Cyberversicherungen sind für kleine Unternehmen inzwischen gut verfügbar. Der Markt hat allerdings aus den Schadensjahren gelernt: Versicherer prüfen die technische Ausstattung heute genau und lehnen ab oder verteuern deutlich, wenn Grundlagen fehlen. Der Risikofragebogen ist damit weniger Formalie als technische Prüfung.
Was abgefragt wird
| Anforderung | Was gemeint ist | Aufwand |
|---|---|---|
| Mehrfaktor-Anmeldung | Für Mail, Fernzugänge und Administratorkonten, ohne Ausnahmen | gering |
| Backups | Mehrere Kopien, eine davon offline oder unveränderlich, Rückspielung getestet | mittel |
| Aktualität | Betriebssysteme und Software im Support, Updates zeitnah eingespielt | mittel |
| Endgeräteschutz | Zentral verwalteter Virenschutz oder EDR auf allen Geräten | gering |
| Rechtekonzept | Getrennte Administratorkonten, keine Adminrechte im Alltag | gering |
| Sensibilisierung | Regelmäßige Schulung der Mitarbeiter, nachweisbar | gering |
| Notfallplan | Dokumentierter Ablauf mit Rollen und Kontakten | gering |
Was typischerweise gedeckt ist
Üblich sind Eigenschäden wie Wiederherstellung von Daten und Systemen, Betriebsunterbrechung, forensische Untersuchung, Krisenkommunikation und Rechtsberatung. Dazu Drittschäden, wenn Daten Dritter betroffen sind, und häufig eine Deckung für Bußgelder, soweit rechtlich zulässig. Viele Policen enthalten eine 24-Stunden-Notfallnummer mit Zugriff auf Forensik-Dienstleister. Für kleine Betriebe ist dieser Baustein oft wertvoller als eine hohe Deckungssumme.
Häufige Ausschlüsse
- Bekannte, nicht geschlossene Sicherheitslücken trotz verfügbarem Update.
- Software außerhalb des Herstellersupports.
- Vorsatz und grobe Fahrlässigkeit, je nach Bedingungen unterschiedlich weit gefasst.
- Schäden, die vor Vertragsbeginn verursacht wurden, auch wenn sie später auffallen.
- Fehlende Umsetzung zugesagter Maßnahmen aus dem Risikofragebogen.
Der Fragebogen ist Vertragsgrundlage
Wer angibt, überall Mehrfaktor zu nutzen, und im Schadensfall stellt sich heraus, dass das Administratorkonto ohne zweiten Faktor lief, riskiert die Leistung. Füllen Sie den Fragebogen gemeinsam mit der IT aus und dokumentieren Sie den Stand mit Datum. Ein IT-Sicherheitsaudit liefert genau diese Nachweise und deckt Lücken auf, bevor der Versicherer sie findet.
Vor dem Abschluss klären
- Welche Ausfallzeit ist versichert und ab welcher Wartezeit greift die Leistung?
- Sind Betriebsunterbrechung und Wiederherstellungskosten getrennt gedeckt?
- Gibt es eine Soforthilfe rund um die Uhr, und wer ist der Dienstleister?
- Sind Betrugsfälle wie die Chef-Masche eingeschlossen oder nur Hackerangriffe?
- Welche Obliegenheiten gelten laufend, etwa Update- und Backup-Pflichten?
Reihenfolge: erst absichern, dann versichern
Die technische Grundausstattung senkt die Prämie und verhindert im besten Fall den Schaden. Wer mit Mehrfaktor, getesteten Backups und einem Notfallplan in das Gespräch geht, bekommt bessere Konditionen und im Ernstfall weniger Diskussionen.
