Nachschlag zu BSI-CS 154: Was eine Cyberversicherung bei gehackten Steuerungen leistet – am Beispiel Stoïk

In unserem Beitrag zu BSI-CS 154 haben wir allgemein erklärt, warum die Cyberversicherung bei gehackten Steuerungen nicht automatisch alles zahlt. Hier wird es konkret: Wir haben die Bedingungen der Cyberversicherung von Stoïk (Cyber Serenity in den Varianten Standard, Fassung DE2609.2, und Custom, Fassung DE2609.1) Klausel für Klausel an einem typischen Fall durchgespielt – einer manipulierten Kühlanlage.

Cyber-Schutz prüfen lassen

Das Wichtigste in Kürze

• Steuerungen zählen mit: Zum versicherten Computersystem gehört nach den Bedingungen auch Technik, die über Internet oder Intranet erreichbar ist und dem Betrieb gehört oder von ihm kontrolliert wird.
• Verderb ist geregelt: Eine Verderbsklausel ersetzt verdorbene Ware, Rohstoffe und Halbfabrikate infolge einer versicherten Betriebsunterbrechung.
• Sachschäden an Anlagen sind als Baustein „Sachsubstanzschäden“ möglich – soweit vereinbart.
• Reihenfolge beachten: Für Verderb und Sachsubstanz geht eine bestehende Sachversicherung vor.
• Deine Pflicht: wöchentliche, geschützte Backups – sonst drohen Kürzung oder Leistungsfreiheit.

Der Fall: Freitagnacht in der Kühlung

Ein Lebensmittelmarkt im Landkreis lässt seine Kühlsteuerung von einem Kältetechniker per Fernwartung betreuen. Der Zugang ist über das Internet erreichbar, das Passwort seit Jahren dasselbe. In der Nacht auf Samstag melden sich Unbekannte an und drehen die Solltemperaturen hoch. Am Morgen ist die Ware in Kühltheken und Tiefkühlern verdorben, ein Verdichter ist überhitzt, der Markt bleibt zwei Tage geschlossen. So oder ähnlich lief es im Oktober in Supermärkten in mehreren europäischen Ländern – mehr dazu in unserem Beitrag Hacker heizen Kühltruhen auf.

Was die Stoïk-Bedingungen in diesem Fall vorsehen

Vorab die Grundfrage: Ist die Kühlsteuerung überhaupt „Computersystem“? Nach Ziffer II.1.1 gehören dazu Hardware, Software und deren Komponenten, die Teil eines über Internet oder Intranet zugänglichen Systems sind und dem Betrieb gehören, von ihm kontrolliert, betrieben oder geleast werden. Eine fernwartbare Steuerung fällt nach diesem Wortlaut in der Regel darunter – wir klären das gerne vorab oder im Einzelfall für dich ab. Der unbefugte Zugriff ist eine Netzwerksicherheitsverletzung und damit der Auslöser für die folgenden Leistungen:

Für Ertragsausfall und Verderb kommt es auf zwei Werte im Versicherungsschein an: die Wartezeit (der Schaden in dieser Zeit bleibt unberücksichtigt) und die Haftzeit (wie lange höchstens gezahlt wird). Beide beginnen mit der Meldung beim Versicherer. Je schneller du meldest, desto früher läuft die Uhr. Ob in deinem Fall der Verderb schon in den ersten Stunden zählt, hängt von der vereinbarten Wartezeit ab – wir klären das gerne vorab oder im Einzelfall für dich ab.

Wer zahlt zuerst: Cyber- oder Sachversicherung?

Grundsätzlich geht die Stoïk-Police anderen Verträgen vor (Ziffer VI.8). Ausgenommen sind ausdrücklich Rohstoffschäden (Verderb) und Sachsubstanzschäden. Hier zahlt zuerst eine andere bestehende Versicherung, etwa deine Inhalts-, Kühlgut-, Maschinen- oder Elektronikversicherung. Die Cyberpolice springt ein, soweit die Sachpolice nicht leistet – zum Beispiel, weil sie Cyberangriffe ausschließt.

Für dich heißt das: Lege beide Verträge nebeneinander. Erst dann siehst du, ob verdorbene Ware und beschädigte Anlagen lückenlos abgesichert sind oder ob du doppelt zahlst.

Die Grenzen: Was nicht versichert ist

• Vermögensschadenversicherung: Personen- und Sachschäden sind grundsätzlich ausgeschlossen (Ziffer IV.6). Ausnahmen sind Hardwareschäden nach III.2.3, Sachsubstanzschäden nach III.2.13 und immaterielle Schäden aus Datenschutzverletzungen.
• Sachsubstanz nur, wenn vereinbart: Steht der Baustein nicht im Versicherungsschein, bleibt der überhitzte Verdichter Sache der Sachversicherung. Nicht versichert sind dort u. a. Fahrzeuge, Tiere und Sachen während des Transports.
• Ausfall fremder Infrastruktur: Fällt das öffentliche Strom- oder Internetnetz aus, besteht kein Schutz (Ziffer IV.21). Technische Probleme sind nur an der eigenen Stromversorgung versichert.
• Krieg und staatliche Cyber-Operationen sind nach Ziffer IV.16 ausgeschlossen.
• Eigene Produkte und Dienstleistungen: Haftungsansprüche wegen fehlerhafter Produkte oder Leistungen des versicherten Betriebs sind nicht versichert (Ziffer IV.4). Für Wartungsfirmen ist deshalb die Berufs- oder Betriebshaftpflicht entscheidend.
• Summen und Selbstbehalt: Je Versicherungsfall gilt die Versicherungssumme, je Jahr die Jahreshöchstleistung, dazu Entschädigungsgrenzen und Selbstbehalt laut Versicherungsschein (Ziffern VI.4, VI.5).
• Serienschaden: Trifft derselbe Angreifer über dieselbe Lücke mehrere Filialen, gilt das als ein Versicherungsfall (Ziffer VI.7). Die Summe muss für alle Standorte reichen.

Deine Pflichten: Backups sind Voraussetzung

Ziffer V.1.1 macht Backups zur Voraussetzung für den Versicherungsschutz. Gesichert werden müssen alle Daten und „kritischen Elemente“ des Computersystems – also Software und Daten, deren Wiederherstellung mehr als fünf Manntage kosten würde:

• mindestens wöchentlich, mit mindestens zwei Wochen Aufbewahrung,
• als Offline-Backup (z. B. Band oder externe Festplatte, getrennt vom Netz), unveränderliches Backup (auch ein Administrator kann es nicht löschen) oder sicheres Backup (isoliert, per Firewall abgeschottet, Zugriff nur mit Mehr-Faktor-Anmeldung).
• Variante Custom: Hier müssen die Backups zusätzlich dokumentiert und mindestens einmal jährlich nachweisbar getestet werden. Ansonsten stimmen die beiden Bedingungswerke in den hier besprochenen Punkten überein.
• Achtung: Bestimmte NAS-Lösungen, deren Schutz ein Administrator umgehen kann, gelten laut Bedingungen nicht als unveränderlich.

Unser Praxistipp: Denk dabei nicht nur an die Büro-IT. Auch Parameter, Programme und Konfiguration deiner Kühl-, Heizungs- oder Maschinensteuerung gehören ins Backup – lass dir die Sicherung von deinem Wartungsdienstleister geben.

Verletzt du eine Obliegenheit vorsätzlich, ist der Versicherer leistungsfrei; bei grober Fahrlässigkeit darf er im Verhältnis zur Schwere des Verschuldens kürzen (Ziffer V.1.2). Du behältst den Schutz, wenn du nachweist, dass der Verstoß für den Schaden nicht ursächlich war. Bemerkenswert: Die Kosten der IT-Forensik durch den Partner CERT-Stoïk werden auch dann nicht gekürzt.

Genauso wichtig sind die Angaben im Antrag (Ziffer VI.10): Was du zum Sicherheitsstand angibst, muss stimmen. Und im Schadenfall gilt: unverzüglich über die Hotline aus dem Versicherungsschein melden (Ziffer V.2.1) – das startet auch Wartezeit und Haftzeit.

Fernwartung: Warum der Wartungsvertrag zählt

Auch in den Stoïk-Bedingungen taucht die Fernwartung auf: Beim Baustein Cyber-Betrug (soweit vereinbart) sind Schäden ausgeschlossen, die auf einen Fernzugriff zurückgehen, dem du selbst zugestimmt hast. Das gilt ausdrücklich nicht für IT-Dienstleister oder externe Serviceanbieter, die im Rahmen eines vertraglich vereinbarten Leistungs- oder Wartungsverhältnisses handeln (Ziffer III.4.2). Ein schriftlicher Wartungsvertrag ist also nicht nur für die Sicherheit wichtig, sondern auch für den Versicherungsschutz. Welche Punkte hineingehören, haben wir im Beitrag zu BSI-CS 154 zusammengestellt.

Hat der Dienstleister den Schaden verursacht, hilft der Rechtsschutz-Baustein mit ROLAND: acht Bereiche, darunter Daten- und Cyber-, Vertrags- und Schadenersatzrechtsschutz, mit bis zu 250.000 € je Rechtsschutzfall. Für Neuverträge von Unternehmen mit bis zu 150 Mio. € Jahresumsatz ist er laut Anbieter ohne Aufpreis enthalten – wir klären das gerne vorab oder im Einzelfall für dich ab.

Vorbeugen statt nur zahlen

BSI-CS 154 verlangt, regelmäßig zu prüfen, ob Geräte von außen erreichbar sind. Genau das gehört bei Stoïk zu den Präventionsleistungen (Ziffer III.1.1): ein externer Scan, der von außen sichtbare Schwachstellen überwacht und meldet, dazu Phishing-Simulationen, ein Active-Directory-Scan (Benutzerrechte, Passwortrichtlinien, Aktualität) und ein Cloud-Scan. Mehr dazu in unserem Beitrag Cyberversicherung mit Prävention: Was Stoïk alles leistet. Wichtig: Ein Scan ersetzt nicht die Arbeit deines Wartungsdienstleisters an der Steuerung selbst.

Checkliste vor dem Abschluss

1. Welche Steuerungen und Anlagen sind vernetzt – und stehen sie im Antrag?
2. Ist der Baustein Sachsubstanzschäden vereinbart?
3. Wie hoch sind Wartezeit, Haftzeit und die Entschädigungsgrenzen für Betriebsunterbrechung und Verderb?
4. Was zahlt deine Inhalts-, Kühlgut- oder Maschinenversicherung – und schließt sie Cyberangriffe aus?
5. Reicht die Versicherungssumme, wenn alle Standorte gleichzeitig betroffen sind?
6. Erfüllt dein Backup-Konzept die Vorgaben – auch für die Steuerungen?
7. Gibt es einen schriftlichen Wartungsvertrag mit Sicherheitspflichten für den Fernzugriff?

Unser Angebot: Wir vermitteln die Cyberversicherung von Stoïk und legen sie für dich neben deine bestehenden Sachversicherungen – damit verdorbene Ware, Stillstand und beschädigte Anlagen nicht zwischen zwei Verträgen durchfallen. Mehr dazu: Cyber-Security für Unternehmen.

Häufige Fragen

Zahlt eine Cyberversicherung verdorbene Ware nach einem Hackerangriff?

Das hängt vom Bedingungswerk ab. Die Cyberversicherung von Stoïk (Cyber Serenity, Bedingungen DE2609.2 Standard und DE2609.1 Custom) enthält eine Verderbsklausel: Ersetzt werden variable Kosten durch Verderb von Waren, Rohstoffen oder Halbfabrikaten infolge einer versicherten Betriebsunterbrechung, inklusive Entsorgung und Ersatzbeschaffung. Besteht zusätzlich eine Sachversicherung, die den Schaden abdeckt, geht diese vor.

Ist eine Kühl- oder Maschinensteuerung in der Cyberversicherung mitversichert?

Nach den Stoïk-Bedingungen gehören zum Computersystem Hardware und Software, die Teil eines über Internet oder Intranet zugänglichen Systems sind und dem Betrieb gehören oder von ihm kontrolliert werden. Eine per Fernwartung erreichbare Steuerung fällt nach diesem Wortlaut in der Regel darunter. Wir klären das gerne vorab oder im Einzelfall für dich ab.

Welche Backups verlangt Stoïk?

Voraussetzung für den Versicherungsschutz sind mindestens wöchentliche Backups aller Daten und kritischen Elemente des Computersystems mit mindestens zwei Wochen Aufbewahrung – als Offline-Backup, unveränderliches oder sicheres Backup. In der Variante Custom müssen die Backups außerdem dokumentiert und mindestens jährlich dokumentiert getestet werden. Bestimmte NAS-Lösungen, deren Unveränderlichkeit ein Administrator umgehen kann, erkennt Stoïk nicht als unveränderlich an.

Was passiert, wenn mehrere Filialen über dieselbe Lücke angegriffen werden?

Dann greift die Serienschadenklausel: Mehrere Versicherungsfälle mit derselben oder gleichartiger Ursache gelten als ein Versicherungsfall. Die Versicherungssumme je Fall muss also für alle betroffenen Standorte zusammen reichen.

Herzliche Grüße von der KiS

Hinweis: Allgemeine Information, Stand 05.11.2026, keine Rechtsberatung und keine individuelle Beratung. Stoïk dient hier als Beispiel; welcher Tarif zu deinem Betrieb passt, hängt vom Einzelfall ab. Maßgeblich sind allein die Bedingungen und der Versicherungsschein deines Vertrags; Bausteine „soweit vereinbart“ gelten nur, wenn sie dort aufgeführt sind. Quellen: Stoïk, Bedingungen Cyber Serenity – Standard (DE2609.2) und – Custom (DE2609.1); Stoïk, Glossar Versicherungsbausteine; Stoïk, Baustein Rechtsschutz mit ROLAND Rechtsschutz; BSI-CS 154 (13.10.2026). KiS – Kontor im Schwarzwald GmbH, Versicherungsmakler mit Erlaubnis nach § 34d Abs. 1 GewO, Reg.-Nr. D-PS74-61V96-00.

👉 Cyber-Schutz prüfen lassen

← Alle Beiträge