Warum Standard-Policen im Mittelstand versagen
Viele mittelständische Unternehmen unterschreiben Cyber-Versicherungen, ohne die feinen Kleingedruckten zu prüfen. Das führt oft zu Abwehr durch den Versicherer bei einem echten Schadensfall. Die Lücke zwischen technischer Realität und versicherungsrechtlichen Formulierungen ist häufig der Grund für abgelehnte Ansprüche.
Kernproblem: Versicherer verlangen zunehmend nachweisbare Sicherheitsmaßnahmen (Due Diligence). Fehlen diese, greifen Ausschlussklauseln. Für IT-Verantwortliche bedeutet das: Compliance ist nicht nur regulatorisch, sondern auch versicherungsrechtlich relevant.
Klausel 1: Mangelnde Zwei-Faktor-Authentifizierung
Die meisten modernen Cyber-Policen schließen Schäden aus, wenn kein Multi-Factor Authentication (MFA) aktiviert war. Das betrifft alle Zugänge zu kritischen Systemen, E-Mail-Gateways und Remote-Access-Tools.
Konsequenz:
- Ein Ransomware-Angriff über gestohlene Credentials ist nicht versichert.
- Der Versicherer prüft im Nachhinein Logs und Konfigurationen.
- Ohne MFA-Log-Einträge gilt die Sorgfaltspflicht als verletzt.
Empfehlung: Dokumentieren Sie die MFA-Abdeckung aller Admin-Zugänge und Cloud-Dienste monatlich.
Klausel 2: Fehlende Backup-Strategie und Wiederherstellbarkeit
Nicht nur das Vorhandensein von Backups zählt, sondern deren Integrität und Testbarkeit. Versicherer fragen nach der letzten erfolgreichen Wiederherstellungsprobe (Restore Test).
Wichtige Details:
- Backups müssen offline oder immutable (schreibgeschützt) sein.
- Die RTO (Recovery Time Objective) muss im Vertrag definiert sein.
- Ein Backup, das bei einem Angriff mitverschlüsselt wird, gilt als unwirksam.
Handlungsempfehlung: Führen Sie quartalsweise dokumentierte Restore-Tests durch und archivieren Sie die Protokolle sicher außerhalb der primären Infrastruktur.
Klausel 3: Compliance mit NIS2 und ISO 27001
Gerade im Mittelstand wird unterschätzt, dass regulatorische Vorgaben direkt die Versicherungssumme beeinflussen. Fehlende Nachweise zur DSGVO, NIS2 oder ISO 27001 können als grobe Fahrlässigkeit gewertet werden.
Relevante Nachweise:
- Auftragsverarbeitungsverträge (AVV) für alle IT-Dienstleister.
- Datenverarbeitungsregister und Asset-Inventar.
- Schulungsnachweise der Mitarbeiter zu Phishing und Social Engineering.
Praxishinweis: Halten Sie ein zentrales Compliance-Dossier bereit, das bei einer Schadenmeldung innerhalb von 48 Stunden übergeben werden kann.
Klausel 4: Patch-Management und Schwachstellenmanagement
Die Frage lautet nicht, ob gepatcht wird, sondern wie schnell kritische Sicherheitslücken geschlossen werden. Versicherer akzeptieren oft nur SLAs von 7 bis 14 Tagen für kritische Patches.
Risikofaktoren:
- Veraltete Betriebssysteme (z. B. Windows 7/10 ohne Support) sind häufige Ausschlussgründe.
- Fehlende Dokumentation des Patch-Zyklus.
- Keine Evidenz für automatische Updates oder manuelle Freigabeprozesse.
Lösung: Implementieren Sie ein zentrales Patch-Management-Tool, das Berichte über den Patch-Status aller Endpoints generiert. Diese Berichte sind Ihr Versicherungsnachweis.
Checkliste für den Vertragsschluss
Bevor Sie die Cyber-Police unterzeichnen, prüfen Sie diese Punkte gemeinsam mit Ihrem IT-Team und dem Berater:
- MFA: Ist MFA für alle kritischen Dienste technisch und organisatorisch umgesetzt?
- Backups: Gibt es dokumentierte, getestete und getrennte Backups?
- Compliance: Liegen alle aktuellen AVV und Schulungsnachweise vor?
- Patching: Ist das Patch-Management nachweisbar auf aktuellen Stand?
- Meldepflicht: Wie schnell müssen Sie den Versicherer informieren (oft 24-72h)?
Nutzen Sie diese Liste als Grundlage für eine interne IT-Sicherheits-Audit-Vorbereitung. Nur so stellen Sie sicher, dass die Versicherung im Ernstfall auch tatsächlich zahlt.
FAQ
Was passiert, wenn ich die MFA-Einführung erst nach dem Schaden nachhole?
Das hilft im Schadensfall nicht. Versicherer prüfen den Zustand zum Zeitpunkt des Angriffs. Ohne aktive MFA im Moment des Vorfalls greifen die Ausschlussklauseln. Die Einführung nachträglich kann zwar die Prävention für die Zukunft verbessern, aber den aktuellen Anspruch nicht retten.
Müssen alle Mitarbeiter an Cyber-Security-Schulungen teilnehmen?
Ja, für den Versicherungsnachweis ist eine breite Schulungspflicht entscheidend. Es reicht nicht, nur die IT-Abteilung zu schulen. Dokumentieren Sie die Teilnahme aller Mitarbeiter an jährlichen Awareness-Kampagnen, insbesondere zu Phishing und Social Engineering.
Gilt meine Cyber-Versicherung auch für Cloud-Dienste wie Microsoft 365?
Ja, aber nur wenn die Sicherheitskonfiguration der Cloud-Dienste den vertraglichen Anforderungen entspricht. Dazu gehören MFA, DLP-Richtlinien und das korrekte Setzen von Berechtigungen. Prüfen Sie, ob Ihre Cloud-Compliance-Tools (wie Microsoft Defender) aktiviert und konfiguriert sind.
Wie oft sollte ich meine Cyber-Police überprüfen?
Mindestens einmal jährlich oder bei jeder signifikanten Änderung Ihrer IT-Landschaft. Dazu gehören neue Cloud-Migrationen, die Einführung neuer Software oder Änderungen in der Organisationsstruktur. Eine jährliche Review sichert die Passgenauigkeit der Deckungssummen und Klauseln.