🛡️ 🛡️ Cyber-Versicherung: Was zahlt sie wirklich – und was bleibt an dir hängen?

Was eine Cyber-Versicherung abdeckt

Cyber-Versicherungen gibt es seit rund zehn Jahren für Schweizer KMU. Sie versprechen Kostenübernahme bei Cyberangriffen, Datenlecks oder IT-Ausfällen. Die Leistungen variieren je nach Anbieter stark, aber typische Deckungsbereiche sind Datenwiederherstellung nach Ransomware-Angriffen, Forensik-Kosten für die Ursachenanalyse, Rechtsberatung bei Datenschutzverletzungen und Betriebsunterbrechungsschäden während der Ausfallzeit. Manche Policen übernehmen auch PR-Massnahmen für den Reputationsschaden oder Lösegeldzahlungen, letzteres ist rechtlich und ethisch umstritten, wird aber angeboten. Die Deckungssummen liegen meist zwischen 100'000 und 5 Millionen Franken, abhängig von Unternehmensgrösse und Prämie. Wichtig: Die Police greift nur für Schäden, die im Versicherungszeitraum gemeldet und bestätigt wurden. Ein Angriff, den du erst Monate später entdeckst, kann durchs Raster fallen.

Was die Versicherung nicht zahlt

Hier wird es unangenehm. Viele KMU denken, eine Cyber-Versicherung sei ein Sicherheitsnetz für alle Eventualitäten. Falsch. Die Ausschlussklauseln sind lang und detailliert. Vorsätzliche Handlungen oder grobe Fahrlässigkeit sind nie gedeckt: wenn dein Team bewusst unsichere Systeme betreibt oder Sicherheitsupdates ignoriert, zahlt die Versicherung nichts. Kriegs- und Terrorakte sind ausgeschlossen, was bei staatlich unterstützten Angriffen problematisch wird. Viele Policen decken keine Schäden durch bekannte Schwachstellen, für die Patches verfügbar waren. Hast du eine kritische Lücke monatelang nicht gepatcht, greift die Versicherung nicht. Auch indirekte Schäden wie Kundenabwanderung, Vertrauensverlust oder langfristige Umsatzeinbussen sind selten versichert. Der Reputationsschaden bleibt meist an dir hängen. Und falls dein Unternehmen grundlegende Sicherheitsanforderungen nicht erfüllt (mehr dazu gleich), kann die Versicherung die Zahlung komplett verweigern.

Der Selbstbehalt: Dein Eigenanteil bei jedem Schaden

Jede Cyber-Versicherung hat einen Selbstbehalt, oft zwischen 5'000 und 50'000 Franken. Das heisst: Bei einem Schaden zahlst du die ersten X Franken aus eigener Tasche, erst darüber hinaus springt die Versicherung ein. Für ein KMU mit knappem Budget kann das bereits eine Belastung sein. Der Selbstbehalt soll verhindern, dass Unternehmen nachlässig werden, weil ja "eh alles versichert" ist. Manche Versicherungen bieten niedrigere Selbstbehalte gegen höhere Prämien an, ein Rechenspiel, das sich für viele nicht lohnt. Wichtig zu wissen: Der Selbstbehalt gilt pro Schadensfall. Hast du in einem Jahr drei separate Vorfälle, zahlst du dreimal. Präventive Massnahmen sind also weiterhin günstiger als sich auf die Versicherung zu verlassen.

Präventionspflichten: Was die Versicherung von dir verlangt

Bevor eine Cyber-Versicherung überhaupt eine Police ausstellt, prüft sie deine IT-Sicherheit. Die Anforderungen werden jährlich strenger. Typische Mindestanforderungen sind Multi-Faktor-Authentifizierung (MFA) für alle administrativen Zugänge, regelmässige Backups mit Offline-Kopien, Patch-Management für Betriebssysteme und kritische Software sowie Endpoint-Protection auf allen Geräten. Manche Versicherer verlangen zusätzlich Security-Awareness-Schulungen für Mitarbeitende oder externe Sicherheitsaudits. Erfüllst du diese Anforderungen nicht, bekommst du entweder gar keine Police oder eine mit deutlich höherer Prämie und eingeschränkter Deckung. Die Versicherer haben in den letzten Jahren gelernt: Unternehmen ohne Basisschutz sind zu riskant. Die gute Nachricht: Diese Präventionspflichten sind sinnvoll und schützen dich auch unabhängig von der Versicherung.

Kleingedrucktes: Wartezeiten und Meldepflichten

Zwei Details im Kleingedruckten sind besonders tückisch. Erstens: Wartezeiten. Viele Policen haben eine Karenzfrist von 30 bis 90 Tagen nach Vertragsabschluss. Schäden, die in diesem Zeitraum auftreten, sind nicht gedeckt. Das soll verhindern, dass Unternehmen erst eine Versicherung abschliessen, wenn sie bereits einen Verdacht haben. Zweitens: Meldepflichten. Entdeckst du einen Vorfall, musst du ihn innerhalb von 24 bis 72 Stunden der Versicherung melden. Verpasst du diese Frist, kann die Versicherung die Leistung kürzen oder verweigern. Das Problem: Viele Angriffe bleiben wochenlang unentdeckt, und wenn du sie bemerkst, herrscht oft Chaos. Die sofortige Meldung ist dann nicht erste Priorität. Trotzdem: Die Uhr tickt ab dem Zeitpunkt, an dem du es hättest wissen müssen, nicht ab dem Zeitpunkt, an dem du es tatsächlich weisst. Das ist eine rechtliche Grauzone, die zu Streitigkeiten führen kann.

Schweizer Besonderheiten: Datenschutz und Meldepflichten

In der Schweiz gelten seit September 2023 strengere Datenschutzregeln nach dem revidierten Datenschutzgesetz (revDSG). Bei einem Datenleck mit hohem Risiko für betroffene Personen besteht eine Meldepflicht an den Eidgenössischen Datenschutz- und Öffentlichkeitsbeauftragten (EDÖB). Diese Meldung muss "so rasch als möglich" erfolgen, idealerweise innerhalb von 72 Stunden. Cyber-Versicherungen decken zwar oft die Kosten für Rechtsberatung bei solchen Meldungen, aber die Bussen bei Verletzung der Meldepflicht sind nicht versichert: diese zahlst du selbst. Die Höchststrafe liegt bei 250'000 Franken. Auch die Kosten für die Benachrichtigung betroffener Personen (bei grossen Lecks schnell fünfstellig) sind nicht immer voll gedeckt. Prüfe genau, ob deine Police DSGVO- und revDSG-Compliance-Kosten abdeckt, besonders wenn du Kunden oder Partner in der EU hast.

Lohnt sich eine Cyber-Versicherung für dein KMU?

Die Antwort hängt von deiner Risikosituation ab. Für Unternehmen mit sensiblen Kundendaten (Gesundheit, Finanzen, Personendaten), hoher Abhängigkeit von IT-Systemen oder knappen finanziellen Reserven kann eine Cyber-Versicherung sinnvoll sein. Sie ist ein Sicherheitsnetz für den Worst Case, nicht ein Ersatz für Prävention. Wichtig: Die Versicherung sollte Teil einer Gesamtstrategie sein. Investiere zuerst in grundlegende Sicherheitsmassnahmen (MFA, Backups, Schulungen), und schliesse dann eine Police ab, um Restrisiken abzudecken. Für sehr kleine Unternehmen ohne kritische Daten kann die Prämie (oft 2000 bis 5000 Franken pro Jahr) unverhältnismässig sein. Hier lohnt es sich eher, das Geld direkt in Sicherheit zu stecken. Lass dich von einem unabhängigen Versicherungsbroker beraten, nicht nur vom Versicherer selbst. Und lies das Kleingedruckte. Wirklich.

Drei Punkte, die du mitnehmen solltest

Erstens: Eine Cyber-Versicherung deckt nie alles ab. Selbstbehalt, Ausschlüsse und Präventionspflichten bedeuten, dass du bei einem Angriff trotzdem Kosten trägst. Plane diese Lücken ein. Zweitens: Prävention ist günstiger als Versicherung. Die Anforderungen, die Versicherer stellen (MFA, Backups, Patches), schützen dich auch ohne Police. Erfülle sie zuerst. Drittens: Lies das Kleingedruckte. Wartezeiten, Meldepflichten und Ausschlussklauseln entscheiden im Ernstfall, ob die Versicherung zahlt oder nicht. Kläre vor Vertragsabschluss alle Unklarheiten. Im Schadensfall ist es zu spät.

Florian Muff

Head of Customer Success bei SignalFisher, CyberSeal Lead Auditor und im Vorstand der Allianz Digitale Sicherheit Schweiz. Schreibt jeden Mittwoch über Cybersecurity: praxisnah und ohne Fachjargon.