Cyberversicherung für Unternehmen – marktweit verglichen, verständlich erklärt

Viele Tarife enthalten einen Baustein für Cyber-Erpressung, der die Verhandlung und gegebenenfalls die Zahlung abdeckt. Der Umfang unterscheidet sich stark je nach Anbieter — genau das sollte Teil einer guten Maklerberatung sein.

Manche Tarife decken auch Betriebsunterbrechungen ab, die durch den Ausfall eines externen Dienstleisters (z.B. Cloud-Anbieter) entstehen — sogenannte „Contingent Business Interruption". Das ist ein häufiger Unterschied zwischen Tarifen.

Das hängt vom gewählten Tarif ab und sollte explizit geprüft werden, wenn im Unternehmen mit Homeoffice oder privaten Geräten gearbeitet wird.

Nicht versicherbar sind in der Regel vorsätzlich herbeigeführte Schäden, oft auch Schäden durch Krieg oder staatlich gelenkte Cyber-Angriffe (sogenannte Cyberwar-Klauseln), und nicht jedes DSGVO-Bußgeld ist versicherbar. Die Details unterscheiden sich stark zwischen Anbietern — genau das sollte man vor Abschluss prüfen (lassen).

Die IT-Berufshaftpflicht greift, wenn ein eigener Fehler (z.B. fehlerhafte Software) beim Kunden einen Schaden verursacht. Die Cyberversicherung schützt dagegen bei Cyber-Vorfällen und Datenschutzverstößen im eigenen Unternehmen — unabhängig davon, ob ein eigener Fehler vorliegt. Für IT-Dienstleister sind oft beide relevant.

Auch kleine Unternehmen sind laut BSI überproportional häufig betroffen. Die passende Deckungshöhe hängt weniger von der Unternehmensgröße als vom individuellen Risiko ab — das lässt sich im Erstgespräch einschätzen.

Das hängt stark von Branche, Umsatz und IT-Infrastruktur ab — pauschale Preise wären hier unseriös. Im kostenlosen Erstgespräch bekommst du eine realistische Einschätzung für dein Unternehmen.

Ja, sobald du auf deine IT-Geräte angewiesen bist oder sensible Kundendaten speicherst — unabhängig von der Unternehmensgröße. Gerade als Einzelperson fehlt oft die Zeit für aufwendige IT-Sicherheit, während ein Cyber-Vorfall den gesamten Betrieb lahmlegen kann.

Nicht automatisch nein. Nach § 81 Abs. 2 VVG wird die Leistung bei grober Fahrlässigkeit anteilig gekürzt („Quotelung"), je nach Schwere des Verschuldens — sie entfällt nicht komplett wie bei Vorsatz. Ein einzelner vergessener Passwort-Zettel gilt meist als einfache Fahrlässigkeit, monatelang fehlende Sicherheitsupdates oder triviale Passwörter können dagegen als grob fahrlässig gewertet werden.

Der häufigste Grund sind verletzte Obliegenheiten — also im Vertrag zugesicherte Sicherheitsmaßnahmen, die im Ernstfall nicht eingehalten wurden: verspätete Schadenmeldung, veraltete oder ungepatchte Software, fehlende Backups, keine Multi-Faktor-Authentifizierung, oder die eigenmächtige Beauftragung von IT-Forensikern ohne Rücksprache mit dem Versicherer. Deshalb lohnt sich ein genauer Blick auf die vereinbarten Voraussetzungen vor Abschluss.

Seit dem 6. Dezember 2025 ist das NIS-2-Umsetzungsgesetz in Kraft. Es verpflichtet nach § 28 BSIG schätzungsweise rund 29.500 „besonders wichtige" und „wichtige Einrichtungen" in Deutschland zu strengeren IT-Sicherheitsmaßnahmen — abhängig von Branche sowie Mitarbeiterzahl und Umsatz, nicht automatisch jedes kleine Unternehmen. Viele Cyber-Versicherer setzen ähnliche Sicherheitsstandards inzwischen aber auch außerhalb des gesetzlichen Anwendungsbereichs voraus. Für Geschäftsleitungen betroffener Einrichtungen sieht § 38 BSIG bei schuldhafter Pflichtverletzung eine Haftung gegenüber der eigenen Einrichtung nach den jeweils geltenden gesellschaftsrechtlichen Regeln vor (z. B. § 43 GmbHG, § 93 AktG). Mehr dazu, für wen das gilt, in meinem Blogartikel zur D&O-Versicherung. Diese Einschätzung ersetzt keine individuelle Rechtsberatung.

Bei der Cyber-Haftpflicht gilt meist das sogenannte Claims-Made-Prinzip (Anspruchserhebungsprinzip): Der Versicherungsfall tritt ein, wenn ein Haftpflichtanspruch erstmals schriftlich während der Vertragsdauer geltend gemacht wird — unabhängig davon, wann der eigentliche Vorfall passiert ist. Bei der Cyber-Eigenschadenversicherung gilt dagegen meist das Feststellungsprinzip: Versicherungsfall ist der Zeitpunkt, an dem ein Ereignis wie eine Datenrechtsverletzung oder ein Denial-of-Service-Angriff festgestellt wird.

Enorm. Laut dem Allianz-Commercial-Report „Cybersicherheit und -resilienz 2025" kann effektive Bedrohungserkennung die Kosten eines Cyberangriffs um den Faktor 1.000 senken. Konkretes Beispiel aus dem Report: Bei einem produzierenden Unternehmen mit 2.000 Mitarbeitenden kostete ein früh erkannter und eingedämmter Angriff rund 20.000 €. Blieb derselbe Angriff unentdeckt, sodass die Angreifer Systeme verschlüsseln und Daten stehlen konnten, lag der Gesamtschaden bei rund 20 Millionen €.