Eine gute Cyber-Versicherung allein reicht nicht
Die Digitalisierung verändert praktisch jede Branche — Unternehmen verlagern Prozesse in die Cloud, vernetzen Geräte und setzen verstärkt auf digitale Kommunikation. Das bringt echte Vorteile, aber auch wachsende Cyberrisiken: Kriminelle nutzen zunehmend ausgeklügeltere Methoden, um Daten zu stehlen oder Lösegeld zu erpressen. Besonders gefährdet sind Branchen mit hochsensiblen Daten, hohen finanziellen Ressourcen oder einer Struktur, die sie anfälliger macht — etwa der Finanzsektor, öffentliche Verwaltungen, die Energie- und Versorgungswirtschaft und das Gesundheitswesen.
Warum gerade vernetzte Medizingeräte ein unterschätztes Risiko sind
Ein Aspekt wird oft übersehen: Im Gesundheitswesen sind längst nicht nur Patientendatenbanken das Ziel. Viele medizinische Geräte gehören heute zum sogenannten Internet der Dinge — Herzmonitore, Infusionspumpen und andere Systeme sind mit dem Internet verbunden, aber nicht immer ausreichend gegen Angriffe geschützt. Im schlimmsten Fall könnten Angreifer sogar lebenswichtige Geräte manipulieren. Dazu kommen die bekannten Risiken Ransomware, Phishing/Social Engineering und Insider-Bedrohungen — sei es durch unzufriedene Mitarbeitende oder schlicht Unachtsamkeit. (Ausführlicher zu Cyber-Risiken im Gesundheitswesen: meine Artikel zur elektronischen Patientenakte und zur ganzheitlichen Strategie für Praxen und MVZ.)
Warum eine Cyber-Police allein die Wahrheit nur bedingt trifft
Als Versicherungsmakler könnte man meinen, mit einer Cyber-Versicherung sei das Problem gelöst. Das stimmt nur bedingt. Ich empfehle grundsätzlich, zuerst ein durch Expert:innen begleitetes IT-Security-Konzept aufzubauen — die passende Cyber-Police ist dann die optimale Ergänzung dafür. Sollte ein Angriff trotzdem erfolgreich sein, ist wenigstens der finanzielle Schaden gedeckt. Eine gute Police deckt dabei nicht nur den direkten Schaden ab, sondern auch Folgekosten wie Betriebsunterbrechung, Datenwiederherstellung oder Haftpflichtansprüche — und bringt idealerweise einen Notfallservice mit schneller IT-Forensik sowie Präventionsangebote wie Sicherheits-Checks oder Mitarbeiterschulungen mit. (Was eine Cyberversicherung im Detail abdeckt, erkläre ich in diesem Grundlagenartikel.)
Der Trend im Markt: Versicherer schauen genauer hin
Ein Trend, der 2025 deutlich an Fahrt aufgenommen hat: Cyber-Versicherer verlassen sich immer weniger allein auf klassische Risikofragebögen und arbeiten stattdessen zusätzlich mit technischen Sicherheits-Scans — manche Anbieter verzichten bei kleineren und mittleren Unternehmen sogar komplett auf Fragebögen und stützen sich nur noch auf Scan-Ergebnisse.
So funktionieren diese Scans typischerweise: Zuerst werden öffentlich zugängliche Informationen zur Unternehmensdomain gesammelt — wer sie registriert hat, welche Server damit verbunden sind. Anschließend wird geprüft, welche Dienste auf diesen Servern laufen und ob es offene, potenziell unsichere Zugänge gibt. Spezialisierte Sicherheits-Scanner suchen danach nach bekannten Schwachstellen wie veralteten Softwareversionen oder unsicheren Verschlüsselungen. Manche Versicherer prüfen zusätzlich, ob sensible Unternehmensdaten — etwa geleakte Passwörter — bereits im Darknet kursieren. Am Ende steht ein Bericht mit den gefundenen Risiken, der sich direkt auf die Prämie auswirken oder im ungünstigsten Fall sogar zur Ablehnung des Antrags führen kann.
Der nächste Schritt, an dem der Markt aktuell arbeitet: neben diesen externen auch interne Scans der eigenen IT-Infrastruktur einzubeziehen, um technische und organisatorische Maßnahmen standardisiert abzufragen. Ziel ist eine Art vergleichbarer Cyber-Risk-Score über verschiedene Unternehmen hinweg.
Fazit
Eine einfache Cyber-Versicherung allein reicht nicht aus, um den vielschichtigen Herausforderungen der heutigen Bedrohungslandschaft gerecht zu werden. Es braucht ein durchdachtes IT-Security-Konzept, das über den reinen Versicherungsschutz hinausgeht — und ein Bewusstsein dafür, dass Versicherer die eigene Sicherheitslage inzwischen zunehmend selbst überprüfen, statt sich nur auf Selbstauskünfte zu verlassen. Strategische Sicherheitsvorkehrungen kombiniert mit der richtigen Cyberversicherung reduzieren das Risiko erheblich und schützen die sensiblen Daten von Patient:innen wie Kund:innen gleichermaßen.
Welche konkreten Kriterien eine moderne Cyber-Police heute erfüllen sollte, zeige ich am Beispiel eines aktuellen Tarif-Updates in diesem Artikel. Wenn du wissen willst, wie gut dein Unternehmen aus Sicht eines Cyber-Versicherers heute dastehen würde, buch dir gerne ein kostenloses Erstgespräch.
Zuerst erschienen als Gastbeitrag bei DAS INVESTMENT, „Eine gute Cyber-Versicherung allein reicht nicht", 19. März 2025 — dort schreibe ich regelmäßig als Experte für Cyber- und D&O-Versicherung.