Eine Cyber-Police bekommt nicht mehr jeder Betrieb ohne Weiteres. Versicherer prüfen inzwischen das Schutzniveau vorab — und kürzen im Schadenfall, wenn zugesagte Maßnahmen fehlen. Welche Anforderungen üblich sind und was in den ersten Stunden zählt.
Vor einigen Jahren war eine Cyber-Police eine Frage weniger Angaben im Antrag. Das hat sich geändert. Versicherer prüfen heute, wie ein Betrieb technisch aufgestellt ist — und knüpfen den Schutz an Bedingungen, die eingehalten werden müssen.
Für Unternehmen ist das keine schlechte Nachricht. Die Anforderungen sind im Kern das, was ohnehin sinnvoll ist. Unangenehm wird es nur, wenn im Antrag etwas zugesagt wurde, das im Betrieb nicht gelebt wird.
Die Formulierungen unterscheiden sich je nach Anbieter, die Stoßrichtung ist überall ähnlich. Diese vier Punkte tauchen in nahezu jedem Fragebogen auf:
Sicherungen, die dauerhaft am Netz hängen, werden bei einem Verschlüsselungsangriff mitverschlüsselt. Verlangt wird eine Kopie, die offline oder logisch getrennt liegt — und die nachweislich zurückgespielt wurde.
Für Fernzugriffe, Administratorkonten und Cloud-Dienste. Ein zweiter Faktor entwertet gestohlene Passwörter — der häufigste Einstiegsweg überhaupt.
Besonders für alles, was aus dem Internet erreichbar ist: Firewalls, VPN-Zugänge, Server. Bekannte Schwachstellen werden automatisiert abgeklopft, oft binnen Tagen nach Veröffentlichung.
Administratorrechte gehören nicht auf das Konto, mit dem täglich E-Mails gelesen werden. Diese Trennung begrenzt, wie weit sich ein Angreifer ausbreiten kann.
Antrag und Wirklichkeit müssen zusammenpassen
Was im Antrag zugesagt wird, ist eine Obliegenheit. Stellt sich nach einem Angriff heraus, dass es die zugesagte Maßnahme nicht gab, kann der Versicherer die Leistung kürzen. Klären Sie den tatsächlichen Stand daher vor dem Abschluss — gemeinsam mit der Person, die Ihre IT wirklich betreut.
Der finanzielle Schutz ist der eine Teil einer Cyber-Police. Der andere — im Ernstfall der wichtigere — ist die Soforthilfe: eine Nummer, unter der rund um die Uhr IT-Forensik und Krisenexperten erreichbar sind.
Warum das zählt, zeigt der typische Ablauf: Zwischen dem Eindringen in ein Netzwerk und dem Auslösen der Verschlüsselung liegen häufig Tage, in denen Angreifer sich umsehen und Daten abziehen. Wer in dieser Phase richtig reagiert, verhindert den großen Schaden. Wer Systeme unkoordiniert neu startet, vernichtet dabei die Spuren, die man später für Aufklärung und Meldung braucht.
Sind personenbezogene Daten betroffen — Kunden-, Mitarbeiter- oder Bewerberdaten — greift Art. 33 DSGVO: Die Meldung an die Aufsichtsbehörde muss binnen 72 Stunden nach Bekanntwerden erfolgen. Diese Frist läuft unabhängig davon, ob die IT schon wieder steht.
Was das praktisch bedeutet
Mitten in der technischen Krise muss jemand rechtlich bewerten, ob eine Meldung nötig ist, und sie fristgerecht abgeben. Kommen betroffene Personen hinzu, ist zusätzlich deren Benachrichtigung zu prüfen. Wer das erst im Ernstfall organisiert, verliert genau die Zeit, die die Frist ihm lässt.
Ein Cyber-Vorfall ist gleichzeitig ein technisches, ein sicherheitsbezogenes und ein rechtliches Problem. Deshalb arbeiten bei uns IT-Spezialist, KI-Experte, Cybersecurity-Experte und ein auf Datenschutz spezialisierter Rechtsanwalt zusammen — damit Sie im Ernstfall nicht vier Dienstleister koordinieren müssen.
Wenn Sie wissen möchten, wie Ihr Betrieb heute dasteht: Wir gehen die Anforderungen mit Ihnen und Ihrem IT-Verantwortlichen durch, bevor ein Antrag gestellt wird. Mehr zu Cyber & Firmen-IT oder direkt ein kostenloses Erstgespräch vereinbaren.
Martin Maack
Cyber & Firmen-IT
Weiterlesen
Drei Millionen pauschal? Diese Faustregel geht an der Realität vorbei. Warum die richtige Deckungssumme von der Tätigkeit abhängt, nicht von der Betriebsgröße — und welche vier Lücken in der Praxis am häufigsten auffallen.
Weiterlesen →Zwölf Monate Haftzeit klingen großzügig — bis eine Spezialmaschine acht Monate Lieferzeit hat und der Wiederaufbau erst danach beginnt. Warum die Haftzeit an der realen Wiederanlaufzeit hängen muss und nicht am Standardvertrag.
Weiterlesen →Kontakt
Wir schauen uns Ihre Situation konkret an — kostenlos und unverbindlich.
Antwort innerhalb von 24 Stunden — kostenlos & unverbindlich
Notwendige Cookies halten diese Website funktionsfähig. Alles Weitere setzen wir nur mit Ihrer Zustimmung — Sie entscheiden, was Sie zulassen. Näheres in der Datenschutzerklärung.