Cyberversicherung für Unternehmen
Viele Unternehmen haben eine Cyberversicherung. Ob sie im Ernstfall auch zahlt, ist eine andere Frage. Denn der Schutz ist an Bedingungen geknüpft, und genau daran scheitern derzeit sehr viele Schadenfälle.
Das Problem ist nicht der Vertrag
Die meisten Cyberversicherungen sind inhaltlich gut. Sie zahlen für Wiederherstellung, Spurensuche, Betriebsausfall, Haftung und Kommunikation. Daran liegt es selten.
Das Problem ist ein anderes. Vor dem Abschluss füllen Sie einen langen Fragebogen zu Ihrer IT aus. Was Sie dort ankreuzen, wird Teil des Vertrags. Sie sagen damit zu, dass bestimmte Schutzmaßnahmen bei Ihnen laufen.
Im Schadenfall prüft der Versicherer, ob das auch stimmt. Und zwar jede einzelne Angabe.
Ein Beispiel: Sie haben angekreuzt, dass Zugänge mit einem zweiten Faktor gesichert sind, also etwa mit einer App auf dem Handy zusätzlich zum Passwort. Nach dem Angriff stellt sich heraus, dass beim Fernzugang genau das gefehlt hat. Dann wird es schwierig. Nicht weil der Versicherer unfair ist, sondern weil er den Vertrag auf Basis dieser Angabe gemacht hat.
Nach Branchenzahlen wird derzeit rund jeder zweite bis dritte Cyberschaden abgelehnt. Eine so hohe Quote gibt es in keiner anderen Sparte.
Was Sie daraus mitnehmen sollten
Eine Cyberversicherung ist nichts, was man abschließt und dann ablegt. Sie ist eine Abmachung darüber, wie Sie Ihre IT betreiben. Ändert sich daran etwas, muss der Vertrag nachziehen.
Und der Fragebogen ist der wichtigste Teil davon. Er sollte nicht von jemandem ausgefüllt werden, der die IT nur ungefähr kennt.
Was Versicherer heute verlangen
Das erwarten heute fast alle Versicherer. Wer diese Punkte nicht erfüllt, bekommt entweder keinen Vertrag oder einen, der im Ernstfall nicht hilft.
NIS-2 und was das für Ihre Versicherung bedeutet
Das deutsche NIS-2-Umsetzungsgesetz ist seit Dezember 2025 in Kraft. Nach Schätzungen fallen rund 30.000 Unternehmen in Deutschland darunter, deutlich mehr als unter die frühere Regelung.
Betroffen sind nicht nur klassische kritische Infrastrukturen, sondern auch Betriebe aus Produktion, Abfallwirtschaft, Logistik, Lebensmittel und weiteren Bereichen ab bestimmten Größenschwellen. Und indirekt trifft es Zulieferer, weil größere Auftraggeber Nachweise verlangen.
Für die Versicherung ist das aus zwei Gründen wichtig. Viele Versicherer setzen die Einhaltung dieser Vorgaben inzwischen voraus. Wer sie ignoriert, riskiert also nicht nur Bußgelder, sondern auch den Versicherungsschutz.
Was eine Cyberversicherung zahlt
Die Bausteine unterscheiden sich zwischen den Anbietern erheblich. Diese gehören in eine belastbare Deckung.
Was auch eine gute Versicherung nicht zahlt
Damit keine falsche Erwartung entsteht: Es gibt Bereiche, die der Markt nicht abdeckt oder nur eingeschränkt.
- Staatlich zugerechnete Angriffe. Kriegsähnliche und staatlich gesteuerte Cyberoperationen sind in aller Regel ausgeschlossen. Die Abgrenzung ist umstritten und Gegenstand laufender Rechtsstreitigkeiten.
- Systemische Großereignisse. Ein Ausfall, der gleichzeitig Tausende Unternehmen trifft, sprengt die Kapazität des Marktes.
- Bekannte, ungepatchte Schwachstellen. Wer eine Sicherheitslücke seit Monaten kennt und nichts tut, hat schlechte Karten.
- Schäden vor Vertragsbeginn. Angreifer sind oft Wochen im Netz, bevor etwas auffällt. Der Zeitpunkt des Eindringens kann entscheidend sein.
- Fehlende IT-Sicherheit. Eine Cyberversicherung ersetzt keine Absicherung, sie ergänzt sie. Wer nichts investiert, bekommt keinen Vertrag.
Was Unternehmen dazu fragen
Was kostet eine Cyberversicherung?
Der Beitrag hängt von Branche, Umsatz, Deckungssumme, Selbstbehalt und vor allem vom Sicherheitsniveau ab. Für mittelständische Betriebe werden in Veröffentlichungen Größenordnungen im niedrigen bis mittleren vierstelligen Bereich pro Jahr genannt, bei größeren Unternehmen deutlich mehr.
Das ist eine Orientierung, keine Zusage. Entscheidend ist: Betriebe mit nachweisbaren Sicherheitsmaßnahmen zahlen erheblich weniger als Betriebe ohne. Der Unterschied ist größer als in jeder anderen Sparte.
Warum werden so viele Cyber-Schäden abgelehnt?
Überwiegend aus zwei Gründen: falsche oder ungenaue Angaben im Risikofragebogen und die Verletzung von Obliegenheiten, also von Maßnahmen, die im Vertrag zugesagt wurden.
Häufig geschieht das nicht in böser Absicht. Jemand füllt den Fragebogen aus, der die IT nur ungefähr kennt, oder die Maßnahme war einmal umgesetzt und ist im Alltag eingeschlafen. Im Schadenfall wird das dann geprüft, und die Beweislast liegt beim Unternehmen.
Wir haben eine gute IT. Brauchen wir dann überhaupt eine Versicherung?
Gerade dann. Eine gute IT senkt die Wahrscheinlichkeit, aber sie schließt einen erfolgreichen Angriff nicht aus. Und die Kosten eines ernsten Vorfalls liegen selten nur in der Technik.
Der größte Posten ist meist die Betriebsunterbrechung, dazu kommen Forensik, Rechtsberatung, Benachrichtigungspflichten und Krisenkommunikation. Diese Kosten entstehen unabhängig davon, wie gut Ihre Systeme sind.
Betrifft uns NIS-2?
Das hängt von Branche, Größe und Umsatz ab. Betroffen sind deutlich mehr Unternehmen als früher, unter anderem aus Produktion, Abfallwirtschaft, Logistik, Lebensmittel und Chemie ab bestimmten Schwellen.
Auch wenn Sie nicht direkt betroffen sind, kann es Sie indirekt treffen, weil größere Auftraggeber Nachweise von ihren Zulieferern verlangen. Ob die Pflicht für Sie gilt, sollten Sie rechtlich prüfen lassen. Für die Versicherungsfrage schauen wir uns an, wie sich Ihr Status auf die Versicherung auswirkt.
Zahlt die Versicherung ein Lösegeld?
Das wird von Versicherern sehr unterschiedlich gehandhabt und ist auch rechtlich nicht unproblematisch. Manche Verträge schließen es ein, andere ausdrücklich aus, wieder andere knüpfen es an Bedingungen wie die vorherige Abstimmung mit dem Krisenteam.
Wichtiger als die Frage nach dem Lösegeld ist ohnehin die Wiederherstellung. Wer funktionierende, getestete Backups hat, ist auf eine Zahlung meist gar nicht angewiesen.
Wie hoch sollte die Deckungssumme sein?
Rechnen Sie von den Kosten her: Was kostet ein Tag Stillstand in Ihrem Betrieb? Wie lange würde die Wiederherstellung dauern? Was kämen an Forensik, Rechtsberatung und Kommunikation dazu?
Diese Rechnung führt bei den meisten Betrieben zu einer höheren Summe als der, die sie ursprünglich im Kopf hatten. Wir machen sie mit Ihnen konkret.
Ist unsere Produktionstechnik mitversichert?
Nicht automatisch, und das ist ein wichtiger Punkt. Viele Verträge sind auf die normale Büro-IT zugeschnitten. Wenn bei Ihnen Maschinensteuerungen, Waagen, Sortieranlagen oder Gebäudetechnik am Netz hängen, muss das ausdrücklich einbezogen sein.
Gleichzeitig stellt sich die Abgrenzung zur Sach- und Betriebsunterbrechungsversicherung. Ein Schaden an einer Anlage kann in beide Sparten fallen oder in keine. Genau diese Nahtstelle prüfen wir mit.
Wie lange dauert der Abschluss?
Wenn die Voraussetzungen erfüllt sind, geht es vergleichsweise schnell, oft innerhalb weniger Wochen. Der Zeitbedarf liegt selten beim Versicherer, sondern bei der Vorbereitung.
Deshalb unser Vorschlag: Wir gehen den Fragebogen zuerst gemeinsam durch, bevor er irgendwo eingereicht wird. Was dabei auffällt, lässt sich meist mit überschaubarem Aufwand beheben.