Inhalt dieses Artikels
Ein verschlüsselter Dateiserver, eine Lösegeldforderung, und dein Betrieb steht. Für ein kleines Unternehmen ist das kein IT-Problem, sondern ein Liquiditätsproblem. Der Umsatz fällt aus, die Forensik kostet ab dem ersten Tag, und deine Kunden wollen wissen, was mit ihren Daten passiert ist. Genau diese Folgekosten deckt eine Cyberversicherung, und sie ist der Baustein, der in den meisten Paketen zur betrieblichen Grundabsicherung fehlt.
Gekauft wird sie selten. Nach Zahlen des Gesamtverbands der Deutschen Versicherungswirtschaft sind nur rund 5 Prozent der Unternehmen in Deutschland gegen die Folgen eines Cyberangriffs versichert, obwohl die Zahl der Verträge 2025 um 15,7 Prozent auf rund 157.000 gestiegen ist. Dieser Text zeigt dir, was eine Police leistet, wo sie aufhört und welche Pflichten du mit der Unterschrift übernimmst. Er ist allgemeine Information und keine Versicherungsberatung; über deinen konkreten Bedarf entscheidet ein Gespräch mit einem Makler oder deiner Kammer.
Was eine Cyberversicherung wirklich bezahlt
Cyberpolicen sind nicht genormt. Jeder Anbieter schneidet seine Bedingungen anders zu, weshalb der Vergleich über die drei Bausteine läuft, aus denen praktisch jedes Angebot besteht:
- Eigenschaden: alles, was bei dir anfällt. IT-Forensik, Wiederherstellung von Daten und Systemen, Krisenkommunikation, Mehrkosten für Ersatzgeräte und der entgangene Gewinn, solange der Betrieb stillsteht.
- Drittschaden: Ansprüche, die andere gegen dich richten, weil Kundendaten abgeflossen sind oder du eine zugesagte Leistung nicht erbringen konntest. In diesem Teil wirkt die Police wie eine Haftpflicht.
- Assistance: die Soforthilfe. Eine Rufnummer, die rund um die Uhr erreichbar ist, dazu Forensiker, Anwälte und Kommunikationsberater, die der Versicherer beauftragt und bezahlt.
Der dritte Baustein wird am meisten unterschätzt und ist für kleine Betriebe oft der wertvollste. Wer ohne Vertrag in einen Ransomware-Vorfall läuft, sucht am ersten Tag gleichzeitig ein Forensikteam, eine Kanzlei für das Datenschutzrecht und jemanden, der mit der Aufsichtsbehörde spricht. Diese Suche kostet Stunden, die du nicht hast.
Was ein Vorfall kostet, zeigt die Schadenstatistik der Versicherer. Der durchschnittliche Cyberschaden lag 2025 bei 43.186 Euro, ein Plus von 5,8 Prozent gegenüber dem Vorjahr. Für einen Handwerksbetrieb mit vier Mitarbeitern ist das die Jahresmarge.
Quellen: GDV: Nur eins von 20 Unternehmen ist gegen Cyberangriffe versichert
Wo die Deckung endet
Kein Versicherer zahlt für ein Risiko, das du selbst in der Hand hattest. Die Ausschlüsse ähneln sich deshalb über die Anbieter hinweg, und sie treffen genau die Fälle, in denen Betriebe sich sicher fühlen:
- Schäden aus Lücken, für die seit Monaten ein Update bereitstand und die du nicht geschlossen hast.
- Vorsatz und bewusste Pflichtverletzung, auch durch Beschäftigte mit erweiterten Rechten.
- Reine Hardwareschäden und Verschleiß, dafür ist die Inhalts- oder Elektronikversicherung da.
- Bußgelder, soweit sie nach deutschem Recht nicht versicherbar sind. Hier unterscheiden sich die Bedingungen stark, und die Formulierung lohnt genaues Lesen.
- Kriegsähnliche Ereignisse und staatlich zugeordnete Angriffe. Diese Klausel ist in den letzten Jahren deutlich ausgeweitet worden.
Dazu kommt eine Grenze, die keine Klausel ist: Die Police ersetzt verlorene Daten nicht, sie bezahlt nur den Versuch, sie zurückzuholen. Ohne ein Backup, das getrennt vom Netz liegt und geprüft wurde, hilft dir auch die beste Deckungssumme nicht. Wer das sauber vorbereiten will, baut die Wiederherstellung in einen Notfallplan ein und übt sie einmal.
Leistungen und Grenzen im Überblick
| Kostenart nach einem Angriff | Typischer Umfang in der Cyberpolice | Was du selbst tragen musst |
|---|---|---|
| IT-Forensik und Ursachenanalyse | in der Regel voll gedeckt, Dienstleister vom Versicherer | Selbstbehalt je Fall |
| Wiederherstellung von Daten und Systemen | gedeckt, soweit die Daten technisch wiederherstellbar sind | fehlende oder ungeprüfte Backups |
| Betriebsunterbrechung | entgangener Gewinn ab einer vereinbarten Wartezeit | Wartezeit, oft die ersten Stunden oder Tage |
| Ansprüche Dritter | Abwehr unbegründeter und Zahlung begründeter Ansprüche | Selbstbehalt, Summen über der Deckung |
| Lösegeld | nur mit ausdrücklicher Vereinbarung, oft gesondert begrenzt | alles ohne vorherige Zustimmung des Versicherers |
| Neue Hardware und Modernisierung | Mehrkosten im Schadenfall, kein Technologiesprung | geplante Investitionen |
Der Selbstbehalt ist dein wichtigster Preishebel. Wer ihn bewusst erhöht, senkt den Beitrag deutlich und nimmt kleine Vorfälle wieder in die eigene Kasse.
Diese Obliegenheiten musst du vorher erfüllen
Der Antrag ist eine Risikoprüfung. Du sagst zu, dass bestimmte Maßnahmen laufen, und diese Zusage wird Vertragsinhalt. Fällt eine davon im Schadenfall auf, kann der Versicherer die Leistung kürzen oder verweigern. Die vier Punkte, die fast immer gefragt werden:
- Datensicherung: regelmäßige Backups, mindestens eine Kopie getrennt vom Netz, und ein dokumentierter Test, dass sich daraus zurückspielen lässt.
- Updates: Sicherheitsaktualisierungen für Betriebssysteme, Anwendungen und alles, was aus dem Internet erreichbar ist, zeitnah eingespielt.
- Zwei-Faktor-Anmeldung: für Fernzugriffe, Postfächer und Verwaltungskonten. Dieser Punkt ist in den letzten Jahren von der Empfehlung zur Bedingung geworden.
- Rechte und Rollen: getrennte Konten für Verwaltung und Alltag, kein Dauerbetrieb mit Vollrechten.
Dass gerade der zweite Punkt hart ist, zeigt das Lagebild des Bundesamts für Sicherheit in der Informationstechnik: Im aktuellen Berichtszeitraum wurden weltweit durchschnittlich 119 neue Schwachstellen pro Tag bekannt. Das Amt zählt 3,1 Millionen kleine und mittlere Unternehmen in Deutschland, die diesen Strom bewältigen müssen, und bemerkt, dass wirksames Angriffsflächenmanagement wie das Einspielen von Updates von vielen vernachlässigt wird.
Praktisch heißt das: Beantworte den Fragebogen ehrlich. Eine Police, die auf falschen Angaben beruht, ist im Ernstfall teurer als keine. Und wenn eine Zusage noch nicht stimmt, verschiebe den Abschluss um zwei Wochen und richte sie vorher ein.
Quellen: BSI-Lagebericht: Gefährdungslage kleiner und mittlerer Unternehmen
Die 72-Stunden-Frist nach Art. 33 DSGVO
Sind bei dem Angriff personenbezogene Daten betroffen, läuft neben dem Schadenfall eine Meldepflicht, und die hat ihre eigene Uhr. Die Meldung an die Aufsichtsbehörde ist unverzüglich und möglichst binnen 72 Stunden vorzunehmen; wer die Frist nicht hält, muss die Verzögerung begründen. Die Frist beginnt mit dem Zeitpunkt, an dem du von der Verletzung Kenntnis erlangst, nicht mit dem Abschluss der Forensik.
Für die Versicherung ist dieser Punkt wichtiger, als er klingt. Die Assistance-Leistung trägt genau hier: Der Versicherer stellt die Kanzlei, die die Meldung formuliert und bewertet, ob überhaupt eine Meldepflicht besteht. Eine Meldung kann nämlich ausnahmsweise unterbleiben, wenn die Verletzung nicht zu einem Risiko für die Rechte und Freiheiten der betroffenen Personen führt. Diese Bewertung willst du nicht am dritten Tag allein treffen.
Vorbereitet ist das in einer halben Stunde: Wer sein Verarbeitungsverzeichnis aktuell hält, kann am Tag des Vorfalls sagen, welche Datenkategorien betroffen sind und wie viele Personen dahinterstehen. Ohne dieses Verzeichnis beginnt die Meldung mit einer Inventur.
Quellen: IHK Regensburg: Melde- und Benachrichtigungspflichten im Datenschutz
Was der Beitrag kostet und wovon er abhängt
Einen Listenpreis gibt es nicht, und jede Zahl ohne deine Daten wäre geraten. Den Beitrag bestimmen vier Größen: der Jahresumsatz als Maß für das Risiko, die Branche, die gewählte Deckungssumme und der Selbstbehalt. Ein Online-Shop mit Zahlungsdaten zahlt mehr als eine Tischlerei mit derselben Umsatzgröße, und ein Betrieb mit sauber dokumentierter Zwei-Faktor-Anmeldung kommt günstiger weg als einer ohne.
Zwei Hinweise für den Vergleich. Erstens: Achte auf die Wartezeit bei der Betriebsunterbrechung, nicht nur auf die Deckungssumme. Eine hohe Summe mit langer Wartezeit nützt einem Betrieb wenig, der nach zwei Tagen wieder läuft. Zweitens: Prüfe, ob die Police Angriffe über Dienstleister einschließt. Wenn dein Warenwirtschaftssystem in der Cloud liegt, ist das der wahrscheinlichste Weg in deinen Betrieb.
Ob sich das rechnet, ist am Ende eine Wahrscheinlichkeitsrechnung, die du mit deinen eigenen Zahlen aufstellst: Nach der Versicherungsstatistik melden nur rund 3 Prozent der versicherten Unternehmen einen Cyberschaden. Der einzelne Fall ist also unwahrscheinlich, trifft aber mit einem Betrag, den viele kleine Betriebe nicht aus der Rücklage zahlen können. Genau für dieses Muster ist eine Versicherung gebaut, und aus demselben Grund lohnt sie sich dort am wenigsten, wo ein Ausfall von zwei Wochen ohnehin zu überbrücken wäre.
Häufige Fragen zur Cyberversicherung
Ist eine Cyberversicherung für ein Einzelunternehmen sinnvoll?
Sie lohnt sich, sobald dein Umsatz an Systemen hängt, die ausfallen können, oder du Daten Dritter verarbeitest. Ein Fotograf mit Kundenarchiv und ein Steuerberater im Homeoffice sind klare Fälle. Arbeitest du im Kern offline und ohne fremde Daten, steht die Police hinten in der Reihenfolge, nach Berufs- und Betriebshaftpflicht.
Zahlt die Versicherung das Lösegeld?
Nur wenn das ausdrücklich vereinbart ist, und dann meist mit eigener Obergrenze und Zustimmungsvorbehalt. Zahlst du eigenmächtig, riskierst du die Leistung komplett. Verlass dich auf das Backup.
Deckt die Betriebshaftpflicht Cyberschäden ab?
In der Regel nicht. Die Betriebshaftpflicht greift bei Personen-, Sach- und daraus folgenden Vermögensschäden. Der klassische Cyberfall ist ein reiner Vermögensschaden ohne Sachschaden und fällt deshalb heraus. Manche Versicherer bieten Cyberbausteine als Zusatz an, deren Summen sind aber meist niedrig.
Brauchen Geschäftsführer zusätzlich eine eigene Absicherung?
Das sind zwei verschiedene Risiken. Die Cyberpolice deckt den Schaden des Unternehmens, die D&O-Versicherung die persönliche Haftung der Geschäftsführung, etwa wenn ihr vorgehalten wird, Sicherheitsmaßnahmen nicht veranlasst zu haben. Bei einer GmbH mit angestellter Geschäftsführung gehören beide Fragen auf den Tisch.
Fazit
Eine Cyberversicherung verlängert deine IT-Sicherheit in die Buchhaltung; ersetzen kann sie sie nicht. Sie kauft dir im Ernstfall das, was dir dann fehlt: Fachleute innerhalb von Stunden und Geld für die Zeit, in der nichts hereinkommt. Das Bundesamt weist darauf hin, dass kleine und mittlere Unternehmen nach ihrer Anzahl 99,4 Prozent der deutschen Wirtschaftsunternehmen ausmachen, und die Angreifer wissen das.
Geh die Sache in dieser Reihenfolge an: Backup trennen und einmal zurückspielen, Zwei-Faktor-Anmeldung überall einschalten, Updates in einen festen Rhythmus bringen. Erst danach Angebote einholen. Dann beantwortest du den Fragebogen ehrlich mit Ja, zahlst einen niedrigeren Beitrag und hast den größeren Teil des Risikos schon selbst erledigt.
