Cyber-Ausschluss Sach (LMA5400/CL380)

Zweck

Klassische Sachpolicen schweigen historisch zu Cyber-Risiken, was als “stille” (non-affirmative) Cyber-Deckung ohne gesonderte Prämie zu unkalkulierten Kumulrisiken für Versicherer führte. Aufsichtsbehörden wie die Prudential Regulation Authority und Lloyd’s forderten deshalb, Cyber-Risiken in allen Sachpolicen entweder ausdrücklich einzuschliessen oder auszuschliessen. Der Cyber-Ausschluss setzt diese Forderung um, indem er Cyber-Verluste konsequent aus der Sachdeckung herausnimmt.

Wirkung und Grenzen

Die ältere Klausel CL380 (“Institute Cyber Attack Exclusion Clause”) ist knapp gefasst, enthält mehrere undefinierte Begriffe und wird gerichtlich uneinheitlich ausgelegt; sie eignet sich vor allem für Transportpolicen. Die 2019 von der Lloyd’s Market Association veröffentlichte LMA5400 differenziert präziser zwischen einer böswilligen “Cyber Act” und einem nicht-böswilligen, betrieblichen “Cyber Incident”: Für Letzteres bleibt ein begrenzter Rückeinschluss für Folgebrand oder -explosion bestehen, während bei böswilligen Angriffen jegliche Folgeschäden ausgeschlossen sind. Kosten für Wiederherstellung oder Kopieren von Daten aus Sicherungen sind in beiden Fällen regelmässig eingeschlossen. Die schärfere Schwesterklausel LMA5401 schliesst dagegen jede Cyber-Exposition absolut aus, ohne Rückeinschluss für Brand oder Explosion.

Verhandlung und Praxis

Unternehmen mit signifikanter IT-Abhängigkeit sollten prüfen, welche der Klauselvarianten (CL380, LMA5400 oder LMA5401) im Vertrag verwendet wird, da dies über die Restdeckung für Cyber-verursachte Sachschäden entscheidet. Eine eigenständige Cyber-Versicherung mit expliziter Deckung für Betriebsunterbrechung, Wiederherstellungskosten und Haftpflicht ist regelmässig erforderlich, um die durch den Ausschluss entstehende Lücke zu schliessen.