Unsichtbares Risiko: Cyberangriff auf Kraftfahrzeuge

Die Digitalisierung von Kraftfahrzeugen schreitet immer weiter voran. Fahrzeuge werden zukünftig in der Lage sein, alle wesentlichen Funktionen zur Steuerung eines Fahrzeugs selbstständig auszuführen. Bereits heute gibt es eine Vielzahl von Assistenzsystemen im Fahrzeug. Mit der zunehmenden Automatisierung der Fahrzeuge gehen aber auch Gefahren einher. Zwar wird voraussichtlich mit Voranschreiten der Digitalisierung im Kfz-Bereich die Anzahl der Verkehrsunfälle, die heute auf menschliches Versagen zurückzuführen sind, sinken. Allerdings steigt das Risiko, dass Hacker die Computersysteme von Kraftfahrzeugen negativ beeinflussen oder sie sogar vollständig übernehmen. Hierbei ergibt sich eine Reihe von rechtlichen Fragestellungen sowohl im Haftungs- als auch im Deckungsbereich, die im Folgenden überblicksmäßig dargestellt werden sollen.

Haftungsrechtliche Aspekte

Es stellt sich zunächst die haftungsrechtliche Frage, wer den Schaden zu ersetzen hat, wenn durch einen Cyberangriff auf ein Kfz ein Verkehrsunfall herbeigeführt wird und dabei Dritte und/oder Sachen zu Schaden kommen. In Deutschland denkt man dann sofort an die verschuldensunabhängige Halterhaftung. Auch zukünftig wird dieser bei automatisierten Fahrzeugen in der Verantwortung stehen, obwohl man auch argumentieren könnte, dass der Cyberangriff für den Halter eine höhere Gewalt oder eine Schwarzfahrt darstellen und damit seine Haftung nach § 7 Abs. 2 bzw. Abs. 3 Straßenverkehrsgesetz (StVG) entfallen würde. Im Ergebnis wird dies aber zu verneinen sein.

Anders sieht es hingegen bei der Haftung des Fahrers aus. Je nach Automatisierungsgrad ist dieser während der Fahrt nicht mehr verpflichtet, das Fahrzeug zu überwachen und/oder in angemessener Zeit wieder die Kontrolle darüber zu übernehmen. In dieser Situation wird man dann häufig argumentieren können, dass den Fahrer kein Verschulden trifft und er damit für einen Schaden nicht haftet.

Bei niedrigen Automatisierungsgraden ist der Fahrer aber zur Überwachung der Systeme verpflichtet. In dieser Situation darf er die Assistenzsysteme nicht mit einem „Autopiloten“ verwechseln. Sollte daher durch einen Cyberangriff ein Unfall verursacht werden und hätte der Fahrer bei der gebotenen Überwachung den Schaden noch verhindern können, wird seine Haftung – trotz des Angriffs – zu bejahen sein. Des Weiteren stellt sich auch die Frage, ob die Kraftfahrzeughersteller und/oder deren Zulieferer für durch Cyberangriff auf deren Fahrzeuge verursachte Schäden haften müssen. Hier kann durchaus eine Haftung im Einzelfall hergeleitet werden, beispielsweise wenn bekannte Sicherheitslücken nicht umgehend geschlossen oder marktübliche Sicherheitsstandards unterschritten werden.

Deckungsrechtliche Aspekte

Auch bei verschiedenen Versicherungsprodukten ergeben sich Fragen im Zusammenhang mit einem Cyberangriff auf Kraftfahrzeuge. In der Kfz-Haftpflichtversicherung könnte der Cyberangreifer – ungewollt – mitversichert sein. Auch wenn dies auf den ersten Blick verwundert, kann argumentiert werden, dass er sich durch seinen Angriff des Fahrzeugs bemächtigt hat und es – vergleichbar einem Fahrer – steuert. Selbst wenn man dies aber bejahen würde, wird dieser Aspekt in der Praxis keine große Bedeutung erlangen. Der Cyberangreifer handelt vorsätzlich und verwirklicht damit den Ausschlusstatbestand der vorsätzlichen Schadenherbeiführung gemäß § 103 Versicherungsvertragsgesetz (VVG). Allerdings muss der Kfz-Haftpflichtversicherer auch weiterhin die verschuldensunabhängige Haftung des Fahrzeughalters und, soweit eine solche im Einzelfall besteht, die Verschuldenshaftung des Fahrers übernehmen.

Wann greift die Kfz-Kasko?

Bei der Kfz-Kaskoversicherung stellen sich hingegen zwei wesentliche Fragen: Stellt eine Beschädigung des Fahrzeugs durch einen Cyberangriff einen Unfall dar und existiert ein Versicherungsschutz auch dann, wenn der Unfallbegriff nicht erfüllt ist? Ein Unfall im Sinne der Kfz-Kaskoversicherung ist ein von außen plötzlich mit mechanischer Gewalt auf das Fahrzeug einwirkendes Ereignis. Unproblematisch besteht dann Deckungsschutz bei einem Cyberangriff, wenn das Fahrzeug zum Beispiel aufgrund der Attacke von der Straße gelenkt wird, dort mit einem Hindernis (z. B. einer Mauer) zusammenstößt und es hierdurch beschädigt wird. Der Grund, warum es zu einem Unfall gekommen ist (z. B. Cyberangriff oder Fahrfehler), ist für die Deckung unter der Kfz-Kaskoversicherung nicht relevant.

Schwieriger ist die Deckung hingegen zu beurteilen, wenn das Fahrzeug nicht physisch durch den Cyberangriff beschädigt, sondern es lediglich unbrauchbar gemacht wird oder es zu einem Schaden an der im Fahrzeug vorhandenen Software kommt. Durch die fehlende Einwirkung einer mechanischen Gewalt auf das Fahrzeug ist der Unfallbegriff nicht erfüllt. Allerdings sind in den allgemeinen Bedingungen für die Kfz-Versicherung (AKB) 2015 auch mut- oder böswillige Handlungen von Dritten als Ereignis versichert. Hierunter wird man auch einen Cyberangriff verstehen müssen.

Allerdings ergibt sich dann die entscheidende Frage, ob eine Beschädigung, eine Zerstörung, ein Totalschaden oder ein Verlust am versicherten Fahrzeug eingetreten sind. Eindeutig ist diese Voraussetzung gegeben, wenn der Cyberangriff dazu führt, dass Komponenten des Fahrzeugs beschädigt oder zerstört werden, zum Beispiel dass die Steuereinheit durchbrennt oder das digitale Display im Instrumentenbrett überhitzt und dadurch beschädigt wird.

Wird hingegen lediglich die Software manipuliert bzw. gelöscht und muss diese wiederhergestellt werden, stellt sich die Frage, ob die Software in diesem Fall eine Sache darstellt, sodass die vorgenannte Voraussetzung zu bejahen ist, oder ob sich hier ein sogenannter reiner Vermögensschaden verwirklicht und damit kein Versicherungsschutz unter der Kfz-Kaskoversicherung besteht. Diese Frage wird kontrovers diskutiert und ist in der höchstrichterlichen Rechtsprechung für das Versicherungsrecht noch nicht eindeutig beantwortet worden.

Einfluss auf Produkthaftpflicht- und Rückrufkostenversicherungen

Soweit auch die Kfz-Hersteller und -Zulieferer für Schäden durch Cyberangriffe verantwortlich gemacht werden können, hat dies direkten Einfluss auf die Produkthaftpflicht- und die Rückrufkostenversicherungen. Hier ein kurzes Beispiel: Ein erster experimenteller Hackerangriff ermöglichte durch das Eindringen in das Entertainmentsystem eines Jeep Cherokee, dass die Angreifer auf die Fahrzeugsteuerung zugreifen und damit die Kontrolle über das Fahrzeug übernehmen konnten. Dieser Vorfall hat anschließend zu einem Rückruf von rund 1,4 Millionen Fahrzeugen geführt. Bereits hieraus wird die zukünftige erhöhte Relevanz des Szenarios „Cyberangriff auf ein Kfz“ für die Produkthaftpflicht- und Rückrufkostenversicherer deutlich.

Fazit

Es ist davon auszugehen, dass sich die Haftungs- und Deckungssituation umso stärker ändern wird, je mehr die Automatisierung in Fahrzeugen voranschreitet. Hierauf werden sich die Kfz-Versicherer sowohl beim Underwriting als auch in der Schadenbearbeitung einstellen müssen. Insbesondere für die Bearbeitung von Schäden im Zusammenhang mit Cyberangriffen wird spezialisiertes Personal erforderlich sein.

Über den Autor

Professor Dr. Michael Fortmann, LL.M., ist Professor am Institut für Versicherungswesen ivw Köln der Technischen Hochschule Köln und wissenschaftlicher Leiter des Zertifikatslehrgangs „Automotive Insurance Manager*in“. Der berufsbegleitende Lehrgang vermittelt praxisnah alle wichtigen Aspekte rund um die Kfz-Versicherung mit Fokus auf eine ganzheitliche und effiziente Schadenbearbeitung.

Diesen Beitrag lesen Sie auch in AssCompact 09/2020 und in unserem ePaper.

Lesen Sie auch: Neue Weiterbildung im Bereich Kfz-Versicherung