Deckt eine Betriebsunterbrechungsversicherung Cloud-Ausfälle ab? Ein Leitfaden für kleine Unternehmen zur CBI-Deckung

Die Stunde, in der Ihr Unternehmen im Dunkeln lag (und es nicht Ihre Schuld war)​

Um 3:00 Uhr Eastern Time am 20. Oktober 2025 löste ein DNS-Auflösungsfehler in der US-EAST-1-Region von Amazon Web Services eine Kettenreaktion aus, die mehr als 3.500 Unternehmen in 60 Ländern lahmlegte. Neun Tage später, am 29. Oktober, brachte ein Konfigurationsfehler im Azure Front Door Service von Microsoft Microsoft 365, Outlook und Xbox Live weltweit offline – und riss die Kassensysteme von Costco, die mobile Bestellung von Starbucks und die Buchungstools von Alaska Airlines mit in den Abgrund. Keines dieser Unternehmen hatte einen Brand, ein Hochwasser oder einen Einbruch. Ihre Server waren in Ordnung. Die Server von jemand anderem waren es nicht, und das reichte aus, um die Kasse zum Stillstand zu bringen.

Wenn Sie heute ein kleines Unternehmen führen, ist die Wahrscheinlichkeit groß, dass Ihr Kassensystem, Ihr Buchungskalender, Ihr Rechnungstool und Ihre Kundendatenbank alle auf einer Infrastruktur leben, die Ihnen nicht gehört und die Sie nicht kontrollieren können. Wenn diese Infrastruktur ausfällt, verlieren Sie Einnahmen, genau wie bei einem Brand – nur dass Ihre standardmäßige gewerbliche Sachversicherung mit ziemlicher Sicherheit keinen Cent zahlt, weil nichts, was Ihnen gehört, beschädigt wurde.

Diese Lücke hat einen Namen – die Kontingente Betriebsunterbrechungsversicherung (Contingent Business Interruption Insurance, CBI) – und sie zu verstehen, wird schnell zu einem ebenso grundlegenden Bestandteil der Geschäftskenntnisse kleiner Unternehmen wie die Kenntnis der eigenen Gewinnmarge.

Warum Ihre bestehende Versicherung dies wahrscheinlich nicht abdeckt​

Die meisten kleinen Unternehmen haben eine Gewerbeversicherung (Business Owner's Policy, BOP), die die allgemeine Haftpflicht, die gewerbliche Sachversicherung und einen standardmäßigen Betriebsunterbrechungszusatz bündelt. Dieser Zusatz zahlt, wenn Ihr eigenes versichertes Eigentum physisch beschädigt wird – ein Küchenbrand, ein Rohrbruch, Windschäden an Ihrem Dach – und der Schaden Sie zur Schließung zwingt.

Das Problem: Ein Cloud-Ausfall beschädigt Ihr Eigentum nicht. Ihr Laptop, Ihr Geschäft, Ihr Serverraum (falls Sie überhaupt einen haben) sind alle physisch intakt vorhanden, während Sie einfach keine Bestellung bearbeiten können, weil Shopify, Square, QuickBooks Online oder Ihre Buchungssoftware kein Backend erreichen kann. Die standardmäßige Betriebsunterbrechungsversicherung basiert vollständig auf dem Auslöser "physischer Schaden", und eine DNS-Fehlkonfiguration drei Bundesstaaten entfernt erfüllt dieses Kriterium nicht.

Die Kontingente Betriebsunterbrechungsversicherung (CBI) wurde speziell geschlossen, um diese Lücke zu schließen. Statt eines Schadens an Ihrem Eigentum zahlt sie, wenn ein namentlich genannter Lieferant, Anbieter oder Partner, von dem Sie abhängig sind, eine Störung erleidet, die Sie daran hindert, Ihr Geschäft zu betreiben. Ein Restaurant mit einer CBI-Deckung, die an seinen Kassensystemanbieter gekoppelt ist, erhält eine Zahlung, wenn der Ausfall dieses Anbieters es daran hindert, Bestellungen anzunehmen – ohne dass ein Brand erforderlich ist.

Die Falle: CBI, die dennoch einen "physischen Schaden" woanders erfordert​

Hier ist der Teil, der Geschäftsinhaber überrascht, nachdem sie glauben, das Problem gelöst zu haben: Viele CBI-Zusätze wurden für die Vor-Cloud-Wirtschaft geschrieben und erfordern immer noch einen physischen Schaden – nur eben am Standort des Lieferanten statt an Ihrem. Ein Lagerhausbrand bei Ihrem Schlüssellieferanten löst die Police aus. Ein Softwarefehler, der das Cloud-Dashboard desselben Lieferanten für 15 Stunden lahmlegt, tut dies nicht, weil nichts Physisches gebrannt, überflutet oder kaputt gegangen ist.

Versicherungsanalysten haben dies als eine der am schnellsten wachsenden unversicherten Deckungslücken im Markt identifiziert: Ein Ransomware-Angriff, eine fehlerhafte Software-Bereitstellung oder ein Kapazitätsausfall bei einem Cloud-Anbieter können den Betrieb genauso vollständig lahmlegen wie ein Fabrikbrand, aber die meisten traditionellen CBI-Formulierungen wurden nie überarbeitet, um dies zu berücksichtigen. Wenn AWS aufgrund eines falsch konfigurierten DNS-Eintrags oder eines internen Engineering-Fehlers ausfällt – und nicht aufgrund eines Cyberangriffs –, werden einige cyber-fokussierte CBI-Klauseln ebenfalls nicht greifen, weil sie durch "Sicherheitsvorfälle" und nicht durch gewöhnliche Ausfälle ausgelöst werden.

Die praktische Schlussfolgerung: Gehen Sie nicht davon aus, dass das Wort "kontingent" auf Ihrer Deklarationsseite bedeutet, dass Sie für dieses spezifische Szenario abgedeckt sind. Sie müssen drei Dinge lesen – oder von Ihrem Makler durchgehen lassen:

1. Die Auslöserformulierung. Erfordert die Deckung einen "Sicherheitsfehler", "Systemausfall" oder benennt sie Ausfälle/Unterbrechungen von Dienstleistungen allgemein? Eine Formulierung, die sich auf Systemausfälle bezieht (und nicht nur auf Cyberangriffe), deckt tatsächlich einen gewöhnlichen Ausfall eines Cloud-Anbieters ab.
2. Die Lieferantenliste. Viele CBI-Zusätze decken nur Störungen bei namentlich genannten Lieferanten ab. Wenn AWS, Ihr Zahlungsabwickler oder Ihr SaaS-Anbieter nicht auf dieser Liste steht, wird ein Ausfall dort nicht gedeckt, egal wie die Auslöserformulierung lautet.
3. Die Sublimitierung. Einige Policen bündeln CBI in eine breitere Cyber- oder Sachversicherung mit einer Sublimitierung, die weit unter dem gesamten Deckungsbetrag liegt – genug, um auf dem Papier beruhigend zu wirken, aber nicht genug, um eine echte Woche entgangener Einnahmen zu ersetzen.

Was ein Cloud-Ausfall tatsächlich kostet​

Die Zahlen erklären, warum Versicherer darum wetteifern, diese Deckung zu schreiben. Branchen-Benchmarks beziffern die durchschnittlichen Kosten von IT-Ausfallzeiten auf etwa 14.056 $pro Minute bei großen Unternehmen – eine Zahl, die durch Giganten mit massiven Transaktionsvolumina aufgebläht ist, aber richtungsweisend nützlich ist: Ein Unternehmen, das 100.000$ pro Tag an cloudabhängigen Einnahmen erzielt, verliert während eines Totalausfalls seines Kassen- oder Buchungssystems etwa 29.000 $ pro Stunde. Der AWS-Vorfall im Oktober 2025 dauerte über 15 Stunden. Selbst ein Unternehmen mit einem Bruchteil dieser Größe, das einen halben Tag lang ausfällt, kann mit einem fünfstelligen Verlust rechnen, bevor man die Arbeitskosten für manuelle Umbuchungen, Nachrechnungen und Abgleiche all dessen, was sich während des Systemausfalls angesammelt hat, berücksichtigt.

Für eine Bäckerei, ein Medical Spa, einen Nischen-Onlineshop oder einen Solo-Berater ist das keine Abstraktion – es ist ein schlechter Monat, manchmal ein schlechtes Quartal, und es passiert ohne Vorwarnung und ohne Verschulden des Geschäftsinhabers.

Was eine Kontingente Betriebsunterbrechungsversicherung tatsächlich abdeckt​

Wenn sie richtig strukturiert ist, erstattet eine CBI (manchmal auch als "Ausfallzeitenversicherung" oder Cyber-CBI-Zusatz verkauft) in der Regel:

• Entgangenen Nettogewinn, den Sie ohne den Ausfall erzielt hätten, berechnet auf der Grundlage Ihrer historischen Einnahmen.
• Fortlaufende Fixkosten – Miete, Gehälter, Kreditzahlungen – die nicht pausieren, nur weil Ihr Kassensystem ausgefallen ist.
• Zusätzliche Kosten, die während des Ausfalls anfallen, um den Betrieb aufrechtzuerhalten: ein manuelles Kartenlesegerät, temporäres Personal zur Bearbeitung von Papierbestellungen, beschleunigte Software-Fixes.
• SLA-bedingte Verbindlichkeiten bei manchen Policen, wenn Ihre eigenen Kunden eine Servicevereinbarung mit Ihnen hatten und Sie diese aufgrund des Ausfalls nicht einhalten konnten.

Die Wartezeit ist wichtiger als der Deckungsbetrag auf dem Papier​

Jede CBI-Police hat eine Wartezeit – im Wesentlichen einen zeitlichen Selbstbehalt – bevor die Leistungen einsetzen, in der Regel 24 bis 72 Stunden, je nach Versicherer und Prämienhöhe. Ein kurzer Ausfall, der sich in unter einem Tag beheben lässt, was auf einen großen Teil der Cloud-Vorfälle zutrifft, kann vollständig innerhalb dieser Wartezeit liegen und nichts auszahlen. Fragen Sie vor dem Kauf direkt: "Wenn AWS für sechs Stunden ausfällt, zahlt diese Police dann etwas?" Bei vielen Standardpolicen lautet die ehrliche Antwort nein – Sie bräuchten eine kürzere Wartezeit, die teurer ist, oder Sie müssten akzeptieren, dass CBI wirklich nur ein Schutz vor mehrtägigen Worst-Case-Ereignissen ist und nicht vor routinemäßigen Ausfällen.

Was das kostet und wie man es kauft​

Eine eigenständige Betriebsunterbrechungsversicherung kostet für einen kleinen Betrieb in der Regel **40–130 $pro Monat** (480–1.560$ pro Jahr), während eine vollständige BOP, die allgemeine Haftpflicht, Sachversicherung und Betriebsunterbrechung bündelt, durchschnittlich 1.450–2.650 $ pro Jahr kostet. Eine Cyber-CBI wird in der Regel als Zusatz oder Klausel hinzugefügt und nicht als eigenständiges Produkt für sehr kleine Unternehmen verkauft, und die Preisgestaltung hängt stark von Ihrem Umsatz, Ihrer Branche und der Konzentration Ihrer Abhängigkeit von einem einzelnen Cloud-Anbieter ab.

Praktische Schritte:

1. Stellen Sie Ihrem aktuellen Makler zwei Fragen: "Erfordert die Betriebsunterbrechungsklausel meiner BOP einen physischen Schaden als Auslöser?" und "Gibt es einen verfügbaren CBI- oder Cyber-CBI-Zusatz, der meine tatsächlichen Cloud-/SaaS-Anbieter namentlich nennt?"
2. Listen Sie Ihre Single Points of Failure auf – die zwei oder drei Anbieter (Hosting, Zahlungen, Buchung, E-Mail), deren Ausfall Sie tatsächlich daran hindern würde, einen Kunden zu bedienen. Das sind die Namen, die auf jeder Lieferantenliste erscheinen müssen.
3. Verhandeln Sie über die Auslöserformulierung, nicht nur über die Deckungssumme. Eine Police mit einer Deckungssumme von 50.000 $, die bei einem gewöhnlichen Ausfall nie greift, ist weniger wert als eine Police für 20.000$, die zuverlässig zahlt.
4. Vergleichen Sie die Wartezeiten mit Ihrem tatsächlichen Risiko. Wenn die meisten Ausfälle, die Ihre Lieferanten treffen, in unter einem Tag behoben sind, bringt Ihnen eine 72-stündige Wartezeit sehr wenig.

Versicherung ersetzt keine guten Aufzeichnungen – sie ist darauf angewiesen​

Hier ist der Teil, der in den meisten Deckungserklärungen übersprungen wird: Die Einreichung eines CBI-Anspruchs erfordert den Nachweis, was Sie tatsächlich verloren haben, was wiederum den Nachweis erfordert, was Sie verdient hätten. Versicherer verlangen historische Umsatzdaten, einen klaren Vorher-Nachher-Vergleich und eine Dokumentation der zusätzlichen Kosten, die Ihnen durch die Aufrechterhaltung des Betriebs entstanden sind. Ein Unternehmen, das keine sauberen, datierten Finanzunterlagen vorlegen kann, tut sich schwer, einen Anspruch zu begründen, selbst wenn die Police eigentlich zahlen würde.

Dies ist ein weiteres Argument dafür, Ihre Bücher in einem Format zu führen, das Sie vollständig kontrollieren und jederzeit prüfen können, anstatt sich auf die Rekonstruktion durch die Berichte Ihrer (möglicherweise ebenfalls vom Ausfall betroffenen) Buchhaltungs-SaaS zu verlassen. Beancount.io bietet Ihnen Finanzunterlagen im Klartextformat mit Versionskontrolle – die Art von vollständigem, datiertem, exportierbarem Hauptbuch, das die Dokumentation eines Betriebsunterbrechungsanspruchs unkompliziert und nicht zu einer hektischen Aktion macht. Da das Hauptbuch nur Textdateien unter Ihrer Kontrolle sind, ist es auch nicht vom Cloud-Ausfall eines anderen Unternehmens in der Woche betroffen, in der Sie Ihre Zahlen tatsächlich benötigen. Wenn Sie neugierig sind, wie sich ein Klartext-Ansatz auf die alltägliche Buchhaltung abbilden lässt, führen Sie die Dokumentation durch die Grundlagen, und Fava bietet Ihnen die visuelle Berichtsebene darauf.

Das Fazit​

Sie haben keine Kontrolle darüber, ob AWS oder Azure einen weiteren schlechten Morgen haben – die beiden größten Cloud-Anbieter der Welt hatten jeweils einen im letzten Jahr, und kleinere Anbieter fallen ständig mit weniger medialer Aufmerksamkeit aus. Was Sie kontrollieren, ist, ob ein Tag mit einem sechsstelligen Umsatz von einer Infrastruktur abhängt, die Sie nie auf ihre Deckung überprüft haben, und ob Sie Ihre Verluste nachweisen können, falls dies doch der Fall ist. Lesen Sie diese Woche die Betriebsunterbrechungsklausel Ihrer BOP, fragen Sie Ihren Makler direkt nach dem Auslöser des physischen Schadens und stellen Sie sicher, dass die Lieferantenliste eines CBI-Zusatzes tatsächlich die Anbieter nennt, die Sie offline schalten könnten.