178,6 Milliarden Euro Schaden durch Cybercrime in Deutschland 2024 – und nur 36 Prozent der kleinen und mittleren Unternehmen sind versichert. Die Lücke entsteht nicht durch Desinteresse, sondern durch Unsicherheit: Was deckt eine Police wirklich ab? Wo greifen die Ausschlüsse? Und lohnt sich die Investition, wenn die Prämien steigen? Dieser Praxischeck zeigt, was eine Cyber-Police für KMU tatsächlich leistet.
Cyberangriffe sind längst kein Problem mehr, das nur Konzerne betrifft. Laut Bitkom-Studie 2024 wurden 15 Prozent aller deutschen Unternehmen Opfer eines Cyberangriffs – ein Anstieg um vier Prozentpunkte gegenüber dem Vorjahr. Der Gesamtschaden durch Cybercrime in Deutschland belief sich 2024 auf 178,6 Milliarden Euro. Besonders alarmierend: Fast 60 Prozent der betroffenen Unternehmen fühlten sich durch den Angriff in ihrer Existenz bedroht. Gleichzeitig haben nur 36 Prozent der kleinen und mittleren Unternehmen eine Cyber-Versicherung abgeschlossen. Die Cyber-Versicherung ist das Sicherheitsnetz, das greift, wenn alle technischen Schutzmaßnahmen versagt haben.
Was ist eine Cyber-Versicherung?
Eine Cyber-Versicherung ist eine spezialisierte Haftpflicht- und Sachversicherung, die Unternehmen vor den finanziellen Folgen von Cyberangriffen, Datenpannen und IT-Ausfällen schützt. Sie kombiniert zwei Schutzrichtungen: Eigenschäden (Kosten, die beim Unternehmen selbst entstehen) und Drittschäden (Haftungsansprüche von Kunden, Partnern oder Behörden). Wichtig zu verstehen: Eine Cyber-Versicherung ersetzt keine IT-Sicherheit – sie ergänzt sie um eine finanzielle Schutzschicht für den Fall, dass technische Maßnahmen versagen.
Tipp
Laut GDV (Gesamtverband der Deutschen Versicherungswirtschaft) melden 28 Prozent der kleinen und mittleren Unternehmen mindestens einen Cyberschaden innerhalb von drei Jahren. Bei einer durchschnittlichen Schadenshöhe von 95.000 Euro ist die Frage nicht ob, sondern wann ein Vorfall eintritt.
Was deckt eine Cyber-Police ab?
Eine gute Cyber-Police deckt folgende Bereiche ab:
- IT-Forensik: Kosten für die Untersuchung des Angriffs und die Identifikation der Schwachstelle (30.000–80.000 € typisch)
- Datenwiederherstellung: Kosten für die Wiederherstellung beschädigter oder verschlüsselter Daten und Systeme
- Betriebsunterbrechung: Ertragsausfall während des Systemausfalls – oft der größte Einzelposten
- Krisenmanagement: PR-Beratung und Krisenkommunikation gegenüber Kunden und Öffentlichkeit (10.000–30.000 €)
- Ransomware/Lösegeldzahlungen: Übernahme von Lösegeldforderungen (mit Einschränkungen und Genehmigungspflicht)
- Rechtsberatung: Anwaltskosten bei DSGVO-Meldepflichten und behördlichen Verfahren (15.000–40.000 €)
- DSGVO-Bußgelder: Mitversichert in vielen Policen, aber rechtlich umstritten in Deutschland
- Drittschäden: Haftungsansprüche von Kunden oder Partnern, deren Daten betroffen sind
- 24/7-Incident-Response-Hotline: Sofortiger Zugang zu spezialisierten IT-Sicherheitsexperten
Wichtig zu wissen
Nicht jede Police deckt Erst- und Drittschäden ab. Prüfen Sie explizit, ob DSGVO-Haftungsansprüche Dritter eingeschlossen sind – diese können die internen Kosten deutlich übersteigen.
Die wichtigsten Ausschlüsse – wo der Schutz endet
Die Ausschlussklauseln einer Cyber-Police zu kennen ist mindestens so wichtig wie den Deckungsumfang. Diese drei Ausschlüsse betreffen KMU besonders:
- Nation-State-Angriffe: Seit 2023 schließen alle großen Versicherer staatlich gesponserte Cyberangriffe aus (Initiative von Lloyd's of London). Die Grenzen zwischen krimineller und staatlicher Cyber-Aktivität verschwimmen zunehmend.
- Systemische Ereignisse: Ein koordinierter Angriff auf einen großen Cloud-Provider, der tausende Unternehmen gleichzeitig trifft, kann unter Katastrophen-Ausschlussklauseln fallen.
- Sorgfaltspflicht-Verstöße: Wer im Antrag MFA oder EDR zusichert und es dann nicht umsetzt, riskiert die vollständige Leistungsverweigerung. Laut Coalition wurden 2024 bei 82 Prozent der abgelehnten Claims fehlende Sicherheitsmaßnahmen als Mitursache identifiziert.
- Vorsätzliche Handlungen: Schäden durch eigene Mitarbeiter, die vorsätzlich handeln, sind in der Regel ausgeschlossen.
- Bereits bekannte Vorfälle: Schäden aus Angriffen, die vor Vertragsabschluss bereits stattgefunden haben.
Was Versicherer 2026 voraussetzen
Der Antragsprozess für eine Cyber-Police gleicht heute einer IT-Sicherheitsprüfung. Versicherer bewerten nicht mehr nur Umsatz und Branche, sondern die tatsächliche Sicherheitsarchitektur. Drei Maßnahmen sind zur Eintrittskarte geworden:
- Multi-Faktor-Authentifizierung (MFA): 95 Prozent der Versicherer fordern MFA auf E-Mail, VPN, Remote-Zugängen und Admin-Konten – nicht nur verfügbar, sondern erzwungen und dokumentiert.
- Endpoint Detection and Response (EDR): 89 Prozent der Versicherer verlangen EDR auf allen Endgeräten. Installation allein reicht nicht – Versicherer fragen: Wer monitort? Wie schnell wird reagiert?
- Getesteter Incident-Response-Plan: Ein schriftlicher Notfallplan mit definierten Rollen und Kontaktlisten, der nachweislich geübt wurde. Ein Plan in der Schublade zählt nicht.
- Regelmäßige Datensicherungen: Offline-Backups, die nicht vom Hauptnetz erreichbar sind und regelmäßig getestet werden.
- Patch-Management: Dokumentierter Prozess zur zeitnahen Schließung von Sicherheitslücken in Software und Betriebssystemen.
Tipp
Für KMU ohne eigene IT-Security-Abteilung: Managed Security Services (externer SOC-Dienst) kosten 500–2.000 Euro monatlich und machen oft den Unterschied zwischen Versicherbarkeit und Ablehnung.
Typische Schadenfälle aus der Praxis
- Ransomware-Angriff auf Maschinenbauer: Alle Produktionssysteme werden verschlüsselt. Betriebsunterbrechung: 12 Tage. Gesamtschaden: 1,2 Mio. Euro (Forensik, Wiederherstellung, Ausfall). Die Cyber-Police übernimmt nach Genehmigung auch 80.000 Euro Lösegeld.
- Phishing-Angriff auf Steuerberatungsbüro: Mitarbeiter klickt auf gefälschte E-Mail, Zugangsdaten werden gestohlen. Kundendaten von 800 Mandanten werden abgegriffen. DSGVO-Meldepflicht, Anwaltskosten, Krisenkommunikation: 65.000 Euro. Cyber-Police übernimmt vollständig.
- DDoS-Angriff auf Online-Händler: Website und Shop nicht erreichbar für 3 Tage. Umsatzausfall: 45.000 Euro. Zusätzliche IT-Kosten: 8.000 Euro. Cyber-Police erstattet Betriebsunterbrechungsschaden.
- Insider-Angriff auf Arztpraxis: Ehemaliger Mitarbeiter kopiert Patientendaten. Bußgeld der Datenschutzbehörde: 25.000 Euro. Rechtsberatung: 12.000 Euro. Cyber-Police übernimmt Rechtskosten und Bußgeld (soweit versicherbar).
Was eine Cyber-Versicherung kostet
Die Prämien haben sich nach den drastischen Erhöhungen 2020–2022 wieder stabilisiert. Seit 2024 sinken die Raten um durchschnittlich 5 Prozent – gute Sicherheitsstandards werden belohnt. Als Orientierung für den deutschen Mittelstand:
- Kleinstunternehmen (bis 10 MA, bis 1 Mio. € Umsatz): ab 500–1.500 € jährlich bei 250.000–500.000 € Deckungssumme
- Kleines Unternehmen (10–50 MA, bis 5 Mio. € Umsatz): 1.500–5.000 € jährlich bei 500.000–1 Mio. € Deckungssumme
- Mittelständler (50–250 MA, 5–50 Mio. € Umsatz): 5.000–25.000 € jährlich bei 1–5 Mio. € Deckungssumme
- Größerer Mittelstand (250+ MA, 50+ Mio. € Umsatz): 25.000–100.000 € jährlich, individuelle Deckungskonzepte
Wichtig zu wissen
Ein durchschnittlicher Ransomware-Vorfall kostet ein mittelständisches Unternehmen 250.000–2.000.000 Euro. Bei einer Eintrittswahrscheinlichkeit von 28 Prozent innerhalb von drei Jahren ist die Police in den meisten Szenarien wirtschaftlich sinnvoll.
Checkliste: In fünf Schritten zur Cyber-Police
- IT-Sicherheitsniveau dokumentieren: MFA aktiv? EDR installiert? Backup-Strategie? Patch-Management? Je besser die Dokumentation, desto besser die Konditionen.
- Deckungsbedarf kalkulieren: Betriebsunterbrechungskosten pro Tag berechnen, Anzahl personenbezogener Datensätze ermitteln (bestimmt das DSGVO-Risiko).
- Ausschlüsse verstehen: Nation-State, systemische Ereignisse und Sorgfaltspflicht-Klauseln genau lesen.
- Unabhängigen Makler einschalten: Der Cyber-Versicherungsmarkt ist komplex. Ein unabhängiger Makler kennt die Anforderungsprofile der Versicherer und verhandelt bessere Konditionen.
- Antrag wahrheitsgemäß ausfüllen: Jede Falschaussage kann im Schadensfall zur Leistungsverweigerung führen. Lieber ehrlich 'nein' ankreuzen und die Maßnahme nachrüsten.
Tipp
Als unabhängiger Versicherungsmakler in Calw analysieren wir Ihr IT-Sicherheitsniveau, berechnen Ihren Deckungsbedarf und vergleichen die Bedingungswerke der wichtigsten Cyber-Versicherer – von Allianz und AXA bis zu spezialisierten Anbietern wie HDI und Zurich. Vereinbaren Sie jetzt ein kostenloses Erstgespräch.
Firmen-Bedarfscheck
Welche Gewerbeversicherungen braucht Ihr Betrieb?
In 3 Minuten zur persönlichen Empfehlung – nach Branche und Betriebsgröße. Kostenlos und unverbindlich.
Fazit
Eine Cyber-Versicherung ersetzt keine IT-Sicherheit – aber sie ergänzt sie um eine finanzielle Schutzschicht, die für KMU existenzentscheidend sein kann. Die Prämien sind nach den Spitzenjahren 2021–2022 wieder erreichbar, die Anforderungen an die Sicherheitsarchitektur steigen jedoch. Für Geschäftsführer lautet die Frage nicht mehr ob, sondern wie: Welche Deckung passt zum Risikoprofil? Welche Ausschlüsse sind tragbar? Und welche Sicherheitsmaßnahmen machen das Unternehmen überhaupt versicherbar? Sprechen Sie uns an – wir helfen Ihnen, die richtige Antwort zu finden.
Persoenliche Beratung gewuenscht?
Unsere Experten helfen Ihnen, die richtige Loesung fuer Ihre Situation zu finden.
Jetzt Termin vereinbarenWelche Gewerbeversicherungen braucht Ihr Betrieb?
In 3 Minuten zur persönlichen Empfehlung – nach Branche und Betriebsgröße.
