Cyber-Versicherung oder eigene Maßnahmen: Was KMU abwägen sollten

Stand: 18.09.2026 · ComplyCheck-Redaktion · Keine Rechtsberatung iSd RDG § 2. Keine Versicherungsvermittlung oder -beratung iSd VVG.

Welche Kostenfaktoren sind einschlägig?

Bei der Abwägung zwischen Eigenmaßnahmen und Cyber-Versicherung treten in der KMU-Praxis mehrere Kostenfaktoren auf, deren Gewichtung individuell variiert:

• Aufwand für technisch-organisatorische Mindestmaßnahmen (MFA, Backup, EDR, Awareness, Patch-Management)
• Cyber-Versicherungs-Prämie (abhängig von Deckung, Branche, Risikoprofil)
• Selbstbehalt (vertraglich individuell vereinbart)
• Restrisiko-Größenordnung im Schadenfall (Forensik, Wiederherstellung, Ausfall, Anwaltskosten)

Eine isolierte Betrachtung „Versicherung oder Maßnahmen" greift zu kurz, weil Versicherer vor Vertragsschluss nach den vorhandenen Maßnahmen fragen und Annahme und Konditionen davon abhängig machen können.

Welche Konstellation passt typisch zu deinem KMU-Profil?

Grundlage der Annahmeprüfung ist der Risikofragebogen des Versicherers. Umfang und Detailtiefe unterscheiden sich je Versicherer und Tarif. Nach § 19 Abs. 1 VVG sind die bekannten Gefahrumstände anzuzeigen, nach denen der Versicherer in Textform gefragt hat.

Ohne nachweislich vorhandene Multi-Faktor-Authentifizierung (MFA, Login mit Passwort plus zweitem Faktor wie App-Code), getrennt vorgehaltene Backups und ein dokumentiertes Patch-Management kann ein Versicherer den Antrag ablehnen oder nur zu anderen Konditionen annehmen. Konkrete Annahme-Voraussetzungen variieren je nach Versicherer.

Umgekehrt schließen auch sehr gute Eigenmaßnahmen Restrisiken nicht aus. Supply-Chain-Angriffe über Dienstleister können auch gut abgesicherte Unternehmen treffen, dann fallen trotzdem Kosten für Wiederherstellung, Forensik und anwaltliche Begleitung an, deren Höhe vom Einzelfall abhängt.

Welche Mindestanforderungen fordern Versicherer typischerweise?

Self-Assessment-Fragebögen verbreiteter Cyber-Versicherer in DACH erfassen häufig folgende Bereiche, konkrete Anforderungen variieren je Versicherer und Tarif:

• MFA für externe Zugänge (VPN, RDP, Webmail, Admin-Konten)
• Backup-Konzept mit getrennter, offline erreichbarer Kopie und dokumentiert getesteter Wiederherstellung

• Patch-Management mit dokumentierten Zyklen für Server, Clients und Netzwerk-Komponenten
• Endpoint-Detection-and-Response (EDR) als moderner Endgeräte-Schutz mit Verhaltensanalyse
• Awareness-Trainings für alle Mitarbeitenden, in der vom Versicherer abgefragten Häufigkeit
• Notfall-Plan mit Kontakten zu Forensik und Krisen-Kommunikation

Falsche oder unvollständige Angaben zu bekannten, gefahrerheblichen Umständen, nach denen der Versicherer in Textform gefragt hat, verletzen die vorvertragliche Anzeigepflicht. Je nach Verschulden kann der Versicherer nach § 19 Abs. 2 bis 4 VVG zurücktreten, kündigen oder den Vertrag an andere Bedingungen anpassen. Diese Rechte stehen ihm nur zu, wenn er durch gesonderte Mitteilung in Textform auf die Folgen einer Anzeigepflichtverletzung hingewiesen hat (§ 19 Abs. 5 VVG). Die konkrete Rechtsfolge richtet sich nach dem Einzelfall und dem Versicherungsvertrag.

Welche Marktoptionen sind verbreitet?

Belastbare Marktpreise für Maßnahmen und Policen gibt es nicht; Lizenzkosten, Dienstleistertarife und Prämien hängen von Mitarbeiterzahl, vorhandener IT, Branche und Risikoprofil ab. Für die Abwägung sinnvoll ist eine Gegenüberstellung aus konkreten Angeboten:

Mindestmaßnahmen (Angebote einholen für):

• MFA-Rollout: Lizenz-Aufpreis der genutzten Plattform plus Einrichtungsaufwand
• Backup-Lösung mit Offline-Komponente: einmalige Einrichtung und laufende Kosten
• EDR-Lizenzen für alle Endgeräte und Server
• Awareness-Plattform oder Schulungsangebot
• Patch-Management-Tool oder Dienstleister-Anteil

Cyber-Versicherung (im Angebot prüfen):

• Deckungssumme und Sublimits je Baustein (Eigenschaden, Drittschaden, Betriebsunterbrechung)
• Jahresprämie mit und ohne bestimmte Maßnahmen, sofern der Versicherer das ausweist
• Selbstbehalt pro Schadensfall
• Ausschlüsse und Obliegenheiten

Mögliche Kostenpositionen eines Ransomware-Vorfalls ohne Maßnahmen und Police:

• Forensik und Incident-Response
• Wiederherstellung und Datenrettung
• Ausfall-Zeit und Umsatzverlust
• Anwalts- und Beratungskosten
• Lösegeld-Forderungen: eine Zahlung wird vom BSI ausdrücklich nicht empfohlen

Welche Reihenfolge ist in der Praxis verbreitet?

Eine mögliche Reihenfolge für die kombinierte Absicherung:

1. MFA für alle externen Zugänge aktivieren
2. Backup-Konzept mit Offline-Kopie einrichten und Wiederherstellung dokumentiert testen
3. EDR auf allen Endgeräten und Servern ausrollen
4. Awareness-Training für alle Mitarbeitenden starten
5. Self-Assessment des Versicherers sorgfältig und wahrheitsgemäß ausfüllen
6. Mehrere Angebote vergleichen und Police abschließen
7. Notfall-Plan mit Versicherer-Hotline und externen Dienstleistern dokumentieren

Welche Konstellationen erfordern abweichendes Vorgehen?

• Reine Privatpersonen: Gewerbliche Cyber-Policen sind nicht einschlägig; Privat-Cyber-Bausteine in der Hausratversicherung können eine Option sein.
• Solo-Selbständige ohne nennenswerte Kunden-Daten, ohne externe Zugänge: Die hier skizzierten Größenordnungen können unverhältnismäßig sein. Eine bewusste Risiko-Abwägung mit dokumentierter Entscheidung ist in dieser Konstellation häufig ausreichend.
• Sobald Kunden-Daten verarbeitet werden, Lieferanten-Pflichten gegenüber Konzernen bestehen oder eine NIS2-mittelbare Betroffenheit vorliegt: Die kombinierte Empfehlung „Maßnahmen plus Police" gewinnt deutlich an Relevanz.

• Sektoren mit erhöhter Risiko-Exposition (Gesundheit, Finanzdienstleister, KRITIS): Eigene branchenspezifische Pflicht-Anforderungen können sowohl Maßnahmen-Umfang als auch Versicherungs-Konditionen erheblich verändern.
• Bewusster Verzicht auf Cyber-Versicherung: Eine legitime Management-Entscheidung, sie sollte dokumentiert getroffen werden und auf einer fundierten Risiko-Abwägung beruhen.

Nächster Schritt

Ob NIS2, DORA oder KRITIS-Pflichten einschlägig sein können, schätzt der NIS2-Check mit vier Fragen ein und gibt eine Roadmap aus. Ob Versicherer-Mindeststandards erfüllt sind, prüft er nicht; dafür ist der Risikofragebogen des jeweiligen Versicherers maßgeblich.

Vertiefend zur Frage, unter welchen Voraussetzungen eine Cyber-Versicherung im Schadenfall typischerweise greift und welche Ausschluss-Kategorien in Versicherungsverträgen verbreitet sind, bietet der Foundation-Artikel Cyber-Versicherung 2026: wann greift sie wirklich? eine ausführliche Einordnung, ebenfalls als pauschale Marktorientierung ohne Anspruch auf Verbindlichkeit für den Einzelfall.