Auf der Landkarte der Unternehmensversicherungen ging es in der Himmelsrichtung „Betrieb“ lange um Feuer, Maschinenbruch und Betriebsunterbrechung. Heute bedroht den Betrieb kleiner Unternehmen ein geöffneter Anhang, eine Phishing-Mail, die Passwörter abgreift, oder eine Rechnung mit geänderter Bankverbindung mindestens ebenso sehr. Das Nationale Cybersicherheitsinstitut (Nemzeti Kiberbiztonsági Intézet) warnt regelmäßig vor ungarischsprachigen Phishing- und Betrugsmails sowie vor Betrugsmaschen, die auf der Übernahme geschäftlicher E-Mail-Korrespondenz beruhen (Business E-Mail Compromise, BEC) – und diese zielen nicht auf Großunternehmen, sondern dorthin, wo zwischen Buchhalter, Geschäftsführer und Bank eine einzige E-Mail entscheidet. Als Makler sehe ich, dass die meisten KMU dieses Risiko noch nirgends eingeordnet haben: Die Sachversicherung ist nicht dafür gedacht, die Haftpflichtversicherung schließt Datenschutzschäden typischerweise aus, und die Deckung für Betriebsunterbrechung ist an einen Sachschaden gebunden. Dieser Artikel gibt einen Überblick über die Cyberversicherung: was sie ist, was sie deckt, was nicht, und für wen es sich überhaupt lohnt, ein Angebot einzuholen.
- Die Cyberversicherung wirkt in zwei Richtungen: für den Eigenschaden des Unternehmens (Bewältigung des Vorfalls, Wiederherstellung von Daten und Systemen, Betriebsunterbrechung, Erpressung) und für den Dritten zugefügten Schaden (Haftung aus Datenschutzverletzungen, Kosten behördlicher Verfahren).
- Eine der häufigsten Schadensquellen bei KMU – der Überweisungsbetrug mit ausgetauschten Rechnungen – ist der heikelste Punkt: Ein Teil der ungarischen Bedingungen schließt ihn aus, ein anderer übernimmt ihn in einem gesonderten Modul mit niedrigerem Limit; diese Zeile sollten Sie deshalb gesondert ansehen.
- Vor Vertragsabschluss verlangt der Versicherer einen IT-Sicherheitsfragebogen, und die Bedingungen schreiben typischerweise grundlegende Maßnahmen vor (Datensicherung, Updates, Zugriffsverwaltung); fehlen diese, kann die Entschädigung fraglich werden.
Wogegen schützt die Cyberversicherung?
Die ungarischen Produkte bauen – nach einer in der Zeitschrift „Biztosítás és Kockázat“ (Versicherung und Risiko) des MABISZ (des ungarischen Versichererverbands) erschienenen Studie und nach den Produktbeschreibungen der Versicherer – auf zwei großen Deckungsbereichen auf. Der erste ist der Eigenschaden des Unternehmens: die erste fachliche Hilfe nach dem Vorfall (IT-Forensik, Jurist, Kommunikation), die Kosten der Wiederherstellung zerstörter oder verschlüsselter Daten und Systeme, der Ertragsausfall und die Mehrkosten durch den Stillstand (Cyber-Betriebsunterbrechung) sowie die Kosten im Zusammenhang mit einem Ransomware-Angriff. Der zweite ist der Dritten zugefügte Schaden: Wenn personenbezogene Daten von Kunden oder Geschäftspartnern abfließen, der Schadenersatz und der immaterielle Schadenersatz (sérelemdíj) ihnen gegenüber, die Kosten der Benachrichtigung der Betroffenen, die Rechtskosten eines behördlichen Verfahrens – und bei einem Teil der Bedingungen auch das verhängte Bußgeld, soweit dessen Versicherung rechtlich zulässig ist. Diese Doppelstruktur ist wichtig: Die meisten KMU denken nur an den ersten Bereich, dabei ist bei einem Webshop oder einem Buchhaltungsbüro der zweite der größere Posten.
Der gemeinsame Nenner ist auch hier derselbe wie bei jeder Versicherung: Der Versicherer zahlt nur für das, was nach Ihrem Vertrag ein Versicherungsfall ist. Die Bedingungen der Cyberversicherung unterscheiden sich von Versicherer zu Versicherer erheblich – dasselbe Wort („Betriebsunterbrechung“, „Datenverlust“) kann einen anderen Inhalt haben, mit anderer Selbstbeteiligung, anderem Limit und anderer Wartezeit. Auf der Landkarte der KMU-Versicherungen ist die Cyberdeckung eine eigene Zeile in der Himmelsrichtung Betrieb, keine Erweiterung der bestehenden Policen.
Überweisungsbetrug: der heikle Punkt
Einer der häufigsten tatsächlichen Verluste von KMU ist nicht der gehackte Server, sondern das überwiesene Geld: die im Namen des Lieferanten eingehende Rechnung mit geänderter Kontonummer, die angeblich vom Geschäftsführer stammende Bitte um eine „dringende Überweisung“, die gekaperte Korrespondenz. Rechtlich ist das kein Eindringen in das System, sondern eine Täuschung – ein Mitarbeiter des Unternehmens löst die Überweisung selbst aus. Gerade deshalb schließt ein Teil der Cyberversicherungen diesen Schaden aus oder übernimmt ihn nur in einer gesonderten Klausel mit einem Sublimit weit unter dem Hauptlimit (suchen Sie in den Bedingungen nach „Social Engineering“, „Überweisungsbetrug“ oder „Cyber Crime“). Wenn Ihr Unternehmen regelmäßig an Lieferanten überweist, ist diese eine Zeile für die Entscheidung mehr wert als der ganze Rest der Deckungstabelle zusammen – und wenn sie fehlt, müssen Sie das wissen, bevor Sie eine Police unterschreiben. Auch mit der Bank lohnt es sich, den Ablauf zu klären, denn eine vom Kunden freigegebene Überweisung erstattet die Bank typischerweise nicht.
Was verlangt der Versicherer?
Die Prüfung des Cyberrisikos beginnt mit einem Fragebogen: Gibt es eine regelmäßige, vom Netzwerk getrennte Datensicherung, eine Mehr-Faktor-Authentifizierung für E-Mail und Fernzugriff, sind die Systeme auf dem aktuellen Stand, wer hat Zugriff auf die Überweisungsrechte, wurden die Mitarbeiter geschult? Die 2019 in der Zeitschrift des MABISZ erschienene Studie zeigt am Produkt eines ungarischen Versicherers, dass in den Vertrag Bedingungen aufgenommen werden wie Passwortverwaltung und Regelung der Zugriffsrechte, fachgerechte Konfiguration der Firewalls, laufende Aktualisierung der Virenschutzprogramme und Betriebssysteme – und dass die Verwendung selbst entwickelter oder nicht lizenzierter Software ein Ausschlussgrund sein kann. Die praktische Folge wirkt in zwei Richtungen. Einerseits unterliegen die Antworten im Fragebogen der vorvertraglichen Anzeigepflicht: Was bei Vertragsabschluss nicht stimmt, kann sich im Schadenfall rächen. Andererseits kann das Fehlen einer in den Bedingungen vereinbarten Maßnahme – je nach Versicherer unterschiedlich ausgestaltet – zu einem Ausschluss oder zur Leistungsfreiheit des Versicherers führen; bei Letzterer liegt die Beweislast beim Versicherer, der einfachere Weg, Streit zu vermeiden, ist jedoch, dass das Unternehmen das bei Vertragsabschluss zugesagte Minimum tatsächlich umsetzt. Bei vielen KMU ist schon das Durchgehen des Fragebogens nützlicher als die Police: Es zeigt sich, was fehlt.
Für wen eignet sie sich – und was ersetzt sie nicht?
Nicht für jedes KMU ist das die erste Aufgabe in Sachen Versicherung. Stark begründet ist sie dort, wo der Betrieb von Daten und Erreichbarkeit abhängt: Webshop und Online-Dienstleister, Buchhaltungs- und Anwaltskanzlei, Planungsbüro, Arztpraxis, Softwareentwickler, jedes Unternehmen, das personenbezogene oder geschäftliche Daten von Partnern verarbeitet, und jedes Produktions- oder Logistikunternehmen, bei dem ein ausgefallenes System die Auslieferung für Tage stoppt. Bei einem Ein-Personen-Unternehmen, das auf Papier arbeitet, kann dieselbe Deckung überflüssig sein – darüber sollten Sie nach der Logik der Lückensuche entscheiden, nicht aus Angst. Zwei Dinge ersetzt die Cyberversicherung nicht: echte IT-Sicherheit (Datensicherung, Updates, Schulung – ohne sie ist auch die Police nicht viel wert) und die Einhaltung der Rechtsvorschriften. Die Datenschutzvorschriften (DSGVO) gelten für jedes Unternehmen, und die ungarische Cybersicherheitsregelung zur Umsetzung der NIS-2-Richtlinie (Gesetz LXIX von 2024 über die Cybersicherheit Ungarns) schreibt – je nach Tätigkeit und Größe – bestimmten mittleren und größeren Unternehmen verpflichtende Schutzmaßnahmen vor; ob Ihr Unternehmen darunter fällt, sollten Sie mit einem Juristen oder IT-Fachmann klären und nicht aus dem Versicherungsangebot herauslesen.
Wie fügt sie sich ins Portfolio ein?
Drei bestehende Policen sollten Sie neben das Cyberangebot legen. Die Sachversicherung für den Betriebsstandort ersetzt nach den ungarischen Bedingungen typischerweise nur physische Schäden, den Verlust elektronischer Daten nicht oder nur als enge Zusatzdeckung. Die allgemeine Haftpflicht- und die Berufshaftpflichtversicherung schließen Datenschutz- und Netzwerkschäden häufig aus – aber nicht in jedem Fall, deshalb kann es hier auch Überschneidungen geben. Und die Deckung für Betriebsunterbrechung greift nach einem Sachschaden (Feuer, Maschinenbruch), nicht nach einem Cyberangriff. Im Artikel über Versicherungsfragen von Webshops habe ich diese drei Grenzen an konkreten Beispielen gezeigt. Die Cyberversicherung ist dann eine gute Entscheidung, wenn sie auf diese tatsächlichen Lücken antwortet – und nicht verdoppelt, was schon vorhanden ist.
Was sollten Sie jetzt tun?
Schreiben Sie auf, von welchen Daten und Systemen der Betrieb Ihres Unternehmens abhängt und wie viele Tage er ohne sie auskäme. Prüfen Sie in Ihren bestehenden Policen, ob elektronische Daten, Datenschutzschäden und Netzwerkausfälle ausgeschlossen sind. Lassen Sie sich von Ihrem IT-Dienstleister erklären, wie es heute um Datensicherung, Updates und Mehr-Faktor-Authentifizierung steht – danach fragt der Fragebogen ohnehin. Wenn Sie ein Angebot einholen, vergleichen Sie die Zeile zum Überweisungsbetrug, die Limits, die Selbstbeteiligung und die Wartezeit mit den anderen Angeboten, nicht nur den Beitrag. Wenn Sie sich mit dieser Liste bei mir melden, erstelle ich den Vergleich der Angebote und fasse das Wesentliche der Bedingungen verständlich zusammen – die Entscheidung liegt, wie gewohnt, bei Ihnen.
Eine Frage, zugeschnitten auf die Daten und Abläufe Ihres eigenen Unternehmens? Vereinbaren Sie eine kostenlose 20-minütige Beratung →
Quellen
- Nationales Cybersicherheitsinstitut (Nemzeti Kiberbiztonsági Intézet, NKI) – Warnungen zu Betrug und Phishing
- Nationales Cybersicherheitsinstitut (NKI) – BEC-Angriffe (Übernahme geschäftlicher E-Mail-Korrespondenz)
- MABISZ (ungarischer Versichererverband) – Biztosítás és Kockázat, Jg. VI, Nr. 3: Die Versicherbarkeit des Cyberrisikos auf Unternehmensebene (2019)
- Colonnade Biztosító – Was ist eine Cyberversicherung? Deckungen und Risiken (Produktbeschreibung des Versicherers)
- Gesetz Nr. LXIX von 2024 über die Cybersicherheit Ungarns – ungarische Umsetzung der NIS2-Richtlinie (ab 1. Januar 2025)
