Cyberversicherung: Welche IT-Maßnahmen Versicherer voraussetzen
Von Felix Lange, Geschäftsführer, Technik
Veröffentlicht am · 10 Min. Lesezeit
Die Musterbedingungen des Versicherungsverbands GDV setzen für eine Cyberversicherung vor allem voraus: individuelle Zugänge und getrennte Administratorkonten, zusätzlichen Schutz für Server und mobile Geräte, automatisch aktualisierten Virenschutz, zeitnahe Sicherheitsupdates und eine mindestens wöchentliche, vor Veränderung geschützte und regelmäßig geprüfte Datensicherung. Einzelne Verträge können darüber hinausgehen. Falsche Angaben im Antrag können den Schutz rückwirkend kosten.
Das Wichtigste in Kürze
- Die Musterbedingungen des GDV sind unverbindlich; maßgeblich sind immer die Bedingungen und der Fragebogen Ihres eigenen Vertrags.
- Wer im Risikofragebogen Maßnahmen bejaht, die nicht umgesetzt sind, riskiert den Rücktritt des Versicherers und damit den Schutz auch für die Vergangenheit.
- Nach Vertragsschluss werden die Sicherheitsmaßnahmen zu Obliegenheiten: Bei grober Fahrlässigkeit darf der Versicherer die Leistung kürzen, bei Vorsatz entfällt sie.
- Im Schadenfall verlangen die Musterbedingungen eine unverzügliche Anzeige, das Einholen von Weisungen und ein unverändertes oder nachvollziehbar dokumentiertes Schadenbild.
- Lösegeldzahlungen sind in den GDV-Musterbedingungen vom Versicherungsschutz ausgeschlossen.
Was deckt eine Cyberversicherung ab?
Eine Cyberversicherung ersetzt Vermögensschäden, die durch eine Informationssicherheitsverletzung entstehen — also dadurch, dass Verfügbarkeit, Integrität oder Vertraulichkeit von Daten oder Systemen beeinträchtigt werden. So definieren es die Allgemeinen Versicherungsbedingungen für die Cyberrisiko-Versicherung (AVB Cyber), die der Gesamtverband der Deutschen Versicherungswirtschaft (GDV) als unverbindliches Muster veröffentlicht. Aktuell ist die Fassung vom Februar 2024 (Stand: September 2026). Die Bedingungen sind in Bausteine gegliedert:
- Service und Kosten: etwa Forensik und Schadenfeststellung nach einem Angriff.
- Drittschäden: Ansprüche Dritter, zum Beispiel nach einem Datenleck. Die Neufassung von 2024 schließt nach Angaben des GDV auch Schadenersatz nach der DSGVO ein.
- Eigenschäden: Betriebsunterbrechung und Wiederherstellung von Daten.
Das Muster hat Grenzen. Fällt ein externer Dienstleister wie ein Cloud-Anbieter aus und sind Daten nur nicht verfügbar, bleibt das ausgeschlossen; versichert ist, wenn dort gespeicherte Daten manipuliert, infiziert oder für Unbefugte zugänglich werden. Ausgeschlossen sind außerdem Krieg, bestimmte staatliche Angriffe und die Zahlung von Löse- oder Erpressungsgeldern. Einzelne Verträge können vom Muster abweichen, in beide Richtungen.
Welche IT-Maßnahmen setzen Versicherer voraus?
Die Anforderungen stehen an zwei Stellen: in den Obliegenheiten der Versicherungsbedingungen und in den Fragen des Antrags. Die AVB Cyber nennen in Abschnitt A1-16 fünf Bereiche. Der unverbindliche Muster-Fragebogen des GDV für kleine und mittlere Unternehmen fragt sie in ähnlicher Form ab; seine aktuelle Fassung hat den Stand Dezember 2019. Weitere Fragen zu Schulungen, Fernzugriff, Netztrennung und Notfallkonzept kommen je nach Risikokategorie und Geschäftsfeld hinzu. Die Tabelle fasst beides zusammen. Die Spalte „Technische Umsetzung“ ist unsere Empfehlung für einen kleinen Betrieb und geht an einigen Stellen über die Muster hinaus:
| Anforderung | Warum | Technische Umsetzung |
|---|---|---|
| Individuelle Zugänge und Passwortregeln | Nur persönliche Konten zeigen, wer was getan hat; schwache Passwörter sind ein Einfallstor | Persönliche Konten statt Sammelkonten, Mindestlänge technisch erzwungen, ein Passwortmanager im Unternehmen |
| Getrennte Administratorkonten | Administratorrechte im Alltag vergrößern den Schaden, wenn ein Konto übernommen wird | Eigenes Konto nur für Verwaltungsaufgaben, tägliche Arbeit ohne Administratorrechte |
| Zusätzlicher Schutz für Server und mobile Geräte | Aus dem Internet erreichbare Server werden ständig angegriffen, Notebooks gehen verloren | Firewall, zweiter Anmeldefaktor für Server, verschlüsselte Datenträger in Notebooks und Smartphones |
| Schutz gegen Schadsoftware | Schadsoftware soll erkannt werden, bevor sie Schaden anrichtet | Schutzsoftware mit automatischen Aktualisierungen; EDR (Endpoint Detection and Response) erkennt zusätzlich verdächtiges Verhalten und meldet es zentral |
| Zeitnahe Sicherheitsupdates | Mit jedem Update wird die zugrunde liegende Schwachstelle öffentlich bekannt | Automatische Updates für Arbeitsplätze, überwachte Updates für Server, Firewall und Netzwerkgeräte |
| Keine Systeme mit bekannten Lücken ohne Absicherung | Systeme ohne Herstellersupport bekommen keine Updates mehr | Ersetzen; wo das nicht geht, vom übrigen Netz trennen und abschotten |
| Datensicherung mindestens wöchentlich | Ohne Sicherung zieht sich eine Betriebsunterbrechung in die Länge | Automatische, besser tägliche Sicherung mit mehreren Generationen, siehe Backup-Konzept nach 3-2-1 |
| Sicherung vor Veränderung geschützt | Angreifer suchen gezielt nach Sicherungen und verschlüsseln sie mit | Eine Kopie offline oder unveränderbar; Backup-Server nicht in der zentralen Benutzerverwaltung; gesicherte Geräte dürfen Sicherungen nicht löschen |
| Wiederherstellung regelmäßig geprüft | Ohne Test sind Probleme bei der Wiederherstellung wahrscheinlicher | Wiederherstellungstest nach festem Turnus, Ergebnis mit Datum dokumentiert |
| Verschlüsselter Fernzugriff und Netztrennung | Offene WLANs lassen sich mitschneiden, ein Angriff soll nicht vom Arbeitsplatz auf die Server übergreifen | VPN mit zweitem Faktor, getrennte Netze für Server, Arbeitsplätze und Gäste |
| Schulung der Mitarbeitenden | Wenn die Technik Angreifer aufhält, weichen sie auf Täuschung aus | Regelmäßige kurze Schulungen zu Phishing und Meldewegen, Teilnahme festgehalten |
| Schriftliches Notfall- und Wiederanlaufkonzept | Wer vorbereitet ist, beendet eine Betriebsunterbrechung schneller | Notfallhandbuch mit benannten Verantwortlichen und Wiederanlaufreihenfolge, ausgedruckt hinterlegt |
Zur Multi-Faktor-Authentifizierung (MFA), also der Anmeldung mit einem zweiten Faktor wie einer App oder einem Sicherheitsschlüssel: In den GDV-Mustern erscheint sie nur als Beispiel für zusätzlichen Schutz — bei Servern, die aus dem Internet erreichbar sind, und im Fragebogen auch bei mobilen Geräten — sowie als Frage zum Fernzugriff auf vernetzte Produktionsanlagen. Fragebögen einzelner Versicherer können weiter gehen und MFA ausdrücklich für E-Mail, Fernzugriff und Administratorkonten abfragen. Unabhängig vom Vertrag empfiehlt das BSI, Administratorkonten zum Beispiel mit Zwei-Faktor-Authentisierung zu schützen. Für Microsoft 365 steht die Umsetzung im Ratgeber Microsoft 365 absichern.
Was passiert bei falschen Angaben im Antrag?
Vor Vertragsschluss müssen Sie alle Ihnen bekannten Gefahrumstände angeben, nach denen der Versicherer in Textform gefragt hat. So regelt es § 19 des Versicherungsvertragsgesetzes (VVG), und der Risikofragebogen ist genau diese Frage in Textform. Wer dort eine wöchentliche, getrennt aufbewahrte Datensicherung bejaht, die es nicht gibt, verletzt die Anzeigepflicht.
Die Folgen hängen vom Verschulden ab. Bei Vorsatz oder grober Fahrlässigkeit kann der Versicherer vom Vertrag zurücktreten; nach den GDV-Musterbedingungen besteht dann auch für die Vergangenheit kein Versicherungsschutz. Tritt er erst nach einem Schadenfall zurück, muss er trotzdem leisten, wenn Sie nachweisen, dass der falsch angegebene Umstand für den Schaden nicht ursächlich war — außer bei Arglist. Bei grober Fahrlässigkeit ist der Rücktritt ausgeschlossen, wenn der Versicherer den Vertrag auch bei Kenntnis der Umstände geschlossen hätte, wenn auch zu anderen Bedingungen; diese können dann rückwirkend Vertragsbestandteil werden. Bei einfacher Fahrlässigkeit oder ohne Verschulden bleibt ihm ein Kündigungsrecht mit einer Frist von einem Monat, sofern er den Vertrag nicht auch zu anderen Bedingungen geschlossen hätte.
Füllen Sie den Fragebogen deshalb nicht allein aus, sondern gemeinsam mit der Person, die Ihre IT tatsächlich kennt. Beantworten Sie jede Frage so, wie es heute ist, nicht so, wie es geplant ist. Legen Sie eine Kopie des ausgefüllten Fragebogens zur IT-Dokumentation — im Schadenfall wird die Frage, was damals angegeben wurde, wieder wichtig.
Welche Pflichten gelten während der Vertragslaufzeit?
Mit dem Vertrag werden die Sicherheitsanforderungen zu Obliegenheiten, also zu Pflichten, deren Verletzung Folgen für die Leistung hat. In den AVB Cyber sind das die Maßnahmen aus der Tabelle. Dazu kommen die Pflicht, alle gesetzlichen, behördlichen und vertraglich vereinbarten Sicherheitsvorschriften einzuhalten, und die Pflicht, besonders gefahrdrohende Umstände auf Verlangen des Versicherers zu beseitigen.
Die Rechtsfolgen regelt § 28 VVG. Bei vorsätzlicher Verletzung ist der Versicherer leistungsfrei. Bei grober Fahrlässigkeit darf er die Leistung im Verhältnis zur Schwere des Verschuldens kürzen, und den Beweis, dass keine grobe Fahrlässigkeit vorlag, muss der Versicherungsnehmer führen. Leisten muss der Versicherer dennoch, soweit die Verletzung für den Schaden nicht ursächlich war, außer bei Arglist. Zusätzlich kann er den Vertrag nach einer vorsätzlichen oder grob fahrlässigen Verletzung binnen eines Monats kündigen.
Ein denkbarer Fall: Die Datensicherung läuft seit Monaten nicht mehr, weil ein Speicher voll ist, und niemand hat es bemerkt. Wird der Betrieb dann verschlüsselt, ist genau diese Obliegenheit berührt. Eine Überwachung der Sicherung mit Alarmierung ist deshalb keine technische Spielerei, sondern Teil des Versicherungsschutzes.
Was müssen Sie im Schadenfall tun?
Auch nach einem Angriff gelten Obliegenheiten. Die AVB Cyber regeln sie in Abschnitt B3-3:
- Unverzüglich anzeigen: den Schadeneintritt, sobald Sie davon wissen; Tatsachen, die zu Ansprüchen Dritter führen könnten, binnen einer Woche.
- Schaden mindern und Weisungen einholen: nach Möglichkeit für Abwendung und Minderung sorgen, Weisungen des Versicherers einholen und befolgen, soweit zumutbar.
- Schadenbild erhalten: unverändert lassen, bis der Versicherer eine Veränderung gestattet; unumgängliche Veränderungen nachvollziehbar dokumentieren.
- Auskunft geben: jede Auskunft erteilen, die zur Feststellung des Schadens nötig ist, Belege beibringen und Untersuchungen gestatten.
- Verfahren melden: Wird ein staatsanwaltschaftliches, behördliches oder gerichtliches Verfahren eingeleitet, ist auch das unverzüglich anzuzeigen.
Einerseits sollen betroffene Systeme sofort vom Netz, andererseits soll das Schadenbild erhalten bleiben. Beides passt zusammen, wenn Sie trennen statt ausschalten und jeden Schritt protokollieren. Wie die ersten Stunden im Einzelnen ablaufen, beschreibt der Ratgeber Ransomware: die ersten 24 Stunden. Tragen Sie die Schadenhotline Ihres Versicherers mit Vertragsnummer in den Notfallplan ein.
Wie bereiten Sie den Antrag vor?
Bedingungen und Fragebogen anfordern
Lassen Sie sich vor dem Antrag die vollständigen Bedingungen und den Fragebogen geben, nicht nur ein Angebot mit Beitrag und Versicherungssumme.
Ist-Zustand aufnehmen
Gehen Sie jede Frage mit Ihrem IT-Dienstleister durch und halten Sie fest, was heute umgesetzt ist — mit Beleg, etwa den Protokollen der Datensicherung oder einer Liste der Konten mit zweitem Faktor.
Lücken schließen oder offen angeben
Was fehlt, wird vor dem Antrag umgesetzt oder wahrheitsgemäß verneint. Ein Nein führt vielleicht zu anderen Bedingungen, ein falsches Ja kann im Ernstfall den Schutz kosten.
Unklare Begriffe klären
Was heißt „zeitnah“ bei Updates, was „regelmäßig“ bei Wiederherstellungstests? Lassen Sie das vor der Unterschrift schriftlich klären.
Jährlich nachprüfen
Obliegenheiten gelten während der gesamten Laufzeit. Prüfen Sie einmal im Jahr, ob alle Maßnahmen noch so umgesetzt sind wie angegeben.
Dieser Ratgeber erklärt die technische Seite und die Musterbedingungen, er ersetzt keine Rechtsberatung. Welche Bedingungen für Ihren Vertrag gelten und wie einzelne Formulierungen auszulegen sind, klären Sie im Einzelfall mit Ihrem Versicherungsmakler oder Versicherer, bei einem Streit mit einem Rechtsanwalt. Die technische Umsetzung — Datensicherung mit Wiederherstellungstests, Updates, Überwachung — gehört bei uns zur IT-Betreuung.
Wann lohnt sich eine Cyberversicherung?
Eine Cyberversicherung ersetzt keine IT-Sicherheit, sie setzt sie voraus. Sinnvoll ist sie vor allem, wenn ein Ausfall Ihren Betrieb teuer zu stehen käme, wenn Sie viele Kundendaten verarbeiten oder wenn Kunden einen Versicherungsnachweis verlangen. Wer die Grundlagen aus der Tabelle noch nicht umgesetzt hat, sollte dort anfangen: Diese Maßnahmen verringern das Risiko unabhängig davon, ob eine Police besteht, und sie sind ohnehin die Voraussetzung dafür, dass die Versicherung im Ernstfall zahlt.
Passende Leistung
IT-Betreuung & Managed Services
Wir setzen die Maßnahmen um, nach denen Versicherer fragen — Datensicherung mit Wiederherstellungstests, Updates, Monitoring mit Alarmierung — und halten den Zustand in regelmäßigen Statusberichten fest.
Wir antworten innerhalb von 24 Stunden — 7 Tage die Woche, auch an Feiertagen.
Quellen und Stand
- GDV — Allgemeine Versicherungsbedingungen für die Cyberrisiko-Versicherung (AVB Cyber), Stand Februar 2024
- GDV — Unverbindlicher Muster-Fragebogen zur Risikoerfassung für kleine und mittelständische Unternehmen, Stand Dezember 2019
- GDV — Versicherungsschutz gegen Cyberangriffe: GDV veröffentlicht neue Musterbedingungen
- gesetze-im-internet.de — § 19 VVG: Anzeigepflicht
- gesetze-im-internet.de — § 28 VVG: Verletzung einer vertraglichen Obliegenheit
Stand der Angaben: . Preise, Fristen und Programme ändern sich; maßgeblich ist jeweils die verlinkte Quelle. Der Artikel ersetzt keine Rechts- oder Steuerberatung.
Über den Autor
Felix Lange
Mitgründer und Geschäftsführer, Technik, Rentavo-Services
Verantwortlich für Architektur, Entwicklung und Qualitätssicherung. Baut die Systeme, die wir bei unseren Kunden betreiben — und betreibt sie auch selbst.
- ISTQB Certified Tester, Foundation Level 4.0
- Ausbildung zum Fachinformatiker für Anwendungsentwicklung
- Studium Wirtschaftsingenieurwesen
Häufige Fragen
Die Kurzfassung zu den Fragen, die an dieser Stelle am häufigsten gestellt werden.
Brauche ich für eine Cyberversicherung Multi-Faktor-Authentifizierung?
Das hängt vom Vertrag ab. In den unverbindlichen GDV-Musterbedingungen ist die Zwei-Faktor-Authentifizierung ein Beispiel für zusätzlichen Schutz bei Servern, die aus dem Internet erreichbar sind, keine allgemeine Pflicht. Fragebögen einzelner Versicherer können MFA für E-Mail, Fernzugriff und Administratorkonten ausdrücklich abfragen. Unsere Empfehlung unabhängig vom Vertrag: ein zweiter Faktor mindestens für Administratorkonten, E-Mail und Fernzugänge.
Zahlt die Cyberversicherung, wenn wir grob fahrlässig gehandelt haben?
Möglicherweise nur teilweise. Nach § 28 VVG darf der Versicherer bei grob fahrlässiger Verletzung einer Obliegenheit seine Leistung im Verhältnis zur Schwere des Verschuldens kürzen, bei Vorsatz ist er leistungsfrei. Leisten muss er trotzdem, soweit die Verletzung für den Schaden nicht ursächlich war. Wie das im Einzelfall ausgeht, ist eine Rechtsfrage; für die Vorsorge zählt, die Obliegenheiten zu erfüllen und das belegen zu können.
Übernimmt die Cyberversicherung ein Lösegeld?
In den GDV-Musterbedingungen nicht: Die Zahlung von Löse- oder Erpressungsgeldern ist dort ausdrücklich vom Versicherungsschutz ausgeschlossen. Einzelne Verträge können abweichen, maßgeblich ist Ihre Police. Unabhängig davon rät das BSI grundsätzlich davon ab, auf Erpressungen einzugehen, und empfiehlt stattdessen die Wiederherstellung aus sauberen Datensicherungen.
Was ist der Unterschied zwischen Anzeigepflicht und Obliegenheit?
Die Anzeigepflicht gilt vor Vertragsschluss: Sie müssen die Fragen des Versicherers zu Gefahrumständen wahrheitsgemäß beantworten, geregelt in § 19 VVG. Obliegenheiten gelten während des Vertrags: Sie müssen die vereinbarten Sicherheitsmaßnahmen einhalten und im Schadenfall die vereinbarten Pflichten erfüllen, die Folgen regelt § 28 VVG. Eine falsche Antwort im Antrag und eine später eingeschlafene Datensicherung sind also zwei verschiedene Risiken für den Versicherungsschutz.
Reicht ein Virenscanner als Schutz gegen Schadsoftware?
Im GDV-Muster genügt ein Schutz, dessen Schutzniveau automatisch aktuell gehalten wird; als Beispiele nennen die Bedingungen Virenscanner, Code Signing oder eine Application Firewall. Fragebögen einzelner Versicherer können nach weitergehenden Lösungen wie EDR fragen. Das BSI weist darauf hin, dass unter Virenschutz in der Praxis eine vollständige Sicherheitsarchitektur zu verstehen ist, die Endgeräte, Server, Gateways und E-Mail umfasst.