Abschluss, Anforderungen und Verlängerung
Voraussetzungen für die Cyberversicherung: Mehrfaktor-Authentisierung, Backups und weitere Mindestanforderungen
Welche IT-Sicherheitsmaßnahmen Versicherer für den Abschluss einer Cyberversicherung verlangen, wie Sie sie nachweisen und was bei kleinen Unternehmen realistisch ist.
Für den Abschluss einer Cyberversicherung verlangen Versicherer in der Regel ein Mindestniveau an IT-Sicherheit: Mehrfaktor-Authentisierung für Fernzugänge und E-Mail, regelmäßige und getestete Datensicherungen, zeitnahe Sicherheitsupdates, aktuelle Schutzsoftware und eine Sensibilisierung der Beschäftigten. Wer diese Grundlagen nachweisen kann, erhält eher ein Angebot und bessere Konditionen. Die konkreten Anforderungen unterscheiden sich je nach Versicherer, Betriebsgröße und Versicherungssumme.
Warum Versicherer Mindestanforderungen stellen
Cyberschäden entstehen häufig durch wenige, bekannte Ursachen: gestohlene Zugangsdaten, nicht geschlossene Sicherheitslücken, fehlende oder unzureichende Backups und Phishing. Versicherer wollen das Risiko begrenzen und prüfen deshalb, ob Basismaßnahmen vorhanden sind. Für Sie bedeutet das zweierlei: Ohne Grundschutz kann ein Angebot teuer ausfallen oder abgelehnt werden. Und die Maßnahmen, die Sie angeben, werden im Schadenfall überprüft.
Die typischen Mindestanforderungen im Überblick
| Maßnahme | Was Versicherer meist erwarten | Typische Nachweise |
|---|---|---|
| Mehrfaktor-Authentisierung (MFA) | Für Fernzugänge, E-Mail, Cloud-Dienste und Administratorkonten | Konfigurationsscreenshots, Richtlinie |
| Datensicherung | Regelmäßig, mit Kopie getrennt vom Netzwerk oder unveränderbar, Wiederherstellung getestet | Backup-Protokolle, Testbericht |
| Patchmanagement | Zeitnahes Einspielen von Sicherheitsupdates, vor allem bei Systemen mit Internetzugang | Update-Berichte, Systemübersicht |
| Schutzsoftware und Erkennung | Aktueller Virenschutz, teilweise Endpoint Detection and Response | Lizenzen, Verwaltungskonsole |
| Netzwerksicherheit | Firewall, Trennung von Netzbereichen, abgesicherte Fernzugänge | Netzplan, Firewallregeln |
| Berechtigungen | Zugriffe nach Bedarf, getrennte Administratorkonten | Rollenkonzept |
| Schulung | Regelmäßige Sensibilisierung, Phishing-Übungen | Teilnehmerlisten |
| Notfallplan | Dokumentierte Abläufe, Kontakte, Meldewege | Notfallhandbuch |
| Zahlungsprozesse | Vier-Augen-Prinzip, Rückbestätigung bei Änderungen | Prozessbeschreibung |
Mehrfaktor-Authentisierung und Zugriffsschutz
Die MFA gilt als eine der wirksamsten Einzelmaßnahmen, weil gestohlene Passwörter allein dann nicht genügen. Versicherer fragen genau, wo sie aktiv ist: bei Fernzugängen per VPN, bei Webmail, bei Cloud-Anwendungen und bei Administratorkonten. Ein „Ja“ gilt nur, wenn die Maßnahme flächendeckend umgesetzt ist. Ergänzend sollten Administratorkonten getrennt von normalen Konten geführt und Standardpasswörter ersetzt werden.
Datensicherung: Der Unterschied zwischen Backup und Wiederherstellung
Viele Betriebe haben Backups, aber wenige testen die Wiederherstellung. Versicherer fragen deshalb nach drei Punkten: Gibt es eine Kopie, die ein Angreifer im Netzwerk nicht verschlüsseln kann (offline, getrennt oder unveränderbar)? Wird die Wiederherstellung regelmäßig getestet? Wie lange würde sie dauern? Die Antworten fließen in die Beurteilung des Betriebsunterbrechungsrisikos ein. Ein Beispiel für eine gängige Faustregel ist die 3-2-1-Regel: drei Kopien, auf zwei Medien, eine davon außer Haus.
Updates, Schutzsoftware, Notfallplan
Patchmanagement bedeutet nicht, jedes System sofort zu aktualisieren, sondern einen geregelten Prozess zu haben, der kritische Updates zeitnah einspielt und Systeme ohne Updates identifiziert. Schutzsoftware ist Pflicht, aber zunehmend erwarten Versicherer Lösungen, die ungewöhnliches Verhalten erkennen. Ein Notfallplan mit Telefonnummern, Rollen und Meldewegen, auch ausgedruckt, zeigt Reife. Er sollte die Hotline Ihres Versicherers enthalten.
Was ist für kleine Unternehmen realistisch?
Auch Kleinstbetriebe können viele Anforderungen mit überschaubarem Aufwand erfüllen:
- MFA aktivieren für E-Mail und Cloud-Konten; das ist meist kostenlos.
- Backups einrichten auf externen, regelmäßig getrennten Medien oder in einem Dienst mit Versionierung, und eine Wiederherstellung einmal testen.
- Automatische Updates aktivieren und ein Gerätinventar führen.
- Schulung mit kurzen, regelmäßigen Hinweisen und einem klaren Meldeweg.
- Zahlungsregel festlegen: Änderungen von Bankverbindungen werden telefonisch rückbestätigt.
- Externe Hilfe nutzen: IT-Dienstleister, Handwerkskammer, Industrie- und Handelskammer oder Verbände bieten oft Hilfen. Das BSI und die Allianz für Cyber-Sicherheit stellen Material für Unternehmen bereit. Für kleine und mittlere Unternehmen gibt es zudem den CyberRisikoCheck nach DIN SPEC 27076, eine standardisierte Selbstbewertung; prüfen Sie beim BSI, wie sie aktuell angeboten wird.
Nachweise sammeln
Legen Sie einen Ordner an, der folgende Belege enthält: Richtlinien, Screenshots der Konfiguration, Protokolle der Backups und Wiederherstellungstests, Schulungslisten, Notfallplan, Verträge mit IT-Dienstleistern, Berichte aus Schwachstellenscans, falls vorhanden. Diese Unterlagen helfen beim Fragebogen, bei der Erneuerung und im Schadenfall. Sie sind auch nützlich, wenn der Versicherer technische Rückfragen stellt oder externe Scans durchführt.
Zertifizierungen und Standards
Größere Unternehmen verweisen auf Standards wie ISO 27001 oder den IT-Grundschutz des BSI. Sie sind für die Cyberversicherung nicht zwingend, können aber Beitrag und Annahme positiv beeinflussen, weil sie ein systematisches Sicherheitsmanagement belegen. Für kleinere Betriebe ist die Umsetzung der Basismaßnahmen wichtiger als eine Zertifizierung. Prüfen Sie, ob Ihre Kunden oder Branche Anforderungen stellen, etwa Lieferantenaudits.
Mindestanforderungen als Obliegenheit
Was Sie im Antrag zusichern, wird oft Vertragsbestandteil und kann als Obliegenheit gelten. Das bedeutet, dass Sie die Maßnahmen dauerhaft aufrechterhalten müssen. Eine Lockerung ohne Mitteilung kann im Schadenfall problematisch sein, wie im Guide Obliegenheiten und Sicherheitsanforderungen beschrieben. Planen Sie deshalb nur Maßnahmen ein, die Sie dauerhaft betreiben können.
Priorisierung: Womit beginnen?
Wer bei null startet, sollte nicht alles gleichzeitig angehen. Eine sinnvolle Reihenfolge nach Wirkung und Aufwand: Zuerst Mehrfaktor-Authentisierung für E-Mail und Fernzugänge, weil sie schnell umsetzbar ist und viele Angriffe stoppt. Dann Backups prüfen und die Wiederherstellung testen, denn sie begrenzen den Schaden bei Verschlüsselung. Danach Updates automatisieren und veraltete Systeme identifizieren. Anschließend Schulung und Zahlungsregeln einführen, die Betrug erschweren. Zuletzt folgen Notfallplan, Erkennungssysteme und Netzwerktrennung, die mehr Planung verlangen. Setzen Sie sich für jeden Schritt einen Termin und eine verantwortliche Person und halten Sie Fortschritte schriftlich fest. Schon nach wenigen Wochen können Sie so im Fragebogen deutlich mehr Punkte mit gutem Gewissen bestätigen.
Häufige Fragen
Bekomme ich ohne MFA keine Cyberversicherung?
Viele Versicherer verlangen MFA zumindest für Fernzugänge und E-Mail. Ohne sie kann das Angebot teurer ausfallen oder abgelehnt werden. Nachbesserung lohnt sich.
Reicht ein Cloud-Backup aus?
Es kommt auf die Konfiguration an. Versionierung und Schutz vor Löschung sind wichtig, ebenso ein Wiederherstellungstest. Fragen Sie den Anbieter nach den Möglichkeiten.
Prüfen Versicherer die Angaben?
Teils durch Rückfragen oder externe Scans, vor allem aber im Schadenfall. Gehen Sie davon aus, dass Angaben überprüft werden.
Muss ich die Maßnahmen jährlich nachweisen?
Bei Erneuerung können neue Fragebögen verlangt werden. Pflegen Sie Ihre Nachweise laufend.
Quellen
- BSI — Grundschutz, Empfehlungen und CyberRisikoCheck
- Allianz für Cyber-Sicherheit — Material und Netzwerk für Unternehmen
- DIN — Informationen zu DIN SPEC 27076
- GDV — Informationen zur Cyberversicherung
