LG Kiel: Keine Einstandspflicht der Cyberversicherung bei falscher Beantwortung der Risikofragen

Versicherer argumentiert mit Arglist & bekommt Recht

Die Klägerin, ein Holzgroßhandel aus Norddeutschland, schloss 2020 bei der Beklagten eine Cyberversicherung ab, beantwortete im Antrag jedoch zwei Risikofragen nicht wahrheitsgemäß.

Im Kern ging es in dem Rechtsstreit um die Anfechtung des Versicherungsvertrags aufgrund arglistiger Täuschung seitens der Klägerin.

Falschangaben zu Updates & Schutzmaßnahmen

Folgende Fragen & Antworten standen im Mittelpunkt, denn sie entsprachen nicht den tatsächlichen Gegebenheiten:

"3. Alle stationären und mobilen Arbeitsrechner sind mit aktueller Software zur Erkennung und Vermeidung von Schadsoftware ausgestattet: Ja

4. Verfügbare Sicherheitsupdates werden ohne schuldhaftes Zögern durchgeführt, und für die Software, die für den Betrieb des IT-Systems erforderlich ist, werden lediglich Produkte eingesetzt, für die vom Hersteller Sicherheitsupdates bereitgestellt werden (dies betrifft v.a. Betriebssysteme, Virenscanner, Firewall, Router, NAS-Systeme): Ja"

Veraltete Betriebssysteme & mangelhafte Sicherheitsvorkehrungen

Für den Betrieb des Webshops nutzte die Klägerin einen Server mit Windows-Betriebssystem 2008. Bereits bei Abschluss des Versicherungsvertrages waren schon keine Sicherheits- und Softwareupdates mehr möglich, da diese seit Januar 2020 nicht mehr verfügbar waren. Der Server war demnach zu keinem Zeitpunkt durch eine Firewall geschützt.

Ein weiterer Server befand sich noch im Auslieferungsstatus von 2019, was bedeutet, dass  keine Sicherheits-Updates vorgenommen wurden. Darüberhinaus gab es zwei Rechner mit Windows 2003-Betriebssystem, ebenfalls ohne Vierenschutz und Sicherheits-Updates. Demnach fehlte es gleich an mehreren Stellen an den notwendigen Sicherheits- und Schutzmaßnahmen!

Klägerin wird Opfer eines Hacker-Angriffs – Versicherer verweigert die Leistung

Der im September 2020 verübte Hacker-Angriff über den ungesicherten Windows 2008-Server zog einen Schaden von knapp 425.000 Euro nach sich. Die Klägerin forderte Schadensregulierung, die Beklagte zahlte nicht... und das zu Recht, wie das LG Kiel entschieden hat.

LG Kiel: Versicherungsvertrag wegen arglistiger Täuschung nichtig

Nach Auffassung des Gerichts, berechtigt die durch die Falschbeantwortung der Risikofragen erfolgte Täuschung den beklagte Versicherer dazu, den Versicherungsvertrag anzufechten und infolge dessen die Leistung zu verweigern. Dabei ist es auch unerheblich, dass der unbefugte Zugriff über einen Server und nicht - wie in den Fragestellungen benannt - über einen "Rechner" ermöglicht wurde.

Auszüge aus dem Urteil des LG Kiel vom 23.05.2024,   5 O 128/21:

"Der Klägerin steht gegen die Beklagte kein Anspruch auf Zahlung von Versicherungsleistungen aus dem zwischen den Parteien geschlossenen Versicherungsvertrag zu, da der Vertrag aufgrund der von der Beklagten erklärten Anfechtung wegen arglistiger Täuschung nichtig ist […]"

"Gerade wenn die in der Verfügungsgewalt des Versicherungsnehmers stehenden Rechner in einem Netzwerk verbunden sind, ist ohne weiteres ersichtlich, dass die Gesamtheit des Netzes nur so sicher sein kann, wie deren schwächsten Glieder. Er wird daher den Begriff des Arbeitsrechners weiter verstehen als den des bloßen Arbeitsplatzrechners und hierunter alle Computersysteme verstehen, die in dem Betrieb Funktionen, sei es als Eingabegerät oder als Server wahrnehmen, weil bereits durch den Zugriff auf einzelne Komponenten mit Malware das gesamte Netzwerk Schaden nehmen kann."

Das LG Köln ist zu dem Ergebnis gekommen, dass der Versicherungsvertrag wegen arglistiger Täuschung nichtig ist und weist die Klage ab.