Cyber-Versicherung Kosten – Preise im Vergleich

Was den Preis wirklich treibt

Der Beitrag einer Cyber-Versicherung ergibt sich nicht aus einer einzelnen Kennzahl, sondern aus dem Zusammenspiel mehrerer Risikofaktoren, die der Versicherer bei der Antragsstellung abfragt. Der Jahresumsatz ist dabei nur der Ausgangspunkt: Er dient als grober Indikator für die Unternehmensgröße und die Höhe eines möglichen Schadens, sagt für sich genommen aber wenig über das tatsächliche Risiko aus. Wichtiger ist häufig die Branche. Unternehmen, die große Mengen personenbezogener oder besonders schützenswerter Daten verarbeiten, etwa im Gesundheitswesen, in der Finanzberatung oder im Online-Handel, zahlen bei gleichem Umsatz spürbar mehr als ein Handwerksbetrieb mit wenig digitaler Kundenschnittstelle.

Das Datenvolumen, also die Anzahl gespeicherter Datensätze mit Namen, Adressen, Zahlungs- oder Gesundheitsdaten, fließt direkt in die Kalkulation ein, weil es die Höhe der Benachrichtigungskosten im Schadenfall bestimmt. Je mehr Personen bei einer Datenpanne informiert werden müssen, desto teurer wird ein Vorfall für den Versicherer, und desto höher fällt die Prämie aus.

Ein zentraler, oft unterschätzter Faktor ist das vorhandene IT-Sicherheitsniveau. Versicherer fragen im Antrag gezielt ab, ob Zwei-Faktor-Authentifizierung für Fernzugriffe eingesetzt wird, wie regelmäßig Backups erstellt und getestet werden, ob diese Backups vom Produktivsystem getrennt (offline oder unveränderlich) vorliegen, und ob ein Patch-Management für Sicherheitsupdates existiert. Fehlen diese Grundmaßnahmen, verlangen manche Versicherer entweder einen Risikoaufschlag oder lehnen den Antrag ganz ab, weil das Ausfallrisiko für sie unkalkulierbar wird. Auch die Schadenhistorie der letzten drei bis fünf Jahre wirkt sich aus: Ein Unternehmen mit einem bereits gemeldeten Vorfall zahlt bei der nächsten Vertragserneuerung in der Regel einen höheren Beitrag oder muss mit einem höheren Selbstbehalt rechnen.

Prämien nach Umsatzklasse: Orientierungswerte

Die folgende Übersicht zeigt grobe Richtwerte für den Jahresbeitrag bei einer mittleren Deckungssumme von rund 500.000 Euro und durchschnittlichem Risikoprofil. Branche, tatsächliches IT-Sicherheitsniveau und Schadenhistorie können die genannten Spannen in beide Richtungen deutlich verschieben. Die Werte dienen der groben Orientierung, nicht als verbindliches Angebot.

Wie Deckungssumme und Selbstbehalt den Beitrag verändern

Neben dem Umsatz beeinflusst die gewählte Deckungssumme den Beitrag am stärksten. Eine Verdopplung der Deckungssumme führt in der Regel nicht zu einer Verdopplung der Prämie, weil Großschäden statistisch seltener auftreten als kleine und mittlere Vorfälle. Trotzdem steigt der Beitrag mit jeder Stufe spürbar an, besonders sobald die Deckungssumme über den durchschnittlichen Schadenbedarf der jeweiligen Branche hinausgeht.

Der Selbstbehalt wirkt in die entgegengesetzte Richtung: Ein höherer Selbstbehalt senkt die Prämie, weil das Unternehmen einen größeren Anteil kleinerer Schäden selbst trägt. Für Unternehmen mit stabiler Liquidität kann ein höherer Selbstbehalt sinnvoll sein, um die laufenden Kosten zu senken. Für Betriebe mit engem finanziellen Spielraum ist ein niedriger Selbstbehalt oft die sicherere Wahl, auch wenn die laufende Prämie dadurch etwas höher ausfällt.

Welche Kostenarten die Police überhaupt trägt

Der Beitrag bemisst sich letztlich danach, welche Kostenarten im Schadenfall übernommen werden. Eine Cyber-Police deckt in der Regel mehrere Kostenblöcke, die im Ernstfall parallel anfallen: die forensische Untersuchung zur Feststellung des Angriffswegs und des Schadenausmaßes, die technische Wiederherstellung von Systemen und Daten, die Benachrichtigung betroffener Personen bei einer meldepflichtigen Datenpanne, sowie Kosten für Krisenkommunikation, wenn ein Vorfall öffentlich wird und die Reputation des Unternehmens betroffen ist.

Hinzu kommt die Betriebsunterbrechung: Entgangener Gewinn und fortlaufende Kosten, während der Betrieb wegen eines Cyberangriffs stillsteht. Rechtskosten für die Verteidigung gegen Ansprüche Dritter oder für die Kommunikation mit Aufsichtsbehörden gehören ebenfalls zum Standardumfang der meisten Policen.

Ein Sonderfall ist die Übernahme von Lösegeldzahlungen bei Ransomware-Angriffen. Viele Tarife schließen diese Leistung grundsätzlich ein, knüpfen sie aber an enge Bedingungen: Die Zahlung muss oft vorab mit dem Versicherer abgestimmt werden, unterliegt rechtlichen Grenzen etwa bei sanktionierten Empfängern, und wird häufig nur bis zu einem gesonderten, niedrigeren Sublimit innerhalb der Gesamtdeckungssumme erstattet. Wer sich auf diesen Baustein verlässt, sollte die genaue Formulierung im Bedingungswerk vor Vertragsabschluss prüfen.

Steuerliche Behandlung: Betriebsausgabe

Die Beiträge zur Cyber-Versicherung sind für Unternehmen steuerlich als Betriebsausgabe absetzbar, sofern die Police betrieblich veranlasst ist. Das gilt unabhängig von der Rechtsform, also sowohl für Einzelunternehmer und Freiberufler als auch für Kapitalgesellschaften. Die Prämie mindert damit den steuerpflichtigen Gewinn im jeweiligen Wirtschaftsjahr. Anders als bei manchen Rechtsschutzversicherungen gibt es bei der Cyber-Versicherung keine Sonderregelung, die den Betriebsausgabenabzug einschränkt. Voraussetzung ist lediglich, dass die versicherten Risiken tatsächlich dem Geschäftsbetrieb zuzuordnen sind und nicht ausschließlich private Zwecke abgedeckt werden, was bei einer Cyber-Police für ein Unternehmen in der Praxis ohnehin der Regelfall ist.