Suche
SupportCyberversicherung: Was Versicherer heute von Unternehmen verlangen
Eine Cyberversicherung kann im Ernstfall entscheidend sein. Welche Maßnahmen Versicherer abfragen, warum falsche Angaben den Schutz gefährden und wie Sie den Fragebogen belastbar beantworten.
Der Makler schickt den Antrag für die Cyberversicherung, darin ein Fragebogen mit einer Reihe technischer Fragen: „Ist Mehr-Faktor-Authentifizierung für alle Fernzugriffe aktiv?“ – „Werden Backups getrennt vom Netzwerk aufbewahrt?“ – „Werden kritische Sicherheitsupdates zeitnah installiert?“ Die Geschäftsleitung reicht ihn an die IT weiter, die IT kreuzt an, was ungefähr stimmt, und der Vertrag kommt zustande.
Problematisch wird das erst im Schadensfall. Dann prüft der Versicherer, ob die Angaben gestimmt haben. Dieser Beitrag erklärt, was Versicherer typischerweise wissen wollen, wo die Fallstricke liegen und wie Sie Ihre Angaben so vorbereiten, dass sie auch einer Prüfung standhalten. Die Versicherungsberatung selbst ersetzt er nicht.
Was eine Cyberversicherung leistet
Eine Cyberversicherung kann je nach Vertrag Kosten für Forensik, Wiederherstellung von Daten und Systemen, Krisenkommunikation, Betriebsunterbrechung und Haftungsansprüche Dritter übernehmen. Für viele Unternehmen ebenso wichtig ist der Zugang zu spezialisierten Notfalldienstleistern, die der Versicherer im Ernstfall vermittelt. Was genau versichert ist und welche Ausschlüsse gelten, steht in den Bedingungen und unterscheidet sich zwischen den Anbietern deutlich.
Was typischerweise abgefragt wird
Nach zahlreichen teuren Schadensfällen haben Versicherer ihre Anforderungen in den vergangenen Jahren verschärft. Die Fragebögen unterscheiden sich, die Themen sind aber ähnlich:
- Mehr-Faktor-Authentifizierung für E-Mail, Fernzugriffe, Cloud-Dienste und Administratorkonten
- Datensicherung mit getrennter oder unveränderbarer Kopie und regelmäßigen Wiederherstellungstests
- Updates: zeitnahes Einspielen von Sicherheitsupdates, keine Systeme ohne Herstellerunterstützung
- Endpoint-Schutz auf Servern und Arbeitsplätzen, oft mit der Frage nach Erkennung und Reaktion
- Administratorrechte: getrennte Konten, keine lokalen Adminrechte für Mitarbeitende
- E-Mail-Sicherheit: Filter gegen Phishing und Schadsoftware
- Schulungen zur Sensibilisierung der Mitarbeitenden
- Notfallplan und definierte Verantwortlichkeiten für Sicherheitsvorfälle
- Netzwerk: Firewall, Segmentierung, keine offen erreichbaren Remotedesktop-Dienste
Viele dieser Punkte entsprechen den Grundmaßnahmen, die wir im Beitrag Ransomware: Die zehn wichtigsten Schutzmaßnahmen beschreiben. Wer sie umgesetzt hat, beantwortet den Fragebogen deutlich entspannter.
Vorsicht beim Fragebogen
Die Angaben im Antragsfragebogen sind Grundlage des Vertrags. Werden Maßnahmen angegeben, die tatsächlich nicht oder nur teilweise umgesetzt sind, kann der Versicherer im Schadensfall die Leistung kürzen, verweigern oder den Vertrag anfechten. Das trifft das Unternehmen genau dann, wenn es die Leistung am dringendsten braucht.
Typische Stolperstellen sind Ausnahmen, die im Alltag niemand mehr auf dem Schirm hat:
- Die Mehr-Faktor-Anmeldung ist „überall“ aktiv – außer für ein Servicekonto, den alten VPN-Zugang und zwei Geschäftsführer, die es „später“ einrichten wollten
- Das Backup ist „getrennt“, liegt aber auf einem Netzlaufwerk, das mit Domänen-Administratorrechten erreichbar ist
- Updates werden „zeitnah“ eingespielt, nur nicht auf der Firewall und dem Server der Fachanwendung
- Ein Notfallplan „existiert“, ist aber drei Jahre alt und nennt einen Dienstleister, mit dem es keinen Vertrag mehr gibt
Beantworten Sie jede Frage deshalb auf Grundlage einer aktuellen Prüfung, nicht aus dem Gedächtnis. Wo eine Maßnahme nur teilweise umgesetzt ist, sagen Sie das – und sprechen Sie mit Ihrem Makler darüber, wie das im Antrag korrekt dargestellt wird.
Obliegenheiten während der Laufzeit
Mit dem Vertragsabschluss ist die Arbeit nicht beendet. Viele Verträge enthalten Obliegenheiten, also Pflichten des Versicherten: den bei Abschluss beschriebenen Sicherheitsstand aufrechtzuerhalten, Sicherheitsupdates einzuspielen oder Schäden unverzüglich zu melden. Änderungen, etwa das Abschalten einer Schutzmaßnahme oder ein neues System ohne Backup, können relevant sein. Lesen Sie diese Klauseln gemeinsam mit Ihrer IT.
Im Schadensfall
Klären Sie vorab, wie die Meldung an den Versicherer erfolgt und welche Notfallnummer gilt. Viele Versicherer erwarten eine sehr frühe Meldung und möchten eingebunden sein, bevor Dienstleister beauftragt oder Systeme neu aufgesetzt werden. Die Telefonnummer gehört ins Notfallhandbuch und auf die ausgedruckte Kontaktliste. Wie die ersten Stunden ablaufen sollten, beschreiben wir unter Cyberangriff – die ersten 24 Stunden.
Versicherung als Teil des Konzepts
Eine Cyberversicherung ersetzt keine Sicherheitsmaßnahmen. Sie ist eine sinnvolle Ergänzung für das Restrisiko, das sich auch mit guter IT-Sicherheit nicht ausschließen lässt. Umgekehrt gilt: Ohne grundlegende Maßnahmen wird es zunehmend schwierig, überhaupt Versicherungsschutz zu bekommen.
So bereiten Sie den Fragebogen vor
- Fragen nicht allein von der Geschäftsleitung oder allein von der IT beantworten lassen, sondern gemeinsam
- Für jede Frage den tatsächlichen Stand prüfen, etwa in der Verwaltungsoberfläche, im Backup-Protokoll oder in der Liste der Konten ohne Mehr-Faktor-Anmeldung
- Ausnahmen vollständig erfassen und entscheiden, ob sie vor Vertragsabschluss beseitigt werden
- Unklare Begriffe im Fragebogen mit dem Makler klären, statt sie wohlwollend auszulegen
- Eine Kopie des ausgefüllten Fragebogens samt Nachweisen aufbewahren
- Einen Termin festlegen, an dem die Angaben vor der Verlängerung erneut geprüft werden
Dieser Aufwand ist überschaubar und zahlt sich doppelt aus: Sie wissen danach selbst genauer, wo Ihr Unternehmen steht, und Sie können im Schadensfall belegen, dass Ihre Angaben gestimmt haben.
Grenzen des Versicherungsschutzes
Auch ein guter Vertrag deckt nicht jeden Schaden vollständig ab. Achten Sie beim Vergleich der Angebote gemeinsam mit Ihrem Makler insbesondere auf diese Punkte:
- Selbstbehalte und bei der Betriebsunterbrechung häufig ein zeitlicher Selbstbehalt, bevor Leistungen greifen
- Höchstgrenzen für einzelne Leistungsbausteine, die unter der Gesamtversicherungssumme liegen können
- Ausschlüsse, etwa für bekannte, aber nicht behobene Schwachstellen oder für Systeme ohne Herstellerunterstützung
- Welche Dienstleister im Schadensfall eingesetzt werden dürfen und ob Ihr eigener IT-Partner einbezogen werden kann
- Wie mit Lösegeldforderungen umgegangen wird – ein rechtlich und ethisch sensibles Thema
So gehen wir bei BABFE vor
Wir beantworten mit Ihnen die technischen Fragen des Fragebogens auf Grundlage einer aktuellen Prüfung Ihrer Umgebung und benennen ehrlich, wo Lücken bestehen. Diese schließen wir möglichst vor Vertragsabschluss. Einen schnellen Überblick über Ihre Arbeitsplätze liefert der kostenlose Sicherheitscheck.
Bei betreuten Kunden zeigt das Kundenportal den aktuellen Stand: Anteil der Benutzer mit Mehr-Faktor-Anmeldung, Status der Datensicherung, Sicherheits-Baseline je Plattform. Sicherheitsnachweise lassen sich als PDF erstellen – eine belastbare Grundlage für Fragebogen und Verlängerung. Die Versicherungsberatung selbst erfolgt durch Ihren Makler.
Ihr nächster Schritt
Holen Sie den Fragebogen Ihres aktuellen Vertrags hervor und prüfen Sie jede Antwort mit Ihrer IT. Wenn Sie dabei Unterstützung möchten, sprechen Sie uns an.
