Cyberversicherung: Welche Anforderungen Versicherer an Ihre IT stellen

Warum der Versicherer nach Ihrer IT fragt

Eine Cyberversicherung zahlt bei Angriffen, Datenverlust und Betriebsunterbrechung. Damit der Versicherer das Risiko einschätzen kann, stellt er vor Vertragsschluss Fragen zum Zustand der IT. Bei kleinen Unternehmen sind das meist nur wenige Risikofragen im Antrag, bei größeren kann ein Gespräch oder eine Prüfung dazukommen. So beschreibt es der Bitkom in seinem Leitfaden zu Cyberversicherung und -sicherheit. Der Gesamtverband der Versicherer stellt dafür einen unverbindlichen Muster-Fragebogen für kleine und mittlere Unternehmen bereit, an dem sich viele Anbieter orientieren.

Für die Geschäftsführung entscheidend ist ein Satz aus demselben Bitkom-Leitfaden. Verletzt der Versicherungsnehmer seine Obliegenheiten, darf der Versicherer Leistungen im Schadensfall kürzen oder ablehnen. Die Häkchen im Fragebogen sind also mehr als eine Formalie.

Was in den gängigen Fragebögen steht

Der Bitkom nennt als Mindestanforderungen für kleine und mittlere Unternehmen im Kern dieselben Punkte, die auch in den gängigen Fragebögen stehen:

• Mehr-Faktor-Anmeldung: Für Fernzugriffe wie VPN und Remote-Desktop sowie für Administrator-Konten, in den Fragebögen zunehmend auch für E-Mail und Microsoft 365. Nach einer GDV-Umfrage aus 2024 nutzt nur gut ein Drittel der befragten kleinen und mittleren Unternehmen diese Absicherung.
• Ransomware-sichere Backups: Mindestens eine Kopie offline oder unveränderlich gespeichert, regelmäßig gesichert und nachweislich wiederherstellbar. Wie das aussieht, beschreibt der Ratgeber zum Backup-Konzept für Unternehmen.
• Patch-Prozess: Sicherheitsupdates für Betriebssysteme, Programme, Firewall und Router werden zeitnah eingespielt, idealerweise mit Protokoll.
• Ablösung von Altsystemen: Server und Rechner ohne Herstellerupdates, etwa mit ausgelaufenem Windows Server, gelten als Risiko. Mehr dazu unter Windows Server 2016 Support-Ende.
• Abgestufte Rechte: Mitarbeiter arbeiten ohne Administratorrechte, Admin-Konten sind getrennt und nur für Verwaltungsaufgaben im Einsatz.
• Schutz der Geräte: Aktueller Virenschutz, bei vielen Versicherern inzwischen eine Lösung, die verdächtiges Verhalten erkennt und meldet.
• Schulungen: Regelmäßige Sensibilisierung des Teams, zum Beispiel zum Erkennen von Phishing-Mails.
• Notfallplan: Ein schriftlicher Plan, wer bei einem Vorfall was tut. Eine Vorlage finden Sie im Ratgeber zum IT-Notfallplan.

Je nach Branche und Versicherer kommen weitere Fragen hinzu, etwa nach einem Datenschutzbeauftragten oder der Trennung von Büro- und Produktionsnetz.

Wo Unternehmen typischerweise nachbessern müssen

Nach einer Forsa-Umfrage im Auftrag des GDV von 2025 halten sich rund drei Viertel der befragten kleinen und mittleren Unternehmen für ausreichend geschützt, gleichzeitig erfüllen mehr als zwei Drittel nicht alle Basiskriterien. In der Praxis fallen immer wieder dieselben Lücken auf. Die Mehr-Faktor-Anmeldung fehlt beim Fernzugang des Geschäftsführers, die Sicherung liegt nur auf einem NAS im selben Netz, oder ein alter Server läuft weiter, weil die Fachanwendung daran hängt.

Solche Lücken lassen sich schließen, wichtig ist dabei die Reihenfolge. Erst den Ist-Stand vollständig aufnehmen, dann den Antrag ausfüllen, dann fehlende Maßnahmen mit Termin umsetzen.

Wo wir unterstützen

In der IT-Sicherheit gleichen wir Ihre IT mit dem Fragebogen ab, setzen fehlende Maßnahmen um und dokumentieren den Stand. Als Einstieg eignet sich der IT-Check, der die Befunde schriftlich festhält. Für Mitarbeiterschulungen gibt es die IT-Schulungen für Ihr Team. Fällt Ihr Unternehmen zusätzlich unter NIS2, hilft die Einordnung unter NIS2 für kleine Unternehmen.