Was deckt eine Cyberversicherung ab?

Die drei Säulen im Überblick

Eigenschäden

Eigenschäden sind alle Kosten, die nach einem Cybervorfall in Ihrem eigenen Unternehmen entstehen. Sie sind für die meisten kleinen und mittleren Betriebe der wichtigste Teil der Cyberversicherung. Typisch versichert sind:

• Wiederherstellung von Daten und Systemen – das Neuaufsetzen von Servern und Rechnern, das Zurückspielen von Backups, die Rekonstruktion verlorener Daten.
• Kosten für Benachrichtigungen – wenn Kunden, Patienten oder Mandanten über eine Datenschutzverletzung informiert werden müssen.
• Kosten der Schadenminderung – Maßnahmen, die einen größeren Schaden verhindern.
• Hardware – je nach Tarif der Austausch von Geräten, die nach einem Angriff nicht mehr sicher verwendet werden können.
• Cyber-Erpressung – je nach Tarif Kosten im Zusammenhang mit einer Erpressung, in einigen Fällen auch ein Lösegeld. Mehr dazu im Ratgeber Ransomware im Mittelstand.

Betriebsunterbrechung

Die Betriebsunterbrechungsversicherung ersetzt den Gewinn, der Ihnen entgeht, und die Kosten, die weiterlaufen, während Ihr Betrieb nach einem Cyberangriff stillsteht. Dazu gehören zum Beispiel Löhne, Mieten und Leasingraten.

Wichtig sind drei Stellschrauben:

1. Zeitliche Selbstbeteiligung: Wie viele Stunden oder Tage tragen Sie selbst, bevor die Versicherung zahlt?
2. Haftzeit: Wie lange wird der Ausfall maximal ersetzt?
3. Auslöser: Zählt nur ein Angriff auf Ihre eigenen Systeme – oder auch ein Ausfall bei Ihrem Cloud-Anbieter oder IT-Dienstleister?

Drittschäden (Cyber-Haftpflicht)

Die Haftpflichtkomponente schützt Sie, wenn andere wegen eines Cybervorfalls Ansprüche gegen Sie stellen. Der Versicherer prüft die Forderung, wehrt unberechtigte Ansprüche ab (passiver Rechtsschutz) und zahlt berechtigte im Rahmen der Versicherungssumme. Typische Fälle:

• Schadenersatzforderungen von Kunden oder Betroffenen nach einem Datenleck (Art. 82 DSGVO),
• Schäden bei Geschäftspartnern, weil über Ihre Systeme Schadsoftware weiterverbreitet wurde,
• Verletzung von Vertraulichkeitsvereinbarungen,
• Kosten für die Abwehr eines Datenschutz-Bußgeldverfahrens. Ob Bußgelder selbst versicherbar sind, ist umstritten – siehe DSGVO-Bußgelder: versicherbar oder nicht?

Forensik und Krisenhilfe

Im Ernstfall zählt jede Stunde – deshalb ist die Soforthilfe für viele Betriebe der wertvollste Teil der Police. Über eine Notfall-Hotline, bei vielen Versicherern rund um die Uhr erreichbar, werden vermittelt und bezahlt:

• IT-Forensiker, die den Angriff analysieren, eindämmen und die Ursache finden,
• Datenschutzanwälte, die Melde- und Informationspflichten prüfen und umsetzen,
• Krisen- und PR-Berater, die die Kommunikation mit Kunden, Partnern und Öffentlichkeit begleiten,
• je nach Tarif Verhandlungsexperten bei Erpressung.

Was Sie in den ersten Stunden selbst tun sollten, steht in unserer Checkliste Was tun nach einem Cyberangriff?

Typische Ausschlüsse

Keine Cyberversicherung deckt alles. Häufige Ausschlüsse oder Einschränkungen sind:

• Vorsatz des Versicherungsnehmers,
• Krieg und staatlich gesteuerte Cyberangriffe – die Formulierungen unterscheiden sich stark und sind ein wichtiger Prüfpunkt,
• Ausfall öffentlicher Infrastruktur wie Strom-, Telekommunikations- oder Internetnetze,
• bereits bekannte Vorfälle vor Vertragsbeginn,
• Verbesserung der IT über den Zustand vor dem Schaden hinaus,
• Vertragsstrafen und vertraglich übernommene Haftung über das Gesetz hinaus (je nach Tarif),
• Täuschungsschäden wie CEO-Fraud ohne gesonderten Baustein – mehr dazu unter Phishing & CEO-Fraud.

Obliegenheiten: Ihre Pflichten als Versicherungsnehmer

Obliegenheiten sind vertragliche Pflichten, die Sie erfüllen müssen, damit der Versicherer voll leistet. Bei der Cyberversicherung sind das vor allem:

• Wahrheitsgemäße Angaben im Antrag zu Ihrer IT-Sicherheit und zu früheren Vorfällen,
• Einhaltung des angegebenen Sicherheitsstandards während der Laufzeit – etwa Backups, Updates, Multi-Faktor-Anmeldung,
• unverzügliche Schadenmeldung und Befolgen der Weisungen des Versicherers im Ernstfall.

Welche Maßnahmen Versicherer typischerweise erwarten, lesen Sie ausführlich unter Voraussetzungen für eine Cyberversicherung.

Woran Sie einen guten Tarif erkennen

• Bedienfehler und Datenschutzverletzungen ohne Angriff sind mitversichert.
• Ausfälle bei Cloud-Anbietern und IT-Dienstleistern sind erfasst.
• Die zeitliche Selbstbeteiligung bei der Betriebsunterbrechung ist kurz.
• Die Kriegs- und Ausschlussklauseln sind klar und nicht zu weit gefasst.
• Obliegenheiten sind verständlich formuliert und kundenfreundlich ausgestaltet.
• Die Notfall-Hotline ist tatsächlich rund um die Uhr erreichbar.

Diese Unterschiede machen einen Vergleich durch einen unabhängigen Makler sinnvoll. Wie sich der Beitrag zusammensetzt, erklärt die Seite Kosten einer Cyberversicherung. Branchenspezifische Schwerpunkte finden Sie unter Cyberversicherung nach Branche.

Die Darstellung ist allgemein und ersetzt nicht die Versicherungsbedingungen. Maßgeblich ist immer der konkrete Vertrag.