Kapitel 77: Versicherung und Berufshaftpflicht: Wer zahlt für den Schaden?

Das folgende Szenario ist ein Lehrbeispiel, das auf gängigen Betrugsmustern basiert. Die Charaktere und Ereignisse dienen lediglich der Veranschaulichung.

Es war zwei Uhr morgens, als das Telefon von Rami, dem Geschäftsführer eines Infrastrukturunternehmens, auf dem Nachttisch vibrierte. Normalerweise hätte Rami Anrufe zu dieser Zeit ignoriert, aber die Nummer auf dem Display war die seiner Finanzchefin. Als er abnahm, hörte er nicht ihre ruhige und autoritäre Stimme, sondern nur kurzes, ersticktes Atmen.

"Rami", flüsterte sie, "das Geld ist nicht beim italienischen Lieferanten angekommen. Und die Bank sagt... die Bank sagt, dass das Konto, auf das wir gestern die 800.000 Euro überwiesen haben, überhaupt nicht ihnen gehört. Es gehört einer Einheit in Singapur, die heute Morgen geschlossen wurde."

In diesem Moment spürte Rami, wie ihm der Boden unter den Füßen weggezogen wurde. Doch inmitten der Panik kam ihm ein beruhigender Gedanke: "Wir sind versichert." Er hatte immer darauf geachtet, dass das Unternehmen versichert war. Berufshaftpflicht, D&O-Versicherung, Betriebshaftpflicht – er zahlte jedes Jahr beträchtliche Prämien genau für diesen Moment. Er wusste damals, in dieser schicksalhaften Nacht, noch nicht, dass der wahre Kampf erst begann und dass die Versicherungspolice, auf die er sich stützte, sich als äußerst schwacher Rückhalt erweisen könnte.

In den vorangegangenen Kapiteln haben wir uns mit den Techniken der Betrüger und den Präventionsmethoden beschäftigt. Doch was geschieht, wenn die Prävention versagt? Wenn das Geld das Konto bereits verlassen hat und in den Tiefen des globalen Netzwerks verschwunden ist? Hier stellt sich die schmerzhafteste rechtliche und wirtschaftliche Frage: Wer trägt den Schaden? Ist es die Bank, die die verdächtige Überweisung nicht gestoppt hat? Ist es die Versicherungsgesellschaft, die die Berufshaftpflichtversicherung unterzeichnet hat? Oder vielleicht der Buchhalter und die Finanzabteilung, die den Betrug nicht erkannt haben?

Die Geschichte des Infrastrukturunternehmens: Wenn die Versicherung "Nein" sagt

Das Unternehmen steckte mitten in einem komplexen Brückenbauprojekt. Ihr Hauptlieferant, ein italienisches Unternehmen, schickte eine E-Mail mit der Aktualisierung der Bankverbindung aufgrund einer "internen Rechnungsprüfung". Die Finanzchefin sah das bekannte Logo, den höflichen Schreibstil des Verkaufsleiters und gab die Überweisung des Geldbetrags auf das neue Konto frei.

Drei Tage später, als der Lieferant eine Mahnung wegen Nichtzahlung schickte, wurde das Ausmaß der Katastrophe deutlich. Hacker waren in das E-Mail-Postfach des Lieferanten (oder des Infrastrukturunternehmens – das musste noch geprüft werden) eingedrungen, hatten den Schriftverkehr über einen Zeitraum verfolgt und im entscheidenden Moment die gefälschte Rechnung mit ihren eigenen Bankdaten "eingeschleust".

In einem Treffen mit dem Versicherungsmakler wurde dem Geschäftsführer mitgeteilt, dass eine Berufshaftpflicht- und eine grundlegende Cyberversicherung bestünden und daher Deckungsschutz gegeben sei. Doch kurz darauf traf der Brief der Versicherungsgesellschaft ein. Die Antwort war eine Ablehnung des Anspruchs.

"Gemäß den Bedingungen der Police", hieß es im Ablehnungsschreiben, "deckt die Versicherung keine Schäden ab, die durch 'Social Engineering' oder eine freiwillige Überweisung von Geldern durch den Versicherten entstehen, sofern hierfür keine spezifische Erweiterung erworben wurde. Darüber hinaus wird geltend gemacht, dass der Versicherte es versäumt hat, die vertraglich vereinbarte telefonische Überprüfung durchzuführen, was als Fahrlässigkeit ausgelegt werden kann."

In diesem Moment wurde klar, dass der Kampf nicht nur gegen die Betrüger stattfand, sondern auch innerhalb des Rechts- und Versicherungssystems. Es war ein rechtliches "Bermudadreieck" entstanden: Die Versicherungsgesellschaft behauptet, das Unternehmen habe fahrlässig gehandelt; die Bank behauptet, sie habe die Anweisungen des Kunden befolgt; und der Lieferant verlangt sein Geld und droht mit dem Baustopp.

Dies ist der Punkt, an dem Recht und Realität aufeinandertreffen. In diesem Kapitel analysieren wir die potenzielle Haftung jedes Akteurs auf dem Spielfeld und verstehen, warum das Wort "Versicherung" manchmal nur der Beginn einer komplexen juristischen Reise ist.

Das schwarze Loch in Versicherungspolicen: Berufshaftpflicht versus Cyberversicherung

Einer der zentralen Fehler, auf die wir während unserer langjährigen Berufspraxis bei der Vertretung von Unternehmen, die Opfer von Betrug wurden, stoßen, ist das fehlende Verständnis der Unterschiede zwischen den Arten des Versicherungsschutzes. Viele Geschäftsinhaber glauben, dass eine "Berufshaftpflichtversicherung" eine Art Versicherungsschein für jeden menschlichen Fehler sei. Die rechtliche Realität ist komplexer.

Eine Berufshaftpflichtversicherung soll Schäden abdecken, die einem Dritten durch einen beruflichen Fehler des Versicherten entstanden sind. Wenn es jedoch um digitalen Betrug geht, bei dem das Unternehmen selbst sein Geld verloren hat, können Versicherungsgesellschaften argumentieren, dass es sich um einen reinen Vermögensschaden des Unternehmens handelt und nicht um eine Haftpflicht gegenüber einem Dritten, die unter "Berufshaftpflicht" gedeckt ist.

Hier kommt die "Cyberversicherung" ins Spiel. In den letzten Jahren ist diese Versicherung zu einem gängigen Produkt geworden. Doch genau hier liegt die Falle: Viele Standard-Cyberpolicen decken Schäden an Computersystemen, Kosten für die Datenwiederherstellung und möglicherweise entgangenen Gewinn durch Betriebsunterbrechungen ab. Sie beinhalten nicht notwendigerweise und automatisch Überweisungen, die aufgrund von Betrug getätigt wurden.

Der Fachbegriff, den man kennen muss, ist Social Engineering Fraud. Versicherungsgesellschaften können eine solche Überweisung als "freiwillige Überweisung" werten. Aus ihrer Sicht ist es der Mitarbeiter, der die technischen Schritte zur Genehmigung der Überweisung durchgeführt hat. Ohne eine spezifische Erweiterung für Social-Engineering-Betrug kann die Möglichkeit einer Entschädigung durch die Versicherungsgesellschaft äußerst schwierig sein.

Darüber hinaus stellen Versicherungsgesellschaften Schwellenwerte auf. Sie können vom Unternehmen verlangen, nachzuweisen, dass interne Kontrollen angewendet wurden – zum Beispiel eine telefonische Bestätigung jeder Änderung der Bankverbindung bei einer autorisierten Stelle des Lieferanten. Wenn dies nicht erfolgt ist, kann die Versicherung eine Risikoerhöhung oder Fahrlässigkeit seitens des Versicherten geltend machen, was den Anspruch auf Entschädigung gemäß dem Versicherungsvertragsgesetz beeinflussen kann.

Die Haftung der Bank: Hat der Wächter bei der Arbeit geschlafen?

Wenn Schwierigkeiten mit der Versicherungsgesellschaft auftreten, richtet sich die Aufmerksamkeit manchmal auf die Bank. Es stellt sich die Frage, wie die Bank eine Überweisung in erheblicher Höhe an ein ungewöhnliches Ziel ohne weitere Prüfung zulassen konnte.

Die rechtliche Frage lautet, was die "Sorgfaltspflicht" der Bank gegenüber ihrem Kunden ist. Einerseits ist die Bank verpflichtet, die Anweisungen des Kunden auszuführen. Eine Verzögerung einer Überweisung könnte geschäftliche Schäden verursachen. Andererseits verfügt die Bank über Überwachungssysteme, die ungewöhnliche Aktivitäten erkennen sollten.

Die rechtliche Analyse zu diesem Thema befindet sich in der Entwicklung. In der Vergangenheit war die vorherrschende Ansicht, dass die Verantwortung beim Kunden liegt, der die Anweisung erteilt hat. Doch heute ist ein Trend zur Prüfung einer erhöhten Sorgfaltspflicht der Banken zu beobachten. Unter bestimmten Umständen, wenn die Überweisung auffällig ungewöhnlich ist – zum Beispiel ein Ziel in einem Risikoland, ein Betrag, der nicht der Kontohistorie entspricht, oder Begünstigtendaten, die nicht mit dem Namen des Kontoinhabers übereinstimmen –, könnte die Haftung der Bank geprüft werden, wenn sie keine ausreichende Überprüfung durchgeführt hat.

Es ist jedoch wichtig, die Einschränkung zu verstehen: In internationalen Überweisungssystemen agieren Banken meist nach Kontonummern und prüfen nicht immer die vollständige Übereinstimmung mit dem Namen des Begünstigten. Eine Analyse der rechtlichen Möglichkeiten ergibt, dass die Bank nicht immer pauschal verpflichtet ist, jede solche Übereinstimmung zu prüfen, und die Verantwortung für die Eingabe korrekter Details meist beim Kunden verbleibt.

Fälle, in denen eine Haftung der Bank geprüft werden kann, sind solche, bei denen es klare "rote Flaggen" gab, die ignoriert wurden, oder Fälle, in denen die Bank ihre Versprechen für eine verstärkte Prüfung nicht eingehalten hat.

Die Haftung des Wirtschaftsprüfers und der Buchhaltung

Der dritte Akteur in der Debatte ist die professionelle Ebene, die die Finanzen verwaltet. In einem Betrugsszenario kann sich die Frage nach der Haftung der Wirtschaftsprüferkanzlei oder der Buchhalter stellen.

Sollte ein Wirtschaftsprüfer bei einer jährlichen Prüfung einen solchen Betrug erkennen? Normalerweise lautet die Antwort nein, da es seine Aufgabe ist, Finanzberichte zu prüfen. Bei der laufenden Buchführung kann die Verantwortung jedoch größer sein. Wenn die Fachkraft eine verdächtige E-Mail bemerkt und keine Fragen gestellt hat oder keine grundlegenden Arbeitsabläufe wie das "Vier-Augen-Prinzip" festgelegt wurden, könnte der Vorwurf einer Berufsfahrlässigkeit erhoben werden.

In einem solchen Fall wird die Berufshaftpflichtversicherung der Fachkraft geprüft. Wenn Fahrlässigkeit nachgewiesen wird, könnte man prüfen, ob man Ansprüche gegenüber deren Versicherung geltend machen kann, wenngleich Versicherungsgesellschaften sich auf Ausschlüsse aufgrund der Art der Handlung oder ein Mitverschulden des Geschäftsinhabers berufen könnten.

Die rechtliche Perspektive: Gesetze und Regeln zur Haftungsverteilung

Bei der juristischen Analyse solcher Fälle werden mehrere Quellen geprüft:

1. Versicherungsvertragsgesetz: Es wird geprüft, ob die Versicherungsgesellschaft ihrer Aufklärungspflicht nachgekommen ist. Wurde dem Versicherten erklärt, was die Cyberversicherung beinhaltet? Wurden Ausschlüsse wie gesetzlich erforderlich hervorgehoben? Beschränkungen, die nicht hervorgehoben wurden, könnten bei einer rechtlichen Prüfung manchmal für nichtig erklärt werden.
2. Schadenersatzrecht: Prüfung der unerlaubten Handlung der Fahrlässigkeit. Wurde die Sorgfaltspflicht seitens der Bank oder der Versicherungsgesellschaft verletzt? War der Schaden vorhersehbar und vermeidbar?
3. Zahlungsdienstegesetz: Dieses Gesetz regelt die Haftung bei Missbrauch von Zahlungsmitteln. Seine Prinzipien fließen auch in die Welt der Banküberweisungen ein, insbesondere bei der Definition von Fahrlässigkeit seitens des Kunden.
4. Doktrin des "Mitverschuldens": Banken und Versicherungen neigen dazu zu argumentieren, dass die Hauptschuld beim Unternehmen liegt, das aufgrund einer gefälschten E-Mail gehandelt hat. In einer Analyse der rechtlichen Möglichkeiten könnte das Gericht die Verantwortung entsprechend den Umständen des Falles zwischen den Parteien aufteilen.

Warnsignale vor Deckungsschwierigkeiten

• Angebot für eine extrem günstige Cyberversicherung: Diese enthält möglicherweise keinen Schutz gegen Finanzbetrug (Funds Transfer Fraud).
• Fehlen eines Anhangs für "Social Engineering": Ohne einen solchen ausdrücklichen Schutz könnte das Unternehmen im Falle einer Identitätstäuschung nicht geschützt sein.
• Fehlende Sicherheitsanforderungen der Bank: Wenn keine verstärkten Genehmigungsmechanismen definiert wurden, könnte dies eine Sicherheitslücke darstellen.
• Übermäßiges Vertrauen in die Versicherung: Die Annahme, dass die Versicherung alles abdeckt, ohne Vorsichtsmaßnahmen zu treffen, ist ein erhebliches Risiko.

Empfohlene Maßnahmen bei Identifizierung eines Ereignisses (Versicherungs- und Haftungsaspekt)

1. Sofortige Mitteilung an den Versicherer: Eine rechtzeitige Mitteilung ist entscheidend für die Prüfung des Anspruchs. Jede Kommunikation muss dokumentiert werden.
2. Dokumentation der Arbeitsabläufe: Das Sammeln von Beweisen für die Einhaltung gängiger Verfahren kann bei der Abwehr von Fahrlässigkeitsvorwürfen helfen.
3. Dringende Kontaktaufnahme zur Bank: Schriftliche Forderung und Telefonate (mit Protokollierung) zum Stopp der Gelder (Recall). Die Reaktionsgeschwindigkeit der Bank kann ihre Haftung beeinflussen.
4. Untersuchung durch einen Cyber-Experten: Ein unabhängiger Experte kann helfen, den Ursprung der Sicherheitslücke zu bestimmen, was ein wichtiger Baustein bei der Klärung der Haftung ist.
5. Prüfung der Lieferantenhaftung: Wenn die Quelle des Betrugs im E-Mail-Postfach des Lieferanten liegt, kann dessen Haftung für den Schaden geprüft werden.

Rechtliche Perspektive: Zusammenfassung des Lehrszenarios

In einem möglichen Szenario könnten die Parteien nach Prüfung der Beweise und der Führung eines Gerichtsverfahrens zu einem Vergleich gelangen. Die Bank könnte einen Teil des Schadens tragen, wenn nachgewiesen wird, dass ihre Systeme verdächtige Anzeichen erkannt haben, die nicht ordnungsgemäß behandelt wurden. Die Versicherungsgesellschaft könnte sich bereit erklären, einen Teil des Schadens zu ersetzen, wenn sich herausstellt, dass Ausschlüsse in der Police für den Versicherten nicht deutlich genug waren.

Die Botschaft, die sich aus den verschiedenen Fällen über die Jahre ergibt, ist, dass Gerichte die Haftung von Finanzinstituten möglicherweise erweitern, die Erfolgsaussichten jedoch von den Umständen und dem Grad der Sorgfalt abhängen, die der Geschäftsinhaber angewandt hat. Das Recht soll denjenigen schützen, der mit angemessener Sorgfalt handelt und dennoch Opfer einer außergewöhnlichen Raffinesse wurde.

Im nächsten Kapitel werden wir den Aufbau eines "Schutzplans für Unternehmen" besprechen – einschließlich rechtlicher und versicherungsrechtlicher Aspekte – mit dem Ziel, das Risiko eines Gerichtsverfahrens von vornherein zu minimieren. Wie aus vielen Fällen hervorgeht, ist professionelle Prävention das wirksamste Instrument.