Lohnt sich eine Cyberversicherung für KMU

In den meisten Fällen ja. Die finanziellen Folgen eines Vorfalls übersteigen oft schnell die Prüfungs- und Beratungskosten der Police. Wichtig ist die ehrliche Beantwortung der Risikofragen und die Umsetzung der Mindestanforderungen.

Was passiert bei staatlich geförderten Angriffen

Viele Policen enthalten Ausschlüsse für Krieg und staatlich geförderte Angriffe. Die Reichweite dieser Klauseln ist streitig, insbesondere seit Entscheidungen US-amerikanischer Gerichte zur NotPetya-Welle. Eine genaue Prüfung der Formulierung ist sinnvoll.

Cyberversicherung: Definition

Auch bekannt als: Cyberpolice

Rechtsgrundlagen

VVG
GDV Musterbedingungen Cyber

Was eine Cyberpolice abdeckt

Eine Cyberversicherung deckt typischerweise drei Bereiche: Eigenschäden des Unternehmens wie Forensik, Wiederherstellung, Betriebsunterbrechung, Datenrekonstruktion und Krisenkommunikation, Drittschäden gegenüber Kunden und Geschäftspartnern, etwa aus DSGVO-Verstößen und Vertragsverletzungen, sowie Assistance-Leistungen, also den Zugriff auf vorqualifizierte Dienstleister für Incident Response, IT-Forensik, Rechtsberatung und Kommunikation.

Viele Policen schliessen die Erstattung von Lösegeldzahlungen ein, allerdings nur unter klar definierten Bedingungen, insbesondere unter Beachtung der Sanktionslisten und einer Vorab-Prüfung durch die Versicherung.

Typische Obliegenheiten

Cyberversicherer erwarten ein definiertes Mindestmaß an IT-Sicherheit: Multi-Faktor-Authentifizierung für Fernzugriff und privilegierte Konten, regelmäßiges Patch-Management, EDR-Lösungen auf Servern und Clients, segmentiertes Netzwerk, getestete Backups nach 3-2-1-Regel mit Offline-Kopie, Awareness-Schulungen und ein dokumentierter Notfallplan.

Werden diese Obliegenheiten nicht eingehalten, kann der Versicherer im Schadenfall den Schutz versagen oder kürzen. Aktuelle Fragebogen sind sehr detailliert und sollten ehrlich beantwortet werden. Falsche Angaben führen regelmäßig zur Leistungsfreiheit.

Worauf bei Abschluss zu achten ist

Wichtig sind Deckungssummen und Sublimits für Lösegeld, Betriebsunterbrechung und Datenwiederherstellung, die Definition der Wartezeit bei Betriebsunterbrechung, der Geltungsbereich auch für Cloud-Dienste und Tochtergesellschaften, die Klarheit der Ausschlüsse für Krieg, staatlich geförderte Angriffe und bekannte Schwachstellen, sowie das Krisenmanagement-Netzwerk der Versicherung.

Ein guter Cybermakler bringt Vergleich, Verhandlung und im Schadenfall die Koordination mit der Versicherung mit. Ein vor dem Vorfall geprüftes Krisenteam, das Anwalt, Forensik und Kommunikation umfasst, ist wertvoller als jede Police, die im Vorfall erst aktiviert werden muss.

Im Schadenfall

Der Schaden ist unverzüglich zu melden. Die meisten Policen verlangen die Einbindung der Assistance-Dienstleister, oft mit Vorabgenehmigung. Eigenmächtige Beauftragung anderer Dienstleister führt regelmäßig zu Leistungskürzungen. Dokumentation ist zentral, von der Erstmeldung über alle Maßnahmen bis zur Wiederinbetriebnahme.

Häufige Fragen

Lohnt sich eine Cyberversicherung für KMU: In den meisten Fällen ja. Die finanziellen Folgen eines Vorfalls übersteigen oft schnell die Prüfungs- und Beratungskosten der Police. Wichtig ist die ehrliche Beantwortung der Risikofragen und die Umsetzung der Mindestanforderungen.
Was passiert bei staatlich geförderten Angriffen: Viele Policen enthalten Ausschlüsse für Krieg und staatlich geförderte Angriffe. Die Reichweite dieser Klauseln ist streitig, insbesondere seit Entscheidungen US-amerikanischer Gerichte zur NotPetya-Welle. Eine genaue Prüfung der Formulierung ist sinnvoll.

Dieser Beitrag gibt den Rechtsstand Stand: Juni 2026 wieder und ersetzt keine Beratung im Einzelfall.