Markt + Trends | IT-Sicherheit | iX

Urteil zu Cyberversicherungen bei Pass-the-Hash-Angriffen

Muss ein Versicherer zahlen, wenn das versicherte Unternehmen zwar vor Vertragsabschluss bestätigt, dass es verfügbare Sicherheitsupdates einspielt, es aber nicht macht?

Gerichtsurteile zu Cyberversicherungen sind selten. Umso aufmerksamer wurde das Urteil des Landgerichts Tübingen vom 26. Mai 2023 (Az. 4 O 193/21) zur Frage der Einstandspflicht eines Cyberversicherers für einen Pass-the-Hash-Angriff in Fachkreisen zur Kenntnis genommen.

Beim Angriff, der Gegenstand des Rechtsstreits war, schafften es die Täter, eine bekannte Windows-Schwachstelle auszunutzen und so an Administratorrechte für Server des betroffenen Unternehmens zu gelangen. Die Versicherung verweigerte es, für den Schaden aufzukommen, mit dem Verweis darauf, dass nicht auf allen Servern die aktuellen Sicherheitsupdates aufgespielt waren. Der durch den Hackerangriff entstandene Schaden belief sich auf mehrere Millionen Euro. Hierauf verklagte das geschädigte Unternehmen den Cyberversicherer.