6.8.2026 – Die Zahl der Cyberrisiken und -schäden steigt dynamisch. Der Abschluss einer Police ist für Unternehmen daher notwendig, aber nicht ausreichend, schreibt Magdalena da Cruz Santos, Gewerbeversicherungsspezialistin beim Vermittler Finanzinformationszentrum. Eine zentrale Schwachstelle macht sie in der fehlenden Verzahnung von IT und Versicherung aus. Die richtige Vorsorge und Cyberschutz bieten im Schadenfall einen eindeutigen Mehrwert.
Cyberangriffe haben sich in den vergangenen Jahren von einem IT-Thema zu einem zentralen Geschäftsrisiko entwickelt. Die Zahlen sind eindeutig:
- Deutschland zählt weltweit zu den am stärksten betroffenen Ländern und liegt dem „Bundeslagebild Cybercrime 2024“ des Bundeskriminalamts (BKA) zufolge aktuell auf Platz vier der globalen Angriffsrangliste.
- Täglich werden laut BKA zwei bis drei schwere Ransomware-Angriffe gemeldet.
- Unternehmen in Deutschland sahen sich Expertenberechnungen zufolge im 2. Quartal 2025 bei steigender Tendenz im Schnitt mit fast 1.300 Angriffen pro Woche konfrontiert.
- Gleichzeitig entstehen täglich über 300.000 neue Schadsoftware-Varianten.
- Magdalena da Cruz Santos (Bild: Matthias Duschner)
Auch prominente Fälle aus der Praxis zeigen die Dimension: Angriffe auf Krankenhäuser, Energieversorger oder mittelständische Unternehmen führen regelmäßig zu Produktionsausfällen und erheblichen wirtschaftlichen Schäden. Selbst kritische Infrastrukturen wie Stromnetze sind betroffen – große Betreiber berichten von mehreren hundert Angriffen pro Tag. Die Bedrohung ist damit nicht mehr hypothetisch, sondern operativer Alltag.
Cyberrisk-Police: notwendig, aber nicht ausreichend
Vor diesem Hintergrund wächst die Nachfrage nach Cyberrisk-Policen stark. Doch die Realität zeigt: Der Abschluss einer Police allein bedeutet noch keinen belastbaren Schutz. Cyberversicherungen sind ein vielschichtiges Risikomanagementsystem.
Ihre Leistung hängt maßgeblich davon ab, ob Obliegenheiten durch den Versicherungsnehmer eingehalten werden – also vertraglich definierte Verpflichtungen bezüglich der Sicherheitsanforderungen.
Typische Beispiele sind:
- Multi-Faktor-Authentifizierung,
- funktionierende Backup-Konzepte,
- Patch- und Update-Management,
- Zugriffskontrollen und Berechtigungssysteme.
Diese Anforderungen sind keine Formalien. Werden sie nicht erfüllt, kann der Versicherer die Leistung im Schadenfall reduzieren oder vollständig verweigern. Damit wird deutlich: Cyberrisiken lassen sich nicht einfach „übertragen“ – sie sind aktiv zu managen.
Cyberrisiken sind Chefsache: Haftung und StaRUG
Die Absicherung von Cyberrisiken ist längst keine rein operative IT-Aufgabe mehr, sondern eine Stabsaufgabe auf Geschäftsleitungsebene. Mit dem Unternehmensstabilisierungs- und Restrukturierungsgesetz (StaRUG) sind Unternehmensleiter verpflichtet, bestandsgefährdende Risiken frühzeitig zu erkennen und geeignete Gegenmaßnahmen zu ergreifen. Cyberrisiken erfüllen diese Kriterien eindeutig:
- potenziell existenzbedrohend,
- häufig plötzlich eintretend und
- schwer kalkulierbar.
Wer bekannte Risiken – etwa unzureichende IT-Sicherheit oder nicht erfüllte Versicherungsobliegenheiten – ignoriert, bewegt sich haftungsrechtlich in einem kritischen Bereich. In der Konsequenz ist Cyber-Resilienz Teil ordnungsgemäßer Unternehmensführung.
Zentrale Schwachstelle: fehlende Verzahnung von IT und Versicherung
In der Praxis zeigt sich ein wiederkehrendes Problem: Die Anforderungen der Versicherer und die Umsetzung durch IT-Dienstleister sind häufig nicht abgestimmt. Typische Konstellationen:
- IT-Dienstleister optimieren Systeme technisch, kennen aber oftmals die versicherungsrelevanten Anforderungen nicht.
- Unternehmen gehen davon aus, „gut aufgestellt“ zu sein.
- Erst im Schadenfall zeigt sich, dass Obliegenheiten nicht erfüllt wurden.
Diese Lücke ist kritisch, denn sie entsteht zwischen zwei eigentlich funktionierenden Systemen:
- einer leistungsfähigen IT-Betreuung und
- einer hochwertigen Versicherungslösung.
Gute IT allein bietet keinen ausreichenden Schutz
Ohne Abstimmung verbleibt ein erhebliches Restrisiko, denn gute IT allein bietet keinen ausreichenden Schutz. So lautet ein weit verbreiteter Irrtum: „Unsere IT ist gut aufgestellt – wir brauchen uns um das Thema nicht weiter zu kümmern.“ Diese Annahme greift deutlich zu kurz. Selbst exzellente IT-Abteilungen oder erfahrene externe Dienstleister:
- fokussieren sich primär auf technische Stabilität und Sicherheit,
- übernehmen jedoch keine versicherungsrechtliche Verantwortung und
- sind im Schadenfall nicht für wirtschaftliche Folgen zuständig.
Insbesondere leisten sie
- keine Lösegeldzahlungen,
- keinen Ersatz von Betriebsunterbrechungen und
- keine Koordination mit Behörden oder Krisendienstleistern.
Hinzu kommt, dass die wenigsten Unternehmen über Routine im Umgang mit Cybervorfällen verfügen. Themen wie Verhandlungen mit Erpressern, IT-Forensik und Krisenkommunikation sind hochspezialisiert und im Ernstfall zeitkritisch.
Im Schadenfall zeigt sich die Stärke von Cyberversicherern
Der Mehrwert der Cyberversicherung im Schadenfall: Hier liegt die eigentliche Stärke spezialisierter Cyberversicherer. Sie bieten nicht nur finanziellen Ausgleich, sondern auch operatives Krisenmanagement. Im Schadenfall koordinieren sie:
- IT-Forensiker,
- spezialisierte Anwälte,
- Kommunikationsberater,
- Verhandlungen mit Angreifern und
- Abstimmung mit Behörden.
Diese Prozesse sind standardisiert und routiniert – ein entscheidender Vorteil gegenüber Unternehmen, die erstmals betroffen sind und denen es folglich an Erfahrung und an Routinen mangelt.
Der entscheidende Erfolgsfaktor: Zusammenspiel statt Einzellösung.
Eine wirksame Cyberabsicherung entsteht nicht durch Einzelmaßnahmen, sondern durch ein abgestimmtes Gesamtsystem aus den vier Bereichen:
- Versicherungsmakler: Gefahren-/Bedarfsanalyse (technisch wie organisatorisch); Auswahl geeigneter Versicherer; Organisation von Risikodialogen vor Vertragsabschluss mit Versicherer und „Kunde“ (unbedingt einschließlich der internen beziehungsweise externen IT-Experten des „Kunden“).
- Versicherer: Mitteilung zu zwingend auszuführenden sowie ratsamen Präventionsmaßnahmen; Hilfe bei Fragen zu IT-Umstellungen während der Vertragslaufzeit; Angebot von Protect-Tools (etwa externer Schwachstellenscan, Cloud-Scan, Phishing-Simulation, E-Mail-Security et cetera); finanzielle Absicherung; Zugang zu Krisenexperten.
- IT-Sicherheit: technische Prävention; kontinuierliche Systemoptimierung;
- Governance-Prozess: Einhaltung der Obliegenheiten; regelmäßige Überprüfung; klare Verantwortlichkeiten.
Der Schlüssel liegt in der Integration dieser Elemente. Besonders wichtig ist dabei:
- die aktive Einbindung des IT-Dienstleisters,
- die Übersetzung von Versicherungsanforderungen in technische Maßnahmen und
- die laufende Kontrolle der Umsetzung.
Fazit: Cyberabsicherung ist ein Managementprozess.
Die zunehmende Professionalisierung von Cyberangriffen erfordert ein Umdenken, denn Cyberrisiken sind kein Randthema mehr, sondern ein zentraler Bestandteil unternehmerischer Risikosteuerung. Der reine Abschluss einer Cyberversicherung greift dabei zu kurz.
Eine Cyberversicherung ist kein Ersatz für Prävention, sondern deren Ergänzung. Sie ersetzt keine IT-Sicherheit, keine Firewall, keine Mitarbeiterschulung und keine Backups. Erst wenn die Hausaufgaben in Sachen Prävention gemacht sind, macht eine Absicherung überhaupt Sinn. Oft ist auch erst dann ein umfänglicher Versicherungsschutz möglich. Entscheidend sind:
- das Verständnis der eigenen Risiken,
- die konsequente Umsetzung der Obliegenheiten,
- die enge Verzahnung von IT und Versicherung und
- die aktive Steuerung auf Geschäftsleitungsebene.
Unternehmen, die diesen integrierten Ansatz verfolgen, erreichen nicht nur ein höheres Sicherheitsniveau. Sie stellen auch sicher, dass ihre Cyberversicherung im Ernstfall das tut, wofür sie gedacht ist: leisten.
Die Autorin ist Marketing- und Vertriebs-Ökonomin (VWA) und als Gewerbeversicherungsspezialistin beim Versicherungsmakler und Finanzanlagenvermittler Finanzinformationszentrum GmbH tätig.
