Cyberangriffe können IT, Produktion und Auftragsabwicklung innerhalb kurzer Zeit lahmlegen. Eine Cyberversicherung kann die finanziellen Folgen absichern und im Ernstfall schnelle Unterstützung durch IT-Forensik und Krisenexperten organisieren. Doch nicht jede Police passt zu jedem Unternehmen: Kosten, Leistungen und Voraussetzungen hängen stark von Branche, IT-Struktur und vorhandenen Sicherheitsmaßnahmen ab.
Entscheidend ist weniger die Unternehmensgröße als die Frage, wie abhängig der Betrieb von IT, Daten und digitalen Prozessen ist. Cyberangriffe betreffen Unternehmen jeder Größe – auch kleine und mittlere Betriebe.
Der finanzielle Schaden entsteht dabei selten allein durch ein Lösegeld. Teuer werden Betriebsunterbrechung, IT-Forensik, Wiederherstellung von Systemen und Daten, Benachrichtigungspflichten nach der DSGVO, Rechtsberatung und der Vertrauensverlust bei Kunden und Lieferanten.
Die folgenden Fragen helfen bei einer ersten Selbsteinschätzung – sie ersetzen keine Risikobewertung:
Einen pauschalen Einstiegsbeitrag gibt es bei der Cyberversicherung nicht. Eine seriöse Antwort lässt sich erst geben, wenn der Versicherer das konkrete Cyberrisiko des Unternehmens kennt. Angaben wie Branche, Umsatz und Mitarbeiterzahl allein reichen dafür häufig nicht aus.
Umgesetzte Sicherheitsmaßnahmen können Einfluss auf Versicherbarkeit, Bedingungen und Beitrag haben. Welche Anforderungen gelten, hängt vom Versicherer und vom individuellen Risiko ab.
Diese Faktoren bestimmen in der Praxis, wie ein Cyberrisiko kalkuliert wird:
Beantworte wenige Fragen zu deinem Unternehmen und deiner IT-Abhängigkeit. Ein spezialisierter Experte ordnet anschließend Kosten, Leistungen und Voraussetzungen für deine Situation ein.
Vor einem Angebot wollen Cyberversicherer verstehen, wie ein Unternehmen seine IT technisch und organisatorisch schützt. Typischerweise werden diese Bereiche geprüft:
Welche Anforderungen tatsächlich gelten, hängt von Versicherer, Unternehmensgröße, Branche und Risikosituation ab. Eine für alle Anbieter einheitliche Liste technischer Mindestmaßnahmen gibt es nicht.
Die korrekte Beantwortung der Risikofragen ist wichtig, weil die Angaben Bestandteil der Risikoprüfung und des Versicherungsvertrags werden können. Technische Fragen sollten deshalb möglichst von den Personen beantwortet werden, die die IT-Infrastruktur und die eingesetzten Sicherheitsmaßnahmen tatsächlich kennen.
Praktisch bewährt hat sich ein dreistufiges Vorgehen: Der Experte klärt zunächst mit dir den Absicherungsbedarf, bindet anschließend den IT-Verantwortlichen für die technischen Fragen ein und holt danach bedarfsgerechte Angebote ein.
Bei der Cyberversicherung reicht ein reiner Preisvergleich nicht aus. Entscheidend ist, welche Risiken tatsächlich eingeschlossen sind und welche Sublimits, Voraussetzungen und Ausschlüsse gelten. Einheitliche Musterbedingungen existieren in dieser Sparte nicht.
Die Cyberversicherung ist eine Mehrspartenpolice, die die finanziellen Folgen von IT-Sicherheitsvorfällen abdeckt. Sie kombiniert drei Leistungsbereiche, die in klassischen Verträgen auf verschiedene Sparten verteilt wären: Eigenschäden im eigenen Unternehmen, Haftpflichtansprüche Dritter und Dienstleistungskosten für die Bewältigung des Vorfalls.
Zum Eigenschadenteil zählen IT-Forensik, Systembereinigung, Wiederherstellung von Daten und Anwendungen, der Ertragsausfall durch Betriebsunterbrechung sowie Mehrkosten für Notbetrieb und Wiederanlauf. Der Drittschadenteil deckt Ansprüche von Kunden, Mandanten oder Geschäftspartnern, deren Daten abgeflossen sind oder die durch den Vorfall geschädigt wurden.
Der dritte Bereich – die Assistance – ist in der Praxis oft entscheidend: eine 24/7-Notfallnummer, ein Incident-Response-Team, Datenschutzjuristen, Krisenkommunikation und Verhandlungsbegleitung bei Erpressung. Für Unternehmen ohne eigene IT-Abteilung ist dieser Zugriff häufig wertvoller als die reine Schadenzahlung.
Ein Cybervorfall erzeugt drei sehr unterschiedliche Kostenblöcke, die in der Police getrennt geregelt und getrennt limitiert sind. Wer nur auf die Gesamtdeckungssumme schaut, übersieht regelmäßig, dass einzelne Positionen bereits nach wenigen Zehntausend Euro gedeckelt sind.
Der entscheidende Maßstab ist die Abhängigkeit von IT-Systemen und die Menge sensibler Daten. Wer seine Aufträge nicht mehr abwickeln kann, wenn der Server drei Tage steht, hat ein existenzielles Cyberrisiko – unabhängig davon, ob er fünf oder fünfhundert Mitarbeitende hat.
Die sinnvolle Versicherungssumme leitet sich aus dem Worst-Case-Szenario ab: Wie lange steht der Betrieb bei einem Totalausfall aller Systeme still, welcher Deckungsbeitrag entgeht in dieser Zeit, und was kostet der vollständige Neuaufbau der IT?
Wichtiger als die Gesamtsumme ist, dass die Sublimits der einzelnen Kostenpositionen nicht wesentlich darunter liegen. Eine hohe Deckungssumme nützt wenig, wenn Betriebsunterbrechung, Datenwiederherstellung oder Krisenkosten einzeln gedeckelt sind.
Cyberpolicen enthalten klar umrissene Ausschlüsse. Sie sind der Hauptgrund für Streit im Schadenfall und gehören deshalb vor Antragstellung geprüft.
Fachlich geprüft von Christoph Bergemann, LL.M.. Experte für gewerbliche und industrielle Risiken. Projektleiter verschiedener Insurance-Management-Projekte. Zuletzt fachlich geprüft: September 2026.
Sinnvoll ist sie vor allem dann, wenn der Betrieb ohne funktionierende IT stillsteht oder personenbezogene Daten verarbeitet werden. Je stärker Auftragsabwicklung, Produktion, Warenwirtschaft oder Kommunikation von Systemen abhängen, desto größer ist der mögliche Ausfallschaden – unabhängig von der Unternehmensgröße.
Einen pauschalen Beitrag gibt es nicht. Die Kosten hängen unter anderem von Branche, Unternehmensgröße, Umsatz, Anzahl der Arbeitsplätze, verarbeiteten Daten, IT-Struktur, Versicherungssumme, Selbstbehalt, gewünschtem Leistungsumfang und der Schadenhistorie ab. Für eine belastbare Angebotserstellung benötigen Versicherer zusätzliche Angaben zur IT-Sicherheit.
Geprüft werden typischerweise Verantwortlichkeiten für IT-Sicherheit, Benutzer- und Zugriffsrechte, der Umgang mit ausgeschiedenen Mitarbeitenden, Passwort- und Authentifizierungsregeln, abgesicherte Fernzugriffe, Backups und Wiederherstellung, Patchprozesse sowie der Schutz mobiler Geräte. Welche Anforderungen tatsächlich gelten, hängt von Versicherer, Unternehmensgröße, Branche und Risikosituation ab.
Nicht auf den Beitrag allein. Entscheidend sind eingeschlossene Bausteine wie Eigen- und Drittschaden, Betriebsunterbrechung, IT-Forensik, Wiederherstellung, Datenschutz, Cyber-Erpressung, Social Engineering und Dienstleisterausfälle – sowie Wartezeit, Haftzeit, Selbstbehalt und die Sublimits der einzelnen Positionen.
Je nach Vertrag Eigenschäden (Forensik, Systembereinigung, Wiederherstellung, Ertragsausfall), Drittschäden (Ansprüche von Kunden und Geschäftspartnern) sowie Dienstleistungskosten für Datenschutzmeldungen, Rechtsberatung, Krisenkommunikation und Verhandlungsbegleitung bei Erpressung.
Maßgeblich ist der mögliche Ausfallschaden: Wie lange steht der Betrieb bei einem Totalausfall still, und welcher Deckungsbeitrag entgeht in dieser Zeit? Hinzu kommen Wiederherstellungs-, Forensik- und Rechtskosten. Wichtiger als die Gesamtsumme sind die Sublimits der einzelnen Kostenpositionen.
Viele Verträge sehen Leistungen im Rahmen der Cyber-Erpressungsdeckung vor, Lösegeldzahlungen allerdings nur nach Abstimmung mit dem Versicherer und unter Einhaltung sanktionsrechtlicher Vorgaben. Wichtiger als die Zahlung ist die professionelle Verhandlungsbegleitung – und die versicherte Wiederherstellung ohne Lösegeld.
Das regelt die Klausel zur Outsourcing- beziehungsweise Dienstleisterdeckung. Ob der Ausfall eines Hosters, Cloudanbieters oder IT-Dienstleisters mitversichert ist und welche Wartezeit dafür gilt, unterscheidet sich je nach Vertrag deutlich und sollte vor Abschluss geprüft werden.
Die Angaben im Risikofragebogen können Bestandteil der Risikoprüfung und des Vertrags werden. Unzutreffende oder unvollständige Angaben können dazu führen, dass der Versicherer die Leistung kürzt oder verweigert. Technische Fragen sollten deshalb mit der Person beantwortet werden, die die IT tatsächlich verantwortet.
Arztpraxen und Pflegedienste verarbeiten Gesundheitsdaten nach Art. 9 DSGVO. Produktionsbetriebe brauchen eine OT- und Steuerungsdeckung sowie eine lange Haftzeit. Onlinehändler benötigen Shop- und Zahlungsverkehrsdeckung inklusive Dienstleisterausfall. IT-Dienstleister, Steuerberater und Rechtsanwälte haften gegenüber Mandanten und brauchen einen starken Drittschadenteil.
Die Betriebshaftpflicht deckt Personen- und Sachschäden Dritter, nicht den Ausfall der eigenen IT. Die Elektronikversicherung ersetzt beschädigte Hardware, nicht aber Daten, Ertragsausfall oder Haftungsansprüche aus einem Datenabfluss. Die Cyberversicherung schließt genau diese Lücke.
Betroffene Systeme isolieren, nichts vorschnell löschen oder neu aufsetzen, Beweise sichern und sofort die Notfallnummer des Versicherers wählen. Die Forensik muss vor der Wiederherstellung ansetzen. Datenschutzverletzungen sind zudem binnen 72 Stunden der Aufsichtsbehörde zu melden.