Cyberversicherung für Unternehmen: marktweit verglichen, verständlich erklärt

Viele Tarife enthalten einen Baustein für Cyber-Erpressung. Er kann Unterstützung durch spezialisierte Krisendienstleister umfassen. Ob eine Zahlung rechtlich zulässig, mit dem Versicherer abgestimmt und vom konkreten Tarif gedeckt ist, muss im Einzelfall geprüft werden.

Manche Tarife decken auch Betriebsunterbrechungen ab, die durch den Ausfall eines externen Dienstleisters (z.B. Cloud-Anbieter) entstehen (sogenannte „Contingent Business Interruption"). Das ist ein häufiger Unterschied zwischen Tarifen.

Das hängt vom gewählten Tarif ab und sollte explizit geprüft werden, wenn im Unternehmen mit Homeoffice oder privaten Geräten gearbeitet wird.

Nicht versicherbar sind in der Regel vorsätzlich herbeigeführte Schäden. Schäden durch Krieg sind meist ausgeschlossen, oft über sogenannte Cyberwar-Klauseln. Für staatlich gesteuerte Cyberangriffe außerhalb eines Krieges sehen die Musterbedingungen des Versicherungsverbands GDV einen Ausschluss vor, wenn dadurch auch kritische Infrastrukturen ausfallen oder beeinträchtigt sind. Einzelne Verträge können davon abweichen. Behördliche Bußgelder sind Sanktionen und von Schadenersatzansprüchen zu unterscheiden. Ihre Übernahme darf nicht vorausgesetzt werden. Da sich die Details stark zwischen Anbietern unterscheiden, sollte man sie vor Abschluss prüfen oder prüfen lassen.

Die IT-Berufshaftpflicht kann greifen, wenn ein Fehler in der eigenen Leistung, etwa fehlerhafte Software, beim Kunden einen Schaden verursacht. Die Cyberversicherung kann eigene Kosten nach einem Cyber-Vorfall oder einer Datenschutzverletzung im eigenen Unternehmen absichern, je nach Tarif auch Ansprüche Dritter daraus, unabhängig davon, ob ein eigener Fehler vorliegt. Für IT-Dienstleister sind oft beide relevant.

Auch kleine Unternehmen sind laut BSI überproportional häufig betroffen. Die passende Deckungshöhe hängt weniger von der Unternehmensgröße als vom individuellen Risiko ab. Dieses Risiko lässt sich im Erstgespräch einschätzen.

Das hängt stark von Branche, Umsatz und IT-Infrastruktur ab. Pauschale Preise wären hier unseriös. Im kostenlosen Erstgespräch bekommst du eine realistische Einschätzung für dein Unternehmen.

Ja, sobald du auf deine IT-Geräte angewiesen bist oder sensible Kundendaten speicherst, unabhängig von der Unternehmensgröße. Gerade als Einzelperson fehlt oft die Zeit für aufwendige IT-Sicherheit, während ein Cyber-Vorfall den gesamten Betrieb lahmlegen kann.

Nicht automatisch nein. Nach § 81 Abs. 2 VVG wird die Leistung bei grober Fahrlässigkeit anteilig gekürzt („Quotelung"), je nach Schwere des Verschuldens. Anders als bei Vorsatz entfällt sie nicht automatisch ganz. Ob etwa ein vergessener Passwort-Zettel als einfache oder grobe Fahrlässigkeit gilt, entscheidet der Einzelfall. Monatelang fehlende Sicherheitsupdates oder triviale Passwörter können als grob fahrlässig gewertet werden.

Typische Gründe sind verletzte Obliegenheiten und falsch beantwortete Risikofragen. Obliegenheiten sind vertragliche Pflichten, etwa Sicherheitsupdates und Datensicherungen vor einem Vorfall oder die unverzügliche Schadenmeldung danach. Bei einer Verletzung hängen die Folgen nach Gesetz und Vertrag unter anderem vom Verschulden und davon ab, ob sie für den Schaden ursächlich war. Manche Kosten, etwa für IT-Forensik, ersetzt der Versicherer nach den Bedingungen nur nach vorheriger Abstimmung. Vor Abschluss sollten die vereinbarten Voraussetzungen deshalb sorgfältig geprüft werden. Was nach einem Angriff zu tun und mit dem Versicherer abzustimmen ist, erkläre ich in meinem Artikel „Cyberangriff im Unternehmen“.

Seit dem 6. Dezember 2025 ist das NIS-2-Umsetzungsgesetz in Kraft. Nach Angaben der Initiative Wirtschaftsschutz, herausgegeben vom Bundesministerium des Innern, wird das BSI künftig rund 29.500 Einrichtungen beaufsichtigen, für die neue gesetzliche Pflichten in der IT-Sicherheit gelten. Wer als „besonders wichtige" oder „wichtige Einrichtung" dazugehört, richtet sich nach § 28 BSIG. Maßgeblich sind Branche sowie Mitarbeiterzahl und Umsatz. Nicht jedes kleine Unternehmen fällt automatisch darunter. Unabhängig davon fragen Cyber-Versicherer im Antrag Sicherheitsmaßnahmen ab und vereinbaren Obliegenheiten zur IT-Sicherheit, etwa zu Zugängen, Updates oder Datensicherung. Für Geschäftsleitungen betroffener Einrichtungen sieht § 38 BSIG bei schuldhafter Pflichtverletzung eine Haftung gegenüber der eigenen Einrichtung nach den jeweils geltenden gesellschaftsrechtlichen Regeln vor (z. B. § 43 GmbHG, § 93 AktG). Mehr dazu, für wen das gilt, in meinem Blogartikel zur D&O-Versicherung. Diese Einschätzung ersetzt keine individuelle Rechtsberatung.

Wann ein Versicherungsfall vorliegt, regelt der Vertrag, und die Bedingungen unterscheiden sich hier. Manche Verträge stellen bei Haftpflichtansprüchen darauf ab, dass der Anspruch erstmals während der Vertragslaufzeit geltend gemacht wird (Claims-Made- oder Anspruchserhebungsprinzip). Andere knüpfen an den Eintritt des schädigenden Ereignisses an, die unverbindlichen GDV-Musterbedingungen an den erstmals nachprüfbar festgestellten Schaden. Prüfe deshalb, was in deinem Vertrag steht. Für den Vergleich sind Versicherungsfall, Rückwärtsdeckung und Nachhaftung wichtig.

Enorm. Laut dem Allianz-Commercial-Report „Cybersicherheit und -resilienz 2025" kann effektive Bedrohungserkennung die Kosten eines Cyberangriffs um den Faktor 1.000 senken. Konkretes Beispiel aus dem Report: Bei einem produzierenden Unternehmen mit 2.000 Mitarbeitenden kostete ein früh erkannter und eingedämmter Angriff rund 20.000 €. Blieb derselbe Angriff unentdeckt, sodass die Angreifer Systeme verschlüsseln und Daten stehlen konnten, lag der Gesamtschaden bei rund 20 Millionen €. Mehr zu den Ergebnissen des Reports in meinem Artikel „Cyber-Schäden begrenzen: Was der Allianz-Bericht 2025 zeigt“.