Cyberversicherung: Kein Freifahrtschein

Worum es wirklich geht

Die unbequeme Wahrheit: Eine Cyberversicherung ersetzt keine Kontrollen. Sie zahlt nur, wenn definierte Obliegenheiten erfüllt sind und der Schaden ins Bedingungswerk passt. Gleichzeitig werden Underwriting-Fragen schärfer, Sublimits enger und Ausschlüsse präziser formuliert. Wer das als Bürokratie abtut, zahlt am Ende doppelt: höhere Cyberkosten im Vorfall und eine Police, die im Ernstfall wenig beiträgt. Ziel muss sein, Police und IT-Sicherheit so zu verzahnen, dass Ansprüche belegbar sind und die Reaktionszeit sinkt.

Was typischerweise versichert ist – und was oft nicht

Policen bündeln mehrere Bausteine. Klingt gut, ist aber kleingedruckt. Typische Module:

• Forensik & Incident-Dienstleistungen: Externe Analyse, Eindämmung, Kommunikation.
• Betriebsunterbrechung / Ertragsausfall: Ersatz für Stillstandskosten nach definierten Wartezeiten.
• Haftpflicht / Datenschutzverletzungen: Abwehrkosten, Benachrichtigungen, ausgewählte Gebühren.
• Erpressung/Extortion: Verhandlung/Unterstützung; Zahlung nur unter engen Bedingungen und rechtlichen Grenzen.

Genauso wichtig: die Grenzen. Häufige Ausschlüsse oder enge Bedingungen betreffen z. B. vorsätzliche Pflichtverletzungen, grobe Fahrlässigkeit, veraltete Systeme ohne Patch-Disziplin, Verstöße gegen Sanktionen, bestimmte Bußgelder (je nach Rechtslage) sowie Schäden außerhalb definierter Zeitfenster oder ohne Vorabfreigabe des Versicherers. Übersetzt: Ohne nachweisbare Risikomanagement-Praxis bleibt vieles Theorie.

Was Versicherer heute real verlangen

Underwriter fragen nicht mehr „ob“, sondern „wie gut“ Kontrollen gelebt werden. Erwartet werden u. a.:

• Phishingsichere MFA auf administrativen und kritischen Zugängen; Legacy-Auth abgeschaltet.
• Geübtes Incident-Playbook mit klaren Entscheidungswegen (24/7 erreichbar, Out-of-Band nutzbar).
• Backups offline/immutabel, dokumentierte Restore-Tests mit Integritätsnachweis.
• Patch-Management mit SLOs (Internet-exponiert in Tagen), belegte Ausnahmeverfahren.
• EDR/Logging auf kritischen Endpunkten/Servern mit nachvollziehbarer Alarmbearbeitung.
• Zugriffsprinzipien (Least Privilege, JIT für Adminrechte), gepflegte Inventare (Systeme & Identitäten).
• Lieferketten-Mindeststandards: Nachweise, Kontaktwege, ad-hoc-Drills bei kritischen Dienstleistern.

Diese Anforderungen sind nicht „nice to have“ – sie sind Eintrittskarte für vernünftige Konditionen und die Schadensregulierung.

Der Dreh- und Angelpunkt: Beweisbarkeit statt Absicht

Versicherer regulieren auf Basis von Nachweisen, nicht aufgrund guter Vorsätze. Drei Dinge müssen sitzen:

1) Vorfallchronik in Minuten, nicht in Meinungen.
Wer hat wann was gesehen, entschieden, getan? Timestamps, Tickets, Pager-Logs, forensische Snapshots. Ohne lückenlose Chronik sinkt die Glaubwürdigkeit – und damit die Chance auf Leistung.

2) Integrität der Wiederherstellung.
Backups sind nur dann ein Wert, wenn Sie belegen, dass sie unverändert sind und unter Zeitdruck funktionieren. Protokolle (Checksums, Restore-Dauer, Freigaben) gehören ins zentrale Repository.

3) Erfüllte Obliegenheiten
Wenn die Police z. B. MFA, Meldefristen oder Freigabeprozesse vorschreibt, dann ist „fast“ gleich „kein“. Dokumentieren Sie, dass die Vorgaben vor dem Schaden bestanden und während des Schadens eingehalten wurden.

Typische Stolperfallen – und wie Sie sie vermeiden

• Zu späte Erstmeldung: Viele Bedingungen verlangen eine frühe, strukturierte Meldung (auch wenn noch nicht alles klar ist). Lösung: vorgefertigte Erstmeldung + Ansprechpartnerliste, juristisch geprüft.
• Eigenmächtige Zahlungen/Entscheidungen: Ransom-Zahlung, Forensikerwechsel oder PR ohne Freigabe kann Deckung gefährden. Lösung: Entscheidungsbaum mit Freigabe-Check.
• „MFA haben wir – außer…“: Ausnahmen bei privilegierten Konten oder Remote-Zugängen sind Einfallstore und Ablehnungsgründe. Lösung: phishingsichere Verfahren konsequent, Ausnahmen befristen und kompensieren.
• Backups ohne Drill: Kein Zeitstempel, keine Checksums, keine Integritätsbeweise. Lösung: quartalsweise Restore-Übung mit dokumentierten Zeiten.
• Lieferkette ohne Belege: „Unser Dienstleister ist sicher“ zählt nicht. Lösung: Nachweise, Drill-Protokolle, 24/7-Kontakt – alles abgelegt.

So verzahnen Sie Police und Betrieb pragmatisch

Denken Sie die Police als Bestandteil Ihrer Betriebsdokumentation. Drei Bausteine reichen für spürbare Wirkung:

A) Police-Map ins Runbook
Für jedes Szenario (Ransomware, E-Mail-Kompromittierung, Webapp-Exploit) eine halbe Seite: Meldefrist, Kontaktkanal, Freigaberegeln, Grenzen/Sublimits, Do’s & Don’ts. Diese Seite liegt im Incident-Ordner – nicht nur im Intranet.

B) Vorbelegte Evidenzsammlung
Standardordner mit Platzhaltern: „Erstmeldung“, „Containment-Log“, „Forensik-Snapshots“, „Freigaben Versicherer“, „Kommunikation“. Wenn der Vorfall läuft, füllen Teams in Echtzeit. Ziel: keine Detektivarbeit im Nachgang.

C) Quartals-Abgleich mit Underwriting
Nicht im Schadenfall diskutieren, ob ihr „gut genug“ seid. Ein kurzer, dokumentierter Abgleich (MFA-Quote, Patch-SLO, Restore-Zeiten, Lieferketten-Nachweise) schafft Klarheit – und bessere Konditionen.

Was Sie messen sollten (und warum es zählt)

KPIs sind hier kein Selbstzweck; sie steuern Prämie, Selbstbehalt und Verhandlungsmacht:

• MFA-Abdeckung (phishingsicher) bei privilegierten und extern exponierten Zugängen.
• Patch-SLO-Einhaltung getrennt nach Internet-exponiert/intern (inkl. dokumentierter Ausnahmen).
• Time-to-Contain und MTTR je Kritikalität – belegbar durch Tickets und Pager-Logs.
• Restore-Zeit & Integrität der zwei wichtigsten Prozesse, mindestens jährlich geübt.
• Lieferketten-Fitness: Anteil kritischer Partner mit aktuellen Nachweisen/erfolgreichen Drills.
• Erstmelde-Zeit an Versicherer/Behörden gemäß Bedingung – keine Bauchwerte.

Je robuster diese Zahlen, desto leichter verhandeln Sie Sublimits, Ausschlüsse und Prämien – und desto wahrscheinlicher ist eine reibungslose Regulierung.

Fazit: Schutzwirkung entsteht vor dem Schaden

Eine Cyberversicherung ist sinnvoll – als Teil des Risikomanagements, nicht als Ersatz. Sie wirkt, wenn Kontrollen gelebt, Obliegenheiten verstanden und Belege einsatzbereit sind. Wer Police, Prozesse und Technik verzahnt, reduziert Cyberkosten schon vor dem ersten Euro Erstattung: schnellere Entscheidungen, kürzere Ausfälle, weniger Streit in der Regulierung. Alles andere ist teure Kosmetik – und auf Kosmetik sollten Sie sich in einem echten Vorfall nicht verlassen.

FAQ zum Blogbeitrag