Cyberkriminelle nehmen inzwischen auch Arztpraxen ins Visier. Daher kann sich eine Cyberversicherung lohnen. Experten geben Auskunft, für wen die Versicherung sinnvoll sein kann, worauf es bei der Auswahl ankommt – und worauf man beim Kleingedruckten achten sollte.

©Adobe Stock/Sky view Nach Einschätzung des Bundesamts für Sicherheit in der Informationstechnik (BSI) sind Cyberangriffe nicht mehr nur ein Problem großer Kliniken.

Was leistet eine Cyberversicherung?

Mit einer Cyberversicherung können sich Ärztinnen und Ärzte gegen Schäden absichern, die durch Cyberangriffe entstehen. Der Schutz umfasst zum einen sogenannte Drittschäden – also solche Schäden, die Dritten durch einen Cybervorfall bei einer Praxis entstehen. Das kann zum Beispiel der Fall sein, wenn Daten von Patientinnen und Patienten öffentlich werden. Patienten können dann auf Schadenersatz klagen. Zum anderen ermöglicht die Cyberversicherung es, sogenannte Eigenschäden abzusichern – also Kosten, die in der Praxis durch einen Cyberangriff entstehen. Dazu zählen beispielsweise die Kosten für neue Soft- und Hardware. Weitere Kosten, die abgedeckt sein können, sind beispielsweise Ausgaben für Dienstleister, die untersuchen, wie ein Angreifer eingedrungen ist. Teil des Angebots kann auch der IT-Support durch einen Dienstleister der Cyberversicherung sein.

Ein weiterer Baustein kann in der Absicherung gegen Ertragsausfälle bestehen. Im Rahmen bestimmter Tarife können auch Gehälter der Beschäftigten sowie Mietkosten während der Ausfallzeit erstattet werden. Dabei gilt der Versicherungsschutz mitunter nicht nur bei Angriffen auf die Praxis selbst, sondern auch bei Dienstleistern. „Die Versicherung greift in der Regel auch dann, wenn zum Beispiel die Praxissoftware aufgrund eines Hackerangriffs ausfällt“, sagt Hanno Pingsmann, Geschäftsführer von Cyberdirekt, einer digitalen Plattform für Cyberversicherungen.

Die Versicherung kann zudem die Kosten für die Rechtsberatung abdecken. „Das ist häufig nötig, weil es bei einem Cybervorfall häufig auch zu Datenschutzverletzungen kommt“, sagt Hanno Pingsmann. Bestimmte Cyberschutz-Tarife decken zudem die Kosten für PR-Arbeit ab. Denn insbesondere wenn größere Praxen oder MVZ betroffen sind, gehen diese häufig im Zuge des Vorfalls an die Öffentlichkeit. Auch ein Schutz gegen Lösegeldforderungen ist mitunter Teil der Cyberversicherung.

Brauchen Arztpraxen eine Cyberversicherung?

So wie bei vielen anderen Versicherungen stellt sich auch bei der Cyberversicherung die Frage, ob Ärztinnen und Ärzte sie tatsächlich benötigen. Entscheidend für die Antwort ist unter anderem, wie hoch das Risiko eines Cybervorfalls ist. Nach Einschätzung des Bundesamts für Sicherheit in der Informationstechnik (BSI) sind Cyberangriffe nicht mehr nur ein Problem großer Kliniken. Auch kleinere Hausarzt-, Facharzt-, Zahnarzt- und Psychotherapiepraxen geraten demnach zunehmend ins Visier von Cyberkriminellen. Dass es in Arztpraxen zahlreiche Sicherheitslücken gibt, hatte das BSI in einer früheren Untersuchung offengelegt. Zu den Sicherheitsmängeln zählte beispielsweise, dass Computer in Praxen kein Virenschutzprogramm hatten oder die Programme veraltet waren.

IT-Berater Mark Peters hielt Cyberversicherungen für viele Arztpraxen lange Zeit für unnötig. Peters berät Arztpraxen rund um das Thema Cybersicherheit, vermittelt aber keine Versicherungen. Kleine Arztpraxen mit ein, zwei Teilzeitkräften könnten sich weiterhin überlegen, das Geld lieber zu sparen, statt es für die Absicherung auszugeben, sagt Peters. Größeren Praxen sowie MVZ rät er inzwischen, in jedem Fall eine Cyberversicherung abzuschließen. Der Grund für sein Umdenken: die neue Rolle von künstlicher Intelligenz (KI) bei Cyberangriffen. „Durch KI sind die Angriffe schneller und gefährlicher geworden“, sagt der unabhängige Berater von Praxismanagement Bublitz-Peters aus Heidelberg. „Die Risiken haben daher zugenommen.“

Selbst wenn man die gestiegenen Risiken berücksichtigt, stellt sich die Frage: Springt im Fall der Fälle nicht die Berufshaftpflichtversicherung ein? In der Regel dürfte das nicht der Fall sein, so die Erfahrung von Hanno Pingsmann. Denn große Versicherer wie die Allianz und HDI hätten in den vergangenen Jahren Cyberrisiken aus ihren Berufshaftpflichtversicherungen herausgenommen.

Auch nach Einschätzung von Versicherungsberater Jörg Deppner decken andere Versicherungsformen die Cyberrisiken nur teilweise ab – das gelte sowohl für die Berufshaftpflichtversicherung als auch die Vertrauensschadensversicherung. Es könne zwar sein, dass einzelne Elemente damit abgesichert würden. „Ohne Cyberschutzversicherung kann es jedoch passieren, dass gewisse Datenschutzrisiken nicht abgedeckt sind“, sagt Deppner, der auf Honorarbasis arbeitet und keine Provisionen von Versicherungen erhält.

Der zusätzliche IT-Service kann ein weiteres Argument dafür sein, eine Cyberversicherung abzuschließen, so Mark Peters. „Cyberangriffe finden oft an Feiertagen, abends oder am Wochenende statt – und dann erreichen manche Praxen ihre IT-Dienstleister nicht“, sagt er. Die Dienstleister der Cyberversicherungen böten hingegen häufig einen Service an, der an sieben Tagen die Woche rund um die Uhr zu erreichen sei. Zudem übernähmen diese IT-Dienstleister Aufgaben, die die regulären IT-Dienstleister von Praxen häufig nicht erledigen könnten – etwa die genaue Analyse des Eindringens der Angreifer.

Was kostet eine Cyberversicherung?

Die Preise für die Versicherungen unterscheiden sich je nach Anbieter, Umfang und Selbstbehalt deutlich. Ein Beispiel: Bei einer Deckungssumme von 500.000 Euro und einem Selbstbehalt von 1.000 Euro berechnet der günstigste Anbieter auf der Plattform Cyberdirekt einen Jahresbeitrag von 600 Euro. Der teuerste Tarif kostet mit fast 1.200 Euro nahezu doppelt so viel.

Bei der Recherche nach einem passenden Tarif sollte man auch prüfen, ob der eigene Berufsverband seinen Mitgliedern Sonderkonditionen bei einem Versicherer bietet.

Was sollte man prüfen, bevor man eine Cyberversicherung abschließt?

Wer eine Cyberversicherung abschließen möchte, muss vorab einige Bedingungen erfüllen. Dazu zählen nicht nur die Vorgaben aus der IT-Sicherheitsrichtlinie der Kassenärztlichen Bundesvereinigung. Ärztinnen und Ärzte müssen auch eine Checkliste der Versicherung durchgehen, mit der Mindestanforderungen geprüft werden. „Diese Mindestanforderungen sind bei allen Anbietern relativ ähnlich“, sagt Cybersicherheitsexperte Mark Peters. Wichtig ist, diese Checkliste sehr genau durchzulesen und die Fragen richtig zu beantworten. Andernfalls kann es im Schadensfall passieren, dass die Versicherung nicht zahlt.

Viele Fragen der Checklisten beziehen sich auf den Stand der Technik, etwa zur Datensicherung. „Ärztinnen und Ärzte können dann dazu verleitet sein, unüberlegt anzukreuzen, dass sie die Anforderungen an die Datensicherung erfüllen“, sagt Peters. Man müsse aber immer auf die Obliegenheiten im Kleingedruckten achten, also die Pflichten aus dem Versicherungsvertrag. „Wenn die Datensicherung nicht genau so erfolgt, wie gefordert, erhält man im Schadensfall kein Geld“, so Peters. Er empfiehlt daher, sich vom eigenen IT-Dienstleister bestätigen zu lassen, dass die Arztpraxis alle Pflichten so erfüllt, wie der Versicherer sie vorschreibt.

Auch Versicherungsberater Jörg Deppner rät, sich die Risikofragen – wie etwa nach Firewall und Virenschutz, Softwareaktualität und Schulungen – sehr genau anzuschauen. „Die Fragen sollten eindeutig formuliert sein“, sagt Deppner. Es gebe immer wieder gerichtliche Auseinandersetzungen zu diesem Thema. Versicherer würden sich darauf berufen, nicht zahlen zu müssen, weil die Fragen angeblich nicht richtig beantwortet wurden. „Dabei zeigt sich häufig, dass der Kunde die Frage etwas anders verstanden hat, als der Versicherer sie gemeint hat“, sagt Deppner.

Hinsichtlich der Pflichten kommt inzwischen auch das Thema KI ins Spiel. Wer KI-gestützte Anwendungen einsetzt, muss auch mit Blick auf die Cyberversicherung darauf achten, dass die Mitarbeiterinnen und Mitarbeiter die erforderlichen Schulungen absolviert haben – beispielsweise zur KI-Kompetenz.

Worauf sollten Ärztinnen und Ärzte bei der Auswahl einer Cyberversicherung achten?

Nicht nur bei den Risikofragen vor dem Abschluss des Versicherungsvertrags (siehe oben), sondern auch bei den technischen und organisatorischen Obliegenheiten während der Vertragslaufzeit sollten Ärztinnen und Ärzte genau auf die Formulierungen achten. „Ich lege großen Wert darauf, dass die Pflichten sehr dezidiert und nicht pauschal beschrieben sind“, sagt Jörg Deppner. Soll der Versicherte beispielsweise Datensicherungen „nach dem aktuellen Stand der Technik“ vorhalten? Bei einer derart allgemein gehaltenen Formulierung wie dieser läuten bei Deppner die Alarmglocken. „Das bietet Versicherern natürlich sehr viel Interpretationsspielraum zu ihren Gunsten.“

Besonders genau sollten Ärzte auch auf die Formulierung beim Ausschluss von Leistungen im Kriegsfall achten, sagt Deppner. Denn inzwischen könnten diese Klauseln tatsächlich greifen, weil sich kriegerische Auseinandersetzungen auf das Internet ausgedehnt haben. Wenn ein Versicherer etwa nachweise, dass eine russische Hackergruppe für einen Angriff verantwortlich sei, könnte das einen Ausschluss nach sich ziehen. „Problematisch sind Formulierungen, die pauschal auf Gruppierungen aus Ländern abstellen, in denen im Moment Krieg herrscht oder die sich im Kriegszustand befinden“, sagt Versicherungsberater Deppner.

Cyberversicherungsexperte Hanno Pingsmann rät zudem, darauf zu achten, dass die Auslöser für einen Schaden möglichst weitgehend formuliert sind. So könne etwa „jede Art von Angriff und Eingriff“ eine solche weitreichende Formulierung für einen Schadensauslöser sein. Andere Versicherer wiederum schreiben abschließende Aufzählungen in ihre Verträge, sodass bestimmte Schadensauslöser davon nicht umfasst sein können. 

Ein weiteres Auswahlkriterium sollte sein, ab wann Cyberversicherungen für Einkommensausfälle bei IT-Ausfällen zahlen, empfiehlt Praxisberater Mark Peters. Manche Versicherer kompensierten Einkommensausfälle bereits direkt nach dem Beginn des Cybervorfalls. Das kann Peters‘ Einschätzung nach sinnvoll sein. „Je nach Fachrichtung kann der Ausfall schon sehr schnell sehr teuer werden“, begründet er seinen Rat. Ärzte sollten zudem darauf achten, dass die technischen Hotlines der Versicherungen jederzeit erreichbar sind. Eine Erreichbarkeit innerhalb von 24 Stunden nütze wenig, wenn der IT-Dienstleister im Fall der Fälle erst gegen Ende dieses Zeitraums tätig werde. 

Je nach Größe der Praxis können auch „Full-Service-Pakete“ der Versicherer interessant sein. Immer mehr Anbieter schnüren inzwischen Pakete mit Schulungen, Rechner-Checks, regelmäßigen Spam-Mail-Tests und weiteren Serviceangeboten. Dabei sei einerseits ein „kritischer Blick auf die ,Full-Service-Pakete‘ durchaus angebracht“, sagt Mark Peters. „Insbesondere bei Arztpraxen ohne Website oder mit wenig Personal.“ Diese könnten die Dienstleistungen unter Umständen günstiger einkaufen. Für größere Versorgungsstrukturen andererseits würden die Unterstützungsleistungen zur Prävention von Cyberkriminalität „einen echten Mehrwert darstellen“.

Mit Blick auf die Versicherungssumme empfiehlt Jörg Deppner, diese ruhig etwas großzügiger zu bemessen. Ob die Summe beispielsweise 750.000 Euro statt 500.000 Euro betrage, wirke sich preislich nicht so stark aus. „Die Preisunterschiede sind eher marginal“, sagt er.

Worauf sollte man sonst bei einer Cyberversicherung achten?

In einer Arztpraxis kann sich im Laufe der Zeit einiges bei der digitalen Ausstattung ändern. Ärztinnen und Ärzte müssen dann prüfen, ob sich diese Änderungen auf die Cyberversicherung auswirken. Das könne beispielsweise der Fall sein, wenn ein Arzt seine Daten vom Praxis-Server im Kellerraum in die Cloud verlagere. „Das wäre ein Umstand, den man mitteilen müsste“, sagt Jörg Deppner.