Cyberversicherung für kleine Unternehmen: Was ist tatsächlich versichert?

Eine Cyberversicherung für kleine Unternehmen kann Kosten durch Hackerangriffe, Datenpannen und Betriebsunterbrechungen abdecken. Entscheidend ist jedoch nicht die Überschrift des Tarifs, sondern welche Schadensszenarien, Kostenpositionen, Sublimits und Ausschlüsse in den Versicherungsbedingungen stehen.

Welche Schäden eine Cyberversicherung typischerweise abdeckt

Cyberpolicen verbinden meist mehrere Leistungsbereiche. Der genaue Umfang hängt vom Anbieter, Tarif und Versionsstand der Bedingungen ab. Beim Cyberversicherungsangebot von Hiscox sollten Unternehmen deshalb nicht nur die Versicherungssumme vergleichen, sondern auch Definitionen, Selbstbehalte, Sublimits und Obliegenheiten prüfen.

Typische Leistungsbereiche sind:

IT-Forensik und Schadenanalyse: Spezialisten untersuchen, wie Angreifer eingedrungen sind, welche Systeme betroffen sind und ob Daten abgeflossen sind.
Wiederherstellung von Daten und Systemen: Versichert sein können Kosten für die Bereinigung, Rekonstruktion und Wiederinbetriebnahme der betrieblichen IT.
Betriebsunterbrechung: Die Police kann entgangenen Betriebsgewinn und fortlaufende Kosten ersetzen, wenn ein versicherter Cybervorfall den Betrieb lahmlegt. Häufig gelten Wartezeiten, Haftzeiten und besondere Berechnungsmethoden.
Datenschutzverletzungen: Dazu können Rechtsberatung, Benachrichtigung betroffener Personen, Unterstützung bei Behördenmeldungen und Krisenkommunikation gehören.
Ansprüche Dritter: Verlangt ein Kunde wegen einer Datenschutzverletzung oder unzureichend geschützter Daten Schadenersatz, kann die Cyberversicherung berechtigte Ansprüche erfüllen und unberechtigte Ansprüche abwehren.
Cybererpressung: Kosten für Krisenberater, Verhandlungen und technische Gegenmaßnahmen können eingeschlossen sein. Lösegeldzahlungen sind dagegen rechtlich und vertraglich besonders sensibel und nicht automatisch versichert.
Krisenkommunikation: Manche Tarife übernehmen spezialisierte PR-Beratung, wenn ein Vorfall das Vertrauen von Kunden oder Geschäftspartnern gefährdet.
Zahlungsbetrug und Social Engineering: Schäden durch manipulierte Rechnungen, gefälschte Zahlungsanweisungen oder kompromittierte E-Mail-Konten benötigen oft eine ausdrückliche Mitversicherung und unterliegen häufig engen Sublimits.

Eine Deckungszusage lässt sich daraus noch nicht ableiten. Ein grundsätzlich versicherter Leistungsbereich kann durch Definitionen, Voraussetzungen oder Ausschlüsse im konkreten Schadenfall begrenzt sein.

Vier Schadensfälle im Deckungscheck

Ransomware verschlüsselt den Server: Forensik, Systembereinigung, Datenwiederherstellung und eine daraus folgende Betriebsunterbrechung können versichert sein. Relevant sind der Zustand der Backups, vereinbarte Sicherheitsanforderungen, die Wartezeit und das Sublimit für Erpressungsfälle.

Eine Mitarbeiterin öffnet eine Phishing-Datei: Der Umstand, dass ein Mensch den Angriff ausgelöst hat, schließt die Deckung nicht automatisch aus. Problematisch kann es werden, wenn vorgeschriebene Schutzmaßnahmen fehlten oder bekannte Schwachstellen trotz Aufforderung nicht behoben wurden.

Ein Betrüger veranlasst eine Überweisung: Eine klassische Cyberdeckung ersetzt den überwiesenen Betrag nicht zwingend. Dafür kann ein Zusatzbaustein für Social Engineering, Fake President Fraud oder Zahlungsbetrug erforderlich sein. Auch dann gelten oft vergleichsweise niedrige Sublimits.

Ein Cloud-Dienst fällt aus: Eine Betriebsunterbrechung durch einen externen IT-Dienstleister ist nur gedeckt, wenn die Bedingungen solche Abhängigkeiten ausdrücklich erfassen. Manche Policen beschränken die Leistung auf benannte Anbieter oder bestimmte Ausfallursachen.

Weitere typische Konstellationen und ihre Einordnung findest du im Artikel Typische Cyber- und Haftpflichtschäden bei Agenturen und Beratern.

Für unseren Vergleich ordnet die Deckungsmatrix dieser Akte mindestens 40 konkrete Schadensszenarien den einschlägigen Klauseln, Sublimits und Ausschlüssen zu. Die herangezogenen Originalbedingungen werden jeweils mit Versionsdatum dokumentiert. Dadurch bleibt nachvollziehbar, auf welcher Vertragsfassung die Einordnung beruht. Die Matrix ersetzt weder eine individuelle Deckungsprüfung noch eine Rechts- oder Versicherungsberatung.

Wo Deckungslücken häufig entstehen

Eine niedrige Versicherungssumme ist nicht die einzige mögliche Schwachstelle. In der Praxis entscheiden oft kleinere Vertragsdetails darüber, ob und in welcher Höhe der Versicherer leistet.

Sublimits: Für Erpressung, Social Engineering, Datenschutzbußgelder, Wiederherstellungskosten oder externe Dienstleister können separate Höchstbeträge gelten. Ein Vertrag mit einer Million Euro Gesamtdeckung kann für einen bestimmten Schadenbereich deshalb deutlich weniger leisten.

Wartezeiten: Bei einer Betriebsunterbrechung beginnt die Erstattung möglicherweise erst nach mehreren Stunden. Kurze, aber umsatzstarke Ausfälle können dadurch teilweise beim Unternehmen verbleiben.

Selbstbehalte: Neben einem festen Eurobetrag kann bei Betriebsunterbrechungen ein zeitlicher Selbstbehalt gelten. Beide Varianten sollten in die Kostenplanung einbezogen werden.

Vertragliche Sicherheitsanforderungen: Versicherer können Mehrfaktor-Authentifizierung, aktuelle Datensicherungen, Patchmanagement, Virenschutz oder definierte Zugriffsrechte voraussetzen. Angaben im Antrag müssen vollständig und zutreffend sein.

Bekannte Vorfälle und Schwachstellen: Schäden, deren Ursache vor Vertragsbeginn bekannt war, sind regelmäßig problematisch. Gleiches gilt für bereits laufende Angriffe oder bewusst nicht behobene Sicherheitslücken.

Nicht versicherte Ursachen: Krieg, bestimmte staatliche Cyberoperationen, vorsätzliches Handeln der Unternehmensleitung, reine Infrastrukturstörungen oder Schäden an Sachen können ausgeschlossen oder nur eingeschränkt versichert sein.

Vertragsstrafen und Bußgelder: Ob solche Zahlungen versicherbar sind, hängt von den Bedingungen und der rechtlichen Zulässigkeit ab. Eine pauschale Zusage wäre unseriös.

So vergleichen kleine Unternehmen Cyberpolicen

Der passende Umfang richtet sich nach dem tatsächlichen Geschäftsmodell. Ein Onlinehändler mit hohem Tagesumsatz hat andere Ausfallrisiken als eine kleine Unternehmensberatung, die besonders vertrauliche Kundendaten verarbeitet.

Vor einem Vergleich helfen folgende Fragen:

Welche Systeme müssen funktionieren, damit Umsatz erzielt werden kann?
Wie hoch wäre der finanzielle Schaden bei einem Ausfall von einem, drei oder sieben Tagen?
Welche personenbezogenen, vertraulichen oder besonders schützenswerten Daten werden verarbeitet?
Welche Cloud-, Hosting-, Zahlungs- und IT-Dienstleister sind geschäftskritisch?
Soll Zahlungsbetrug durch manipulierte E-Mails ausdrücklich eingeschlossen sein?
Welche Sicherheitsmaßnahmen verlangt der Versicherer und kann das Unternehmen deren Umsetzung belegen?
Gelten Sublimits, Wartezeiten oder Selbstbehalte für die wichtigsten Schadensszenarien?
Steht im Notfall rund um die Uhr ein Incident-Response-Team zur Verfügung?
Deckt die Police Vorfälle bei externen Dienstleistern und mobilen Arbeitsplätzen ab?
Nach welchem Prinzip werden Schäden behandelt, die erst nach Vertragsende entdeckt werden?

Angebote sollten immer anhand derselben Szenarien verglichen werden. Eine reine Gegenüberstellung von Jahresbeitrag und Gesamtversicherungssumme übersieht gerade jene Klauseln, die im Schadenfall den größten Unterschied machen.

Häufige Fragen

Braucht ein kleines Unternehmen überhaupt eine Cyberversicherung?

Das hängt weniger von der Mitarbeiterzahl als von der digitalen Abhängigkeit ab. Wer Kundendaten speichert, Onlineumsätze erzielt, Cloud-Dienste nutzt oder bei einem IT-Ausfall nicht weiterarbeiten kann, hat ein messbares Cyberrisiko. Die Versicherung ergänzt technische und organisatorische Schutzmaßnahmen, ersetzt sie aber nicht.

Zahlt eine Cyberversicherung bei Ransomware immer?

Nein. Ob Kosten übernommen werden, hängt unter anderem vom versicherten Ereignis, den vereinbarten Leistungen, Sicherheitsanforderungen, Ausschlüssen und Sublimits ab. Lösegeld ist zudem nicht automatisch gedeckt und kann rechtlichen Beschränkungen unterliegen.

Sind Datenschutzverstöße und DSGVO-Bußgelder versichert?

Kosten für Datenschutzberatung, Meldungen, Benachrichtigungen und die Abwehr von Ansprüchen können eingeschlossen sein. Bei Bußgeldern kommt es auf den Wortlaut der Bedingungen und die rechtliche Versicherbarkeit im Einzelfall an.

Was kostet eine Cyberversicherung für kleine Unternehmen?

Der Beitrag richtet sich typischerweise nach Umsatz, Branche, Datenbestand, gewünschter Versicherungssumme, Selbstbehalt, Schadenhistorie und IT-Sicherheitsniveau. Aussagekräftig ist ein Preis erst zusammen mit den zugehörigen Bedingungen, Sublimits und Ausschlüssen.