Computer-Security durch die Cloud

Stand: August 2026

KMU stehen täglich vor neuen Bedrohungen. Cyberangriffe kosten Unternehmen immer mehr. Eine passende Versicherung ist daher unverzichtbar.

Einleitung

Nach Angaben von Security Insider belaufen sich die Schäden in Deutschland auf 148,2 Mrd € pro Jahr. Ein Bericht von Handwerksblatt zeigt, dass etwa jedes dritte Unternehmen bereits angegriffen wurde. Versicherer prüfen heute MFA, Patch-Management, EDR, immutable Backups, Incident-Response-Plan, Netzwerksegmentierung und Mitarbeiterschulungen. Diese Controls sind dauerhafte Obliegenheiten, nicht einmalige Prüfungen. Rund 40 % der Schadensmeldungen werden abgelehnt, wenn technische oder organisatorische Voraussetzungen fehlen. Einige Policen setzen 12‑Stunden-Wartezeit für Betriebsunterbrechung ein. Die 3‑2‑1‑1‑0‑Backup-Regel gilt als Standard; Versicherer fordern dokumentierte Wiederherstellungstests. NIS2‑ und DSGVO-Compliance wird zur Versicherbarkeits-Voraussetzung, da Meldepflichten in die Vertragsbedingungen einfließen. Eine Cyber-Versicherung ersetzt keine IT-Sicherheit, sondern ergänzt sie. Der Artikel erläutert acht Vertragskriterien, die Sie kennen müssen, um abgelehnte Ansprüche zu vermeiden.

1. Zurich

USP: Umfassender Schutz durch eine Police, die sowohl die direkten Eigenschäden als auch Haftpflichtansprüden Dritter abdeckt.

Stärken:

• Breites Deckungsspektrum inklusive Forensik, Datenwiederherstellung und Absicherung von Betriebsunterbrechungen.

Verwaltung komplexerCyber-Risiken für KMU, die laut Bitkom-Daten im Jahr 2023 einen Gesamtschaden von 148,2 Mrd. € verursachten.

• Integrierte Unterstützung bei Krisenmanagement und Rechtsberatung zur Bewältigung von Datenschutzverletzungen.
• Fokus auf ganzheitliche Risikoabsicherung durch Abdeckung von First-Party- und Third-Party-Risiken.
• Übernahme von Benachrichtigungskosten nach DSGVO-Art. 33 und Vertragsstrafen bei Datenschutzverletzungen.
• Deckung für Cyber-Erpressung inklusive Lösegeldverhandlung und -zahlung bis vereinbartem Sublimit.

Schwächen / wann nicht passend:

• Hohe Anforderungen an die IT-Hygiene: Versicherbare sind nur Unternehmen mit nachweisbarem Patch-Management und Multi-Faktor-Authentifizierung (MFA).
• Kein Ersatz für technische IT-Sicherheit: Die Police setzt ein funktionierendes technisches Grundschutz-Niveau voraus.
• Ausschluss grober Fahrlässigkeit bei unterlassenen Sicherheitsupdates kann Leistungsfreiheit auslösen.
• Infrastrukturausfälle durch Cloud-Provider oft nicht mitversichert.

Preisspanne: auf Anfrage

Zielgruppe: KMU mit digitalisierten Geschäftsprozessen und Bedarf an umfassender Forensik-Unterstützung.

Website: zurich.ch

2. Mobiliar

USP: Der Schweizer Versicherer stellt die Kostenübernahme bei Betriebsunterbrechung und die Abdeckung von Lösegeldforderungen in den Mittelpunkt seiner Police.

Stärken:

• Deutliche Sublimits für Forensik und PR-Maßnahmen schaffen Planungssicherheit im Schadenfall
• 12‑stündige Wartezeit bis zur Entschädigung bei Betriebsunterbrechung ist im Marktvergleich kurz
• Fokus auf Schweizer KMU mit internationaler Tätigkeit und branchenspezifischen Risikoprofilen
• Langjährige Erfahrung im Sach‑ und Haftpflichtgeschäft fließt in das Cyber-Underwriting ein
• Kostenübernahme für forensische Gutachten und Krisenkommunikation bis definierter Höchstgrenze

Schwächen / wann nicht passend:

• Voraussetzung sind ein dokumentierter Backup-Plan und regelmäßige Schulungen – ohne bestehende IT-Governance schwer erfüllbar
• Preisstruktur nur auf Anfrage, keine transparente Einstiegsprämie für kleine Betriebe
• Deckungskonzept primär auf Schweizer Recht ausgerichtet, für rein deutsche Mandanten ggf. Lücken bei DSGVO-Details
• Lösegeldzahlung auf festen Höchstbetrag begrenzt, vollständige Übernahme nicht garantiert
• Kriegs- und Terrorereignisse explizit ausgeschlossen

Preisspanne: auf Anfrage

Zielgruppe: Schweizer KMU ab ein erfahrenes Team an Mitarbeitende mit internationaler Lieferkette und hohem Ausfallrisiko

Website: mobiliar.ch

3. Baloise

USP: Der Schweizer Versicherer verzahnt klassische Betriebshaftpflicht nahtlos mit Cyber-Bausteinen und macht Compliance-Nachweise (NIS2, DSGVO) zurPolice-Voraussetzung.

Stärken:

• Integrierter Ansatz: Haftpflicht- und Cyber-Schutz aus einer Hand, keine Deckungslücken an den Schnittstellen
• Klare Kostenübernahme für Forensik, Anwaltskosten und Meldepflichten nach Art. 33 DSGVO
• Risk-Engineering-Team prüft IT-Schutz vor Vertragsabschluss und begleitet im Schadenfall aktiv
• Internationale Schadennetzwerke auch für mittelständische Kunden mit Auslandsgeschäft nutzbar
• Unterstützung bei 24-Stunden-NIS2-Early-Warning und 72-Stunden-DSGVO-Meldung

Schwächen / wann nicht passend:

• Keine reine Stand-alone-Cyber-Police – wer Haftpflicht bereits anderweitig deckt, zahlt für Überschneidungen
• Compliance-Voraussetzungen (NIS2/DSGVO-Nachweis) schließen sehr kleine Betriebe ohne Dokumentation oft aus
• Preisstruktur wenig transparent, Vergleichbarkeit mit reinen Cyber-Versicherern erschwert
• Drittschäden bei reinen Vermögensschäden Dritter teilweise begrenzt

Preisspanne: auf Anfrage – Baloise nennt keine öffentlichen Einstiegspreise, Prämie richtet sich nach Umsatz, Branche und Reifegrad der IT-Sicherheit.

Zielgruppe: KMU ab ein erfahrenes Team an Mitarbeitenden mit bestehender Haftpflicht-Basis, die regulatorische Meldepflichten (72 h DSGVO, 24 h NIS2 Early Warning) operational absichern müssen.

Website: baloise.ch

4. Sparkasse

USP: Die Sparkasse bietet KMU eine modulare Absicherung, die sich flexibel an die spezifische Unternehmensgröße anpasst.

Stärken:

• Umfassender Versicherungsschutz durch Inanspruchnahme von Forensik-Leistungen und juristischer Rechtsberatung
• Übernahme der Kosten für die technische Wiederherstellung von Daten nach einem Vorfall
• Integrierte Unterstützung bei Krisenmanagement und PR-Maßnahmen
• Modulare Policenstruktur zur individuellen Anpassung des Deckungsumfangs
• Deckung für Eigenschäden: Forensik, Datenwiederherstellung, Betriebsunterbrechung, Krisenmanagement, Rechtsberatung, Benachrichtigungskosten, Cyber-Erpressung
• Absicherung von Drittschäden: Schadensersatzforderungen, Haftpflicht bei Datenschutzverletzungen, Vertragsstrafen

Schwächen / wann nicht passend:

• Ein fundierter Incident-Response-Plan ist zwingende Voraussetzung für den Versicherungsschutz
• Die Versicherbarkeit ist stark von der technischen Compliance abhängig, wie aktuelle Berichtungen zum Cyber-Schadensvolumen nahelegen
• Sublimits für Forensik und PR oft weit unter der Hauptversicherungssumme angesetzt
• Keine Deckung bei Verletzung von Obliegenheiten wie Patch-Management oder MFA

Preisspanne: auf Anfrage

Zielgruppe: Kleine und mittelständische Unternehmen (KMU) mit Bedarf an maßgeschneiderten Cyber-Policen

Website: sparkasse.de

5. VZ VermögensZentrum

USP: Schweizer Vermögensverwalter, der Cyber-Deckung eng an die Absicherung materieller Werte und die Wiederherstellbarkeit von Daten koppelt.

Stärken:

• Fokus auf Vermögensschutz und Datenwiederherstellung statt reiner Haftungsdeckung
• Transparente Sublimits für Forensik und PR-Maßnahmen im Bedingungswerk
• Klare Vorgaben: MFA und Patch-Management als nachweisbare Obliegenheiten
• Einbindung in ganzheitliche Vermögensplanung für Privatkunden und KMU
• Schweizer Rechtssicherheit und Aufsicht durch die FINMA
• Forderung nach Immutable Backups nach 3-2-1-1-0-Regel mit dokumentierten Recovery-Tests

Schwächen / wann nicht passend:

• Kein spezialisierter Cyber-Versicherer, sondern Generalist mit Zusatzprodukt
• Deckungsumfang für Drittschäden (Third-Party) weniger ausdifferenziert als bei Marktführern
• Für rein deutsche KMU ohne Schweiz-Bezug oft bürokratischer Abstimmungsaufwand
• Keine Abdeckung von Infrastrukturausfällen durch Drittanbieter (Cloud-Provider)
• Prämienreduktion bis 60 % nur bei Nachweis aller messbaren Controls (MFA, EDR, Immutable Backups, IR-Plan)

Preisspanne: auf Anfrage

Zielgruppe: Vermögende Privatpersonen, Family Offices und KMU mit Fokus auf Asset Protection, die Cyber-Risiko als Baustein der Gesamtvermögensstrategie sehen.

Website: vermoegenszentrum.ch

6. ProXWorks

USP: ProXWorks bietet eine flexible Police, die sich an die spezifischen Risiken von KMU anpasst.

Stärken:

• Police deckt Datenverlust, Rechtsberatung und Kosten für die Wiederherstellung von Daten ab.
• Ein dokumentierter Incident-Response-Plan ist Voraussetzung, sodass Unternehmen sofort handeln können.
• Anpassbare Deckungslimits ermöglichen individuelle Risikobewertung.
• Übernahme forensischer Untersuchungskosten und Anwaltskosten für DSGVO-Meldepflichten.
• Netzwerksegmentierung und Drittanbieter-Risikomanagement als versicherbare Controls gefordert.

Schwächen / wann nicht passend:

• Die Notwendigkeit eines formellen Incident-Response-Plans kann für sehr kleine Firmen ohne dedizierte IT-Abteilung schwierig sein.
• Bestimmte Szenarien, etwa die Zahlung von Lösegeld über einen festgelegten Höchstbetrag, sind ausgeschlossen.
• Die Police umfasst keine Drittschäden, sodass Haftpflichtansprüche von Kunden nicht abgedeckt sind.
• Keine Deckung bei Betriebsunterbrechung durch Cloud-Ausfälle Dritter.
• Obliegenheiten wie regelmäßige Mitarbeiterschulungen und Backup-Tests sind dauerhaft nachzuweisen.

Preisspanne: auf Anfrage

Zielgruppe: KMU mit 10–250 Mitarbeitern, die Daten schützen und rechtliche Unterstützung benötigen.

Website: proxworks.de – Security Insider Bericht

Vergleichstabelle: Was bei der Wahl wichtig ist

Die Entscheidung für eine passende Police erfordert einen detaillierten Blick auf die Vertragsdetails. Die folgende Tabelle fasst die wesentlichen Merkmale der Anbieter zusammen. Achten Sie besonders auf die Differenzierung zwischen Eigenschäden und Drittschäden sowie auf die vereinbarten Sublimits und Wartezeiten. Eine fundierte Vorbereitung der IT-Infrastruktur ist essenziell, da Versicherer zunehmend technische Kontrollen voraussetzen . Werden Sicherheitsvorgaben vernachlässigt, riskieren Unternehmen im Schadensfall den Versicherungsschutz . Die Übersicht hilft Ihnen dabei, die Angebote hinsichtlich Deckungsspektrum, Selbstbeteiligung und Zielgruppe schnell gegeneinander abzuwägen.

Anbieter	USP	Preisspanne	Zielgruppe	Standort
Zurich	Umfassender Schutz durch eine Police, die sowohl die direkten Eigenschäden als a	auf Anfrage	KMU mit digitalisierten Geschäftsprozessen und Bedarf an umfassender Forensik-Un	—
Mobiliar	Der Schweizer Versicherer stellt die Kostenübernahme bei Betriebsunterbrechung u	auf Anfrage	Schweizer KMU ab ein erfahrenes Team an Mitarbeitende mit internationaler Lieferkette und hohem Ausf	—
Baloise	Der Schweizer Versicherer verzahnt klassische Betriebshaftpflicht nahtlos mit Cy	auf Anfrage – Baloise nennt keine öffentlichen Einstiegspreise, Prämie richtet sich nach Umsatz, Branche und Reifegrad der IT-Sicherheit.	KMU ab ein erfahrenes Team an Mitarbeitenden mit bestehender Haftpflicht-Basis, die regulatorische M	—
Sparkasse	Die Sparkasse bietet KMU eine modulare Absicherung, die sich flexibel an die spe	auf Anfrage	Kleine und mittelständische Unternehmen (KMU) mit Bedarf an maßgeschneiderten Cy	—
VZ VermögensZentrum	Schweizer Vermögensverwalter, der Cyber-Deckung eng an die Absicherung materiell	auf Anfrage	Vermögende Privatpersonen, Family Offices und KMU mit Fokus auf Asset Protection	—
ProXWorks	ProXWorks bietet eine flexible Police, die sich an die spezifischen Risiken von	auf Anfrage	KMU mit 10–250 Mitarbeitern, die Daten schützen und rechtliche Unterstützung ben	—

FAQ – Häufig gestellte Fragen

Was passiert, wenn der Versicherer die Leistung ablehnt?

Rund 40 % der Cyber-Schadensmeldungen werden laut Marktbeobachtern abgelehnt – meist weil technische oder organisatorische Voraussetzungen nicht erfüllt waren, Falschangaben im Antrag vorlagen oder Obliegenheiten verletzt wurden. Prüfen Sie den Ablehnungsbescheid genau auf formale Fehler und ziehen Sie notfalls einen Fachanwalt für Versicherungsrecht hinzu. Dokumentieren Sie alle Sicherheitsmaßnahmen lückenlos, um im Streitfall Beweissicherheit zu haben. Ein Branchenbericht nennt 148,2 Mrd. € Gesamtschaden durch Cyberkriminalität in Deutschland 2023 – die Ablehnungsquote spiegelt die gestiegenen Underwriting-Anforderungen wider.

Wie lange dauert die Schadensregulierung in der Praxis?

Die Dauer schwankt stark: Bei klarer Deckung und vollständigen Unterlagen zahlen einige Versicherer innerhalb weniger Wochen. Komplexe Forensik-Fälle oder Streit über Obliegenheitsverletzungen ziehen sich oft über Monate. Viele Policen sehen Wartezeiten vor – etwa 12 Stunden bei Betriebsunterbrechung –, bevor die Entschädigung greift. Melden Sie Vorfälle sofort über die vereinbarte 24/7-Hotline und reichen Sie alle Nachweise strukturiert ein, um Verzögerungen zu vermeiden. Sublimits für Forensik und Krisenkommunikation können die Auszahlung zusätzlich begrenzen.

Welche technischen Kontrollen fordern Versicherer 2026 verbindlich?

Mindeststandard sind Multi-Factor-Authentication überall, dokumentiertes Patch-Management, EDR/XDR auf allen Endpunkten, Immutable Backups nach der 3-2-1-1-0-Regel, regelmäßige Mitarbeiterschulungen, ein getesteter Incident-Response-Plan, Netzwerksegmentierung und Drittanbieter-Risikomanagement. Fehlt einer dieser Bausteine, verweigern viele Anbieter den Abschluss oder die Leistung im Schadenfall. Die Handwerksblatt-Analyse bestätigt: nahezu jedes dritte KMU war bereits Opfer einer Attacke – Versicherer reagieren mit harten technischen Vorgaben. Die 3-2-1-1-0-Regel verlangt 3 Kopien, 2 Medien, 1 off-site, 1 offline/immutable, 0 Fehler bei Recovery-Tests.

Darf ich die Selbstbeteiligung selbst wählen oder gibt es Vorgaben?

Versicherer bieten meist Staffelungen an; höhere Selbstbeteiligung senkt die Prämie, erhöht aber das Eigenrisiko im Schadenfall. Achten Sie auf Sublimits für Forensik, Krisenkommunikation oder Lösegeld – diese liegen oft weit unter der Hauptversicherungssumme. Prüfen Sie, ob die Selbstbeteiligung pro Ereignis oder pro Versicherungsjahr greift; bei mehreren Vorfällen im Jahr macht das einen erheblichen Unterschied. Ausschlüsse für grobe Fahrlässigkeit, Kriegsereignisse und Infrastrukturausfälle durch Cloud-Provider sind Standard.

Was gilt als Obliegenheitsverletzung und wie schütze ich mich dagegen?

Obliegenheiten sind dauerhafte Pflichten: MFA aktiv halten, Patches zeitnah einspielen, Backups regelmäßig auf Wiederherstellbarkeit testen, Vorfälle fristgerecht melden. Ein einmaliger Nachweis beim Abschluss genügt nicht. Führen Sie ein lebendes Sicherheitsjournal mit Zeitstempeln, automatisieren Sie Patch-Reports und Backup-Tests und dokumentieren Sie jede Mitarbeiterschulung. So belegen Sie im Streitfall die Einhaltung aller Auflagen. Verstoß führt zur Leistungsfreiheit des Versicherers – auch bei späterer Schadensmeldung.

Ersetzt die Police eine eigene IT-Sicherheitsstrategie?

Nein. Cyber-Versicherung ergänzt technischen und organisatorischen Schutz, sie ersetzt ihn nicht. Versicherer setzen funktionierende Security als Versicherbarkeitsvoraussetzung an; Compliance-Anforderungen aus NIS2 und DSGVO fließen direkt in die Policenbedingungen ein. Investieren Sie zuerst in harte Controls und Prozesse – die Police fängt das Restrisiko auf, das sich wirtschaftlich nicht vollständig eliminieren lässt. Erfüllung messbarer Controls kann die Prämie um bis zu 60 % senken.

Fazit – So sichern Sie Ihr KMU optimal ab

Eine gut ausgestaltete Cyber-Versicherung schützt nicht nur vor finanziellen Verlusten, sondern stärkt auch das Vertrauen von Kunden und Partnern. Durch die konsequente Einhaltung der acht Vertragskriterien minimieren Sie Ablehnungsrisiken und sichern die Kontinuität Ihres Unternehmens. Dennoch ersetzt eine Police keine robuste IT-Sicherheit; sie setzt technische Schutzmaßnahmen wie MFA oder ein funktionierendes Backup-Konzept zwingend voraus.

Die aktuelle Lage verdeutlicht die Notwendigkeit: Laut Bitkom belief sich der Gesamtschaden durch Cyberkriminalität in Deutschland im Jahr 2023 auf 148,2 Mrd. €. Zudem sind laut Branchenberichten nahezu jedes dritte KMU bereits Opfer von Cyberattacken geworden. Wer den Schutz abschließt, sollte insbesondere auf die Details achten: Die Deckung teilt sich meist in Eigenschäden (wie Forensik und Datenwiederherstellung) und Drittschäden (Haftpflichtansprüche) auf. Dabei sind Sublimits für einzelne Leistungen sowie die genauen Bedingungen bei Betriebsunterbrechungen entscheidende Faktoren für die Deckungsgüte.

Da die Versicherbarkeit durch regulatorische Anforderungen wie die DSGVO und NIS2 zunehmend strenger wird, empfiehlt sich folgendes Vorgehen für Entscheidungsträger:

• Transparenz schaffen: Legen Sie der Prüfung alle relevanten Informationen zur IT-Infrastruktur offen, um Anfechtungen im Schadensfall zu vermeiden.
• Obliegenheiten prüfen: Stellen Sie sicher, dass alle vertraglich vereinbarten Sicherheitsstandards dauerhaft eingehalten werden.
• Sicherheitsstand messen: Nutzen Sie messbare Controls, da die Erfüllung technischer Standards langfristig sogar die Prämien reduzieren kann.

Für eine fundierte Entscheidung sollten Sie die Details zu den Risiken und Vorteilen von Cyberversicherungen für KMU heranziehen. Eine sorgfältige Analyse der Deckungssummen im Verhältnis zu den tatsächlichen Schadensrisiken ist essenziell.