Kurzantwort: Ersetzt eine Police die andere?
Meist nicht. Eine Betriebshaftpflicht ist primär auf versicherte Personen- und Sachschäden Dritter sowie daraus folgende Vermögensschäden ausgerichtet. Eine Cyberversicherung kann definierte digitale Eigen- und Haftpflichtschäden sowie Incident Response erfassen.
Das ist keine allgemeine Deckungszusage. Manche Betriebshaftpflichtpolicen enthalten Erweiterungen für Datenschutz oder reine Vermögensschäden; andere schliessen Cyberereignisse ausdrücklich aus. Auch eine Cyberpolice deckt nicht jedes digitale Ereignis. Massgebend sind beide Verträge.
Welche Police kann bei welchem Szenario relevant sein?
| Szenario | Betriebshaftpflicht | Cyberversicherung | Zusätzlich prüfen |
|---|---|---|---|
| Personen- oder Sachschaden bei Dritten | Häufig Kernbereich, wenn versichert | Häufig ausgeschlossen oder begrenzt | Produkt-, Berufs- und Sachversicherung |
| Eigene Daten- und Systemwiederherstellung | Regelmässig nicht Zweck der Haftpflicht | Möglich, wenn Baustein und Ereignis versichert | IT-Verträge, Backups und Sachversicherung |
| IT-bedingter Betriebsunterbruch | Nur bei passendem versicherten Auslöser oder Zusatz | Möglich bei versichertem Cyberereignis | Wartefrist, Haftzeit und Dienstleisterausfall |
| Anspruch wegen Datenschutzverletzung | Je nach Erweiterung oder Ausschluss | Möglich über Cyberhaftpflicht | Geltendes Recht, Verteidigungskosten und Sublimit |
| Malware gelangt zu Kunden | Je nach Haftpflichtwortlaut | Möglich bei versicherter Netzwerksicherheitsverletzung | Ursache, Verschulden und andere Versicherungen |
| Fehlerhafte IT-Dienstleistung | Eher Berufs-/IT-Haftpflicht als allgemeine Betriebshaftpflicht | Nicht automatisch versichert | Leistungsbeschreibung und vertragliche Haftung |
| Phishing oder CEO-Fraud | Nicht automatisch versichert | Häufig nur optional und mit Bedingungen | Vertrauensschaden-/Crime-Deckung und Zahlungsprozess |
| Cyberereignis verursacht physischen Schaden | Kann mehrere Sparten betreffen | Körper- und Sachschäden oft ausgeschlossen | Sach-, Betriebs-, Produkt- und Spezialdeckungen |
Die richtige Frage lautet daher nicht «Welche Versicherung zahlt immer?», sondern: Welcher konkrete Vertrag reagiert auf welches Ereignis, welche Kosten und welche Anspruchsart?
Wo entstehen echte Deckungslücken?
Lücken entstehen häufig, wenn:
- eigene Wiederherstellungs- oder Forensikkosten in keiner Police genannt sind;
- reine Vermögensschäden oder digitale Daten vom Haftpflichtwortlaut ausgeschlossen sind;
- die Cyberpolice nur Eigenschäden, aber keine Ansprüche Dritter umfasst;
- Social Engineering, nicht böswilliger Systemausfall oder Cloud-Ausfall fehlen;
- Körper- und Sachschäden aus einem Cyberereignis zwischen mehreren Sparten liegen;
- IT-Dienstleistungen erbracht werden, aber keine passende Berufshaftpflicht besteht;
- Limiten, Sublimiten, Selbstbehalte oder Wartefristen den erwarteten Bedarf nicht abbilden;
- unterschiedliche Versicherer sich auf «andere Versicherungen» oder fehlende Zuständigkeit berufen.
Eine Überschneidung ist nicht zwingend schlecht. Sie muss aber vor dem Schadenfall geklärt sein, damit Meldewege, Kostenfreigabe und Federführung bekannt sind.
Policen in vier Schritten prüfen
1. Alle Verträge zusammenstellen
Beziehen Sie Betriebshaftpflicht, Berufshaftpflicht, Sach- und Betriebsunterbruch, Vertrauensschaden/Crime sowie bestehende Cyberbausteine ein. Produktnamen allein genügen nicht; benötigt werden Police, Allgemeine und Besondere Bedingungen sowie Nachträge.
2. Konkrete Szenarien zuordnen
Prüfen Sie mindestens Ransomware, Datenabfluss, Fehlüberweisung, Cloud-Ausfall, Fehler eines IT-Dienstleisters, Malware bei Kunden und einen physischen Folgeschaden. Ordnen Sie je Szenario Eigenkosten, Drittforderungen und Soforthilfe getrennt zu.
3. Bedingungen vergleichen
Erfassen Sie pro Baustein:
- versicherten Auslöser und Schadenbegriff;
- Gesamtlimite, Sublimit, Selbstbehalt und Wartefrist;
- Rückwärtsdeckung, Nachmeldefrist und Geltungsgebiet;
- Ausschlüsse und Sicherheitsvoraussetzungen;
- zugelassene Dienstleister und Zustimmungspflichten;
- Regelung bei mehreren Versicherungen.
4. Unklarheiten schriftlich klären
Lassen Sie sich keine pauschale Aussage wie «Cyber ist eingeschlossen» bestätigen. Beschreiben Sie das Szenario und fragen Sie, welcher Vertragsabschnitt welche Kosten erfasst. Unser Deckungsleitfaden bietet dafür eine Modul-Checkliste; aktuelle Preise sind nur mit vergleichbaren Offerten belastbar.
Meldewege im Cybervorfall
Versicherungsverträge können eigene kurze Meldefristen, Notfallkontakte und Zustimmungsvorbehalte vorsehen. Melden Sie den Sachverhalt bei unklarer Zuständigkeit nach den jeweiligen Vertragsregeln an alle möglicherweise betroffenen Versicherer und dokumentieren Sie den Ablauf.
Behördenmeldungen sind davon getrennt:
- Nach Art. 24 DSG ist eine Datensicherheitsverletzung dem EDÖB so rasch als möglich zu melden, wenn voraussichtlich ein hohes Risiko für Betroffene besteht. Es gilt keine allgemeine feste Stundenfrist.
- Die 24-Stunden-Meldepflicht ans BACS gilt nur für erfasste Betreiber kritischer Infrastrukturen und meldepflichtige Cyberangriffe.
Der Ratgeber zur Meldepflicht erläutert beide Prüfungen.
Häufige Fragen
Deckt die Betriebshaftpflicht Phishing?
Nicht pauschal. Eine fehlgeleitete Zahlung ist häufig weder klassischer Personen- noch Sachschaden. Ob eine Cyber-, Vertrauensschaden- oder andere Deckung greift, hängt von Ereignisdefinition, Betrugsbaustein, Authentifizierungsregeln und Sublimit ab.
Reicht die Haftpflicht meines IT-Dienstleisters?
Nein, darauf sollte sich das Unternehmen nicht verlassen. Sie kann bestimmte vom Dienstleister verursachte Fehler decken, ersetzt aber weder die eigene Incident Response noch automatisch eigene Ausfälle, Datenwiederherstellung oder alle Ansprüche gegen Ihr Unternehmen.
Braucht jedes KMU beide Policen?
Das lässt sich ohne Risiko- und Vertragsprüfung nicht seriös beantworten. Relevant sind Tätigkeit, IT-Abhängigkeit, Daten, mögliche Drittforderungen, finanzielle Reserven und bestehende Erweiterungen. Ziel ist eine dokumentierte Zuordnung der wesentlichen Szenarien, nicht der Kauf eines Produktnamens.
Offizielle Quellen
- FINMA: Rechtsgrundlagen für Versicherungsverträge und Versicherungsunternehmen
- EDÖB: Leitfaden zu Art. 24 DSG
- BACS: Meldepflicht für kritische Infrastrukturen
Inhaltlich geprüft am 18. Juli 2026. Dieser Vergleich ist keine Deckungs- oder Rechtszusage; die konkreten Vertragsbedingungen sind entscheidend.