Ein Schweizer Unternehmen wurde 2019 Ziel eines sogenannten "Social Engineering"-Betrugs. Dabei gaben sich Kriminelle als Mitarbeiter einer Partnerbank aus und überzeugten mehrere Angestellte des Unternehmens, insgesamt sieben Zahlungen in Höhe von rund 4,6 Millionen Franken auf verschiedene ausländische Konten zu überweisen. Die Täter hatten zuvor das E-Mail-System des Unternehmens infiltriert und konnten so authentisch wirkende Nachrichten versenden. Der Betrug flog erst auf, als die echte Bank nachfragte, warum das Unternehmen seine Zahlungsverpflichtungen nicht erfülle.
Das geschädigte Unternehmen forderte von seiner Versicherung Schadenersatz in Höhe von 4,5 Millionen Franken. Es berief sich dabei auf eine Police, die unter anderem Vermögensschäden durch "Computermissbrauch" abdecken sollte. Die Versicherung lehnte die Zahlung jedoch ab und argumentierte, dass der Schaden nicht unter die vereinbarten Versicherungsbedingungen falle, da kein direkter Computermissbrauch vorgelegen habe.
Nach einem Rechtsstreit durch mehrere Instanzen hat das Bundesgericht nun endgültig zugunsten der Versicherung entschieden. Die Richter befanden, dass es sich bei dem Vorfall um einen klassischen Betrugsfall handelte, bei dem die Mitarbeiter durch Täuschung zu den Zahlungen veranlasst wurden. Der Computer sei dabei lediglich als Kommunikationsmittel genutzt worden. Eine solche indirekte Nutzung des Computers falle nicht unter den in der Police definierten Begriff des "Computermissbrauchs", der einen direkten Eingriff in das System voraussetze.
Das Urteil hat weitreichende Konsequenzen für Unternehmen in der Schweiz. Es zeigt, dass herkömmliche Versicherungspolicen oft nicht ausreichend Schutz vor modernen Cyberbedrohungen bieten. Experten raten Firmen daher dringend, ihre Versicherungsbedingungen genau zu prüfen und spezielle Cyberpolicen abzuschließen, die explizit auch Social-Engineering-Betrügereien abdecken. Zudem wird die Bedeutung regelmäßiger Schulungen der Mitarbeiter zum Erkennen von Betrugsversuchen hervorgehoben, da technische Sicherheitsmaßnahmen allein nicht ausreichen, um solche Angriffe zu verhindern.