Cyberversicherung für kleine Unternehmen: Die Deckungslücken, die Inhaber überrumpeln

Die Police, die Sie gekauft haben, wird wahrscheinlich nicht so zahlen, wie Sie denken​

Ein Landschaftsbauunternehmen wird an einem Freitagabend mit Ransomware infiziert. Der Inhaber öffnet erleichtert die Cyberversicherungspolice, die er vor zwei Jahren abgeschlossen hat, in der Annahme, versichert zu sein. Am Montagmorgen trifft das Forensikteam des Versicherers ein, und bis Mittwoch erfährt er, dass die Auszahlung kaum ein Drittel seiner Verluste decken wird – das Ransomware-Sublimit der Police betrug nur einen Bruchteil der angegebenen Deckungssumme, und der Überweisungsbetrug, der auf den Vorfall folgte, fiel unter eine separate, noch geringere Obergrenze.

Dieses Szenario ist keine Seltenheit. Cyberkriminelle zielen etwa dreimal häufiger auf kleine Unternehmen ab als auf große Konzerne, und 43 % aller Cyberangriffe treffen heute kleine Unternehmen – dennoch fühlen sich nur 14 % dieser Unternehmen angemessen vorbereitet. Cyberversicherungen sollen diese Lücke schließen. Für viele Kleinunternehmer tun sie das nicht, weil sie nie über die Deckungssumme auf Seite eins hinaus gelesen haben.

Warum kleine Unternehmen kaufen – und trotzdem verbrannt werden​

Ab 2026 haben nur etwa 38 % der Kleinunternehmen überhaupt eine Cyberversicherung, verglichen mit 78 % der mittelständischen Unternehmen und 92 % der Großunternehmen. Das allein ist schon eine erhebliche Schutzlücke. Das teurere Problem ist jedoch, was mit den Unternehmen passiert, die tatsächlich eine Police abschließen: Schätzungsweise 44 % der versicherten Kleinunternehmen sind unterversichert, das heißt, ihre Deckungssumme liegt bei weniger als der Hälfte ihrer realistischen Worst-Case-Kosten eines Vorfalls.

Ein Teil der Verwirrung rührt daher, dass die meisten Inhaber glauben, ihre Betriebshaftpflicht- oder Betriebsunterbrechungsversicherung (BOP) decke dies bereits ab. Das tut sie in der Regel nicht. Standard-BOPs schlie entweder Cybervorfälle pauschal aus oder fügen einen dünnen Cyber-Zusatzbaustein mit einer Deckungsobergrenze hinzu, die weit unter den tatsächlichen Kosten eines Vorfalls liegt – und der durchschnittliche Kleinunternehmen-Cyber-Schadensfall übersteigt inzwischen die Grenzen der meisten dieser eingebauten BOP-Zusätze. Wenn Ihr einziger Cyber-Schutz ein Zusatzbaustein zu einer allgemeinen Police ist, gehen Sie davon aus, dass es sich um einen Platzhalter handelt, nicht um ein Sicherheitsnetz.

Was eine echte Cyber-Police tatsächlich abdeckt​

Eine eigenständige Cyber-Haftpflichtversicherung ist um zwei Schutzbereiche herum aufgebaut, und das Verständnis dieser Aufteilung ist wichtig, weil sich Lücken oft an der Nahtstelle zwischen ihnen verstecken.

Eigenständige Deckung (First-Party) zahlt für Kosten, die Ihrem Unternehmen direkt nach einem Vorfall entstehen:

• Datenwiederherstellung und Systemwiederherstellung
• Kosten für die Benachrichtigung betroffener Kunden/Mitarbeiter
• Forensische Untersuchung zur Klärung, was passiert ist und was offengelegt wurde
• Betriebsunterbrechungsverluste während Systemausfällen
• Krisenmanagement- und PR-Kosten
• Kreditüberwachung für betroffene Personen
• Lösegeldzahlungen (sofern gedeckt – dazu weiter unten mehr)

Drittschadendeckung (Third-Party) behandelt Ansprüche, die von anderen gegen Sie geltend gemacht werden:

• Anwalts- und Verfahrenskosten
• Vergleiche mit Kunden oder Partnern, die durch den Vorfall geschädigt wurden
• Regulierungsbußgelder und -strafen (sofern versicherbar)
• Haftung für Netzwerksicherheit, wenn Ihre Systeme zum Angriff auf andere genutzt wurden

Auf dem Papier sieht das umfassend aus. In der Praxis überrumpeln drei strukturelle Merkmale dieser Policen regelmäßig Kleinunternehmer.

Die drei Lücken, die Inhaber überrumpeln​

1. Ransomware-Deckung ist nicht automatisch – selbst wenn Sie eine Police haben​

Ransomware steht im Zentrum einer weit verbreiteten Missverständnislücke: 84 % der befragten Unternehmen gaben an, eine Cyberversicherung zu haben, aber nur 64 % bestätigten, dass ihre Police tatsächlich speziell Ransomware-Angriffe abdeckt. Das ist eine Lücke von 20 Prozentpunkten zwischen „Ich habe eine Cyberversicherung“ und „Ich bin für den Angriff versichert, dem ich am wahrscheinlichsten ausgesetzt bin“, und dies ist relevant, weil die mittlere Lösegeldforderung auf rund 2 Millionen Dollar gestiegen ist. Selbst wenn Ransomware abgedeckt ist, fügen Versicherer häufig ein separates Ransomware-Sublimit hinzu, das weit unter der angegebenen Gesamtdeckungssumme der Police liegt – eine 1-Millionen-Dollar-Police könnte Lösegeld-bezogene Zahlungen auf 100.000 oder 250.000 Dollar begrenzen.

2. Social-Engineering-Betrug hat seine eigene, viel geringere Obergrenze​

Wenn ein Mitarbeiter dazu gebracht wird, Geld auf ein betrügerisches Konto zu überweisen oder durch eine überzeugende Phishing-E-Mail Anmeldedaten preiszugeben, wird dies in der Regel als „Social Engineering“ oder Business-E-Mail-Kompromittierung (BEC) eingestuft – und die meisten Policen begrenzen dies drastisch. In einem aufschlussreichen Fall setzte der Versicherer eines texanischen Bauunternehmens ein Social-Engineering-Sublimit von 250.000 Dollar gegen Verluste von über 874.000 Dollar aus zwei betrügerischen Überweisungen durch, obwohl die zugrunde liegende Deckungssumme der Police weit höher war. Da BEC und Social Engineering zu den drei häufigsten Ursachen für Cybervorfälle in kleinen Unternehmen gehören, versichert eine Police, die diese Deckung auf einen Bruchteil ihrer angegebenen Grenze begrenzt, Sie effektiv für Ihren wahrscheinlichsten Verlust unter.

3. Schadensablehnungen häufen sich um Sicherheitskontrollen, von denen Sie nicht wussten, dass sie erforderlich sind​

Fast die Hälfte aller Cyberversicherungsansprüche wird abgelehnt oder ohne Zahlung geschlossen, und die Gründe werden zunehmend vorhersehbar: Versicherer behandeln heute bestimmte Sicherheitskontrollen – Multi-Faktor-Authentifizierung (MFA), Endpoint Detection and Response (EDR), Offline-Backups und einen dokumentierten Incident-Response-Plan – als Grundbedingungen für den Versicherungsschutz, nicht als „nice-to-have“. Etwa 14 % der versicherten Unternehmen mussten bereits eine Schadensablehnung aufgrund der Nichteinhaltung dieser Anforderungen hinnehmen, und 82 % dieser Ablehnungen betreffen das schlichte Fehlen von MFA auf kritischen Systemen. Wenn Sie in Ihrem Antrag Sicherheitskontrollen bestätigt haben, die tatsächlich nicht vorhanden waren oder nach der Verlängerung wegfielen, kann der Anspruch allein aus diesem Grund abgelehnt werden – unabhängig davon, wie legitim der Vorfall selbst war.

Es gibt auch einen vierten, ruhigeren Ausschluss, den es wert ist zu kennen: staatlich gestützte oder „kriegsähnliche“ Cyberangriffe. Seit 2023 müssen eigenständige Cyber-Policen Verluste aus staatlich geförderten Angriffen ausschließen, eine Regelung, die entstand, nachdem Versicherer zunächst versuchten (und scheiterten), einen 1,4-Milliarden-Dollar-NotPetya-Schadensfall mit Kriegsausschluss abzulehnen. Für die meisten Kleinunternehmen ist dieser Ausschluss selten der entscheidende Faktor bei einem Schadensfall, aber es ist ein weiterer Grund, den Ausschlussabschnitt zu lesen, anstatt anzunehmen, dass „Hacker“ „versichert“ bedeutet.

Was Versicherungsschutz tatsächlich kostet​

Die Preisgestaltung variiert je nach Branche, Umsatz, Datensensitivität und Sicherheitslage, aber die Spannen sind konsistent genug, um sie budgetieren zu können:

• Typische Spanne: 100–200 Dollar pro Monat oder etwa 1.200–2.400 Dollar jährlich für eine 1-Millionen-Dollar-Police
• Branchen mit geringerem Risiko (z. B. Baugewerbe, Leichtindustrie): oft 1.000–2.000 Dollar pro Jahr
• Branchen mit höherem Risiko (Dienstleistungen, Gesundheitswesen, alles mit sensiblen Kundendaten): üblich 2.500–5.000 Dollar pro Jahr für die gleiche 1-Millionen-Dollar-Deckungssumme

Die Prämien fielen 2025 tatsächlich um etwa 6 % und liegen etwa 22 % unter ihrem Höchststand von 2022, aber Branchenprognosen deuten auf einen Anstieg von 15–20 % im Jahr 2026 hin, da Versicherer ihre Zeichnungsstandards verschärfen und die oben beschriebenen Sicherheitskontrollanforderungen durchsetzen. Der Nachweis von MFA, EDR, Offline-Backups und einem schriftlichen Incident-Response-Plan ist nicht länger nur eine Formalität bei der Schadensmeldung – er entscheidet zunehmend darüber, ob Sie überhaupt ein Angebot erhalten und zu welchem Preis.

So kaufen Sie eine Police, die tatsächlich auszahlt​

1. Fordern Sie die Ransomware- und Social-Engineering-Sublimits schriftlich an, getrennt von der Gesamtdeckungssumme. Eine 1-Millionen-Dollar-Police mit einem 100.000-Dollar-Ransomware-Sublimit ist keine 1-Millionen-Dollar-Ransomware-Police.
2. Passen Sie die Deckungssumme an eine reale Worst-Case-Schätzung an, nicht an eine runde Zahl. Da 44 % der versicherten Kleinunternehmen um die Hälfte oder mehr unterversichert sind, gehen Sie von Ihrem tatsächlichen Datenvolumen, Ihrer Kundenzahl und Ihrem durchschnittlichen Tagesumsatz (für Betriebsunterbrechung) aus, anstatt 1 Million Dollar zu wählen, weil es ausreichend klingt.
3. Implementieren Sie die Kontrollen, die Versicherer tatsächlich verlangen, bevor Sie den Antrag stellen: MFA überall, Offline-/unveränderbare Backups, ein EDR-Tool und ein schriftlicher Incident-Response-Plan. Dies wirkt sich sowohl auf Ihre Prämie als auch darauf aus, ob ein zukünftiger Schadensfall bezahlt wird.
4. Überprüfen Sie Ihre Angaben im Antrag bei jeder Verlängerung erneut. Wenn Sie dem Versicherer letztes Jahr mitgeteilt haben, dass MFA für alle Administrationskonten durchgesetzt wird, bestätigen Sie, dass dies vor der Verlängerung noch zutrifft – eine weggefallene Kontrolle ist ein häufiger, vermeidbarer Ablehnungsgrund.
5. Behandeln Sie Business-E-Mail-Kompromittierung als ein Schulungsproblem, nicht nur als ein Versicherungsproblem. Angesichts der strengen Begrenzung von Social-Engineering-Zahlungen ist die Schulung des Personals zur Überweisungsverifizierung oft günstiger als die Deckungslücke, die sie verhindert.

Halten Sie Ihre Finanzunterlagen für den Schadensfall bereit, den Sie hoffentlich nie einreichen müssen​

Wenn Sie jemals in der Situation sind, einen Cyberversicherungsanspruch einzureichen, werden die forensischen und finanziellen Teams des Versicherers saubere Aufzeichnungen verlangen: welche Daten Sie halten, welche Systeme eine Transaktion berührt haben und wie hoch Ihre tatsächlichen Verluste waren. Die Klartext-Buchhaltung von Beancount.io bietet Ihnen ein vollständig versioniertes, prüfbares Hauptbuch – transparent von Natur aus, mit einer vollständigen Historie jeder Änderung – so dass, wenn Sie jemals während einer Vorfalluntersuchung ein finanzielles Bild rekonstruieren müssen, es bereits da ist. Starten Sie kostenlos und halten Sie Ihre Bücher so widerstandsfähig wie den Rest Ihres Sicherheitsstapels.