Stellen Sie sich vor, Sie führen eine kleine Software-Beratung. An einem Dienstag landen drei separate E-Mails in Ihrem Posteingang: Ein Kunde sagt, die von Ihnen gebaute Integration habe eine Woche seiner Bestellungen beschädigt, und er möchte, dass Sie den entgangenen Umsatz übernehmen; Ihre eigenen Systeme wurden über Nacht kompromittiert und 4.000 Kundendatensätze sind nun in den Händen eines Fremden; und ein Wettbewerber behauptet, die Vergleichstabelle auf Ihrer Homepage verwende sein markenrechtlich geschütztes Logo ohne Genehmigung. Drei Krisen, drei Anwälte, drei sehr unterschiedliche Versicherungspolicen — und die schmerzhafte Frage hinter jeder einzelnen ist dieselbe: Welche Police zahlt tatsächlich?
Wenn Sie nur eine der drei Policen besitzen — Technologie-Vermögensschadenhaftpflicht (Tech E&O), Cyber-Haftpflicht oder Medienhaftpflicht —, kommt mindestens eine dieser E-Mails aus Ihrer eigenen Tasche. Dieser Leitfaden erklärt, was jede Police abdeckt, wo sie sich überschneiden, wo die Lücken lauern und wie ein kleines Technologie- oder Kreativunternehmen alle drei kaufen kann, ohne zu viel zu zahlen.
Die drei Policen auf einen Blick
Alle drei sind Haftpflichtpolicen, das heißt, sie zahlen für Schäden, die Ihr Unternehmen anderen zufügt (plus Ihre Rechtsverteidigung). Aber jede reagiert auf eine andere Art von Schaden:
| Police | Beantwortet die Frage | Auslösendes Ereignis | Typischer Käufer |
|---|---|---|---|
| Tech E&O | Hat Ihre professionelle Arbeit versagt? | Bug, Ausfall, verpasste Frist, Vertragsverletzung, die einen Kunden Geld kostet | Softwareanbieter, Entwickler, IT-Berater, MSPs |
| Cyber-Haftpflicht | Wurden Systeme oder Daten angegriffen? | Datenschutzverletzung, Ransomware, Überweisungsbetrug, Verletzung der Privatsphäre | Jedes Unternehmen, das Daten speichert oder mit Computern arbeitet |
| Medienhaftpflicht | Hat Ihr Inhalt jemandem geschadet? | Verleumdung, Urheberrechts- oder Markenverletzung, Werbeschaden | Agenturen, Verlage, Kreative, jedes Unternehmen, das wirbt |
Die Kurzversion: E&O deckt ab, was Sie falsch gemacht haben, Cyber deckt ab, was Ihnen angetan wurde (und die Datenfolgen), und Media deckt ab, was Sie veröffentlicht haben. Nun die Details, die echte Schadensfälle entscheiden.
Tech E&O: Wenn Ihr Arbeitsergebnis das Problem ist
Technologie-E&O — manchmal auch Berufshaftpflicht für Technologieunternehmen genannt — deckt Ansprüche ab, dass Ihr Technologieprodukt oder Ihre Dienstleistung nicht wie versprochen funktioniert hat und Ihrem Kunden Geld gekostet hat. Die klassischen Auslöser sind Softwarefehler, gescheiterte Implementierungen, verpasste Fristen, fahrlässige Beratung und Vertragsverletzung.
Denken Sie an einen freiberuflichen Entwickler, dessen Migration eines Rechnungssystems die Kunden eines Klienten doppelt belastet, oder an einen MSP, dessen fehlkonfiguriertes Backup einen Kunden nach einem Serverausfall nicht wiederherstellen lässt. Der Kunde verklagt Sie auf den finanziellen Verlust, den Ihre Arbeit verursacht hat. Das ist ein E&O-Anspruch: Niemand hat jemanden gehackt, keine Daten wurden gestohlen — Ihre Arbeit hat einfach nicht das getan, was Sie zugesagt hatten.
Drei Dinge gilt es bei Tech E&O zu verstehen:
Es ist die Police, die Ihre Unternehmenskunden verlangen werden. Die meisten Anbieterverträge und Rahmenverträge (Master Service Agreements) verlangen einen Nachweis über E&O-Deckung, oft mit Deckungssummen von 1 Million USD pro Anspruch und 2 Millionen USD aggregiert, bevor Sie unterschreiben können. Wenn Sie an größere Unternehmen verkaufen, ist E&O nicht optional — es sind die Kosten dafür, überhaupt am Tisch sitzen zu dürfen.
Sie deckt Vermögensschäden ab, was die allgemeine Haftpflicht nicht tut. Eine Standard-Betriebshaftpflichtversicherung deckt Personenschäden und Sachschäden ab, nicht den entgangenen Gewinn eines Kunden, weil Ihr Code versagt hat. Unternehmer, die annehmen, ihre Betriebshaftpflicht oder ihre Business-Owner's-Policy decke professionelle Fehler ab, entdecken die Lücke erst, wenn ein Anspruch abgelehnt wird.
Verteidigungskosten können Ihre Deckungssummen aufzehren. Viele E&O-Policen zahlen die Rechtsverteidigung aus derselben Deckungssumme, aus der auch Vergleiche gezahlt werden. Eine Police über 1 Million USD mit 300.000 USD Verteidigungsrechnungen hat also noch 700.000 USD für den eigentlichen Anspruch übrig. Fragen Sie beim Vergleich von Angeboten, ob die Verteidigung innerhalb oder außerhalb der Deckungssummen liegt — außerhalb ist bei gleicher Nennsumme deutlich besserer Schutz.
Wenn Sie Technologie für Kunden entwickeln, integrieren, hosten, dazu beraten oder sie verwalten, ist Tech E&O Ihre Grundlagenpolice. Alles andere baut darauf auf.
Cyber-Haftpflicht: Wenn der Angriff Sie erreicht
Die Cyber-Haftpflicht deckt die Kosten für die Reaktion auf und die Erholung von einem Cyber-Vorfall — plus Klagen, die Sie dafür verantwortlich machen. Sie hat zwei Hälften:
Eigenschadendeckung (First-Party) zahlt Ihre eigenen Vorfallkosten: forensische Untersuchung, um herauszufinden, was passiert ist, rechtliche Beratung zu Meldepflichten bei Datenschutzverletzungen, Kosten für Kundenbenachrichtigung und Callcenter, Kreditüberwachung, Ransomware-Verhandlung und -Zahlung, Datenwiederherstellung, entgangener Geschäftsertrag während der Ausfallzeit und Überweisungsbetrug, wenn eine gefälschte E-Mail jemanden dazu bringt, Geld an Kriminelle zu überweisen.
Fremdschadendeckung (Third-Party) zahlt, wenn andere Sie wegen des Vorfalls verklagen: Kunden, deren Daten offengelegt wurden, Aufsichtsbehörden, die Bußgelder und Strafen verfolgen (soweit versicherbar), und Kartenmarken, die Kosten nach einer Kompromittierung von Kartendaten geltend machen.
Die Zahlen erklären, warum es diese Police gibt. Kleine Unternehmen zahlen durchschnittlich etwa 130 bis 145 USD pro Monat für Cyber-Deckung — etwa 1.500 bis 1.750 USD pro Jahr —, während ein einziger Datenschutzvorfall mit Kundendaten ein kleines Unternehmen zwischen 120.000 USD und siebenstelligen Beträgen kosten kann, um ihn zu untersuchen und zu lösen. Ein paar Jahre Prämien kosten weniger als ein unversicherter Vorfall, und schätzungsweise nur 10 bis 20 Prozent der kleinen und mittleren Unternehmen besitzen die Deckung überhaupt.
Beachten Sie, was Cyber nicht tut: Sie deckt nicht den Anspruch ab, dass Ihre Software schlecht geschrieben wurde. Wenn die Daten Ihres Kunden aufgrund einer Schwachstelle in von Ihnen ausgeliefertem Code durchsickern, geht die Klage Ihres Kunden gegen Sie wegen professioneller Fahrlässigkeit an Ihre Tech E&O — während Ihre eigenen Forensik- und Benachrichtigungskosten an Ihre Cyber-Police gehen. Ein Vorfall, zwei Policen, zwei verschiedene Rechnungen. Dies ist die am meisten missverstandene Trennung in der Technologieversicherung und der Grund, warum Technologieunternehmen in der Regel beide benötigen.
Medienhaftpflicht: Wenn Ihr Inhalt das Problem ist
Die Medienhaftpflicht — eine Form der E&O, die für Verlagsrisiken geschrieben wurde — deckt Ansprüche aus Inhalten ab, die Sie erstellen oder verbreiten: Verleumdung und Herabsetzung, Urheberrechts- und Markenverletzung, Verletzung der Privatsphäre, Plagiate und irreführende Werbung.
Sie müssen kein Medienunternehmen sein, um sie zu brauchen. Jedes Unternehmen, das Blogbeiträge veröffentlicht, Anzeigen schaltet, in sozialen Medien postet, Marketing-E-Mails versendet oder Vergleichsseiten auf seiner Website hat, veröffentlicht. Ein Stockfoto, das über seine Lizenzbedingungen hinaus verwendet wird, eine Fallstudie, die einen Kunden zitiert, der nie zugestimmt hat, ein Social-Media-Post, der eine unbestätigte Behauptung über einen Wettbewerber wiederholt — jeder ist ein Medienanspruch, der auf den falschen Leser wartet.
Zwei Missverständnisse lassen Unternehmen hier ungeschützt:
„Meine Betriebshaftpflicht deckt Werbeschäden ab." Teilweise, und das ist die Falle. Gewerbliche Betriebshaftpflichtpolicen enthalten einen begrenzten Abschnitt zu Personen- und Werbeschäden, aber dieser ist eng, auf die bescheidenen Deckungssummen der Police begrenzt und für Unternehmen geschrieben, die gelegentlich werben — nicht für Unternehmen, deren Inhalt das Produkt ist. Agenturen, Verlage, Entwickler mit content-lastigem Marketing und alle, die vergleichende Werbung betreiben, wachsen routinemäßig darüber hinaus. Die Medienhaftpflicht ist der zweckgebundene Ersatz.
„Urheberrechtsansprüche treffen nur große Verlage." Automatisierte Durchsetzung von Bildlizenzen und Markenüberwachung haben Abmahnungen an kleine Unternehmen zur Routine gemacht. Ein einziges nicht lizenziertes Bild kann eine Vergleichsforderung erzeugen, die ein Vielfaches der Kosten eines jährlichen Medien-Endorsements beträgt, und die Verteidigung gegen auch nur eine unbegründete Verleumdungsklage geht tief in den fünfstelligen Bereich.
Für viele kleine Unternehmen kommt die Medienhaftpflicht als Endorsement auf einer Tech-E&O- oder Cyber-Police statt als eigenständiger Kauf — was praktisch ist, aber bedeutet, dass Sie das Sublimit prüfen sollten. Ein Medien-Sublimit von 25.000 USD innerhalb einer E&O-Police über 1 Million USD sind nicht 1 Million USD Medienhaftpflichtdeckung.
Wo die Grenzen verschwimmen (und die Lücken sich öffnen)
Reale Vorfälle respektieren selten Policengrenzen. Die gefährlichen Überschneidungen konzentrieren sich an drei Stellen:
Ihr Code verursacht den Datenschutzvorfall Ihres Kunden. Wie oben erwähnt, trifft die Fahrlässigkeitsklage des Kunden Ihre Tech E&O, während Ihre Kosten für die Incident Response Ihre Cyber-Police treffen. Wenn Sie nur eine besitzen, ist die Hälfte des Vorfalls nicht versichert. Technologieunternehmen sollten E&O plus Cyber als Paar behandeln, idealerweise von einem Versicherer auf einem kombinierten Tech-E&O/Cyber-Formular, damit die beiden Hälften sich nicht gegenseitig die Schuld zuweisen können, welche Deckung gilt.
Ihr Website-Inhalt löst sowohl Media als auch Cyber aus. Ein verleumderischer Blogbeitrag ist ein Medienanspruch; derselbe Beitrag, der private Kundendaten offenlegt, fügt ein Element der Privatsphäre-Haftung hinzu, das unter Cyber fallen kann. Kombinierte Formulare handhaben dies eleganter als separate Policen mit separaten Ausschlüssen.
Vertragliche Haftung übersteigt die Policenzusage. Ihr Kundenvertrag kann Freistellung, Gewährleistungen, unbegrenzte Haftung oder spezifische Sicherheitsstandards versprechen. E&O-Policen decken einige vertraglich übernommene Haftungen ab und schließen den Rest aus, und Cyber-Policen schließen oft die Nichteinhaltung zugesagter Sicherheitskontrollen aus. Lesen Sie die Vertragsanforderungen gegen die Policenausschlüsse, bevor Sie den Kundenvertrag unterschreiben, nicht danach.
Und eine strukturelle Falle betrifft alle drei Policen: Sie sind fast immer Claims-made, nicht Occurrence-basiert. Eine Claims-made-Police deckt nur Ansprüche ab, die erstmals geltend gemacht werden, während die Police aktiv ist (plus eine optionale Nachhaftungsfrist). Lassen Sie die Deckung auslaufen, und Arbeit, die Sie jahrelang geleistet haben, ist plötzlich nicht versichert gegen Ansprüche, die morgen eingereicht werden. Bewahren Sie beim Wechsel des Versicherers Ihr Rückwirkungsdatum — den rückwärtsgerichteten Beginn der gedeckten Arbeit —, sonst kaufen Sie mit Ihrer neuen Police eine Lücke. Lassen Sie eine Claims-made-Police niemals auslaufen, ohne eine Nachhaftungsdeckung zu kaufen, wenn Sie jemals für frühere Arbeit verklagt werden könnten.
Was die Deckung kostet und wie man sie kauft
Die Prämien variieren je nach Umsatz, Mitarbeiterzahl, Branche, Datenvolumen, Deckungssummen und Schadenshistorie, aber Benchmarks für kleine Unternehmen gruppieren sich nützlich:
- Cyber-Haftpflicht: etwa 130 bis 145 USD pro Monat für ein kleines Unternehmen oder etwa 1.500 bis 1.750 USD pro Jahr, mit Jahresprämien von einigen hundert Dollar bei minimalem Datenrisiko bis zu 8.000 USD oder mehr für datenintensive Unternehmen.
- Tech E&O: typischerweise 500 bis 2.000 USD pro Jahr für Solo-Entwickler und Mikrounternehmen bei Deckungssummen von 1 Million USD, steigend mit Umsatz und Vertragsanforderungen. Eine kleine IT-Beratung, die Betriebshaftpflicht, E&O, Cyber und Arbeitsrechtsschutz bündelt, landet oft zwischen 3.500 und 5.000 USD pro Jahr insgesamt.
- Medienhaftpflicht: am günstigsten oft als Endorsement — häufig ein paar hundert Dollar pro Jahr zusätzlich zu E&O oder Cyber —, wobei eigenständige Policen für Verlage und Agenturen höher liegen.
Fünf Kaufregeln halten die Ausgaben effizient:
- Bündeln Sie Tech E&O und Cyber bei einem Versicherer. Kombinierte Formulare kosten weniger als separate Policen und beseitigen die Lücke des gegenseitigen Zeigens aufeinander, wenn ein Vorfall beide auslöst.
- Passen Sie die Deckungssummen an Ihre Verträge an, nicht an Ihr Gefühl. Wenn Ihre drei größten Kunden 2 Millionen USD aggregiert verlangen, ist das Ihre Untergrenze, unabhängig davon, was sich ausreichend anfühlt.
- Schützen Sie das Rückwirkungsdatum. Holen Sie sich vollständige Vorhaftungsdeckung oder mindestens ein Rückwirkungsdatum, das Ihrem ersten Geschäftstag entspricht, und führen Sie es bei jeder Verlängerung und jedem Versichererwechsel fort.
- Dokumentieren Sie Ihre Sicherheitskontrollen, bevor Sie beantragen. Multifaktor-Authentifizierung, verschlüsselte Backups, Endpoint-Schutz und ein Incident-Response-Plan sind zunehmend Zeichnungsanforderungen für Cyber — und dieselben Kontrollen bringen bessere Prämien.
- Lesen Sie die Ausschlüsse für Ihre tatsächlichen Risiken. Ausschlüsse für Vorwissen, breite Ausschlüsse für professionelle Dienstleistungen in Cyber-Formularen und mit Sublimits versehene Medien-Endorsements sind die Stellen, an denen billige Policen ihre Billigkeit verstecken.
Behalten Sie die Prämien (und den Papierweg) in Ihren Büchern
Versicherung ist eine der wenigen Betriebsausgaben, die sowohl vollständig abzugsfähig als auch häufig falsch verbucht ist. Prämien für Betriebshaftpflichtdeckung — E&O, Cyber, Media, allgemeine Haftpflicht — sind gewöhnliche und notwendige Betriebsausgaben, abzugsfähig im Jahr der Zahlung. Aber ein einziges Sachkonto „Versicherung", das jede Police versteckt, lädt zu zwei Problemen ein: Sie können bei der Verlängerung nicht sehen, welche Deckung was kostet, und Sie können keine saubere Schadenshistorie nachweisen, wenn ein Underwriter oder Prüfer danach fragt.
Bessere Praxis ist ein eigenes Unterkonto pro Police — etwa Expenses:Insurance:Tech-EO, Expenses:Insurance:Cyber, Expenses:Insurance:Media —, damit jedes Verlängerungsangebot gegen seine eigene Historie fällt und Prämiientrends Jahr für Jahr sichtbar sind. Wenn Sie Plain-Text-Buchhaltung nutzen, geben Ihnen hierarchische Kontonamen diese Struktur kostenlos; die Beancount-Dokumentation zum Einstieg zeigt, wie sich Kontohierarchien ohne jegliche Kontenplan-Pflege selbst organisieren.
Dieselbe Disziplin gilt für Vorfallkosten. Selbstbehalte, nicht gedeckte Anwaltsrechnungen, Forensik, Benachrichtigungsdienstleister und Kreditüberwachungsabonnements sollten dem Vorfall zugeordnet werden — ein eigenes Projekttag oder Unterkonto pro Ereignis —, damit Sie den vollen Schaden beim Versicherer melden, den Abzug belegen und, ebenso wichtig, sehen können, was der Vorfall wirklich gekostet hat, wenn Sie die Deckungssummen für das nächste Jahr festlegen. Unternehmen, die Vorfallausgaben über generische Konten verstreuen, unterschätzen konsequent ihr wahres Risiko und kaufen im Folgejahr zu geringe Deckungssummen.
Legen Sie schließlich Ihre Rückwirkungsdaten und Verlängerungsdaten in den Kalender neben Ihre Monatsabschluss-Checkliste. Eine ausgelaufene Claims-made-Police ist ein Buchhaltungsfehler mit versicherungstechnischen Folgen: Die Bücher sehen gut aus, bis der nicht gedeckte Anspruch eintrifft.
Schützen Sie das Unternehmen, das Sie aufbauen
Ihr Code, Ihre Systeme und Ihre Inhalte sind drei verschiedene Risikoflächen, und keine einzelne Police deckt mehr als ihre eigene ab. Wenn Sie Technologiearbeit verkaufen, beginnen Sie mit Tech E&O, kombinieren Sie sie mit Cyber-Haftpflicht vom selben Versicherer und stellen Sie sicher, dass Ihre Veröffentlichungen — der Blog, die Anzeigen, die Vergleichsseiten — durch eine echte Medienzusage gedeckt sind und nicht durch die dünne Werbeschadenklausel in Ihrer Betriebshaftpflicht. Passen Sie die Deckungssummen an Ihre Kundenverträge an, schützen Sie Ihr Rückwirkungsdatum und bewahren Sie jede Prämie und jeden Vorfallkosten dort auf, wo Ihre Bücher sie finden können.
Klare Finanzunterlagen sind es, was Versicherung von einem Stapel PDFs in eine gemanagte Unternehmensfunktion verwandelt. Beancount.io bietet Plain-Text-Buchhaltung, die Ihnen vollständige Transparenz und Kontrolle über Ihre Finanzdaten gibt — keine Blackbox, kein Vendor-Lock-in. Starten Sie kostenlos und sehen Sie, warum Entwickler und Finanzfachleute zur Plain-Text-Buchhaltung wechseln.
