Cyberversicherung und IT-Sicherheit: Welche Nachweise Unternehmen brauchen

Cyberversicherungen sind für viele Unternehmen ein wichtiger Baustein im Risikomanagement geworden. Gleichzeitig sind die Anforderungen der Versicherer deutlich konkreter geworden. Wer heute eine Police abschließen oder verlängern möchte, muss häufig mehr liefern als eine kurze Selbstauskunft. Gefragt sind belastbare Informationen zur IT-Sicherheit, klare Prozesse und nachvollziehbare Dokumentation. Das Keyword-Thema Cyberversicherung IT Sicherheit Nachweise trifft deshalb einen Punkt, der im Mittelstand oft unterschätzt wird: Es reicht nicht, Sicherheitsmaßnahmen irgendwie umgesetzt zu haben. Unternehmen müssen belegen können, was vorhanden ist, wer verantwortlich ist und wie regelmäßig geprüft wird.

Warum Cyberversicherer heute genauer hinschauen

Cyberversicherungen decken Risiken ab, die für Versicherer schwer kalkulierbar sind. Ransomware, kompromittierte E-Mail-Konten, Datenabfluss, Betriebsunterbrechungen und Angriffe auf Dienstleister können hohe Schäden verursachen. Deshalb prüfen Versicherer vor Vertragsabschluss oder Verlängerung zunehmend, ob ein Unternehmen grundlegende Schutzmaßnahmen tatsächlich umgesetzt hat. In vielen Fällen geht es nicht darum, dass jedes Unternehmen sofort eine ISO-27001-Zertifizierung vorlegen muss. Gerade kleine und mittlere Unternehmen werden meist an Basismaßnahmen gemessen. Entscheidend ist aber, dass diese Maßnahmen nachweisbar sind. Eine Aussage wie: Unsere IT ist gut abgesichert, genügt in der Regel nicht. Versicherer orientieren sich unter anderem an etablierten Sicherheitsstandards, an Obliegenheiten in Versicherungsbedingungen, an Branchenrisiken und an Fragebögen zur IT-Sicherheit. Auch Empfehlungen des BSI, etwa der CyberRisikoCheck nach DIN SPEC 27076, zeigen, welche Themen bei einer strukturierten Bewertung eine Rolle spielen.

Welche IT-Sicherheitsnachweise Versicherer typischerweise verlangen

Die Anforderungen unterscheiden sich je nach Versicherer, Branche, Unternehmensgröße und gewünschter Deckungssumme. Trotzdem gibt es wiederkehrende Nachweisbereiche, die Unternehmen vorbereiten sollten.

1. Übersicht über die IT-Systeme und Verantwortlichkeiten

Versicherer möchten verstehen, welche IT-Landschaft abgesichert werden soll. Dazu gehören beispielsweise Server, Clients, mobile Geräte, Cloud-Dienste, Fachanwendungen, Netzwerkkomponenten und externe Dienstleister. Sinnvolle Nachweise sind:

• aktuelle System- und Geräteübersicht
• Verantwortlichkeiten für IT, Datenschutz und Informationssicherheit
• Übersicht externer IT-Dienstleister und Cloud-Anbieter
• grobe Netzwerktopologie oder Systemskizze
• Liste geschäftskritischer Anwendungen und Daten Fehlt diese Übersicht, wird jede weitere Sicherheitsbewertung unscharf. Viele Schwachstellen entstehen nicht durch fehlende Sicherheitsprodukte, sondern durch unbekannte Alt-Systeme, unklare Zuständigkeiten oder gewachsene Schatten-IT.

2. Schutz vor Schadsoftware und Angriffen

Ein zentraler Prüfpunkt ist der technische Grundschutz. Versicherer fragen häufig nach Virenschutz, Endpoint-Schutz, Firewall, E-Mail-Sicherheit, Webfilterung und zentraler Überwachung. Nachweisbar sein sollten zum Beispiel:

• eingesetzte Sicherheitslösungen für Clients und Server
• Statusberichte oder Screenshots aus Management-Konsolen
• Richtlinien für automatische Updates und Signaturaktualisierung
• Firewall-Regeln oder dokumentierte Grundkonfiguration
• Schutzmaßnahmen für E-Mail-Anhänge und Links Wichtig ist: Ein installiertes Produkt ist noch kein belastbarer Nachweis. Entscheidend ist, ob es aktuell ist, flächendeckend eingesetzt wird und regelmäßig kontrolliert wird.

3. Patch- und Update-Management

Veraltete Software gehört zu den häufigsten Einfallstoren. Deshalb ist Patch-Management für Cyberversicherer ein Kernpunkt. Unternehmen sollten zeigen können, wie Sicherheitsupdates bewertet, getestet und installiert werden. Geeignete Nachweise sind:

• Patch-Konzept oder interne Verfahrensanweisung
• regelmäßige Update-Berichte für Server und Clients
• Liste unterstützter und nicht mehr unterstützter Systeme
• dokumentierte Ausnahmen mit Risikobewertung
• Wartungsfenster und Zuständigkeiten Besonders kritisch sind Systeme ohne Hersteller-Support. Wenn solche Systeme aus betrieblichen Gründen weiterlaufen müssen, braucht es kompensierende Maßnahmen, zum Beispiel Netzwerksegmentierung, eingeschränkte Zugriffe oder zusätzliche Überwachung.

4. Passwörter, Zugänge und Multi-Faktor-Authentifizierung

Die GDV-Musterbedingungen und viele Versicherungsfragebögen behandeln Zugangsschutz sehr konkret. Schwache Passwörter, gemeinsam genutzte Konten und fehlende Multi-Faktor-Authentifizierung erhöhen das Risiko deutlich. Typische Nachweise sind:

• Passwort-Richtlinie
• Nachweis über Multi-Faktor-Authentifizierung für kritische Dienste
• Rollen- und Berechtigungskonzept
• Prozess für Eintritt, Wechsel und Austritt von Mitarbeitenden
• Liste administrativer Konten
• Protokollierung privilegierter Zugriffe Besonders wichtig ist Multi-Faktor-Authentifizierung bei Fernzugriffen, Cloud-Diensten, E-Mail, VPN und administrativen Konten. Ohne MFA kann es je nach Versicherer schwierig werden, eine Police zu erhalten oder im Schadenfall Diskussionen zu vermeiden.

5. Datensicherung und Wiederherstellung

Backups sind für Versicherer nicht nur eine technische Maßnahme, sondern ein zentraler Faktor für die Schadenbegrenzung. Ein Unternehmen muss nachweisen können, dass Daten regelmäßig gesichert und Wiederherstellungen getestet werden. Dazu gehören:

• Backup-Konzept mit Sicherungsintervallen
• Trennung von Produktivsystemen und Backup-Speicher
• Offline- oder immutable Backups, soweit sinnvoll
• Protokolle erfolgreicher Sicherungen
• dokumentierte Wiederherstellungstests
• Zuständigkeiten für Kontrolle und Eskalation Ein häufiger Fehler ist, nur die Sicherung zu prüfen, aber nie die Rücksicherung. Im Ernstfall zählt nicht, ob ein Backup-Job grün angezeigt wurde, sondern ob die Systeme innerhalb vertretbarer Zeit wieder funktionsfähig sind.

6. Notfallplan und Incident Response

Cyberversicherer möchten wissen, ob ein Unternehmen auf Sicherheitsvorfälle vorbereitet ist. Wer im Angriff erst klären muss, wer Entscheidungen trifft, welche Systeme abgeschaltet werden dürfen und wie Kunden informiert werden, verliert wertvolle Zeit. Nachweise können sein:

• IT-Notfallplan
• Kontaktliste für interne und externe Ansprechpartner
• Eskalationswege und Entscheidungsbefugnisse
• Ablaufplan bei Ransomware, Datenabfluss oder Kontoübernahme
• Vorlagen für Dokumentation im Sicherheitsvorfall
• Ergebnisse von Notfallübungen oder Tabletop-Tests Ein guter Notfallplan ist kurz genug, um im Stress nutzbar zu sein, und konkret genug, um Entscheidungen zu beschleunigen.

7. Schulung und Sensibilisierung der Mitarbeitenden

Viele Angriffe beginnen mit Phishing, manipulierten Rechnungen oder gestohlenen Zugangsdaten. Deshalb fragen Versicherer häufig nach Awareness-Maßnahmen. Unternehmen sollten dokumentieren:

• durchgeführte Schulungen oder Unterweisungen
• Inhalte und Teilnehmerlisten
• Regelungen zum Umgang mit E-Mail-Anhängen und Links
• Meldewege bei verdächtigen Nachrichten
• Wiederholungstermine Es geht nicht darum, Mitarbeitende zu Misstrauen zu erziehen. Ziel ist, typische Angriffsmuster zu erkennen und schnell zu melden.

Typische Fehler bei Nachweisen für die Cyberversicherung

In der Praxis scheitert es selten an einem einzelnen fehlenden Tool. Häufiger sind Lücken in der Dokumentation und unklare Prozesse. Typische Fehler sind:

• Fragebögen werden optimistisch ausgefüllt, ohne technische Prüfung
• Maßnahmen sind vorhanden, aber nicht dokumentiert
• Zuständigkeiten stehen nur informell fest
• Alt-Systeme werden verschwiegen oder vergessen
• Backups werden nicht auf Wiederherstellbarkeit getestet
• MFA ist nur für einzelne Dienste aktiv
• externe Dienstleister und Cloud-Dienste sind nicht bewertet
• Ausnahmen werden nicht begründet Besonders riskant ist eine falsche oder unvollständige Selbstauskunft. Je nach Vertragsbedingungen kann dies im Schadenfall problematisch werden. Unternehmen sollten Fragebögen deshalb nicht nebenbei beantworten, sondern mit IT, Geschäftsführung und gegebenenfalls Datenschutzverantwortlichen abstimmen.

Welche Rolle Standards wie ISO 27001, IT-Grundschutz und DIN SPEC 27076 spielen

Nicht jedes Unternehmen benötigt eine formale Zertifizierung. Dennoch helfen Standards dabei, Anforderungen einzuordnen und Nachweise strukturiert aufzubauen. ISO 27001 und BSI IT-Grundschutz bieten einen umfassenden Rahmen für Informationssicherheitsmanagement. Sie sind besonders relevant, wenn Kunden, Ausschreibungen oder regulatorische Anforderungen höhere Nachweise verlangen. Für kleinere Unternehmen kann der BSI CyberRisikoCheck nach DIN SPEC 27076 ein sinnvoller Einstieg sein. Dabei wird die Sicherheitslage anhand definierter Themen strukturiert erhoben und bewertet. Auch der BSI C5-Kriterienkatalog kann indirekt relevant sein, wenn Unternehmen Cloud-Dienste einsetzen. Dann geht es nicht nur um die eigene IT, sondern auch um die Sicherheitsnachweise der eingesetzten Anbieter. Wichtig ist die richtige Flughöhe: Ein Handwerksbetrieb, eine Kanzlei oder ein mittelständischer Produktionsbetrieb braucht meist keinen überdimensionierten Zertifizierungsapparat. Aber jedes Unternehmen sollte die eigenen Risiken kennen und die wichtigsten Kontrollen belegen können.

So bereiten Sie Ihr Unternehmen auf Versicherungsanforderungen vor

Ein pragmatischer Weg besteht aus fünf Schritten.

Schritt 1: Versicherungsfragebogen nicht isoliert ausfüllen

Behandeln Sie den Fragebogen als Sicherheitsprüfung, nicht als Verwaltungsaufgabe. Viele Fragen haben technische Konsequenzen. Wenn unklar ist, ob eine Maßnahme vollständig umgesetzt ist, sollte sie geprüft werden, bevor eine verbindliche Antwort gegeben wird.

Schritt 2: IT-Sicherheitscheck durchführen

Ein IT-Sicherheitscheck schafft Klarheit. Dabei werden Systeme, Zugänge, Backups, Schutzlösungen, Patch-Stand, Fernzugriffe und organisatorische Prozesse geprüft. Für KMU kann ein Vorgehen in Anlehnung an den BSI CyberRisikoCheck sinnvoll sein, weil es strukturiert und überschaubar bleibt. Der Nutzen liegt nicht nur im Ergebnisbericht. Ein guter Sicherheitscheck trennt dringende Risiken von weniger kritischen Themen und zeigt, welche Maßnahmen für Versicherungsanforderungen besonders relevant sind.

Schritt 3: Nachweise zentral sammeln

Viele Unternehmen haben Sicherheitsinformationen verteilt: ein Backup-Protokoll beim Administrator, Firewall-Informationen beim Dienstleister, Schulungslisten in der Personalabteilung und Cloud-Verträge im Einkauf. Für die Cyberversicherung sollte daraus eine geordnete Nachweismappe entstehen. Dazu gehören technische Berichte, Richtlinien, Zuständigkeitsübersichten, Protokolle und Maßnahmenpläne. Diese Dokumentation sollte aktuell gehalten werden, nicht erst kurz vor der Verlängerung der Police.

Schritt 4: Lücken priorisieren und beheben

Nicht jede Lücke hat dieselbe Dringlichkeit. Vorrang haben meist:

• MFA für kritische Zugänge
• geprüfte und getrennte Backups
• Patch-Management für exponierte Systeme
• Absicherung von E-Mail und Fernzugriffen
• Entfernung oder Isolierung unsicherer Alt-Systeme
• klare Notfallkontakte und Eskalationswege Wenn Maßnahmen nicht sofort umgesetzt werden können, sollte das Risiko dokumentiert und ein Terminplan festgelegt werden.

Schritt 5: Regelmäßige Überprüfung einplanen

IT-Sicherheit ist kein einmaliger Zustand. Neue Mitarbeitende, neue Software, Cloud-Migrationen, Homeoffice, Dienstleisterwechsel und Fachanwendungen verändern die Risikolage. Deshalb sollten Nachweise mindestens jährlich überprüft werden, zusätzlich bei größeren Änderungen.

Wann externe IT-Hilfe sinnvoll ist

Externe Unterstützung ist besonders hilfreich, wenn Versicherungsfragebögen technisch anspruchsvoll sind, intern keine vollständige Dokumentation vorliegt oder die IT historisch gewachsen ist. Ein erfahrener IT-Dienstleister kann technische Fakten prüfen, Lücken benennen und die Dokumentation so aufbereiten, dass sie für Geschäftsführung und Versicherer nachvollziehbar ist. Für Unternehmen im Raum, die ihre Cyberversicherung vorbereiten oder bestehende Anforderungen sauber erfüllen möchten, kann IT Service Wagner einen IT-Sicherheitscheck mit Dokumentation durchführen. Dabei geht es nicht um pauschale Produktpakete, sondern um eine realistische Bewertung der vorhandenen IT, konkrete Maßnahmen und belastbare Nachweise.

Fazit: Nachweise sind Teil der Sicherheitsstrategie

Cyberversicherungen ersetzen keine IT-Sicherheit. Sie funktionieren am besten, wenn technische Schutzmaßnahmen, organisatorische Prozesse und Dokumentation zusammenpassen. Unternehmen, die ihre IT-Sicherheit nachvollziehbar belegen können, sind besser auf Versicherungsanforderungen vorbereitet und im Ernstfall handlungsfähiger. Der wichtigste Schritt ist Transparenz: Welche Systeme sind im Einsatz, welche Risiken bestehen, welche Maßnahmen sind umgesetzt und wo gibt es noch Lücken? Ein strukturierter IT-Sicherheitscheck liefert dafür die Grundlage. Aus einzelnen Sicherheitsmaßnahmen wird so ein belastbarer Nachweis, der nicht nur der Versicherung hilft, sondern vor allem dem eigenen Unternehmen.