Ob eine Cyberversicherung im Schadenfall voll leistet, hängt auch davon ab, ob die Angaben im Antrag stimmen und die vereinbarten Schutzmaßnahmen im Alltag tatsächlich laufen. Wer seine IT vorher ehrlich prüft, Lücken schließt und die Belege griffbereit hält, schützt nicht nur die Systeme, sondern auch den Versicherungsschutz. Eine Rechts- oder Versicherungsberatung ersetzt dieser Beitrag nicht.
Anforderungen der Cyberversicherung: Was Versicherer typischerweise abfragen
Jeder Versicherer formuliert seinen Fragebogen selbst. Eine gute Orientierung bietet aber der unverbindliche Muster-Fragebogen des Gesamtverbands der Deutschen Versicherungswirtschaft (GDV) für kleine und mittelständische Unternehmen (Muster-Fragebogen zur Risikoerfassung, Stand: Dezember 2019 (externe Website)). Er ordnet Unternehmen vor allem nach Jahresumsatz einer von drei Risikokategorien zu. Wer etwa Berufsgeheimnisse oder sensible Daten Dritter verarbeitet oder einen Onlineshop auf eigener Technik betreibt, rückt unabhängig vom Umsatz eine Stufe höher und bekommt mehr Fragen.
Die Grundfragen, die alle beantworten, drehen sich um vier Bereiche:
- Zugänge: Hat jede Person ein eigenes Konto? Werden Mindestanforderungen an Kennwörter technisch durchgesetzt? Sind Administratorrechte auf Verwaltungsaufgaben beschränkt?
- Zusatzschutz: Sind Server mit Diensten im Internet und mobile Geräte besonders abgesichert, etwa durch eine Firewall, einen zweiten Faktor oder Verschlüsselung der Datenträger?
- Datensicherung: Wird mindestens wöchentlich gesichert, getrennt aufbewahrt, gegen Manipulation geschützt und die Wiederherstellung regelmäßig getestet?
- Aktualität und Schadsoftware: Werden Sicherheitsupdates zeitnah eingespielt, und aktualisiert sich der Schutz gegen Schadsoftware automatisch?
In höheren Kategorien folgen Fragen zu Verantwortlichen für IT-Sicherheit, Schulungen, verschlüsseltem Fernzugriff etwa per VPN, Netzwerksegmentierung und einem Notfallkonzept. Maßgeblich ist der Fragebogen, den Sie tatsächlich erhalten.
Basismaßnahmen: MFA, Backups, Updates, Endpoint-Schutz
Was aus den Fragen im Vertrag wird, zeigen die Musterbedingungen des GDV (AVB Cyber, Stand: Februar 2024 (externe Website), Abschnitt A1-16). Dort stehen die Maßnahmen als Obliegenheiten: Verhaltensregeln vor dem Schadenfall, deren Verletzung den Versicherungsschutz gefährden kann (§ 28 VVG). Ihre Police kann davon abweichen; maßgeblich sind Ihre Vertragsbedingungen. Für die Praxis bedeutet das vor allem:
- Anmeldung absichern: Die Musterbedingungen nennen einen zweiten Faktor als Beispiel für aus dem Internet erreichbare Server. Sinnvoll ist eine Multi-Faktor-Authentifizierung auch für Fernzugänge, Webmail und Cloud-Dienste, weil ein abgefangenes Passwort dann nicht mehr ausreicht. In Microsoft 365 gehört dazu, Ausnahmen zu begründen und ältere Anmeldeverfahren abzuschalten, wie es unsere Seite zur Microsoft-365-Verwaltung beschreibt.
- Backups gegen Manipulation schützen: Die Musterbedingungen verlangen, dass kein System und keine Berechtigungsstufe Originale und Kopien zugleich verändern oder vernichten kann. Als Beispiel nennen sie einen Sicherungsserver, der nicht in die zentrale Benutzerverwaltung eingebunden ist. Ein Immutable Backup, das während einer Sperrfrist nicht gelöscht werden kann, ist ein Weg dorthin. Mehr zur Umsetzung finden Sie bei unserer Datensicherung für Unternehmen.
- Updates geregelt einspielen: Gefragt ist ein Patch-Management, das relevante Sicherheitsupdates zeitnah installiert. Systeme mit bekannten Lücken dürfen laut Musterbedingungen nur mit zusätzlichen Schutzmaßnahmen weiterlaufen. Das betrifft auch alte Rechner an Maschinen oder Server, für die der Hersteller keine Updates mehr liefert.
- Endgeräte schützen: Verlangt wird ein Schutz gegen Schadsoftware, der sich automatisch aktualisiert. Einen Schritt weiter geht Endpoint Detection and Response: Die Lösung erkennt verdächtiges Verhalten auf dem Gerät und kann dieses je nach Produkt vom Netz isolieren. Welche Lösung passt, zeigt unsere Seite zur Endpoint Security für Unternehmen.
Nachweise und Dokumentation
Ein Kreuz bei „Ja“ ist schnell gesetzt. Nach einem Schaden kann der Versicherer jedoch jede Auskunft verlangen, die zur Feststellung des Versicherungsfalls nötig ist, und Belege anfordern, soweit Ihnen deren Beschaffung zuzumuten ist (§ 31 VVG). Halten Sie deshalb zu jeder wichtigen Antwort einen Nachweis bereit:
| Angabe im Fragebogen | Möglicher Nachweis |
|---|---|
| Eigene Konten, getrennte Administratorrechte | Liste der Konten und Administratoren mit Datum der letzten Prüfung |
| Zweiter Faktor | Übersicht, welche Konten geschützt sind, und begründete Ausnahmen |
| Wöchentliche, getrennte Sicherung | Sicherungsprotokolle und Beschreibung der Speicherorte |
| Wiederherstellung getestet | Protokolle der letzten Rücksicherungstests mit Dauer und Ergebnis |
| Updates zeitnah | Berichte über den Update-Stand von Servern und Arbeitsplätzen |
| Schutz gegen Schadsoftware | Statusübersicht aller Geräte aus der zentralen Verwaltung |
| Notfallkonzept | aktueller Notfallplan, auch ausgedruckt verfügbar |
Eine gepflegte IT-Dokumentation erleichtert diese Sammlung, weil Geräte, Konten und Zuständigkeiten dort bereits beschrieben sind. Datieren Sie jeden Nachweis, damit erkennbar bleibt, welchen Stand er belegt.
Pflichten im Schadenfall und Notfallplan
Nach einem Angriff gelten weitere Pflichten. Das Versicherungsvertragsgesetz verlangt, den Versicherungsfall unverzüglich anzuzeigen, sobald Sie davon wissen (§ 30 VVG). Außerdem müssen Sie den Schaden nach Möglichkeit abwenden oder mindern und Weisungen des Versicherers einholen, wenn die Umstände es erlauben (§ 82 VVG). Die GDV-Musterbedingungen ergänzen, dass das Schadenbild unverändert bleiben soll, bis der Versicherer eine Veränderung gestattet. Lassen sich Eingriffe nicht vermeiden, sind sie nachvollziehbar zu dokumentieren (AVB Cyber, B3-3.4).
Der Betrieb soll schnell weiterlaufen, Spuren dürfen aber nicht verloren gehen. Diese Spannung löst ein Notfallplan, der vorher klärt:
- wer die Meldung an den Versicherer abgibt und wo Policennummer und Schadenhotline stehen, auch auf Papier
- ob die Police bestimmte Dienstleister für Analyse und Forensik vorsieht oder deren Beauftragung abgestimmt werden muss
- wer entscheidet, welche Systeme vom Netz gehen, und wer die Zeitpunkte protokolliert
- wann die Datenschutzaufsicht einzubinden ist, falls personenbezogene Daten betroffen sind (Art. 33 DSGVO)
Bei einem Angriff ist die Arbeit geteilt. Sobald die Incident Response unseres Partners den Weg freigibt, bauen wir Ihre Systeme aus den Datensicherungen wieder auf, abgestimmt mit Fachleuten und Versicherer.
Wer klärt bei einem Angriff auf, was passiert ist? Analyse, IT-Forensik und Incident Response übernimmt unser Partner für offensive IT-Sicherheit, die Rootsektor IT-Security GmbH: Incident Response und Forensik bei Rootsektor (externe Website).
Fragebogen gemeinsam vorbereiten
Den Antrag unterschreibt die Geschäftsführung oder eine andere dazu berechtigte Person, die technischen Antworten kennt dagegen Ihre IT-Betreuung. Sinnvoll ist deshalb ein gemeinsamer Termin mit klarer Aufgabenteilung:
- Fragebogen früh anfordern: Fordern Sie die aktuellen Fragen einige Wochen vor Abschluss oder Verlängerung beim Versicherer oder über Ihre Vermittlung an.
- Jede Frage zuordnen: Legen Sie fest, wer welche Antwort prüft – Geschäftsführung, IT-Betreuung oder Datenschutz.
- Ist-Stand prüfen statt erinnern: Beantworten Sie jede technische Frage anhand eines Protokolls oder einer Einstellung, nicht aus dem Gedächtnis.
- Lücken offen behandeln: Schließen Sie eine Lücke vor der Unterschrift oder geben Sie sie zutreffend an und vereinbaren Sie einen Termin für die Umsetzung.
- Ergebnis sichern: Legen Sie Antworten, Belege und offene Punkte gemeinsam ab und prüfen Sie sie spätestens zur nächsten Verlängerung erneut.
Nach § 19 VVG müssen Sie die Ihnen bekannten, für den Vertrag erheblichen Umstände angeben, nach denen der Versicherer in Textform gefragt hat. Falsche oder unvollständige Angaben können je nach Verschulden zu Rücktritt, Kündigung oder geänderten Vertragsbedingungen führen.
Angenommen, eine Tischlerei soll angeben, ob die Wiederherstellung regelmäßig getestet wird. Die Geschäftsführerin würde spontan „Ja“ ankreuzen. Beim gemeinsamen Durchgehen zeigt sich, dass der letzte vollständige Test zwei Jahre zurückliegt. Der Betrieb holt ihn vor der Unterschrift nach und legt das Protokoll als Beleg ab.
Bei den technischen Fragen unterstützen wir Sie. In einem IT-Sicherheitscheck gleichen wir sie mit dem tatsächlichen Stand Ihrer IT ab und zeigen, welche Lücken sich vorher schließen lassen. Vertragsinhalte und Deckungsumfang bewerten wir nicht; das klären Sie mit Versicherer, Vermittlung oder Rechtsberatung.
Fazit: Schutzmaßnahmen pflegen, Belege bereithalten
Versicherer fragen vor allem nach Grundlagen, die auch ohne Police sinnvoll sind: eigene Konten, zweiter Faktor, getrennte und geprüfte Sicherungen, aktuelle Systeme und Schutz auf allen Geräten. Entscheidend ist, dass diese Maßnahmen dauerhaft laufen und Sie sie belegen können. Gehen Sie den Fragebogen mit Ihrer IT-Betreuung Punkt für Punkt durch, legen Sie die Nachweise ab und halten Sie im Notfallplan fest, wer im Schadenfall den Versicherer informiert. Wie Sie dabei vorgehen, besprechen wir auf Wunsch in einer kostenlosen Beratung.
Häufige Fragen
Müssen wir den Versicherer informieren, wenn sich unsere IT nach Vertragsschluss ändert?
Ja, wenn die Änderung das versicherte Risiko erhöht. Nach § 23 VVG dürfen Sie ohne Einwilligung des Versicherers keine Gefahrerhöhung vornehmen; erkennen Sie eine solche erst nachträglich oder tritt sie ohne Ihr Zutun ein, zeigen Sie sie unverzüglich an. In Betracht kommt etwa ein abgeschalteter zweiter Faktor für einen Fernzugang. Was in Ihrem Fall als Gefahrerhöhung gilt, regeln Ihr Vertrag und die Bedingungen des Versicherers; diese Einordnung ist keine Rechtsberatung.
Dürfen wir nach einem Angriff direkt mit der Wiederherstellung beginnen?
Nicht ohne Weiteres: Stimmen Sie den Wiederanlauf mit dem Versicherer ab, soweit die Lage das zulässt, denn ein überstürzter Neuaufbau kann wichtige Spuren vernichten. Beides lässt sich verbinden: Betroffene Systeme werden zunächst gesichert, etwa als Abbild für die Forensik, und die Wiederherstellung läuft auf bereinigter oder neuer Hardware an. Welche Reihenfolge gilt, legen Versicherer, Forensik und IT-Betreuung gemeinsam fest.
Fragt der Fragebogen zur Cyberversicherung auch nach unseren IT-Dienstleistern?
Ja, das ist möglich: Der GDV-Muster-Fragebogen enthält Zusatzfragen für Unternehmen, die IT-Aufgaben an Dienstleister übertragen. Erfasst wird, welcher Dienstleister in welchem Bereich tätig ist. Optional kommen Fragen zum Vertrag hinzu, zum Beispiel ob Verfügbarkeit, Updates und das Schließen von Sicherheitslücken geregelt sind und ob Sie den Dienstleister von der Haftung freigestellt haben. Halten Sie dafür eine Liste Ihrer Dienstleister mit Aufgaben und Verträgen bereit.
Kostenlose Beratung
Können Sie jede Antwort im Versicherungsfragebogen belegen?
Wir gehen die technischen Fragen mit Ihnen durch und zeigen, welche Maßnahmen vor der Unterschrift noch fehlen.
Transparenzhinweis: Dieser Beitrag ist mit Unterstützung von KI-Werkzeugen entstanden. Die redaktionelle Verantwortung für Inhalt und Aussagen liegt bei der ProNet Systems GmbH.
