Blog · IT-Sicherheit
Cyber-Versicherung: Was sie leistet und was Versicherer verlangen
Ein Angriff mit Erpressungstrojaner, ein gehacktes Postfach, eine Datenpanne: Die Kosten eines Cyber-Vorfalls können ein kleines Unternehmen schnell überfordern. Eine Cyber-Versicherung fängt viel davon auf – aber nur, wenn die IT die Voraussetzungen des Versicherers tatsächlich erfüllt. Wir erklären, worauf es ankommt.
Das Wichtigste in Kürze
- Eine Cyber-Versicherung zahlt Eigenschäden, Drittschäden und vor allem schnelle Hilfe durch Fachleute im Ernstfall.
- Versicherer fragen fast immer nach Mehr-Faktor-Anmeldung, Backup, Updates, Virenschutz und Schulungen.
- Die Angaben im Risikofragebogen müssen stimmen – falsche Antworten können den Schutz kosten.
- Die Versicherung ersetzt keine IT-Sicherheit, sie setzt sie voraus.
Grundlagen
Was eine Cyber-Versicherung leistet
Klassische Betriebs-, Inhalts- oder Haftpflichtversicherungen decken Schäden durch Hackerangriffe meist nicht oder nur am Rand ab. Die Cyber-Versicherung schließt diese Lücke. Die meisten Tarife bestehen aus drei Bausteinen:
| Baustein | Was typischerweise abgedeckt ist |
|---|---|
| Soforthilfe im Ernstfall | Notfall-Hotline, IT-Forensik, Krisenberatung, Rechtsberatung zu Meldepflichten, oft auch PR-Unterstützung |
| Eigenschäden | Wiederherstellung von Daten und Systemen, Ertragsausfall bei Betriebsunterbrechung, Kosten für die Benachrichtigung Betroffener |
| Drittschäden | Schadenersatzforderungen von Kunden oder Geschäftspartnern, etwa nach einer Datenpanne, inklusive Abwehr unberechtigter Ansprüche |
Für kleine Unternehmen ist oft der erste Baustein der wertvollste: Im Ernstfall steht innerhalb von Stunden ein Team bereit, das den Angriff eingrenzt, Spuren sichert und die Wiederherstellung koordiniert. Diese Hilfe selbst zu organisieren, ist mitten in einer Krise schwierig und teuer.
Was oft nicht oder nur eingeschränkt versichert ist
- Bußgelder, soweit sie nach deutschem Recht nicht versicherbar sind.
- Lösegeldzahlungen – hier unterscheiden sich die Tarife deutlich, viele schließen sie aus oder regeln sie eng.
- Überweisungsbetrug durch gefälschte Rechnungen oder Chef-Anweisungen („CEO-Fraud“) – oft nur über einen eigenen Zusatzbaustein oder eine Vertrauensschadenversicherung. Mehr dazu in unserem Ratgeber zu CEO-Fraud und Fake-Rechnungen.
- Schäden durch bekannte, aber bewusst nicht behobene Sicherheitslücken.
- Ausfälle großer Cloud- oder Infrastrukturanbieter – je nach Tarif ausgeschlossen oder begrenzt.
Voraussetzungen
Was Versicherer von Ihrer IT erwarten
Vor dem Abschluss beantworten Sie einen Risikofragebogen. Die Fragen ähneln sich bei fast allen Anbietern, und sie spiegeln genau die Maßnahmen wider, die in der Praxis die meisten Schäden verhindern:
- Mehr-Faktor-Anmeldung für E-Mail, Fernzugänge (VPN, Remote Desktop) und Administratorkonten.
- Regelmäßige Datensicherung, davon mindestens eine Kopie getrennt vom Netzwerk oder unveränderbar – und getestete Wiederherstellung.
- Zeitnahe Sicherheitsupdates für Betriebssysteme, Programme und Firewalls; keine Systeme ohne Herstellersupport wie Windows 10 ohne ESU.
- Moderner Virenschutz auf allen Geräten, zunehmend mit Erkennung verdächtigen Verhaltens (EDR) und zentraler Überwachung.
- Firewall und keine ungeschützt aus dem Internet erreichbaren Fernzugänge.
- Getrennte Administratorkonten und Rechte nur so weit wie nötig.
- Schulungen der Mitarbeitenden zu Phishing und Betrugsmaschen.
- Notfallplan: Wer tut was, wenn es passiert? Unsere IT-Notfallkarte ist ein guter Einstieg.
Unsere Erfahrung: Der Risikofragebogen ist ein guter Selbsttest. Wenn Sie bei einer Frage zögern, ist das genau die Stelle, an der Sie zuerst nachbessern sollten – mit oder ohne Versicherung.
Fallstricke
Obliegenheiten: Warum falsche Angaben teuer werden
Die Antworten im Risikofragebogen sind keine Formalie. Sie sind Teil der vorvertraglichen Anzeigepflicht nach dem Versicherungsvertragsgesetz. Stellt sich nach einem Schaden heraus, dass Angaben nicht stimmten – etwa „Mehr-Faktor-Anmeldung für alle Konten“, obwohl der Geschäftsführer-Zugang ohne lief –, kann der Versicherer je nach Lage vom Vertrag zurücktreten, ihn anpassen oder die Leistung kürzen.
Hinzu kommen Obliegenheiten während der Laufzeit: Sicherheitsmaßnahmen müssen aufrechterhalten werden, wesentliche Änderungen sind zu melden, und im Schadenfall müssen Sie den Versicherer unverzüglich informieren und mit seinem Notfallteam zusammenarbeiten. Gerichte haben in Einzelfällen zugunsten von Versicherten entschieden, wenn eine falsche Angabe für den konkreten Schaden keine Rolle spielte. Verlassen sollten Sie sich darauf nicht.
So vermeiden Sie Streit im Schadenfall
- Füllen Sie den Fragebogen gemeinsam mit Ihrem IT-Dienstleister aus, nicht allein aus der Erinnerung.
- Antworten Sie ehrlich mit „teilweise“ oder „in Umsetzung“, statt ein „Ja“ zu schönen.
- Dokumentieren Sie den Stand der Maßnahmen zum Zeitpunkt des Abschlusses – Screenshots, Richtlinien, Backup-Protokolle.
- Prüfen Sie den Stand jährlich zur Vertragsverlängerung.
Auswahl
Worauf Sie beim Vergleich achten sollten
| Kriterium | Worauf achten |
|---|---|
| Versicherungssumme | Realistisch nach Umsatz, Datenmenge und Ausfalltagen bemessen – nicht nach dem günstigsten Beitrag |
| Selbstbehalt und Wartezeit | Ab wann zahlt die Betriebsunterbrechung? Oft gilt eine zeitliche Selbstbeteiligung von einigen Stunden bis Tagen |
| Notfall-Dienstleister | Ist rund um die Uhr ein Team erreichbar? Darf Ihr eigener IT-Dienstleister mitarbeiten? |
| Ausschlüsse | Lösegeld, Cloud-Ausfälle, Krieg und staatliche Angriffe, Überweisungsbetrug |
| Obliegenheiten | Welche Maßnahmen sind vertraglich vorgeschrieben – und erfüllen Sie sie dauerhaft? |
Eine unabhängige Beratung durch einen Versicherungsmakler lohnt sich, weil die Bedingungen der Anbieter stark voneinander abweichen. Wir unterstützen Sie auf der technischen Seite: Bestandsaufnahme, ehrliche Beantwortung des Fragebogens und Umsetzung fehlender Maßnahmen.
Checkliste
Vor dem Abschluss: sechs Schritte
- Bestandsaufnahme: Welche Systeme, Daten und Fernzugänge gibt es? Was kostet ein Tag Stillstand?
- Grundschutz prüfen: Mehr-Faktor-Anmeldung, Backup, Updates, Virenschutz und Firewall – siehe unsere Grundlagen für KMU.
- Lücken schließen oder als „in Umsetzung“ mit Termin dokumentieren.
- Fragebogen gemeinsam mit der IT ausfüllen und eine Kopie mit Nachweisen ablegen.
- Bedingungen vergleichen – am besten mit einem Makler –, besonders Ausschlüsse und Obliegenheiten.
- Notfallplan anpassen: Hotline des Versicherers aufnehmen und das Team informieren, wer im Ernstfall anruft.
Unser Fazit: Eine Cyber-Versicherung ist für viele KMU sinnvoll – vor allem wegen der schnellen Hilfe im Ernstfall. Sie wirkt aber nur, wenn die Sicherheitsmaßnahmen, die Sie im Fragebogen angeben, auch wirklich umgesetzt sind. Erst die IT in Ordnung bringen, dann versichern.
Häufige Fragen zur Cyber-Versicherung
Brauchen kleine Unternehmen überhaupt eine Cyber-Versicherung?
Das hängt davon ab, wie stark Ihr Betrieb von IT abhängt und welche Daten Sie verarbeiten. Wer ohne E-Mail, Warenwirtschaft oder Kundendaten nicht arbeiten kann, sollte sich mit dem Thema beschäftigen. Besonders wertvoll ist die Soforthilfe durch Fachleute, die kleine Unternehmen sonst kaum kurzfristig bekommen.
Zahlt die Versicherung auch Lösegeld?
Das ist von Tarif zu Tarif sehr unterschiedlich und oft ausgeschlossen oder eng begrenzt. Unabhängig davon raten Behörden grundsätzlich davon ab, Lösegeld zu zahlen. Der wirksamste Schutz bleibt ein getrenntes, getestetes Backup.
Was passiert, wenn wir im Fragebogen etwas falsch angegeben haben?
Melden Sie die Korrektur Ihrem Versicherer oder Makler so früh wie möglich – nicht erst nach einem Schaden. Unrichtige Angaben können je nach Verschulden zum Rücktritt, zur Vertragsanpassung oder zur Leistungskürzung führen.
Ist Überweisungsbetrug durch gefälschte E-Mails mitversichert?
Häufig nicht im Grundschutz. Viele Versicherer bieten dafür einen eigenen Baustein an, teils mit niedrigeren Summen. Fragen Sie gezielt nach „Social Engineering“ oder „Fake President“ und prüfen Sie, ob eine Vertrauensschadenversicherung sinnvoll ist.
Ersetzt eine Cyber-Versicherung NIS2-Maßnahmen?
Nein. NIS2 verlangt eigene Sicherheitsmaßnahmen und Meldewege. Eine Versicherung kann Teil des Risikomanagements sein, ersetzt diese Pflichten aber nicht. Ob NIS2 für Sie gilt, zeigt unser NIS2-Check.
Dieser Beitrag gibt einen allgemeinen Überblick und ersetzt keine Versicherungs- oder Rechtsberatung. Stand: Oktober 2026.
Kostenlos vorab prüfen
Erste Einschätzung in wenigen Minuten – kostenlos und ohne Anmeldung.