Ihre Cyberversicherung zahlt nicht – warum das kein Einzelfall ist
5 Min. Lesezeit
Gastkommentar · enthus
GastkommentarWolfgang Hahl, Chief Revenue Officer, enthus GmbH
Ein mittelständisches Unternehmen aus meiner Nachbarschaft mit rund 200 Mitarbeitern und seit Jahren einer Cyberversicherung. Dann kommt der Angriff: Ransomware, Systeme verschlüsselt, Betrieb still. Der Geschäftsführer meldet den Schaden – und der Versicherer lehnt ab.
Das Wichtigste in Kürze
- Police ≠ Schutz: Eine Cyberversicherung zahlt nur, wenn MFA, EDR, getestete Backups und der Incident-Response-Plan zum Angriffszeitpunkt lückenlos greifen – nicht zum Vertragsabschluss.
- Ablehnungen steigen: Rund 37 Prozent der Cyber-Claims scheitern. Bei 82 Prozent der Ablehnungen war fehlende MFA Mitursache (Coalition 2024).
- Governance vor Tools: NIS-2 macht Cybersicherheit seit Dezember 2025 zur persönlichen Haftungsfrage der Geschäftsleitung – Scheinsicherheit reicht nicht.
Verwandt:Cyberversicherungen: Was KMU wissen müssen / NIS-2-Registrierung: Was die Chefetage jetzt tun muss
Der Grund: Im Antragsfragebogen hatte das Unternehmen angegeben, Multi-Faktor-Authentifizierung flächendeckend eingeführt zu haben. Tatsächlich war MFA nur für einen Teil der Zugänge aktiv. Für den Versicherer reicht das. Die Police greift nicht.
Das ist kein Einzelfall. Es ist ein wiederkehrendes Muster, das wir immer wieder in der Incident Response beobachten.
Sicherheitsgefühl statt Schutzschild
Viele Geschäftsführer, mit denen ich spreche, haben eine Cyberversicherung abgeschlossen und fühlen sich damit abgesichert. Das ist verständlich. Und es ist doch gefährlich.
Denn eine Cyberversicherung ist kein Schutzschild. Sie ist ein finanzieller Risikotransfer für den Fall, dass alle anderen Maßnahmen versagt haben. Sie verhindert keinen Angriff. Und sie zahlt nur dann, wenn die Bedingungen im Kleingedruckten lückenlos erfüllt sind – zum Zeitpunkt des Angriffs, nicht zum Zeitpunkt des Vertragsabschlusses.
Genau hier liegt das Problem: Viele Unternehmen haben eine Police, aber keine Sicherheitsarchitektur, die dieser Police standhält.
Was Versicherer 2026 wirklich prüfen
Der Markt hat sich verändert. Nach den Ransomware-Wellen der vergangenen Jahre haben Versicherer ihre Anforderungen drastisch verschärft. Was früher ein Fragebogen mit zehn Fragen war, ist heute eine tiefgehende technische Prüfung.
Um die 95 Prozent der Versicherer fordern Multi-Faktor-Authentifizierung auf E-Mail, VPN, Remote-Zugängen, Cloud-Plattformen und Admin-Konten – vollständig, nicht teilweise. 89 Prozent setzen Endpoint Detection and Response auf allen Endgeräten voraus. Dazu kommen regelmäßig getestete Backups, konsequentes Patch-Management und ein dokumentierter Incident-Response-Plan. Wer diese Anforderungen nicht erfüllt, bekommt 2026 entweder keine Police oder eine, die im Schadensfall nicht greift.
Laut Coalition wurden 2024 bei 82 Prozent der abgelehnten Schadensansprüche fehlende MFA als Mitursache identifiziert. Rund 37 Prozent aller Cyber-Claims werden abgelehnt – Tendenz steigend. Und wer im Fragebogen Maßnahmen zusagt, die er tatsächlich nicht vollständig umgesetzt hat, riskiert die Ablehnung und unter Umständen den vollständigen Verlust des Versicherungsschutzes. Das OLG Schleswig hat das im Januar 2025 in einem konkreten Fall bestätigt.
Das eigentliche Problem: Scheinsicherheit
Was ich in der Praxis immer wieder sehe, ist kein böser Wille der Unternehmen. Sie verlassen sich auf Scheinsicherheit. Denn sie investieren, kaufen Tools, schließen Versicherungen ab, beauftragen Dienstleister. Auf dem Papier sieht das alles gut aus. In der Realität fehlt das Gesamtbild: Wer hat eigentlich den Überblick, welche Systeme wirklich geschützt sind? Wer prüft, ob die MFA-Abdeckung tatsächlich bei 100 Prozent liegt? Wer testet die Backups wirklich: Existieren sie nur oder funktionieren sie im Ernstfall?
Diese Fragen landen selten auf dem Tisch der Geschäftsführung. Sie landen in der IT-Abteilung und bleiben dort. Das ist das eigentliche Governance-Problem.
NIS-2 macht das aber zur Chefsache. Seit Dezember 2025 gilt das NIS-2-Umsetzungsgesetz in Deutschland. Rund 29.500 Unternehmen in 18 Sektoren sind betroffen. Die Geschäftsleitung haftet persönlich – mit Bußgeldern bis zu 10 Millionen Euro oder 2 Prozent des weltweiten Jahresumsatzes. Cybersicherheit ist damit keine IT-Frage mehr. Sie ist eine Führungsfrage.
Was das konkret bedeutet
Und diese müssen Geschäftsleitung beantworten können. Dafür sind diese Schritte entscheidend:
- Prüfen Sie Ihre Police. Lesen Sie die Obliegenheiten – nicht nur das Deckungsblatt. Was haben Sie zugesagt? Und können Sie das heute nachweisbar belegen?
- Prüfen Sie Ihren tatsächlichen Sicherheitsstand. In der Realität, nicht nur auf dem Papier. Wie hoch ist Ihre MFA-Abdeckung wirklich – als konkrete Zahl? Wann wurden Ihre Backups zuletzt getestet und nicht nur durchgeführt?
- Schließen Sie die Lücke zwischen dem, was Sie glauben zu haben und dem, was Sie tatsächlich haben. Eine Cyberversicherung, die im Schadensfall nicht zahlt, ist kein Risikotransfer. Sie ist verbranntes Geld.
Viele Unternehmen haben kein Security-Problem. Sie haben ein Governance-Problem. Den Unterschied zu kennen, ist der erste Schritt.
Vertiefung
Mehr zur Lücke zwischen zugesagter und gelebter Security: Wir machen Schluss mit Schein-Sicherheit (enthus).
Wolfgang Hahl ist Chief Revenue Officer (CRO) der enthus GmbH, einem der führenden IT-Systemhäuser im deutschen Mittelstand. enthus begleitet Unternehmen bei der Entwicklung strukturierter IT-Sicherheitsarchitekturen – jenseits von Tool-Listen und Einzelmaßnahmen.
Häufige Fragen
Warum lehnen Versicherer Cyber-Schäden ab?
Häufig, weil im Antragsfragebogen Sicherheitsmaßnahmen zugesagt wurden, die zum Zeitpunkt des Angriffs nicht vollständig umgesetzt waren – etwa MFA nur auf einem Teil der Zugänge. Die Police greift dann nicht.
Was prüfen Cyberversicherer 2026 besonders streng?
Vollständige MFA auf kritischen Zugängen, EDR auf allen Endgeräten, regelmäßig getestete Backups, Patch-Management und einen dokumentierten Incident-Response-Plan. Teilumsetzungen reichen nicht.
Was hat NIS-2 mit der Cyberpolice zu tun?
Seit Dezember 2025 haftet die Geschäftsleitung persönlich für Cybersicherheit. Wer Police und realen Sicherheitsstand nicht abgleicht, riskiert im Ernstfall beides: den operativen Schaden und die Versicherungsleistung – plus regulatorische Haftung.
Was sollte die Geschäftsführung zuerst prüfen?
Die Obliegenheiten der Police und den realen Umsetzungsstand (MFA-Abdeckung in Prozent, letztes Backup-Recovery-Test-Datum). Die Lücke zwischen beidem ist der kritische Punkt.
Ist eine Cyberversicherung damit nutzlos?
Nein. Sie bleibt sinnvoller Risikotransfer – aber nur, wenn die zugesagte Sicherheitsarchitektur real und nachweisbar steht. Ohne diese Basis ist die Police teure Scheinsicherheit.
Weiterlesen auf MyBusinessFuture
MyBusinessFutureCyberversicherungen: Was KMU wissen müssenMyBusinessFutureNIS-2-Registrierung: Was die Chefetage jetzt tun mussMyBusinessFutureDateitransfer als Einfallstor: Was CFOs prüfenMehr aus dem MBF Media Netzwerk
cloudmagazinWindows 10: Der teuerste Weg ist, nichts zu tunDigital ChiefsCyber-Versicherung: Risiken managen und Verluste vermeidenSecurityTodayRansomware-Resilienz: Warum deutsche Unternehmen seltener zahlenBildquelle: KI-generiert (Juli 2026)
