Eine Cyberversicherung soll finanzielle Folgen eines digitalen Sicherheitsvorfalls begrenzen. Sie kann je nach Vertrag Kosten für die Wiederherstellung von Systemen, die Untersuchung eines Angriffs oder die Information betroffener Personen übernehmen. Damit ist sie ein Bestandteil des Risikomanagements, aber kein technischer Schutzschild.
Für kleine Betriebe ist diese Unterscheidung besonders wichtig. Eine Versicherung verhindert weder eine Schadsoftware-Infektion noch einen erfolgreichen Phishing-Angriff. Sie ersetzt auch keine Datensicherung, keine Aktualisierung von Software und keine klare Regelung für Notfälle. Fehlen grundlegende Schutzmaßnahmen, kann der Versicherer die Leistung einschränken oder ablehnen, wenn vertragliche Pflichten verletzt wurden.
Die sinnvollere Reihenfolge lautet daher: Risiken erfassen, Schutzmaßnahmen umsetzen, Notfallabläufe festlegen und danach prüfen, welche finanziellen Folgen durch eine Versicherung abgesichert werden sollen. Der Vertrag sollte zu den tatsächlich genutzten Systemen, Daten und Geschäftsprozessen passen.
Versicherungsbedingungen verwenden unterschiedliche Begriffe. Häufig geht es um eine Verletzung der Informationssicherheit, einen Angriff auf Netzwerke oder einen Datenschutzvorfall. Entscheidend ist nicht die Überschrift des Vertrags, sondern die konkrete Definition im Bedingungswerk.
Zu den häufig versicherten Ausgangslagen können gehören:
Nicht jeder technische Fehler ist automatisch ein Cyberereignis. Ein defektes Netzteil, ein gewöhnlicher Hardwareausfall oder eine länger andauernde Störung eines externen Dienstleisters kann in einen anderen Versicherungsbereich fallen. Die Abgrenzung sollte vor Vertragsabschluss schriftlich nachvollziehbar sein.
Eigenschäden betreffen den versicherten Betrieb selbst. Nach einem Sicherheitsvorfall können sie in mehreren Kostenarten auftreten. Der konkrete Umfang hängt vom Vertrag, der vereinbarten Versicherungssumme, Selbstbeteiligungen und Ausschlüssen ab.
Nach einem Angriff muss häufig geklärt werden, welcher Zugang verwendet wurde, welche Systeme betroffen sind und ob sich der Angreifer noch im Netzwerk befindet. Dafür können spezialisierte IT-Forensiker benötigt werden. Eine gute Police beschreibt, ob diese Untersuchungskosten übernommen werden und ob vor der Beauftragung eine Zustimmung erforderlich ist.
Die Wiederherstellung kann das Bereinigen von Geräten, das Neuaufsetzen von Servern, die Rücksicherung aus Backups oder die Rekonstruktion beschädigter Daten umfassen. Zu prüfen ist, ob auch Kosten für Ersatzhardware, zusätzliche Arbeitszeit und externe Dienstleister berücksichtigt werden.
Wenn ein Betrieb wegen eines Cybervorfalls nicht oder nur eingeschränkt arbeiten kann, können Umsatzausfälle und fortlaufende Kosten entstehen. Eine Betriebsunterbrechungsdeckung kann diesen Bereich erfassen. Dabei sind Wartezeiten, Höchstentschädigungen, die maximale Haftungsdauer und die Berechnung des versicherten Ertrags besonders relevant.
Bei einer Erpressung können Kosten für Krisenberatung, Verhandlungen oder technische Maßnahmen zur Wiederherstellung geregelt sein. Ob und unter welchen Bedingungen Lösegeldzahlungen versichert sind, muss ausdrücklich im Vertrag stehen. Eine Zahlung kann rechtliche, sicherheitspolitische und praktische Risiken schaffen. Sie garantiert weder eine Entschlüsselung noch die Löschung kopierter Daten.
Ein Cybervorfall kann nicht nur den eigenen Betrieb treffen. Werden Daten von Kunden, Beschäftigten oder Geschäftspartnern offengelegt, können daraus Ansprüche und weitere Kosten entstehen. Eine Cyberhaftpflicht kann je nach Vertragsgestaltung die Prüfung und Abwehr unberechtigter Forderungen sowie die Regulierung berechtigter Ansprüche übernehmen.
Beispiele für mögliche Anspruchsbereiche sind:
Die Deckung sollte nicht anhand allgemeiner Begriffe beurteilt werden. Wichtig sind die versicherten Tätigkeiten, der räumliche Geltungsbereich, die Definition von Vermögensschäden und die Frage, ob Ansprüche verbundener Unternehmen ausgeschlossen sind. Auch Vertragsstrafen, behördliche Sanktionen und Kosten zur Erfüllung eigener Nachbesserungspflichten können anders behandelt werden als Schadenersatzforderungen.
Ein Vorfall erzeugt häufig Zeitdruck. Es muss festgestellt werden, was passiert ist, welche Systeme abgeschaltet werden sollten und ob Melde- oder Benachrichtigungspflichten bestehen. Viele Cyberversicherungen enthalten deshalb Leistungen für eine Incident-Response-Beratung, Rechtsberatung, Kommunikation und gegebenenfalls die Information betroffener Personen.
Diese Leistungen können bei Datenschutzvorfällen besonders wertvoll sein. Der Versicherer kann ein Netzwerk aus spezialisierten Kanzleien, IT-Forensikern und Kommunikationsberatern vorgeben. Ob der Betrieb freie Auswahl hat oder ausschließlich ein benanntes Dienstleisterverzeichnis nutzen muss, gehört zu den Vertragsfragen.
Auch die Erreichbarkeit ist praktisch entscheidend. Ein Vertrag kann eine rund um die Uhr erreichbare Schadenhotline vorsehen oder eine Meldung innerhalb eines bestimmten Zeitfensters verlangen. Die zuständigen Kontaktpersonen sollten intern dokumentiert sein. Dazu gehören außerdem Angaben zur Police, zum Makler oder Versicherer und zur eigenen IT-Betreuung.
Ein Cybervorfall kann datenschutzrechtliche Pflichten auslösen. Eine Versicherung nimmt dem Betrieb diese Pflichten nicht ab. Die verantwortliche Stelle muss weiterhin bewerten, ob eine Verletzung des Schutzes personenbezogener Daten vorliegt, ob eine Meldung erforderlich ist und welche Informationen an betroffene Personen gehen.
Versichert sein können die Kosten für Beratung, technische Untersuchung oder Benachrichtigung. Nicht automatisch versichert sind jedoch behördliche Geldbußen, Vertragsstrafen oder alle Folgen eines Verstoßes. Die rechtliche Zulässigkeit einer Versicherungsleistung kann zudem vom Einzelfall und vom anwendbaren Recht abhängen.
Für die Praxis empfiehlt sich ein vorbereiteter Ablauf:
Versicherer kalkulieren das Risiko anhand von Angaben zur IT-Umgebung und zu den Schutzmaßnahmen. Diese Angaben müssen wahrheitsgemäß, vollständig und aktuell sein. Werden wesentliche Tatsachen falsch angegeben, kann das bei einem Schaden erhebliche Folgen haben.
Je nach Produkt können unter anderem folgende Maßnahmen abgefragt werden:
Eine solche Liste ist keine automatische Leistungszusage. Maßgeblich bleiben die konkreten Obliegenheiten im Vertrag. Steht dort etwa, dass Backups regelmäßig getestet werden müssen, genügt das Vorhandensein einer Sicherung möglicherweise nicht. Ebenso sollte geprüft werden, ob ein Dienstleister die geforderten Maßnahmen tatsächlich umsetzt.
Die Versicherungssumme bezeichnet den maximalen Betrag, den der Vertrag für einen versicherten Schaden oder für einen Versicherungszeitraum vorsieht. Zusätzlich können für einzelne Leistungen niedrigere Sublimits gelten. Eine hohe Gesamtsumme sagt daher wenig aus, wenn die Kosten für Forensik, Betriebsunterbrechung oder Haftpflicht jeweils eng begrenzt sind.
Die Selbstbeteiligung ist der Anteil, den der Betrieb selbst trägt. Sie kann je Schaden, je Ereignis oder für bestimmte Leistungsbereiche gelten. Bei einer Betriebsunterbrechung können außerdem Wartezeiten vereinbart sein, bevor die Entschädigung beginnt.
| Vertragsbestandteil | Worauf zu achten ist | Praktische Bedeutung |
|---|---|---|
| Versicherungssumme | Gilt sie je Ereignis oder insgesamt? | Mehrere Vorfälle können dieselbe Jahressumme verbrauchen. |
| Sublimit | Welche Teilleistungen sind begrenzt? | Ein niedriger Unterbetrag kann bei Spezialkosten schnell relevant werden. |
| Selbstbeteiligung | Wie wird sie je Schaden berechnet? | Kleine Vorfälle können wirtschaftlich weniger attraktiv sein. |
| Wartezeit | Ab wann zählt eine Betriebsunterbrechung? | Der Ausfall in der Anfangsphase bleibt möglicherweise beim Betrieb. |
| Haftungsdauer | Wie lange werden Ertragsausfälle berücksichtigt? | Langwierige Wiederherstellungen können darüber hinausgehen. |
Für die Auswahl sollte nicht der Umsatz allein betrachtet werden. Relevanter sind die Abhängigkeit von digitalen Systemen, der Wert der Daten, die Wiederanlaufzeit kritischer Prozesse und mögliche Ansprüche Dritter.
Jeder Versicherungsvertrag enthält Ausschlüsse. Sie bestimmen, in welchen Situationen keine oder nur eingeschränkte Leistung vorgesehen ist. Die Bedingungen sollten deshalb auch dann gelesen werden, wenn ein Angebot auf den ersten Blick umfangreich wirkt.
Typische Prüffelder sind:
Bei Social Engineering, also der Täuschung von Beschäftigten zur Auslösung einer Zahlung, gelten oft besondere Bedingungen. Manche Verträge verlangen eine Rückbestätigung auf einem zweiten Kommunikationsweg oder schließen bestimmte Zahlungsanweisungen aus. Dieser Punkt verdient im kleinen Betrieb besondere Aufmerksamkeit, weil organisatorische Kontrollen häufig weniger formalisiert sind.
Die Angaben im Antrag bilden häufig die Grundlage für die Risikoeinschätzung. Wer nicht weiß, ob eine Sicherheitsmaßnahme umgesetzt ist, sollte den Zustand vor der Antragstellung klären. Vermutungen oder pauschale Zusagen können später zu Konflikten führen.
Nach einem Vorfall gelten meist feste Melde- und Mitwirkungspflichten. Der Betrieb sollte Systeme nicht vorschnell löschen oder neu installieren, wenn dadurch Beweise verloren gehen. Gleichzeitig darf die technische Eindämmung nicht aufgeschoben werden. Ein vorbereiteter Entscheidungsweg hilft, beide Ziele zu verbinden.
Ein sinnvoller Notfallordner enthält:
Passwörter und Wiederherstellungsschlüssel gehören nicht ungeschützt in diesen Ordner. Zugänge sollten getrennt, verschlüsselt und nur berechtigten Personen verfügbar gemacht werden.
Vor der Anfrage bei einem Versicherer sollte eine kurze Bestandsaufnahme erfolgen. Dazu gehören die genutzten Geräte, Server, Cloud-Dienste, Fernzugänge, Zahlungsprozesse und Datenarten. Ebenfalls wichtig ist die Frage, welche Abläufe bei einem Ausfall zuerst wieder funktionieren müssen.
Verglichen werden sollten nicht nur Beiträge. Ein günstiger Vertrag mit engen Ausschlüssen kann weniger passend sein als ein Vertrag mit höherem Beitrag und klarer Deckung für die tatsächlich wichtigsten Risiken. Eine unabhängige rechtliche oder fachliche Prüfung kann sinnvoll sein, wenn die Bedingungen schwer verständlich sind.
Eine Versicherung kann finanzielle Folgen begrenzen, aber keine verlorene Zeit, beschädigte Geschäftsbeziehungen oder fehlendes Vertrauen vollständig zurückbringen. Auch die Wiederherstellung eines Systems bedeutet nicht automatisch, dass Daten vollständig rekonstruiert werden können.
Besonders wichtig bleibt deshalb die Widerstandsfähigkeit des Betriebs. Dazu gehören getestete Backups, getrennte Administrationskonten, eine vorsichtige Zahlungsfreigabe und ein Verfahren für verdächtige E-Mails. Technische Schutzmaßnahmen sollten mit organisatorischen Kontrollen verbunden werden. Eine Rückfrage vor einer ungewöhnlichen Zahlungsanweisung kann ebenso relevant sein wie ein Sicherheitsupdate.
Die Police sollte als finanzielle Ergänzung zu diesen Maßnahmen verstanden werden. Ihre Qualität zeigt sich nicht allein an der Zahl der versicherten Risiken, sondern daran, ob Definitionen, Abläufe und Grenzen zum eigenen Betrieb passen.
Eine allgemeine Pflicht besteht nicht für jeden Betrieb. Ob sie wirtschaftlich sinnvoll ist, hängt von der Abhängigkeit von IT, der Art der verarbeiteten Daten, möglichen Haftungsrisiken und den eigenen finanziellen Reserven ab. Eine Risikoanalyse sollte der Entscheidung vorausgehen.
Das lässt sich nur anhand der konkreten Bedingungen beantworten. Manche Verträge behandeln Erpressung gesondert, andere schließen bestimmte Zahlungen aus oder knüpfen sie an Voraussetzungen. Eine Zahlung kann außerdem rechtliche und sicherheitspolitische Folgen haben und bietet keine sichere Wiederherstellung.
Nein. Entscheidend können auch die Trennung vom Produktivnetz, die Zugriffskontrolle und dokumentierte Wiederherstellungstests sein. Ob bestimmte Anforderungen erfüllt werden müssen, steht in den Obliegenheiten des Vertrags.
Das richtet sich nach den datenschutzrechtlichen Verantwortlichkeiten des jeweiligen Betriebs. Die Cyberversicherung kann Beratung und Kosten abdecken, übernimmt aber nicht automatisch die gesetzliche Verantwortung. Zuständigkeiten sollten vor einem Vorfall geklärt sein.
Hilfreich sind eine Übersicht der IT-Systeme, Dienstleister und Datenarten, Angaben zu Backups und Fernzugängen sowie die vorhandenen Notfall- und Sicherheitsregeln. Unklare Angaben sollten vor der Antragstellung geprüft werden.
