Ein KMU aus dem Logistiksektor entdeckt an einem Montagmorgen, dass alle Arbeitsplätze die gleiche Nachricht anzeigen: Dateien verschlüsselt, Lösegeld in Kryptowährung gefordert. Die Aktivität steht still, die Kundenbestellungen sind blockiert, und der IT-Dienstleister kündigt mehrere Tage für die Wiederherstellung an. Die Frage nach der Cyber-Risiko-Versicherung stellt sich dann in der Eile, obwohl sie viel früher hätte gestellt werden müssen.
Ausschlüsse und Sicherheitsvoraussetzungen: Was eine Cyberentschädigung scheitern lässt
Die meisten Inhalte zur Cyber-Versicherung konzentrieren sich auf die Garantien. Weniger wird darüber gesprochen, was diese Garantien im Moment des größten Bedarfs aufhebt.
Die Versicherer haben ihre Bedingungen für den Abschluss verschärft. Bevor sie bereit sind, ein Unternehmen abzusichern, überprüfen sie nun die Existenz konkreter Maßnahmen: Aktivierung der multifaktoriellen Authentifizierung (MFA) für alle kritischen Zugänge, regelmäßig getestete Backups, EDR-Lösungen, die auf den Arbeitsplätzen implementiert sind, und dokumentiertes Management von Schwachstellen. Ohne diese Voraussetzungen gibt es keinen Vertrag oder einen Vertrag mit so weitreichenden Ausschlüssen, dass er nutzlos wird.
Die Falle liegt im Detail. Ein Unternehmen kann über Backups verfügen, aber wenn diese nie unter realen Bedingungen getestet wurden, kann der Versicherer die Übernahme anfechten. Ebenso lässt ein aktives MFA für die E-Mail, das jedoch im VPN oder beim Zugriff auf den Dateiserver fehlt, eine Lücke, die die Versicherungspolice nicht abdecken wird. Um alles über die Cyber-Risiko-Versicherung zu erfahren, muss man zunächst verstehen, dass die Deckung auf einem überprüfbaren Fundament der Cybersicherheit beruht.
Die Cyber-Versicherung funktioniert wie ein permanentes Sicherheits-Audit. Die Versicherer verlangen Nachweise über die Reife, und diese Anforderung zwingt die Unternehmen, ihre Verteidigung zu strukturieren. Man ist weit entfernt von einem einfachen finanziellen Risiko-Transfer.
Cyber-Versicherung für KMU: Ein doppeltes Risiko, wenn das IS auch der Vertriebskanal ist
Für ein KMU, dessen Geschäft auf einer E-Commerce-Website oder einer Online-Management-Plattform basiert, verursacht ein Cyberangriff nicht nur ein Problem, sondern eine Kaskade. Das Informationssystem ist sowohl das Produktionswerkzeug als auch der Vertriebskanal. Wenn es ausfällt, steht alles gleichzeitig still.
Die Betriebsunterbrechung führt zu sofortigen Umsatzverlusten. Die laufenden Bestellungen werden nicht mehr bearbeitet, die Kunden wenden sich an die Konkurrenz. Gleichzeitig verschlechtert sich die Liquidität, und wenn Kundenrechnungen aufgrund der Blockade des Abrechnungssystems unbezahlbar bleiben, gerät man in ein Risiko von Forderungsausfällen, das einer anderen versicherungstechnischen Logik unterliegt.
Dies ist ein Aspekt, den die üblichen Inhalte nicht ansprechen: Die Verknüpfung zwischen Cyber-Versicherung und Kreditversicherung macht für Online-KMUs Sinn. Ein Cyberangriff kann einen Dominoeffekt auf die Finanzkette auslösen, nicht nur auf die technische Infrastruktur.
Die abgedeckten Verluste über Ransomware hinaus
Die Cyber-Versicherung wird oft nur mit dem Szenario der Ransomware assoziiert. Die Deckung geht jedoch weiter:
- Die Kosten für die Benachrichtigung der betroffenen Personen im Falle einer Verletzung personenbezogener Daten, eine Verpflichtung, die durch die DSGVO innerhalb strenger Fristen auferlegt wird
- Die rechtliche Verteidigung und das Management von Ansprüchen Dritter (Kunden, Partner), deren Daten kompromittiert wurden
- Die Kosten für die Wiederherstellung der Systeme, forensische Ermittlungen und manchmal die Intervention eines Krisenkommunikationsdienstleisters
- Die Betriebsverluste, die mit der Unterbrechung der Aktivität verbunden sind, berechnet auf der tatsächlichen Dauer der Nichtverfügbarkeit
Diese rechtliche und konformitätsbezogene Dimension stellt oft einen signifikanten Teil der Gesamtkosten eines Vorfalls dar. Die Kette der DSGVO-Konformität kann ebenso viel kosten wie die technische Behebung.
Vertragliche Verpflichtung zur Cyber-Versicherung: Was die Auftraggeber verlangen
In Frankreich gibt es kein Gesetz, das privaten Unternehmen vorschreibt, eine Cyber-Versicherung abzuschließen. Der Druck kommt von außen: von Auftraggebern, insbesondere in sensiblen Sektoren (Gesundheit, Verteidigung, Finanzdienstleistungen), die dies in ihren Verträgen mit den Subunternehmern verlangen.
Für ein KMU, das in der Subunternehmerschaft arbeitet, kann das Fehlen einer Cyber-Versicherung bedeuten, einen Auftrag zu verlieren. Es ist nicht mehr eine Frage des internen Risikomanagements, sondern eine Bedingung für den Zugang zum Markt. Die Rückmeldungen zu diesem Punkt variieren je nach Sektor, aber der Trend ist klar: Die Cyber-Versicherung wird zu einer vertraglichen Voraussetzung, bevor sie eine Managemententscheidung ist.
Was die Versicherer bei der Antragstellung überprüfen
Hier sind die häufigsten Kontrollpunkte bei einer Angebotsanfrage:
- Vorhandensein und Umfang der MFA (E-Mail, VPN, Administratorzugang, Fachanwendungen)
- Backup-Politik: Häufigkeit, Auslagerung, dokumentierte Wiederherstellungstests
- Implementierung eines EDR (Endpoint Detection and Response) im gesamten Bestand
- Prozess für das Management von Patches und Sicherheitsupdates
- Schulung der Mitarbeiter zum Thema Phishing, mit Nachweisen (Testkampagnen, datierte Schulungen)
Ein unvollständiger Antrag zu einem dieser Punkte führt entweder zu einer Ablehnung, zu einem Aufschlag oder zu gezielten Ausschlüssen, die die Garantie ihrer Substanz entleeren.
Eine Cyber-Versicherung wählen: Ausschlüsse vor Garantien lesen
Der natürliche Reflex besteht darin, die Deckungsgrenzen zwischen den Versicherern zu vergleichen. Man schaut sich den maximalen abgedeckten Betrag, die Karenzzeit, die Selbstbeteiligung an. Hier entscheidet sich jedoch nicht die Qualität eines Vertrags.
Die Ausschlüsse bestimmen den tatsächlichen Wert einer Cyber-Police. Einige Policen schließen staatliche Kriegshandlungen aus, eine Kategorie, die die Versicherer manchmal weit auslegen, wenn es um Angriffe geht, die Gruppen zugeschrieben werden, die mit Staaten verbunden sind. Andere schließen grobe Fahrlässigkeit aus, was auf das Problem der nicht eingehaltenen Sicherheitsvoraussetzungen zurückführt.
Vor der Unterzeichnung lohnt es sich, dem Versicherer drei präzise Fragen zu stellen: Welche Szenarien führen zu einem Ausschluss wegen Fahrlässigkeit? Wie schnell reagiert das Incident-Response-Team? Und vor allem, deckt der Vertrag die Betriebsverluste über die reine technische Behebung hinaus?
Ein schlecht kalibrierter Cyber-Vertrag vermittelt ein falsches Gefühl von Schutz. Für ein KMU besteht das Risiko nicht nur darin, einen Angriff zu erleiden, sondern auch darin, hinterher zu entdecken, dass die Police nichts von dem abdeckt, was tatsächlich passiert ist. Die Ausschlüsse im Detail zu lesen, die eigenen Sicherheitsmaßnahmen zu überprüfen und jede Maßnahme zur Cybersicherheit zu dokumentieren: Das ist der einzige Weg, eine Versicherungsprämie in echten Schutz umzuwandeln.