Cyber-Versicherung — braucht mein Betrieb das?
Ein Ransomware-Angriff legt den Betrieb lahm, Kundendaten werden gestohlen, die Wiederherstellung kostet Zehntausende Euro und dauert Wochen — für viele kleine Betriebe wäre das existenzbedrohend. Die Cyber-Versicherung verspricht, genau diese Folgen abzufedern. Aber lohnt sie sich für Ihren Betrieb, was zahlt sie wirklich, und welche Bedingungen müssen Sie erfüllen? Dieser Ratgeber ordnet ein — nüchtern und ohne Verkaufsargumente.
Was eine Cyber-Versicherung abdeckt
Cyber-Policen unterscheiden sich stark im Detail, aber die Leistungen gliedern sich meist in zwei Bereiche:
- Eigenschäden (Ihr eigener Schaden): Kosten für die Wiederherstellung von Daten und Systemen, Ertragsausfall durch Betriebsunterbrechung, IT-Forensik zur Ursachenklärung sowie Krisen- und Kommunikationsmanagement.
- Drittschäden (Ansprüche anderer): Wenn durch einen Vorfall Kunden- oder Partnerdaten betroffen sind, deckt die Police Schadenersatzansprüche und die Kosten der Rechtsverteidigung.
- Nebenleistungen: Viele Versicherer bieten eine 24/7-Notfall-Hotline und ein Netzwerk aus IT-Forensikern, Anwälten und PR-Beratern — im Ernstfall oft der wertvollste Teil, weil Sie sofort professionelle Hilfe bekommen.
- Benachrichtigungskosten: Nach einer Datenpanne müssen Betroffene und ggf. die Aufsichtsbehörde informiert werden — auch diese Kosten sind oft mitversichert.
Ein sensibles Thema sind Lösegeldzahlungen bei Ransomware: Manche Policen schließen sie aus oder beschränken sie stark, auch wegen rechtlicher Risiken (Sanktionslisten). Prüfen Sie diesen Punkt genau, wenn er Ihnen wichtig ist.
Was die Versicherer von Ihnen verlangen
Cyber-Versicherung gibt es nicht ohne Gegenleistung: Die Anbieter setzen ein IT-Sicherheits-Mindestniveau voraus — und prüfen es. Wer die vereinbarten Standards nicht einhält, riskiert im Schadensfall die Leistungsfreiheit.
- Regelmäßige, getestete Backups (idealerweise nach der 3-2-1-Regel mit einer Kopie außer Reichweite von Angreifern).
- Aktuelle Software und zeitnahe Sicherheitsupdates auf allen Systemen.
- Zwei-Faktor-Anmeldung für wichtige Zugänge, insbesondere Fernzugriffe und Cloud-Dienste.
- Aktueller Virenschutz und Mitarbeiter-Sensibilisierung gegen Phishing.
Diese Anforderungen sind kein Nachteil, sondern der eigentliche Kern: Wer sie erfüllt, senkt sein Risiko drastisch — und braucht die Versicherung dann seltener. Behandeln Sie die Antragsfragen ehrlich; falsche Angaben kosten im Schadensfall den Schutz.
Was die Versicherung NICHT leistet
Damit keine falschen Erwartungen entstehen — eine Cyber-Police hat klare Grenzen:
- Sie ersetzt keine technische Sicherheit: Ohne Backups, Updates und Basisschutz gibt es weder Vertrag noch Leistung. Die Versicherung ist das Sicherheitsnetz, nicht die erste Verteidigungslinie.
- Sie verhindert keinen Angriff und keinen Reputationsschaden — sie mildert nur die finanziellen Folgen.
- Bekannte Sicherheitslücken, die Sie trotz Kenntnis nicht geschlossen haben, sowie grob fahrlässiges Verhalten sind oft ausgeschlossen.
- Prüfen Sie Überschneidungen: Manche Bausteine (z. B. Vermögensschäden, Haftpflicht) sind womöglich schon über bestehende Policen abgedeckt — doppelte Beiträge lohnen nicht.
Lohnt sich das für meinen Betrieb?
Es gibt keine pauschale Antwort — aber gute Leitfragen, um zu entscheiden:
- Wie abhängig sind Sie von IT? Wenn ein Systemausfall Sie tagelang arbeitsunfähig macht, steigt der Nutzen deutlich.
- Wie sensibel sind Ihre Daten? Wer viele personenbezogene oder Gesundheitsdaten verarbeitet (z. B. Praxen, Dienstleister), trägt ein höheres Haftungsrisiko.
- Könnten Sie einen Schaden von zehntausenden Euro aus eigener Kraft stemmen? Wenn nicht, ist die Versicherung eher sinnvoll.
- Kosten realistisch einordnen: Für kleine Betriebe beginnen die Jahresbeiträge oft im niedrigen bis mittleren dreistelligen Bereich — abhängig von Umsatz, Branche und Sicherheitsniveau. Ein Vergleich über einen unabhängigen Makler lohnt sich.
Dieser Artikel ersetzt keine Versicherungsberatung. Lassen Sie Leistungen, Ausschlüsse und Obliegenheiten im konkreten Fall von einem unabhängigen Makler prüfen — die Unterschiede zwischen den Policen sind erheblich.
Häufige Fragen
Brauche ich als kleiner Betrieb wirklich eine Cyber-Versicherung?+
Das hängt von Ihrer IT-Abhängigkeit und Ihrem Risiko ab. Je stärker Ihr Betrieb auf funktionierende IT angewiesen ist und je sensibler Ihre Daten sind, desto eher lohnt sie sich. Entscheidend ist die Frage: Könnten Sie einen Schaden von mehreren zehntausend Euro plus Betriebsausfall aus eigener Kraft tragen? Wenn nicht, ist die Versicherung ein sinnvolles Sicherheitsnetz — aber immer zusätzlich zu, nie anstelle von guter IT-Sicherheit.
Zahlt die Versicherung, wenn ich meine IT-Sicherheit vernachlässigt habe?+
In der Regel nicht. Versicherer vereinbaren Mindeststandards (Backups, Updates, Zwei-Faktor-Anmeldung, Virenschutz, Schulung) als sogenannte Obliegenheiten. Halten Sie diese nicht ein oder machen Sie beim Antrag falsche Angaben, kann der Versicherer die Leistung kürzen oder ganz verweigern. Deshalb ist ein solides Sicherheitsniveau nicht nur Voraussetzung für den Vertrag, sondern auch für die Auszahlung im Schadensfall.
Übernimmt eine Cyber-Versicherung Lösegeld bei Ransomware?+
Das ist von Police zu Police unterschiedlich und ein besonders heikler Punkt. Einige Versicherer decken Lösegeldzahlungen (in Grenzen), andere schließen sie aus — auch, weil Zahlungen rechtlich problematisch sein können (etwa bei Sanktionslisten) und keine Garantie bieten, die Daten zurückzubekommen. Wenn Ihnen dieser Baustein wichtig ist, prüfen Sie ihn ausdrücklich vor Vertragsabschluss.
Was kostet eine Cyber-Versicherung für einen kleinen Betrieb?+
Die Beiträge hängen von Umsatz, Branche, Datenmenge und Ihrem Sicherheitsniveau ab. Für kleine Betriebe beginnen sie häufig im niedrigen bis mittleren dreistelligen Bereich pro Jahr. Ein besseres Sicherheitsniveau senkt oft den Beitrag. Weil sich Leistungen und Ausschlüsse stark unterscheiden, lohnt sich ein Vergleich über einen unabhängigen Makler — der günstigste Tarif ist nicht automatisch der passende.