System-Crash - wer zahlt?

Reinhard Partner ist Versicherungsfachmann bei der Würth Finance Group.

Die Abhängigkeit der Unternehmen von der Verfügbarkeit der Informatik-systeme steigt kontinuierlich. Die Konsequenzen von System- oder Software-aus-fällen sind dabei nur schwer abschätzbar. In den seltensten Fällen ist wirklich klar, wer die Kosten für die Folgen von IT-Schäden wie etwa Produktionsausfall, Lieferverzögerung oder nicht erfüllte Verträge übernehmen muss. Die finanziellen Auswirkungen solcher Schäden können aber immens sein. Es ist daher wichtig, Klarheit über die Versicherungssituation der Systemhersteller zu haben, bevor ein Schaden eintritt.

Bei der Evaluation von IT-Systemen steht die Haftungsfrage in aller Regel im Hintergrund. Oft werden zwar die Allgemeinen Geschäftsbedingungen (AGB) der Systemlieferanten gelesen. Der effektiv bestehende Versicherungsschutz allerdings wird kaum je hinterfragt. Eine Studie über mittelständische IT-Unternehmen in Deutschland zeigt jedoch, dass rund 70 Prozent der IT-Unternehmen unterversichert sind. Die Situation in der Schweiz ist, das zeigt die Erfahrung, kaum besser. Daher findet das allgemein übliche, blinde Vertrauen in die Haftungsabsicherung der Lieferanten in der Praxis keine Rechtfertigung.

Und auch aus Sicht der Lieferanten ist der Verlass auf die AGB äusserst trügerisch. Dies vor allem deshalb, weil die AGB gegenüber einem Auftraggeber oft nicht durchgesetzt werden können und überdies einer gerichtlichen Auseinandersetzung nicht zwingend standhalten. Zudem ist zu berücksichtigen, dass die AGB nur dem Geschäftspartner gegenüber gelten - nicht aber gegenüber möglichen Drittgeschädigten, also beispielsweise gegenüber den Kunden eines Unternehmens, welches einen IT-Ausfall zu beklagen hatte und deshalb nicht pünktlich liefern konnte.

Die Gründe für die Unterversicherungen vieler IT-Unternehmen sind vielschichtig und komplex. Dies liegt vor allem an der Komplexität der Prozesse: IT-Lieferanten können die finanziellen Folgen eines möglichen Systemausfalls beim Kunden oft nur sehr ungenau abschätzen - und wähnen sich deshalb in falscher Sicherheit. Andererseits ist das Angebot vernünftiger und auch bezahlbarer Versicherungslösungen auf dem Markt noch immer stark eingeschränkt. Zudem bestehen grosse Unterschiede bezüglich Preis und Leistung der einzelnen Produkte.

Statistische Auswertungen der Betriebshaftpflicht-Policen zeigen auf, dass die meisten Firmen eine Versicherungssumme zwischen 5 und 10 Millionen versichert haben. So glauben sie, ausreichend gewappnet zu sein. Doch betrachtet man die in den Verträgen definierten Bedingungen genauer, stellt man fest, dass der Betriebshaftpflicht-Schutz nur für Personen- oder Sachschäden, welche auf gesetzlichen Bestimmungen beruhen, gilt.

In der Praxis bedeutet dies: Die Versicherung übernimmt die Bezahlung gerechtfertigter Ansprüche und das Abwehren nicht gerechtfertigter Ansprüche. Letzteres wird auch als passiver Rechtsschutz verstanden. Stellt die Versicherungsgesellschaft bei der Prüfung fest, dass ein gemeldeter Anspruch im Rahmen der Versicherungsbedingungen gedeckt ist, prüft sie in einem zweiten Schritt, ob eine gesetzliche Haftung gegeben ist. Ist dies nicht der Fall, wird der Schaden abgelehnt. Dies bedeutet aber noch nicht, dass die Firma Schadensersatz an den Geschädigten leisten muss. Hierbei kommt es auch auf die Vertragsverhältnisse zwischen dem Lieferanten und dem Auftraggeber an. Diesbezüglich weisen alle Versicherungsgesellschaften dieselben Bedingungen auf. Diese Versicherungsdeckung genügt aber bei weitem nicht.

Die Risikodeckung eines Systemausfalls in der IT muss ergänzend zur Betriebshaftpflicht mit einer Vermögensschadendeckung versichert werden. Diese kommt dann zum Tragen, wenn weder eine Person, noch eine Sache zu Schaden gekommen ist, also ein reiner in Geld messbarer Schaden vorliegt.

Die dabei wichtigsten Deckungsbausteine umfassen Software- und Programmierungsfehler, Schäden durch Hacking oder Computerviren, Diebstahl elektronischer Kundendaten, Veränderung oder Löschung von Daten sowie Entwicklungs- und Implementierungsschäden. Gerade bei der Softwareintegration zeigt sich, wie stark die Angebote für die Deckung der einzelnen Bausteine von Versicherung zu Versicherung differieren. Während der eine Versicherer erst 6 Monate nach Abnahmeprotokoll Deckung gewährt, bieten andere Versicherer schon während der Implementierungsphase volle Deckung an.

Dies macht deutlich: Standardlösungen existieren nicht, es muss eine individuelle, auf den Kunden zugeschnittene Lösung ausgearbeitet werden. Ein aufwändiger Prozess, der vom Ausfüllen mehrseitiger, branchenspezifischer Fragebögen bis hin zu externen Audits, also Betriebsbesichtigungen vor Ort, reicht. Denn angesichts des schnellen technologischen Wandels gehört die klassische Einschätzung des Haftpflichtrisikos, welche über Jahrzehnte gängig war, der Vergangenheit an. Heute bedarf jede IT-Tätigkeit einer individuellen Einschätzung, damit die entsprechenden Deckungsbausteine ideal kombiniert werden können.

Immerhin zeichnet sich bei einigen Anbietern im Versicherungsmarkt zurzeit eine deutliche Vereinfachung hinsichtlich des Abschlusses von Vermögensschaden-deckungs-Versicherungen im IT-Umfeld ab. Vor diesem Hintergrund ist für IT-Unternehmen eine Überprüfung ihres aktuellen Versicherungsschutzes zu empfehlen.

Zum Unternehmen

Die Würth Finance Group gehört zur Würth-Gruppe mit rund 60000 Mitarbeitern weltweit. Sie berät grössere Unternehmen, KMU und Privatpersonen in den Bereichen Anlage, Vorsorge, Finanzierung und Versicherung und hat sich als Versicherungsbroker auch auf das Versicherungswesen in der IT-Branche spezialisiert. Als unabhängige Vermittlerin hat sie einen umfassenden Marktüberblick und kann daraus individuelle Lösungen zusammenstellen.