LG Hagen 9 O 258/23 Cyber-Versicherung
Urteil vom 15.10.2024
Sachverhalt:
Die Klägerin, ein Unternehmen, hatte eine Cyber-Versicherung bei der Beklagten abgeschlossen.
Diese Versicherung umfasste auch den Baustein „Cyber-Vertrauensschäden“.
Die Klägerin unterhielt eine Geschäftsbeziehung zu einem polnischen Lieferanten und kommunizierte mit diesem per E-Mail.
Im Januar 2023 erhielt die Klägerin eine E-Mail, die scheinbar von ihrem Lieferanten stammte und eine Änderung der Bankverbindung ankündigte.
Die E-Mail-Adresse war leicht verändert, enthielt aber weiterhin den Domänenteil des Lieferanten.
Die Klägerin änderte daraufhin die hinterlegten Kontodaten und überwies in der Folge insgesamt 85.000 € auf das neue Konto.
Später stellte sich heraus, dass die E-Mails gefälscht waren und das angegebene Konto nicht dem Lieferanten gehörte.
LG Hagen 9 O 258/23 Cyber-Versicherung
Die Klägerin erstattete Strafanzeige und versuchte, die Zahlungen zurückzuerhalten, jedoch ohne Erfolg.
Sie meldete den Schaden der Beklagten und beantragte die Erstattung der 85.000 € aus der Cyber-Versicherung.
Die Beklagte lehnte die Regulierung des Schadens ab, da kein Versicherungsfall im Sinne der Versicherungsbedingungen vorliege.
Die Klägerin habe keinen Angriff auf ihre eigenen Netzwerke und Computersysteme erlitten, sondern sei lediglich Opfer eines Betrugsversuchs geworden.
Die Entscheidung des Gerichts:
Das Landgericht Hagen wies die Klage ab.
Es begründete seine Entscheidung wie folgt:
LG Hagen 9 O 258/23 Cyber-Versicherung
- Kein Versicherungsfall: Die Versicherungsbedingungen definieren verschiedene Arten von „Informationssicherheitsverletzungen“, die einen Versicherungsfall auslösen können. Dazu gehören Verletzungen datenschutzrechtlicher Bestimmungen, Vertraulichkeitsverletzungen und Netzwerksicherheitsverletzungen. Keine dieser Voraussetzungen war im vorliegenden Fall erfüllt.
- Es lag keine Verletzung datenschutzrechtlicher Bestimmungen vor, da die Klägerin selbst keine Datenschutzvorschriften verletzt hatte.
- Eine Vertraulichkeitsverletzung lag ebenfalls nicht vor, da keine vertraulichen Daten der Klägerin durch Dritte verletzt wurden.
- Auch eine Netzwerksicherheitsverletzung im Sinne der Versicherungsbedingungen lag nicht vor. Die Bedingungen definieren „Netzwerke“ als „Telekommunikations-, Daten- und Rechnernetzwerke des Versicherungsnehmers“. Ein Angriff auf das E-Mail-Konto des Lieferanten stellt keinen direkten Angriff auf die informationstechnischen Systeme der Klägerin dar. Die Klägerin konnte weiterhin E-Mails empfangen und senden.
- Die Versicherungsbedingungen enthalten zudem Beispiele für Fälle, die keine Netzwerksicherheitsverletzung darstellen. Dazu gehören „Beeinträchtigungen in Netzwerken Dritter, die Auswirkungen jedoch auch beim Versicherungsnehmer auftreten“ und „fake president Angriffe mittels nachgebildeter E-Mail-Adresse“. Der vorliegende Fall ähnele diesen Beispielen und falle daher nicht unter den Versicherungsschutz.
- Keine Unwirksamkeit der Versicherungsbedingungen: Die Klägerin hatte argumentiert, die relevanten Klauseln in den Versicherungsbedingungen seien unwirksam, da sie den Versicherungsnehmer unangemessen benachteiligten. Das Gericht sah dies anders. Die Klauseln seien weder intransparent noch enthielten sie eine unangemessene Beschränkung des Versicherungsschutzes. Für den durchschnittlichen Versicherungsnehmer sei erkennbar, dass eine Cyber-Versicherung in erster Linie das Risiko der eigenen IT-Systeme absichern soll und nicht die Folgen von Betrugsversuchen, die im Rahmen des normalen E-Mail-Verkehrs stattfinden.
LG Hagen 9 O 258/23 Cyber-Versicherung
Fazit:
Das Urteil des Landgerichts Hagen verdeutlicht die Grenzen des Versicherungsschutzes bei Cyber-Versicherungen.
Nicht jeder Schaden, der durch Cyberkriminalität entsteht, ist automatisch versichert.
Der Versicherungsschutz bezieht sich in erster Linie auf Angriffe auf die eigenen IT-Systeme des Versicherungsnehmers.
Schäden, die durch „klassische“ Betrugsmaschen wie Phishing-Mails entstehen, fallen in der Regel nicht unter den Versicherungsschutz.
