Was ist eine Cyberversicherung?

Kurz erklärt

Eine Cyberversicherung ist eine Versicherung, die finanzielle Schäden durch Cyberangriffe, Datenpannen und IT-Ausfälle abdeckt und im Ernstfall oft auch Expertenhilfe vermittelt. Sie ergänzt technische Schutzmaßnahmen, ersetzt sie aber nicht. Versicherer verlangen in der Regel, dass grundlegende Sicherheitsvorkehrungen umgesetzt sind.

Was ist typischerweise versichert?

Der Umfang unterscheidet sich je nach Anbieter und Tarif deutlich. Häufig umfasst eine Cyberversicherung drei Bereiche:

• Eigenschäden: Kosten für die Wiederherstellung von Daten und Systemen, für IT-Forensik (die Untersuchung, wie der Angriff ablief) und für den Ertragsausfall während einer Betriebsunterbrechung.
• Drittschäden: Ansprüche von Kundinnen, Kunden oder Geschäftspartnern, etwa wenn deren Daten gestohlen wurden oder ein Angriff über Ihr System auf andere übergreift.
• Dienstleistungen: Eine Notfall-Hotline, Unterstützung durch IT-Sicherheitsfachleute, Rechtsberatung und Hilfe bei der Krisenkommunikation.

Nicht immer gedeckt sind zum Beispiel Schäden durch Betrug wie CEO-Fraud, bei dem Mitarbeitende selbst Geld überweisen. Manche Tarife schließen das ein, andere nur gegen Aufpreis oder gar nicht. Auch der Umgang mit Lösegeldforderungen ist unterschiedlich geregelt. Unabhängig davon gilt die Empfehlung von Behörden und Fachleuten, bei Ransomware kein Lösegeld zu zahlen.

Wie funktioniert der Abschluss?

Vor Vertragsabschluss fragen Versicherer den Sicherheitsstand ab, meist per Fragebogen. Typische Fragen betreffen:

• Zwei-Faktor-Authentifizierung für E-Mail, Cloud-Dienste und Fernzugänge
• regelmäßige, getrennt aufbewahrte und getestete Datensicherungen
• zeitnahes Einspielen von Sicherheitsupdates
• Virenschutz bzw. EDR auf allen Geräten
• Schulung der Mitarbeitenden

Diese Angaben sind wichtig: Stellt sich im Schadensfall heraus, dass Antworten nicht gestimmt haben oder vertragliche Pflichten (sogenannte Obliegenheiten) nicht eingehalten wurden, kann die Leistung gekürzt oder verweigert werden.

Viele Verträge legen außerdem fest, welche Schritte im Schadensfall einzuhalten sind, etwa die sofortige Meldung über die Notfall-Hotline und die Abstimmung, bevor externe Dienstleister beauftragt werden. Diese Regeln sollten alle kennen, die im Notfall handeln, nicht nur die Geschäftsführung. Für Unternehmen, die unter das NISG 2026 fallen, ersetzt eine Versicherung zudem keine gesetzlichen Pflichten wie Risikomanagement oder die Meldung von Vorfällen.

Ein typisches Beispiel aus dem KMU-Alltag

Ein Onlineshop für Sportartikel mit sieben Mitarbeitenden hat eine Cyberversicherung abgeschlossen. Im Fragebogen wurde angegeben, dass alle Konten mit Zwei-Faktor-Authentifizierung geschützt sind. Tatsächlich fehlte diese beim Administratorkonto des Shopsystems. Über dieses Konto verschaffen sich Angreifer nach einer Brute-Force-Attacke Zugriff und stehlen Kundendaten. Die Versicherung prüft den Fall und stellt fest, dass die Angabe nicht zutraf. Ob und in welchem Umfang sie zahlt, wird nun zur Streitfrage. Der Fall zeigt: Eine Versicherung ist nur so verlässlich wie die Sicherheitsmaßnahmen, auf denen sie aufbaut.

Was KMU beachten sollten

• Bedarf klären: Wie lange könnte Ihr Betrieb ohne IT arbeiten? Welche sensiblen Daten verarbeiten Sie? Das bestimmt, welche Deckung sinnvoll ist.
• Bedingungen genau lesen: Achten Sie auf Ausschlüsse, Selbstbehalte, Wartezeiten bei Betriebsunterbrechung und die Deckung von Betrug.
• Fragebogen ehrlich beantworten: Lieber eine Maßnahme vor Abschluss umsetzen, als sie nur anzukreuzen.
• Sicherheitsstand laufend halten: Patch-Management, Zwei-Faktor-Authentifizierung und Backups müssen auch nach Vertragsabschluss funktionieren.
• Notfallnummer griffbereit: Die Hotline des Versicherers gehört in den Notfallplan, ausgedruckt und nicht nur auf dem Server.
• Unabhängig beraten lassen: Ein Versicherungsmakler kann Angebote vergleichen.

Was tun im Ernstfall?

Melden Sie einen Vorfall unverzüglich bei Ihrem Versicherer, bevor Sie größere Maßnahmen beauftragen, sofern der Vertrag das verlangt. Erstatten Sie parallel Anzeige bei der Polizei oder über die Cybercrime-Meldestelle des BMI (against-cybercrime@bmi.gv.at) und prüfen Sie die DSGVO-Meldepflicht an die Datenschutzbehörde innerhalb von 72 Stunden.

Xcubitor wird künftig Sicherheitsereignisse nachvollziehbar dokumentieren, was im Schadensfall auch gegenüber einer Versicherung hilfreich sein kann.