Risikofragen der Cyberversicherung – so füllen Sie den Antrag richtig aus

Warum die Risikofragen so wichtig sind

Die Antworten im Antrag sind die Grundlage, auf der der Versicherer Ihr Risiko einschätzt – und auf die er sich im Schadenfall beruft. Nach einem Cyberangriff prüft der Versicherer in der Regel, ob die Angaben im Antrag gestimmt haben. Stellt sich heraus, dass etwa das „getrennte Backup“ in Wirklichkeit im selben Netzwerk lag, kann das den Versicherungsschutz gefährden.

Rechtlich spricht man von der vorvertraglichen Anzeigepflicht (§ 19 Versicherungsvertragsgesetz, VVG): Sie müssen alle Umstände wahrheitsgemäß angeben, nach denen der Versicherer in Textform fragt und die Sie kennen. Das gilt auch für Fragen, die der Versicherer nach Ihrem Antrag, aber vor der Annahme noch stellt.

Wie ausführlich gefragt wird, hängt vor allem von Umsatz, Branche und gewünschter Versicherungssumme ab. Kleine Betriebe beantworten oft nur wenige Fragen im Onlineantrag; bei höheren Summen folgen mehrseitige Fragebögen, Telefonate oder externe Scans.

Die typischen Fragenblöcke

Jeder Versicherer formuliert seine Fragen anders, inhaltlich ähneln sie sich aber stark:

Fragenblock	Was typischerweise gefragt wird
Unternehmen	Branche und Tätigkeit, Jahresumsatz, Zahl der Mitarbeitenden, Umsätze oder Standorte im Ausland (häufig gesondert: USA und Kanada)
Daten	Ob und wie viele personenbezogene Daten gespeichert werden; besonders sensible Daten wie Gesundheits- oder Zahlungskartendaten
Vorschäden	Cybervorfälle der letzten Jahre (oft fünf), bekannte Sicherheitslücken, laufende Ermittlungen oder Ansprüche, frühere Ablehnungen oder Kündigungen durch Versicherer
IT-Sicherheit	Datensicherung, Multi-Faktor-Authentifizierung, Sicherheitsupdates, Virenschutz, Firewall, Benutzer- und Administratorrechte, veraltete Systeme
Dienstleister	Ob IT, Rechenzentrum, Cloud oder Sicherheitsfunktionen an externe Anbieter ausgelagert sind
Zahlungsprozesse	Vier-Augen-Prinzip bei Überweisungen, Rückruf bei geänderten Bankdaten – wichtig, wenn CEO-Fraud mitversichert werden soll

Welche Mindeststandards hinter den IT-Fragen stehen, erklärt unser Ratgeber Voraussetzungen für eine Cyberversicherung.

Die häufigsten Stolperfallen

Die meisten Probleme entstehen nicht durch bewusst falsche Angaben, sondern durch ein zu schnelles „Ja“. Typische Beispiele aus der Praxis:

• „Ja“, obwohl es nur teilweise stimmt. MFA ist für E-Mail eingerichtet, aber nicht für den Fernzugang oder das Administratorkonto. Fragt der Versicherer nach „allen“ Zugängen, ist die ehrliche Antwort „Nein“ oder eine Erläuterung.
• Backup im selben Netzwerk. Eine Festplatte oder ein NAS, das dauerhaft verbunden ist, wird bei einem Ransomware-Angriff oft mitverschlüsselt. Fragt der Versicherer nach einer getrennten oder unveränderlichen Sicherung, zählt so eine Lösung in der Regel nicht.
• Vergessene Altsysteme. Ein alter Rechner an der Maschine, ein Kassensystem oder ein Laptop im Lager mit einem Betriebssystem ohne Sicherheitsupdates – zum Beispiel Windows 10, für das der reguläre Support im Oktober 2025 geendet hat.
• „Kein Schaden entstanden“. Auch ein abgewehrter oder glimpflich verlaufener Vorfall kann nach dem Wortlaut der Frage anzeigepflichtig sein, etwa wenn nach „Vorfällen“ und nicht nach „Schäden“ gefragt wird.
• Geratene Angaben zum Dienstleister. Ob Ihr IT-Dienstleister Updates zeitnah einspielt oder Backups prüft, sollten Sie bei ihm erfragen und nicht schätzen.
• Änderungen zwischen Antrag und Vertragsbeginn. Fällt zwischen Antrag und Annahme etwa die Datensicherung aus oder ereignet sich ein Vorfall, sollten Sie das dem Versicherer mitteilen, besonders wenn er nachfragt.

Was bei falschen Angaben passieren kann

Die Folgen hängen davon ab, wie schwer das Versäumnis wiegt. Vereinfacht gilt nach §§ 19 bis 22 VVG:

Verschulden	Mögliche Folge
Arglist (bewusste Täuschung)	Der Versicherer kann den Vertrag anfechten und muss in der Regel nicht leisten.
Vorsatz	Rücktritt vom Vertrag; der Versicherer kann leistungsfrei werden.
Grobe Fahrlässigkeit	Rücktritt – es sei denn, der Versicherer hätte den Vertrag auch bei richtigen Angaben geschlossen, dann wird der Vertrag zu geänderten Bedingungen fortgeführt (etwa mit Ausschluss oder höherem Beitrag).
Einfache Fahrlässigkeit oder ohne Verschulden	Kein Rücktritt; der Versicherer kann aber mit einer Frist von einem Monat kündigen oder den Vertrag für die Zukunft anpassen.

Zwei wichtige Einschränkungen zugunsten des Versicherungsnehmers: Der Versicherer muss Sie vorher in einer gesonderten Mitteilung in Textform auf die Folgen falscher Angaben hingewiesen haben. Und tritt er nach einem Schadenfall zurück, bleibt er zur Leistung verpflichtet, wenn der falsch angegebene Umstand mit dem Schaden nichts zu tun hatte – außer bei Arglist.

Diese Darstellung ist vereinfacht und ersetzt keine Rechtsberatung. Im Einzelfall kommt es auf die genaue Frage, Ihre Antwort und die Vertragsbedingungen an.

So beantworten Sie die Fragen richtig

1. Fragebogen vorab ansehen. Lassen Sie sich den Fragebogen vor der Antragstellung geben und nehmen Sie sich Zeit dafür – nicht zwischen zwei Terminen am Handy.
2. IT-Dienstleister einbinden. Gehen Sie die technischen Fragen gemeinsam mit Ihrem IT-Verantwortlichen durch. Er weiß, wie Backup, MFA und Updates tatsächlich umgesetzt sind.
3. Wörtlich lesen. Achten Sie auf Wörter wie „alle“, „immer“, „mindestens“ oder „in den letzten fünf Jahren“. Ein „Ja“ gilt für die Frage genau so, wie sie gestellt ist.
4. Im Zweifel erläutern statt ankreuzen. Wenn eine Antwort nicht eindeutig passt, erklären Sie den Sachverhalt im Freitextfeld oder in einer Anlage.
5. Kopie aufbewahren. Bewahren Sie den ausgefüllten Antrag mit allen Anlagen auf. Im Schadenfall ist er die Grundlage für die Prüfung.
6. Stand halten. Was Sie im Antrag zusagen, gilt auch während der Laufzeit. Wird eine Maßnahme später abgeschaltet, kann das als Gefahrerhöhung (§ 23 VVG) oder als Verstoß gegen vertragliche Sicherheitsobliegenheiten gewertet werden.

Nach Vertragsschluss: Angaben aktuell halten

Ändert sich Ihr Betrieb deutlich – neuer Standort, deutlich höherer Umsatz, neue Software oder ein Wechsel des IT-Dienstleisters –, prüfen Sie, ob der Versicherer informiert werden muss. Viele Verträge fragen solche Änderungen bei der jährlichen Verlängerung ab. Was im Ernstfall zu tun ist, zeigt unsere Checkliste Was tun nach einem Cyberangriff?

Unsere Empfehlung

Beantworten Sie die Risikofragen nie allein unter Zeitdruck. Als Versicherungsmakler gehen wir die Fragen vor der Antragstellung mit Ihnen durch, zeigen, welche Formulierungen bei welchem Versicherer kritisch sind, und klären offene Punkte, bevor der Antrag rausgeht. So wissen Sie vorher, ob Ihr Betrieb versicherbar ist – und müssen es nicht erst im Schadenfall herausfinden.