Cyberversicherung KMU: Kosten, Pflichten, Kürzungen

Für einen Betrieb mit 10 bis 250 Mitarbeitern liegt die Jahresprämie einer Cyberversicherung je nach Umsatz, Branche und Deckungssumme grob zwischen 1.500 und 25.000 Euro. Ein Handwerksbetrieb mit 3 Millionen Euro Umsatz und 1 Million Euro Deckung bewegt sich am unteren Rand, ein Maschinenbauer mit 40 Millionen Umsatz, Produktionsabhängigkeit und 5 Millionen Deckung am oberen. Der Preis ist aber selten das Problem. Das Problem ist, dass viele Anträge heute gar nicht mehr angenommen werden, wenn vier technische Mindestmaßnahmen fehlen.

Was die Prämie treibt

Die Hauptgröße ist der Jahresumsatz, nicht die Mitarbeiterzahl. Darauf setzen Versicherer die Deckungssumme, den Selbstbehalt und die Branchenfaktoren auf. Besonders teuer wird es für Betriebe mit Produktionsstillstandsrisiko, für IT-Dienstleister mit Kundenzugängen, für Gesundheits- und Sozialeinrichtungen sowie für Unternehmen, die große Mengen Zahlungs- oder Gesundheitsdaten verarbeiten.

Zweiter Hebel ist die Deckungssumme. Als Faustwert aus der Maklerpraxis gilt: mindestens so viel Deckung, wie ein zweiwöchiger kompletter Betriebsstillstand plus Wiederaufbau der IT kostet. Für viele Mittelständler landet man damit bei 1 bis 3 Millionen Euro, nicht bei den oft angebotenen 250.000 Euro.

Dritter Hebel ist der Selbstbehalt. Er liegt bei kleinen Policen häufig bei 1.000 bis 2.500 Euro, bei Umsätzen über 20 Millionen regelmäßig bei 10.000 bis 25.000 Euro. Wer den Selbstbehalt verdoppelt, drückt die Prämie spürbar, trägt aber den gesamten Kleinschaden selbst. Für Betriebe, die ohnehin nur wegen der Großschadenlage versichern, ist das der sinnvollere Weg.

Diese Spannen sind Orientierungswerte aus dem Angebotsmarkt, keine Tarife. Ein einziger gemeldeter Vorschaden in den letzten drei Jahren verschiebt das Angebot nach oben oder führt zur Ablehnung.

Der Risikofragebogen entscheidet vor dem Preis

Vor jedem Angebot steht ein Fragebogen mit 20 bis 60 Fragen zur IT. Was dort angekreuzt wird, ist keine Absichtserklärung, sondern eine vorvertragliche Anzeige nach § 19 VVG. Falsche Angaben geben dem Versicherer das Recht, vom Vertrag zurückzutreten oder bei Fahrlässigkeit die Leistung anteilig zu kürzen. Der häufigste Fehler: Die Geschäftsführung füllt den Bogen nach bestem Gewissen aus, ohne dass jemand die Angaben in der tatsächlichen Systemlandschaft geprüft hat.

Lass den Fragebogen vom IT-Dienstleister gegenzeichnen und hebe die Nachweise auf: Screenshots der MFA-Richtlinie, ein Restore-Protokoll, die Patch-Reports der letzten Monate. Diese Unterlagen sind nach einem Vorfall die Grundlage dafür, dass der Versicherer voll zahlt.

Die vier technischen Obliegenheiten, die fast immer verlangt werden

Seit der Ransomware-Welle ab 2020 haben die Versicherer ihre Zeichnungsrichtlinien vereinheitlicht. Ohne diese vier Punkte bekommen Betriebe ab etwa 10 Mitarbeitern in der Regel kein marktübliches Angebot mehr.

Mehr-Faktor-Authentifizierung

Gefordert wird MFA mindestens für alle Fernzugriffe (VPN, Remote Desktop, Citrix), für alle Cloud- und Webmail-Zugänge und für sämtliche administrativen Konten. SMS-Codes werden von einzelnen Versicherern nicht mehr als ausreichend anerkannt, verlangt werden App- oder Token-Verfahren. Kritisch sind in der Praxis die Ausnahmen: ein Dienstkonto, ein Geschäftsführer-Laptop, ein Fernwartungszugang des Maschinenlieferanten. Genau über solche Konten laufen die meisten Einbrüche.

Backup, das nicht mitverschlüsselt werden kann

Verlangt wird eine Sicherung, die vom produktiven Netz getrennt ist: offline, auf unveränderlichem Speicher (immutable) oder in einem separaten Konto mit eigenen Zugangsdaten. Ein NAS, das per Dateifreigabe im selben Netz hängt, erfüllt das nicht. Hinzu kommt fast immer die Pflicht, die Wiederherstellung mindestens einmal jährlich zu testen und das zu dokumentieren. Wer den Restore nie geprobt hat, merkt im Ernstfall, dass die Sicherung zwar läuft, die Rücksicherung der Datenbank aber vier Tage dauert.

Patchfristen

Üblich ist die Vorgabe, als kritisch eingestufte Sicherheitsupdates für internetexponierte Systeme innerhalb von 72 Stunden einzuspielen, sonstige Updates innerhalb von 14 bis 30 Tagen. Ebenso üblich ist der Ausschluss von Systemen ohne Herstellersupport. Wer noch eine Steuerungssoftware auf einem alten Server betreibt, muss das im Antrag angeben und segmentieren lassen, sonst steht dieser Bereich am Ende ohne Deckung da.

EDR statt klassischem Virenschutz

Größere Versicherer verlangen ab etwa 50 Mitarbeitern eine Endpoint-Detection-and-Response-Lösung auf Servern und Clients, teils mit angebundener Überwachung rund um die Uhr. Der signaturbasierte Virenscanner allein reicht nicht mehr aus, weil er die typischen Angriffsmuster über legitime Systemwerkzeuge nicht erkennt. Für einen Betrieb mit 80 Arbeitsplätzen liegen die laufenden Kosten einer EDR-Lösung oft in der Größenordnung der Versicherungsprämie selbst.

Wann gekürzt wird

Die Police zahlt nicht automatisch, weil ein Schaden eingetreten ist. Nach § 28 VVG darf der Versicherer die Leistung bei grob fahrlässiger Verletzung einer vereinbarten Obliegenheit entsprechend der Schwere des Verschuldens kürzen, bei Vorsatz ganz verweigern. In der Regulierungspraxis tauchen immer dieselben Konstellationen auf:

• MFA war ausgerollt, aber nicht überall. Der Angriff lief über den einen Fernzugang ohne zweiten Faktor. Quoten von 25 bis 50 Prozent Kürzung sind hier keine Seltenheit.
• Der kritische Patch war seit Wochen bekannt. Wenn der Einbruch nachweislich über eine Lücke erfolgte, für die seit Monaten ein Update bereitstand, wird die vereinbarte Frist zum Streitpunkt.
• Das Backup lag im selben Netz. Dann trägt der Versicherer zwar oft die Forensik, streitet aber über die Betriebsunterbrechung, weil die Ausfalldauer durch das eigene Versäumnis verlängert wurde (§ 82 VVG, Schadenminderungspflicht).
• Der Dienstleister wurde vor dem Versicherer gerufen. Fast alle Bedingungen schreiben vor, dass der Vorfall unverzüglich über die 24/7-Hotline zu melden ist und Forensiker, Krisenkommunikation und Anwälte aus dem Netzwerk des Versicherers kommen. Eigenmächtig beauftragte Kosten werden gestrichen.
• Angaben im Antrag stimmten nicht mehr. Wird nach Vertragsschluss das Sicherheitsniveau gesenkt, etwa EDR abgeschaltet oder der Fernwartungszugang geöffnet, kann das als Gefahrerhöhung nach § 23 VVG gewertet werden.

Hinzu kommen Ausschlüsse, die nichts mit dem eigenen Verhalten zu tun haben. Seit 2023 enthalten die meisten Bedingungswerke eine Klausel, die staatlich zurechenbare Angriffe und Kriegshandlungen ausnimmt. Lösegeldzahlungen sind bei einigen Anbietern nur als Zusatzbaustein versicherbar, bei anderen gar nicht. DSGVO-Bußgelder werden nur übernommen, soweit sie nach dem Recht des betroffenen Landes überhaupt versicherbar sind.

Drei Vertragsdetails, die beim Preisvergleich untergehen

Die Wartezeit in der Betriebsunterbrechung legt fest, ab welcher Ausfalldauer gezahlt wird. Zwölf Stunden sind gut, 72 Stunden machen die Deckung für kleinere Vorfälle wertlos. Die Haftzeit begrenzt, wie lange der Ertragsausfall ersetzt wird, oft auf zwölf Monate. Und die Sublimits entscheiden den Ernstfall: Eine Police mit 2 Millionen Euro Gesamtdeckung, aber 50.000 Euro Untergrenze für Krisenkommunikation oder Datenwiederherstellung, deckt den teuersten Teil des Schadens nur zu einem Bruchteil.

Checkliste vor dem Antrag

1. MFA auf allen Fernzugriffen, Cloud-Diensten und Adminkonten, Ausnahmen schriftlich dokumentiert.
2. Eine Sicherungskopie offline oder unveränderlich, Restore-Test der letzten zwölf Monate protokolliert.
3. Patchprozess mit definierter Frist für kritische Updates, inklusive Liste der Systeme ohne Herstellersupport.
4. EDR auf Servern und Clients, geklärt, wer außerhalb der Geschäftszeiten auf Alarme reagiert.
5. Notfallplan mit Telefonnummern auf Papier, weil Telefonanlage und Verzeichnisdienst nach einem Angriff ebenfalls stehen.
6. Fragebogen vom IT-Dienstleister gegengezeichnet, Nachweise archiviert.
7. Angebote nicht über die Prämie, sondern über Wartezeit, Haftzeit und Sublimits vergleichen.