Vierzig Prozent der Kleinunternehmer sagen, dass ein Cyberangriff mit Kosten von 100.000 Euro oder weniger ausreichen würde, um sie in den Ruin zu treiben. Dennoch haben die meisten kleinen Unternehmen immer noch keine Cyberversicherung abgeschlossen und setzen darauf, dass Hacker nur Unternehmen mit bekannten Namen und neunstelligem Umsatz angreifen. Tun sie nicht. Etwa ein Viertel bis ein Drittel der gemeldeten Datenschutzverletzungen treffen inzwischen direkt kleine Unternehmen, und die durchschnittlichen Kosten für die Behebung – 120.000 Euro, wobei allein die Ausfallzeiten 53.000 Euro pro Stunde betragen – sind genau die Art von Zahl, die aus einer schlechten Woche eine dauerhafte Schließung macht.
Die Cyberversicherung befindet sich für die meisten Inhaber in einer seltsamen Position: Sie wirkt wie eine Ausgabe für große Unternehmen für ein Problem kleiner Unternehmen. In Wirklichkeit ist sie eines der wenigen Versicherungsprodukte, das speziell auf das Risiko zugeschnitten ist, dem eine Fünf-Personen-Beratungsfirma oder ein Zwanzig-Personen-E-Commerce-Shop tatsächlich ausgesetzt ist. Das Problem ist, dass die Policen verwirrend sind, die Prämien je nach Anbieter um das Zehnfache variieren und die Ausschlüsse der Punkt sind, an dem die meisten Inhaber auf die Nase fallen. So sollten Sie über den Deal nachdenken – die tatsächlichen Kosten einer Police, die tatsächlichen Kosten, wenn man darauf verzichtet, und das Kleingedruckte, das entscheidet, ob ein Anspruch tatsächlich ausgezahlt wird.
Was ein Datenleck ein kleines Unternehmen tatsächlich kostet
Die Schlagzeilen über die "durchschnittlichen Kosten eines Datenlecks", die Sie in den Nachrichten sehen – 4,44 Millionen US-Dollar weltweit, über 10 Millionen US-Dollar in den USA – werden durch Unternehmensvorfälle mit Millionen von Kundendatensätzen verzerrt. Sie sind nicht die Zahl, die für ein Unternehmen mit einem Dutzend Mitarbeitern und einer Handvoll Lieferanten relevant ist.
Die nützlicheren Zahlen für einen kleinen Betrieb:
- 120.000 Euro – durchschnittliche Gesamtkosten für die Behebung eines Vorfalls in einem kleinen Unternehmen (Ermittlungen, Behebung, Benachrichtigung und Bereinigung zusammen).
- 53.000 Euro pro Stunde – durchschnittliche Kosten für Ausfallzeiten, während Systeme offline sind, was für ein Einzelhandels- oder Dienstleistungsunternehmen die direkten Behebungskosten an einem einzigen Arbeitstag in den Schatten stellen kann.
- 120.000 bis 1,24 Millionen Euro – die Spanne, die Verizons Forschung zu Datenlecks je nach Schweregrad des Vorfalls angibt, was bedeutet, dass "kleine" Vorfälle immer noch sechsstellige Beträge erreichen können, sobald Anwalts-, Forensik- und Benachrichtigungskosten gezählt werden.
- 60 % – der Anteil der kleinen Unternehmen, die innerhalb von sechs Monaten nach einem größeren Cyberangriff schließen, so weit verbreitete Branchenumfragen. Dies ist die Zahl, die die Diskussion neu ausrichten sollte: Es handelt sich nicht wirklich um IT-Kosten, sondern um ein Überlebensrisiko.
Ransomware und Business Email Compromise (BEC) sind die beiden Vorfalltypen, die am wahrscheinlichsten speziell kleine Unternehmen treffen, und sie verhalten sich sehr unterschiedlich. Ransomware ist ein plumper, opportunistischer Angriff – automatisierte Scanner finden einen freiliegenden Remote-Desktop-Port oder einen ungepatchten Server, und jedes Unternehmen ist unabhängig von seiner Größe ein Ziel. BEC ist gezielter: Ein Betrüger gibt sich per E-Mail als Lieferant, Vermieter oder sogar Inhaber aus und täuscht jemanden in der Buchhaltung, Überweisungen zu tätigen oder Kontodaten für den direkten Zahlungseingang zu ändern. Das Internet Crime Complaint Center des FBI führte in einem einzigen Jahr gemeldete Verluste von über 2,7 Milliarden US-Dollar auf BEC zurück, bei insgesamt gemeldeten Cyberkriminalitätsverlusten von 16,6 Milliarden US-Dollar – und BEC ist genau die Kategorie, bei der die Deckung durch die Cyberversicherung kompliziert wird, worauf wir weiter unten eingehen werden.
Wofür eine Police tatsächlich zahlt
Die Cyberversicherung gliedert sich in zwei Hälften, und das Verständnis dieser Aufteilung erklärt, warum die Prämien so stark variieren und warum die günstigste Police oft die falsche ist.
First-Party-Deckung zahlt für die direkten Kosten Ihres eigenen Unternehmens nach einem Vorfall: forensische Untersuchung, um herauszufinden, was passiert ist, Datenwiederherstellung, Systemreparatur, Betriebsunterbrechungseinkommen, das Ihnen während der Systemausfallzeit entgeht, Kundenbenachrichtigung und Kreditüberwachung, wenn personenbezogene Daten offengelegt wurden, Krisen-PR und – wenn Sie sich dafür entscheiden – Lösegeldforderungen von Ransomware.
Third-Party-Deckung zahlt, wenn jemand anderes Sie verklagt, weil Ihr Datenleck seine Daten offengelegt oder seinem Geschäft geschadet hat: Kosten der rechtlichen Verteidigung, Vergleiche, behördliche Geldstrafen und Strafen (sofern versicherbar) und die Kosten eines Kunden oder Lieferanten, der behauptet, Ihre Fahrlässigkeit habe ihm finanziellen Schaden zugefügt.
Die meisten Kleinunternehmenspolicen bündeln beide, aber das Gleichgewicht verschiebt sich je nachdem, was Sie tatsächlich speichern. Ein Unternehmen, das Zahlungskartendaten, Gesundheitsinformationen oder Sozialversicherungsnummern von Kunden speichert, benötigt eine starke Third-Party-Deckung, da dort Klagen und regulatorische Risiken konzentriert sind. Ein Unternehmen, das hauptsächlich seinen eigenen Betrieb am Laufen halten muss – ein Auftragnehmer, ein kleiner Hersteller, eine Fachpraxis mit geringer Datenexposition – stützt sich mehr auf die First-Party-Seite: Systeme wieder hochfahren und die entgangenen Einnahmen decken, während sie ausgefallen sind.
Was es im Jahr 2026 tatsächlich kostet
Die Prämien haben sich nach mehreren Jahren starker Anstiege stabilisiert, und der Markt ist für kleine Unternehmen mit angemessenen Sicherheitspraktiken deutlich zugänglicher geworden. Aktuelle Preise für ein kleines Unternehmen:
- Typische Spanne: ungefähr 400 bis 1.600 Euro pro Jahr für eine Police mit einer Gesamtdeckungssumme von 1 Million Euro, mit einem üblichen Median von etwa 130–145 Euro pro Monat.
- Größere Spanne: Unternehmen in höheren Risikokategorien (Technologie, Gesundheitswesen, Finanzdienstleistungen, alle, die erhebliche Kundendaten speichern) können Prämien von weit über 2.000–5.000 Euro pro Jahr sehen, während risikoärmere Dienstleistungs- und Einzelhandelsunternehmen oft am unteren Ende der Spanne liegen.
- Die größten Kostentreiber: Branche (Technologie- und IT-Unternehmen zahlen etwa 88 % über dem nationalen Durchschnitt; Freizeit- und datenexpositionsarme Unternehmen zahlen etwa 38 % darunter), das Volumen und die Sensibilität der von Ihnen gespeicherten Daten, Ihr Umsatz und – zunehmend – ob Sie grundlegende Sicherheitskontrollen wie Multi-Faktor-Authentifizierung (MFA), Endpunktschutz und regelmäßige Backups nachweisen können.
Dieser letzte Punkt wird mit jedem Erneuerungszyklus wichtiger. Versicherer haben die Zeichnungsrichtlinien nach Jahren der Ransomware-Verluste verschärft, und MFA ist insbesondere von einer "nice-to-have"-Frage im Antrag zu einer harten Anforderung für die Deckung bei den meisten Anbietern geworden. Wenn Sie dieses Kästchen nicht ankreuzen können, erwarten Sie entweder eine höhere Prämie, einen Deckungsausschluss für die Lücke oder eine sofortige Ablehnung Ihres Antrags.
Wo Ansprüche tatsächlich abgelehnt werden
Die Prämie ist der einfache Teil. Der Teil, der bestimmt, ob die Police Ihnen tatsächlich hilft, wenn Sie sie brauchen, sind die Ausschlüsse und Sublimits – und hier entdecken viele Kleinunternehmer mitten in der Krise, dass ihre "1-Million-Euro-Police" den gerade erlittenen Verlust nicht abdeckt.
Social-Engineering- und BEC-Sublimits. Dies ist die häufigste Deckungslücke. Viele Policen begrenzen stillschweigend die Auszahlungen für Social-Engineering- und Überweisungsbetrugsverluste – genau das oben beschriebene BEC-Szenario – auf 25.000 bis 50.000 Euro, selbst wenn die Deckungssumme der Police 1 Million Euro oder mehr beträgt. Wenn ein Betrüger Ihren Buchhalter dazu bringt, 180.000 Euro auf ein gefälschtes Lieferantenkonto zu überweisen, bleiben bei einer Police mit einem Social-Engineering-Sublimit von 25.000 Euro die anderen 155.000 Euro an Ihnen hängen. Fragen Sie vor dem Kauf speziell nach diesem Sublimit; es wird in einer Angebotszusammenfassung selten hervorgehoben.
Rückruf-Überprüfungsanforderungen. Manche Social-Engineering-Klauseln zahlen nur, wenn Ihr Unternehmen bereits einen Rückruf- oder Doppelüberprüfungsprozess für die Änderung von Zahlungsdetails implementiert hatte – was bedeutet, dass der Anspruch nicht abgelehnt werden kann, weil der Betrug im Prinzip nicht gedeckt war, sondern weil Sie nicht nachweisen können, dass Sie zum Zeitpunkt des Vorfalls das erforderliche Überprüfungsverfahren befolgt haben.
Sicherheitskontrollanforderungen. Wenn in Ihrem Antrag stand, dass Sie MFA aktiviert haben, und eine Prüfung nach dem Vorfall zeigt, dass dies nicht der Fall war, können Versicherer den Anspruch wegen Falschdarstellung ablehnen. Dies ist die am schnellsten wachsende Kategorie von Anspruchsablehnungen, da die Zeichnungsrichtlinien verschärft wurden.
Meldeverzögerungen. Die meisten Policen verlangen, dass Sie den Versicherer innerhalb eines bestimmten Zeitfensters (oft 30–60 Tage) nach Entdeckung eines Vorfalls benachrichtigen. Abzuwarten, ob sich das Problem "von selbst löst", bevor Sie Ihren Versicherer anrufen, ist eine übliche – und vollständig vermeidbare – Art, den Versicherungsschutz zu verlieren.
Behördliche Geldstrafen und Kriegsausschlüsse. Nicht alle behördlichen Strafen sind je nach Rechtsordnung versicherbar, und die meisten Policen schließen Verluste im Zusammenhang mit staatlich geförderten oder "kriegsbedingten" Cybervorfällen aus – eine Kategorie, die Versicherer seit 2022 weiter auslegen.
Die praktische Schlussfolgerung: Vergleichen Sie nicht nur die Prämien verschiedener Angebote. Vergleichen Sie das Social-Engineering-Sublimit, die spezifischen Sicherheitskontrollen, die erforderlich sind, um die Police gültig zu halten, und die Frist für die Meldung von Vorfällen. Eine günstigere Police mit einem Betrugssublimit von 25.000 Euro ist kein besseres Angebot als eine etwas teurere mit einem Sublimit von 250.000 Euro, wenn BEC Ihr realistisches Risiko ist.
Entscheiden, ob Sie es brauchen
Eine Cyberversicherung macht am meisten Sinn, wenn mindestens eines der folgenden Kriterien auf Ihr Unternehmen zutrifft: Sie speichern Zahlungs- oder personenbezogene Daten von Kunden, Sie wickeln Überweisungen oder Zahlungsänderungen per E-Mail ab, Sie würden bereits durch einen oder zwei Tage Ausfallzeit erhebliche Einnahmen verlieren, oder eine unerwartete Ausgabe von 100.000 Euro würde das Unternehmen ernsthaft gefährden. Für einen großen Teil der kleinen Unternehmen trifft das auf die meisten Punkte der Liste zu.
Wenn Sie sich für den Kauf entscheiden, budgetieren Sie dafür wie für jede andere feste Betriebsausgabe – und wenn Sie sich dagegen entscheiden, behandeln Sie Präventionsausgaben (MFA, Backups, Schulung der Mitarbeiter zur Überweisungsüberprüfung) als Alternative zur Selbstversicherung, da sie nur einen Bruchteil der Kosten der Behebung ausmachen, unabhängig davon, ob eine Police besteht.
Behalten Sie Ihr Risiko in Ihren Büchern im Blick
Ob Sie eine Police haben oder nicht, die Unternehmen, die sich am schnellsten von einem Cybervorfall erholen, sind diejenigen, die sofort die Frage beantworten können: "Was hat uns das gekostet, und was ist gedeckt?" Das beginnt mit sauberen, aktuellen Finanzunterlagen – zu wissen, wo Ihre liquiden Mittel stehen, welche Verbindlichkeiten offen sind und genau, welche Transaktionen vor und nach einem Vorfall getätigt wurden. Beancount.io bietet Ihnen eine Klartext-, versionierte Buchhaltung mit vollständigem Prüfpfad, sodass die Zahlen bereits vorhanden sind, falls Sie jemals einen Verlust für einen Versicherungsanspruch dokumentieren oder einfach den Schaden verstehen müssen. Starten Sie kostenlos und halten Sie Ihre Finanzunterlagen so prüfbar wie Ihre Sicherheitsprotokolle sein sollten.