Eine Cyberversicherung ist ein sinnvoller Baustein der Cyberresilienz — aber nur, wenn die vertraglichen Pflichten erfüllt sind. Vor Vertragsabschluss und besonders über die gesamte Laufzeit. Sonst zahlt sie reduziert - oder gar nicht.
Eine Cyberversicherung leistet nach §§ 19, 28–32 VVG nur dann voll, wenn die Obliegenheiten erfüllt sind - vor Vertragsabschluss, während der Laufzeit und im Schadensfall. Sonst zahlt sie reduziert oder gar nicht: bei grober Fahrlässigkeit erfolgt eine anteilige Kürzung, bei Vorsatz vollständige Leistungsfreiheit.
Wir richten den Stand der Technik nicht nur ein, sondern halten ihn nachweisbar über die gesamte Laufzeit aufrecht - mit der Dokumentation, die im Schadensfall die Beweisfrage entscheidet.
Jede Cybersecurity-Maßnahme reduziert das Risiko - aber keine schließt es vollständig aus. Genau deshalb gehört eine Cyberversicherung zum planvollen, vorausschauenden Umgang mit dem Restrisiko. Sie greift dort, wo Technik und Prozesse an ihre Grenzen stoßen: Forensik, Wiederherstellung, Betriebsunterbrechung, Haftung, Krisenkommunikation.
Die Verlässlichkeit dieser Absicherung steht und fällt mit den Obliegenheiten - Ihren vertraglichen Pflichten, die der Versicherer in den AVB festlegt. Sie sind nicht einklagbar, aber ihre Verletzung reduziert im Schadensfall die Leistung.
Versicherungsverträge unterscheiden drei zeitliche Phasen — vor Vertragsabschluss, während der Laufzeit und im Schadensfall. Jede mit eigenen Pflichten und Sanktionsmechanismen.
Wahrheitsgemäße Beantwortung der Risikofragen. Offenlegung bekannter Vorfälle und Schwachstellen. Vollständige Angaben zur IT-Infrastruktur. Verletzungen können bis zum Rücktritt des Versicherers führen.
Einhaltung des Stands der Technik. MFA, Patch-Management, Backups, Awareness-Trainings. Aktualisierungs- und Dokumentationspflichten. Meldepflicht bei wesentlichen Änderungen der IT oder des Geschäftsbetriebs.
Unverzügliche Schadensanzeige (typisch 72 Stunden). Mitwirkung bei der Aufklärung. Schadenminderungspflicht. Keine eigenmächtige Regulierung. Beweissicherung und Bereitstellung der Nachweise zur Obliegenheitserfüllung.
Der Stand der Technik ist dynamisch. Was 2019 als Best Practice galt, ist 2026 Mindestanforderung. Cyberversicherer orientieren sich an BSI IT-Grundschutz, ISO 27001 und der einschlägigen Rechtsprechung. Diese sieben Bereiche stehen praktisch in jedem Vertrag.
Verletzt der Versicherungsnehmer eine Obliegenheit, hängt die Konsequenz vom Verschuldensgrad ab. Das Versicherungsvertragsgesetz (VVG) unterscheidet vier Stufen.
Entscheidend ist immer auch die Kausalität: Die Verletzung muss für den Eintritt oder den Umfang des Schadens ursächlich gewesen sein. Bei Streitfällen trägt der Versicherer die Beweislast für Verletzung und Verschulden — der Versicherungsnehmer für die fehlende Kausalität.
In der Praxis steht und fällt das Verfahren mit der Dokumentation: Wer im Schadensfall lückenlos nachweisen kann, dass die geforderten Maßnahmen umgesetzt waren, schließt diese Streitfrage oft schon präventiv aus.
Wer dem Versicherer ein gutes Risiko bietet, zahlt weniger Prämie. Das ist die Logik des Marktes. Cyberversicherer rechnen heute mit konkreten Rabatt- und Aufschlagsstaffeln — manche transparent, andere stillschweigend in der Risikobewertung.
Umgekehrt führen erkennbare Lücken zu Aufschlägen oder zur Verweigerung der Versicherbarkeit. End-of-Life-Systeme, fehlende MFA und nicht dokumentierte Backups sind die häufigsten Gründe für abgelehnte Anträge oder kostspielige Aufschläge.
Versicherungsschutz ist kein einmaliger Akt, sondern eine kontinuierliche Aufgabe. Wir richten die Voraussetzungen ein und halten sie nachweisbar über die gesamte Laufzeit aufrecht — vor dem und im Schadensfall.
Abgleich Ihrer aktuellen IT-Aufstellung mit den Anforderungen Ihres Versicherers (oder mit marktüblichen Klauseln, wenn der Vertrag noch nicht steht). Identifizierte Lücken werden priorisiert nach Risiko und Prämienrelevanz.
Vollständig durch uns oder Co-Managed — wir setzen die technischen und organisatorischen Anforderungen um. MFA, EDR, Patch-Management, Backup, Segmentierung, Awareness — als laufender Betrieb, nicht als einmaliges Projekt.
Patch-Status-Reports, Restore-Test-Protokolle, Awareness-Teilnahmen, Vulnerability - Scans, Incident-Response-Übungen — strukturiert abgelegt, monatlich zusammengefasst. Bereit für die nächste Risikoprüfung und für den Schadensfall.
Forensik, Eindämmung, Meldungen — im Playbook als Ablaufplan definiert entlang der vertraglichen Meldepflichten. Die Obliegenheitsmatrix mit aktuellen Nachweisen ist Teil des Incident-Reports an den Versicherer.
Obliegenheiten sind vertragliche Verhaltenspflichten des Versicherungsnehmers, übergeordnet geregelt in den §§ 28–32 VVG. Sie sind nicht einklagbar, aber ihre Verletzung berechtigt den Versicherer zur Leistungskürzung oder zur vollständigen Leistungsfreiheit. Anders als bei klassischen Versicherungen liegt der Hebel des Versicherers nicht in der Prämie, sondern im Schadensfall.
Die Konsequenz hängt vom Verschuldensgrad ab. Vorsätzliche Verletzung führt zur vollständigen Leistungsfreiheit. Grobe Fahrlässigkeit führt zu anteiliger Kürzung — etwa 50 % bei mittlerer, bis zu 100 % bei schwerer Fahrlässigkeit. Einfache Fahrlässigkeit oder unverschuldete Verletzungen ziehen keine Sanktion nach sich. Zusätzlich muss eine Kausalität zwischen Verletzung und Schadenseintritt vorliegen — sonst bleibt der Versicherer leistungspflichtig.
Der Begriff ist dynamisch und wird durch BSI IT-Grundschutz, ISO 27001, BSI-Richtlinien (z. B. TR-02102 für Kryptographie) und aktuelle Rechtsprechung konkretisiert. Konkrete Beispiele Stand 2026: MFA für privilegierte Accounts, TLS 1.2 als Minimum, AES-256 für Verschlüsselung, kritische Patches in 14–30 Tagen, Backups nach 3-2-1 mit Air-Gap oder Immutable, EDR statt klassischer AV. KMU müssen angemessen — nicht perfekt — umsetzen, gestaffelt nach Schutzbedarf.
Der Versicherer muss die Obliegenheitsverletzung und das Verschulden nachweisen. Der Versicherungsnehmer muss gegebenenfalls die fehlende Kausalität beweisen — also dass der Schaden auch bei Erfüllung der Obliegenheit eingetreten wäre. Das macht systematische Dokumentation und die Root Cause Analyse - also was hat zum Schaden geführt - zum entscheidenden Faktor. Wer Nachweise schnell und vollständig liefern kann, schließt viele Streitfragen präventiv aus.
Nicht zwingend. Gerichte prüfen Klauseln nach § 307 BGB auf unangemessene Benachteiligung. Pauschale Formulierungen wie Updates sind unverzüglich zu installieren können unwirksam sein, wenn ein Update zur Betriebsunterbrechung führt und eine Inkompatibilität mit notwendigen Anwendungen besteht. Bei strittigen Klauseln lohnt der zweite Blick — und die vorvertragliche Korrespondenz mit dem Versicherer, in der individuelle Abweichungen oft vereinbart werden können.
Sie ist Teil der Cyberresilienz, nicht Ersatz für sie. Auch ein gut aufgestelltes Unternehmen kann Opfer eines erfolgreichen Angriffs werden — kein technisches oder organisatorisches Konzept schließt Risiko vollständig aus. Im Schadensfall trägt die Versicherung Kosten für Forensik, Datenwiederherstellung, Betriebsunterbrechung, Krisenkommunikation und Haftung. Sie wirkt aber nur dann, wenn die Voraussetzungen geschaffen und nachweislich aufrechterhalten wurden.
Cyberversicherer akzeptieren externe Fachkompetenz als Erfüllungshilfe. Managed Services können Obliegenheiten technisch herstellen (MFA-Rollout, EDR-Betrieb, Patch-Management), kontinuierlich aufrechterhalten und die für den Versicherer relevante Dokumentation produzieren. Entscheidend bleibt: Die Verantwortung liegt beim Versicherungsnehmer. Die Auswahl und Steuerung des Dienstleisters müssen sorgfältig erfolgen, vertragliche Pflichten klar geregelt sein.
Sie erwägen eine Cyberversicherung, sind unsicher zu den Obliegenheiten oder wollen Ihre Risikolage vor der nächsten Verlängerung neu bewerten? In einem kurzen Erstgespräch sortieren wir die offenen Punkte.