Cyberversicherung sinnvoll? Wann sie zahlt – und wann Sie leer ausgehen

Ein Malerbetrieb wird an einem Montagmorgen verschlüsselt. Server dicht, Angebote weg, das Telefon steht nicht still. Der Chef bleibt trotzdem ruhig, denn er hat ja eine Cyberversicherung. Dann kommt der Fragebogen des Versicherers.

»Waren alle Systeme auf aktuellem Stand?« Nein, der alte Rechner im Lager lief noch ohne Updates. »War der Fernzugriff mit einem zweiten Faktor gesichert?« Auch nein. Die Police war teuer. Die Ablehnung ist kostenlos.

So oder so ähnlich enden viele Cyberschäden. Nicht weil Versicherer grundsätzlich nicht zahlen wollen, sondern weil im Kleingedruckten Pflichten stehen, die kaum jemand liest und noch weniger Betriebe erfüllen. Ist eine Cyberversicherung sinnvoll? Ja. Aber erst als zweiter Schritt.

Was eine Cyberversicherung abdeckt, wenn sie zahlt

Eine brauchbare Cyber-Police besteht typischerweise aus drei Blöcken:

• Eigenschäden: IT-Forensik (die Spurensuche: Wie kamen die Angreifer rein, was haben sie mitgenommen?), Wiederherstellung von Daten und Systemen, oft auch Rechtsberatung und Krisenkommunikation.
• Betriebsunterbrechung: Ersatz für den Ertrag, der ausfällt, während nichts läuft. Für kleine Betriebe meist der wertvollste Baustein, denn ein stillstehender Betrieb kostet mehr als ein kaputter Server.
• Haftpflicht: Ansprüche Dritter. Etwa wenn Kundendaten abfließen und Betroffene Schadenersatz fordern, oder wenn über Ihr gekapertes Mail-Konto ein Geschäftspartner betrogen wurde.

Klingt nach Vollkasko fürs Firmennetz? Ist es nicht. Alles davon gilt nur, wenn Sie Ihren Teil des Vertrags erfüllt haben.

Obliegenheiten: das Wort, an dem Policen sterben

Obliegenheiten sind, übersetzt, Ihre Hausaufgaben. Der Versicherer setzt bestimmte Sicherheitsmaßnahmen voraus. Fehlen sie im Schadenfall, darf er die Leistung kürzen oder ganz verweigern. Typisch sind:

• Zwei-Faktor-Anmeldung (ein zweiter Code zusätzlich zum Passwort), mindestens für E-Mail-Konten und Fernzugriffe
• Regelmäßige Backups, davon mindestens eine Kopie getrennt vom Netzwerk
• Sicherheitsupdates zeitnah einspielen, keine Systeme ohne Herstellersupport im Einsatz
• Virenschutz und saubere Rechtevergabe (nicht jeder im Team arbeitet als Administrator)
• Je nach Vertrag: Mitarbeiterschulungen und ein Notfallplan

Dazu kommt die Anzeigepflicht beim Antrag. Wer im Fragebogen Häkchen bei Maßnahmen setzt, die es im Betrieb gar nicht gibt, zahlt Prämien für ein Stück Papier. Im Schadenfall prüft der Versicherer genau diese Angaben nach, und zwar gründlicher als jeder Prüfer vorher. Führen Sie deshalb Nachweise: wann welches Update lief, wann zuletzt eine Datei testweise aus dem Backup zurückgeholt wurde.

Die gute Nachricht: Dieser Katalog ist keine Schikane. Es ist derselbe Grundschutz, den auch das BSI kleinen Unternehmen empfiehlt. Was der Versicherer verlangt, sollten Sie ohnehin haben.

Erst Grundschutz, dann Police. Nicht umgekehrt.

An dieser Reihenfolge scheitern viele Beratungsgespräche, weil sie dem Vertrieb die schnelle Unterschrift verdirbt. Eine Versicherung ersetzt keine Sicherheit, sie ergänzt sie. Wer ohne zweiten Faktor, ohne getestete Backups und mit veralteten Systemen eine Police unterschreibt, kauft ein Versprechen mit eingebautem Fluchtweg für den Versicherer.

Andersherum wird ein Schuh draus: zuerst die Grundlagen, die einen Angriff unwahrscheinlicher und den Schaden kleiner machen. Das kostet einmalig Arbeit und überschaubares Geld. Danach die Police für das Restrisiko. Und dieses Restrisiko bleibt, denn »wir sind zu klein für Hacker« ist eine Ausrede, keine Strategie. Angriffe laufen heute automatisiert, die Software der Erpresser fragt nicht nach Ihrer Mitarbeiterzahl.

Zwei Nebeneffekte gibt es gratis dazu. Erstens: Wer Grundschutz vorweisen kann, bekommt überhaupt erst vernünftige Konditionen, denn Versicherer haben in den letzten Jahren kräftig aussortiert und fragen genauer nach als früher. Zweitens: Die laufende Pflege erzeugt genau die Nachweise, die der Versicherer im Ernstfall sehen will. Updates, Backup-Kontrolle und den Blick auf Ihre Systeme übernehme ich als laufende IT-Betreuung ab 149 Euro im Monat.

Für wen sich die Police rechnet – und für wen noch nicht

Ehrliche Antwort statt Verkaufsdruck, in beide Richtungen.

Eine Cyberversicherung lohnt sich, wenn

• Ihr Betrieb steht, sobald die IT steht: Terminplanung, Kasse, Produktion, Warenwirtschaft,
• Sie sensible Kunden- oder Patientendaten verarbeiten, etwa als Kanzlei oder Praxis,
• ein Stillstand von zwei Wochen Sie ernsthaft in Bedrängnis bringt,
• der Grundschutz steht und Sie die Obliegenheiten dauerhaft erfüllen können.

Warten Sie mit der Police, wenn

• die Grundlagen fehlen. Dann fließt das Geld besser in Backups, Updates und Zwei-Faktor-Anmeldung, denn eine Police ohne erfüllte Pflichten ist wertlos,
• Sie solo arbeiten, kaum Kundendaten halten und Ihr Laptop dank getestetem Backup in einem Tag wieder läuft. Dieses Restrisiko können Sie selbst tragen.

Auch »noch keine Police« ist eine saubere Entscheidung. Das hören Sie nur selten von jemandem, der an der Prämie mitverdient. Was eine Police kostet, hängt von Umsatz, Branche und Deckungssumme ab; konkrete Zahlen gehören ins Angebot, nicht in einen Blogartikel.

Checkliste: 6 Fragen an Ihren Versicherungsmakler

Nehmen Sie diese Liste mit ins Gespräch und lassen Sie sich die Antworten schriftlich geben:

• 1. Welche Obliegenheiten stehen im Vertrag? Als konkrete Liste, nicht als Prospektprosa. Genau daran werden Sie im Schadenfall gemessen.
• 2. Ist Betriebsunterbrechung versichert, ab welchem Tag und bis zu welcher Höhe? Manche Tarife zahlen erst nach einer Wartezeit von mehreren Tagen.
• 3. Zahlt die Police auch bei Bedienfehlern? Der Klick eines Mitarbeiters auf eine Phishing-Mail ist der häufigste Einstieg. Ein Tarif, der nur Angriffe »von außen« deckt, deckt zu wenig.
• 4. Ist Überweisungsbetrug mitversichert? Gefälschte Rechnungen und die Chef-Masche kosten echtes Geld, ohne dass ein einziger Server gehackt wird – inzwischen sogar mit geklonter Stimme als Deepfake-Anruf.
• 5. Wie schnell muss ich einen Vorfall melden und wer hilft dann? Eine rund um die Uhr besetzte Notfallnummer mit echten IT-Forensikern ist mehr wert als ein Callcenter, das Tickets erfasst.
• 6. Was passiert bei grober Fahrlässigkeit? Kürzung nach Quote oder Komplettverweigerung? Dieser Unterschied entscheidet über Existenzen.

Im Ernstfall zählt die Reihenfolge

Wenn es kracht: Versicherer sofort informieren, bevor Sie Systeme neu aufsetzen. Wer vorschnell formatiert, vernichtet die Spuren, die die Forensik braucht, und riskiert damit die Leistung. Was in den ersten Stunden nach einem Angriff sonst zu tun ist, gehe ich im Beitrag Was tun nach einem Hackerangriff Schritt für Schritt durch. Drucken Sie ihn aus. Wenn Sie ihn brauchen, ist Ihr Server gerade nicht erreichbar.

Sie sind unsicher, ob sich eine Cyberversicherung für Ihren Betrieb lohnt oder ob zuerst die Hausaufgaben dran sind, Zwei-Faktor, getestete Backups, aktuelle Systeme? Das klären wir gemeinsam in einem kostenlosen Erstgespräch, das sich per Videocall bundesweit führen lässt, ohne Fachchinesisch. Wer bei mir anruft, landet nicht bei einem Vertrieb mit Abschlussziel, sondern direkt bei der Person, die hinterher auch die Technik prüft. Und falls die ehrliche Antwort lautet »erst der Grundschutz, dann die Prämie«, dann bekommen Sie genau die. Auch wenn ich an der Police nichts verdiene.

Übrigens: Die technischen Hausaufgaben, die jeder Versicherer voraussetzt – Backups, Updates, Zugriffsschutz –, sind genau das, was ich unter Netzwerk & Sicherheit einrichte und im Wartungsvertrag am Laufen halte.