Kosten & Modelle · · 6 Min. Lesezeit · Von Alexander
Cyberversicherung für kleine Unternehmen: Was sie wirklich leistet
Eine Cyberversicherung kann kleine Unternehmen nach einem Cyberangriff finanziell und organisatorisch entlasten. Sie ersetzt aber keine sicheren Passwörter, Backups und Updates – und zahlt nur innerhalb der vereinbarten Leistungen und Pflichten.
Was deckt eine Cyberversicherung für Unternehmen ab?
Eine Cyberversicherung bündelt typischerweise Eigenschäden, Hilfe im Notfall und Haftpflichtansprüche Dritter. Nach einem Angriff kann sie zum Beispiel IT-Forensik, Wiederherstellung, Betriebsunterbrechung oder die Abwehr berechtigter und unberechtigter Ansprüche betreffen. Der genaue Umfang steht jedoch im Vertrag, nicht im Produktnamen.
Der Gesamtverband der Deutschen Versicherungswirtschaft nennt in seiner Leistungsübersicht unter anderem 24/7-Expertenhilfe, Datenwiederherstellung, Betriebsunterbrechung, Rechtsberatung und Krisenkommunikation. Die GDV-Musterbedingungen sind eine unverbindliche Orientierung; Versicherer dürfen davon abweichen. Quelle: GDV, Leistungsübersicht und Musterbedingungen für Cyberrisiken, abgerufen am 02.11.2026.
| Baustein | Typischer Zweck | Vor Abschluss prüfen |
|---|---|---|
| IT-Forensik und Soforthilfe | Ursache finden, Angriff begrenzen, Systeme sichern | Hotline, Reaktionszeit, freie oder vorgegebene Dienstleister |
| Daten- und Systemwiederherstellung | Bereinigung und Wiederanlauf bezahlen | Backups, Wiederherstellungsgrenzen, alte Hardware oder Software |
| Betriebsunterbrechung | Ausfallbedingte Ertragsverluste und Mehrkosten abfedern | Wartezeit, Haftzeit, Versicherungssumme |
| Haftpflicht und Datenschutz | Ansprüche Dritter prüfen und abwehren | Vertragsstrafen, Bußgelder, Melde- und Rechtsberatung |
| Krisenkommunikation | Kunden und Öffentlichkeit professionell informieren | Freigabe, Umfang und externe Agenturen |
Was zahlt eine Cyberversicherung nicht?
Häufige Streitpunkte sind bekannte Sicherheitslücken, veraltete Systeme, fehlende Schutzmaßnahmen, vorsätzliche Handlungen und Schäden außerhalb des versicherten Zeitraums. Auch Lösegeld, Vertragsstrafen, Bußgelder, reine Hardwaredefekte oder Ausfälle eines externen Cloud-Anbieters können ausgeschlossen oder begrenzt sein. Entscheidend sind Definitionen, Obliegenheiten und Ausschlüsse in Ihrem konkreten Vertrag.
Beantworten Sie die Sicherheitsfragen des Versicherers vollständig und nachweisbar. Wenn im Antrag Mehrfaktor-Authentifizierung, regelmäßige Backups oder zeitnahe Updates bestätigt werden, müssen diese Maßnahmen tatsächlich existieren. Dokumentieren Sie Verantwortliche, Prüfintervalle und Ausnahmen. Eine pauschale Antwort wie „Darum kümmert sich unser IT-Dienstleister“ ersetzt keinen Nachweis.
Prüfen Sie außerdem, ob Social Engineering, Phishing, Fehlüberweisungen, mobile Arbeit, private Geräte, Subunternehmer und Cloud-Dienste mitversichert sind. Gerade kleine Betriebe verlieren Geld nicht nur durch verschlüsselte Server, sondern auch durch manipulierte Rechnungen oder übernommene E-Mail-Konten.
Was kostet eine Cyberversicherung?
Der Beitrag hängt unter anderem von Umsatz, Branche, Datenarten, Zahl der Mitarbeitenden, gewünschter Versicherungssumme, Selbstbehalt und vorhandener IT-Sicherheit ab. Ein kleiner Handwerksbetrieb ohne sensible Massendaten wird anders bewertet als eine Arztpraxis, ein Online-Shop oder ein IT-Dienstleister.
Die IHK Rhein-Neckar nannte am 07.03.2024 als grobe Einstiegsspanne Policen ab etwa 300 Euro pro Jahr. Das ist kein aktuelles Tarifangebot und keine Empfehlung: Preise und Bedingungen können sich bis zum 02.11.2026 verändert haben. Holen Sie deshalb mehrere Angebote mit identischen Versicherungssummen, Selbstbehalten, Wartezeiten und Leistungsbausteinen ein.
Vergleichen Sie nicht nur den Jahresbeitrag. Eine günstige Police mit niedriger Entschädigungsgrenze, langer Wartezeit oder schwacher Soforthilfe kann im Ernstfall teuer sein. Rechnen Sie außerdem den Selbstbehalt und die maximale Dauer einer Betriebsunterbrechung mit ein.
- Versicherungssumme und Sublimits je Schadenart
- Selbstbehalt pro Vorfall
- Wartezeit und maximale Haftzeit bei Betriebsunterbrechung
- 24/7-Erreichbarkeit und Reaktionszeit der Notfallhilfe
- Kosten für Forensik, Anwälte, Datenschutz und Kommunikation
Wann ist eine Cyberversicherung sinnvoll?
Sie ist besonders prüfenswert, wenn Ihr Betrieb ohne E-Mail, Fachsoftware, Kassensystem, Online-Shop, Terminbuchung oder Kundendaten kaum arbeiten kann. Dasselbe gilt bei sensiblen Personen-, Gesundheits- oder Zahlungsdaten sowie bei vertraglichen Anforderungen größerer Auftraggeber.
Das BSI bewertet die Cybersicherheitslage in Deutschland im Lagebericht 2025 weiterhin als angespannt und nennt Ransomware als größte Bedrohung. Besonders kleine und mittlere Organisationen sind betroffen, weil professionelle Angreifer bekannte Schwachstellen automatisiert ausnutzen. Quelle: BSI, Bericht zur Lage der IT-Sicherheit in Deutschland 2025, abgerufen am 02.11.2026.
Eine Police ist weniger dringlich, wenn ein Ausfall nur geringe Folgen hätte und Sie Wiederherstellung, Rechtsberatung sowie Umsatzverlust problemlos selbst finanzieren könnten. Machen Sie eine nüchterne Rechnung: Wie viele Tage können Sie ohne Systeme arbeiten, was kostet ein Ausfalltag und welche externen Spezialisten müssten Sie sofort beauftragen?
Welche IT-Sicherheit verlangt der Versicherer?
Versicherer fragen häufig nach Mehrfaktor-Authentifizierung, Patchmanagement, Virenschutz, getrennten Benutzerrechten, regelmäßigen Backups und einem Notfallplan. Die Anforderungen variieren nach Risiko und Anbieter. Setzen Sie Maßnahmen nicht nur für den Antrag um, sondern prüfen Sie sie laufend.
Das BSI empfiehlt kleinen Unternehmen unter anderem aktuelle Systeme, sichere Konfigurationen, regelmäßige Datensicherungen, Sensibilisierung der Beschäftigten und vorbereitete Notfallprozesse. Quelle: BSI, Cybersicherheit für KMU und CyberRisikoCheck nach DIN SPEC 27076, abgerufen am 02.11.2026. Ein standardisierter CyberRisikoCheck kann für Betriebe mit bis zu 50 Beschäftigten einen strukturierten Einstieg bieten.
Auch die Website gehört in diese Kette: Updates, Backups, Zugriffsschutz und Monitoring müssen organisiert sein. Bei einem betreuten Website-Abo können technische Pflege und Wiederherstellung klar zugeordnet sein; die Cyberversicherung deckt dennoch nur die vertraglich vereinbarten finanziellen Folgen.
- Mehrfaktor-Authentifizierung für E-Mail, Cloud und Administration
- Regelmäßige Updates mit dokumentiertem Patchprozess
- Getrennte, getestete Backups und ein Wiederanlaufplan
- Individuelle Konten statt gemeinsam genutzter Passwörter
- Notfallkontakte für IT, Datenschutz, Versicherung und Leitung
Was ist nach einem Cyberangriff zu tun?
Trennen Sie betroffene Systeme kontrolliert vom Netz, vernichten Sie aber keine Beweise durch hektisches Löschen oder Neuinstallieren. Rufen Sie die vertragliche Notfallnummer an, dokumentieren Sie Zeitpunkt und Beobachtungen und stimmen Sie externe Dienstleister mit dem Versicherer ab. Unabgesprochene Kosten können je nach Vertrag problematisch sein.
Bei einer Verletzung des Schutzes personenbezogener Daten kann nach Art. 33 DSGVO eine Meldung an die zuständige Aufsichtsbehörde erforderlich sein. Wenn die Verletzung voraussichtlich zu einem Risiko für Betroffene führt, muss sie möglichst binnen 72 Stunden nach Bekanntwerden erfolgen. Quelle: Art. 33 DSGVO, abgerufen über EUR-Lex am 02.11.2026. Lassen Sie die konkrete Meldepflicht fachlich prüfen.
Nach dem Vorfall folgt die Ursachenanalyse: Zugang schließen, Passwörter und Schlüssel wechseln, Backups sauber wiederherstellen und betroffene Kunden verständlich informieren. Erst danach ist der Fall wirklich beendet. Versicherung, IT-Sicherheit und ein geübter Notfallplan wirken zusammen – keines dieser drei Elemente ersetzt die anderen.
Häufige Fragen zur Cyberversicherung
Ist eine Cyberversicherung für kleine Unternehmen Pflicht?
In der Regel nicht. Sie kann aber vertraglich verlangt oder wegen der individuellen Abhängigkeit von IT wirtschaftlich sinnvoll sein.
Zahlt die Versicherung bei Ransomware?
Das kann versichert sein, hängt aber von Vertrag, Ausschlüssen, Sicherheitsanforderungen und dem konkreten Schaden ab.
Reicht eine Cyberversicherung ohne IT-Schutz?
Nein. Fehlende oder falsch angegebene Sicherheitsmaßnahmen können Schäden vergrößern und den Versicherungsschutz gefährden.
Wie hoch sollte die Versicherungssumme sein?
Sie sollte zu möglichen Kosten für Ausfall, Wiederherstellung, Forensik, Rechtsberatung und Ansprüche Dritter passen. Eine pauschale Summe gibt es nicht.
Muss ein Datenschutzvorfall immer gemeldet werden?
Nein. Die Meldepflicht hängt vom Risiko für betroffene Personen ab; bei Meldepflicht gilt grundsätzlich die 72-Stunden-Frist nach Art. 33 DSGVO.