Die Rechte von Opfern von Cyberangriffen: Meldepflichten, Entschädigung und Versicherung

Von Tom Meevis, Rechtsanwalt bei Law & More

Cyberangriffe wie Ransomware, Phishing, DDoS-Attacken und Computereinbrüche betreffen selten nur das angegriffene Unternehmen. Zu den Opfern zählen auch Kunden, Mitarbeiter, Patienten, Lieferanten und andere Partner der Lieferkette, die dadurch Verluste erleiden können. Ihre rechtliche Stellung ist dabei von Gruppe zu Gruppe unterschiedlich. Wer nach einem Angriff klären möchte, welche Pflichten bestehen und welche Ansprüche geltend gemacht werden können, sollte daher zunächst genau feststellen, wer betroffen ist und welcher Schaden entstanden ist.

Dieser Artikel behandelt nacheinander, wer als Opfer gilt, wann eine Datenschutzverletzung gemeldet werden muss, unter welchen Bedingungen ein Anspruch auf Entschädigung besteht, welche Parteien haftbar gemacht werden können, welche Rolle das Strafrecht spielt, was eine Cyberversicherung typischerweise abdeckt und welche Schritte unmittelbar nach einem Angriff unternommen werden sollten.

Wer sind die Opfer von Cyberangriffen?

Bei einem Cyberangriff lassen sich drei Gruppen unterscheiden.

• Die betroffene Organisation selbst, die mit Systemausfallzeiten, Umsatzeinbußen, Wiederherstellungskosten, den Kosten forensischer Untersuchungen und Reputationsschäden konfrontiert ist.
• Natürliche Personen, deren personenbezogene Daten offengelegt wurden, wie beispielsweise Kunden, Mitarbeiter und Patienten, können finanzielle Verluste erleiden, aber auch immaterielle Schäden durch den Verlust der Kontrolle über ihre Daten, Unsicherheit oder die Angst vor Identitätsdiebstahl.
• Dritte, die durch eine vertragliche Beziehung oder eine Lieferkettenbeziehung betroffen sind, beispielsweise weil sie von einem Lieferanten abhängig sind, dessen Systeme ausgefallen sind.

Diese Klassifizierung ist rechtlich relevant. Die Grundlage eines jeden Anspruchs und die Partei, gegen die er geltend gemacht werden kann, hängen von der Position des Betroffenen ab. Eine betroffene Organisation wird ihren IT-Lieferanten in der Regel vertraglich haftbar machen, während sich eine betroffene Person direkt auf die eigenständige Haftungsgrundlage der DSGVO berufen kann.

Wann muss eine Datenschutzverletzung gemeldet werden?

Wenn personenbezogene Daten von einem Cyberangriff betroffen sind, muss geprüft werden, ob eine Verletzung des Schutzes personenbezogener Daten vorliegt und ob eine Meldepflicht besteht. Artikel 33 DSGVO schreibt vor, dass eine Verletzung der Aufsichtsbehörde unverzüglich und, soweit möglich, innerhalb von 72 Stunden gemeldet werden muss, es sei denn, die Verletzung führt voraussichtlich nicht zu einem Risiko für die Rechte und Freiheiten natürlicher Personen.

Darüber hinaus kann Artikel 34 DSGVO die Organisation verpflichten, die betroffenen Personen selbst zu informieren. Diese Verpflichtung besteht, wenn die Datenschutzverletzung voraussichtlich ein hohes Risiko für ihre Rechte und Freiheiten mit sich bringt. Eine Benachrichtigung kann entfallen, wenn geeignete technische Maßnahmen wie Verschlüsselung getroffen wurden, wenn nachfolgende Maßnahmen sicherstellen, dass das hohe Risiko nicht mehr besteht, oder wenn die individuelle Benachrichtigung einen unverhältnismäßigen Aufwand bedeuten würde; im letzteren Fall genügt eine öffentliche Bekanntmachung.

Für die betroffene Person ist diese Mitteilung mehr als nur eine Formalität. Sie ermöglicht es ihr, selbst Maßnahmen zu ergreifen, beispielsweise Passwörter zu ändern oder auf verdächtige Transaktionen zu achten, und ist in der Praxis oft der Ausgangspunkt für jegliche Entschädigungsansprüche.

Eine Organisation muss daher nicht nur feststellen, dass ein Angriff stattgefunden hat, sondern auch, welche Daten betroffen waren, ob tatsächlich Daten abgeflossen sind und welche Risiken sich daraus ergeben. Eine unabhängige forensische Untersuchung ist hierfür oft unerlässlich.

Dies gilt umso mehr, wenn der Angriff bei einem Auftragsverarbeiter und nicht beim Unternehmen selbst erfolgt. Im Eilverfahren zwischen Blauw Research und Nebu (Bezirksgericht Rotterdam, 6. April 2023, ECLI:NL:RBROT:2023:2931) entschied der Richter im Eilverfahren, dass der Verantwortliche gemäß der zwischen den Parteien geschlossenen Datenverarbeitungsvereinbarung Anspruch auf weitergehende Informationen über den Angriff, seine Folgen und die ergriffenen Maßnahmen hatte, als ihm zunächst mitgeteilt worden waren. Der Auftragsverarbeiter wurde zudem angewiesen, eine unabhängige forensische Untersuchung durchführen zu lassen und regelmäßig darüber zu berichten. Das Urteil zeigt, dass eine gut formulierte Datenverarbeitungsvereinbarung in der Praxis das wichtigste Instrument ist, um nach einem Vorfall zeitnah Informationen zu erhalten, da der Verantwortliche diese Informationen benötigt, um seinen Meldepflichten nachzukommen.

Wann entsteht ein Anspruch auf Entschädigung?

Betroffene Personen können gemäß Artikel 82 DSGVO vom Verantwortlichen oder Auftragsverarbeiter Schadensersatz verlangen. Ein Cyberangriff begründet jedoch nicht automatisch einen solchen Anspruch. Er muss begründet werden.

• dass gegen die DSGVO verstoßen wurde;
• dass tatsächlich Schaden entstanden ist; und
• dass ein ursächlicher Zusammenhang zwischen dieser Rechtsverletzung und dem entstandenen Schaden besteht.

Materielle Schäden können finanzielle Verluste, Wiederherstellungskosten oder Verluste durch Identitätsdiebstahl umfassen. Hinsichtlich immaterieller Schäden entschied der Gerichtshof der Europäischen Union in der Rechtssache Österreichische Post (EuGH 4. Mai 2023, C-300/21), dass es keine Mindestschwelle für die Schwere des Schadens gibt, ein Verstoß gegen die DSGVO allein jedoch nicht für eine Entschädigung ausreicht.

Von besonderer Relevanz für Datenschutzverletzungen infolge eines Cyberangriffs ist das Urteil Natsionalna agentsia za prihodite (EuGH, 14. Dezember 2023, C-340/21). Darin entschied der Gerichtshof, dass die Befürchtung eines möglichen künftigen Missbrauchs durchgesickerter personenbezogener Daten an sich einen immateriellen Schaden darstellen kann. Die betroffene Person muss diese Befürchtung und ihre Folgen jedoch konkret darlegen; der bloße Hinweis auf das Datenleck genügt nicht. Im selben Urteil bestätigte der Gerichtshof, dass der Verantwortliche nachweisen muss, dass die getroffenen Sicherheitsmaßnahmen angemessen waren, und dass ein Angriff durch Dritte ihn nicht per se von der Haftung befreit.

Die Haftung nach der DSGVO besteht neben den zivilrechtlichen Grundlagen der Vertragsverletzung und der unerlaubten Handlung. Gemäß Artikel 6:162(1) des niederländischen Bürgerlichen Gesetzbuches ist derjenige, der eine ihm zurechenbare rechtswidrige Handlung begeht, zum Ersatz des entstandenen Schadens verpflichtet. Dabei gilt das Relativitätsprinzip des Artikels 6:163: Die verletzte Norm muss dem Schutz vor der Art von Schaden dienen, die dem Geschädigten entstanden ist.

Wichtig ist, dass neben diesen Rechtsgrundlagen auch Artikel 82 DSGVO existiert. Eine betroffene Person ist daher nicht verpflichtet, einen Anspruch ausschließlich auf Vertragsbruch oder unerlaubte Handlung zu stützen, sondern kann sich direkt auf die eigenständige Haftungsgrundlage der DSGVO berufen. Für das betroffene Unternehmen bedeutet diese Kombination von Rechtsgrundlagen, dass nach einem Angriff mehrere Parteien gleichzeitig Ansprüche geltend machen können.

Wer kann haftbar gemacht werden?

Die betroffene Organisation kann haftbar gemacht werden, wenn sie ihren vertraglichen Verpflichtungen nicht nachkommt oder unzureichende Sicherheitsmaßnahmen getroffen hat. Auch ein IT-Dienstleister oder Auftragsverarbeiter kann zur Rechenschaft gezogen werden. Was von diesem Dienstleister erwartet werden kann, ist in erster Linie im Vertrag festgelegt.

Innerhalb einer Auftragsverarbeitungsbeziehung spielt die Auftragsverarbeitungsvereinbarung eine zentrale Rolle. Artikel 28 DSGVO verpflichtet den Verantwortlichen und den Auftragsverarbeiter zum Abschluss einer solchen Vereinbarung, die unter anderem die Sicherheitsmaßnahmen und den Umgang mit Datenschutzverletzungen regelt. Beruht der Angriff auf unzureichenden Sicherheitsvorkehrungen beim Auftragsverarbeiter, kann der Verantwortliche diesen gemäß der Vereinbarung für den entstandenen Schaden haftbar machen.

Dies wird im Fall des Cyberangriffs auf die Gemeinde Hof van Twente (Landgericht Overijssel, 10. Mai 2023, ECLI:NL:RBOVE:2023:1731) deutlich. Die Parteien hatten eine Funktionsüberwachung, nicht aber eine Sicherheitsüberwachung vereinbart. Das Gericht entschied, dass die Sorgfaltspflicht eines IT-Administrators nicht so weit geht, dass die Sicherheitsüberwachung stillschweigend Bestandteil eines Auftrags zur Funktionsüberwachung wird, und wies die Klage der Gemeinde ab. Es berücksichtigte zudem, dass die Gemeinde selbst Entscheidungen getroffen hatte, die das Risiko erhöhten, darunter ihre Passwortrichtlinie und die Öffnung eines RDP-Ports.

Das Spiegelbild ist der Fall O'Cliance (Bezirksgericht von Amsterdam(14. November 2018, ECLI:NL:RBAMS:2018:10124). Dort hatte der Anbieter eine komplette IT-Infrastruktur installiert und deren Verwaltung übernommen. Nach einem Ransomware-Angriff, bei dem auch die Backups verschlüsselt wurden, entschied das Gericht, dass die Bereitstellung eines solchen Komplettpakets eine weitreichende Sorgfaltspflicht mit sich bringe und dass einfache Maßnahmen versäumt worden seien. Die Haftung wurde jedoch nicht vollständig zugesprochen: Aufgrund des Mitverschuldens des Kunden verblieben zwei Drittel des Schadens beim Anbieter.

Wie hoch die Beweislast für angemessene Sicherheitsvorkehrungen ausfallen kann, zeigt der Fall des gehackten E-Mail-Kontos eines Autohändlers. Im Zwischenurteil vom 5. November 2024 (Berufungsgericht Arnheim-Leeuwarden, ECLI:NL:GHARL:2024:6812) wurde dem Händler Gelegenheit gegeben, nachzuweisen, dass sein E-Mail-Konto im Sinne der DSGVO angemessen gesichert war, nachdem ein Hacker dieses Konto genutzt hatte, um einem Käufer eine gefälschte Zahlungsanweisung zu senden. Im Folgeurteil vom 22. Juli 2025 (ECLI:NL:GHARL:2025:4556) stellte das Gericht fest, dass dieser Nachweis nicht erbracht worden war. Die Parteien mussten daraufhin weiterhin die Frage des Mitverschuldens des Käufers klären. Beide Urteile beziehen sich daher auf dasselbe Verfahren.

Gemeinsamer Nenner ist, dass die vertraglichen Vereinbarungen, die Risiken der Datenverarbeitung, die tatsächlich getroffenen Maßnahmen, die beidseitig ausgesprochenen Warnungen und das Verhalten der geschädigten Partei von Bedeutung sind. Neben der zivilrechtlichen Haftung kann die niederländische Datenschutzbehörde Bußgelder von bis zu 20 Millionen Euro oder 4 Prozent des weltweiten Jahresumsatzes verhängen, je nachdem, welcher Betrag höher ist. Diese Bußgelder sind unabhängig davon, ob einzelnen Betroffenen ein Schaden entstanden ist.

Der strafrechtliche Weg

Ein Cyberangriff kann auch eine Straftat darstellen, wie beispielsweise das Eindringen in Computersysteme, das Unzugänglichmachen von Daten oder die Aneignung nicht-öffentlicher Daten. Gemäß Artikel 138ab Absatz 1 des niederländischen Strafgesetzbuches ist der vorsätzliche und widerrechtliche Zugriff auf ein automatisiertes System strafbar.

Opfer können die Straftat bei der Polizei anzeigen, die über spezialisierte Abteilungen für Cyberkriminalität verfügt. Wird ein Verdächtiger strafrechtlich verfolgt, kann sich das Opfer dem Strafverfahren als Geschädigter anschließen und dort Schadensersatz fordern. Dieser Weg vermeidet ein separates Zivilverfahren, doch der Erfolg hängt von der Aufklärung, der Anklage und den Beweisen ab, was bei international agierenden Tätern häufig ergebnislos bleibt. Für Unternehmen ist die Meldung oft auch aus praktischen Gründen notwendig, da Versicherer und Partner in der Lieferkette sie verlangen.

Was deckt die Cyberversicherung ab?

Eine Cyberversicherung kann unter anderem folgende Risiken abdecken:

• Vorfallsreaktion und forensische Untersuchung;
• Wiederherstellung von Systemen und Daten;
• Betriebsunterbrechungsschäden und Umsatzeinbußen;
• Krisenkommunikation;
• Haftung gegenüber Dritten;
• Rechtskosten; und
• in einigen Fällen Geldbußen, Vergleichszahlungen oder Lösegeld, soweit dies nach dem anwendbaren Recht versicherbar ist.

Der genaue Versicherungsumfang hängt von der jeweiligen Police ab. Beachten Sie Ausschlüsse, Sicherheitsbedingungen, Meldefristen, Selbstbehalte und die Pflicht zur Beauftragung von Sachverständigen. Artikel 7:957(1) des niederländischen Bürgerlichen Gesetzbuches verpflichtet den Versicherungsnehmer außerdem, angemessene Maßnahmen zur Schadensverhütung oder -begrenzung zu ergreifen. Kommt diese Bergungspflicht nicht nach, kann der Versicherer die Auszahlung kürzen.

Der Cyberversicherer sollte daher so schnell wie möglich informiert werden. Die Beauftragung externer Experten oder die Zahlung eines Lösegelds ohne Zustimmung des Versicherers kann den Versicherungsschutz beeinträchtigen.

Was sollten Sie unmittelbar nach einem Cyberangriff tun?

• Dokumentieren Sie den Vorfall und alle relevanten Maßnahmen sorgfältig.
• Betroffene Systeme isolieren, ohne Beweismaterial zu verlieren.
• Ziehen Sie einen forensischen Experten hinzu.
• Prüfen Sie, ob eine meldepflichtige Datenschutzverletzung vorliegt.
• Prüfen Sie, ob die betroffenen Personen informiert werden müssen.
• Melden Sie die Straftat der Polizei.
• Melden Sie den Vorfall Ihrem Cyberversicherer.
• Protokolle, Backups, E-Mails und andere relevante Daten sollten gesichert werden.
• Erfassen Sie den Schaden und die potenziell haftenden Parteien.
• Informieren Sie Kunden, Mitarbeiter und Partner in der Lieferkette sorgfältig und rechtzeitig.

Ein Cyberangriff ist daher nicht nur ein technischer Vorfall. Er berührt auch Datenschutz, Zivilrecht, Strafrecht und Versicherungsrecht. Eine schnelle und gut dokumentierte Reaktion begrenzt nicht nur den Schaden, sondern ist auch entscheidend für die Meldungen, den Versicherungsschutz und Ihre Beweislage in etwaigen Verfahren.

Zum Schluss

Die Rechte und Pflichten nach einem Cyberangriff erstrecken sich über verschiedene Rechtsgebiete, und der Ausgang eines Falles hängt maßgeblich von den konkreten Fakten, dem Vertragsinhalt und der Qualität der Beweismittel ab. Die angeführte Rechtsprechung zeigt, dass sowohl Lieferant als auch Kunde für ihr eigenes Verhalten verantwortlich gemacht werden und dass Fristen wie die 72-Stunden-Meldefrist kaum Spielraum für Verzögerungen lassen.

Law & More Wir unterstützen Organisationen und Betroffene bei der rechtlichen Abwicklung von Cybervorfällen: von der Prüfung von Meldepflichten und Datenverarbeitungsvereinbarungen bis hin zur Klärung von Haftungsfragen, Versicherungsfragen und der Geltendmachung von Schadensersatzansprüchen. Sind Sie von einem Cyberangriff oder einer Datenschutzverletzung betroffen oder möchten Sie Ihre Verträge im Vorfeld von uns auf diese Risiken prüfen lassen? IT-Recht Team? Bitte zögern Sie nicht, kontakt Law & More für ein unverbindliches Gespräch über Ihre Situation.

Häufig gestellte Fragen

Im Folgenden beantworten wir die am häufigsten gestellten Fragen zu diesem Thema.

Wer sind die Opfer eines Cyberangriffs?

Es gibt drei Ebenen. Erstens die betroffene Organisation selbst, die Systemausfallzeiten, Umsatzeinbußen, Wiederherstellungskosten, Kosten für forensische Untersuchungen und Reputationsschäden trägt. Zweitens die betroffenen Personen, also die natürlichen Personen, deren personenbezogene Daten offengelegt wurden, wie beispielsweise Kunden, Mitarbeiter und Patienten. Drittens Dritte, die durch eine Vertrags- oder Lieferkettenbeziehung einen Schaden erleiden, beispielsweise weil sie von einem insolventen Lieferanten abhängig sind. Diese Einteilung bestimmt, auf welcher Grundlage und gegen wen eine Partei Ansprüche geltend machen kann.

Innerhalb welcher Frist muss ich eine Datenschutzverletzung melden?

Artikel 33 DSGVO verpflichtet zur unverzüglichen Meldung an die Aufsichtsbehörde, möglichst innerhalb von 72 Stunden nach Kenntniserlangung der Datenschutzverletzung. Diese Meldepflicht besteht nicht, wenn die Verletzung voraussichtlich kein Risiko für die Rechte und Freiheiten natürlicher Personen darstellt. Die Beurteilung erfordert eine Analyse der Art der Verletzung, der betroffenen Datenkategorien und der möglichen Folgen.

Wann muss ich die betroffenen Personen selbst informieren?

Gemäß Artikel 34 DSGVO kann auf eine Benachrichtigung verzichtet werden, wenn die Verletzung voraussichtlich ein hohes Risiko für die Rechte und Freiheiten der betroffenen Personen darstellt. Dies gilt insbesondere dann, wenn geeignete technische Maßnahmen wie Verschlüsselung getroffen wurden, wenn nachfolgende Maßnahmen sicherstellen, dass das hohe Risiko nicht mehr besteht, oder wenn die Benachrichtigung der betroffenen Person einen unverhältnismäßigen Aufwand bedeuten würde. Im letzteren Fall genügt eine öffentliche Bekanntmachung.

Kann ich von einem Lieferanten, der gehackt wurde, Informationen erzwingen?

Ja, sofern dies in einer Auftragsverarbeitungsvereinbarung vorgesehen ist. Im Eilverfahren zwischen Blauw Research und Nebu (Bezirksgericht Rotterdam, 6. April 2023, ECLI:NL:RBROT:2023:2931) entschied der Richter, dass der Verantwortliche gemäß der Auftragsverarbeitungsvereinbarung Anspruch auf weitergehende Informationen über den Angriff, seine Folgen und die ergriffenen Maßnahmen hatte, als ihm bisher mitgeteilt worden waren. Er ordnete an, dass der Auftragsverarbeiter eine unabhängige forensische Untersuchung durchführen und regelmäßig darüber berichten solle. Diese Informationen werden benötigt, um Ihren eigenen Meldepflichten nachzukommen.

Habe ich als betroffene Person nach einer Datenschutzverletzung automatisch Anspruch auf Entschädigung?

Nein. Artikel 82 DSGVO bietet zwar eine eigenständige Grundlage, Sie müssen jedoch nachweisen, dass gegen die DSGVO verstoßen wurde, dass Ihnen tatsächlich ein Schaden entstanden ist und dass ein ursächlicher Zusammenhang zwischen dem Verstoß und dem Schaden besteht. Die Beweislast liegt beim Kläger.

Gilt die Angst vor Identitätsdiebstahl als immaterieller Schaden?

Das ist möglich. Im Fall Natsionalna agentsia za prihodite (EuGH 14. Dezember 2023, C-340/21) entschied der Gerichtshof, dass die Befürchtung eines möglichen künftigen Missbrauchs durchgesickerter personenbezogener Daten an sich einen immateriellen Schaden darstellen kann. Die betroffene Person muss diese Befürchtung und ihre Folgen jedoch konkret darlegen. Die Österreichische Post (EuGH 4. Mai 2023, C-300/21) ergänzt, dass es keine Mindestschwelle für die Schwere des Schadens gibt, ein Verstoß gegen die DSGVO allein jedoch nicht ausreicht.

Wer muss nachweisen, dass die Sicherheitsmaßnahmen angemessen waren?

Der Verantwortliche. Im Fall C-340/21 bestätigte der Gerichtshof, dass der Verantwortliche nachweisen muss, dass die getroffenen Sicherheitsmaßnahmen angemessen waren und dass ein Angriff durch Dritte ihn nicht automatisch von der Haftung befreit. In den Niederlanden zeigte sich dies im Fall des gehackten E-Mail-Kontos eines Autohändlers. Das Oberlandesgericht Arnhem-Leeuwarden räumte dem Händler zunächst Gelegenheit ein, diesen Nachweis zu erbringen (ECLI:NL:GHARL:2024:6812), entschied dann aber, dass dies nicht geschehen sei (ECLI:NL:GHARL:2025:4556).

Haftet mein IT-Lieferant, wenn er einen Angriff nicht erkannt hat?

Das hängt von der getroffenen Vereinbarung ab. Im Fall des Cyberangriffs auf die Gemeinde Hof van Twente (Landgericht Overijssel, 10. Mai 2023, ECLI:NL:RBOVE:2023:1731) hatten die Parteien eine Funktionsüberwachung, nicht aber eine Sicherheitsüberwachung vereinbart. Das Gericht entschied, dass die Sorgfaltspflicht eines IT-Administrators nicht so weit reicht, dass die Sicherheitsüberwachung stillschweigend Bestandteil davon ist, und wies die Klage ab. Wird hingegen ein umfassenderes Leistungspaket angeboten, kann die Sorgfaltspflicht weitreichender sein, wie im Fall O'Cliance (Landgericht Overijssel, 10. Mai 2023, ECLI:NL:RBOVE:2023:1731). Amsterdam, 14. November 2018, ECLI:NL:RBAMS:2018:10124), wobei der Lieferant für zwei Drittel des Schadens haftbar gemacht wurde.

Kann mein eigenes Verhalten die Entschädigung mindern?

Ja. Mitverschulden spielt in solchen Fällen immer wieder eine Rolle. Im Fall O'Cliance verblieb ein Drittel des Schadens auf dem Konto des Kunden, und im Fall des gehackten E-Mail-Kontos mussten die Parteien das Mitverschulden des Käufers klären. Ihre eigene Passwortrichtlinie, offene Ports oder ignorierte Warnungen können sich daher direkt auf das Ergebnis auswirken.

Welche Bußgelder kann die Datenschutzbehörde verhängen?

Bei Verstößen gegen die DSGVO kann die Aufsichtsbehörde Geldbußen von bis zu 20 Millionen Euro oder 4 Prozent des weltweiten Jahresumsatzes verhängen, je nachdem, welcher Betrag höher ist. Diese Geldbußen sind unabhängig davon, ob den betroffenen Personen tatsächlich ein Schaden entstanden ist, und stellen daher neben der zivilrechtlichen Haftung ein separates Risiko dar.

Kann ich die Straftat anzeigen und meinen Schaden im Rahmen des Strafverfahrens geltend machen?

Ja. Gemäß Artikel 138ab(1) des niederländischen Strafgesetzbuches ist der vorsätzliche und widerrechtliche Zugriff auf ein automatisiertes System strafbar. Sie können die Straftat bei der Polizei anzeigen und, falls ein Verdächtiger angeklagt wird, als Geschädigter am Strafverfahren teilnehmen, um dort Schadensersatz zu fordern. Der Ausgang hängt jedoch von der Aufklärung, der Anklage und den Beweisen ab, was bei international agierenden Tätern häufig ergebnislos bleibt.

Was deckt eine Cyber-Versicherung normalerweise ab?

Üblicherweise umfasst die Versicherung die Reaktion auf Sicherheitsvorfälle und forensische Untersuchungen, die Wiederherstellung von Systemen und Daten, Betriebsunterbrechungsschäden und Umsatzeinbußen, Krisenkommunikation, Haftung gegenüber Dritten und Anwaltskosten sowie in manchen Fällen Bußgelder, Vergleichszahlungen oder Lösegelder, soweit diese nach geltendem Recht versicherbar sind. Achten Sie auf Ausschlüsse, Sicherheitsvorkehrungen, Meldefristen und Selbstbehalte und prüfen Sie die Versicherungspolice vor Eintritt eines Schadensfalls.

Kann ich meinen Deckungsschutz verlieren, wenn ich mich nach einem Angriff falsch verhalte?

Das ist möglich. Artikel 7:957(1) des niederländischen Bürgerlichen Gesetzbuches verpflichtet den Versicherungsnehmer, angemessene Maßnahmen zur Schadensverhütung oder -begrenzung zu ergreifen. Kommt er dieser Bergungspflicht nicht nach, kann der Versicherer die Auszahlung kürzen. Auch die Beauftragung externer Sachverständiger oder die Zahlung eines Lösegelds ohne Zustimmung des Versicherers können den Versicherungsschutz beeinträchtigen. Informieren Sie Ihren Versicherer daher so schnell wie möglich.

Welche Schritte sollte ich unmittelbar nach einem Cyberangriff unternehmen?

Dokumentieren Sie den Vorfall und alle ergriffenen Maßnahmen, isolieren Sie die betroffenen Systeme, ohne Beweismittel zu verlieren, und ziehen Sie einen IT-Forensiker hinzu. Prüfen Sie anschließend, ob eine meldepflichtige Datenschutzverletzung vorliegt und ob die betroffenen Personen informiert werden müssen. Melden Sie den Vorfall, benachrichtigen Sie Ihren Cyberversicherer, sichern Sie Protokolle, Backups und Korrespondenz, erfassen Sie den Schaden und die potenziell haftenden Parteien und informieren Sie Kunden, Mitarbeiter und Lieferkettenpartner sorgfältig und rechtzeitig.