Damit ein Cyberangriff nicht das Aus bedeutet

Damit ein Cyberangriff nicht das Aus bedeutet | etailment

Cyberangriffe können sehr teuer werden. Spezielle Versicherungen übernehmen die Kosten. Zurzeit herrscht ein Käufermarkt.

Cyberversicherungen gibt es seit gut 25 Jahren. Sie kamen in den USA auf und Anfang der 2010er-Jahre nach Deutschland, sagt Philipp Seebohm, Executive Director Specialities Germany beim Versicherungsmakler Aon. Inzwischen haben alle großen Versicherer Policen im Angebot, die vor den Folgen eines digitalen Einbruchs schützen.

Die Folgen können erheblich sein, wie der Cyberangriff auf einen Flughafen-Dienstleister im September 2025 wieder anschaulich zeigte. Aber auch weniger sichtbare Fälle schmerzen: „Es kommt vor, dass ein E-Mail-Konto gehackt wird und die Angreifer in allen eingehenden Rechnungen die IBAN austauschen“, berichtet Vincenz Klemm, Geschäftsführer des Assekuradeurs Baobab Insurance. „Das fällt nicht sofort auf, und die Summen sind meist sehr schwer rückholbar.“

Cyberangriffe verursachen typischerweise nicht nur einen Eigenschaden, etwa durch entgangen Umsatz und Ertrag. Sie führen auch zu Schaden bei der Kundschaft, also zu einer Haftpflicht. Angegriffene Unternehmen brauchen zudem sofort Sicherheits- und IT-Fachleute sowie rechtlichen Beistand, möglicherweise auch eine Notfall-Hotline und Krisen- PR. All das kostet Geld.Wenn digitale Schranken überwunden werden
Cyberversicherungen versprechen, die Kosten für genau diese Dinge zu übernehmen, minus eines Selbstbehalts. Sie greifen in der Regel, sobald eine digitale Zugangsbeschränkung im Computersystem eines Unternehmens überwunden wird, unabhängig davon, ob es sich um eine Erpressung mit Ransomware, Diebstahl von sensiblen Daten oder andere fiese Dinge handelt.

Klassische Betrugsfälle allerdings – etwa Rechnungsbetrug ohne Hacking – fallen nicht darunter. „Deswegen empfehlen wir unseren Kunden, Crime- und Cyber-Versicherungen miteinander zu kombinieren“, sagt Vincenz Klemm. „Das ermöglicht eine umfassende Deckung ohne Diskussionen.“

Einzelne Versicherer wollen vor Abschluss nicht allzu viel von ihren künftigen Kunden wissen, etwa Signal Iduna: Zum Vertragsschluss werden neben der Frage nach Berufsgruppe und Umsatz nur noch zwei Fragen gestellt, so Kai Lütcke, Underwriter Allgemeine Haftpflicht und Cyberversicherung. „Wir fragen nur noch nach dem Anteil der außereuropäischen Geschäftstätigkeit und ob mehr als 50 Prozent des Geschäfts online abgewickelt werden.“ Üblich ist aber auch ein umfassender Fragebogen, der nach der Branche fragt, dem Umsatz, der Zahl der verarbeiteten personenbezogenen Daten – und nach dem IT-Reifegrad. Also danach, wie die IT-Systeme technisch geschützt sind, ob Mitarbeiterinnen und Mitarbeiter in Sachen Cyberschutz geschult werden und ob es Zwei-Faktor-Authentifizierungen im Haus gibt.

Im Extremfall kann der Abschluss einer Versicherung durchaus verweigert werden. Nicht ohne Grund empfehlen einige Versicherungen Schulungen für die Belegschaft und Prävention: Wer sich schützt, verursacht weniger Kosten. Baobab bietet zudem eine laufende Überwachung der Unternehmens-Cybersicherheit – „so können wir stets sagen, was verbessert werden kann“, erklärt Geschäftsführer Klemm. Und: Versicherer stellen im Ernstfall alle notwendigen Fachleute zur Verfügung, etwa Incident-Response-Experten und Rechtsberater. Denn Geschwindigkeit mindert mögliche Schäden.

Gute Zeiten für Kunden
Gegenwärtig buhlen Versicherer um Kunden. „Der Markt wächst seit Jahren massiv“, sagt Philipp Seebohm von Aon. „Der Zugang zu Cyberversicherungsschutz ist 2025 für viele Unternehmen leichter geworden. Neue Anbieter, zusätzliche Rückversicherungs-Kapazitäten und ein intensiver Wettbewerb führen zu durchschnittlich sinkenden Preisen.“ Kai Lütcke von Signal Iduna bestätigt das: „Unser ,SI Cyberschutz‘, seit Mai 2024 im Markt, ist 30 bis 40 Prozent günstiger als das Vorgängerangebot.“

Um die Prämien zu halten, so hat Aon beobachtet, erhöhen Versicherer zudem die Leistungen. Zum Beispiel sind statt Ein- auch Mehrjahresverträge möglich oder eigentlich ausgeschlossene Dinge werden doch inkludiert. Das können Lösegeldzahlungen, Reputationsschäden und Vertragsstrafen sein. Deshalb, und weil Musterbedingungen der Branche hier „fast keine Relevanz haben“, sei das Angebot gegenwärtig sehr heterogen.

Ernstfälle trüben das Verhältnis zwischen Versicherung und Versichertem im Übrigen kaum. Zwar werden solche Versicherungen jedes Jahr neu bewertet und verhandelt, aber „Schadensfreiheitsklassen wie bei Autoversicherungen gibt es nicht“, so Aon-Experte Seebohm. Auch Kündigungen passieren selten. Allerdings, so Signal-Iduna-Underwriter Lütcke: „Wenn ein Unternehmen drei, vier Cyberschäden im Jahr geltend macht, schauen wir uns das schon an.“

Der Artikel erschien zuerst in "Der Handel".