Für Unternehmen
Cyberversicherungen: Policen und Schadenregulierung
Was eine gute Police enthalten muss – und was im Ernstfall wirklich passiert
Benno G. Embser, Ass. jur. IHK Nord Westfalen · Online-Vortrag · 29. September 2026 Fülling & Meysenburg GmbH & Co. KG · Assekuranzmakler seit 1958
Fahrplan
Vom Risiko über die Police zum Schadenfall
01 Risiko Aktueller Fall, Lagebild, Schadenpraxis
02 Police Mindeststandards, Bausteine, Qualität, Grenzen
03 Schadenfall Szenario, erste Stunden, Regulierung
Zum Schluss: Fazit und Ihre Fragen. Produktneutral; keine Deckungs- oder Rechtsprüfung im Einzelfall.
01
Risiko
Warum der Angriff der Normalfall ist – und was ein Vorfall kostet
Risiko Aktueller Fall, Lagebild, Schadenpraxis
Police
Schadenfall
Aktueller Fall · August/September 2026
Berlin: 5,8 Terabyte im Darknet
Angriff 7.–12. Aug. Angriff auf Netze der Berliner Verwaltung – über bekannte, nicht geschlossene Sicherheitslücken
Forderung 30 Bitcoin rund 2 Mio. € Lösegeld gefordert – der Senat lehnt ab
Veröffentlichung 5. Sept. Frist abgelaufen: 1,44 Mio. Dateien veröffentlicht – Lohnzettel, Zeugnisse, Bankdaten, Notfallpläne
Quelle: Quellenverzeichnis am Ende der Folien
Aktueller Fall · August/September 2026
Der Ablauf betrifft auch Unternehmen
Das ist kein Behördenproblem. Dieselbe Gruppe – Rhysida – verschlüsselt seit Jahren mittelständische Unternehmen, Kliniken und Kommunen. Der Ablauf ist immer gleich:
Quelle: Quellenverzeichnis am Ende der Folien
Lagebild 2026
Der Angriff ist der Normalfall
96 % der deutschen Unternehmen waren in den letzten 12 Monaten betroffen oder vermuten es
80 % der registrierten Ransomware-Angriffe treffen kleine und mittlere Unternehmen
45 % sehen ihre Existenz durch einen erfolgreichen Angriff bedroht
1/3 der Unternehmen erfüllt grundlegende IT-Sicherheitsanforderungen – nur ein Drittel
Quelle: Quellenverzeichnis am Ende der Folien
Aus der Schadenpraxis
Stillstand, Neuaufbau, Überweisung: drei Fälle
10 Tage
Kommissionierautomat ohne EDV – kein Medikament mehr auffindbar, zehn Tage geschlossen
100.000 €
alle Server verschlüsselt, kein Lösegeld gezahlt – trotzdem Neuinstallation an allen Standorten
10,5 Mio. €
Video-Call mit täuschend echten Deepfake-Avataren der Geschäftsführung – Überweisung freigegeben
Quelle: Quellenverzeichnis am Ende der Folien
Leitgedanke
Eine Police ersetzt kein Risikomanagement
Aufgabe des Unternehmens Vermeiden MFA, Patching, Schulung senken die Wahrscheinlichkeit. Backups und Notfallplan begrenzen das Ausmaß.
Grenze der IT-Sicherheit Restrisiko Zero-Day-Lücken, Innentäter, Deepfakes, menschliche Fehler. Kein System schützt zu 100 %.
Aufgabe der Versicherung Transferieren Fängt den Großschaden auf und liefert Forensiker, Anwälte, Krisenmanager – setzt aber Mindeststandards voraus.
Quelle: Quellenverzeichnis am Ende der Folien
02
Police
Was Versicherer voraussetzen, was drin sein muss – und woran der Schutz scheitert
Risiko Police Mindeststandards, Bausteine, Qualität, Grenzen
Schadenfall
Vor dem Vertrag · Stufe 1
Versicherer fragen Mindeststandards ab
Stufe 2 MFA · 4-Augen-Prinzip und Schulung · IT-Notfallplan
Grundvoraussetzung bei praktisch jedem Anbieter
täglich ab 1 Mio. € Umsatz, auf separaten Systemen; besser: getestet und offline
an allen Internetübergängen, automatisch aktualisiert
Systeme ohne Hersteller-Updates isolieren oder ablösen
Quelle: Quellenverzeichnis am Ende der Folien
Vor dem Vertrag · Stufe 2
Weitere Anforderungen hängen vom Risiko ab
Zunehmend abgefragt – ab ca. 10 Mio. € Umsatz meist Pflicht
Zwei-Faktor oder VPN – bei vielen Anbietern die Frage, die über das Angebot entscheidet
Überweisungen über 10.000 € freigeben lassen; Phishing-Training
schriftlich, mit Verantwortlichen und Telefonnummern – auch ohne IT lesbar
Stufe 1 Getrennte Backups · Firewall und Virenschutz · keine Altsysteme
Quelle: Quellenverzeichnis am Ende der Folien
Vor dem Vertrag
Antworten müssen zur tatsächlichen IT passen
Schematische Darstellung, kein Originalformular
Jede Antwort im Antrag wird Vertragsbestandteil – und im Schadenfall geprüft.
Quelle: Quellenverzeichnis am Ende der Folien
Die Police · Bausteine
Eigenschaden und Betriebsunterbrechung
Bausteine der Police
Eigenschaden Betriebsunterbrechung Cyber-Erpressung Vertrauensschaden Haftpflicht Prävention EigenschadenKern Der Kern: Notfallhilfe, IT-Forensik, Wiederherstellung von Daten und Systemen, Anwälte, Krisenkommunikation
Betriebsunterbrechung Ertragsausfall und Mehrkosten, solange der Betrieb steht – bei Ransomware der größte Posten
Quelle: Quellenverzeichnis am Ende der Folien
Die Police · Bausteine
Erpressung und Vertrauensschaden unterscheiden
Bausteine der Police
Eigenschaden Betriebsunterbrechung Cyber-Erpressung Vertrauensschaden Haftpflicht Prävention Cyber-Erpressung Verhandler und Krisenberatung; Lösegeld nur mit Zustimmung des Versicherers
Vertrauensschaden Betrug ohne Hack: Fake President, manipulierte Rechnungen, Deepfake – die häufigste Schadenart
Quelle: Quellenverzeichnis am Ende der Folien
Die Police · Bausteine
Haftpflicht und Prävention ergänzen den Schutz
Bausteine der Police
Eigenschaden Betriebsunterbrechung Cyber-Erpressung Vertrauensschaden Haftpflicht Prävention Haftpflicht Ansprüche Dritter nach Datenschutzverstößen oder weitergegebener Schadsoftware, Behördenverfahren
Prävention Schulungsplattform, Phishing-Simulation, Notfallplan-Vorlage – oft im Beitrag enthalten
Quelle: Quellenverzeichnis am Ende der Folien
Die Police
Bausteine sind eine Risikoentscheidung
Nicht jeder Anbieter bietet alle Bausteine – und nicht jeder Baustein ist automatisch enthalten. Die Auswahl ist eine Risikoentscheidung.
Produktneutral: Maßgeblich ist der konkrete Vertrag, nicht die Bezeichnung des Bausteins.
Quelle: Quellenverzeichnis am Ende der Folien
Woran man eine gute Police erkennt
Gute Notfallhilfe beginnt schon bei Verdacht
Sechs Prüfpunkte 01 02 03 04 05 06
01
Notfallhilfe schon bei Verdacht
rund um die Uhr ohne Selbstbehalt ohne Anrechnung auf die Summe gute Policen zahlen 2–3 Forensik-Tagessätze auch, wenn sich kein Schaden bestätigt
02
Echter Zugang zu IT-Forensikern
das eigentliche Highlight – im Ernstfall sonst kaum zu bekommen; eigener IT-Dienstleister nach Absprache erlaubt
Quelle: Quellenverzeichnis am Ende der Folien
Woran man eine gute Police erkennt
Auslöser und Betriebsunterbrechung weit fassen
Sechs Prüfpunkte 01 02 03 04 05 06
03
Betriebsunterbrechung weit gefasst
auch für die Dauer der Forensik, bei Ausfall des Cloud-Anbieters und bei technischer Störung
zeitlicher Selbstbehalt 8–12 h , nicht 24–48 h
0 8 12 24 48 h
04
Kein „nur gezielte Hackerangriffe“
Homeoffice private Geräte Bedienfehler ungezielte Massenangriffe ausdrücklich eingeschlossen
Quelle: Quellenverzeichnis am Ende der Folien
Woran man eine gute Police erkennt
Reichweite und Versicherungssumme prüfen
Sechs Prüfpunkte 01 02 03 04 05 06
05
Weltweit und lange nachmeldbar
inklusive USA Daten beim Cloud-Anbieter mitversichert Vorfälle bleiben gedeckt, auch wenn sie erst Jahre später auffallen
06
Versicherungssumme passend zum Risiko
Tagesumsatz × Ausfalldauer + Wiederherstellung + Dritte
im Mittelstand meist 1–2 Mio. € , oft 2-fach pro Jahr verfügbar
Quelle: Quellenverzeichnis am Ende der Folien
Fiktives Beispiel · Der Backup-Ernstfall
Ein mitverschlüsseltes Backup schützt nicht
Im Antrag angekreuzt
≠
Tatsächlich
Das Backup lief auf ein Netzlaufwerk im selben Netz – und wurde mitverschlüsselt.
Quelle: Quellenverzeichnis am Ende der Folien
Falsche Angaben im Antrag
Verschulden und Kausalität entscheiden
schweres Verschulden kein Verschulden
Vorsatz / grob fahrlässig Rücktritt; keine Leistung, soweit der Fehler den Schaden verursacht hat
Einfach fahrlässig Kündigung oder Vertragsanpassung – Leistung bleibt
Schuldlos / richtig angegeben
Darstellung der Vorlage zu §§ 19, 21 VVG; keine pauschale Deckungszusage. Wortlaut und Einzelfall prüfen.
Quelle: Quellenverzeichnis am Ende der Folien
Grenzen des Risikotransfers
Was üblicherweise nicht versichert ist
Krieg und staatliche Angriffe bei 37 % Geheimdienst-Zurechnung ein wachsendes Thema: Klausel und Beweislast prüfen
Ausfall öffentlicher Infrastruktur Strom, Internet, Telekom (anders als der eigene Cloud-Anbieter)
Bekannte Lücken und Vorschäden was bei Antragstellung bekannt war, ist nicht gedeckt
Vorsatz, Erfüllungsansprüche, Vertragsstrafen soweit nicht ausdrücklich eingeschlossen
Quelle: Quellenverzeichnis am Ende der Folien
03
Schadenfall
Was im Ernstfall wirklich passiert – Stunde für Stunde, Euro für Euro
Risiko
Police Schadenfall Szenario, erste Stunden, Regulierung
Fiktives Beispiel · Szenario
Montag, 7:30 Uhr: „Your files have been encrypted.“
Fiktiver, typischer Fall
Quelle: Quellenverzeichnis am Ende der Folien
Fiktives Beispiel · Die ersten zehn Tage
Die ersten zehn Tage kosten rund 95.000 €
Tag 0 Erkennen, Netz trennen, Hotline
0 €Selbstbehalt Notfallhilfe
Tag 1–3 Forensik, Krisenstab, DSGVO-Meldung
~35.000 €
Tag 3–10 Neuaufbau, Notbetrieb
~60.000 €
Tag 10 ff. Und die Produktion steht noch.
Die ersten zehn Tage: Erkennen, Forensik, Neuaufbau – bis hierhin rund 95.000 €. 0 € = Notfallhilfe ohne Selbstbehalt, nicht generell kostenlose Forensik.
Quelle: Quellenverzeichnis am Ende der Folien
Fiktives Beispiel · Der ganze Verlauf
Der Stillstand ist der größte Posten
Tag 0 Erkennen, Netz trennen, Hotline
0 €Selbstbehalt Notfallhilfe
Tag 1–3 Forensik, Krisenstab, DSGVO-Meldung
~35.000 €
Tag 3–10 Neuaufbau, Notbetrieb
~60.000 €
Tag 10–20 Produktion läuft wieder an · Ertragsausfall
~180.000 €
Monat 2–3 Abrechnung, Härtung
~15.000 €
Summe Rund 290.000 €
Quelle: Quellenverzeichnis am Ende der Folien
Fiktives Beispiel · Bilanz
Rund 290.000 € – mit getesteten Backups
Mit getesteten Backups
Rund 290.000 € – der größte Posten ist der Stillstand.
Ohne getestete Backups
Über 500.000 € · 4–6 Wochen Ausfall · Lösegeldfrage akut
Quelle: Quellenverzeichnis am Ende der Folien
Der Schadenfall · Die ersten Stunden
Netz trennen, Spuren sichern, Hotline anrufen
1 Netz trennen – Strom lassen Spuren im Arbeitsspeicher braucht die Forensik; Stecker ziehen zerstört sie
2 Fehlerbild sichern Foto vom Bildschirm; nichts löschen, nichts „reparieren“
3 Hotline anrufen – sofort schon bei Verdacht; Nummer gehört ausgedruckt in den Notfallplan
Quelle: Quellenverzeichnis am Ende der Folien
Der Schadenfall · Die ersten Stunden
Die ersten drei Schritte muss das ganze Team kennen
Die ersten drei Punkte gehören jedem Mitarbeitenden bekannt gemacht – nicht nur der IT.
Dringende Eindämmung darf nicht auf Freigabe warten; Abweichungen dokumentieren. Herunterfahren mit der Forensik abstimmen.
Quelle: Quellenverzeichnis am Ende der Folien
Der Schadenfall · Danach
Abstimmen, Fristen prüfen und dokumentieren
4 Nur abgestimmt beauftragen eigener IT-Dienstleister ja – aber nach Absprache; eigene Kanäle nutzen, die Firmen-IT gilt als kompromittiert
5 Fristen einhalten DSGVO 72 h NIS-2 24 h Strafanzeige bei der ZAC 6 Alles dokumentieren Wer hat wann was entschieden? Kosten separat buchen – Grundlage der Abrechnung
DSGVO: bei Risiko für Betroffene, ab Kenntnis. NIS-2: nur betroffene Einrichtungen. Strafanzeige: keine starre Frist.
Quelle: Quellenverzeichnis am Ende der Folien
Die Regulierung
Drei Akten beschleunigen die Regulierung
Was passiert ist Zeitpunkt, betroffene Systeme, Angriffsweg, Maßnahmen
liefert die Forensik
Was es gekostet hat Rechnungen, Mehrkosten, Stillstandsdauer, Umsatzvergleich zum Vorjahr
liefert das Rechnungswesen ab Tag 1
Was vereinbart wurde Schadenmeldung, Freigaben, beauftragte Dienstleister, Zusagen des Versicherers
führt der Makler mit
Quelle: Quellenverzeichnis am Ende der Folien
Die Regulierung
Liquidität entscheidet vor der Schlussabrechnung
Quelle: Quellenverzeichnis am Ende der Folien
Fazit
Früher war es die Feuerversicherung – heute ist es die Cyberversicherung
Kein Unternehmen würde ohne Feuerschutz produzieren – und keins ohne Brandmelder und Feuerlöscher.
95 % Bei Cyber tun es heute 95 %.
Prävention und Police gehören zusammen.
Quelle: Quellenverzeichnis am Ende der Folien
Fazit
Drei Gedanken zum Mitnehmen
Vorsorge Ohne Mindeststandards keine Police – und ohne Police kein Schutz vor dem Großschaden.
Bausteine Die Bausteine entscheiden: Betriebsunterbrechung und Vertrauensschaden gehören dazu.
Ernstfall Im Ernstfall zählt der Anruf, nicht der Scheck – Hotline bei Verdacht, keine Alleingänge, alles dokumentieren.
Quelle: Quellenverzeichnis am Ende der Folien
Quellen · Stand: 29. September 2026
Quellen: Lage und Schäden
Berliner Datenschutzbeauftragte; Berlin.de; Euronews und dpa (September 2026) Bitkom: Wirtschaftsschutz 2026 (26.08.2026); BSI: Lagebericht 2025 (17.11.2025) GDV: Statistik Cyberrisikoversicherung (09/2025); Medieninformationen 05.09.2024, 05/2026 und 18.09.2026 Hiscox Cyber Readiness Report 2025; Stoïk Cyber-Schadenbericht 2024 Produktneutraler Vortrag; keine Deckungs- oder Rechtsprüfung im Einzelfall. Maßgeblich bleiben der konkrete Vertrag und die Prüfung Ihrer Situation.
Quellen · Stand: 29. September 2026
Quellen: Vertrag und Recht
GDV: AVB Cyber (Musterbedingungen); BSI: Ersthilfe bei Ransomware NIS-2-Umsetzungsgesetz / BSIG n. F. §§ 32, 38; DSGVO Art. 32, 33, 34, 82, 83 VVG §§ 19, 21, 28; GmbHG § 43 Anonymisierte Bedingungswerke, Risikofragebögen, Sideletter und Notfallplan-Vorlagen zweier Versicherer (2024–2026); Gespräch mit einer Cyber-Schadenabteilung (09/2026) Produktneutraler Vortrag; keine Deckungs- oder Rechtsprüfung im Einzelfall. Maßgeblich bleiben der konkrete Vertrag und die Prüfung Ihrer Situation.
