Eine gute Cyber-Versicherung allein reicht nicht
IT-Sicherheit soll Vorfälle verhindern und ihre Folgen begrenzen. Eine Cyberversicherung kann bestimmte finanzielle Folgen ergänzend absichern. Damit beides zusammenpasst, müssen die tatsächlichen Systeme, Schutzmaßnahmen und Vertragsanforderungen gemeinsam betrachtet werden.
Vernetzte Medizingeräte mitdenken
Im Gesundheitswesen können auch vernetzte medizinische Geräte in die Sicherheitsbetrachtung gehören. Welche Verbindungen bestehen und welche Schutzmaßnahmen nötig sind, müssen die zuständigen Fachleute für die tatsächlich eingesetzte Technik klären. Dazu kommen die bekannten Risiken Ransomware, Phishing/Social Engineering und Insider-Bedrohungen, sei es durch unzufriedene Mitarbeitende oder schlicht Unachtsamkeit. (Ausführlicher zu Cyber-Risiken im Gesundheitswesen: meine Artikel zur elektronischen Patientenakte und zu IT-Sicherheit und Versicherung in Praxen und MVZ.)
Warum eine Cyber-Police allein nicht ausreicht
Eine Cyberversicherung ersetzt kein IT-Security-Konzept. Ich empfehle, zunächst technische und organisatorische Schutzmaßnahmen mit fachkundiger Begleitung aufzubauen. Die passende Police ergänzt diese Maßnahmen.
Auch bei guter Vorbereitung kann ein Angriff erfolgreich sein. Welche finanziellen Folgen die Cyberversicherung dann übernimmt und welche Unterstützung sie organisiert, hängt von den vereinbarten Leistungen und den Umständen des Vorfalls ab. Je nach Vertrag kommen beispielsweise Kosten einer Betriebsunterbrechung, die Wiederherstellung von Daten und bestimmte Haftpflichtansprüche in Betracht, außerdem ein Notfallservice mit IT-Forensik oder Präventionsangebote wie Sicherheitschecks und Mitarbeiterschulungen. (Welche Leistungen eine Cyberversicherung enthalten kann, erkläre ich im Grundlagenartikel „Was deckt eine Cyberversicherung ab?“.)
Wie technische Prüfungen die Risikofragen ergänzen können
Neben Angaben aus dem Antrag können technische Prüfungen eine Rolle spielen. Ein externer Sicherheits-Scan betrachtet von außen erreichbare Dienste und mögliche Schwachstellen. Er kann Hinweise liefern, kennt aber nicht automatisch alle internen Systeme, Abläufe und Schutzmaßnahmen.
Frage deshalb, welche Daten ein Anbieter auswertet, wie die Ergebnisse zugeordnet werden und wie du fehlerhafte oder überholte Befunde klären kannst. Ob solche Ergebnisse die Annahme, Auflagen oder den Beitrag beeinflussen, muss für das konkrete Angebot geklärt werden.
Ein interner Scan ist eine andere Prüfung und braucht einen abgestimmten Umfang. Aus einem Scan allein folgt weder ein vollständiges Sicherheitsaudit noch eine Zusage des Versicherers. Risikofragen müssen weiterhin sorgfältig und wahrheitsgemäß beantwortet werden.
Wie Supportstatus und alte Systeme bei der Risikoprüfung zusammenhängen, zeige ich im Beitrag zu Windows 10 und Cyberversicherung.
Fazit
Allein ersetzt eine Cyberversicherung keine wirksamen technischen und organisatorischen Sicherheitsmaßnahmen. Scans und andere technische Prüfungen können die Angaben im Antrag ergänzen, ersetzen sie aber nicht. Technische und organisatorische Schutzmaßnahmen können Cyberrisiken reduzieren; eine passende Cyberversicherung kann ergänzend dabei helfen, finanzielle Folgen eines Cybervorfalls abzusichern.
Wie Notfallplan und Versicherungsvertrag bei einem Angriff zusammenspielen, beschreibe ich im Beitrag Cyberangriff im Unternehmen: Was tun und wann die Cyberversicherung einschalten?
Welche Vertragsfragen beim Vergleich einer Cyberversicherung wichtig sind, zeige ich im Beitrag „Cyberversicherung vergleichen: Worauf du im Vertrag achten solltest“. Wenn du wissen willst, wie gut dein Unternehmen aus Sicht eines Cyber-Versicherers heute dastehen würde, buch dir gerne ein kostenloses Erstgespräch.
Allgemeine Information, keine individuelle Deckungszusage. Maßgeblich sind der konkrete Vertrag und der Einzelfall.
Zuerst erschienen als Gastbeitrag bei DAS INVESTMENT, „Eine gute Cyber-Versicherung allein reicht nicht", 19. März 2025. Dort schreibe ich regelmäßig als Experte für Cyber- und D&O-Versicherung.
Zuletzt aktualisiert am .