Was ist passiert?

Ein Unternehmen schließt eine Cyber-Versicherung ab. Das Unternehmen gibt bei Abschluss des Vertrages an, dass alle Arbeitsrechner mit aktueller Software zum Schutz vor Schadsoftware ausgestattet seien und Sicherheitsupdates so schnell wie möglich durchgeführt würden. Tatsächlich sind mehrere Rechner nicht auf dem aktuellen Stand und verfügen über keinen Virenschutz.

Nach Vertragsschluss wird der zum Betrieb des Web-Shops genutzte Windows 2008 Rechner des Unternehmens gehackt. Das IT-System des Unternehmens muss heruntergefahren werden, sodass der Betrieb zeitweise stillsteht.

Die Versicherung weigert sich für den Schaden aufzukommen und fechtet den Versicherungsvertrag wegen arglistiger Täuschung an.

Wie hat das Gericht entschieden?

Das Landgericht Kiel hat entschieden, dass die Versicherung nicht für den Schaden aufkommen muss. Der Versicherungsvertrag sei aufgrund der Anfechtung wegen arglistiger Täuschung nichtig.

Das Unternehmen habe bei Vertragsabschluss falsche Angaben gemacht. So sei unter anderem auf dem Windows 2008 Rechner, der zum Betrieb des Web-Shops verwendet wurde, das Sicherheitsupdate bereits vor Abschluss der Cyber-Versicherung ausgelaufen.

Die Falschangaben seien auch arglistig erfolgt. Der für die IT-Leitung zuständige Mitarbeiter habe die Fragen „ins Blaue hinein“ falsch beantwortet, ohne eine ausreichende Prüfung vorzunehmen. Durch Kontrolle der Systeme wäre es leicht zu erkennen gewesen, dass nicht alle Rechner mit aktuellen Sicherheitsupdates ausgestattet gewesen seien.

Die Angaben zur IT-Sicherheit seien auch entscheidend für den Abschluss der Cyber-Versicherung gewesen. Sie seien zur Ermittlung des Risikos für einen Schadenseintritt wichtig.

Was steht im Gesetz?

Nach § 123 BGB kann ein Vertrag angefochten werden, wenn jemand zum Vertragsabschluss durch arglistige Täuschung bestimmt worden ist.

Das Urteil vom 23.05.2024 (Az. 5 O 128/21) ist nicht rechtskräftig. Es ist hier kostenfrei abrufbar über die Landesrechtsprechungsdatenbank Schleswig-Holstein.