# Cyberversicherung in Österreich: Schutz vor Stillstand und Datenleck

> Ab 1. Oktober 2026 gilt in Österreich das NISG 2026, und damit wird Cybersicherheit für tausende Betriebe zur Pflicht der Geschäftsführung. Die Cyberversicherung ersetzt keine Schutzmaßnahme, aber sie zahlt, wenn trotzdem etwas passiert: Forensik, Wiederherstellung, Betriebsunterbrechung und Ansprüche Dritter. Für Gewerbebetriebe, Praxen und Kanzleien ist sie heute so selbstverständlich wie die Feuerversicherung.

Quelle/Source: https://nammert.at/versicherungsmakler-cyber.php  
Stand: 2026-09-18

## Was kostet eine Cyberversicherung für einen österreichischen Betrieb?

Das hängt vor allem von Umsatz, Branche und dem Stand Ihrer IT-Sicherheit ab, eine seriöse Pauschalzahl gibt es nicht. Ein Dienstleister mit wenigen Mitarbeitern und gutem Grundschutz zahlt einen Bruchteil dessen, was ein Onlinehändler mit vielen Kartendaten zahlt. Entscheidend für den Preis sind offline gelagerte Datensicherungen, Zwei-Faktor-Anmeldung und regelmäßige Updates. Wer diese Punkte erfüllt, bekommt bessere Konditionen und mehr Auswahl.

## Auf einen Blick

- **Pflicht?:** Nein; das NISG 2026 verlangt aber Risikomanagement
- **NISG 2026:** in Kraft ab 1. Oktober 2026, Registrierung binnen drei Monaten
- **Datenleck melden:** binnen 72 Stunden an die Datenschutzbehörde
- **Kern der Leistung:** Soforthilfe, Eigenschaden, Ertragsausfall, Haftpflicht
- **Vertragsdauer:** meist ein Jahr mit automatischer Verlängerung

## Das NISG 2026: wen es trifft

Österreich hat die NIS-2-Richtlinie mit dem Netz- und Informationssystemsicherheitsgesetz 2026 umgesetzt. Der Nationalrat hat es im Dezember 2025 beschlossen, voll anwendbar ist es ab 1. Oktober 2026. Erfasst sind mittlere und große Unternehmen in den 18 Sektoren der Anlagen des Gesetzes, also ab 50 Beschäftigten oder mehr als 10 Mio. € Umsatz und Bilanzsumme. Sie müssen sich binnen drei Monaten bei der Cybersicherheitsbehörde registrieren, Risikomanagement nachweisen und Vorfälle melden.

Die Verantwortung liegt ausdrücklich bei der Geschäftsleitung. Sie muss die Maßnahmen genehmigen, ihre Umsetzung überwachen und sich schulen lassen. Wer das vernachlässigt, riskiert Strafen und persönliche Haftung. Eine Cyberversicherung beweist dabei nichts, aber der Risikofragebogen des Versicherers ist eine brauchbare erste Bestandsaufnahme.

## DSGVO und Datenschutzbehörde

Auch Betriebe außerhalb des NISG sind betroffen, sobald sie personenbezogene Daten verarbeiten, also praktisch alle. Nach einer Verletzung des Datenschutzes ist die österreichische Datenschutzbehörde binnen 72 Stunden zu verständigen, bei hohem Risiko auch die betroffenen Personen. Kunden können Schadenersatz verlangen, auch für immaterielle Schäden.

Eine gute Polizze zahlt die Rechtsberatung für diese Meldungen, die Verständigung der Betroffenen und die Abwehr unberechtigter Ansprüche. Ob Verwaltungsstrafen versicherbar sind, ist rechtlich heikel; verlassen Sie sich nicht darauf.

## Was eine Polizze in der Praxis wert ist

Der eigentliche Nutzen zeigt sich in der ersten Nacht. Wer eine Hotline anrufen kann, hinter der Forensiker und Juristen bereitstehen, verliert keine Zeit mit der Suche nach Hilfe. Deshalb lohnt der Blick darauf, ob diese Soforthilfe ohne vorherige Deckungszusage beginnt und wer sie leistet.

Der größte Posten ist in der Regel der Ertragsausfall. Achten Sie auf die Haftzeit, also wie viele Monate der Ausfall ersetzt wird, und auf die Wartezeit, ab der die Zahlung einsetzt. Zwölf Stunden Wartezeit und zwölf Monate Haftzeit sind ein anderer Vertrag als drei Tage und drei Monate.

## Was versichert ist

- Soforthilfe über eine durchgehend erreichbare Notfallnummer
- Forensische Untersuchung und Bereinigung der Systeme
- Wiederherstellung von Daten und Programmen
- Ertragsausfall während der Betriebsunterbrechung
- Juristische Begleitung bei Meldungen an die Datenschutzbehörde
- Verständigung betroffener Kunden und Mitarbeiter
- Schadenersatzansprüche Dritter wegen Datenschutzverletzung
- PR-Beratung zur Schadensbegrenzung am Ruf
- Kosten einer Erpressung, je nach Polizze

## Was nicht versichert ist

- Bereits bekannte, nicht behobene Sicherheitslücken
- Vorsätzlich verursachte Schäden
- Ausfall von Strom, Telekommunikation oder Internet beim Netzbetreiber
- Kriegsereignisse und staatliche Angriffe laut Kriegsklausel
- Modernisierung der IT über den früheren Stand hinaus
- Verwaltungsstrafen, soweit nicht versicherbar

## Wer sie braucht

- Gewerbebetriebe, deren Abläufe an Computern und Registrierkasse hängen
- Arztpraxen, Rechtsanwälte, Notare und Steuerberater
- Webshops und Betriebe mit Online-Buchung
- Unternehmen, die unter das NISG 2026 fallen, und ihre Zulieferer
- Produktionsbetriebe mit vernetzten Maschinen

## Was sie kostet

Österreichische Versicherer kalkulieren die Prämie nach Umsatz, Branche und IT-Reifegrad. Unabhängige Preisvergleiche für Firmenkunden sind in Österreich nicht veröffentlicht, deshalb nennen wir keine Beträge. Zur Prämie kommt die Versicherungssteuer.

**Wovon der Beitrag abhängt:**

- Jahresumsatz und Mitarbeiterzahl
- Branche und Menge sensibler Daten
- Versicherungssumme und Selbstbehalt
- Datensicherung, Zwei-Faktor-Anmeldung, Updates
- Haftzeit und Wartezeit beim Ertragsausfall
- Frühere Vorfälle

_Die Prämie steht erst im Angebot fest, nach Prüfung des Fragebogens durch den Versicherer._

## Die Tariflinien am Markt

- **Einstieg für Kleinbetriebe:** Pauschalpolizzen mit wenigen Fragen, Summen im unteren sechsstelligen Bereich, Notfallhilfe und Haftpflicht inklusive, Ertragsausfall mit kurzer Haftzeit.
- **KMU-Polizze:** Höhere Summen, längere Haftzeit, Bausteine für Zahlungsbetrug und Ausfall von IT-Dienstleistern. Individuelle Prüfung, oft mit kurzem Gespräch.
- **Großkunden und NISG-Einrichtungen:** Individuelle Deckung über mehrere Versicherer, Risikodialog mit technischer Prüfung, abgestimmt auf die übrigen Betriebsversicherungen.

## Woran Sie einen guten Tarif erkennen

| Kriterium | Mindeststandard | Starker Tarif | Warum das zählt |
| --- | --- | --- | --- |
| Soforthilfe | Hotline werktags | durchgehend, Einsatz ohne vorherige Deckungszusage | Angriffe passieren bevorzugt am Wochenende und in der Nacht. |
| Haftzeit Ertragsausfall | drei Monate | zwölf Monate | Kunden kommen nicht zurück, sobald die Server laufen. |
| Wartezeit | 72 Stunden | zwölf Stunden oder weniger | Für einen Handelsbetrieb sind drei Tage ohne Kasse ein voller Schaden, den sonst niemand trägt. |
| IT-Dienstleister | nicht versichert | Angriff beim Dienstleister löst Ertragsausfall aus | Wer Software aus der Cloud bezieht, steht still, wenn der Anbieter angegriffen wird. |
| Fahrlässigkeit | grobe Fahrlässigkeit ausgeschlossen | auch grobe Fahrlässigkeit von Mitarbeitern versichert | Der Klick auf den falschen Anhang ist der Normalfall, nicht die Ausnahme. |
| Zahlungsbetrug | nicht enthalten | gefälschte Überweisungsaufträge und Rechnungen versichert | Geänderte Kontodaten in einer echten Lieferantenmail sind schwer zu erkennen. |
| Rückwärtsdeckung | keine | unbekannte Vorfälle vor Beginn eingeschlossen | Ein Eindringling bleibt oft lange unbemerkt. |

## Anbieter im Überblick

In Österreich bieten die großen Sachversicherer Cyberpolizzen für Betriebe an, dazu Spezialversicherer. Die Liste ist ein Marktüberblick ohne Wertung.

- **UNIQA**: börsennotierte österreichische Versicherungsgruppe, Firmenkunden über Außendienst und Makler
- **Generali Versicherung**: Teil der italienischen Generali-Gruppe
- **Allianz Elementar**: österreichische Tochter des Allianz-Konzerns
- **Wiener Städtische**: Teil der Vienna Insurance Group
- **Zurich Versicherung**: österreichische Gesellschaft der Zurich Insurance Group
- **Hiscox**: Spezialversicherer aus dem Londoner Markt, Vertrieb über Makler
- **Donau Versicherung**: Teil der Vienna Insurance Group

## Typische Schäden und wer zahlt

- **Registrierkasse von Schadsoftware lahm** (Umsatz mehrerer Tage plus rund 1.000 € Technik): Die Wiederherstellung zahlen beide Tarife. Den entgangenen Umsatz ersetzt die einfache Polizze nur nach langer Wartezeit oder gar nicht.
- **Gefälschte Lieferantenrechnung bezahlt** (meist fünfstellig): Wer auf eine manipulierte IBAN überweist, hat einen Vermögensschaden durch Täuschung. Nur starke Polizzen decken das, meist mit eigenem Limit.
- **Hotelbuchungen weg in der Hochsaison** (Ertragsausfall fünf- bis sechsstellig): In der Hochsaison zählt jeder Tag. Starke Polizzen haben kurze Wartezeiten und lange Haftzeiten, einfache ersetzen oft nur wenige Wochen.
- **Webshop verliert Kundendaten** (rund 10.000 bis 50.000 € für Juristen und Verständigung): Datenschutzverletzungen mit Meldung an die Datenschutzbehörde sind der Grundfall jeder Cyberpolizze.
- **Stromausfall im ganzen Tal** (Ertrag der Ausfalltage): Fällt die öffentliche Versorgung aus, ist das kein Cyberschaden. Dafür helfen nur Notstrom oder eine eigene Betriebsunterbrechungsdeckung.
- **Ex-Mitarbeiter löscht die Kundendatei** (rund 5.000 bis 30.000 € Wiederherstellung): Innentäter sind in guten Polizzen mitversichert, solange es nicht die Geschäftsführung ist. Einfache Tarife begrenzen das oder zahlen nur die Datenrettung.

## Mythos oder Wahrheit

- „Eine Cyberpolizze zahlt auch, wenn der Angriff aus dem Ausland kommt." ✔ Ja, die Herkunft des Täters spielt keine Rolle. Ausgenommen sind nur Angriffe, die einem Staat zuzurechnen sind und unter die Kriegsklausel fallen.
- „Mein IT-Betreuer haftet ohnehin für jeden Hackerangriff." ✘ Nein. Er haftet nur, wenn man ihm einen konkreten Fehler nachweist, und viele Wartungsverträge begrenzen die Haftung stark. Der Schaden bleibt bis dahin beim Betrieb.
- „Ein langes Passwort mit Sonderzeichen reicht als Schutz." ✘ Nein. Gestohlene Passwörter werden gekauft, nicht erraten. Erst die Anmeldung mit zweitem Faktor macht sie wertlos, und viele Versicherer verlangen das inzwischen vor Abschluss.
- „Auch ein Einpersonenunternehmen kann eine Cyberpolizze abschließen." ✔ Ja. Es gibt Pakete für EPU mit kleinen Summen, oft kombiniert mit Soforthilfe. Gerade wer allein arbeitet, hat niemanden, der die IT im Ernstfall wieder aufsetzt.
- „Wer im Fragebogen Backups angibt, die es nicht gibt, riskiert den ganzen Schutz." ✔ Stimmt. Falsche Angaben vor Vertragsabschluss erlauben dem Versicherer nach dem VersVG, die Leistung zu verweigern oder zurückzutreten. Lieber eine Lücke ehrlich angeben und schließen.

## Häufige Fehler beim Abschluss

- Den Risikofragebogen ohne den IT-Betreuer ausfüllen
- Die Datensicherung im selben Netzwerk liegen lassen
- Nur auf die Prämie achten und die Wartezeit übersehen
- Annehmen, die Betriebshaftpflicht decke Datenschäden
- Die NISG-Registrierung aufschieben, weil man sich für zu klein hält, ohne es geprüft zu haben

## FAQ

### Fällt mein Unternehmen unter das NISG 2026?

Wenn Sie in einem der Sektoren der Gesetzesanlagen tätig sind und mindestens 50 Beschäftigte oder mehr als 10 Mio. € Umsatz und Bilanzsumme haben, sehr wahrscheinlich ja. Einige Einrichtungen sind unabhängig von der Größe erfasst. Die Wirtschaftskammer bietet Orientierung, verbindlich prüfen sollte das ein Berater.

### Bis wann muss ich mich nach dem NISG registrieren?

Binnen drei Monaten ab Inkrafttreten am 1. Oktober 2026, also bis Ende 2026. Die Registrierung erfolgt bei der Cybersicherheitsbehörde. Unabhängig davon beginnen ab Oktober die Pflichten zu Risikomanagement und Meldung.

### Zahlt die Cyberversicherung, wenn ein Mitarbeiter auf einen Link klickt?

In einer guten Polizze ja, auch bei grober Fahrlässigkeit des Mitarbeiters. Prüfen Sie, ob die Bedingungen Fahrlässigkeit einschränken, denn genau so beginnen die meisten Angriffe.

### Ist die Registrierkasse mitversichert?

Wenn Kasse oder Kassensoftware durch einen Angriff ausfallen, zahlt die Cyberpolizze Wiederherstellung und Ertragsausfall. Den reinen Hardwaredefekt ohne Angriff deckt dagegen die Elektronikversicherung.

### Werden Strafen der Datenschutzbehörde übernommen?

Nur soweit das rechtlich zulässig ist, und das ist bei Verwaltungsstrafen umstritten. Sicher übernommen werden Kosten der rechtlichen Vertretung im Verfahren und berechtigte Schadenersatzansprüche Betroffener.

### Welche Versicherungssumme ist sinnvoll?

Schätzen Sie, was drei bis vier Wochen Stillstand kosten, und rechnen Sie Wiederherstellung und Haftpflicht dazu. Die Summe steht meist einmal pro Jahr für alle Schäden zur Verfügung, nicht je Fall.

### Muss ich vor Abschluss in IT investieren?

Häufig in den Grundschutz: getrennte Datensicherung, Zwei-Faktor-Anmeldung, aktuelle Updates und Virenschutz. Ohne diese Punkte lehnen viele Versicherer ab. Die Investition senkt zugleich das Risiko selbst.

### Wie kündige ich eine Cyberpolizze?

Betriebliche Polizzen laufen meist ein Jahr und verlängern sich stillschweigend, gekündigt wird schriftlich vor Ablauf nach der vereinbarten Frist. Nach einem Schadenfall haben beide Seiten ein Kündigungsrecht. Beim Wechsel darauf achten, dass kein Tag ohne Schutz bleibt.

### Warum eine Cyberversicherung über einen Makler?

Weil die Unterschiede in Klauseln stecken, die man erst im Schadenfall liest: Wartezeit, Dienstleisterausfall, Kriegsausschluss. Wir vergleichen die Bedingungen für Sie und vertreten Ihre Seite gegenüber dem Versicherer.

## Angebot anfordern

Wir holen Angebote ein und melden uns mit einem Vergleich. Kostenlos und ohne Verpflichtung, die Vergütung zahlt der Versicherer. https://nammert.at/versicherungsmakler-cyber.php#anfrage

---

NAMMERT Assekuradeur GmbH mit Sitz in Deutschland, Versicherungsmakler mit Erlaubnis nach § 34d Abs. 1 GewO, Vermittlerregister D-C08Q-TOSD4-37, in Österreich tätig im Rahmen der Dienstleistungsfreiheit. Bei Boots- und Yachtversicherungen sind wir Assekuradeur und nicht Makler.

NAMMERT Assekuradeur GmbH, Karl-Marx-Straße 4, 15711 Königs Wusterhausen, +49 3375 29 12 77, info@nammert.com. Wikidata: Q141141479.