Cyberversicherung - diese IT-Voraussetzungen verlangen Versicherer 2026

Checkliste für Unternehmen · Was Versicherer konkret verlangen

Cyberversicherer verlangen 2026 zunehmend konkrete technische Mindestmaßnahmen als Voraussetzung: MFA überall, getestete Backups (3-2-1), EDR/Endpoint-Schutz, Patch-Management, Notfallplan und Mitarbeiter-Awareness. Ohne diese Nachweise gibt es keinen oder nur teuren Schutz - und im Schadensfall droht Leistungskürzung.

Warum die Anforderungen steigen

Cyber-Schadensfälle haben sich in den letzten fünf Jahren verdreifacht. Ransomware-Angriffe treffen heute nicht mehr nur Großunternehmen - KMU sind Hauptziele, weil ihre Security-Grundlagen oft schwächer sind.

Die Versicherungsbranche reagiert: Policen werden genauer geprüft, Selbstbeteiligungen steigen, Deckungssummen werden enger definiert - und wer die technischen Mindestanforderungen nicht erfüllt, zahlt mehr oder bekommt keine Police.

Die schlechte Nachricht: Viele KMU erfüllen die Anforderungen noch nicht. Die gute Nachricht: Die Anforderungen sind auch gute IT-Grundhygiene - Du solltest sie sowieso haben.

Was Cyberversicherer 2026 verlangen

Diese Checkliste basiert auf den typischen Anforderungen der deutschen Cyberversicherungsmarktführer (Hiscox, Allianz, AXA, HDI, R+V). Nicht jeder Versicherer stellt alle Punkte - aber wer alle erfüllt, ist versicherbar und bekommt bessere Konditionen.

Checkliste: Technische Mindestmaßnahmen

Multi-Faktor-Authentifizierung (MFA)

• MFA für alle Remote-Zugänge (VPN, RDP, Cloud-Portale)
• MFA für E-Mail (M365/Google Workspace)
• MFA für Admin-Accounts (intern + beim Dienstleister)

Backup-Strategie

• 3-2-1-Backup-Strategie umgesetzt (3 Kopien, 2 Medien, 1 Off-Site)
• Backups regelmäßig getestet (Restore-Test, dokumentiert)
• Backups offline/immutable - nicht vom selben Netz erreichbar wie Produktionsdaten
• Recovery-Zeit (RTO) definiert und realistisch

Endpoint-Schutz (EDR)

• EDR auf allen Endgeräten (nicht nur Antivirus)
• Zentrales Dashboard, kein Gerät unmanaged
• Mobilgeräte erfasst (MDM)

Patch-Management

• Kritische Patches innerhalb von 72h eingespielt
• Automatisiertes Patch-Management aktiv
• Software-Inventar bekannt (was läuft wo?)

Netzwerk-Sicherheit

• Firewall-Management aktiv (kein „einmal einrichten und vergessen”)
• Netzwerk-Segmentierung vorhanden (zumindest VLAN-Trennung)
• VPN für alle Remote-Zugänge (kein offenes RDP ins Internet)

Notfallplan (Business Continuity / Incident Response)

• Schriftlicher Notfallplan vorhanden (wer macht was bei einem Ransomware-Angriff?)
• Notfallplan bekannt (nicht nur im Schrank)
• Externe Eskalations-Kontakte definiert (IT-Dienstleister, Versicherung, Anwalt)

Mitarbeiter-Awareness

• Sicherheits-Schulung für alle Mitarbeiter (mindestens jährlich)
• Phishing-Test oder -Simulation durchgeführt
• Dokumentation der Schulungsteilnahme

Lieferanten-Management

• IT-Dienstleister mit schriftlichem Vertrag (AVV / SLA)
• Zugang von Dienstleistern kontrolliert und auditierbar

Mapping: Versicherungsanforderung ↔ Seraph-IT-Maßnahme

Verbindung zu NIS2

NIS2 und Cyberversicherung überschneiden sich stark - wer NIS2-compliant ist, erfüllt die meisten Versicherungsanforderungen automatisch.

NIS2 Art. 21 verlangt: Risikomanagement, Backup, Patch-Management, MFA, Incident-Response-Plan, Mitarbeiter-Schulungen. Das ist dieselbe Liste.

Wer NIS2 systematisch umsetzt, wird versicherbar - und umgekehrt.

→ NIS2-Umsetzung

Was passiert im Schadensfall ohne diese Maßnahmen?

Viele Policen haben Klauseln, die bei Fahrlässigkeit greifen: Wenn Grundschutzmaßnahmen (MFA, Backup, Patch-Management) bei Vertragsabschluss angegeben, aber nicht umgesetzt wurden, kann der Versicherer die Leistung kürzen oder verweigern.

Das bedeutet: Der Schaden ist eingetreten (Ransomware, 3 Wochen Produktionsausfall, 200.000 € Schaden) - und der Versicherer zahlt nur teilweise oder gar nicht, weil beim Onboarding-Fragebogen nicht alles stimmte.

Häufige Fragen zu Cyberversicherung

Wie teuer ist eine Cyberversicherung für KMU? Stark abhängig von Branche, Umsatz und Sicherheitsniveau. Als Orientierung: 2.000-10.000 € Jahresprämie für KMU mit 5-50 MA und 5 Mio. € Deckungssumme. Wer die technischen Anforderungen erfüllt, zahlt weniger.

Reicht eine Cyberversicherung als Schutz? Nein. Versicherung ist Risikoübertragung - kein Ersatz für Prävention. Ransomware macht auch Betriebe mit Versicherung 2-4 Wochen handlungsunfähig. Prävention kommt zuerst.

Können wir mit „wir haben Antivirus” beim Fragebogen antworten? Antivirus ist nicht EDR. Wenn der Fragebogen nach EDR fragt und Ihr „Antivirus” angebt, ist das falsch - und kann zur Leistungskürzung führen. Beantworte die Fragen genau.

Wer hilft beim Cyberversicherungs-Fragebogen? Wir - wir helfen, die technischen Fragen korrekt zu beantworten und setzen Maßnahmen um, die fehlen. So wird Dein Unternehmen versicherbar und Du bekommst gute Konditionen.

Müssen wir jedes Jahr erneut prüfen? Ja - die meisten Policen werden jährlich verlängert, mit aktualisiertem Fragebogen. Wer neue Mitarbeiter, neue Systeme oder neue Dienstleister hat, muss die Antworten anpassen.

Was sind Obliegenheiten in einer Cyberversicherung? Obliegenheiten sind Pflichten, die Du während der gesamten Vertragslaufzeit einhalten musst - typischerweise MFA, funktionierende und getestete Backups, zeitnahes Einspielen von Sicherheitsupdates und die unverzügliche Meldung eines Vorfalls. Werden sie verletzt, kann der Versicherer die Leistung kürzen oder verweigern. Anders als die Angaben im Fragebogen gelten sie dauerhaft, nicht nur am Stichtag des Abschlusses.

Was ist bei einer Cyberversicherung typischerweise nicht versichert? Häufige Ausschlüsse sind Schäden aus bereits vor Vertragsschluss bekannten Sicherheitslücken, vorsätzliches Handeln eigener Mitarbeiter, Betriebsunterbrechung ohne ausdrücklich vereinbarten Baustein, Kriegs- und staatlich zugerechnete Angriffe sowie die Kosten für die Modernisierung veralteter Systeme nach einem Vorfall. Die Formulierungen unterscheiden sich je Anbieter erheblich - die Ausschlussliste ist der wichtigste Teil der Police.

Zahlt die Versicherung das Lösegeld bei Ransomware? Manche Policen sehen das vor, viele schließen es aus oder knüpfen es an eine vorherige Freigabe. Unabhängig davon ist Zahlen kein Wiederherstellungsplan: Entschlüsselung gelingt oft nur teilweise, und eine Zahlung kann rechtlich heikel sein. Der verlässlichere Weg ist ein getestetes, vom Produktionsnetz getrenntes Backup - das ist ohnehin Voraussetzung für die Police.

Was bedeutet die Wartezeit bei Betriebsunterbrechung? Die Deckung für Betriebsunterbrechung greift meist erst nach einer vereinbarten Stundenzahl; alles davor trägst Du selbst. Diese Schwelle entscheidet mit darüber, ob eine Police in Deinem Fall überhaupt greift. Prüfe sie zusammen mit der maximalen Haftungsdauer, denn Ransomware-Fälle ziehen sich häufig über Wochen statt über Stunden.

Brauchen wir eine Cyberversicherung, wenn wir eine Betriebshaftpflicht haben? Ja, beide decken verschiedene Dinge ab. Die Betriebshaftpflicht zielt auf Personen- und Sachschäden gegenüber Dritten. Die typischen Cyber-Folgen sind dagegen Eigenschäden - Wiederherstellung, Forensik, Betriebsunterbrechung - und Vermögensschäden Dritter. Manche Versicherer bieten Cyber als Baustein zu bestehenden Verträgen an, dann aber meist mit deutlich geringeren Summen.

Wie hoch sollte die Deckungssumme sein? Das leitet sich aus Deinem Ausfallrisiko ab, nicht allein aus dem Umsatz: Was kostet ein Tag Stillstand, wie lange dauert eine vollständige Wiederherstellung, welche Vertragsstrafen und Meldepflichten kommen dazu? Eine ehrliche Schätzung der Wiederanlaufzeit ist dabei wichtiger als jede Faustformel. Wir liefern die technischen Zahlen dafür; die versicherungsseitige Einordnung macht Dein Makler.

Was passiert, wenn wir den Fragebogen falsch ausfüllen? Falsche Angaben können zur Leistungskürzung oder zum Rücktritt des Versicherers führen - im schlimmsten Fall erst Jahre später im Schadensfall. Kritisch sind vor allem Punkte, die man für erfüllt hält, ohne sie geprüft zu haben: MFA auf wirklich allen Fernzugängen, ein tatsächlich getesteter Restore, ein aktuelles Software-Inventar. Lass die technischen Fragen von jemandem beantworten, der die Umgebung kennt.

Wie schnell müssen wir einen Vorfall melden? Sehr schnell - viele Bedingungen verlangen die Meldung unverzüglich nach Kenntnis, oft binnen weniger Tage. Parallel laufen andere Fristen: bei betroffenen personenbezogenen Daten 72 Stunden gegenüber der Datenschutzaufsicht, dazu gegebenenfalls Meldepflichten aus NIS2. Diese Kontakte und Fristen gehören in den Notfallplan - ausgedruckt und offline verfügbar, denn im Ernstfall stehen die Systeme still.

Erwarten Versicherer eine ISO-27001-Zertifizierung? Bei kleineren Betrieben in der Regel nicht. Verlangt werden konkrete technische Maßnahmen und deren Nachweis, nicht ein Zertifikat. Eine bestehende Zertifizierung hilft bei den Konditionen, ersetzt aber die Detailfragen im Fragebogen nicht. Wir setzen die Maßnahmen um und dokumentieren sie prüffähig - zertifizieren kann nur eine akkreditierte Stelle, nicht Dein IT-Dienstleister.

Wird die Vorbereitung auf eine Cyberversicherung gefördert? Die Prämie selbst nicht. Die Beratung, mit der Du die technischen Voraussetzungen ermittelst und einen Umsetzungsplan aufstellst, ist über die BAFA-Förderung für Unternehmensberatung bezuschussbar - bis zu 50 % der Beratungskosten, Bemessungsgrundlage 3.500 Euro, Zuschuss max. 1.750 Euro. Den Antrag übernehmen wir.

Domain-Check und Erstgespräch

→ Kostenlosen Domain-Check starten - zeigt u.a. SPF/DMARC, bekannte Leaks, öffentlich sichtbare Services

📅 Erstberatung buchen · 📞 +49 221 292 763 30 · 📧 info@seraph-it.de

Georgij Boguslawskij - Geschäftsführer Seraph IT

Verwandte Themen

Services: Security as a Service · Security Awareness · Managed Workplace Compliance: NIS2-Umsetzung · ISO 27001 Wiki: IT-Dienstleister auswählen · E-Mail-Reputation verbessern Tools: Self-Check