Cyber-Versicherung: Was Versicherer von deiner IT verlangen
Eine Cyber-Versicherung zahlt nur, wenn deine IT vorher hält, was der Vertrag verlangt. Backups, Updates, getrennte Admin-Konten: Steht alles in den Bedingungen. Wir sagen dir nicht, welche Police du kaufen sollst. Wir sorgen dafür, dass du die Fragen ehrlich mit Ja beantworten kannst.
150 € pro Stunde, pauschal für alles. Für Unternehmen, zzgl. USt.
Was ist eine Cyber-Versicherung?
Eine Cyber-Versicherung ist eine Versicherung für Unternehmen gegen die finanziellen Folgen von Angriffen auf ihre IT und von Datenpannen. Sie kombiniert meist drei Bausteine: Service und Kosten im Ernstfall (Krisenberatung, Forensik), Eigenschäden (Betriebsunterbrechung, Wiederherstellung von Daten) und Drittschäden (Ansprüche von Kundschaft oder Partnern). So sind auch die unverbindlichen Musterbedingungen des Gesamtverbands der Deutschen Versicherungswirtschaft (GDV) aufgebaut.
Wichtig ist der Unterschied zwischen Versicherung und Schutz. Eine Police verhindert keinen Angriff. Sie bezahlt einen Teil der Folgen, wenn du deine Pflichten erfüllt hast. Deshalb fragen Versicherer vor dem Abschluss genau nach, wie es um deine IT steht, und die Antworten werden Teil des Vertrags.
Wir sind weder Versicherer noch Makler. Welche Police und welche Summen zu dir passen, klärst du mit einer Versicherungsberatung. Unser Teil ist die IT dahinter: Backups, Updates, Zugänge, Notfallplan, also genau das, wonach der Fragebogen fragt.
Was eine Cyber-Versicherung typischerweise abdeckt
Die drei Bausteine der GDV-Musterbedingungen. Einzelne Versicherer weichen ab, Summen und Selbstbehalte bestimmen den echten Wert.
| Baustein | Was er abdeckt (Beispiele) | Worauf achten |
|---|---|---|
| Service und Kosten | Forensik und Schadenfeststellung, Krisenkommunikation, Benachrichtigung Betroffener | Gibt es eine Notfall-Hotline mit Dienstleistern? Welche Kosten vor dem Versicherungsfall? |
| Eigenschaden | Betriebsunterbrechung, Wiederherstellung von Daten | Zeitliche Selbstbeteiligung bei Unterbrechung, welche Daten gelten als versichert? |
| Drittschaden | Ansprüche Dritter, etwa nach Datenpannen | Vertragsstrafen und Bußgelder sind oft eingeschränkt oder ausgeschlossen |
Checkliste: die IT-Pflichten aus den Musterbedingungen
Abschnitt A1-16 der AVB Cyber nennt Obliegenheiten vor dem Versicherungsfall. Hier sind sie in Klartext, jeweils mit dem Nachweis, den du parat haben solltest.
Individuelle Zugänge für alle
Keine Sammelkonten. Jede Person hat einen eigenen Zugang. Nachweis: Benutzerliste aus dem Verzeichnis oder den wichtigsten Anwendungen.
Passwort-Mindestanforderungen technisch erzwungen
Nicht nur als Regel im Handbuch, sondern im System eingestellt. Nachweis: Screenshot der Richtlinie.
Admin-Konten nur für Admin-Arbeit
Administrative Zugänge sind Administratoren vorbehalten und werden nur für administrative Tätigkeiten genutzt. Wer mit Admin-Rechten Mails liest, verstößt dagegen.
Zusatzschutz für erreichbare Server und Mobilgeräte
Etwa Firewall und Zwei-Faktor-Anmeldung bei Servern, Verschlüsselung und Diebstahlschutz bei Laptops und Telefonen.
Schutz gegen Schadsoftware, automatisch aktuell
Virenschutz oder gleichwertige Maßnahmen, die sich selbst aktualisieren. Nachweis: Verwaltungskonsole mit Stand der Geräte.
Patch-Management
Relevante Sicherheitsupdates zeitnah installieren. Systeme mit bekannten Lücken nur mit zusätzlicher Absicherung betreiben. Nachweis: Update-Protokoll, Liste der Ausnahmen mit Begründung.
Mindestens wöchentliche Backups, nicht überschreibbar
Kein System und keine Rolle darf zugleich Original und Sicherung verändern oder löschen können, etwa durch physische Trennung oder einen Backup-Server außerhalb der zentralen Verwaltung.
Wiederherstellung regelmäßig getestet
Nach festem Turnus prüfen, ob das Zurückspielen funktioniert. Nachweis: Testprotokoll mit Datum und Ergebnis.
Dazu kommen nach A1-16.2 alle gesetzlichen, behördlichen und vertraglichen Sicherheitsvorschriften, für NIS2-Einrichtungen also auch die Maßnahmen aus § 30 BSIG. Die Bedingungen deines Versicherers können strenger sein, etwa Multi-Faktor-Anmeldung für alle Fernzugänge.
Was im Fragebogen steht und warum er so wichtig ist
Vor dem Abschluss beantwortest du einen Risikofragebogen. Der GDV hat dafür einen unverbindlichen Muster-Fragebogen für kleine und mittelständische Unternehmen veröffentlicht. Er ordnet Unternehmen Risiko-Kategorien zu und ergänzt Zusatzfragen für bestimmte Geschäftsbereiche: E-Commerce, ausgelagerte Infrastruktur bei Dienstleistern, private Geräte von Mitarbeitenden, besonders schützenswerte Daten und automatisierte Produktion.
Der Fragebogen ist keine Formalie. Falsche Antworten können als Verletzung der vorvertraglichen Anzeigepflicht gelten, und nicht eingehaltene Obliegenheiten können die Leistung kürzen oder ganz entfallen lassen. Nach § 28 VVG führt eine grob fahrlässige Verletzung zu einer Kürzung nach Schwere des Verschuldens, eine vorsätzliche zur Leistungsfreiheit, außer die Verletzung war für den Schaden nicht ursächlich. Ehrlich antworten und Lücken vorher schließen ist deshalb billiger als jede Diskussion im Schadenfall.
Vorbereitung in fünf Schritten
- Bestandsaufnahme: Welche Systeme, welche Daten, welche Dienstleister? Eine Liste, eine Seite.
- Lücken gegen die Checkliste: Jede der acht Pflichten oben mit Ja, Nein oder Teilweise bewerten.
- Schnellste Lücken zuerst: Admin-Konten trennen, MFA einschalten, Backup-Trennung herstellen. Das sind oft Tage, nicht Monate.
- Nachweise sammeln: Screenshots, Protokolle, Richtlinien in einem Ordner. Im Schadenfall fragt der Versicherer danach.
- Notfallplan schreiben: Wer ruft wen an, wenn alles verschlüsselt ist? Die Hotline des Versicherers gehört auf Seite eins.
Brauche ich eine Cyber-Versicherung?
Das ist eine kaufmännische Entscheidung: Wie lange kannst du ohne IT arbeiten, was kostet ein Tag Stillstand, wie viele personenbezogene Daten verarbeitest du? Für Betriebe, die ohne IT nicht liefern können, ist die Versicherung oft ein sinnvoller Baustein. Sie ersetzt aber nie Backups, Updates und einen Notfallplan, und ohne diese Grundlagen bekommst du sie meist gar nicht oder nur teuer.
Ein guter Startpunkt für kleine Unternehmen ist der CyberRisikoCheck nach DIN SPEC 27076: Ein IT-Dienstleister prüft im Interview 27 Anforderungen und gibt priorisierte Empfehlungen. Viele dieser Anforderungen decken sich mit den Fragen der Versicherer. Unseren eigenen Schnellcheck findest du unter IT-Sicherheitscheck.
Wann du uns nicht brauchst
Wenn deine IT von einem Systemhaus betreut wird, das die acht Punkte oben nachweislich erfüllt, und dein Makler den Fragebogen mit euch durchgeht, ist alles in guten Händen. Wir helfen, wenn Lücken offen sind, wenn Websites, Shops oder eigene Software zur Angriffsfläche gehören oder wenn nach einem Vorfall jemand die Technik und die Kommunikation zugleich ordnen muss.
Häufige Fragen zur Cyber-Versicherung
Was deckt eine Cyber-Versicherung ab?
Typischerweise Kosten im Ernstfall wie Forensik und Krisenberatung, Eigenschäden wie Betriebsunterbrechung und Datenwiederherstellung sowie Ansprüche Dritter nach Datenpannen. Umfang, Summen, Selbstbehalte und Ausschlüsse unterscheiden sich je Versicherer. Die Musterbedingungen des GDV geben die übliche Struktur vor. Keine Versicherungsberatung.
Welche Voraussetzungen verlangen Cyber-Versicherer?
Nach den GDV-Musterbedingungen unter anderem individuelle Zugänge, technisch erzwungene Passwortregeln, getrennte Admin-Konten, Zusatzschutz für Server und Mobilgeräte, aktuellen Schutz gegen Schadsoftware, zeitnahe Sicherheitsupdates und mindestens wöchentliche, geschützte Backups mit regelmäßigem Wiederherstellungstest. Viele Versicherer verlangen zusätzlich Multi-Faktor-Anmeldung.
Zahlt die Cyber-Versicherung, wenn Backups fehlen?
Das hängt vom Vertrag ab. Fehlen vereinbarte Backups, kann das eine Obliegenheitsverletzung sein. Nach § 28 VVG kann der Versicherer dann bei grober Fahrlässigkeit kürzen und bei Vorsatz ganz leistungsfrei sein, außer die Verletzung war für den Schaden nicht ursächlich. Deshalb lohnt der Blick in die Obliegenheiten vor dem Abschluss.
Was kostet eine Cyber-Versicherung?
Die Prämie hängt von Umsatz, Branche, Versicherungssumme, Selbstbehalt und dem Zustand deiner IT ab. Seriöse Zahlen nennen nur Versicherer und Makler im Angebot. Gut aufgestellte IT senkt das Risiko und damit oft auch die Prämie. Wir nennen bewusst keine Preise Dritter.
Ersetzt eine Cyber-Versicherung IT-Sicherheit?
Nein. Sie ersetzt einen Teil der finanziellen Folgen, nicht den Schutz. Ohne Grundschutz bekommst du in der Regel keine Police oder riskierst, im Schadenfall leer auszugehen. Backups, Updates, getrennte Konten und ein Notfallplan bleiben die Basis, mit oder ohne Versicherung.
Quellen
- GDV: Allgemeine Versicherungsbedingungen für die Cyberrisiko-Versicherung (AVB Cyber), Stand Februar 2024, abgerufen am 14.11.2026.
- GDV: Unverbindlicher Muster-Fragebogen zur Risikoerfassung im Rahmen von Cyber-Versicherungen, Stand Dezember 2019, abgerufen am 14.11.2026.
- § 28 Versicherungsvertragsgesetz, abgerufen am 14.11.2026.
- BSI: CyberRisikoCheck nach DIN SPEC 27076, abgerufen am 14.11.2026.
150 € pro Stunde, pauschal für alles. Für Unternehmen, zzgl. USt.