Warum die Anforderungen strenger geworden sind
Über Jahre sind die Schadenszahlungen der Cyberversicherer durch Ransomware-Angriffe stark gestiegen. Versicherer haben darauf reagiert: Was früher eine Selbstauskunft im Antragsformular war, verlangt heute belastbare Nachweise.
Wer die gängigen Mindestanforderungen nicht erfüllen kann, bekommt entweder gar kein Angebot, hohe Selbstbehalte, Ausschlüsse für zentrale Risiken — oder eine Police, die im Schadensfall wegen unzutreffender Angaben wackelt: Bei einer Verletzung der vorvertraglichen Anzeigepflicht kann der Versicherer je nach Verschulden zurücktreten, kündigen oder den Vertrag anpassen (§ 19 VVG); nach einem Rücktritt im Schadensfall kann er leistungsfrei sein (§ 21 VVG). Bei arglistiger Täuschung ist zusätzlich die Anfechtung möglich (§ 22 VVG). Besonders unangenehm: Die Folgen zeigen sich typischerweise erst im Ernstfall, wenn das Geld am dringendsten gebraucht wird.
Wichtig zu verstehen: Eine Cyberversicherung ersetzt keine IT-Sicherheit — sie setzt sie voraus. Die Anforderungen der Versicherer orientieren sich inzwischen stark an dem, was ohnehin als grundlegender Schutz gilt — etwa im Maßnahmenkatalog Ransomware des BSI.
Die Mindestanforderungen im Überblick
Die genaue Ausgestaltung variiert je nach Versicherer und Deckungssumme. Schon die unverbindlichen Musterbedingungen des GDV (AVB Cyber) nennen als Obliegenheiten unter anderem individuelle Nutzerzugänge, auf Administratoren beschränkte Admin-Zugänge, aktuellen Schutz vor Schadsoftware, ein Patch-Management und mindestens wöchentliche Datensicherungen. Diese acht Punkte tauchen in nahezu jedem Sicherheitsfragebogen auf:
Multi-Faktor-Authentifizierung
Auf allen Remote-Zugängen verpflichtend — VPN, E-Mail, Admin-Konten. Der häufigste Einzelgrund für eine Ablehnung oder einen Risikoausschluss, wenn sie fehlt.
Endpoint Detection & Response (EDR)
Klassische, signaturbasierte Virenscanner reichen vielen Versicherern nicht mehr als Nachweis — gefordert wird verhaltensbasierte Erkennung auf allen Endgeräten.
Getestete, unveränderliche Backups
Entscheidend ist nicht nur, dass Backups existieren, sondern dass sie regelmäßig und nachweislich wiederhergestellt werden — und vor Verschlüsselung durch Ransomware geschützt sind.
Dokumentiertes Patch-Management
Ein nachvollziehbarer Prozess dafür, wie und wie schnell kritische Sicherheitsupdates eingespielt werden.
Eingeschränkte Admin-Rechte
Privilegierte Konten gelten als besonders lohnendes Angriffsziel und müssen entsprechend abgesichert und in ihrer Zahl begrenzt sein.
Dokumentierter Incident-Response-Plan
Nicht nur auf Papier vorhanden, sondern mit klaren Rollen und im Idealfall mindestens einmal durchgespielt.
Regelmäßige Penetrationstests
Zunehmend jährlich gefordert, um zu belegen, dass die tatsächliche Angriffsfläche geprüft und nicht nur angenommen wird.
E-Mail-Sicherheit & Security Awareness
Technische E-Mail-Filterung kombiniert mit regelmäßigen Security-Awareness-Schulungen, da Phishing weiterhin der häufigste Einstiegspunkt für Angriffe ist.
Der Sicherheitsfragebogen: Worauf Versicherer achten
Vor Vertragsabschluss steht ein umfangreicher Sicherheitsfragebogen (der GDV stellt dafür einen Muster-Fragebogen für KMU bereit) — teils mit über 50 Einzelfragen zu technischen und organisatorischen Maßnahmen. Entscheidend ist dabei nicht nur, was angekreuzt wird, sondern ob die Angaben im Ernstfall standhalten.
„Wir haben MFA“ reicht nicht, wenn MFA etwa in Microsoft 365 nur für einen Teil der Konten aktiv ist. Manche Versicherer verlangen inzwischen zusätzlich technische Nachweise oder lassen vor Abschluss einen externen Sicherheitsscan durchführen, statt sich allein auf Selbstauskünfte zu verlassen.
Unpräzise oder überoptimistische Angaben sind der häufigste Grund für spätere Leistungsverweigerung. Wird eine Maßnahme im Fragebogen bejaht, die tatsächlich nur teilweise umgesetzt ist — etwa MFA für Admins, aber nicht für alle Mitarbeitenden — kann das im Schadensfall als Obliegenheitsverletzung gewertet werden.
Was passiert, wenn Anforderungen nicht erfüllt sind
Je nach Umfang der Lücke reagieren Versicherer unterschiedlich:
So bereiten Sie sich vor
Fehlt im Unternehmen eine feste Zuständigkeit für Informationssicherheit, kann ein externer Informationssicherheitsbeauftragter die folgenden Schritte koordinieren und die Nachweise für den Versicherer bündeln.
Versicherungsfähig werden, bevor der Fragebogen kommt
Wir schaffen die technischen Voraussetzungen, die Versicherer verlangen — und liefern die Nachweise, die im Sicherheitsfragebogen tatsächlich standhalten.
Sicherheitscheck anfragenQuellen
- Allgemeine Versicherungsbedingungen für die Cyberrisiko-Versicherung (AVB Cyber), Musterbedingungen, Stand Februar 2024 – insb. A1-16 Obliegenheiten zur IT-Sicherheit — Gesamtverband der Deutschen Versicherungswirtschaft (GDV)
- Unverbindlicher Muster-Fragebogen zur Risikoerfassung im Rahmen von Cyber-Versicherungen für KMU — Gesamtverband der Deutschen Versicherungswirtschaft (GDV)
- Maßnahmenkatalog Ransomware (Arbeitspapier) — Bundesamt für Sicherheit in der Informationstechnik (BSI)
- § 19 VVG – Anzeigepflicht — Versicherungsvertragsgesetz, gesetze-im-internet.de (Bundesamt für Justiz)
- § 21 VVG – Ausübung der Rechte des Versicherers — Versicherungsvertragsgesetz, gesetze-im-internet.de (Bundesamt für Justiz)
- § 22 VVG – Arglistige Täuschung — Versicherungsvertragsgesetz, gesetze-im-internet.de (Bundesamt für Justiz)
- § 28 VVG – Verletzung einer vertraglichen Obliegenheit — Versicherungsvertragsgesetz, gesetze-im-internet.de (Bundesamt für Justiz)
Häufige Fragen zur Cyberversicherung
Welche IT-Sicherheitsmaßnahmen verlangen Cyberversicherungen 2026 mindestens?
Zu den regelmäßig geforderten Mindestanforderungen zählen Multi-Faktor-Authentifizierung auf allen Remote-Zugängen, Endpoint Detection & Response auf allen Endgeräten, getestete und unveränderliche Backups, ein dokumentiertes Patch-Management, eingeschränkte Admin-Rechte sowie ein eingeübter Incident-Response-Plan. Bei höheren Deckungssummen kommen häufig regelmäßige Penetrationstests hinzu.
Ist MFA wirklich Pflicht für den Versicherungsabschluss?
Bei den meisten Anbietern ja — zumindest für alle Remote-Zugänge wie VPN, E-Mail und Administratorkonten. Fehlende MFA gehört zu den häufigsten Gründen, warum Versicherer einen Antrag ablehnen oder Ransomware-Schäden explizit vom Versicherungsschutz ausschließen.
Wie oft muss ich einen Penetrationstest durchführen lassen?
Eine pauschale Frist gibt es nicht, viele Versicherer verlangen aber inzwischen einen jährlichen Penetrationstest, insbesondere bei höheren Deckungssummen oder wenn kritische Systeme direkt aus dem Internet erreichbar sind. Der genaue Turnus richtet sich nach dem individuellen Vertrag und der Risikoklasse des Unternehmens.
Was passiert, wenn ich Angaben im Sicherheitsfragebogen falsch mache?
Falsche oder überoptimistische Angaben im Antrag sind einer der häufigsten Gründe für eine spätere Leistungsverweigerung. Stellt der Versicherer im Schadensfall fest, dass eine im Fragebogen bejahte Maßnahme tatsächlich nicht oder nicht vollständig umgesetzt war, kann er wegen Verletzung der vorvertraglichen Anzeigepflicht je nach Verschulden zurücktreten, kündigen oder den Vertrag anpassen (§ 19 VVG) und nach einem Rücktritt leistungsfrei sein (§ 21 VVG). Eine Anfechtung kommt bei arglistiger Täuschung in Betracht (§ 22 VVG) — und all das genau dann, wenn der Versicherungsschutz am dringendsten gebraucht wird.
Kann ich als kleines Unternehmen überhaupt eine bezahlbare Cyberversicherung bekommen?
Ja, aber der Preis und die Konditionen hängen direkt vom Sicherheitsniveau ab. Unternehmen, die die gängigen Mindestanforderungen bereits erfüllen, erhalten in der Regel deutlich günstigere Angebote und weniger Ausschlüsse als solche, die grundlegende Maßnahmen wie MFA oder Backup-Tests erst noch nachrüsten müssen.
Ersetzt eine Cyberversicherung IT-Sicherheitsmaßnahmen?
Nein. Eine Cyberversicherung deckt finanzielle Folgen eines Vorfalls ab, verhindert ihn aber nicht. Ohne funktionierende Grundschutzmaßnahmen bekommen Sie im Zweifel weder einen bezahlbaren Vertrag noch im Schadensfall die erwartete Leistung — Versicherung und IT-Sicherheit ergänzen sich, ersetzen sich aber nicht gegenseitig.
Weiterlesen
