Nach einem Angriff fragt jeder zuerst, wann es wieder läuft. Wochen später fragen andere, warum es nicht geregelt war.
Guten Morgen,
dies ist Ausgabe 3 der 8-Uhr-Frage.
Ein Satz aus einem Gerichtsbeschluss beschäftigt mich seit Wochen.
Wer technische Risikofragen „auf gut Glück“ beantwortet, obwohl er weiß, dass ihm die Kenntnis fehlt, handelt arglistig.
So hat es das Oberlandesgericht Schleswig im Januar 2025 festgehalten. Es ging um eine Cyberversicherung, die nach einem Angriff nicht zahlen musste.
Der Satz zielt nicht auf die IT. Er zielt auf alle, die einen Antrag unterschreiben, ohne ihn prüfen zu können.
Heute geht es um drei Fragen: Wer stellt nach einem Angriff die Frage, warum etwas nicht geregelt war? Was will der Großkunde dabei wissen, und warum fragt er künftig genauer? Und was hilft, wenn die Frage kommt?
Der Versicherer liest den Antrag, den im Haus niemand mehr aufschlägt.
Der Fall zeigt, wie lange diese Frage unterwegs sein kann.
2020. Ein Unternehmen mit über 400 Beschäftigten schließt eine Cyberversicherung ab. Im Antrag stehen Risikofragen. Ist aktuelle Schutzsoftware auf allen Systemen? Sind die Updates eingespielt? Beide werden bejaht.
Oktober 2020. Monate später kommt der Angriff.
Danach. Der Versicherer prüft die Antworten im Antrag. Er ficht den Vertrag wegen arglistiger Täuschung an.
23. Mai 2024. Das Landgericht Kiel gibt dem Versicherer recht. Er ist leistungsfrei.
Januar 2025. Das Oberlandesgericht Schleswig weist die Berufung durch Beschluss zurück. Von dort stammt der Satz mit dem „guten Glück“.
Zwischen Angriff und letzter Entscheidung liegen gut vier Jahre. Gefragt wurde die ganze Zeit dasselbe: Was wurde vorher zugesagt, und stimmte es?
Wer den Antrag damals ausgefüllt hat, weiß ich nicht. Ich weiß nur, wie so etwas oft entsteht. Der Fragebogen kommt kurz vor Vertragsbeginn. Die IT kreuzt an, die kaufmännische Leitung unterschreibt. Danach liegt er im Ordner.
Der Großkunde fragt nicht nach der Firewall. Er fragt nach Ausmaß und Dauer.
Der zweite Fragesteller ruft früher an. Meist schon am ersten Morgen.
Er will wissen, ob geliefert wird. Und wenn nicht: wie lange nicht.
In der Automobilindustrie ist das kein Wunsch, sondern Teil der Qualitätsnorm. Die IATF 16949 zählt Cyberangriffe ausdrücklich zu den Notfallszenarien. Verlangt ist ein Prozess, der Kunden über Ausmaß und Dauer einer Störung benachrichtigt. Die Notfallpläne sollen regelmäßig getestet werden, für Cybersicherheit etwa als Simulation eines Angriffs.
Das Problem? Die Antwort auf „wie lange“ hat am ersten Morgen niemand. Die IT weiß es selbst noch nicht.
Was sich vorher klären lässt, ist etwas anderes: Wer ruft an? Was sagen wir, solange wir die Dauer nicht kennen? Wer darf einen neuen Liefertermin zusagen?
Und die Kunden fragen künftig genauer. Am 1. Juli 2026 hat die ENX den neuen Prüfkatalog für TISAX veröffentlicht, ISA2027. Er gilt für Assessments, die ab 1. Januar 2027 beauftragt werden.
Zwei Änderungen fallen mir auf. Führungskräfte sind dort jetzt eine eigene Zielgruppe für Schulungen. Und die Anforderungen an Nachweis und Überwachung der Lieferanten werden strenger.
Bestehende Labels bleiben gültig. Aber die Richtung ist klar: Die Frage nach dem Lieferanten landet öfter auf der Leitungsebene.
Beirat, Behörde und Insolvenzverwalter fragen dasselbe: Was war entschieden?
Die übrigen Fragesteller kommen später. Ihre Frage klingt anders, meint aber dasselbe.
Der Beirat und die Gesellschafter wollen wissen, was die Geschäftsführung wusste und was sie veranlasst hat. Für GmbH und AG steht im Gesetz, dass die Geschäftsleiter fortlaufend über Entwicklungen wachen, die den Fortbestand gefährden können. So formuliert es § 1 des StaRUG.
Die Behörde fragt nach Dokumentation. Unternehmen, die unter NIS2 fallen, müssen festhalten, dass sie ihre Risikomanagementmaßnahmen einhalten. Das steht in § 30 BSIG.
Und im schlechtesten Fall fragt ein Insolvenzverwalter. Der Versicherer-Verband GDV berichtete im November 2025, dass Verwalter gezielt nach Pflichtverletzungen suchen. Die dort zitierten Fachleute raten, Entscheidungs- und Abwägungsgründe nachvollziehbar zu dokumentieren.
Ich nenne das die zweite Frage. Die erste geht an die IT: Wann läuft es wieder? Die zweite geht an die Geschäftsleitung: Warum war das nicht geregelt?
Meine Einschätzung
Die zweite Frage ist unangenehm. Aber sie ist nicht unfair.
Ein Angriff ist kein Versäumnis. Das sagt auch keiner der Fragesteller.
Gefragt wird nach dem, was vorher in der eigenen Hand lag. Was wurde zugesagt? Was war entschieden? Wer wusste es?
In über 25 Jahren habe ich viele dieser Gespräche erlebt. Auf beiden Seiten des Tisches.
Schwierig wurde es selten wegen einer Lücke. Schwierig wurde es, wenn niemand sagen konnte, wer sie kannte und was beschlossen war.
Eine offene Lücke mit Begründung lässt sich erklären. Ein „Das müsste die IT wissen“ nicht.
Das Gute an der zweiten Frage: Man kennt sie vorher. Sie kommt von bekannten Absendern. Und man kann sie an einem ruhigen Dienstag beantworten.
Konkret heißt das:
1. Lesen Sie den Antrag Ihrer Cyberpolice einmal im Jahr gegen, mit IT und kaufmännischer Leitung am Tisch. Die Frage lautet nur: Stimmt das heute noch? 2. Formulieren Sie den ersten Satz an Ihren größten Kunden, bevor Sie ihn brauchen. Dazu: wer anruft und wer Termine zusagen darf. 3. Halten Sie Entscheidungen zur Sicherheit mit Begründung fest. Eine Seite genügt: was, warum, wer, wann.
Die IT beantwortet die erste Frage. Die zweite beantwortet, was vorher aufgeschrieben wurde.
| |
Die Frage für Ihre nächste Führungsrunde
Unser größter Kunde fragt morgen, wie lange eine Störung bei uns dauern würde. Wer antwortet, und was sagt er?
Beginnt die Antwort mit „Das müsste die IT wissen“, ist die zweite Frage noch offen.
|
Aus der Werkstatt
In der Cyber Werkstatt spielt Ihre Geschäftsführung den Ernstfall einen Tag lang durch, im eigenen Haus. Der Anruf des Großkunden gehört dazu. Am Abend wissen Sie, was ein Ausfall kostet, wer was entscheidet und wo noch etwas zu regeln ist.
PS: Am Montag ging es auf LinkedIn um einen Maschinenbauer, bei dem ein Drittel des Umsatzes an einem Zertifikat hing. Der größte Kunde hat es nicht anerkannt. Auch das ist eine zweite Frage. Der Beitrag steht in meinem Profil.
Wie war diese Ausgabe? Antworten Sie mir mit einem Wort: Top, Gut oder Naja.
Bis in zwei Wochen, Marco Lück
Quellen
Keine Rechtsberatung.
Mit freundlichen Grüßen
Dr. Marco Lück
Antworten auf diese E-Mail landen direkt bei mir.
|
