Cyberversicherung für Unternehmen: was sie zahlt und was nicht

Eine Cyberversicherung ersetzt Vermögensschäden, die durch eine Informationssicherheitsverletzung verursacht wurden ^[1]. Was genau dazugehört, regelt jeder Vertrag selbst. Als Orientierung dienen die Musterbedingungen des Gesamtverbands der Deutschen Versicherungswirtschaft (GDV), die Allgemeinen Versicherungsbedingungen für die Cyberrisiko-Versicherung (AVB Cyber) mit Stand Februar 2024 ^[1]. Der Verband gibt sie unverbindlich zur fakultativen Verwendung heraus, abweichende Vereinbarungen sind möglich ^[1]. Entwickelt wurden sie für Freiberufler sowie kleine und mittelständische Unternehmen bis 50 Millionen Euro Umsatz ^[3]. Deine eigene Police kann in jedem Punkt davon abweichen.

Wann ein Versicherungsfall vorliegt

Die AVB Cyber verstehen unter einer Informationssicherheitsverletzung eine Beeinträchtigung der Verfügbarkeit, Integrität oder Vertraulichkeit elektronischer Daten des Versicherungsnehmers oder seiner informationsverarbeitenden Systeme, auch beim Fernzugriff ^[1]. Es spielt keine Rolle, ob die Daten im eigenen Haus liegen oder bei einem externen Dienstleister. Fällt der Dienstleister aber aus und sind die Daten deshalb nicht verfügbar, besteht dafür kein Schutz ^[1]. Software und Programme gelten ebenfalls als elektronische Daten ^[1].

Auslöser muss eines der in den Bedingungen genannten Ereignisse sein ^[1]:

• ein Angriff auf Daten oder Systeme des Versicherungsnehmers,
• ein unberechtigter Zugriff auf seine Daten oder ein Eingriff in seine Systeme,
• eine Handlung oder Unterlassung, die zu einer Verletzung datenschutzrechtlicher Vorschriften durch den Versicherungsnehmer führt,
• Schadprogramme, die auf seine Daten oder Systeme wirken.

Versicherungsfall ist der erstmals nachprüfbar festgestellte Schaden, und er muss während der Laufzeit des Vertrags eintreten ^[1]. Elektronische Daten sind nach den Bedingungen keine Sachen ^[1].

Die drei Bausteine der Deckung

Die Musterbedingungen gliedern die Leistungen in drei Bausteine. Manche Leistungen sind nur versichert, wenn sie im Versicherungsschein besonders vereinbart werden ^[1].

Die Forensikkosten trägt der Versicherer nach vorheriger Abstimmung mit ihm. Bestätigt sich der Versicherungsfall nicht, zahlt er sie nur bis zu einer im Versicherungsschein genannten Summe ^[1]. Für die Betriebsunterbrechung sehen die Bedingungen eine zeitliche Selbstbeteiligung vor: Für den im Versicherungsschein vereinbarten Zeitraum gibt es keinen Tagessatz ^[1]. Keine Entschädigung gibt es, soweit sich die Unterbrechung etwa durch fehlende finanzielle Mittel oder durch Verbesserungen verlängert, die anlässlich des Vorfalls vorgenommen werden ^[1].

Was die Musterbedingungen ausschließen

Die Liste der allgemeinen Ausschlüsse ist lang. Für Unternehmen, die sich gegen Betrug absichern wollen, sind einige Punkte besonders wichtig ^[1]:

• die Zahlung von Löse- oder Erpressungsgeldern und die Erfüllung von Erpressungsforderungen,
• der Abfluss von Vermögenswerten der Versicherten,
• Ansprüche von Personen, die den Schaden vorsätzlich oder durch wissentliches Abweichen von Gesetz, Vorschrift, Beschluss, Vollmacht oder Weisung oder durch sonstige wissentliche Pflichtverletzungen herbeigeführt haben,
• Strafen und Bußgelder gegen den Versicherungsnehmer, sofern nichts anderes vereinbart ist,
• Schäden aus Informationssicherheitsverletzungen, die vor Beginn des Vertrags eingetreten sind, soweit keine Rückwärtsdeckung vereinbart ist,
• Krieg, auch wenn er mit digitalen Mitteln geführt wird, und staatliche Angriffe, durch die kritische Infrastrukturen ausfallen oder beeinträchtigt werden,
• Terrorakte und der Ausfall von Infrastruktur wie Strom, Gas, Trinkwasser oder überregionalen Telefon- und Internetnetzen.

Beim Ausschluss staatlicher Angriffe trägt der Versicherer die Beweislast für die Zuschreibung an einen Staat ^[1]. Der GDV hat diese Klauseln 2024 neu gefasst und dabei klargestellt, dass ein Krieg im Sinne der Bedingungen keine physische Waffengewalt voraussetzt ^[2].

Unter den Ausschluss "Abfluss von Vermögenswerten" ^[1] können auch Fälle fallen, in denen Geld nach einer gefälschten Zahlungsanweisung das Unternehmen verlässt. Wer gegen CEO-Fraud oder manipulierte Bankverbindungen versichert sein will, muss im eigenen Vertrag nachlesen, ob und in welcher Höhe das gedeckt ist.

Obliegenheiten: IT-Sicherheit vor dem Schaden

Die AVB Cyber verlangen vor dem Versicherungsfall ein Mindestmaß an IT-Sicherheit. Zu diesen Obliegenheiten gehört insbesondere ^[1]:

• individuelle Zugänge für alle Nutzer, technisch durchgesetzte Mindestanforderungen an Passwörter und administrative Zugänge nur für Administratoren und nur für administrative Aufgaben,
• zusätzlicher Schutz für Server, die über das Internet erreichbar sind, und für Mobilgeräte, zum Beispiel Firewall, Zwei-Faktor-Authentifizierung oder Verschlüsselung von Datenträgern,
• ein Schutz gegen Schadsoftware, der automatisch aktuell gehalten wird,
• ein Patch-Management, das relevante Sicherheitsupdates zeitnah installiert; Systeme mit bekannten Lücken nur mit zusätzlichen Schutzmaßnahmen,
• mindestens wöchentliche Datensicherungen, bei denen kein System und keine Befugnisebene Originale und Kopien zugleich verändern oder löschen kann, und eine regelmäßige Prüfung der Wiederherstellung.

Außerdem muss der Versicherungsnehmer alle gesetzlichen, behördlichen und vertraglich vereinbarten Sicherheitsvorschriften einhalten ^[1]. Der GDV beschreibt die Grundlage als bekannte, einfach umzusetzende Maßnahmen: regelmäßige Datensicherungen, starke Passwörter, individuelle Zugänge, Virenscanner, Firewalls und schnell installierte Sicherheitsupdates ^[2].

Verletzt der Versicherungsnehmer eine solche Obliegenheit vorsätzlich, ist der Versicherer leistungsfrei. Bei grober Fahrlässigkeit darf er die Leistung im Verhältnis zur Schwere des Verschuldens kürzen ^{[1, 5]}. Er bleibt zur Leistung verpflichtet, soweit die Verletzung weder für den Eintritt oder die Feststellung des Versicherungsfalls noch für den Umfang der Leistung ursächlich war; das gilt nicht bei Arglist ^[5]. Bei vorsätzlicher oder grob fahrlässiger Verletzung kann er den Vertrag außerdem innerhalb eines Monats fristlos kündigen ^[5]. Was Obliegenheiten allgemein bedeuten, erklärt die Seite Obliegenheiten: deine Pflichten als Versicherter auf versicherung.domain-root.de.

Fragebogen und Anzeigepflicht

Vor Vertragsschluss schätzen Versicherer das Risiko meist mit einem Fragebogen ein; der GDV hat dafür ein Muster entwickelt ^[3]. Rechtlich gilt § 19 VVG: Der Versicherungsnehmer muss bis zur Abgabe seiner Vertragserklärung die ihm bekannten Gefahrumstände anzeigen, nach denen der Versicherer in Textform gefragt hat und die für dessen Entschluss erheblich sind ^[4]. Verletzt er diese Pflicht, kann der Versicherer zurücktreten. Das Rücktrittsrecht ist ausgeschlossen, wenn die Pflicht weder vorsätzlich noch grob fahrlässig verletzt wurde; dann kann der Versicherer mit einer Frist von einem Monat kündigen ^[4]. Wer im Fragebogen etwa angibt, Datensicherungen getrennt aufzubewahren, sollte das deshalb vorher prüfen.

Was im Schadenfall zu tun ist

Die Pflichten nach dem Schaden stehen in Abschnitt B3-3 der AVB Cyber ^[1]:

1. Den Schaden dem Versicherer unverzüglich anzeigen, nachdem du davon erfahren hast.
2. Tatsachen, aus denen eine Haftung gegenüber Dritten folgen könnte, innerhalb einer Woche melden; ebenso einen Anspruch, den ein Dritter geltend macht.
3. Ein Ermittlungs-, Behörden- oder Gerichtsverfahren und einen Mahnbescheid unverzüglich anzeigen.
4. Das Schadenbild unverändert lassen, bis der Versicherer eine Veränderung gestattet; sind Eingriffe unumgänglich, sie nachvollziehbar dokumentieren.
5. Forensik und weitere Kosten vorher mit dem Versicherer abstimmen.

Verletzt der Versicherungsnehmer nach dem Schaden eine Auskunfts- oder Aufklärungsobliegenheit, wird der Versicherer nur leistungsfrei, wenn er vorher in Textform gesondert auf diese Folge hingewiesen hat ^[1]. Die Schritte außerhalb der Versicherung, etwa die Anzeige bei der Polizei, stehen im Notfallplan nach Betrug.

Summen, Selbstbeteiligung und Serienschaden

Viele Zahlen legt erst der Versicherungsschein fest. Die Musterbedingungen sehen dafür feste Stellen vor ^[1]:

• Die Versicherungssumme begrenzt die Leistung je Versicherungsfall, und für alle Fälle eines Versicherungsjahres zusammen gilt sie als Jahreshöchstentschädigung.
• Für einzelne Leistungen wie Datenschutz-Haftpflicht oder Aufwendungen vor dem Schaden gelten Sublimits, die auf die Versicherungssumme angerechnet werden.
• Eine Selbstbeteiligung je Versicherungsfall gilt, wenn sie besonders vereinbart ist.
• Mehrere Versicherungsfälle mit derselben Ursache oder mit gleichen Ursachen in innerem Zusammenhang gelten als ein Serienschaden.
• Endet der Vertrag, besteht für eine vereinbarte Nachhaftungszeit weiter Schutz für Verletzungen aus der Vertragslaufzeit, deren Schaden noch nicht festgestellt war.

Wie sich eine Selbstbeteiligung grundsätzlich auf den Beitrag auswirkt, beschreibt Selbstbeteiligung: wann sie sich rechnet.

Vertrauensschadenversicherung als Ergänzung

Die Vertrauensschadenversicherung entschädigt Unternehmen, wenn interne oder externe Vertrauenspersonen Gelder veruntreuen oder das Unternehmen betrügen ^[6]. Der GDV hat dafür rund 4.400 Schadenfälle aus den Jahren 2022 und 2023 mit versicherten Schäden von rund 450 Millionen Euro ausgewertet ^[6]. Danach geht jeder zweite Fall auf eigene Beschäftigte zurück. Sie verursachten im Schnitt rund 125.000 Euro Schaden, bevor sie entdeckt wurden, externe Täter im Schnitt 80.000 Euro ^[6]. Bei der Fake-President-Masche beobachten die Versicherer zunehmend gefälschte Ton- und Videoaufnahmen, mit denen sich Betrüger als Geschäftsführer ausgeben ^[6].

Für 2025 rechnet der GDV nach einer Hochrechnung mit Schäden von mehr als 200 Millionen Euro in der Vertrauensschadenversicherung, 20 Prozent mehr als im Vorjahr; die Kreditversicherer registrierten mehr erfolgreiche Betrugsfälle, bei denen Täter Künstliche Intelligenz einsetzen ^[7]. Wie Betrug durch Beschäftigte abläuft und wie du vorbeugst, steht unter Innentäter: Betrug durch Beschäftigte.

1. Organisation Allgemeine Versicherungsbedingungen für die Cyberrisiko-Versicherung (AVB Cyber). Gesamtverband der Deutschen Versicherungswirtschaft (GDV). Stand Februar 2024. abgerufen am 29.10.2026
2. Organisation Versicherungsschutz gegen Cyberangriffe: GDV veröffentlicht neue Musterbedingungen. Gesamtverband der Deutschen Versicherungswirtschaft (GDV). Stand 19.02.2024. abgerufen am 29.10.2026
3. Organisation Wie funktioniert die Cyberversicherung?. Gesamtverband der Deutschen Versicherungswirtschaft (GDV). Stand ohne Datum. abgerufen am 29.10.2026
4. Gesetz § 19 VVG: Anzeigepflicht. Bundesministerium der Justiz, gesetze-im-internet.de. Stand ohne Datum. abgerufen am 29.10.2026
5. Gesetz § 28 VVG: Verletzung einer vertraglichen Obliegenheit. Bundesministerium der Justiz, gesetze-im-internet.de. Stand ohne Datum. abgerufen am 29.10.2026
6. Organisation Wirtschaftskriminalität: Die gefährlichsten Täter kommen aus dem eigenen Unternehmen. Gesamtverband der Deutschen Versicherungswirtschaft (GDV). Stand 03.09.2024. abgerufen am 29.10.2026
7. Organisation Vertrauensschäden: Betrüger nutzen immer häufiger Künstliche Intelligenz. Gesamtverband der Deutschen Versicherungswirtschaft (GDV). Stand 16.12.2025. abgerufen am 29.10.2026

Zuletzt geprüft am 30.10.2026, nächste Prüfung spätestens im Oktober 2027. Fehler entdeckt? Schreib uns.