Cyber-Versicherung: Wann KMU auf Kosten sitzen bleiben
4 Min. Lesezeit
Ein Cyberangriff kann den Betrieb unterbrechen und Kosten für die Wiederherstellung von Daten auslösen. Eine Cyber-Versicherung kann solche Folgen abdecken, wenn sie im Vertrag vereinbart sind. Für kleine und mittlere Unternehmen kommt es deshalb auf die versicherten Ereignisse, die Grenzen der Deckung und die Pflichten im Schadenfall an. Auch die Angaben im Antrag verdienen eine sorgfältige Prüfung.
Das Wichtigste in Kürze
- Der Vertrag bestimmt den Schutz. Kosten für Forensik, Betriebsunterbrechung, Datenwiederherstellung und Haftpflichtansprüche können Teil einer Police sein.
- Ausschlüsse und Grenzen prüfen. Selbstbehalte, Entschädigungsgrenzen und Regelungen zu staatlichen Angriffen beeinflussen, welche Kosten beim Unternehmen verbleiben.
- Antragsfragen sorgfältig beantworten. Fehlerhafte Angaben können Folgen für Vertrag und Leistung haben. Welche Rechte der Versicherer hat, hängt von den gesetzlichen Voraussetzungen ab.
Welche Schäden eine Police erfassen kann
Was ist eine Cyber-Versicherung? Sie ist ein Versicherungsvertrag für vereinbarte Folgen bestimmter IT-Sicherheitsvorfälle. Welche Ereignisse und Kosten erfasst sind, ergibt sich aus Versicherungsschein, Bedingungen und Nachträgen.
Die unverbindlichen Musterbedingungen des Gesamtverbands der Deutschen Versicherungswirtschaft unterscheiden mehrere Bausteine. Dazu gehören Kosten für die Untersuchung eines Vorfalls, Haftpflichtschutz sowie Eigenschäden durch Betriebsunterbrechung und Datenwiederherstellung. Das Muster ist eine Orientierung. Ein konkretes Angebot kann davon abweichen.
Für die Geschäftsführung lohnt sich ein Blick auf die eigenen Abhängigkeiten: Welche Anwendungen müssen für den Betrieb verfügbar sein? Welche Daten müssen wiederhergestellt werden? Welche Folgen hätte ein Ausfall eines externen Dienstleisters? Anhand dieser Fragen lässt sich prüfen, ob das Angebot die relevanten Szenarien erfasst.
Wo Deckung und Unterstützung enden
Eine Deckungssumme allein zeigt noch nicht, wie viel bei einem Vorfall erstattet wird. Im Angebot sollten Unternehmen auch Selbstbehalte, gesonderte Grenzen für einzelne Leistungen und die Voraussetzungen für eine Entschädigung prüfen. Bei Betriebsunterbrechungen zählt unter anderem, welche Ausfälle versichert sind und für welchen Zeitraum der Vertrag Schutz vorsieht.
Ausschlüsse verdienen dieselbe Aufmerksamkeit. Regelungen zu Krieg oder staatlich unterstützten Cyberangriffen können je nach Vertrag unterschiedlich ausfallen. Auch bei einem Angriff auf einen Dienstleister ist zu prüfen, ob dessen Ausfall vom vereinbarten Schutz erfasst ist. Eine pauschale Aussage über alle Versicherer trägt hier nicht.
Bei Unterstützungsleistungen ist entscheidend, wie das Unternehmen den Versicherer erreicht und welche Hilfe zugesagt ist. Vor der Beauftragung eigener Spezialisten sollte geklärt sein, welche Abstimmung der Vertrag verlangt und welche Kosten übernommen werden können.
Welche Folgen falsche Antragsangaben haben können
Versicherer fragen vor Vertragsschluss nach Umständen, die für ihre Entscheidung erheblich sind. Das kann die vorhandene IT-Sicherheit betreffen. Geschäftsführung und IT sollten die Antworten gemeinsam prüfen und dokumentieren, worauf sie beruhen.
Nach dem Versicherungsvertragsgesetz können unrichtige oder unvollständige Angaben dem Versicherer unter bestimmten Voraussetzungen Rechte wie Rücktritt, Kündigung oder Vertragsanpassung geben. Dabei kommt es unter anderem auf das Verschulden und die weiteren gesetzlichen Voraussetzungen an. Ein Fehler führt daher nicht automatisch dazu, dass der Versicherer jede Leistung verweigern darf.
Auch nach Vertragsschluss können vereinbarte Sicherheits- und Meldepflichten relevant sein. Unternehmen sollten festhalten, wer die Anforderungen überwacht, wer einen Vorfall meldet und welche Unterlagen der Versicherer benötigt.
Angebote am eigenen Risiko messen
Für einen Vergleich sollten Geschäftsführung, IT und gegebenenfalls Versicherungsberatung dieselben Szenarien durchgehen. Dazu gehören ein verschlüsseltes System, die Wiederherstellung aus Sicherungen und der Ausfall einer geschäftskritischen Anwendung. Anschließend lässt sich für jedes Angebot prüfen, welche Kosten erfasst sind und welche beim Unternehmen bleiben.
Neben der Prämie zählen die vereinbarte Deckung, der Selbstbehalt und die im Vertrag geregelte Unterstützung. Eine allgemeine Rechnung, nach wie vielen Jahren sich eine Police amortisiert, ersetzt diese Prüfung nicht. Ob der Schutz zum Unternehmen passt, hängt von dessen Risiken und dem konkreten Angebot ab.
Häufige Fragen
Deckt eine Cyber-Versicherung jede Betriebsunterbrechung ab?
Das hängt vom Vertrag ab. Unternehmen sollten prüfen, welche Ursachen und Systeme erfasst sind und welche Grenzen für die Entschädigung gelten.
Führen falsche Angaben im Antrag immer zum Verlust des Schutzes?
Nein. Die möglichen Folgen hängen von den Umständen und den gesetzlichen Voraussetzungen ab. Dazu zählt unter anderem, ob die Anzeigepflicht schuldhaft verletzt wurde.
Was sollten Unternehmen bei Unterstützungsleistungen prüfen?
Entscheidend sind die zugesagten Leistungen, der Meldeweg und die Frage, unter welchen Voraussetzungen Kosten für externe Fachleute übernommen werden.
Weiterlesen auf MyBusinessFuture
MyBusinessFutureDaten-Governance im Mittelstand: Praxischeck zum neuen DGGMyBusinessFutureRaus aus der US-Cloud: Was der Mittelstand prüfen mussMyBusinessFutureReturn to Office 2026: Bürozwang vertreibt Top-TalenteMehr aus dem MBF Media Netzwerk
SecurityTodayCyber-Versicherung 2026: Was Unternehmen wissen müssen, bevor sie eine Police abschließenSecurityTodayRansomware 2026: Incident Response in den ersten 60 MinutenBildquelle: KI-generiert (November 2026)
