Branche: IT-Dienstleister
Cyberversicherung für IT-Dienstleister und Systemhäuser
IT-Dienstleister brauchen in der Regel zwei Bausteine – eine IT-Haftpflicht für Fehler in ihren Leistungen gegenüber Kunden und eine Cyberversicherung für die eigenen Schäden nach einem Angriff. Weil Dienstleister oft Zugang zu vielen Kundensystemen haben, prüfen Versicherer sie besonders genau.
Von Kosovar Spahiu, Versicherungsmakler · Stand:
Doppeltes Risiko: eigene Systeme und Kundensysteme
IT-Dienstleister sind gleichzeitig Ziel und Einfallstor. Angreifer wissen: Wer einen Dienstleister mit Fernwartungszugang zu vielen Kunden übernimmt, erreicht mit einem Angriff gleich mehrere Unternehmen. Solche Angriffe über die Lieferkette (Supply-Chain-Angriffe) sind seit Jahren ein bekanntes Muster.
Daraus ergeben sich zwei verschiedene Risiken:
- Eigenschaden: Ihre eigenen Systeme, Ticketsystem, Dokumentation und Zugangsdaten werden kompromittiert. Sie können Ihre Kunden nicht mehr betreuen und haben selbst hohe Wiederherstellungskosten.
- Drittschaden: Kunden erleiden Schäden, weil Angreifer über Ihre Zugänge in deren Systeme gelangt sind – oder weil Ihnen bei der Betreuung ein Fehler unterlaufen ist.
Cyberversicherung oder IT-Haftpflicht?
| IT-Haftpflicht (Berufshaftpflicht) | Cyberversicherung | |
|---|---|---|
| Schützt bei | Fehlern in Ihrer Dienstleistung, z. B. fehlerhafte Konfiguration, verpasstes Backup-Monitoring | Cyberangriffen und Datenschutzverletzungen |
| Eigene Kosten | in der Regel nicht | ja: Forensik, Wiederherstellung, Betriebsunterbrechung |
| Ansprüche von Kunden | ja, bei Pflichtverletzungen | ja, soweit sie aus dem Cybervorfall entstehen |
In der Praxis braucht ein IT-Dienstleister meist beides. Gefährlich sind Lücken an der Schnittstelle: Wenn unklar ist, ob ein Kundenschaden aus einem Fehler oder aus einem Angriff entstanden ist, sollten beide Verträge zusammenpassen – idealerweise beim selben Versicherer oder klar aufeinander abgestimmt. Grundsätzliches zur Abgrenzung erklärt der Ratgeber Cyberversicherung oder Betriebshaftpflicht.
Kumulrisiko bei Managed Service Providern
Betreut ein Dienstleister viele Kunden über dieselben Werkzeuge (Fernwartung, RMM, zentrale Backup-Konsole), kann ein einziger Angriff alle gleichzeitig treffen. Für den Versicherungsvertrag heißt das:
- Die Versicherungssumme muss auch einen Großschaden mit vielen Betroffenen abdecken können.
- Serienschadenklauseln regeln, ob mehrere Kundenschäden als ein Versicherungsfall gelten – mit Auswirkungen auf Summe und Selbstbehalt.
- Verträge mit Kunden (Haftungsbegrenzungen, SLAs) beeinflussen, wie hoch Ansprüche ausfallen können.
Was Versicherer von IT-Dienstleistern erwarten
Von einem IT-Dienstleister wird mehr erwartet als von einem durchschnittlichen KMU. Typische Fragen betreffen:
- Multi-Faktor-Authentifizierung für alle Fernzugänge und Admin-Konten
- Getrennte, abgesicherte Admin-Konten je Kunde und dokumentierte Zugriffsrechte
- Absicherung der Fernwartungs- und RMM-Werkzeuge
- Unveränderliche (immutable) oder getrennte Backups
- Patch-Management und Schwachstellenmanagement
- Notfallplan für den eigenen Betrieb und für die Kundenkommunikation
Einen allgemeinen Überblick gibt der Ratgeber Voraussetzungen für eine Cyberversicherung.
Unsere Empfehlung
Bringen Sie zum Gespräch Ihre bestehende IT-Haftpflicht und eine Übersicht Ihrer Kundenstruktur mit (Anzahl, Art der Betreuung, Fernzugriff ja/nein). Daraus ergibt sich, welche Summen und Bausteine sinnvoll sind und welche Versicherer für Ihr Geschäftsmodell infrage kommen. Mehr zum Leistungsumfang lesen Sie unter Was deckt eine Cyberversicherung ab?, zu den Kostenfaktoren unter Kosten einer Cyberversicherung.
Häufige Fragen
Ist die Cyberversicherung dasselbe wie eine IT-Haftpflicht?
Nein. Die IT-Haftpflicht schützt vor Ansprüchen Ihrer Kunden, wenn Ihnen bei Ihrer Dienstleistung ein Fehler unterläuft. Die Cyberversicherung deckt vor allem Ihre eigenen Schäden nach einem Cyberangriff und Haftpflichtansprüche, die direkt aus diesem Angriff entstehen. Viele Anbieter kombinieren beides – die Schnittstellen sollten aber genau geprüft werden.
Was passiert, wenn Angreifer über meine Fernwartung Kundensysteme verschlüsseln?
Das ist das zentrale Risiko für Managed Service Provider. Je nach Vertrag fallen die Ansprüche der Kunden unter die IT-Haftpflicht, die Cyber-Haftpflicht oder beide. Wichtig ist, dass die Versicherungssumme für den Fall reicht, dass viele Kunden gleichzeitig betroffen sind.
Versichern alle Versicherer IT-Dienstleister?
Nicht alle und nicht zu gleichen Bedingungen. Manche Versicherer schränken die Zeichnung für Dienstleister mit Fernzugriff auf Kundensysteme ein oder verlangen höhere Sicherheitsstandards. Gerade deshalb lohnt sich ein Marktvergleich über einen Makler.