Cyber-Versicherung für Unternehmen – Ransomware, Datenpanne & NIS-2

Eine Cyber-Versicherung schützt Unternehmen vor den finanziellen Folgen von Cyberangriffen, Datenpannen und IT-Betriebsunterbrechungen. Sie deckt zwei Bereiche ab: Eigenschäden (Forensik, Datenwiederherstellung, eigener Betriebsausfall) und Drittschäden (Haftpflichtansprüche Dritter, wenn deren Daten durch Sie kompromittiert wurden).

Grundsätzlich jedes Unternehmen, das Kundendaten verarbeitet, auf IT-Systeme angewiesen ist oder sensible Daten speichert. Besonders exponiert sind IT-Dienstleister, Arztpraxen, Anwaltskanzleien, Online-Händler und Steuerberater. Aber auch Handwerksbetriebe mit digitalisierter Auftragsverwaltung sind ein häufiges Ziel.

Für kleine Unternehmen und Selbständige beginnen die Preise bei rund 14 bis 30 Euro pro Monat. Die Prämie hängt von Umsatz, Branche, Anzahl der gespeicherten Datensätze und der gewählten Deckungssumme ab. IT-Unternehmen zahlen in der Regel mehr als Handwerker.

Eine gute Cyber-Versicherung deckt ab: IT-Forensik und Ursachenanalyse, Kosten für Datenwiederherstellung, Betriebsunterbrechungsschäden (entgangener Gewinn), Lösegeldzahlungen bei Ransomware (optional), DSGVO-Bußgelder und Anwaltskosten, Benachrichtigungskosten bei Datenpannen, Reputationsmanagement und Haftpflichtansprüche Dritter.

Eigenschäden (First-party): Ihre eigenen Kosten – IT-Forensik, Systemwiederherstellung, Betriebsausfall, Reputationsmanagement. Drittschäden (Third-party): Wenn durch einen Angriff auf Ihre Systeme auch Kundendaten kompromittiert werden, können Kunden Schadenersatz fordern. Gute Policen decken beides ab.

Die NIS-2-Richtlinie (gültig ab Oktober 2024) gilt für mittlere und große Unternehmen in 18 kritischen Sektoren. Betroffene Unternehmen müssen IT-Sicherheitsmaßnahmen nachweisen und Vorfälle innerhalb von 24 Stunden melden. Auch wenn NIS-2 nicht direkt für Sie gilt: Die EU-DSGVO mit ihrer 72-Stunden-Meldepflicht trifft jeden Betrieb, der Kundendaten verarbeitet.

Typische Ausschlüsse sind: vorsätzlich herbeigeführte Schäden, Cyberangriffe durch Kriegshandlungen oder staatliche Akteure (Kriegsklausel), vorvertragliche Schäden, die bereits vor Vertragsabschluss eingetreten sind, Schäden durch Betrieb veralteter, ungepatchter Software (wenn dies als Obliegenheitsverletzung gilt), Infrastrukturausfälle (z. B. Stromausfall durch den Netzbetreiber) sowie Bußgelder für vorsätzliche DSGVO-Verstöße. Auch Verluste aus Finanzmarkttransaktionen und Schäden durch Produkthaftung sind in der Regel ausgeschlossen. Die genauen Ausschlüsse variieren je Anbieter – Bedingungswerk sorgfältig prüfen.

Der Selbstbehalt ist der Betrag, den Sie im Schadenfall selbst tragen. Typische Werte liegen zwischen 500 und 5.000 Euro je Versicherungsfall. Ein höherer Selbstbehalt senkt die Jahresprämie spürbar – er sollte aber nur so hoch gewählt werden, wie Sie im Ernstfall liquide tragen können. Manche Anbieter (z. B. Hiscox) reduzieren den Selbstbehalt um 25 %, wenn Mitarbeitende ein zertifiziertes Cyber-Training absolviert haben. Wichtig: Bei Betriebsunterbrechung gilt oft zusätzlich ein zeitlicher Selbstbehalt (z. B. 12 Stunden), bevor die Versicherung zahlt.

Das NIS-2-Umsetzungsgesetz (neues BSIG) verpflichtet rund 30.000 Unternehmen in Deutschland zu Risikomanagement, Incident-Reporting (24-Stunden-Erstmeldung) und Lieferkettensicherheit. Eine Cyber-Versicherung ergänzt diese Pflichten: Sie übernimmt die Kosten für IT-Forensik und die Meldepflicht-Unterstützung bei einem Vorfall. Allerdings ersetzt die Versicherung keine aktive NIS-2-Compliance – fehlende Sicherheitsmaßnahmen können dazu führen, dass der Versicherer bei einer Obliegenheitsverletzung die Leistung kürzt. Unternehmen mit NIS-2-Pflicht sollten beim Abschluss darauf achten, dass die Police Assistance-Leistungen für behördliche Meldeverfahren und IT-Krisenreaktionsdienste (CERT/IT-Forensik) explizit einschließt.