# Cyberversicherung: wenn der Angriff den Betrieb stilllegt

> Ein verschlüsselter Server legt einen Betrieb in wenigen Minuten lahm, und die Kosten entstehen nicht beim Angreifer, sondern bei Ihnen: Forensik, Wiederherstellung, Umsatzausfall, Ansprüche von Kunden. Die Cyberversicherung bündelt diese Eigen- und Drittschäden in einem Vertrag und stellt im Ernstfall Fachleute, die sofort arbeiten. Sie richtet sich an jeden Betrieb, der ohne seine IT nicht arbeiten kann.

Quelle/Source: https://www.nammert.com/versicherungsmakler-cyber.php  
Stand: 2026-09-18

## Braucht ein kleiner Betrieb überhaupt eine Cyberversicherung?

Ja, sobald der Betrieb ohne Rechner, E-Mail oder Kassensystem nicht mehr arbeiten kann. Angreifer suchen nicht gezielt große Firmen, sondern automatisiert offene Lücken, und kleine Betriebe haben selten eine eigene IT-Abteilung, die nachts reagiert. Die Betriebshaftpflicht und die Inhaltsversicherung zahlen für Datenverlust und Stillstand nach einem Angriff in aller Regel nicht. Den größten Wert hat oft nicht die Zahlung, sondern die Notfallhilfe in den ersten Stunden.

## Auf einen Blick

- **Pflicht?:** Nein, aber NIS-2 verlangt von vielen Firmen Risikomanagement
- **Typische Versicherungssumme:** 250.000 € bis 2 Mio. €, bei größeren Firmen mehr
- **Kern der Leistung:** Notfallhilfe, Eigenschäden, Betriebsunterbrechung, Haftpflicht
- **Meldefrist Datenpanne:** 72 Stunden an die Datenschutzbehörde (Art. 33 DSGVO)
- **Voraussetzung:** Mindeststandards wie Backups und Zwei-Faktor-Anmeldung

## Was nach einem Angriff wirklich Geld kostet

Das Lösegeld ist selten der größte Posten. Teurer wird der Stillstand: Aufträge ruhen, Personal wartet, Lieferfristen reißen. Dazu kommen IT-Forensiker, die feststellen, wie der Angreifer hereinkam und ob er noch im Netz sitzt, ein Anwalt für die Meldepflichten und oft die Neuaufsetzung ganzer Systeme.

Eine gute Cyberversicherung stellt deshalb zuerst Hilfe und erst danach Geld. Über eine Hotline, die rund um die Uhr erreichbar ist, kommen spezialisierte Dienstleister, die der Versicherer vorab beauftragt hat. Wer selbst erst einen Forensiker suchen muss, verliert die ersten, entscheidenden Stunden.

## NIS-2 und DSGVO: was die Geschäftsleitung schuldet

Seit dem 6. Dezember 2025 gilt in Deutschland das Umsetzungsgesetz zur NIS-2-Richtlinie, das Kernstück ist das neu gefasste BSI-Gesetz. Erfasst sind Firmen bestimmter Sektoren ab 50 Beschäftigten oder mehr als 10 Mio. € Umsatz und Bilanzsumme. Sie müssen sich beim BSI registrieren, Risikomanagement nachweisen und erhebliche Vorfälle in Stufen melden: Frühwarnung nach 24 Stunden, Meldung nach 72 Stunden, Abschlussbericht nach einem Monat. Die Geschäftsleitung muss die Maßnahmen billigen und überwachen und haftet dafür (§ 38 BSIG).

Unabhängig davon gilt für jeden Betrieb die DSGVO. Gelangen personenbezogene Daten in fremde Hände, ist die Aufsichtsbehörde binnen 72 Stunden zu informieren, oft auch die Betroffenen. Kunden und Beschäftigte können Schadensersatz verlangen, auch für immaterielle Schäden. Bußgelder reichen bis 20 Mio. € oder 4 Prozent des weltweiten Jahresumsatzes; ob sie versicherbar sind, ist in Deutschland umstritten, viele Tarife zahlen sie nur, soweit das rechtlich zulässig ist.

## Der Fragebogen entscheidet mit

Vor dem Vertrag fragt der Versicherer den IT-Stand ab: Backups, Zwei-Faktor-Anmeldung, Updates, Virenschutz, Schulungen. Diese Antworten sind vorvertragliche Anzeigen. Stimmen sie nicht, kann der Versicherer im Schadenfall die Leistung kürzen oder vom Vertrag zurücktreten. Den Bogen sollte deshalb derjenige ausfüllen, der die IT wirklich kennt, nicht die Buchhaltung.

Der Fragebogen ist zugleich eine kostenlose Prüfung. Wer bei einer Frage mit Nein antwortet, hat meist genau dort die Lücke, durch die Angreifer hereinkommen. Offline gelagerte Backups und Zwei-Faktor-Anmeldung für E-Mail und Fernzugang sind heute die Eintrittskarte in den Markt.

## Abgrenzung zu anderen Firmenpolicen

Die Elektronikversicherung zahlt, wenn Hardware durch Feuer, Wasser oder Überspannung kaputtgeht, nicht wenn Daten verschlüsselt werden. Die Betriebsunterbrechungsversicherung setzt meist einen Sachschaden voraus. Die Betriebshaftpflicht schließt Datenschäden weitgehend aus oder begrenzt sie eng. Erst die Cyberversicherung schließt diese Lücke, und ihre Bedingungen sollten zu den übrigen Verträgen passen, damit sich nichts doppelt oder gar nicht deckt.

## Was versichert ist

- Notfallhilfe über eine rund um die Uhr erreichbare Hotline
- IT-Forensik: Ursache finden, Angreifer aussperren, Beweise sichern
- Wiederherstellung von Daten und Systemen
- Ertragsausfall durch Betriebsunterbrechung nach einem Angriff
- Rechtsberatung zu Melde- und Informationspflichten nach DSGVO
- Kosten der Benachrichtigung von Kunden und Beschäftigten
- Haftpflichtansprüche Dritter nach einer Datenschutzverletzung
- Krisenkommunikation zum Schutz des Rufs
- Cyber-Erpressung, je nach Tarif einschließlich Lösegeld
- Betrug durch gefälschte Zahlungsanweisungen, als Baustein

## Was nicht versichert ist

- Schäden aus Sicherheitslücken, die vor Vertragsbeginn bekannt waren
- Vorsätzliche Handlungen der Geschäftsleitung
- Ausfall öffentlicher Infrastruktur wie Strom- oder Internetnetz
- Krieg und staatliche Cyberangriffe nach der Kriegsklausel
- Verbesserung der IT über den Zustand vor dem Angriff hinaus
- Vertragsstrafen, soweit nicht ausdrücklich eingeschlossen
- Bußgelder, soweit sie rechtlich nicht versicherbar sind

## Wer sie braucht

- Jeder Betrieb, dessen Arbeit an Rechnern, Kasse oder Warenwirtschaft hängt
- Firmen, die Kundendaten, Gesundheitsdaten oder Zahlungsdaten verarbeiten
- Onlinehändler und Betriebe mit Webshop oder Buchungssystem
- Unternehmen, die unter NIS-2 fallen oder Zulieferer solcher Firmen sind
- Praxen, Kanzleien und Steuerbüros mit Verschwiegenheitspflichten

## Wer darauf verzichten kann

- Betriebe, die tatsächlich ohne IT arbeiten und keine Kundendaten digital speichern

## Was sie kostet

Der Beitrag richtet sich nach Umsatz, Branche und IT-Sicherheit. Kleine Dienstleister mit gutem Grundschutz zahlen deutlich weniger als ein Onlinehändler gleicher Größe mit vielen Zahlungsdaten. Veröffentlichte, belastbare Marktvergleiche für Firmenkunden gibt es kaum, deshalb nennen wir hier keine Preisspannen.

**Wovon der Beitrag abhängt:**

- Jahresumsatz und Zahl der Beschäftigten
- Branche und Art der verarbeiteten Daten
- Versicherungssumme und Selbstbeteiligung
- IT-Sicherheit laut Fragebogen, vor allem Backups und Zwei-Faktor-Anmeldung
- Umfang der Betriebsunterbrechung und Haftzeit
- Vorschäden und frühere Sicherheitsvorfälle

_Der Beitrag steht erst im Angebot fest, nachdem der Versicherer den Fragebogen geprüft hat. Bessere IT-Sicherheit senkt den Preis oft spürbar._

## Die Tariflinien am Markt

- **Kompaktschutz:** Pauschaltarife für kleine Betriebe mit Summen bis rund 250.000 €, Notfallhotline, Wiederherstellung und Haftpflicht, Betriebsunterbrechung mit kurzer Haftzeit. Abschluss oft mit wenigen Fragen.
- **Mittelstandsschutz:** Summen bis 1 oder 2 Mio. €, längere Haftzeit für den Ertragsausfall, Bausteine für Zahlungsbetrug und Vertragsstrafen aus Zahlungskartenverträgen. Individuelle Risikoprüfung.
- **Individualdeckung:** Für größere Firmen und NIS-2-Einrichtungen: hohe Summen, häufig über mehrere Versicherer verteilt, Abhängigkeit von Cloud- und IT-Dienstleistern mitversichert, Prüfung mit Gesprächen und Scans.

## Woran Sie einen guten Tarif erkennen

| Kriterium | Mindeststandard | Starker Tarif | Warum das zählt |
| --- | --- | --- | --- |
| Notfallhilfe | Hotline zu Geschäftszeiten | rund um die Uhr, Einsatz ohne Vorabfreigabe in den ersten Stunden | Die ersten Stunden entscheiden, wie weit sich ein Angriff ausbreitet. |
| Betriebsunterbrechung | Haftzeit drei Monate, 24 Stunden Karenz | Haftzeit zwölf Monate, kurze Karenz | Die Rückkehr zum Normalbetrieb dauert oft Wochen, Kunden wandern schneller ab. |
| Ausfall von Dienstleistern | nicht versichert | Unterbrechung durch Angriff auf Cloud- oder IT-Dienstleister eingeschlossen | Viele Betriebe fallen aus, weil der Anbieter ihrer Software angegriffen wird, nicht sie selbst. |
| Obliegenheiten | starre Pflichtliste, Verstoß gefährdet die Leistung | Leistungskürzung nur bei Ursächlichkeit, keine Kürzung bei leichter Fahrlässigkeit | Ein vergessenes Update darf nicht den ganzen Schutz kosten. |
| Bedienfehler | nur Angriffe von außen | auch Fehlbedienung und Programmierfehler | Ein Großteil der Datenverluste entsteht ohne Angreifer. |
| Zahlungsbetrug | ausgeschlossen | gefälschte Zahlungsanweisungen und Rechnungen eingeschlossen | Der falsche Anruf vom Chef oder die geänderte Kontonummer eines Lieferanten kostet schnell fünfstellig. |
| Kriegsausschluss | weit gefasst | eng gefasst, mit klarer Zuordnungsregel | Bei staatsnahen Angreifern entscheidet diese Klausel über die Leistung. |
| Vorwärtsdeckung | nur Angriffe nach Vertragsbeginn | auch unbekannte Vorfälle, die vor Beginn angelegt waren | Angreifer sitzen oft Monate unentdeckt im Netz. |

## Anbieter im Überblick

Cyberversicherungen bieten Universalversicherer ebenso wie Spezialversicherer an. Einige bekannte Anbieter, etwa Hiscox, arbeiten in Deutschland als Niederlassung einer Gesellschaft aus einem anderen EU-Staat und stehen deshalb nicht in der BaFin-Liste der Unternehmen unter Bundesaufsicht; sie fehlen hier, obwohl sie am Markt eine Rolle spielen. Die Liste ist ein Marktüberblick.

- **Allianz**: Sachversicherer des Allianz-Konzerns, Vertreter und Makler
- **AXA**: Teil der französischen AXA-Gruppe, Vertreter und Makler
- **HDI**: Talanx-Konzern, Firmenkundengeschäft über Makler und Vertreter
- **Markel**: Spezialversicherer mit Sitz in München, Maklervertrieb
- **R+V**: Versicherer der Volks- und Raiffeisenbanken
- **Zurich**: Teil der Zurich Insurance Group, Industrie- und Gewerbekunden
- **Gothaer**: Versicherungsverein als Konzernmutter, Vertreter und Makler
- **VHV**: Maklerversicherer aus Hannover mit Schwerpunkt Gewerbe
- **Baloise**: Tochter der Schweizer Baloise, Makler und Vertreter
- **ERGO**: Teil der Munich Re, Vertreter, Makler und Direktvertrieb

139 Versicherer unter deutscher Bundesaufsicht haben die Erlaubnis für diese Sparte. (Sonstige finanzielle Verluste, Allgemeine Haftpflicht). Quelle: BaFin-Unternehmensdatenbank, abgerufen am 2026-09-18. Nicht enthalten sind Versicherer aus anderen EU-Staaten, die über eine Niederlassung oder ohne Sitz in Deutschland anbieten.

## Typische Schäden und wer zahlt

- **Buchhaltung überweist an falsche IBAN** (meist fünfstellig, teils sechsstellig): Gefälschte Chefmails und umgeleitete Rechnungen fallen unter Social Engineering. Einfache Tarife schließen das aus, starke decken es mit einem eigenen Unterlimit.
- **Ransomware sperrt alle Server** (30.000 bis 300.000 € samt Stillstand): Die Wiederherstellung zahlen beide. Den Ertragsausfall ersetzt der einfache Tarif nur kurz oder nach langer Wartezeit, der starke über Monate.
- **Laptop mit Kundendaten im ICE vergessen** (rund 3.000 bis 20.000 € für Anwalt und Meldungen): Rechtsberatung, Meldung an die Aufsichtsbehörde und Information der Kunden gehören zum Kern jeder Cyberpolice.
- **Stromausfall legt Webshop drei Tage lahm** (Umsatz der Ausfalltage): Der Ausfall öffentlicher Netze ist die klassische Grenze der Cyberversicherung. Dafür braucht es Notstrom oder eine Betriebsunterbrechungslösung.
- **Hacker schürfen Krypto auf Ihrer Cloud** (einige hundert bis zehntausende € Cloudrechnung): Fremdnutzung der eigenen Rechenleistung erzeugt Mehrkosten ohne Datenverlust. Nur starke Tarife nennen diesen Fall ausdrücklich.
- **Telefonanlage wählt nachts Sondernummern** (rund 5.000 bis 50.000 € Gebühren): Gehackte Telefonanlagen erzeugen Rechnungen über ein Wochenende. Starke Tarife ersetzen den Gebührenschaden bis zu einem Unterlimit.

## Mythos oder Wahrheit

- „Wir sind zu klein, für Hacker sind wir uninteressant." ✘ Falsch. Die meisten Angriffe laufen automatisiert und suchen offene Lücken, nicht bekannte Firmennamen. Ein Handwerksbetrieb mit veralteter Fernwartung ist deshalb genauso im Raster wie ein Konzern.
- „Wer nach einem Angriff sofort alles neu aufsetzt, schadet sich oft selbst." ✔ Stimmt. Mit dem Löschen verschwinden die Spuren, aus denen Forensiker den Einfallsweg und das Ausmaß ablesen. Erst die Hotline anrufen, dann handeln, so steht es auch in den meisten Bedingungen.
- „Ein Backup in der Cloud schützt sicher vor Verschlüsselung." ✘ Nicht unbedingt. Angreifer suchen gezielt nach verbundenen Sicherungen und verschlüsseln sie gleich mit. Sicher ist nur eine Kopie, die vom Netz getrennt oder nachträglich unveränderbar ist.
- „Auch ein Angriff über das Homeoffice eines Mitarbeiters kann versichert sein." ✔ Ja. Entscheidend ist, dass Firmendaten oder Firmensysteme betroffen sind, nicht der Ort des Laptops. Manche Tarife schränken allerdings private Geräte ein, das steht in den Obliegenheiten.
- „Lösegeld zu zahlen ist in Deutschland ausdrücklich verboten." ✘ So pauschal nicht. Ein generelles Verbot gibt es nicht, Behörden raten aber dringend ab, und Zahlungen an Gruppen auf Sanktionslisten sind unzulässig. Gute Policen regeln, dass der Versicherer vorher zustimmen muss.

## Häufige Fehler beim Abschluss

- Den Fragebogen aus dem Gedächtnis ausfüllen, ohne die IT zu fragen
- Backups auf demselben Netz speichern, das der Angreifer verschlüsselt
- Nur auf die Versicherungssumme schauen und die Haftzeit der Betriebsunterbrechung übersehen
- Die Hotline-Nummer nirgends hinterlegen, sodass sie im Ernstfall niemand findet
- Glauben, die Betriebshaftpflicht decke Datenschäden schon ab
- Den eigenen IT-Dienstleister als Absicherung betrachten, obwohl dessen Haftung vertraglich begrenzt ist

## FAQ

### Zahlt die Cyberversicherung das Lösegeld?

Viele Tarife übernehmen Kosten einer Erpressung, manche ausdrücklich auch das Lösegeld, soweit die Zahlung rechtlich zulässig ist. Ob gezahlt werden sollte, entscheiden Sie mit den Fachleuten des Versicherers. Oft ist die Wiederherstellung aus Backups schneller und sicherer, weil ein Schlüssel keine Garantie ist.

### Fällt mein Betrieb unter NIS-2?

Das hängt von Sektor und Größe ab. Erfasst sind Firmen in den im BSI-Gesetz aufgelisteten Sektoren ab 50 Beschäftigten oder mehr als 10 Mio. € Umsatz und Bilanzsumme, einige Einrichtungen unabhängig von der Größe. Das BSI stellt eine Betroffenheitsprüfung online bereit. Wer betroffen ist und sich noch nicht registriert hat, sollte das umgehend nachholen.

### Zahlt die Versicherung auch Bußgelder nach DSGVO?

Nur soweit Bußgelder rechtlich versicherbar sind, und das ist in Deutschland umstritten. Gute Tarife schließen sie im zulässigen Umfang ein. Verlassen sollten Sie sich darauf nicht; sicher versichert sind dagegen Anwaltskosten im Bußgeldverfahren und Schadensersatzansprüche Betroffener.

### Was ist mit einem Mitarbeiter, der auf eine Phishing-Mail klickt?

Das ist der häufigste Einstieg und in guten Tarifen ausdrücklich versichert. Einfache Fahrlässigkeit von Beschäftigten darf die Leistung nicht gefährden. Achten Sie darauf, dass auch Fehlbedienung ohne Angreifer eingeschlossen ist.

### Ist ein Ausfall bei unserem Cloud-Anbieter versichert?

Nur wenn der Tarif Unterbrechungen durch Angriffe auf Dienstleister einschließt. Standardtarife verlangen einen Angriff auf Ihre eigenen Systeme. Für Betriebe, die ihre Buchhaltung oder Warenwirtschaft in der Cloud führen, ist das eines der wichtigsten Kriterien.

### Wie hoch sollte die Versicherungssumme sein?

Rechnen Sie aus, was drei bis vier Wochen Stillstand kosten, und legen Sie Forensik, Wiederherstellung und Haftpflicht dazu. Für kleine Betriebe landen viele bei 250.000 bis 500.000 €, für Mittelständler bei 1 Mio. € und mehr. Die Summe gilt meist für alle Schäden eines Jahres zusammen.

### Muss ich vor dem Abschluss meine IT aufrüsten?

Oft ja, aber meist nur im Grundschutz: Backups, die vom Netz getrennt sind, Zwei-Faktor-Anmeldung für E-Mail und Fernzugang, aktuelle Updates. Ohne diese Punkte lehnen viele Versicherer ab oder verlangen deutlich mehr. Die Maßnahmen lohnen sich auch ohne Versicherung.

### Wer haftet, wenn unser IT-Dienstleister einen Fehler macht?

Grundsätzlich der Dienstleister, aber dessen Haftung ist vertraglich fast immer begrenzt, und der Streit dauert. Die Cyberversicherung zahlt zunächst Ihren Schaden und kann sich das Geld beim Verursacher zurückholen.

### Kann ich die Cyberversicherung jederzeit kündigen?

Firmenverträge laufen üblich ein Jahr und verlängern sich, wenn Sie nicht mit drei Monaten Frist zum Ablauf kündigen. Nach einem Schadenfall können beide Seiten kündigen. Vor einem Wechsel sollte der neue Vertrag lückenlos anschließen.

### Warum über einen Makler abschließen?

Weil sich Cybertarife in Klauseln wie Kriegsausschluss, Obliegenheiten und Dienstleisterausfall stark unterscheiden und der Fragebogen sauber beantwortet sein muss. Wir vergleichen die Bedingungen und stehen im Schadenfall auf Ihrer Seite. Die Vergütung zahlt der Versicherer.

## Rechtsgrundlagen und Quellen

- [Versicherungsvertragsgesetz (VVG)](https://www.gesetze-im-internet.de/vvg_2008/)
- [BaFin-Unternehmensdatenbank (zugelassene Versicherer)](https://portal.mvp.bafin.de/database/InstInfo/)

## Angebot anfordern

Wir holen Angebote ein und melden uns mit einem Vergleich. Kostenlos und ohne Verpflichtung, die Vergütung zahlt der Versicherer. https://www.nammert.com/versicherungsmakler-cyber.php#anfrage

---

NAMMERT Assekuradeur GmbH, Versicherungsmakler mit Erlaubnis nach § 34d Abs. 1 GewO, Vermittlerregister D-C08Q-TOSD4-37. Bei Boots- und Yachtversicherungen sind wir Assekuradeur und nicht Makler.

NAMMERT Assekuradeur GmbH, Karl-Marx-Straße 4, 15711 Königs Wusterhausen, +49 3375 29 12 77, info@nammert.com. Wikidata: Q141141479.