Warum die Anforderungen strenger geworden sind
Über Jahre sind die Schadenszahlungen der Cyberversicherer durch Ransomware-Angriffe stark gestiegen. Versicherer haben darauf reagiert: Was früher eine Selbstauskunft im Antragsformular war, verlangt heute belastbare Nachweise.
Wer die gängigen Mindestanforderungen nicht erfüllen kann, bekommt entweder gar kein Angebot, hohe Selbstbehalte, Ausschlüsse für zentrale Risiken — oder eine Police, die im Schadensfall wegen unzutreffender Angaben angefochten werden kann. Genau dieser letzte Punkt ist besonders unangenehm: Die Anfechtung passiert typischerweise erst im Ernstfall, wenn das Geld am dringendsten gebraucht wird.
Wichtig zu verstehen: Eine Cyberversicherung ersetzt keine IT-Sicherheit — sie setzt sie voraus. Die Anforderungen der Versicherer orientieren sich inzwischen stark an dem, was ohnehin als grundlegender Schutz gilt.
Die Mindestanforderungen im Überblick
Die genaue Ausgestaltung variiert je nach Versicherer und Deckungssumme, doch diese acht Punkte tauchen in nahezu jedem Sicherheitsfragebogen auf:
Multi-Faktor-Authentifizierung
Auf allen Remote-Zugängen verpflichtend — VPN, E-Mail, Admin-Konten. Der häufigste Einzelgrund für eine Ablehnung oder einen Risikoausschluss, wenn sie fehlt.
Endpoint Detection & Response (EDR)
Klassische, signaturbasierte Virenscanner reichen vielen Versicherern nicht mehr als Nachweis — gefordert wird verhaltensbasierte Erkennung auf allen Endgeräten.
Getestete, unveränderliche Backups
Entscheidend ist nicht nur, dass Backups existieren, sondern dass sie regelmäßig und nachweislich wiederhergestellt werden — und vor Verschlüsselung durch Ransomware geschützt sind.
Dokumentiertes Patch-Management
Ein nachvollziehbarer Prozess dafür, wie und wie schnell kritische Sicherheitsupdates eingespielt werden.
Eingeschränkte Admin-Rechte
Privilegierte Konten gelten als besonders lohnendes Angriffsziel und müssen entsprechend abgesichert und in ihrer Zahl begrenzt sein.
Dokumentierter Incident-Response-Plan
Nicht nur auf Papier vorhanden, sondern mit klaren Rollen und im Idealfall mindestens einmal durchgespielt.
Regelmäßige Penetrationstests
Zunehmend jährlich gefordert, um zu belegen, dass die tatsächliche Angriffsfläche geprüft und nicht nur angenommen wird.
E-Mail-Sicherheit & Security Awareness
Technische E-Mail-Filterung kombiniert mit regelmäßigen Schulungen, da Phishing weiterhin der häufigste Einstiegspunkt für Angriffe ist.
Der Sicherheitsfragebogen: Worauf Versicherer achten
Vor Vertragsabschluss steht ein umfangreicher Sicherheitsfragebogen — teils mit über 50 Einzelfragen zu technischen und organisatorischen Maßnahmen. Entscheidend ist dabei nicht nur, was angekreuzt wird, sondern ob die Angaben im Ernstfall standhalten.
„Wir haben MFA“ reicht nicht, wenn MFA nur für einen Teil der Konten aktiv ist. Manche Versicherer verlangen inzwischen zusätzlich technische Nachweise oder lassen vor Abschluss einen externen Sicherheitsscan durchführen, statt sich allein auf Selbstauskünfte zu verlassen.
Unpräzise oder überoptimistische Angaben sind der häufigste Grund für spätere Leistungsverweigerung. Wird eine Maßnahme im Fragebogen bejaht, die tatsächlich nur teilweise umgesetzt ist — etwa MFA für Admins, aber nicht für alle Mitarbeitenden — kann das im Schadensfall als Obliegenheitsverletzung gewertet werden.
Was passiert, wenn Anforderungen nicht erfüllt sind
Je nach Umfang der Lücke reagieren Versicherer unterschiedlich:
So bereiten Sie sich vor
Versicherungsfähig werden, bevor der Fragebogen kommt
Wir schaffen die technischen Voraussetzungen, die Versicherer verlangen — und liefern die Nachweise, die im Sicherheitsfragebogen tatsächlich standhalten.
Sicherheitscheck anfragenHäufige Fragen zur Cyberversicherung
Welche IT-Sicherheitsmaßnahmen verlangen Cyberversicherungen 2026 mindestens?
Zu den regelmäßig geforderten Mindestanforderungen zählen Multi-Faktor-Authentifizierung auf allen Remote-Zugängen, Endpoint Detection & Response auf allen Endgeräten, getestete und unveränderliche Backups, ein dokumentiertes Patch-Management, eingeschränkte Admin-Rechte sowie ein eingeübter Incident-Response-Plan. Bei höheren Deckungssummen kommen häufig regelmäßige Penetrationstests hinzu.
Ist MFA wirklich Pflicht für den Versicherungsabschluss?
Bei den meisten Anbietern ja — zumindest für alle Remote-Zugänge wie VPN, E-Mail und Administratorkonten. Fehlende MFA gehört zu den häufigsten Gründen, warum Versicherer einen Antrag ablehnen oder Ransomware-Schäden explizit vom Versicherungsschutz ausschließen.
Wie oft muss ich einen Penetrationstest durchführen lassen?
Eine pauschale Frist gibt es nicht, viele Versicherer verlangen aber inzwischen einen jährlichen Penetrationstest, insbesondere bei höheren Deckungssummen oder wenn kritische Systeme direkt aus dem Internet erreichbar sind. Der genaue Turnus richtet sich nach dem individuellen Vertrag und der Risikoklasse des Unternehmens.
Was passiert, wenn ich Angaben im Sicherheitsfragebogen falsch mache?
Falsche oder überoptimistische Angaben im Antrag sind einer der häufigsten Gründe für eine spätere Leistungsverweigerung. Stellt der Versicherer im Schadensfall fest, dass eine im Fragebogen bejahte Maßnahme tatsächlich nicht oder nicht vollständig umgesetzt war, kann er die Police anfechten — genau dann, wenn der Versicherungsschutz am dringendsten gebraucht wird.
Kann ich als kleines Unternehmen überhaupt eine bezahlbare Cyberversicherung bekommen?
Ja, aber der Preis und die Konditionen hängen direkt vom Sicherheitsniveau ab. Unternehmen, die die gängigen Mindestanforderungen bereits erfüllen, erhalten in der Regel deutlich günstigere Angebote und weniger Ausschlüsse als solche, die grundlegende Maßnahmen wie MFA oder Backup-Tests erst noch nachrüsten müssen.
Ersetzt eine Cyberversicherung IT-Sicherheitsmaßnahmen?
Nein. Eine Cyberversicherung deckt finanzielle Folgen eines Vorfalls ab, verhindert ihn aber nicht. Ohne funktionierende Grundschutzmaßnahmen bekommen Sie im Zweifel weder einen bezahlbaren Vertrag noch im Schadensfall die erwartete Leistung — Versicherung und IT-Sicherheit ergänzen sich, ersetzen sich aber nicht gegenseitig.
Weiterlesen
