Nicht jedes IT-Projektrisiko lÀsst sich verhindern. Aber viele lassen sich beherrschen.
Dieser Beitrag zeigt, welche Haftungs-, Cyber- und Sachrisiken IT-Unternehmen kennen sollten, wie sie sich wirksam begrenzen lassen und welche Versicherungen die finanziellen Folgen verbleibender Risiken abdecken können.
Von Marc Thamm
Kurz zusammengefasst:
IT-Projekte sind mit unterschiedlichen organisatorischen, vertraglichen, technischen und finanziellen Risiken verbunden. Welche Risiken tatsĂ€chlich relevant sind, hĂ€ngt unter anderem von der Projektart, den ĂŒbernommenen Leistungen und der Verantwortung gegenĂŒber dem Auftraggeber ab.Â
Die folgende Ăbersicht zeigt die wichtigsten Risikobereiche, bevor die einzelnen SchutzmaĂnahmen in den nĂ€chsten Kapiteln erlĂ€utert werden.
VermögensschĂ€den entstehen, wenn ein Fehler im IT-Projekt zu einem finanziellen Nachteil fĂŒr den Auftraggeber fĂŒhrt. Dadurch können dem Kunden beispielsweise UmsatzeinbuĂen, Betriebsunterbrechungen, Kosten fĂŒr die Wiederherstellung von Daten oder AnsprĂŒche Dritter entstehen.
HĂ€ufige Ursachen fĂŒr VermögensschĂ€den sind Fehler oder VersĂ€umnisse des IT-Unternehmens, zum Beispiel:
Bei EinsÀtzen vor Ort können IT-Unternehmen Personen verletzen oder fremdes Eigentum beschÀdigen. Daraus können unter anderem Reparaturkosten, Behandlungskosten und weitere Schadenersatzforderungen entstehen.
In diesen FĂ€llen können IT-Unternehmen fĂŒr Personen- und SachschĂ€den haftbar gemacht werden:
Cyber-Angriffe und SicherheitsvorfĂ€lle können den GeschĂ€ftsbetrieb eines IT-Unternehmens erheblich beeintrĂ€chtigen. Neben der Wiederherstellung von Daten und Systemen können hohe Kosten fĂŒr IT-Forensik, Krisenmanagement und Betriebsunterbrechungen entstehen.
Zu den typischen Cyber-Risiken fĂŒr IT-Unternehmen gehören:
Laut Hiscox IT-Umfrage 2025 bewerten 81 Prozent der IT-Dienstleister Cyber-Angriffe und 77 Prozent menschliches oder technisches Versagen als relevante Schadenrisiken. Jeweils 66 Prozent nennen Projektverzug, Projektausfall oder Projektabbruch sowie Programmierfehler. 75 Prozent waren zudem bereits mit Forderungen wegen unterstellter Schlechtleistung konfrontiert.
Computer, Server, Monitore und weitere ArbeitsgerÀte gehören zur wichtigsten Ausstattung eines IT-Unternehmens. Werden sie beschÀdigt, zerstört oder gestohlen, können Reparatur- oder Ersatzkosten sowie ArbeitsausfÀlle die Folge sein.
Zu den hĂ€ufigsten Schadenursachen bei IT-Firmen gehören:Â
Viele VermögensschÀden lassen sich durch klar definierte Leistungen, realistische Projektplanung, verlÀssliche QualitÀtskontrollen und eine nachvollziehbare Dokumentation vermeiden. Wichtig ist, Risiken bereits vor Projektbeginn zu erkennen und Verantwortlichkeiten eindeutig festzulegen.
Die folgenden MaĂnahmen helfen, VermögensschĂ€den in IT-Projekten zu reduzieren und mögliche AnsprĂŒche zu begrenzen.
Definieren Sie Projektziele, Leistungsumfang, Schnittstellen, Mitwirkungspflichten und ZustÀndigkeiten möglichst genau.
Fehlentwicklungen vermeiden: Klare Anforderungen und Verantwortlichkeiten verringern das Risiko, dass Software am Bedarf vorbeientwickelt wird oder wichtige Aufgaben zwischen den Beteiligten liegen bleiben.
Planen Sie realistische Termine fĂŒr Entwicklung, Tests, Datenmigration und Freigaben. Neue Anforderungen sollten einschlieĂlich ihrer Auswirkungen auf Aufwand, Kosten und Zeitplan dokumentiert werden.
Projektverzug vorbeugen: Ein geregelter Change-Request-Prozess verhindert, dass zusÀtzliche Leistungen den Projektumfang unbemerkt ausweiten und vereinbarte Termine gefÀhrden.
PrĂŒfen Sie Software, Konfigurationen, Schnittstellen und Datenmigrationen systematisch. Halten Sie Testergebnisse, Warnhinweise, Entscheidungen und Freigaben schriftlich fest.
Technische Fehler frĂŒh erkennen: Dokumentierte PrĂŒfungen helfen, MĂ€ngel vor dem Livegang zu beheben und im Streitfall nachzuweisen, welche Leistungen geprĂŒft und freigegeben wurden.
Vereinbaren Sie rechtlich wirksame Haftungsregelungen, die zum Projekt, zum Auftragswert und zum ĂŒbernommenen Risiko passen.
Mögliche AnsprĂŒche begrenzen: Wirksame HaftungsbeschrĂ€nkungen können die Höhe von Schadenersatzforderungen im rechtlich zulĂ€ssigen Rahmen begrenzen.
Einen Ăberblick ĂŒber hĂ€ufige Fehlerquellen und typische SchadenverlĂ€ufe bietet typische SchadensfĂ€lle aus der IT-Praxis.
Durch sorgfĂ€ltige ArbeitsablĂ€ufe, geeignete SicherheitsmaĂnahmen und den fachgerechten Umgang mit IT-Hardware lassen sich Personen- und SachschĂ€den hĂ€ufig vermeiden.Â
Die folgende Tabelle zeigt typische Risiken im IT-Alltag und passende SchutzmaĂnahmen.
| Risiko | MaĂnahme |
|---|---|
| BeschÀdigung von Hardware oder Einrichtung | GerÀte fachgerecht installieren und Arbeitsbereiche sorgfÀltig vorbereiten |
| Stolper-, Sturz- oder andere Unfallgefahren | Kabel sichern und Sicherheitsvorschriften einhalten |
| TransportschÀden | Hardware sicher verpacken und transportieren |
| BeschĂ€digung sensibler Technik beim Kunden | Arbeitsbereiche absichern und GerĂ€te vor Beginn der Arbeiten schĂŒtzen |
| Arbeiten an elektrischen Anlagen oder GerĂ€ten | Sicherheitsvorgaben einhalten und Arbeiten fachgerecht durchfĂŒhren |
Wie solche SchÀden in der Praxis entstehen, zeigen zehn reale betriebliche SchadenfÀlle. Die Beispiele machen deutlich, welche Personen- und SachschÀden Unternehmen treffen können und welche finanziellen Folgen daraus entstehen.
IT-Unternehmen können viele Cyber-Risiken vor allem durch aktuelle Systeme, geschĂŒtzte ZugĂ€nge, regelmĂ€Ăige Datensicherungen und vorbereitete Notfallprozesse eindĂ€mmen.
Wie IT-Unternehmen Schwachstellen erkennen, wirksame SchutzmaĂnahmen etablieren und ihre WiderstandsfĂ€higkeit gegen Cyber-Angriffe stĂ€rken können, erfahren Sie in unseren Tipps zur Cyber-PrĂ€vention fĂŒr Unternehmen.
Mit sicheren ArbeitsablĂ€ufen, geeigneten Schutzvorkehrungen und regelmĂ€Ăiger Wartung können IT-Unternehmen SchĂ€den an Computern, Servern, mobilen GerĂ€ten und BĂŒroausstattung vorbeugen.
Die eigene IT-Infrastruktur sollte gegen AusfĂ€lle, BeschĂ€digungen und Diebstahl geschĂŒtzt werden. Wichtig ist:
Auch ArbeitsplĂ€tze, BĂŒromöbel und sonstiges Inventar können durch Einbruch, Feuer, Leitungswasser oder UnfĂ€lle beschĂ€digt werden.
Legen Sie fĂŒr jedes IT-Projekt vor dem Start ein Risikoprofil an. Notieren Sie darin, welche Systeme, Daten und GeschĂ€ftsprozesse des Kunden von Ihrer Leistung abhĂ€ngen und welche Kosten bei einem Fehler oder Ausfall entstehen könnten. So erkennen Sie frĂŒhzeitig, welche SchutzmaĂnahmen, Haftungsregelungen und Versicherungen fĂŒr das Projekt besonders wichtig sind.
Versicherungen können die wirtschaftlichen Folgen bestimmter Haftungs-, Cyber- und SachschÀden abfedern.
Welche Absicherung benötigt wird, hĂ€ngt vor allem von den angebotenen Leistungen, der Projektverantwortung, der eigenen technischen Ausstattung und den möglichen Schadenfolgen ab.Â
Wer die passende Absicherung fĂŒr sein IT-Unternehmen sucht, sollte die Versicherungssumme sorgfĂ€ltig wĂ€hlen. Welche Faktoren dabei eine Rolle spielen, erfahren Sie in unseren Tipps zur passende Versicherungssumme fĂŒr IT-Unternehmen.
SchĂŒtzt vor VermögensschĂ€den aus der beruflichen TĂ€tigkeit. Sie prĂŒft AnsprĂŒche, erfĂŒllt berechtigte Forderungen und wehrt unberechtigte AnsprĂŒche ab.
Kann Personen- und SachschÀden absichern, die Dritten im Rahmen der betrieblichen TÀtigkeit entstehen.
UnterstĂŒtzt bei den finanziellen Folgen von Cyber-Angriffen, Datenverlusten und anderen Cyber-VorfĂ€llen.
SchĂŒtzt die eigene Technik, elektronische GerĂ€te und BĂŒroausstattung vor versicherten SachschĂ€den.
HĂ€ufig ist eine Kombination mehrerer Versicherungsbausteine sinnvoll. 77,5 Prozent der bei Hiscox versicherten IT-Unternehmen haben neben der IT-Berufshaftpflicht mindestens einen weiteren Versicherungsbaustein abgeschlossen.
IT-Projekte bleiben trotz sorgfĂ€ltiger Planung mit Risiken verbunden. Klare VertrĂ€ge, strukturierte Projektprozesse sowie technische und organisatorische SchutzmaĂnahmen helfen IT-Unternehmen, Haftungs-, Cyber- und SachschĂ€den frĂŒhzeitig zu vermeiden. FĂŒr verbleibende Risiken können passende Versicherungen die finanziellen Folgen abfedern und dazu beitragen, die wirtschaftliche StabilitĂ€t des Unternehmens zu sichern.
Ein IT-Unternehmen kann haften, wenn eine vertragliche oder gesetzliche Pflicht verletzt wird und dadurch ein ersatzfÀhiger Schaden entsteht. Ob tatsÀchlich ein Schadenersatzanspruch besteht, hÀngt unter anderem vom Vertrag, der Art des Fehlers und den UmstÀnden des Einzelfalls ab.
Zu den hĂ€ufigsten Risiken gehören unklare Anforderungen, Programmierfehler, Projektverzug, Datenverluste, Cyber-VorfĂ€lle sowie Personen- und SachschĂ€den. Welche Risiken im Einzelfall relevant sind, hĂ€ngt von den ĂŒbernommenen Leistungen und der Projektverantwortung ab.
Ja. Ein Vertrag kann auch durch ein Angebot, eine Beauftragung, E-Mails oder schlĂŒssiges Verhalten zustande kommen. Entscheidend ist, welche Leistungen vereinbart wurden und welche Pflichten sich daraus ergeben.
Leistungen, Projektziele, ZustĂ€ndigkeiten und Mitwirkungspflichten sollten möglichst eindeutig beschrieben werden. Ănderungen wĂ€hrend des Projekts sollten dokumentiert und von beiden Seiten freigegeben werden.
Das lĂ€sst sich nicht pauschal beantworten. MaĂgeblich ist unter anderem, wer die Anforderungen erstellt, geprĂŒft und freigegeben hat und ob auf erkennbare Unklarheiten hingewiesen wurde.
Realistische ZeitplĂ€ne, klar definierte Meilensteine und eine offene Kommunikation ĂŒber Risiken helfen, Verzögerungen frĂŒhzeitig zu erkennen. Ănderungen am Projektumfang sollten zeitnah bewertet und dokumentiert werden.
Tests helfen dabei, Fehler vor der Inbetriebnahme zu erkennen und zu beheben. Dokumentierte Freigaben schaffen auĂerdem Klarheit darĂŒber, welche Leistungen geprĂŒft und vom Auftraggeber akzeptiert wurden.
Eine vollstĂ€ndige Dokumentation kann nachvollziehbar machen, welche Anforderungen vereinbart, welche Hinweise gegeben und welche Entscheidungen getroffen wurden. Sie kann damit sowohl berechtigte AnsprĂŒche unterstĂŒtzen als auch unberechtigte Forderungen leichter abwehren.
RegelmĂ€Ăige Updates, sichere ZugĂ€nge, Datensicherungen und klar definierte Notfallprozesse gehören zu den wichtigsten SchutzmaĂnahmen. Ebenso wichtig ist es, Verantwortlichkeiten fĂŒr IT-Sicherheit bereits zu Beginn eines Projekts eindeutig festzulegen.
Nein. Haftungsregelungen können das Risiko in rechtlich zulĂ€ssigem Umfang begrenzen, einen vollstĂ€ndigen Haftungsausschluss erlauben die gesetzlichen Vorgaben jedoch nicht in jedem Fall. Vertragsklauseln sollten deshalb sorgfĂ€ltig formuliert und rechtlich geprĂŒft werden.
Experte fĂŒr IT-Risiken & Versicherungslösungen fĂŒr die Digitalwirtschaft
Marc Thamm ist seit 1992 in der Versicherungsbranche â seit 2004 mit Fokus auf IT-Risiken â tĂ€tig. Er arbeitet seit 2013 bei Hiscox. Als Product Head Technology & General Liability bei Hiscox entwickelt er Versicherungslösungen fĂŒr die IT-, Media- und weitere Branchen der Digitalwirtschaft. Im Bereich Business Tipps & Insights schreibt er unter anderem ĂŒber das spannende Thema Projekt-Risiken.
