Cyberversicherung für Gewerbe und Branchen mit besonders sensiblen Daten

Eine Cyberversicherung schützt Unternehmen vor finanziellen Folgen von Cyberangriffen, IT-Sicherheitsvorfällen, Datenverletzungen und daraus entstehenden Betriebsunterbrechungen, Haftungsansprüchen sowie Krisen- und Wiederherstellungskosten.

Kleine Unternehmen verfügen häufig über geringere IT-Ressourcen, weniger Redundanzen und knappe Liquiditätsreserven. Ein mehrtägiger Systemausfall, Datenverlust oder Erpressungsversuch kann deshalb besonders schwer wiegen.

Besonders sensible Daten verarbeiten unter anderem Arzt- und Zahnarztpraxen, Pflegeeinrichtungen, Apotheken, Psychotherapeuten, Kanzleien, Steuerberater, Versicherungs- und Finanzdienstleister, Personalabteilungen, Schulen, soziale Einrichtungen und IT-Dienstleister.

Artikel 9 DSGVO nennt unter anderem Gesundheitsdaten, genetische und biometrische Daten, Angaben zur rassischen oder ethnischen Herkunft, politische Meinungen, religiöse Überzeugungen, Gewerkschaftszugehörigkeit sowie Daten zum Sexualleben oder zur sexuellen Orientierung.

Gesundheitsdaten können für Identitätsdiebstahl, Erpressung, Diskriminierung oder gezielte Täuschung missbraucht werden. Eine Offenlegung lässt sich anders als ein Passwort nicht rückgängig machen.

Ein Cyber-Eigenschaden betrifft das eigene Unternehmen, etwa Forensik, Wiederherstellung, Betriebsunterbrechung, Krisenkommunikation, Datenrekonstruktion oder Mehrkosten.

Cyberhaftpflicht schützt vor gesetzlichen Schadenersatzansprüchen Dritter, beispielsweise wegen einer Datenschutzverletzung, unzureichender IT-Sicherheit oder Weitergabe von Schadsoftware.

Eine Verletzung des Schutzes personenbezogener Daten ist eine Sicherheitsverletzung, die zur Vernichtung, zum Verlust, zur Veränderung oder zur unbefugten Offenlegung beziehungsweise zum unbefugten Zugang zu personenbezogenen Daten führt.

Ransomware ist Schadsoftware, die Systeme oder Daten verschlüsselt, exfiltriert oder sperrt und häufig mit einer Erpressungsforderung verbunden ist.

Tarife können Erpressungskosten unter engen Voraussetzungen einschließen. Eine Zahlung muss rechtlich zulässig, mit Versicherer und Spezialisten abgestimmt und sicherheitsbehördlich bewertet sein. Eine Leistungsgarantie besteht nicht.

Nein. Sanktionen, Geldwäschevorschriften, fehlende Zustimmung, Ausschlüsse, fehlende Plausibilität oder rechtliche Verbote können einer Zahlung entgegenstehen.

Angreifer verschlüsseln nicht nur Systeme, sondern stehlen Daten und drohen zusätzlich mit Veröffentlichung, Kontaktaufnahme zu Kunden oder weiteren Angriffen.

Phishing ist der Versuch, über gefälschte E-Mails, Webseiten, Nachrichten oder Anrufe Zugangsdaten, Zahlungsinformationen oder Handlungen von Beschäftigten zu erlangen.

Beim Business Email Compromise manipulieren Täter geschäftliche Kommunikation oder E-Mail-Konten, um Zahlungen auf falsche Konten umzuleiten.

Zahlungsbetrug durch fingierte Weisungen kann über Cyber-, Vertrauensschaden- oder spezielle Social-Engineering-Bausteine versichert sein. Viele Cyberpolicen decken solche Vermögensschäden nicht automatisch.

Social Engineering nutzt psychologische Manipulation, Autorität, Zeitdruck oder Vertrauen, um Menschen zur Preisgabe von Informationen oder zu Zahlungen zu bewegen.

Fahrlässige Bedienungs-, Konfigurations- oder Sicherheitsfehler können versichert sein. Vorsätzliche Handlungen und bekannte Sicherheitsverstöße sind regelmäßig ausgeschlossen.

Eigenschäden durch vorsätzliche Handlungen von Vertrauenspersonen gehören häufig in eine Vertrauensschadenversicherung. Cyberpolicen können nur begrenzte Erweiterungen enthalten.

Je nach Tarif können auch Bedienfehler, versehentliches Löschen oder technische Ursachen versichert sein. Hardwaredefekte und reine Verschleißschäden sind abzugrenzen.

Betriebsunterbrechungen durch Ausfall versicherter Cloud- oder IT-Dienstleister können eingeschlossen sein. Benannte Anbieter, Wartezeiten, Sublimits und Abhängigkeiten sind zu prüfen.

Software-as-a-Service kann als externer IT-Dienstleister erfasst sein. Maßgeblich sind Vertragsdefinition, versicherte Ursache und betriebliche Abhängigkeit.

Der Ausfall eines externen Rechenzentrums kann über eine Dienstleister- oder Cloud-Erweiterung gedeckt sein. Physische Schäden, Stromausfall und Cyberursachen sind zu unterscheiden.

Sie ersetzt nach einem versicherten Cyberereignis entgangenen Betriebsgewinn, fortlaufende Kosten und gegebenenfalls Mehrkosten während der vereinbarten Haftzeit.

Die Versicherung beginnt erst nach Ablauf einer vereinbarten Wartezeit, beispielsweise nach mehreren Stunden Betriebsunterbrechung.

Die Haftzeit sollte technische Wiederherstellung, Datenprüfung, Neuinstallation, Freigabeprozesse, Rückstau in der Bearbeitung und Wiedergewinnung von Kunden berücksichtigen.

Mehrkosten sind zusätzliche Ausgaben zur Aufrechterhaltung oder schnellen Wiederaufnahme des Betriebs, etwa Ersatzsysteme, externe Fachkräfte, Notarbeitsplätze oder Expressbeschaffung.

Gute Cyberpolicen übernehmen angemessene Kosten spezialisierter Forensiker zur Ursachenanalyse, Eindämmung, Beweissicherung und Wiederherstellung.

Wiederherstellung oder Rekonstruktion von Daten und Programmen kann versichert sein. Die Qualität und Verfügbarkeit von Backups bleibt entscheidend.

Kosten zur Wiederherstellung des Zustands vor dem Schaden können versichert sein. Technische Verbesserungen oder ohnehin notwendige Modernisierungen sind häufig nicht vollständig gedeckt.

Tarife können PR-Beratung, Callcenter, Kundeninformation, Medienarbeit und Reputationsmaßnahmen einschließen.

Spezialisierte Rechtsberatung zur Bewertung von Meldepflichten, Kommunikation und Haftung kann als Krisenkosten versichert sein.

Kosten für die Information betroffener Per­sonen können eingeschlossen sein, etwa Porto, Callcenter, Identitätsschutz oder Übersetzungen.

Nach Artikel 33 DSGVO muss eine meldepflichtige Verletzung grundsätzlich unverzüglich und möglichst innerhalb von 72 Stunden nach Bekanntwerden an die zuständige Aufsichtsbehörde gemeldet werden.

Nein. Eine Meldung an die Aufsichtsbehörde ist nicht erforderlich, wenn die Verletzung voraussichtlich nicht zu einem Risiko für Rechte und Freiheiten natürlicher Per­sonen führt. Die Bewertung muss dokumentiert werden.

Nach Artikel 34 DSGVO müssen Betroffene grundsätzlich unverzüglich informiert werden, wenn die Datenschutzverletzung voraussichtlich ein hohes Risiko für ihre Rechte und Freiheiten zur Folge hat.

Bußgelder sind nur versicherbar, soweit dies rechtlich zulässig ist. Viele Policen bieten lediglich Prüfungs- und Abwehrkosten oder eine sehr eingeschränkte Deckung.

Vertragsstrafen und pauschalierte Schadenersatzansprüche sind regelmäßig ausgeschlossen oder nur begrenzt versicherbar.

Gesetzliche Schadenersatzansprüche wegen Datenverlust, Datenschutzverletzung oder Systembeeinträchtigung können im Rahmen der Cyberhaftpflicht gedeckt sein.

Bei versicherten Datenschutz- oder Vertraulichkeitsverletzungen können Ansprüche von Patienten, Mandanten oder anderen Betroffenen gedeckt sein. Berufsrechtliche Besonderheiten sind zu prüfen.

Verletzungen von Vertraulichkeit oder Berufsgeheimnissen können in Cyber- oder Berufshaftpflichtdeckungen erfasst sein. Strafrechtliche Folgen und vorsätzliche Verstöße sind nicht versicherbar.

Ja. Arztpraxen verarbeiten Gesundheitsdaten, nutzen Praxissoftware, Telematikinfrastruktur, Abrechnungssysteme und vernetzte Medizintechnik. Betriebsunterbrechung und Datenschutzrisiken sind besonders hoch.

Ja. Patientendaten, Röntgenbilder, Abrechnung, Terminverwaltung und digitale Fertigungsprozesse können von einem Angriff betroffen sein.

Ja. Pflegeeinrichtungen verarbeiten Gesundheits-, Sozial- und Beschäftigtendaten und sind auf Dienstplanung, Dokumentation, Medikation und Abrechnung angewiesen.

Ja. Apotheken verarbeiten Gesundheits- und Abrechnungsdaten und benötigen Warenwirtschaft, Rezept- und Kassensysteme für den laufenden Betrieb.

Ja. Rechtsanwälte, Notare und andere Kanzleien verarbeiten vertrauliche Mandatsdaten, Fristen, Vertragsunterlagen und häufig besonders schützenswerte Informationen.

Ja. Steuerberater verarbeiten Finanz-, Lohn-, Steuer- und Unternehmensdaten. Datenverlust oder Systemausfall kann Fristen, Abrechnung und Mandantenbetrieb beeinträchtigen.

Ja. Vermittler verarbeiten Vertrags-, Schaden-, Gesundheits-, Bank- und Identitätsdaten. Gesundheitsdaten und Zugangsdaten verlangen besonders hohe Schutzmaßnahmen.

Ja. Personalakten enthalten Vergütungs-, Gesundheits-, Bank-, Leistungs- und gegebenenfalls Disziplinardaten.

Ja. Daten von Kindern, Jugendlichen und hilfebedürftigen Per­sonen können besonders schutzwürdig sein. Gleichzeitig sind Budgets und IT-Ressourcen häufig begrenzt.

Ja. Fehler oder Sicherheitsvorfälle beim IT-Dienstleister können viele Kunden gleichzeitig treffen. Berufs-, Cyber- und Technologiehaftpflicht müssen abgestimmt werden.

Eigene Haftung gegenüber Auftraggebern kann versichert sein. Der Ausfall oder Fehler externer Auftragsverarbeiter benötigt zusätzlich eine Dienstleisterdeckung.

Ein Kumulrisiko liegt vor, wenn ein Ereignis gleichzeitig viele Versicherte oder Kunden betrifft, etwa eine Schwachstelle in weit verbreiteter Software oder der Ausfall eines großen Cloud-Anbieters.

Angriffe über Softwarelieferanten, Dienstleister oder Updates können versichert sein. Kumul-, Dienstleister- und Schwachstellenklauseln sind besonders wichtig.

Angriffe über bisher unbekannte Schwachstellen können grundsätzlich gedeckt sein, sofern kein spezieller Ausschluss greift und vereinbarte Sicherheitsanforderungen erfüllt wurden.

Bekannte Schwachstellen sind öffentlich dokumentierte Sicherheitslücken, für die häufig bereits Updates oder Gegenmaßnahmen verfügbar sind.

Patchmanagement ist der geregelte Prozess, Sicherheitsupdates zu bewerten, zu testen, priorisiert einzuspielen und zu dokumentieren.

Ja. Werden im Antrag oder Vertrag konkrete Updatefristen zugesagt und nicht eingehalten, können Obliegenheits- oder Anzeigefragen entstehen.

Viele Versicherer verlangen Mehrfaktor-Authentifizierung insbesondere für externe Zugänge, Administratoren, Cloud-Dienste, E-Mail und kritische Systeme.

Ein Offline-Backup ist vom produktiven Netzwerk getrennt und kann von einem Angreifer nicht ohne Weiteres verschlüsselt oder gelöscht werden.

Drei Datenkopien auf mindestens zwei unterschiedlichen Medien, davon eine Kopie räumlich oder technisch getrennt. Moderne Konzepte ergänzen unveränderbare und regelmäßig getestete Backups.

Ja. Ein vorhandenes Backup ist wertlos, wenn es unvollständig, ebenfalls verschlüsselt oder nicht zeitnah wiederherstellbar ist.

Netzwerksegmentierung trennt Systeme und Berechtigungsbereiche, damit sich ein Angriff nicht ungehindert im gesamten Unternehmen ausbreitet.

Beschäftigte und Systeme erhalten nur diejenigen Zugriffsrechte, die sie für ihre Aufgaben benötigen.

EDR überwacht Endgeräte auf verdächtige Aktivitäten und unterstützt Erkennung, Eindämmung und Analyse von Angriffen.

Ein Incident-Response-Plan legt Rollen, Meldewege, Entscheidungen, Dienstleister, Behördenkontakte, Kommunikationsregeln und Wiederanlauf fest.

Die IT-Notfallkarte des BSI unterstützt Unternehmen dabei, erste Schritte und Ansprechpartner für einen IT-Notfall sichtbar bereitzuhalten.

Der CyberRisikoCheck nach DIN SPEC 27076 ist ein strukturierter Einstieg für kleine und mittlere Unternehmen, bei dem ein qualifizierter Dienstleister den Sicherheitsstand anhand eines Interviews bewertet.

Nein. Versicherung finanziert und organisiert Schadenhilfe, verhindert aber keinen Angriff. Technische, organisatorische und personelle Schutzmaßnahmen bleiben erforderlich.

Häufig verlangt werden aktuelle Systeme, Patchmanagement, Firewalls, Virenschutz oder EDR, Mehrfaktor-Authentifizierung, Backups, Rechtekonzept, Mitarbeiterschulung und Notfallplanung.

Unrichtige oder unvollständige Angaben zu IT-Systemen und Sicherheitsmaßnahmen können zu Vertragsänderung, Rücktritt, Kündigung oder Leistungsproblemen führen.

Nach § 19 VVG müssen die vom Versicherer in Textform gestellten Gefahrfragen vollständig und richtig beantwortet werden.

Obliegenheiten können Meldepflichten, Schadenminderung, Beweissicherung, Zusammenarbeit mit Dienstleistern und Einhaltung ausdrücklich vereinbarter Sicherheitsmaßnahmen umfassen.

Systeme nicht vorschnell löschen, Angriff eindämmen, Beweise sichern, Notfallkontakte aktivieren, Versicherer informieren und rechtliche Meldepflichten prüfen.

Das hängt vom Angriff ab. Unkoordinierte Maßnahmen können Beweise zerstören. Nach Möglichkeit sollte nach einem vorbereiteten Notfallplan und mit IT-Forensikern gehandelt werden.

Bei Erpressung, Betrug, Datendiebstahl oder anderen Straftaten ist eine Anzeige häufig sinnvoll. Die Abstimmung mit Forensik, Versicherer und Rechtsberatung erleichtert das Vorgehen.

Je nach Vorfall kommen Datenschutzaufsicht, Polizei, BSI, branchenspezifische Aufsicht oder weitere Stellen in Betracht.

Die EU-Richtlinie NIS 2 erweitert Anforderungen an Cybersicherheits-Risikomanagement und Vorfallmeldungen auf weitere wichtige und besonders wichtige Einrichtungen in zahlreichen Sektoren.

Nein. Anwendungsbereich, Größenkriterien, Branche, Sonderfälle und nationale Umsetzung müssen konkret geprüft werden. Eine Cyberversicherung ersetzt keine gesetzlichen Pflichten.

Der Digital Operational Resilience Act ist eine EU-Verordnung zur digitalen operationalen Resilienz im Finanzsektor und gilt seit dem 17. Januar 2025 für erfasste Finanzunternehmen und bestimmte IKT-Dienstleister.

Die konkrete Einordnung hängt von Tätigkeit, Größe und gesetzlichen Ausnahmen ab. Versicherungsvermittler sollten ihre Betroffenheit mit Rechts- oder Compliance-Beratung prüfen.

Die Telematikinfrastruktur verbindet Akteure des deutschen Gesundheitswesens für digitale Anwendungen. Praxen und Leistungserbringer benötigen dafür besondere technische und organisatorische Schutzmaßnahmen.

Vernetzte Medizintechnik kann gleichzeitig Patientensicherheit, Datenschutz und Betriebsfähigkeit betreffen. Cyber-, Elektronik-, Produkthaftungs- und Betriebsunterbrechungsrisiken müssen abgestimmt werden.

Cyberversicherung bezieht sich primär auf digitale Ereignisse. Papierakten, physischer Diebstahl und klassische Datenschutzverletzungen können nur über Erweiterungen oder andere Policen erfasst sein.

Notebooks, Tablets und Smartphones können als Zugangspunkt und Datenquelle relevant sein. Eigene Sachschäden gehören jedoch regelmäßig in Elektronik- oder Inhaltsversicherungen.

Homeoffice kann im räumlichen und technischen Geltungsbereich enthalten sein. Private Geräte, Router, Familiennutzung und Fernzugänge müssen berücksichtigt werden.

Bring-your-own-device-Risiken müssen ausdrücklich betrachtet werden. Sachschäden am privaten Gerät sind nicht automatisch Bestandteil der Cyberversicherung.

Direkter Umsatzverlust durch Rufschädigung ist schwer messbar. Tarife übernehmen eher PR- und Krisenkommunikationskosten als einen pauschalen Reputationswert.

Ja. Cyber-Betriebsunterbrechung setzt regelmäßig keinen physischen Sachschaden voraus, sondern ein versichertes IT-Sicherheitsereignis.

Reine Infrastruktur- oder Versorgungsausfälle sind häufig ausgeschlossen oder nur bei besonderer Erweiterung gedeckt.

Sie kann Betriebsunterbrechung durch technische Störung oder Ausfall von IT-Systemen auch ohne Cyberangriff decken. Umfang und Abgrenzung unterscheiden sich stark.

Eine notwendige Abschaltung zur Eindämmung eines versicherten Vorfalls kann gedeckt sein. Rein vorsorgliche Maßnahmen ohne versichertes Ereignis sind häufig nicht versichert.

Sie kann unbekannte Cyberereignisse aus der Zeit vor Vertragsbeginn erfassen, wenn der Versicherungsfall oder die Anspruchserhebung erst später eintritt.

Bei Haft­pflichtbausteinen kann es darauf ankommen, wann ein Anspruch erstmals erhoben wird. Rückwärtsdeckung und Nachmeldefrist sind dann besonders wichtig.

Sie regelt, wie lange nach Vertragsende Ansprüche aus während der Versicherungszeit liegenden Ereignissen gemeldet werden können.

Die Versicherungssumme ist die maximale Leistung je Versicherungsfall oder Versicherungsjahr. Für Eigenschaden, Haft­pflicht, Erpressung und Dienstleister können Sublimits gelten.

Sie sollte Forensik, Wiederherstellung, Betriebsunterbrechung, Haftung, Benachrichtigung, Krisenkommunikation und mögliche Kumulschäden berücksichtigen.

Sie begrenzt die Summe aller Leistungen innerhalb eines Versicherungsjahres.

Sie sollte zur Liquidität und Risikotragfähigkeit passen. Neben einem Geldbetrag kann eine zeitliche Selbstbeteiligung für Betriebsunterbrechung gelten.

Der Beitrag hängt von Branche, Umsatz, Datenarten, IT-Abhängigkeit, Sicherheitsniveau, Versicherungssumme, Vorschäden und gewünschten Bausteinen ab.

Eine pauschal beste Lösung gibt es nicht. Entscheidend sind Branche, sensible Daten, Betriebsunterbrechung, Dienstleister, Haftung, Erpressung, Forensik, Sicherheitsanforderungen und erreichbare Krisenhilfe.

Benötigt werden Branche, Umsatz, Mitarbeiterzahl, Datenarten, IT-Systeme, Cloud- und Dienstleisterabhängigkeiten, Sicherheitsmaßnahmen, Backups, Mehrfaktor-Authentifizierung, Vorschäden und bestehende Verträge.

Nein. Hans Kurtzweg berät Unternehmen und freie Berufe in Trebbin, Teltow-Fläming, Brandenburg, Berlin und digital bundesweit.