Cyberversicherung für IT-Dienstleister und Systemhäuser
IT-Dienstleister schützen nicht nur die eigene Infrastruktur: Durch administrative Zugänge, Fernwartung, Cloud-Dienste und Managed Services kann ein Sicherheitsvorfall auch Systeme mehrerer Kunden betreffen. Ich zeige dir, wie Cyberversicherung und IT-Haftpflicht dafür zusammenspielen — anbieterübergreifend verglichen und verständlich erklärt.
Über 25 Jahre Erfahrung · über 900 Kundenbewertungen · bundesweite Beratung
Warum IT-Dienstleister ein besonderes Cyberrisiko tragen
Das Geschäftsmodell von IT-Dienstleistern, Systemhäusern, MSP und MSSP bringt eine Kombination aus eigenem Betriebsrisiko und Verantwortung gegenüber Kunden mit sich, die viele andere Branchen so nicht kennen.
Wer administrative und privilegierte Zugänge zu Kundensystemen verwaltet, Fernwartungs- und Remote-Management-Werkzeuge einsetzt oder zentrale Managementsysteme für mehrere Kunden-Tenants betreibt, hat Zugriff auf Backups, Zugangsdaten und Konfigurationen, die weit über die eigene Infrastruktur hinausreichen. Gleichzeitig hängt die eigene Leistungserbringung oft von Cloud-, Hosting- und Softwareanbietern ab, auf die kein direkter Einfluss besteht.
Ein einzelner Sicherheitsvorfall kann dadurch mehrere Kunden gleichzeitig berühren — muss es aber nicht zwangsläufig; das hängt vom konkreten Angriffsweg und den betroffenen Systemen ab. Hinzu kommen die vertraglichen Leistungs- und Sorgfaltspflichten gegenüber Kunden: IT-Dienstleister tragen damit sowohl ein eigenes Betriebsrisiko als auch das Risiko möglicher Kundenansprüche — zwei Dinge, die unterschiedliche Versicherungslösungen betreffen können.
Typische Risikoszenarien für IT-Dienstleister
Kompromittiertes Fernwartungs- oder RMM-System
Ein Angreifer erlangt Zugriff auf ein zentrales Administrations- oder Remote-Monitoring-Werkzeug. Dadurch könnten neben dem eigenen Systemhaus auch mehrere angebundene Kunden betroffen sein.
Berührt je nach Vertrag: eigener Cyberschaden, mögliche Kundenansprüche
Ransomware im eigenen Systemhaus
Interne Systeme, Dokumentationen, Zugangsdaten oder Projektdateien werden verschlüsselt. Dienstleistungen können vorübergehend nur eingeschränkt erbracht werden.
Berührt je nach Vertrag: eigener Cyberschaden (IT-Forensik, Wiederherstellung, Betriebsunterbrechung)
Fehlerhafte Konfiguration oder Aktualisierung
Eine Konfigurationsänderung, Migration oder ein fehlerhaftes Update führt bei einem Kunden zu Ausfall, Datenverlust oder einer Sicherheitslücke.
Berührt je nach Vertrag: möglicher beruflicher Fehler (IT-Haftpflicht), ggf. zusätzlich Cyberbezug
Ausfall eines Cloud- oder Hosting-Dienstleisters
Ein Cybervorfall oder eine andere im Vertrag definierte Störung bei einem Cloud-, Hosting- oder IT-Dienstleister kann die eigenen Leistungen oder die Erreichbarkeit von Kundensystemen beeinträchtigen.
Möglicherweise betroffen: Betriebsunterbrechungs- oder Mehrkosten durch einen Fremddienstleister – jedoch nur, wenn der konkrete Auslöser und der betreffende Dienstleister vom vereinbarten Baustein erfasst sind.
Backup oder Wiederherstellung funktioniert nicht wie vorgesehen
Im Schadenfall stellt sich heraus, dass Daten nicht vollständig oder nicht in der erwarteten Zeit wiederhergestellt werden können.
Berührt je nach Vertrag: eigener Cyberschaden, ggf. Kundenansprüche wegen Leistungserbringung
Manipulierte Zahlungsanweisung oder Social Engineering
Mitarbeitende werden zu einer Zahlung oder Änderung von Kontodaten verleitet — ein Betrugsszenario, das nicht automatisch unter die klassische Cyberdeckung fällt.
Berührt je nach Vertrag: spezielle Betrugs- oder Vertrauensschadendeckung, sofern ausdrücklich vereinbart
Diese Szenarien sind bewusst allgemein/branchentypisch gehalten, keine echten Fälle aus meiner Beratungspraxis.
Die Informationen dienen der allgemeinen Orientierung. Versicherungsschutz, Obliegenheiten und Leistungen hängen vom konkreten Vertrag und vom jeweiligen Schadenfall ab. Die Inhalte ersetzen keine Rechts-, Steuer- oder IT-Sicherheitsberatung.
Welche Versicherung ist wofür zuständig?
Für IT-Dienstleister ist diese Abgrenzung besonders wichtig — hier ein allgemeiner Überblick ohne Rechtsberatung.
Cyberversicherung
Kann abhängig vom Vertrag insbesondere eigene Kosten und Krisendienstleistungen nach einer Informationssicherheitsverletzung sowie bestimmte Ansprüche Dritter absichern.
IT-Haftpflicht / Vermögensschadenhaftpflicht
Dient typischerweise der Absicherung von Schadenersatzansprüchen aufgrund beruflicher Fehler oder Pflichtverletzungen — etwa bei fehlerhafter Konfiguration, fehlerhafter Beratung, Programmier- oder Implementierungsfehlern oder unzureichender Leistungserbringung. Abhängig vom Vertrag kann sie auch bei Ansprüchen im Zusammenhang mit einem Cybervorfall relevant sein.
Vertrauensschaden- oder Betrugsdeckung
Kann — sofern ausdrücklich vereinbart — bei bestimmten vorsätzlichen Handlungen, Täuschungen oder manipulierten Zahlungsprozessen relevant sein.
Diese drei Bereiche schließen sich nicht gegenseitig aus, überschneiden sich aber auch nicht automatisch vollständig: Je nach Vertrag können Vorrangregelungen, Subsidiaritätsklauseln oder Ausschlüsse gelten. Vertragsstrafen, pauschalierter Schadenersatz oder reine Erfüllungsansprüche aus Kundenverträgen — etwa SLA-Pönalen — sind in der Regel gesondert zu prüfen und werden von keiner der drei Versicherungsarten automatisch übernommen.
Zentraler Praxistipp von Tino Weissenrieder: Bei IT-Dienstleistern reicht ein isolierter Vergleich allein der Cyberversicherung häufig nicht aus. Cyberversicherung und IT-Haftpflicht sollten gemeinsam auf Überschneidungen und mögliche Deckungslücken geprüft werden.
Mögliche Leistungsbausteine einer Cyberversicherung
Der genaue Umfang unterscheidet sich stark zwischen Anbietern — deshalb lohnt sich ein anbieterübergreifender Vergleich statt Direktabschluss.
IT-Forensik und Incident Response
Analyse und erste Reaktion auf einen Cybervorfall können je nach Tarif versichert sein.
Wiederherstellung von IT-Systemen und Daten
Notwendige Kosten für die Wiederherstellung eigener IT-Systeme und Daten können je nach Tarif versichert sein. Aufwendungen für Kundensysteme oder daraus entstehende Kundenansprüche müssen gesondert anhand der Cyber- und IT-Haftpflichtbedingungen geprüft werden.
Betriebsunterbrechung
Ertragsausfall infolge eines Cyber-Vorfalls — Umfang und Karenzzeit hängen vom Tarif ab.
Krisenkommunikation und Reputationsmaßnahmen
Unterstützung bei der Kommunikation gegenüber Kunden und Öffentlichkeit im Ernstfall.
Datenschutzprüfung und Benachrichtigung
Unterstützung bei der fachlichen Prüfung und möglichen Melde- und Informationspflichten kann je nach Tarif versichert sein.
Abwehr und Befriedigung von Ansprüchen Dritter
Abwehr unberechtigter und Befriedigung berechtigter Ansprüche betroffener Kunden oder anderer Dritter, soweit vom Tarif umfasst.
Cyber-Erpressung
Im rechtlich zulässigen und vertraglich vereinbarten Umfang, mit Unterstützung durch spezialisierte Krisendienstleister.
Ausfälle externer Dienstleister
Ausfälle externer IT-, Cloud- oder Hosting-Dienstleister sind nicht automatisch eingeschlossen, sondern nur sofern ausdrücklich mitversichert.
Mehrkosten oder Notbetrieb
Mehrkosten zur Aufrechterhaltung des Betriebs, sofern im Tarif vereinbart.
Praxistipp von Tino Weissenrieder: Sublimits, Selbstbehalte, Warte- beziehungsweise Karenzzeiten und Ausschlüsse können je nach Tarif gelten — maßgeblich sind immer Versicherungsschein und Bedingungen des konkreten Vertrags, nicht diese allgemeine Übersicht. Als fachliche Orientierung dienen unter anderem die unverbindlichen GDV-Musterbedingungen für die Cyberrisiko-Versicherung (AVB Cyber) — nicht jeder am Markt angebotene Vertrag entspricht diesem Muster. Einen allgemeinen Überblick über Deckungsbausteine gebe ich in meinem Artikel „Was deckt eine Cyberversicherung ab?".
Was Versicherer bei IT-Dienstleistern besonders prüfen
Im Antragsprozess können Versicherer den aktuellen Stand der IT-Sicherheit abfragen. Bei IT-Dienstleistern können dabei insbesondere die Absicherung von Kundenzugängen und Abhängigkeiten innerhalb der eigenen Lieferkette eine Rolle spielen. Mögliche Punkte sind unter anderem:
Mehrfaktor-Authentifizierung für administrative und externe Zugänge
Trennung privilegierter Benutzerkonten von regulären Arbeitskonten
Rollenbasierte Berechtigungen nach dem Least-Privilege-Prinzip
Absicherung von Fernwartungszugängen, etwa über Zeitbegrenzung und Protokollierung
Patch- und Schwachstellenmanagement für eigene und betreute Systeme
Endpoint Detection and Response beziehungsweise ein geeigneter Endgeräteschutz
Getrennte, regelmäßig getestete und möglichst unveränderbare Backups
Protokollierung und Überwachung administrativer Aktivitäten
Notfall- und Wiederanlaufplanung, auch für Vorfälle mit Kundenbezug
Prüfung von Cloud-, Hosting- und Unterauftragnehmern
Sensibilisierung der Beschäftigten für Phishing und Social Engineering
Geregelter Umgang mit Zugangsdaten ausgeschiedener Mitarbeiter
Ein Reaktionsplan für Vorfälle, die mehrere Kunden betreffen könnten
Welche dieser Punkte im Detail verlangt und wie streng sie gewichtet werden, unterscheidet sich je nach Versicherer, Unternehmensgröße, Tätigkeit und beantragtem Versicherungsumfang — nicht jeder Versicherer verlangt identische Maßnahmen. Eine fachliche Einordnung zum Umgang mit Auslagerung liefert ergänzend das BSI-IT-Grundschutz-Baustein „Nutzung von Outsourcing".
NIS-2: Wann IT-Dienstleister betroffen sein können
Das aktuelle BSI-Gesetz (BSIG) führt Managed Service Provider und Managed Security Service Provider ausdrücklich als eigene Einrichtungsart auf: In Anlage 1 stehen sie im Sektor „Digitale Infrastruktur". Das bedeutet nicht automatisch, dass jedes Systemhaus betroffen ist — maßgeblich sind zusätzlich Kriterien wie Mitarbeiterzahl, Jahresumsatz, Jahresbilanzsumme und die konkrete Unternehmensstruktur. Gerade kleinere Systemhäuser liegen unter Umständen unterhalb der maßgeblichen Schwellenwerte.
Betroffene Einrichtungen müssen nach § 30 BSIG geeignete Risikomanagementmaßnahmen umsetzen — dazu zählen unter anderem Konzepte zur Risikoanalyse, Backup-Management, Lieferkettensicherheit sowie Multi-Faktor-Authentifizierung. Weiterführende, allgemeinverständliche Einordnungen bietet das BSI zu NIS-2-regulierten Unternehmen. Mehr zu den Konsequenzen für die persönliche Haftung der Geschäftsleitung findet sich in meinem Artikel „D&O-Versicherung: Warum NIS-2 sie für Geschäftsführer wichtiger macht".
Ob und in welchem Umfang ein konkretes Unternehmen unter NIS-2/BSIG fällt, lässt sich nur im Einzelfall anhand der aktuellen Gesetzeslage klären. Eine Cyberversicherung ersetzt weder diese rechtliche Prüfung noch die Erfüllung gesetzlicher Sicherheits-, Registrierungs- oder Meldepflichten. Diese Informationen ersetzen keine individuelle Rechtsberatung.
So läuft die Beratung für dein Unternehmen ab
Geschäftsmodell erfassen
Angebotene IT-Leistungen und Geschäftsmodell im kurzen Erstgespräch klären.
Zugänge und Abhängigkeiten analysieren
Kundenzugänge, Remote-Tools und Abhängigkeiten von Cloud- und Hosting-Anbietern einordnen.
Bestehende Verträge prüfen
Vorhandene Cyber- und IT-Haftpflichtverträge auf Überschneidungen und Lücken hin einordnen.
Tarife anbieterübergreifend vergleichen
Passende Deckungskonzepte für Cyberversicherung und IT-Haftpflicht gegenüberstellen.
Entscheidung begleiten
Bei der Entscheidung begleiten und die Absicherung regelmäßig überprüfen.
FAQ: Cyberversicherung für IT-Dienstleister und Systemhäuser
Das hängt von der Tätigkeit, den Kundenzugängen und der individuellen Risikosituation ab. Da IT-Dienstleister häufig administrative Zugänge zu Kundensystemen haben, lohnt sich eine Einschätzung im persönlichen Gespräch.
IT-Haftpflicht und Cyberversicherung haben unterschiedliche Schwerpunkte: Die IT-Haftpflicht dient abhängig vom Vertrag vor allem der Absicherung bestimmter Schadenersatzansprüche aus beruflichen Fehlern. Eine Cyberversicherung kann je nach Vertrag eigene Kosten, Krisendienstleistungen und bestimmte Ansprüche infolge eines Cybervorfalls abdecken. Überschneidungen und Lücken sind möglich, weshalb beide Verträge gemeinsam geprüft werden sollten.
Bestimmte Ansprüche Dritter können je nach Tarif über die Cyberversicherung oder die IT-Haftpflicht versichert sein — das hängt vom konkreten Ablauf des Vorfalls und den jeweiligen Vertragsbedingungen ab. Eine automatische, vollständige Absicherung aller denkbaren Kundenansprüche besteht nicht.
Das kann sowohl einen eigenen Cyberschaden als auch Ansprüche betroffener Kunden auslösen. Ob und in welchem Umfang beides versichert ist, hängt von Cyber- und Haftpflichtvertrag gemeinsam ab — deshalb lohnt sich hier eine gemeinsame Prüfung beider Verträge.
Fehler bei Updates, Migrationen oder Konfigurationen können Schadenersatzansprüche aufgrund einer beruflichen Tätigkeit auslösen und sind deshalb auch im Rahmen der IT-Haftpflicht zu prüfen. Ob zusätzlich Versicherungsschutz aus einer Cyberversicherung bestehen kann, hängt vom konkreten Vorfall und den jeweiligen Vertragsbedingungen ab.
Nur, wenn der entsprechende Baustein ausdrücklich vereinbart wurde. Viele Cyberversicherungen schließen Ausfälle externer Dienstleister nicht automatisch ein.
In der Regel nicht. Vertragsstrafen, pauschalierter Schadenersatz und reine Erfüllungsansprüche aus Kundenverträgen sind typischerweise weder über die Cyberversicherung noch über die IT-Haftpflicht automatisch abgedeckt und müssen gesondert geprüft werden.
Managed Service Provider und Managed Security Service Provider sind im BSIG als eigene Einrichtungsart im Bereich digitale Infrastruktur aufgeführt. Ob ein konkretes Unternehmen tatsächlich betroffen ist, hängt unter anderem von Tätigkeit, Mitarbeiterzahl und Umsatz ab — nicht jedes kleine Systemhaus fällt automatisch darunter. Diese Einschätzung ersetzt keine individuelle Rechtsberatung.
Versicherer fragen im Antragsprozess typischerweise Basismaßnahmen ab, etwa Mehrfaktor-Authentifizierung für administrative Zugänge, getrennte Backups, ein Patch-Management und eine Absicherung von Fernwartungszugängen. Welche Angaben konkret nötig sind, unterscheidet sich je nach Versicherer, Unternehmensgröße und beantragtem Versicherungsumfang.
Ja. Bestehende Verträge lassen sich im Erstgespräch auf Deckungsumfang, Überschneidungen und mögliche Lücken zwischen Cyberversicherung und IT-Haftpflicht hin einordnen.
Quellen und weiterführende Informationen
Diese Primärquellen belegen die rechtlichen und fachlichen Einordnungen auf dieser Seite. Sie sagen nichts über den Leistungsumfang eines konkreten Versicherungsvertrags aus — dafür sind allein Versicherungsschein und Bedingungen des jeweiligen Vertrags maßgeblich.
BSI-Gesetz (BSIG) — Gesetzestext in der aktuellen Fassung, Grundlage der NIS-2-Einordnung auf dieser Seite.
§ 30 BSIG — Risikomanagementmaßnahmen betroffener Einrichtungen im Wortlaut.
Anlage 1 BSIG — Einrichtungsarten je Sektor; dort im Sektor „Digitale Infrastruktur" auch Managed Service Provider und Managed Security Service Provider.
BSI, „NIS-2-regulierte Unternehmen" — behördliche Informationsseite des Bundesamts für Sicherheit in der Informationstechnik zu Betroffenheit und Pflichten.
Die Informationen dienen der allgemeinen Orientierung. Versicherungsschutz, Obliegenheiten und Leistungen hängen vom konkreten Vertrag und vom jeweiligen Schadenfall ab. Die Inhalte ersetzen keine Rechts-, Steuer- oder IT-Sicherheitsberatung.
Tino Weissenrieder
Seit über 25 Jahren Versicherungsmakler und Diplom-Wirtschaftsingenieur (FH). Als TÜV Rheinland zertifizierter Fachberater für Cyber-Risiken berate ich bundesweit Unternehmen, IT-Dienstleister und Systemhäuser zur Cyberversicherung — anbieterübergreifend, ohne Bindung an einen einzelnen Versicherer. Über 900 Kundenbewertungen geben Einblick in die Erfahrungen mit der Beratung.
25+ Jahre Erfahrung900+ KundenbewertungenDipl.-Wirtsch.-Ing. (FH)
„Ich habe das Vergnügen, seit der Gründung meiner Firma mit Tino Weissenrieder zusammenzuarbeiten, und kann seine Expertise im Bereich Cyberpolicen und allgemein Versicherungen uneingeschränkt empfehlen.“
Bereit für ein unverbindliches Erstgespräch?
In 30 Minuten bekommst du eine realistische Einschätzung, wo dein Unternehmen beim Thema Cyber-Risiko und IT-Haftpflicht steht.
