TÜV Rheinland zertifizierter Fachberater für Cyber-Risiken
Cyberversicherung für IT-Dienstleister und Systemhäuser
IT-Dienstleister schützen nicht nur die eigene Infrastruktur: Durch administrative Zugänge, Fernwartung, Cloud-Dienste und Managed Services kann ein Sicherheitsvorfall auch Systeme mehrerer Kunden betreffen. Ich zeige dir, wie Cyberversicherung und IT-Haftpflicht dafür zusammenspielen. Anbieterübergreifend verglichen und verständlich erklärt.
Tino Weissenrieder · Versicherungsmakler · über 25 Jahre Erfahrung
★ 4,9/5 WhoFinance (833) · ★ 5,0/5 Google (90)
Warum IT-Dienstleister ein besonderes Cyberrisiko tragen
Das Geschäftsmodell von IT-Dienstleistern, Systemhäusern, MSP (Anbietern, die IT-Systeme ihrer Kunden laufend betreuen) und MSSP (Anbietern für laufende IT-Sicherheitsdienste) bringt eine Kombination aus eigenem Betriebsrisiko und Verantwortung gegenüber Kunden mit sich, die viele andere Branchen so nicht kennen.
Wer administrative und privilegierte Zugänge zu Kundensystemen verwaltet, Fernwartungs- und Remote-Management-Werkzeuge einsetzt oder zentrale Managementsysteme für mehrere Kunden-Tenants (getrennte Cloud-Umgebungen der Kunden) betreibt, hat Zugriff auf Backups, Zugangsdaten und Konfigurationen, die weit über die eigene Infrastruktur hinausreichen. Gleichzeitig hängt die eigene Leistungserbringung oft von Cloud-, Hosting- und Softwareanbietern ab, auf die kein direkter Einfluss besteht.
Ein einzelner Sicherheitsvorfall kann dadurch mehrere Kunden gleichzeitig berühren, muss es aber nicht zwangsläufig; das hängt vom konkreten Angriffsweg und den betroffenen Systemen ab. Hinzu kommen die vertraglichen Leistungs- und Sorgfaltspflichten gegenüber Kunden: IT-Dienstleister tragen damit sowohl ein eigenes Betriebsrisiko als auch das Risiko möglicher Kundenansprüche. Beide Risiken können unterschiedliche Versicherungslösungen betreffen.
Typische Risikoszenarien für IT-Dienstleister
Kompromittiertes Fernwartungs- oder RMM-System
Ein Angreifer erlangt Zugriff auf ein zentrales Administrations- oder Remote-Monitoring-Werkzeug (RMM, also Software zur zentralen Überwachung und Fernverwaltung). Dadurch könnten neben dem eigenen Systemhaus auch mehrere angebundene Kunden betroffen sein.
Berührt je nach Vertrag: eigener Cyberschaden, mögliche Kundenansprüche
Ransomware im eigenen Systemhaus
Interne Systeme, Dokumentationen, Zugangsdaten oder Projektdateien werden verschlüsselt. Dienstleistungen können vorübergehend nur eingeschränkt erbracht werden.
Berührt je nach Vertrag: eigener Cyberschaden (IT-Forensik, Wiederherstellung, Betriebsunterbrechung)
Fehlerhafte Konfiguration oder Aktualisierung
Eine Konfigurationsänderung, Migration oder ein fehlerhaftes Update führt bei einem Kunden zu Ausfall, Datenverlust oder einer Sicherheitslücke.
Berührt je nach Vertrag: möglicher beruflicher Fehler (IT-Haftpflicht), ggf. zusätzlich Cyberbezug
Ausfall eines Cloud- oder Hosting-Dienstleisters
Ein Cybervorfall oder eine andere im Vertrag definierte Störung bei einem Cloud-, Hosting- oder IT-Dienstleister kann die eigenen Leistungen oder die Erreichbarkeit von Kundensystemen beeinträchtigen.
Möglicherweise betroffen: Betriebsunterbrechungs- oder Mehrkosten durch einen Fremddienstleister, jedoch nur, wenn der konkrete Auslöser und der betreffende Dienstleister vom vereinbarten Baustein erfasst sind.
Backup oder Wiederherstellung funktioniert nicht wie vorgesehen
Im Schadenfall stellt sich heraus, dass Daten nicht vollständig oder nicht in der erwarteten Zeit wiederhergestellt werden können.
Berührt je nach Vertrag: eigener Cyberschaden, ggf. Kundenansprüche wegen Leistungserbringung
Manipulierte Zahlungsanweisung oder Social Engineering
Mitarbeitende werden zu einer Zahlung oder Änderung von Kontodaten verleitet. Das ist ein Betrugsszenario, das nicht automatisch unter die klassische Cyberdeckung fällt.
Berührt je nach Vertrag: spezielle Betrugs- oder Vertrauensschadendeckung, sofern ausdrücklich vereinbart
Diese Szenarien sind bewusst allgemein/branchentypisch gehalten, keine echten Fälle aus meiner Beratungspraxis.
Die Informationen dienen der allgemeinen Orientierung. Versicherungsschutz, Obliegenheiten und Leistungen hängen vom konkreten Vertrag und vom jeweiligen Schadenfall ab. Die Inhalte ersetzen keine Rechts-, Steuer- oder IT-Sicherheitsberatung.
Welche Versicherung ist wofür zuständig?
Für IT-Dienstleister ist diese Abgrenzung besonders wichtig. Hier ein allgemeiner Überblick ohne Rechtsberatung.
Cyberversicherung
Kann abhängig vom Vertrag insbesondere eigene Kosten und Krisendienstleistungen nach einer Informationssicherheitsverletzung sowie bestimmte Ansprüche Dritter absichern.
IT-Haftpflicht / Vermögensschadenhaftpflicht
Eine IT-Haftpflicht kann Schadenersatzansprüche von Kunden wegen beruflicher Fehler absichern, etwa nach einer fehlerhaften Konfiguration, Beratung oder Programmierung. Ob ein Anspruch versichert ist, hängt von der vereinbarten Tätigkeit und den Vertragsbedingungen ab. Die eigene Nachbesserung oder Erfüllung eines Kundenvertrags ist damit nicht automatisch bezahlt.
Vertrauensschaden- oder Betrugsdeckung
Kann, sofern ausdrücklich vereinbart, bei bestimmten vorsätzlichen Handlungen, Täuschungen oder manipulierten Zahlungsprozessen relevant sein.
Diese drei Bereiche schließen sich nicht gegenseitig aus, überschneiden sich aber auch nicht automatisch vollständig: Je nach Vertrag können Vorrangregelungen, Subsidiaritätsklauseln oder Ausschlüsse gelten. Vertragsstrafen, pauschalierter Schadenersatz oder reine Erfüllungsansprüche aus Kundenverträgen (etwa SLA-Pönalen) sind in der Regel gesondert zu prüfen und werden von keiner der drei Versicherungsarten automatisch übernommen.
Zentraler Praxistipp von Tino Weissenrieder: Bei IT-Dienstleistern reicht ein isolierter Vergleich allein der Cyberversicherung häufig nicht aus. Cyberversicherung und IT-Haftpflicht sollten gemeinsam auf Überschneidungen und mögliche Deckungslücken geprüft werden.
Kostenlos · unverbindlich · ca. 30 Minuten · online
Tino Weissenrieder
Seit über 25 Jahren Versicherungsmakler und Diplom-Wirtschaftsingenieur (FH). Als TÜV Rheinland zertifizierter Fachberater für Cyber-Risiken berate ich bundesweit Unternehmen, IT-Dienstleister und Systemhäuser zur Cyberversicherung, anbieterübergreifend und ohne Bindung an einen einzelnen Versicherer. Ich bin in der IT-Sicherheitsbranche gut vernetzt und kann dich bei fachlichen Fragen mit passenden Experten zusammenbringen. Über 900 Kundenbewertungen geben Einblick in die Erfahrungen mit der Beratung.
25+ Jahre Erfahrung900+ KundenbewertungenDipl.-Wirtsch.-Ing. (FH)
Lerne mich kennen, bevor du einen Termin buchst. Im interaktiven Video zeige ich, wie ich bei der Cyberversicherung vorgehe und worauf ich in der Beratung achte.
Mit Klick wird das Video von einem externen Anbieter (Mindstamp) geladen.
Mögliche Leistungsbausteine einer Cyberversicherung
Der genaue Umfang hängt vom Tarif ab. Ein anbieterübergreifender Vergleich hilft dir, Leistungsunterschiede, Ausschlüsse und mögliche Lücken zu erkennen.
IT-Forensik und Incident Response
Analyse und erste Reaktion auf einen Cybervorfall können je nach Tarif versichert sein. Wie Meldung und externe Hilfe aufeinander abgestimmt werden, erläutere ich im Beitrag Cyberangriff: Notfallplan und Versicherer.
Wiederherstellung von IT-Systemen und Daten
Notwendige Kosten für die Wiederherstellung eigener IT-Systeme und Daten können je nach Tarif versichert sein. Aufwendungen für Kundensysteme oder daraus entstehende Kundenansprüche müssen gesondert anhand der Cyber- und IT-Haftpflichtbedingungen geprüft werden.
Betriebsunterbrechung
Ein versicherter Cybervorfall kann deinen Betrieb unterbrechen. Der Vertrag regelt, ob und wie lange ein Ertragsausfall ersetzt wird. Prüfe besonders die zeitliche Selbstbeteiligung, die Haftzeit und vereinbarte Höchstbeträge.
Krisenkommunikation und Reputationsmaßnahmen
Je nach Tarif können vereinbarte Kosten für Krisenkommunikation übernommen werden. Prüfe, welche Unterstützung vorgesehen ist und welche Abstimmung vor einer Beauftragung nötig ist.
Datenschutzprüfung und Benachrichtigung
Unterstützung bei der fachlichen Prüfung und möglichen Melde- und Informationspflichten kann je nach Tarif versichert sein.
Abwehr und Befriedigung von Ansprüchen Dritter
Abwehr unberechtigter und Befriedigung berechtigter Ansprüche betroffener Kunden oder anderer Dritter, soweit vom Tarif umfasst.
Cyber-Erpressung
Im rechtlich zulässigen und vertraglich vereinbarten Umfang, mit Unterstützung durch spezialisierte Krisendienstleister.
Ausfälle externer Dienstleister
Ausfälle externer IT-, Cloud- oder Hosting-Dienstleister sind nicht automatisch eingeschlossen, sondern nur sofern ausdrücklich mitversichert.
Mehrkosten oder Notbetrieb
Mehrkosten zur Aufrechterhaltung des Betriebs, sofern im Tarif vereinbart.
Praxistipp von Tino Weissenrieder: Achte auf Höchstbeträge für einzelne Leistungen (Sublimits), Selbstbehalte und Ausschlüsse. Bei einer Betriebsunterbrechung sind auch die zeitliche Selbstbeteiligung und die Haftzeit wichtig. Maßgeblich sind Versicherungsschein und Bedingungen deines Vertrags. Als fachliche Orientierung dienen unter anderem die unverbindlichen GDV-Musterbedingungen für die Cyberrisiko-Versicherung (AVB Cyber). Nicht jeder am Markt angebotene Vertrag entspricht diesem Muster. Einen allgemeinen Überblick über Deckungsbausteine gebe ich in meinem Artikel „Was deckt eine Cyberversicherung ab?".
Was Versicherer bei IT-Dienstleistern besonders prüfen
Im Antragsprozess können Versicherer den aktuellen Stand der IT-Sicherheit abfragen. Bei IT-Dienstleistern können dabei insbesondere die Absicherung von Kundenzugängen und Abhängigkeiten innerhalb der eigenen Lieferkette eine Rolle spielen. Mögliche Punkte sind unter anderem:
Mehrfaktor-Authentifizierung für administrative und externe Zugänge
Trennung privilegierter Benutzerkonten von regulären Arbeitskonten
Rollenbasierte Berechtigungen nach dem Least-Privilege-Prinzip: nur die Zugriffsrechte vergeben, die für die jeweilige Aufgabe nötig sind
Absicherung von Fernwartungszugängen, etwa über Zeitbegrenzung und Protokollierung
Patch- und Schwachstellenmanagement für eigene und betreute Systeme
Endpoint Detection and Response beziehungsweise ein geeigneter Endgeräteschutz
Getrennte, regelmäßig getestete und möglichst unveränderbare Backups
Protokollierung und Überwachung administrativer Aktivitäten
Notfall- und Wiederanlaufplanung, auch für Vorfälle mit Kundenbezug
Prüfung von Cloud-, Hosting- und Unterauftragnehmern
Sensibilisierung der Beschäftigten für Phishing und Social Engineering
Geregelter Umgang mit Zugangsdaten ausgeschiedener Mitarbeiter
Ein Reaktionsplan für Vorfälle, die mehrere Kunden betreffen könnten
Welche dieser Punkte im Detail verlangt und wie streng sie gewichtet werden, unterscheidet sich je nach Versicherer, Unternehmensgröße, Tätigkeit und beantragtem Versicherungsumfang. Nicht jeder Versicherer verlangt identische Maßnahmen. Bei älteren Geräten müssen der tatsächliche Supportstatus und die Vertragsanforderungen zusammen betrachtet werden. Ein Beispiel ist Windows 10 nach dem Supportende. Eine fachliche Einordnung zum Umgang mit Auslagerung liefert ergänzend das BSI-IT-Grundschutz-Baustein „Nutzung von Outsourcing".
NIS-2: Wann IT-Dienstleister betroffen sein können
Das aktuelle BSI-Gesetz (BSIG) führt Managed Service Provider und Managed Security Service Provider ausdrücklich als eigene Einrichtungsart auf: In Anlage 1 stehen sie im Sektor „Digitale Infrastruktur". Das bedeutet nicht automatisch, dass jedes Systemhaus betroffen ist. Maßgeblich sind zusätzlich Kriterien wie Mitarbeiterzahl, Jahresumsatz, Jahresbilanzsumme und die konkrete Unternehmensstruktur. Gerade kleinere Systemhäuser liegen unter Umständen unterhalb der maßgeblichen Schwellenwerte.
Betroffene Einrichtungen müssen nach § 30 BSIG geeignete Risikomanagementmaßnahmen umsetzen. Dazu zählen unter anderem Konzepte zur Risikoanalyse, Backup-Management, Lieferkettensicherheit sowie Multi-Faktor-Authentifizierung. Weiterführende, allgemeinverständliche Einordnungen bietet das BSI zu NIS-2-regulierten Unternehmen. Mehr zu den Konsequenzen für die persönliche Haftung der Geschäftsleitung findet sich in meinem Artikel „D&O-Versicherung: Warum NIS-2 sie für Geschäftsführer wichtiger macht".
Ob und in welchem Umfang ein konkretes Unternehmen unter NIS-2/BSIG fällt, lässt sich nur im Einzelfall anhand der aktuellen Gesetzeslage klären. Eine Cyberversicherung ersetzt weder diese rechtliche Prüfung noch die Erfüllung gesetzlicher Sicherheits-, Registrierungs- oder Meldepflichten. Diese Informationen ersetzen keine individuelle Rechtsberatung.
So läuft die Beratung für dein Unternehmen ab
Geschäftsmodell erfassen
Angebotene IT-Leistungen und Geschäftsmodell im kurzen Erstgespräch klären.
Zugänge und Abhängigkeiten analysieren
Kundenzugänge, Remote-Tools und Abhängigkeiten von Cloud- und Hosting-Anbietern einordnen.
Bestehende Verträge prüfen
Vorhandene Cyber- und IT-Haftpflichtverträge auf Überschneidungen und Lücken hin einordnen.
Tarife anbieterübergreifend vergleichen
Passende Deckungskonzepte für Cyberversicherung und IT-Haftpflicht gegenüberstellen.
Entscheidung begleiten
Bei der Entscheidung begleiten und die Absicherung regelmäßig überprüfen.
Kostenlos · unverbindlich · ca. 30 Minuten · online
FAQ: Cyberversicherung für IT-Dienstleister und Systemhäuser
Das hängt von der Tätigkeit, den Kundenzugängen und der individuellen Risikosituation ab. Da IT-Dienstleister häufig administrative Zugänge zu Kundensystemen haben, lohnt sich eine Einschätzung im persönlichen Gespräch.
IT-Haftpflicht und Cyberversicherung haben unterschiedliche Schwerpunkte: Die IT-Haftpflicht dient abhängig vom Vertrag vor allem der Absicherung bestimmter Schadenersatzansprüche aus beruflichen Fehlern. Eine Cyberversicherung kann je nach Vertrag eigene Kosten, Krisendienstleistungen und bestimmte Ansprüche infolge eines Cybervorfalls abdecken. Überschneidungen und Lücken sind möglich, weshalb beide Verträge gemeinsam geprüft werden sollten.
Bestimmte Ansprüche Dritter können je nach Tarif über die Cyberversicherung oder die IT-Haftpflicht versichert sein. Maßgeblich sind der konkrete Ablauf des Vorfalls und die jeweiligen Vertragsbedingungen. Eine automatische, vollständige Absicherung aller denkbaren Kundenansprüche besteht nicht.
Das kann sowohl einen eigenen Cyberschaden als auch Ansprüche betroffener Kunden auslösen. Ob und in welchem Umfang beides versichert ist, hängt von Cyber- und Haftpflichtvertrag gemeinsam ab. Eine gemeinsame Prüfung beider Verträge lohnt sich deshalb.
Fehler bei Updates, Migrationen oder Konfigurationen können Schadenersatzansprüche aufgrund einer beruflichen Tätigkeit auslösen und sind deshalb auch im Rahmen der IT-Haftpflicht zu prüfen. Ob zusätzlich Versicherungsschutz aus einer Cyberversicherung bestehen kann, hängt vom konkreten Vorfall und den jeweiligen Vertragsbedingungen ab.
Das hängt von den Bedingungen deiner Police ab. Prüfe, ob Ausfälle des betreffenden Cloud- oder Hosting-Anbieters erfasst sind, welche Ursache versichert ist und welche Selbstbehalte, Höchstbeträge und zeitlichen Grenzen gelten. Ein eigener Cybervorfall und ein Ausfall beim Dienstleister können unterschiedlich geregelt sein.
Das lässt sich nicht pauschal beantworten. Eine Vertragsstrafe, Schadenersatz wegen eines Fehlers und die Pflicht zur Nachbesserung sind unterschiedliche Ansprüche. Prüfe die SLA-Regelungen aus deinen Kundenverträgen zusammen mit den Bedingungen deiner Cyber- und IT-Haftpflichtversicherung. Eine automatische Mitversicherung solltest du nicht voraussetzen.
Managed Service Provider und Managed Security Service Provider sind im BSIG als eigene Einrichtungsart im Bereich digitale Infrastruktur aufgeführt. Ob ein konkretes Unternehmen tatsächlich betroffen ist, hängt unter anderem von Tätigkeit, Mitarbeiterzahl und Umsatz ab. Nicht jedes kleine Systemhaus fällt automatisch darunter. Diese Einschätzung ersetzt keine individuelle Rechtsberatung.
Versicherer fragen im Antragsprozess typischerweise Basismaßnahmen ab, etwa Mehrfaktor-Authentifizierung für administrative Zugänge, getrennte Backups, ein Patch-Management und eine Absicherung von Fernwartungszugängen. Welche Angaben konkret nötig sind, unterscheidet sich je nach Versicherer, Unternehmensgröße und beantragtem Versicherungsumfang.
Ja. Bestehende Verträge lassen sich im Erstgespräch auf Deckungsumfang, Überschneidungen und mögliche Lücken zwischen Cyberversicherung und IT-Haftpflicht hin einordnen.
Quellen und weiterführende Informationen
Diese Primärquellen belegen die rechtlichen und fachlichen Einordnungen auf dieser Seite. Sie sagen nichts über den Leistungsumfang eines konkreten Versicherungsvertrags aus. Dafür sind allein Versicherungsschein und Bedingungen des jeweiligen Vertrags maßgeblich.
BSI-Gesetz (BSIG): Gesetzestext in der aktuellen Fassung, Grundlage der NIS-2-Einordnung auf dieser Seite.
§ 30 BSIG: Risikomanagementmaßnahmen betroffener Einrichtungen im Wortlaut.
Anlage 1 BSIG: Einrichtungsarten je Sektor; dort im Sektor „Digitale Infrastruktur" auch Managed Service Provider und Managed Security Service Provider.
BSI, „NIS-2-regulierte Unternehmen": behördliche Informationsseite des Bundesamts für Sicherheit in der Informationstechnik zu Betroffenheit und Pflichten.
Die Informationen dienen der allgemeinen Orientierung. Versicherungsschutz, Obliegenheiten und Leistungen hängen vom konkreten Vertrag und vom jeweiligen Schadenfall ab. Die Inhalte ersetzen keine Rechts-, Steuer- oder IT-Sicherheitsberatung.
Bewertungen meiner Beratung
Öffentliche Bewertungen der Beratung von Tino Weissenrieder auf zwei externen Portalen. Sie stammen aus allen Beratungsbereichen und nicht ausschließlich von IT-Dienstleistern.
„Ich habe das Vergnügen, seit der Gründung meiner Firma mit Tino Weissenrieder zusammenzuarbeiten, und kann seine Expertise im Bereich Cyberpolicen und allgemein Versicherungen uneingeschränkt empfehlen.“
„Als Cybersecurity-Unternehmer ist mir wichtig, dass Versicherungsschutz zu den tatsächlichen Risiken und Abläufen im Unternehmen passt. Cyberversicherungen und D&O sind absolute Vertrauenssache, deshalb schätze ich eine Beratung, die unsere Risiken versteht und verständlich erklärt, worauf es beim Versicherungsschutz ankommt.“
„An Tino schätze ich besonders die persönliche Beratung und den sehr offenen Austausch selbst nach Vertragsabschluss. Man hat zu keinem Zeitpunkt das Gefühl nur eine Nummer zu sein und nach Schema F bedient zu werden. Äußert man eine Idee, findet er die richtigen Leute, um gemeinsam über Möglichkeiten zu brainstormen. In allen Belangen top!“
„Die Gefahren aus dem Cyberraum sind so hoch wie noch nie – KI spielt eine massive Rolle. Selbst für uns als ein auf IT-Sicherheit spezialisierter Dienstleister war klar, eine Cyberversicherung abzuschließen… nämlich weil wir uns gut auskennen!“
Bereit für ein unverbindliches Erstgespräch?
Im kostenlosen Erstgespräch besprechen wir dein Geschäftsmodell, vorhandene Verträge und offene Fragen zur Absicherung. So klären wir, welche Unterlagen und nächsten Schritte für einen fundierten Vergleich nötig sind.
