Cyberversicherung für KMU: Was sie abdeckt und was nicht

Eine Cyberversicherung soll die finanziellen Folgen eines IT-Sicherheitsvorfalls abfedern: Kosten für die Aufklärung, für die Wiederherstellung von Daten, für einen Betriebsausfall oder für Schadenersatzforderungen Dritter. Sie ersetzt keine IT-Sicherheit. Versicherer setzen grundlegende Schutzmaßnahmen sogar voraus.

Dieser Beitrag erklärt, wie eine Cyberversicherung aufgebaut ist, was sie typischerweise abdeckt, wo ihre Grenzen liegen und wie Sie den Abschluss vorbereiten. Er gibt einen Überblick und ersetzt keine Versicherungs- oder Rechtsberatung. Maßgeblich ist immer der Wortlaut Ihres eigenen Vertrags.

Warum sich Unternehmen mit dem Thema befassen

Ein Sicherheitsvorfall verursacht Kosten, die in keiner Planung stehen: externe Fachleute, Ausfallzeiten, Benachrichtigungen, Rechtsberatung. Eine Orientierung zur Größenordnung gibt der Cost of a Data Breach Report 2026 von IBM und dem Ponemon Institute. Danach lagen die durchschnittlichen Kosten eines Datenlecks weltweit bei 4,99 Millionen US-Dollar. Der Wert ist ein Durchschnitt über die untersuchten Organisationen. Auf einen einzelnen Betrieb lässt er sich nicht übertragen.

Für Ihr Unternehmen ist eine andere Frage wichtiger: Welche Kosten eines Vorfalls könnten Sie selbst tragen, und welche möchten Sie absichern?

Was ist eine Cyberversicherung?

Eine Cyberversicherung, auch Cyberrisiko-Versicherung oder Cyber-Police genannt, ersetzt Vermögensschäden, die durch eine Informationssicherheitsverletzung entstehen. Als neutrale Orientierung eignen sich die Musterbedingungen des Gesamtverbands der Deutschen Versicherungswirtschaft (GDV), die AVB Cyber in der Fassung vom Februar 2024. Der GDV veröffentlicht sie als unverbindliche Bekanntgabe. Jeder Versicherer kann davon abweichen.

Eine Informationssicherheitsverletzung ist nach den AVB Cyber eine Beeinträchtigung der Verfügbarkeit, Integrität oder Vertraulichkeit von elektronischen Daten oder IT-Systemen des Unternehmens. Verfügbarkeit heißt: Daten und Systeme stehen bereit, wenn sie gebraucht werden. Integrität heißt: Daten sind vollständig und unverändert. Vertraulichkeit heißt: Nur Berechtigte haben Zugriff. Auslöser können laut Muster zum Beispiel Angriffe, unberechtigte Zugriffe, Schadprogramme oder ein Verstoß gegen Datenschutzvorschriften sein.

Was eine Cyberversicherung typischerweise abdeckt

Die AVB Cyber gliedern den Schutz in Bausteine. Einige Leistungen sind im Muster nur über eine besondere Vereinbarung versichert. Prüfen Sie deshalb, welche Bausteine und Erweiterungen Ihr Vertrag enthält.

Service- und Kostenbaustein

• Forensik: Kosten für externe Sachverständige, die Ursache und Umfang des Schadens ermitteln. Forensik bedeutet hier die technische Spurensuche nach einem Vorfall. Die Beauftragung stimmen Sie laut Muster vorher mit dem Versicherer ab.
• Benachrichtigung: Kosten, um nach einer Datenschutzverletzung die gesetzlichen Informationspflichten zu prüfen und zu erfüllen. Ein externes Callcenter für Rückfragen der Betroffenen ist im Muster eine Zusatzoption.
• Krisenkommunikation: Kosten für Maßnahmen zum Erhalt des Ansehens, etwa für Krisen- oder PR-Berater. Im Muster gilt das nur bei besonderer Vereinbarung.
• Abwehr eines unmittelbar bevorstehenden Schadens: erforderliche Aufwendungen bis zu einer vereinbarten Teilsumme. Allgemeine Nachrüstung oder Sanierung der IT ist ausdrücklich nicht ersatzfähig.

Drittschäden

Fordert ein Dritter wegen einer Informationssicherheitsverletzung Schadenersatz nach gesetzlichen Haftpflichtbestimmungen, greift der Drittschaden-Baustein. Mitversichert ist im Muster auch die gesetzliche Haftpflicht wegen der Verletzung von Datenschutzgesetzen, begrenzt auf eine vereinbarte Teilsumme. Nicht versichert sind Ansprüche auf Vertragserfüllung und Zusagen, die über die gesetzliche Haftung hinausgehen.

Eigenschäden

• Betriebsunterbrechung: der entgangene Betriebsgewinn und die fortlaufenden Kosten, solange Daten oder Systeme infolge des Vorfalls nicht zur Verfügung stehen. Die Leistung ist auf die vereinbarte Haftzeit begrenzt.
• Wiederherstellung von Daten: notwendige Aufwendungen, um betroffene Daten in den Zustand vor dem Vorfall zurückzubringen und Schadsoftware zu entfernen. Mehrkosten für Verbesserungen über diesen Zustand hinaus ersetzt der Versicherer nach dem Muster nicht.

Was eine Cyberversicherung nicht abdeckt

Die AVB Cyber enthalten allgemeine Ausschlüsse. Wichtige Beispiele:

• Bußgelder und Strafen: Strafen, Bußgelder und behördliche Anordnungen gegen das Unternehmen sind im Muster ausgeschlossen, sofern keine abweichende Regelung getroffen ist. Ob ein Vertrag hier abweicht und ob eine solche Regelung rechtlich trägt, hängt vom Vertrag und von der Rechtslage im Einzelfall ab. Gehen Sie nicht davon aus, dass ein Bußgeld, etwa nach der Datenschutz-Grundverordnung (DSGVO), versichert ist.
• Lösegeld: Die Zahlung von Löse- oder Erpressungsgeld ist im Muster ausgeschlossen.
• Vorsatz: Wer einen Schaden vorsätzlich oder durch wissentliche Pflichtverletzung herbeiführt, hat keinen Anspruch.
• Krieg und staatliche Angriffe: Ausgeschlossen sind Schäden durch Krieg sowie durch staatliche Angriffe, bei denen auch kritische Infrastrukturen ausfallen oder beeinträchtigt werden.
• Ausfall externer Dienstleister: Fällt ein Cloud- oder Rechenzentrumsdienst aus, ist das nach dem Muster nicht versichert. Werden dort gespeicherte Daten dagegen manipuliert oder unberechtigt zugänglich, besteht Versicherungsschutz.
• Vorfälle vor Vertragsbeginn: Sie sind ausgeschlossen. Eine Rückwärtsdeckung kann einen im Vertrag festgelegten Zeitraum davor einschließen, wenn der Vorfall bei Abschluss noch nicht festgestellt war.

Was Versicherer vor einem Vorfall erwarten

Die AVB Cyber nennen Obliegenheiten. Das sind vertragliche Pflichten, die das Unternehmen erfüllen muss, um den Versicherungsschutz nicht zu gefährden. Vor einem Vorfall gehören im Muster dazu:

• individuelle Zugänge für alle Nutzer, technisch durchgesetzte Mindestanforderungen an Passwörter und Administratorkonten nur für administrative Aufgaben;
• zusätzlicher Schutz für Server, die aus dem Internet erreichbar sind, und für Mobilgeräte, zum Beispiel Firewall, Zwei-Faktor-Anmeldung oder Verschlüsselung;
• ein Schutz gegen Schadsoftware, der automatisch aktuell gehalten wird;
• ein Patch-Management, also ein geregeltes Verfahren, das relevante Sicherheitsupdates zeitnah installiert;
• eine mindestens wöchentliche Datensicherung, bei der kein System Original und Sicherung zugleich verändern oder löschen kann, sowie regelmäßige Tests der Wiederherstellung.

Verletzt ein Unternehmen eine Obliegenheit vorsätzlich, ist der Versicherer nach dem Muster leistungsfrei. Bei grober Fahrlässigkeit kann er die Leistung nach der Schwere des Verschuldens kürzen. Hinzu kommen Pflichten im Schadenfall: den Schaden unverzüglich melden, ihn nach Möglichkeit mindern, zumutbare Weisungen des Versicherers befolgen und das Schadenbild unverändert lassen oder nachvollziehbar dokumentieren.

Wie Sie Sicherungen dauerhaft organisieren und prüfen, beschreibt unser Beitrag zum Backup als Managed Service.

So bereiten Sie den Abschluss vor

Wir empfehlen diese Schritte:

1. Kritische Systeme benennen: Welche Systeme und Daten braucht Ihr Betrieb jeden Tag? Wie lange könnten Sie ohne sie arbeiten? Daraus ergeben sich Anhaltspunkte für Versicherungssumme und Haftzeit.
2. Sicherheitsstand prüfen: Gleichen Sie die Obliegenheiten des Angebots mit Ihrem tatsächlichen Stand ab. Schließen Sie Lücken möglichst vor Vertragsbeginn.
3. Fragen des Versicherers sorgfältig beantworten: Stellt der Versicherer vor dem Abschluss Fragen zu Ihrer IT, beantworten Sie diese vollständig und richtig. Nach dem Muster kann eine Verletzung dieser Anzeigepflicht zum Rücktritt des Versicherers führen.
4. Bausteine und Summen vergleichen: Welche Leistungen sind enthalten, welche nur als Erweiterung? Welche Teilsummen und Selbstbehalte gelten?
5. Ablauf im Schadenfall festlegen: Wer meldet den Schaden an den Versicherer? Wer holt technische Hilfe? Welche Schritte stimmen Sie vorher mit dem Versicherer ab?
6. Vertrag regelmäßig überprüfen: vor allem, wenn sich Ihre IT, Ihre Standorte oder Ihr Geschäft ändern.

Den Vertrag selbst schließen Sie mit einem Versicherer ab, auf Wunsch über einen Versicherungsvermittler. Klären Sie Fragen zum Deckungsumfang und zu rechtlichen Grenzen dort oder mit einer Rechtsberatung.

Cyberversicherung als Teil des Risikomanagements

Im Risikomanagement ist eine Versicherung ein Weg, Risiken auf andere zu übertragen. Der BSI-Standard 200-3 des Bundesamts für Sicherheit in der Informationstechnik nennt diesen Risikotransfer neben Vermeiden, Reduzieren und Akzeptieren als Handlungsoption. Eine sachgerechte Vertragsgestaltung ist dabei laut BSI einer der wichtigsten Aspekte. Die Entscheidung trifft die Leitungsebene und dokumentiert sie nachvollziehbar.

Eine Versicherung ändert nichts an der Wahrscheinlichkeit eines Vorfalls. Sie verlagert einen Teil der finanziellen Folgen. Wie Sie Risiken systematisch erfassen, bewerten und behandeln, erklärt unser Beitrag zum IT-Risikomanagement im Mittelstand.

Wie wir Sie unterstützen

Die GSL Groß GmbH betreut kleine und mittelständische Unternehmen in Rheinland-Pfalz und Hessen. Im Bereich IT-Sicherheit prüfen wir mit Ihnen, wie Ihre Systeme heute aufgestellt sind. Das hilft auch beim Abgleich mit den Anforderungen eines Versicherers. Wenn Sie Updates, Datensicherung und Überwachung dauerhaft abgeben möchten, übernehmen wir das mit unseren Managed Services zum monatlichen Festpreis. Für die laufende Erkennung von Angriffen und die Hilfe bei Vorfällen gibt es unser Angebot Managed Detection and Response (MDR).

Sie möchten wissen, wie gut Ihre IT zu den Anforderungen einer Cyberversicherung passt? Sprechen Sie uns an.