Wenn nach einem Phishing-Angriff plötzlich keine Rechnungen mehr geschrieben, Kundendaten nicht abgerufen oder Maschinen nicht gesteuert werden können, entsteht der Schaden nicht erst durch den Datendiebstahl. Er wächst mit jeder Stunde Betriebsunterbrechung. Dieser Leitfaden zur Cyberversicherung für Unternehmen zeigt, welche Risiken Policen abfedern können, wo typische Lücken liegen und worauf Betriebe vor dem Abschluss achten sollten.
Warum Cyberrisiken auch kleinere Betriebe treffen
Cyberangriffe richten sich nicht nur gegen Konzerne mit bekannten Marken. Gerade kleine und mittlere Unternehmen sind häufig betroffen, weil sie digital arbeiten, sensible Daten verarbeiten und zugleich nicht für jeden Bereich eigene IT-Sicherheitsteams vorhalten können. Ein kompromittiertes E-Mail-Postfach genügt mitunter, um gefälschte Zahlungsanweisungen zu versenden, Zugangsdaten abzugreifen oder Schadsoftware im Netzwerk zu verbreiten.
Hinzu kommen menschliche Fehler und technische Störungen. Eine versehentlich falsch konfigurierte Cloud-Freigabe, der Verlust eines unverschlüsselten Laptops oder ein fehlgeschlagenes Software-Update können ebenfalls Datenschutzverletzungen und Ausfälle auslösen. Eine Cyberversicherung ersetzt daher keine Prävention. Sie kann aber helfen, die finanziellen und organisatorischen Folgen eines Vorfalls zu bewältigen.
Besonders relevant ist das für Unternehmen, deren Geschäft von IT-Systemen abhängt: Handwerksbetriebe mit digitaler Auftragsplanung, Arztpraxen, Agenturen, Onlinehändler, Kanzleien, Produktionsunternehmen und Dienstleister. Je stärker Prozesse, Kommunikation und Zahlungsverkehr digitalisiert sind, desto genauer sollte das Risiko betrachtet werden.
Leitfaden Cyberversicherung für Unternehmen: Was ist versichert?
Eine Cyberversicherung bündelt je nach Tarif verschiedene Schadenbausteine. Der Schwerpunkt liegt meist auf Kosten, die durch Angriffe, Datenpannen oder IT-Ausfälle entstehen. Welche Leistungen tatsächlich greifen, entscheidet jedoch nicht der Produktname, sondern der konkrete Vertrag.
Eigenschäden nach Angriff oder Datenpanne
Zu den zentralen Leistungen gehören häufig die Kosten für IT-Forensik, also die Untersuchung des Angriffswegs und die Sicherung von Beweisen. Versicherer übernehmen je nach Vereinbarung auch die Wiederherstellung von Daten und Systemen, die Bereinigung infizierter Geräte sowie externe Krisenkommunikation.
Ein weiterer wichtiger Punkt ist die Betriebsunterbrechung. Fällt etwa ein Warenwirtschaftssystem nach einer Ransomware-Attacke aus, können Umsätze ausbleiben, während Löhne und laufende Kosten weiter anfallen. Gute Tarife leisten für den daraus entstehenden Ertragsausfall, oft nach einer vereinbarten Wartezeit. Wie hoch die Entschädigung ausfällt, hängt unter anderem von der Versicherungssumme, der Haftzeit und der nachweisbaren wirtschaftlichen Entwicklung ab.
Auch Cyber-Erpressung ist häufig eingeschlossen. Das bedeutet nicht automatisch, dass ein Lösegeld gezahlt wird. Versicherer prüfen den Einzelfall und finanzieren vorrangig spezialisierte Beratung, technische Maßnahmen und Verhandlungen. Ob und unter welchen Voraussetzungen Zahlungen rechtlich zulässig sind, muss sorgfältig geprüft werden.
Ansprüche Dritter und Datenschutzfolgen
Wer Kundendaten, Mitarbeiterdaten oder Daten von Geschäftspartnern verarbeitet, kann nach einem Vorfall mit Ansprüchen Dritter konfrontiert sein. Das betrifft etwa Kosten wegen einer Verletzung von Vertraulichkeit, Schadenersatzforderungen oder die Abwehr unbegründeter Forderungen.
Bei Datenschutzverletzungen können außerdem Melde- und Informationspflichten entstehen. Die Datenschutz-Grundverordnung verlangt unter bestimmten Umständen eine Meldung an die zuständige Aufsichtsbehörde innerhalb von 72 Stunden. Eine Cyberversicherung kann Fachleute für Datenschutzrecht, Kommunikation und technische Aufklärung vermitteln und bezahlen. Bußgelder selbst sind dagegen nicht pauschal versicherbar. Ihre Versicherbarkeit hängt von der Rechtslage und dem jeweiligen Vertragswerk ab.
Was häufig nicht oder nur eingeschränkt gedeckt ist
Eine Police ist kein Freifahrtschein für jede digitale Störung. Vorsätzlich verursachte Schäden sind grundsätzlich ausgeschlossen. Schwierigkeiten kann es auch geben, wenn vertraglich vereinbarte Sicherheitsvorgaben nicht eingehalten wurden. Dazu zählen beispielsweise fehlende Datensicherungen, nicht eingespielte kritische Updates oder dauerhaft ohne Mehrfaktor-Authentifizierung betriebene Fernzugänge.
Die Unterschiede zwischen den Tarifen liegen oft im Detail. Manche Verträge schließen Schäden durch einen Ausfall externer Cloud- oder IT-Dienstleister ein, andere nur begrenzt. Bei Betrug durch manipulierte Überweisungen, dem sogenannten Social Engineering, existieren häufig eigene Sublimits. Auch Krieg, staatlich gesteuerte Angriffe oder flächendeckende Infrastrukturstörungen sind komplexe Ausschlussfelder, die genauer geprüft werden sollten.
Vorsicht ist zudem bei bereits bekannten Sicherheitsproblemen geboten. Wer vor Vertragsbeginn von einem Angriff oder einer konkreten Schwachstelle weiß, kann dafür meist keine nachträgliche Deckung erwarten. Entscheidend sind die Regelungen zu Vorschäden, Kenntniszeitpunkten und Nachmeldefristen.
Den Bedarf realistisch einschätzen
Die passende Versicherungssumme ergibt sich nicht allein aus der Unternehmensgröße. Maßgeblich ist, was ein mehrtägiger oder mehrwöchiger Ausfall kosten würde. Ein lokaler Betrieb mit wenigen Beschäftigten kann hohe Folgekosten haben, wenn seine gesamte Auftragsabwicklung an einem einzigen System hängt. Ein Unternehmen mit vielen Datenbeständen muss zusätzlich mögliche Benachrichtigungs-, Beratungs- und Haftungskosten kalkulieren.
Vor einem Angebotsvergleich sollten Verantwortliche deshalb klären: Welche Systeme sind geschäftskritisch? Welche Daten werden verarbeitet? Wie lange kann der Betrieb ohne E-Mail, Warenwirtschaft, Telefonie oder Produktionssteuerung arbeiten? Und welche Dienstleister wären bei einem Vorfall unverzichtbar?
Für die Anfrage bei Versicherern werden meist Angaben zur IT-Landschaft benötigt. Hilfreich sind insbesondere Informationen zu folgenden Punkten:
- Datensicherungen, ihre Häufigkeit und die getrennte Aufbewahrung
- Mehrfaktor-Authentifizierung für E-Mail, Fernzugriffe und Administrationskonten
- Patch- und Rechtekonzepte sowie der Schutz vor Schadsoftware
- Mitarbeiterschulungen zu Phishing und Zahlungsfreigaben
- Notfallpläne, externe IT-Partner und Abhängigkeiten von Cloud-Diensten
Diese Fragen dienen nicht nur der Risikoprüfung. Sie zeigen auch, an welchen Stellen das Unternehmen unabhängig vom Versicherungsabschluss nachbessern sollte.
Kosten: Warum Beiträge stark variieren
Pauschalpreise sind bei Cyberversicherungen wenig aussagekräftig. Der Beitrag richtet sich unter anderem nach Umsatz, Branche, Mitarbeiterzahl, Datenarten, gewünschter Versicherungssumme und Sicherheitsniveau. Ein Onlinehändler, der Zahlungs- und Kundendaten verarbeitet, wird anders bewertet als ein Handwerksbetrieb mit überschaubarer digitaler Infrastruktur. Unternehmen mit erhöhtem Ransomware-Risiko oder vielen externen Schnittstellen müssen ebenfalls oft mit höheren Beiträgen rechnen.
Wichtiger als der niedrigste Jahresbeitrag ist die Frage, ob Sublimits und Selbstbehalt zum tatsächlichen Risiko passen. Ein Tarif mit günstiger Prämie kann wenig nützen, wenn für Betriebsunterbrechung, Forensik oder Social Engineering nur geringe Teilbeträge vorgesehen sind. Umgekehrt kann ein hoher Selbstbehalt sinnvoll sein, wenn ein Betrieb kleinere Störungen selbst tragen kann und vor allem existenzbedrohende Szenarien absichern will.
So vergleichen Unternehmen Angebote sinnvoll
Ein sauberer Vergleich beginnt mit einem einheitlichen Anforderungsprofil. Werden verschiedenen Versicherern unterschiedliche Angaben gemacht, sind Prämien und Leistungen kaum vergleichbar. Entscheider sollten insbesondere auf die Definition des Versicherungsfalls achten: Reicht eine Datenschutzverletzung, oder muss ein gezielter Angriff vorliegen? Wie lang ist die Haftzeit bei Betriebsunterbrechung? Sind externe Dienstleister und Cloud-Ausfälle eingeschlossen?
Ebenso wichtig ist die praktische Hilfe im Ernstfall. Manche Versicherer stellen rund um die Uhr eine Schadenhotline und ein Netzwerk aus IT-Forensikern, Datenschutzjuristen und Kommunikationsberatern bereit. Das kann wertvoller sein als eine geringfügig niedrigere Prämie, weil die ersten Stunden nach einem Angriff über den weiteren Verlauf entscheiden.
Ein Blick in die Obliegenheiten gehört ebenfalls dazu. Verständliche Sicherheitsanforderungen, die zum Betrieb passen, sind besser als umfangreiche Vorgaben, deren Umsetzung im Alltag unklar bleibt. Wer Fragen zu einzelnen Klauseln hat, sollte sie vor Vertragsabschluss schriftlich klären lassen.
Im Schadensfall: Erst stabilisieren, dann dokumentieren
Bei einem vermuteten Cybervorfall ist hektisches Handeln riskant. Betroffene Systeme sollten, soweit möglich, vom Netzwerk getrennt werden, ohne vorschnell Beweise zu löschen. Die zuständigen internen Ansprechpartner, der IT-Dienstleister und der Versicherer müssen frühzeitig eingebunden werden. Viele Verträge sehen vor, dass bestimmte Dienstleister nur nach Freigabe beauftragt werden dürfen.
Parallel sollte das Unternehmen dokumentieren, wann der Vorfall entdeckt wurde, welche Systeme betroffen sind und welche Maßnahmen bereits erfolgt sind. Datenschutzrechtliche Fristen laufen gegebenenfalls schnell. Eine vorbereitete Notfallliste mit Zuständigkeiten, Kontaktdaten und Entscheidungswegen spart in dieser Situation wertvolle Zeit.
Die beste Cyberversicherung ist letztlich die, deren Leistungsumfang zum realen Geschäftsmodell passt und deren Sicherheitsvorgaben tatsächlich gelebt werden. Wer Versicherungsabschluss, Backups, Zugriffsrechte und Notfallplanung gemeinsam betrachtet, reduziert nicht nur finanzielle Risiken, sondern gewinnt im Ernstfall auch Handlungsfähigkeit.
