Cyberversicherung für Unternehmen: Was sie abdeckt

Warum Cyberversicherung kein Nischenthema mehr ist

Vor Jahren, als Claudia Augustin anfing, sich im Gewerbeversicherungsbereich mit IT-Risiken zu beschäftigen, war das Thema noch ziemlich verpönt. "Brauche ich nicht." "Betrifft mich nicht." So die übliche Reaktion. Gefährlich, findet Augustin. Und bringt Zahlen mit. Zahlen, die sie selbst überrascht haben.

Nur Konzerne? Nein. Cyberangriffe treffen laut Augustin genauso kleine und mittelständische Unternehmen. Wer sich als "kleiner Fisch" für uninteressant hält, unterschätzt etwas Entscheidendes: wie automatisiert viele Angriffe längst ablaufen. Einen Überblick über Chancen und Risiken der Technologie insgesamt gibt der Themen-Guide KI im Unternehmen.

Was eine Cyberversicherung konkret abdeckt

Was gehört jetzt konkret rein, in so eine Police? Am Beispiel der HDI-Cyberversicherung, die sie in ihrer Beratung mit anführt, nennt Augustin fünf Aspekte. Fünf, die eine gute Cyber-Police abdecken sollte:

1. 1Weltweiter Schutz: Die Police greift global, nicht nur regional begrenzt auf Deutschland. Augustin erinnert sich noch an ältere Policen, bei denen der "Geltungsbereich Deutschland" hieß – als würde eine Mail an der Landesgrenze aufhören, ein Risiko zu sein.
2. 2Umfassende Deckung von Eigen- und Drittschäden: Eigenschäden sind die, die dem Unternehmen selbst entstehen. Drittschäden betreffen die Haftung gegenüber anderen – etwa wenn durch den eigenen Ausfall ein Kunde oder Geschäftspartner geschädigt wird. Dazu zählen laut Augustin auch Datenwiederherstellung und Betriebsunterbrechung.
3. 324/7-Expertennetzwerk im Schadensfall: Sofort-Hotline, Krisenkommunikation, forensische Dienstleistung und Begleitung in rechtlichen Fragen bei Datenverstößen. Augustin vergleicht das mit einer Betriebsprüfung: Man will in dem Moment Fachleute an der Seite haben, nicht allein dastehen.
4. 4Präventionsleistungen: Schulungen und Sensibilisierung sind Teil der Leistung, nicht nur Kür. Eine Cyberversicherung ist laut Augustin "nicht nur eine Versicherung im Schadensfall, sondern auch eine Versicherung im Präventionsfall".
5. 5Leistungs-Updates: Weil sich Bedrohungen schneller entwickeln als Vertragswerke, sollte die Police Aktualisierungen vorsehen – etwa wenn neue Angriffsarten oder Geräteklassen relevant werden.

Ein Punkt wird dabei gern übersehen, sagt Augustin. Private, mitgebrachte Geräte. Laptop, Handy, im Homeoffice sogar ein Babyfon mit Kamera. Bei guten Policen mitversichert – aus gutem Grund, denn genau darüber gelangen Angreifer oft ins Firmennetz.

Betriebsunterbrechung: der unterschätzte Schadensfall

Und hier wird es persönlich für Augustin. Der Softwarezulieferer ihres eigenen Unternehmens, die UVB, wurde selbst gehackt – konkret die Muttergesellschaft Hypoport über deren Tochter Smart InsurTech. Augustin und ihr Team? Nicht direkt gehackt. Keine eigenen Daten betroffen. Und trotzdem: 14 Tage lang kein Arbeiten, ohne Plan B, weil die zuliefernde Software heruntergefahren wurde, um sie zu bereinigen.

Muss man also selbst Opfer sein, um eine Betriebsunterbrechung zu erleiden? Nein. Es reicht, wenn ein Zulieferer stillsteht. Beispiel Unfallkasse Thüringen: 2022, Ransomware, Neuanträge und sogar Krankentage blieben liegen – Menschen, die auf das Geld angewiesen waren, bekamen es nicht rechtzeitig. Beispiel ein Caterer für Krankenhäuser und Altenheime: nach dem Angriff unklar, wer welche Diät oder Allergie hat, weil die Daten weg waren.

Warum Prävention Voraussetzung für den Versicherungsschutz ist

Bekommt man die Police einfach so? Nein, nicht mehr. Versicherer prüfen vorab ein Mindestmaß an Sicherheit. Sichere Passwörter dazu – kein "Mausi", kein Geburtsdatum, kein Zettel am Bildschirm. Multi-Faktor-Authentifizierung. Ein Notfallplan, der im Ernstfall wirklich greift. Wer das umsetzt, senkt laut Augustin nebenbei die Prämie. Prävention zahlt sich eben doppelt aus.

In ihrem eigenen Unternehmen: regelmäßige Phishing-Simulationen. Mitarbeitende bekommen Test-Mails, es wird beobachtet, wer klickt. Wer klickt, wird nicht bloßgestellt. Sondern trainiert. Ergebnis, ganz konkret: Die Klickrate sank von 25 Prozent auf einen einstelligen Wert. Versicherung plus eigene Wachsamkeit, genau dieses Zusammenspiel hält Augustin für entscheidend – wer Deepfake- und Phishing-Warnsignale erkennen will, findet dazu vertiefendes Praxiswissen im Schwesterartikel Deepfake erkennen.

Was eine Cyberversicherung nicht ersetzt

Ist die Police also ein Freifahrtschein? Nein, macht Augustin klar. Bei einem von ihr geschilderten Fall – einer gehackten Druckerei – stand eine unbequeme Frage im Raum: Kann eine Lösegeldzahlung an Erpresser strafrechtlich heikel sein, etwa als Unterstützung einer kriminellen Organisation? Kann eine ausbleibende Zahlung samt Datenleck im Darknet einen Datenschutzverstoß nach sich ziehen? Beides möglich. Genau in solchen Situationen sei es "gut, jemanden an der Seite zu haben", so Augustin – doch die Entscheidung selbst bleibt eine rechtliche und unternehmerische Abwägung im Einzelfall. Keine, die eine Versicherung automatisch abnimmt.

Und noch etwas Wichtiges: Welche Deckungsbausteine im Detail greifen, welcher Selbstbehalt gilt, welche Sicherheitsvoraussetzungen ein Versicherer verlangt – das unterscheidet sich von Anbieter zu Anbieter. Neben HDI nennt Augustin etwa Markel und Hiscox als Beispiele aus ihrer eigenen Beratungspraxis. Ihr Rat: das Paket am eigenen Sicherheitsgefühl und den tatsächlichen Bedürfnissen des Unternehmens ausrichten. Nicht pauschal die günstigste Police wählen.

Häufige Fragen