Cyberversicherung: Welche IT-Anforderungen Versicherer stellen

Kurz gesagt: Eine Cyberversicherung ersetzt keine IT-Sicherheit, sie setzt sie voraus. Die Musterbedingungen des Gesamtverbands der Deutschen Versicherungswirtschaft verlangen unter anderem individuelle Benutzerkonten, ein Patch-Management, Schutz vor Schadsoftware und eine mindestens wöchentliche Datensicherung, auf die kein System Schreibrechte hat. Erfüllst du diese Punkte nicht, riskierst du im Schadensfall eine Kürzung der Leistung.

Stand: 03.11.2026

Was gibt der GDV als Standard vor?

Der Gesamtverband der Deutschen Versicherungswirtschaft veröffentlicht unverbindliche Musterbedingungen, die Allgemeinen Versicherungsbedingungen für die Cyberrisiko-Versicherung, kurz AVB Cyber. Die aktuelle Fassung hat den Stand Februar 2024 und wurde am 19. Februar 2024 veröffentlicht. Die Fassung gliedert sich in vier Bausteine: Basisdeckung, Service- und Kostenbaustein, Drittschaden und Eigenschaden.

Wichtig zu wissen: Diese Bedingungen sind für die Versicherer nicht bindend, es handelt sich um eine Vorlage. Der konkrete Vertrag kann strenger sein, und er ist es in der Praxis häufig. Lies deshalb immer deine eigenen Bedingungen, nicht die Musterfassung.

An welchen Obliegenheiten scheitert es im Mittelstand?

In Ziffer A1-16.1 der AVB Cyber stehen die Pflichten, die vor Eintritt eines Schadens dauerhaft erfüllt sein müssen. Die wichtigsten:

• Individuelle Zugänge. Jeder Nutzer und jeder Administrator hat eine eigene Kennung. Gemeinsam genutzte Konten sind ein Verstoß.
• Passwortanforderungen, insbesondere zur Anzahl der Zeichen, die technisch erzwungen werden.
• Erhöhter Schutz bei Systemen, die aus dem Internet erreichbar sind, durch Firewall und Zwei-Faktor-Authentifizierung bei Servern, sowie Verschlüsselung der Datenträger mobiler Geräte.
• Schadsoftwareschutz, der automatisch aktuell gehalten wird.
• Ein Patch-Management-Verfahren, das eine zeitnahe Installation relevanter Sicherheitsupdates sicherstellt.
• Mindestens wöchentliche Datensicherung, und zwar so, dass kein System und keine Befugnisebene Schreibberechtigung auf Originale und Duplikate hat.

Der letzte Punkt ist derjenige, der in der Praxis am häufigsten verletzt wird. Ein Backup, das als Netzlaufwerk im selben Netz hängt und von einem Windows-Konto beschrieben werden kann, erfüllt diese Anforderung nicht. Genau dieses Backup verschlüsselt Ransomware gleich mit.

Ergänzend führt der GDV einen Muster-Risikofragebogen für kleine und mittlere Unternehmen mit Stand Dezember 2019. Er verlangt zusätzlich unter anderem, dass Sicherungsmedien physisch getrennt aufbewahrt werden, dass Rücksicherungen regelmäßig getestet werden, dass ein IT-Sicherheitsbeauftragter benannt ist, dass Mitarbeitende regelmäßig geschult werden und dass ein IT-Notfall- und Wiederanlaufkonzept schriftlich vorliegt.

Warum dürfen Versicherer kürzen?

Die Rechtsfolgen stehen in Ziffer B3-4 der AVB Cyber und folgen dem Versicherungsvertragsgesetz. Verletzt du eine Obliegenheit vorsätzlich, ist der Versicherer von der Leistung frei. Bei grober Fahrlässigkeit darf er die Leistung in dem Verhältnis kürzen, das der Schwere des Verschuldens entspricht.

Es gibt zwei Gegenargumente, die du kennen solltest. Der Versicherer bleibt leistungspflichtig, wenn du nachweist, dass die Verletzung nicht grob fahrlässig war, oder dass sie für den Eintritt des Schadens und für dessen Umfang nicht ursächlich war. Dieser Kausalitätsgegenbeweis greift allerdings nicht bei Arglist.

In der Regulierungspraxis treten vier Fallgruppen immer wieder auf:

1. Falsch beantwortete Risikofragen nach Paragraf 19 VVG. Der Klassiker ist die Frage, ob auf allen Servern aktuelle Betriebssysteme laufen, pauschal mit Ja beantwortet, obwohl im Keller noch eine alte Maschine für die Zeiterfassung steht.
2. Verletzte vertragliche Obliegenheiten nach Paragraf 28 Absatz 2 VVG, etwa ausgebliebene Sicherungen oder nicht eingespielte Updates.
3. Grob fahrlässige Herbeiführung des Schadens nach Paragraf 81 Absatz 2 VVG, zum Beispiel fehlende Mehrfaktor-Authentifizierung bei einem erfolgreichen Angriff.
4. Unzureichende Schadendarlegung. Wer nicht dokumentieren kann, wie lange der Betrieb stand und was die Wiederherstellung gekostet hat, bekommt Streit über die Höhe.

Wie groß ist die Lücke in Zahlen?

Der GDV lässt jährlich durch forsa erheben, wie es um die IT-Sicherheit im Mittelstand steht. Befragt werden jeweils rund 300 Entscheider und IT-Verantwortliche in kleinen und mittleren Unternehmen. Aus der Erhebung vom 19. Dezember 2024:

• nur 34 Prozent nutzen Zwei-Faktor-Authentifizierung
• nur 25 Prozent schulen ihre Mitarbeitenden mindestens jährlich, 60 Prozent schulen gar nicht
• nur 46 Prozent haben einen Notfallplan

Aus der Erhebung vom 22. September 2025:

• 77 Prozent halten sich für ausreichend geschützt, tatsächlich erfüllen über zwei Drittel nicht alle Basiskriterien
• 64 Prozent verzichten auf Mitarbeiterschulungen
• 48 Prozent haben keinen Notfallplan
• 68 Prozent aller erfolgreichen Angriffe begannen mit einer Phishing- oder Malware-E-Mail

Vergleich diese Liste mit den Obliegenheiten weiter oben. Die Punkte, an denen es reihenweise fehlt, sind genau die, die der Vertrag verlangt.

Zur Einordnung des Risikos: Der GDV berichtete am 11. Mai 2026, dass rund 80 Prozent der registrierten Ransomware-Angriffe kleine und mittlere Unternehmen treffen, bei rund 950 offiziell erfassten Fällen zwischen Juli 2024 und Juni 2025. Für das Geschäftsjahr 2023 weist der GDV rund 261.000 Cyberverträge, rund 4.000 gemeldete Schäden und einen durchschnittlichen Schadenaufwand von 45.370 Euro aus.

Was solltest du vor dem Abschluss klären?

1. Den Fragebogen nicht allein ausfüllen. Jede Frage zu Systemständen, Backups und Zugängen sollte jemand beantworten, der die Umgebung wirklich kennt.
2. Eine ehrliche Bestandsaufnahme vorschalten. Welche Systeme sind aus dem Internet erreichbar, wo fehlt Mehrfaktor-Authentifizierung, wer hat Schreibrechte auf die Sicherung?
3. Die eigenen Bedingungen lesen. Manche Verträge sanktionieren auch einfache Fahrlässigkeit, die nach dem gesetzlichen Leitbild folgenlos bliebe.
4. Nachweise aufbauen. Schulungsnachweise, Backup-Protokolle, Testwiederherstellungen und ein schriftlicher Notfallplan sind im Schadensfall deine Beweismittel.

So unterstützen wir dich

Wir sehen uns deine Umgebung an und sagen dir schriftlich, welche der genannten Anforderungen erfüllt sind und welche nicht. Das hilft dir beim Fragebogen und im Schadensfall. Wir arbeiten für Unternehmen in Osnabrück und Umgebung vor Ort, entferntere Standorte prüfen wir per Fernwartung. Mehr zu unserer Betreuung findest du auf unserer Seite IT-Support Osnabrück.

Häufige Fragen

Brauchen wir überhaupt eine Cyberversicherung?

Das ist eine unternehmerische Entscheidung, die von deiner Risikolage abhängt. Wir beraten dazu nicht als Versicherungsvermittler. Was wir beurteilen können, ist, ob deine IT die technischen Anforderungen erfüllt, die ein Versicherer stellt.

Der Versicherer hat unseren Antrag angenommen. Sind wir damit auf der sicheren Seite?

Nicht automatisch. Die Annahme sagt nur, dass der Versicherer deine Angaben akzeptiert hat. Ob die Angaben zutrafen, prüft er erst im Schadensfall.

Was ist der häufigste Ablehnungsgrund?

Nach der Regulierungspraxis die falsch beantwortete Risikofrage, gefolgt von verletzten IT-Obliegenheiten, insbesondere bei Backups und Updates.

Reicht ein Backup in der Cloud?

Nur, wenn kein System und keine Befugnisebene Schreibrechte auf Originale und Duplikate hat und Rücksicherungen regelmäßig getestet werden. Ein synchronisierter Cloudordner ist kein Backup.

Quellen

• GDV, Allgemeine Versicherungsbedingungen für die Cyberrisiko-Versicherung, Stand Februar 2024
• GDV, Unverbindlicher Muster-Fragebogen zur Risikoerfassung im Rahmen von Cyber-Versicherungen für kleine und mittelständische Unternehmen, Stand Dezember 2019
• GDV und forsa, Befragungen vom 19. Dezember 2024 und 22. September 2025
• GDV, 80 Prozent der Cyberangriffe treffen KMU, 11. Mai 2026, sowie Marktzahlen vom 5. September 2024
• Paragrafen 19, 28 und 81 Versicherungsvertragsgesetz

Wir sind kein Versicherungsvermittler und beraten nicht zur Auswahl von Versicherungsprodukten.