Cyber-Versicherung Vergleich – Anbieter & Leistungen

Rückwirkungsfrist und Wartezeit: Zwei unterschiedliche Zeitfenster

Beim Vergleich von Cyber-Policen lohnt sich zuerst ein Blick auf zwei Zeitfenster, die häufig verwechselt werden. Die Rückwirkungsfrist (Retroaktivdeckung) legt fest, ob auch Angriffe erfasst sind, die technisch bereits vor Vertragsbeginn begonnen haben, aber erst später entdeckt werden, etwa eine Schadsoftware, die sich unbemerkt über Wochen im Netzwerk ausbreitet, bevor sie aktiv wird. Policen ohne Rückwirkungsklausel oder mit einem sehr kurzen Zeitfenster lassen genau diese schleichenden Angriffe außen vor.

Die Wartezeit betrifft dagegen den Vertragsbeginn selbst: Manche Tarife sehen eine Karenzzeit von wenigen Tagen bis zu mehreren Wochen vor, in der noch kein voller Versicherungsschutz besteht. Diese Regelung soll verhindern, dass ein Unternehmen erst nach Entdeckung eines Angriffs schnell eine Police abschließt. Für den Vergleich bedeutet das: Ein günstiger Beitrag mit langer Wartezeit und fehlender Rückwirkungsklausel kann im Ernstfall wertlos sein, während ein etwas teurerer Tarif mit sauberer Rückwirkungsregelung den tatsächlich besseren Schutz bietet.

Betriebsunterbrechung: Ab welcher Stunde greift der Schutz

Die Betriebsunterbrechungsdeckung ist selten von Anfang an aktiv. Fast alle Anbieter vereinbaren eine sogenannte Karenzzeit oder Wartefrist, ab der die Entschädigung für entgangenen Gewinn und Mehrkosten zu laufen beginnt, häufig zwischen 8 und 24 Stunden nach Eintritt der Störung. Ein Ausfall, der innerhalb dieser Frist behoben wird, bleibt damit finanziell folgenlos für den Versicherer und ungedeckt für das Unternehmen. Für Betriebe mit hoher Abhängigkeit von durchgehender IT-Verfügbarkeit, etwa Online-Shops oder Dienstleister mit engen Reaktionszeiten gegenüber Kunden, ist eine kurze Karenzzeit ein wichtiges Vergleichskriterium, auch wenn sie den Beitrag erhöht.

Ebenso relevant ist die maximale Haftungsdauer der Betriebsunterbrechungsdeckung, also wie viele Wochen oder Monate nach dem Vorfall Ansprüche noch geltend gemacht werden können. Manche Einsteigertarife begrenzen diesen Zeitraum recht knapp, was bei einem größeren Wiederherstellungsaufwand nicht ausreicht.

Social Engineering und Zahlungsumleitung: Die häufig unterschätzte Lücke

Ein zentraler Unterschied zwischen den Anbietern zeigt sich bei Schäden durch Social Engineering, insbesondere beim sogenannten Fake-President-Trick oder Business Email Compromise: Ein Mitarbeiter wird durch eine gefälschte E-Mail oder einen manipulierten Anruf dazu gebracht, eine Zahlung auf ein falsches Konto zu veranlassen. Viele Grundtarife schließen diese Schäden entweder komplett aus, weil formal kein technischer Hackerangriff vorliegt, sondern eine durch Täuschung herbeigeführte Handlung der eigenen Mitarbeiter. Andere Policen decken das Risiko zwar ein, begrenzen die Leistung aber über ein eigenes, deutlich niedrigeres Sublimit innerhalb der Gesamtdeckungssumme.

Für Unternehmen mit regelmäßigem Zahlungsverkehr, insbesondere im Auslandsgeschäft, ist diese Deckung keine Nebensache, sondern häufig das Risiko mit der höchsten Eintrittswahrscheinlichkeit. Beim Vergleich lohnt sich deshalb ein gezielter Blick auf die Formulierung im Bedingungswerk, nicht nur auf das Vorhandensein des Stichworts Social Engineering im Leistungsverzeichnis.

Sublimits als Hauptfalle im Bedingungswerk

Die auf der ersten Seite eines Angebots genannte Deckungssumme sagt wenig darüber aus, wie viel im konkreten Schadenfall tatsächlich ausgezahlt wird. Viele Policen arbeiten mit sogenannten Sublimits, also eigenen, niedrigeren Höchstgrenzen für einzelne Leistungsbausteine innerhalb der Gesamtsumme. Typische Beispiele sind eigene Sublimits für Social Engineering, für Lösegeldzahlungen, für Bußgelder aus dem Ausland oder für Kosten der Krisenkommunikation. Eine Police mit nominell hoher Gesamtdeckungssumme, aber niedrigen Sublimits in genau den Bereichen mit hoher Eintrittswahrscheinlichkeit, bietet in der Praxis oft weniger Schutz als ein Tarif mit geringerer Gesamtsumme, aber ausgewogenen Einzellimits.

Ein sauberer Vergleich verlangt deshalb, sich nicht mit der Headline-Deckungssumme zufriedenzugeben, sondern die Sublimit-Tabelle im Bedingungswerk Zeile für Zeile zu prüfen und gegen das eigene Risikoprofil zu spiegeln.

Assistance-Leistungen und Obliegenheiten zur IT-Sicherheit

Ein weiteres Vergleichskriterium ist die Qualität der Assistance-Leistungen im akuten Schadenfall. Gute Policen stellen eine rund um die Uhr erreichbare Hotline bereit, über die im Ernstfall unmittelbar IT-Forensiker, Rechtsberatung und Kommunikationsexperten koordiniert werden, statt dass das Unternehmen selbst unter Zeitdruck passende Dienstleister suchen muss. Ob dieses Netzwerk fest beim Versicherer angebunden ist oder erst im Schadenfall extern beauftragt wird, wirkt sich in der Praxis spürbar auf die Reaktionsgeschwindigkeit aus.

Gegenläufig dazu stehen die Obliegenheiten, die der Versicherungsnehmer im Bedingungswerk zu erfüllen hat, etwa die Pflicht zu regelmäßigen Backups, aktuellen Sicherheitsupdates oder einer Zwei-Faktor-Authentifizierung für Fernzugriffe. Werden diese Obliegenheiten verletzt und steht die Verletzung im Zusammenhang mit dem eingetretenen Schaden, kann der Versicherer die Leistung kürzen oder in schweren Fällen vollständig verweigern. Beim Vergleich ist deshalb wichtig, wie konkret diese Anforderungen formuliert sind und ob sie zum tatsächlichen IT-Sicherheitsniveau des eigenen Betriebs passen, statt Standards vorauszusetzen, die im Alltag kaum einzuhalten sind. Bußgelder aus einem DSGVO-Verstoß selbst sind in Deutschland nach überwiegender Rechtsauffassung ohnehin weitgehend nicht versicherbar, weil es sich um eine hoheitliche Sanktion handelt. Versicherbar sind in der Regel nur die Kosten rund um den Vorfall, also Meldeverfahren, Rechtsberatung und Verteidigung gegen den Bußgeldbescheid, nicht das Bußgeld selbst.