Was zahlt eine Cyberversicherung wirklich?

Montagmorgen, 8:12 Uhr: Das Warenwirtschaftssystem startet nicht, Mitarbeitende kommen nicht in E-Mails, Kunden rufen an, weil Bestellungen ausbleiben. In genau solchen Momenten stellt sich sehr konkret die Frage: Was zahlt eine Cyberversicherung – und was eben nicht?

Die kurze Antwort lautet: Eine gute Cyberversicherung übernimmt in der Regel nicht nur den reinen finanziellen Schaden nach einem Hackerangriff. Sie kann auch die Kosten für IT-Forensik, Krisenmanagement, Datenwiederherstellung, Betriebsunterbrechung, Haftungsfälle und in vielen Tarifen sogar spezialisierte externe Hilfe abdecken. Entscheidend ist aber immer das Bedingungswerk. Denn zwischen „Cyber versichert“ und „im Ernstfall wirklich geholfen“ liegt oft ein großer Unterschied.

Was zahlt eine Cyberversicherung im Kern?

Cyberversicherungen sind keine einheitlichen Produkte. Gerade für Selbstständige, Praxen, Kanzleien, Handwerksbetriebe oder kleinere Unternehmen ist das wichtig, weil die Risiken sehr unterschiedlich aussehen. Ein Online-Shop hat andere Schwachstellen als eine Hausverwaltung oder eine Arztpraxis.

Typischerweise besteht der Schutz aus drei Bereichen: Eigenschäden, Haftpflichtschäden und Serviceleistungen im Schadenfall. Eigenschäden betreffen das eigene Unternehmen – also zum Beispiel Kosten, weil Systeme ausfallen oder Daten wiederhergestellt werden müssen. Haftpflichtschäden greifen, wenn Dritte Ansprüche stellen, etwa Kunden oder Geschäftspartner. Die Serviceleistungen sind oft der Teil, der im Ernstfall am meisten hilft, weil sofort Spezialisten koordiniert werden.

Wenn ein Angriff die IT lahmlegt, zahlt die Cyberversicherung häufig die Analyse des Vorfalls durch IT-Forensiker. Diese Experten klären, wie der Angriff ablief, welche Systeme betroffen sind und wie die Schadensbegrenzung aussieht. Gerade für kleinere Betriebe ist das ein zentraler Punkt. Denn ohne externe Spezialisten lässt sich ein Cybervorfall oft weder sauber einordnen noch schnell beheben.

Hinzu kommen in vielen Tarifen die Kosten für die Wiederherstellung von Daten und Programmen. Das umfasst je nach Vertrag die Rekonstruktion beschädigter Datenbestände, die Neuinstallation von Software oder die Bereinigung infizierter Systeme. Wer etwa mit Kundendaten, Auftragsdaten oder digitalen Projektakten arbeitet, merkt schnell, wie teuer schon wenige Tage Datenchaos werden können.

Welche Schäden übernimmt die Versicherung nach einem Angriff?

Besonders relevant ist die Betriebsunterbrechung. Wenn ein Unternehmen wegen eines Cybervorfalls nicht arbeiten kann, entstehen oft die größten Schäden nicht durch die Technik selbst, sondern durch Stillstand. Umsätze brechen weg, Aufträge verzögern sich, Personal ist gebunden, Fristen werden verpasst.

Eine Cyberversicherung kann in solchen Fällen den Ertragsausfall und fortlaufende Kosten ersetzen – also zum Beispiel laufende Löhne, Mieten oder andere Fixkosten während der Unterbrechung. Ob und in welchem Umfang das greift, hängt stark davon ab, wie der Vertrag den Ausfall definiert. Manche Tarife leisten erst ab einer bestimmten Dauer, andere sind deutlich kundenfreundlicher aufgebaut.

Ebenfalls wichtig: Viele Policen übernehmen Mehrkosten, die entstehen, um den Betrieb schneller wieder ans Laufen zu bringen. Wenn ein Unternehmen kurzfristig externe IT-Unterstützung, Ersatzsysteme oder Notfallmaßnahmen finanzieren muss, kann das versichert sein. Diese Position wird oft unterschätzt, obwohl sie im Alltag sehr praxisrelevant ist.

Was zahlt eine Cyberversicherung bei Haftungsfällen?

Cybervorfälle bleiben selten auf das eigene Unternehmen begrenzt. Werden Kundendaten kompromittiert, Systeme von Auftraggebern beeinträchtigt oder Dienstleistungsverträge verletzt, können Ansprüche Dritter folgen. Dann geht es nicht mehr nur um den eigenen Schaden, sondern um Haftung.

Hier greift der Haftpflichtteil der Cyberversicherung. Er prüft, ob Ansprüche berechtigt sind, wehrt unberechtigte Forderungen ab und übernimmt im versicherten Umfang Schadenersatzleistungen. Das ist besonders relevant für Unternehmen, die digital mit Kundendaten arbeiten, cloudbasierte Prozesse nutzen oder vertraglich bestimmte IT-Verfügbarkeiten schulden.

Für Dienstleister, Agenturen, IT-nahe Betriebe, Verwaltungen oder medizinische Einrichtungen kann dieser Baustein wichtiger sein als viele zunächst annehmen. Denn der finanzielle Schaden entsteht nicht immer durch den eigenen Systemausfall, sondern dadurch, dass ein Dritter betroffen ist und Ersatz verlangt.

Diese Kostenpositionen sind oft mitversichert

Wer fragt, was eine Cyberversicherung zahlt, denkt häufig zuerst an Hacker und Lösegeldforderungen. Das greift zu kurz. Viele gute Tarife decken deutlich mehr ab, etwa PR- und Krisenkommunikation, wenn der Vorfall öffentlich wird und das Vertrauen von Kunden leidet.

Auch Benachrichtigungskosten können versichert sein, wenn Betroffene informiert werden müssen. Dazu kommen in manchen Verträgen Kosten für Callcenter-Dienstleistungen, externe Kommunikation oder rechtliche Erstkoordination im Schadenmanagement. Gerade bei datenbezogenen Vorfällen zählt Geschwindigkeit. Ein guter Versicherer zahlt deshalb nicht nur Geld, sondern organisiert Hilfe.

Manche Policen leisten außerdem bei Cyber-Erpressung. Das heißt nicht automatisch, dass jede Lösegeldzahlung einfach übernommen wird. Vielmehr geht es häufig um die Begleitung durch Spezialisten, die Einschätzung der Lage und – je nach Vertragsinhalt – um versicherte Kosten im Zusammenhang mit dem Erpressungsversuch. Genau hier lohnt sich eine sehr genaue Prüfung der Bedingungen.

Wo liegen die typischen Grenzen?

Nicht jeder digitale Zwischenfall ist automatisch versichert. Viele Unternehmen gehen davon aus, dass „Cyber“ schon alles abdeckt, was irgendwie mit IT zu tun hat. Das ist ein häufiger Irrtum.

Typische Ausschlüsse oder Einschränkungen betreffen vorsätzlich herbeigeführte Schäden, bekannte Altrisiken, vertraglich nicht vereinbarte Sicherheitsstandards oder nicht gemeldete Gefahrerhöhungen. Auch grob veraltete IT-Strukturen können im Schadenfall zum Problem werden, wenn der Versicherer bestimmte Mindestanforderungen voraussetzt.

Ein weiterer Punkt sind Sublimits. Ein Vertrag kann zwar viele Bausteine enthalten, aber einzelne Leistungen – etwa Forensik, Betriebsunterbrechung oder Krisenkommunikation – nur bis zu begrenzten Summen abdecken. Dann ist die Leistung grundsätzlich da, reicht im Ernstfall aber nicht weit genug.

Außerdem unterscheiden sich Tarife bei der Frage, wann genau ein Versicherungsfall vorliegt. Reicht schon eine konkrete Sicherheitsverletzung? Muss es zu einem vollständigen Systemausfall kommen? Ist menschliches Fehlverhalten mitversichert, etwa wenn ein Mitarbeitender auf eine Phishing-Mail hereinfällt? Gerade diese Details entscheiden am Ende darüber, ob der Vertrag zu Ihrem Betrieb passt.

Für wen ist eine Cyberversicherung besonders sinnvoll?

Die klassische Antwort wäre: für fast jedes Unternehmen. Die präzisere Antwort lautet: vor allem für Betriebe, deren Abläufe, Kommunikation, Buchhaltung, Kundenverwaltung oder Produktion digital abhängen. Das betrifft heute deutlich mehr Unternehmen, als viele denken.

Ein Handwerksbetrieb mit mobiler Einsatzplanung, eine Kanzlei mit digitaler Aktenführung, eine Praxis mit vernetzten Terminsystemen oder eine Hausverwaltung mit sensiblen Mieter- und Eigentümerdaten – sie alle tragen Cyberrisiken, auch wenn sie kein IT-Unternehmen sind. Die Frage ist nicht nur, ob Daten besonders schützenswert sind, sondern wie teuer ein Ausfall des täglichen Betriebs wäre.

Gerade kleinere und mittlere Unternehmen haben oft keine eigene IT-Sicherheitsabteilung. Deshalb ist der Serviceanteil der Cyberversicherung so wichtig. Wenn im Schadenfall sofort Forensik, technische Hilfe und Krisenkoordination verfügbar sind, ist das oft mehr wert als die reine Erstattung im Nachgang.

Worauf Unternehmen bei der Auswahl achten sollten

Wer wissen will, was eine Cyberversicherung zahlt, sollte nicht zuerst auf Schlagworte im Antrag schauen, sondern auf das Zusammenspiel aus Leistungen, Ausschlüssen, Obliegenheiten und Schadenservice. Ein Tarif mit breiter Werbeaussage ist nicht automatisch der bessere Vertrag.

Wichtig ist zunächst, welche Risiken real bestehen. Gibt es hohe Abhängigkeit von IT-Systemen? Werden personenbezogene oder besonders sensible Daten verarbeitet? Bestehen Schnittstellen zu Kunden, Lieferanten oder externen Dienstleistern? Gibt es Produktions- oder Betriebsprozesse, die bei IT-Ausfall sofort stillstehen?

Danach sollte geprüft werden, wie der Versicherer den Schadenfall begleitet. Gibt es eine echte Notfallhotline? Werden externe Spezialisten aktiv vermittelt? Wie praxisnah sind die Sicherheitsanforderungen formuliert? Ein Vertrag nützt wenig, wenn er im Prospekt gut aussieht, im Ernstfall aber an unklaren Voraussetzungen scheitert.

Unabhängige Beratung ist hier besonders wertvoll, weil Cyberpolicen stark erklärungsbedürftig sind. Es geht nicht nur um Versicherungssummen, sondern um die Qualität der Bedingungen. Genau an diesem Punkt trennt sich günstiger Schutz von sinnvoller Absicherung.

Die wichtigste Antwort auf die Frage „was zahlt eine Cyberversicherung“

Sie zahlt im besten Fall nicht nur Schäden, sondern verschafft Handlungsfähigkeit. Das ist der eigentliche Wert. Denn ein Cybervorfall ist selten nur ein Rechnungsproblem. Er ist ein Betriebsproblem, ein Kommunikationsproblem und manchmal auch ein Vertrauensproblem.

Deshalb sollte eine Cyberversicherung immer so ausgewählt werden, dass sie zum tatsächlichen Geschäftsmodell passt. Für ein kleines Unternehmen im Rheinland kann das bedeuten, lieber auf klare Hilfe im Notfall und belastbare Betriebsunterbrechungsdeckung zu achten als auf einen oberflächlich breiten Leistungskatalog. Wer hier sauber prüft, hat im Ernstfall nicht einfach irgendeine Police – sondern einen Vertrag, der dann funktioniert, wenn es ungemütlich wird.

Der bessere Zeitpunkt, diese Details zu klären, ist nicht nach dem Angriff, sondern davor.