Holstein ist eine deutliche Warnung an alle Unternehmer: Wer Risikofragen „ins Blaue hinein“ beantwortet, handelt arglistig und riskiert den kompletten Versicherungsschutz. Der Glaube, es sei „alles in Ordnung“, ersetzt kein Faktenwissen.

Sollte Ihnen Ihr Versicherer nach einem Schadensfall die Leistung mit dem Vorwurf falscher Angaben im Antrag verweigern, ist schnelles Handeln gefragt. Die rechtlichen Abgrenzungen zwischen Arglist, Vorsatz und Fahrlässigkeit sind komplex und für Laien kaum zu überblicken. In einem solchen Fall ist die Konsultation eines spezialisierten Rechtsanwalts unerlässlich, um Ihre Ansprüche zu prüfen und durchzusetzen.

Haben Sie Probleme mit Ihrer Cyber-Versicherung oder wirft Ihnen Ihr Versicherer eine Verletzung der vorvertraglichen Anzeigepflicht vor? Wir verfügen über eine besondere Expertise und Erfahrung, um Ihre Situation zu bewerten und Ihre Rechte gegenüber der Versicherung konsequent zu vertreten. Wir sind gerne bei der Lösung von Problemen in diesem Bereich behilflich.