Cyber-Versicherung 2026: wann greift sie wirklich?

Stand: 18.09.2026 · ComplyCheck-Redaktion · Keine Rechtsberatung iSd RDG § 2.

Was eine Cyber-Versicherung wirklich abdeckt

Die GDV-Musterbedingungen (AVB Cyber, Stand Februar 2024) sind eine unverbindliche Vorlage, von der die einzelnen Versicherer abweichen dürfen. Sie gliedern sich in einen Basis-Baustein (A1: Definitionen, Obliegenheiten, Ausschlüsse) und drei Leistungsbausteine:

Service- und Kosten-Baustein (A2)

• Forensik und Schadenfeststellung durch externe Sachverständige (A2-1)
• Benachrichtigungskosten zur Erfüllung datenschutzrechtlicher Informationspflichten, optional externes Call-Center (A2-2.1)
• Krisenkommunikation und PR-Maßnahmen, nur bei besonderer Vereinbarung (A2-2.2)
• Aufwendungen zur Abwendung eines unmittelbar bevorstehenden Schadens, begrenzt auf ein Sublimit (A2-3)

Drittschaden-Baustein (A3)

• Schadensersatz-Forderungen Dritter nach einer Informationssicherheitsverletzung (A3-1)
• Haftpflicht wegen Verletzung von Datenschutzgesetzen, z. B. Ansprüche nach Art. 82 DSGVO, begrenzt auf ein Sublimit (A3-4.1)
• Prüfung der Haftpflichtfrage, Abwehr unberechtigter und Freistellung von berechtigten Ansprüchen (A3-5.1)
• Vertragsstrafen nur in Sonderfällen und nur bei besonderer Vereinbarung, etwa gegenüber E-Payment-Dienstleistern wegen PCI-Verstößen (A3-4.2)

Eigenschaden-Baustein (A4)

• Betriebsunterbrechung: Betriebsgewinn und fortlaufende Kosten während der Unterbrechung, längstens für die Haftzeit (A4-1)
• Wiederherstellung von Daten (A4-2)

Nach dem GDV-Muster ausgeschlossen sind unter anderem Löse- und Erpressungsgelder (A1-17.6) sowie Strafen und Bußgelder, sofern keine abweichende Regelung getroffen ist (A1-17.10). Leistungen wie Erpressungsverhandlung oder Verteidigung in Bußgeldverfahren sind kein Bestandteil des Musters; ob und in welchem Umfang ein Versicherer sie anbietet, steht im jeweiligen Bedingungswerk.

Was eine Cyber-Versicherung typischerweise NICHT abdeckt

Bußgelder selbst

Wie im Bußgeld-Atlas ausgeführt: Die GDV-Musterbedingungen schließen Strafen und Bußgelder aus, sofern nichts Abweichendes vereinbart ist (A1-17.10 AVB Cyber), und ob Behörden-Bußgelder in Deutschland überhaupt versicherbar wären, ist umstritten. Die Versicherer leisten in der Regel nicht für das Bußgeld selbst, wohl aber im Drittschaden-Baustein für berechtigte Schadensersatz-Forderungen Dritter und die Abwehr unberechtigter Ansprüche (A3-5.1).

Social-Engineering-Schäden ("Fake-CEO", "Business Email Compromise")

Schäden, bei denen Mitarbeitende durch Manipulation selbst Geld überweisen, sind im GDV-Muster nicht gedeckt: Der Abfluss von Vermögenswerten ist ausgeschlossen (A1-17.8), und eine reine Täuschung ohne Angriff, unberechtigten Zugriff, Eingriff oder Schadprogramm löst keine Informationssicherheitsverletzung im Sinne von A1-2.4 aus. Ob ein Versicherer dafür einen Zusatzbaustein anbietet und mit welcher Summe, steht im jeweiligen Bedingungswerk.

Krieg und Kriegsähnliche Ereignisse

Seit den Cyber-Angriffen rund um geopolitische Konflikte schärfen Versicherer die Kriegs-Klauseln. Das GDV-Muster schließt Schäden durch Krieg sowie staatliche Angriffe aus, die auch kritische Infrastrukturen beeinträchtigen; die Beweislast für die Zuschreibung an einen Staat trägt dabei der Versicherer (A1-17.2 AVB Cyber). Der bekannteste Streit um die Kriegsklausel, das NotPetya-Verfahren von Merck gegen seine Sachversicherer, endete im Januar 2024 mit einem Vergleich ohne höchstrichterliche Klärung.

Bekannte, ungepatchte Schwachstellen

Das GDV-Muster verlangt ein Patch-Management, das relevante Sicherheitsupdates zeitnah installiert; Systeme mit bekannten Sicherheitslücken dürfen nur mit zusätzlichen Schutzmaßnahmen betrieben werden (A1-16.1 d). Das ist eine Obliegenheit: Bei vorsätzlicher Verletzung ist der Versicherer leistungsfrei, bei grob fahrlässiger Verletzung darf er die Leistung nach der Schwere des Verschuldens kürzen; die Leistungspflicht bleibt, wenn die Verletzung für den Schaden nicht ursächlich war und keine Arglist vorliegt (B3-4.2). Konkrete Patch-Fristen legt nicht das Muster fest, sondern gegebenenfalls der einzelne Vertrag.

Vorsatz und grobe Fahrlässigkeit

Ausgeschlossen sind nach GDV-Muster die Ansprüche aller Personen, die den Schaden vorsätzlich oder durch wissentliche Pflichtverletzung herbeigeführt haben (A1-17.9). Die Kürzungsmöglichkeit bei grob fahrlässiger Herbeiführung des Versicherungsfalls (§ 81 Abs. 2 VVG) ist dort ausdrücklich abbedungen. Grobe Fahrlässigkeit wirkt sich im Muster nur über verletzte Obliegenheiten aus (Kürzung nach B3-4.2.1).

Lieferketten-Schäden (oft eingeschränkt)

Daten und Systeme bei einem externen Dienstleister sind im GDV-Muster grundsätzlich mitversichert. Ausgeschlossen sind aber Schäden, die infolge des Ausfalls, der Unterbrechung oder Störung der Dienstleistung selbst entstehen, soweit sie die Verfügbarkeit der eigenen Daten oder Systeme beeinträchtigen (A1-2.2), sowie Schäden aus dem Ausfall von Infrastruktur wie Telefon-, Internet- oder Stromnetzen (A1-17.5). Ob ein Versicherer Dienstleister-Ausfälle abweichend einschließt, steht im Bedingungswerk.

Was Versicherer 2026 prüfen

Vor Vertragsabschluss fragen Versicherer den Stand der IT-Sicherheit in einem Fragebogen ab. Welche Maßnahmen verlangt werden und in welcher Ausprägung, legt jeder Versicherer selbst fest.

Themen, die Versicherer-Fragebögen abfragen können

• Multi-Faktor-Authentifizierung für externe Zugänge (VPN, Cloud-Admin-Accounts, E-Mail)
• Endpoint-Schutz, etwa Endpoint Detection and Response (EDR)
• Backups mit vom Netz getrennter Komponente und getesteter Wiederherstellung
• Patch-Management mit festgelegten Fristen
• Awareness-Schulungen für Mitarbeitende
• Email-Filter mit Phishing-Erkennung
• Privileged Access Management für administrative Accounts
• Schwachstellen-Scans
• Incident-Response-Plan mit dokumentierten Eskalationswegen

Die GDV-Musterbedingungen selbst nennen als Obliegenheiten vor dem Versicherungsfall unter anderem individuelle Nutzerzugänge, zusätzlichen Zugriffsschutz für aus dem Internet erreichbare Systeme (z. B. 2-Faktor-Authentifizierung), automatisch aktualisierten Schadsoftware-Schutz, zeitnahes Patch-Management und eine mindestens wöchentliche Datensicherung mit regelmäßig geprüfter Wiederherstellung (A1-16.1 AVB Cyber). Konkrete Fristen und weitere Anforderungen legt jeder Versicherer in Fragebogen und Bedingungen selbst fest.

Optionale Plus-Anforderungen

• ISO 27001 Zertifizierung
• Berichte externer Penetrationstests
• Notfall-Übungen mit dokumentiertem Ablauf

Häufige Schadens-Szenarien: was greift wann?

Ransomware

• Forensik und Wiederherstellung: greift, sofern Mindeststandards erfüllt
• BU-Schaden: greift, meist mit zeitlicher Selbstbeteiligung (Dauer laut Versicherungsschein) und Deckungs-Obergrenze
• Lösegeld: im GDV-Muster ausgeschlossen (A1-17.6 AVB Cyber); ob ein Versicherer davon abweicht, steht im Bedingungswerk
• DSGVO-Schadensersatz Dritter: greift im Rahmen der Drittschadens-Haftung
• Bußgeld der Aufsicht: greift NICHT

CEO-Fraud / Business Email Compromise

• Verlust der überwiesenen Summe: im GDV-Muster ausgeschlossen (Abfluss von Vermögenswerten, A1-17.8 AVB Cyber); gedeckt nur, wenn der Vertrag einen entsprechenden Zusatzbaustein enthält
• Forensik: greift, sofern Sicherheits-Vorfall als solcher anerkannt

Datenleck durch Sicherheitslücke

• Benachrichtigungskosten: greift für die Erfüllung datenschutzrechtlicher Informationspflichten (A2-2.1 a); ein externes Call-Center nur bei besonderer Vereinbarung (A2-2.1 b)
• Forensik: greift
• DSGVO-Schadensersatz: greift im Drittschaden
• Krisenkommunikation und PR: nur bei besonderer Vereinbarung (A2-2.2)
• DSGVO-Bußgeld: greift NICHT

Cloud-Anbieter-Ausfall (BU ohne eigenen Vorfall)

• Im GDV-Muster ausgeschlossen, soweit der Schaden aus Ausfall, Unterbrechung oder Störung der Dienstleistung folgt (A1-2.2)
• Deckung nur, wenn der Vertrag Dienstleister-Ausfälle abweichend einschließt; Sublimit und zeitliche Selbstbeteiligung dann laut Vertrag

Prämien und Selbstbeteiligungen

Belastbare, öffentlich belegte Prämienbänder für den deutschen Cyber-Markt gibt es nicht; Prämie, Deckungssumme und Selbstbeteiligung ergeben sich aus dem jeweiligen Angebot. Einfluss haben insbesondere Umsatz, Branche, Menge und Art der verarbeiteten Daten, Vorschäden und der Stand der IT-Sicherheit laut Fragebogen.

Die Selbstbeteiligung ist im GDV-Muster ein im Versicherungsschein festgelegter Betrag je Versicherungsfall (A1-15 AVB Cyber). Bei der Betriebsunterbrechung kann eine zeitliche Selbstbeteiligung hinzukommen, für deren Dauer kein Anspruch auf den Tagessatz besteht (A4-1.3.3). Beim Angebotsvergleich deshalb neben der Prämie auch Sublimits, Selbstbeteiligungen, Haftzeit und Ausschlüsse nebeneinanderlegen.

Was vor Vertragsabschluss zu tun ist

1. Risiko-Analyse durchführen: was sind die wahrscheinlichsten und teuersten Szenarien?
2. Mindeststandards abprüfen: was erwartet der Markt? Lücken schließen, bevor man Angebote einholt
3. Marktvergleich: mindestens 3 Angebote von verschiedenen Versicherern und/oder Maklern
4. Bedingungswerk im Detail lesen: Ausschlüsse, Sublimits, Karenz-Zeiten, Mitwirkungs-Pflichten
5. Lieferanten-Versicherungen prüfen: sind kritische Drittanbieter selbst versichert? Gibt es Anschluss-Versicherungen?
6. Schaden-Hotline klären: 24/7-Erreichbarkeit ist üblich, prüfen welcher Provider die Forensik leistet

FAQ

Ersetzt eine Cyber-Versicherung gutes IT-Sicherheits-Management?

Nein. Sie ergänzt es. Versicherer verlangen heute funktionierende Sicherheits-Standards als Voraussetzung für den Vertrag. Wer in einem Audit nicht nachweisen kann, dass die geforderten Maßnahmen umgesetzt sind, riskiert Leistungs-Freiheit im Schadens-Fall. Die Cyber-Versicherung deckt das Restrisiko, nicht das Grundrisiko durch fehlende Basis-Hygiene.

Greift die Versicherung auch bei Schäden durch eigene Mitarbeitende?

Bei versehentlichen Fehlern (z. B. Klick auf einen Phishing-Link, der Schadsoftware einschleust): grundsätzlich ja, wenn dadurch eine Informationssicherheitsverletzung nach A1-2.4 ausgelöst wird. Bei vorsätzlichen Taten schließt das GDV-Muster die Ansprüche der Personen aus, die den Schaden vorsätzlich herbeigeführt haben (A1-17.9); dem Versicherungsnehmer gleichgestellt sind dabei nur Repräsentanten wie Vorstand oder Geschäftsführung (A1-9). Vermögensabflüsse bleiben ausgeschlossen (A1-17.8); dafür gibt es eigenständige Vertrauensschadenversicherungen.

Was sind realistische Karenz-Zeiten bei BU-Schäden?

Eine marktübliche Dauer lässt sich nicht belastbar angeben; die zeitliche Selbstbeteiligung steht im Versicherungsschein, und für ihre Dauer besteht nach GDV-Muster kein Anspruch auf den Tagessatz (A4-1.3.3 AVB Cyber). Die Haftzeit beginnt im Muster mit Eintritt der Betriebsunterbrechung (A4-1.1.3); wie die zeitliche Selbstbeteiligung zu rechnen ist, regelt das jeweilige Bedingungswerk. Grundsatz: Endet der Ausfall innerhalb der zeitlichen Selbstbeteiligung, gibt es für die Betriebsunterbrechung keine Entschädigung.

Welche Mindestdeckung ist sinnvoll für ein KMU?

Eine allgemeingültige Faustregel gibt es nicht. Ausgangspunkt sind die eigenen Worst-Case-Szenarien: Wie lange stünde der Betrieb still, was kostet ein Ausfalltag an Betriebsgewinn und fortlaufenden Kosten (so definiert das GDV-Muster den Unterbrechungsschaden, A4-1.1.2 AVB Cyber), und welche Haftpflichtansprüche Dritter sind denkbar? Deckungssumme und Haftzeit sollten diese Größen abbilden.

Was passiert bei einer Falsch-Angabe im Versicherungs-Fragebogen?

Wer im Fragebogen vor Vertragsabschluss bewusst falsch antwortet (z. B. "Ja, MFA überall aktiviert", obwohl es nur teilweise stimmt), riskiert nicht nur Leistungs-Freiheit, sondern auch eine rückwirkende Vertragsauflösung durch den Versicherer: Rücktritt wegen Verletzung der Anzeigepflicht (§ 19 Abs. 2 VVG) oder Anfechtung wegen arglistiger Täuschung (§ 22 VVG i. V. m. § 123 BGB). Sorgfältige Wahrheits-Angaben sind essenziell, auch wenn das den Preis erhöht.