Es gibt einen Satz, den ich in Gesprächen mit Unternehmen immer häufiger höre: „Wir haben ja eine Cyberversicherung.“ Das ist erst einmal gut. Eine Cyberversicherung kann im Ernstfall sehr wertvoll sein. Gefährlich wird dieser Satz aber, wenn er als Beruhigungspille verstanden wird.
Eine Cyberversicherung kann helfen, Kosten abzufedern, Spezialisten einzubinden, Forensik zu bezahlen, rechtliche Beratung zu organisieren, Betriebsunterbrechungen aufzufangen und die Kommunikation nach einem Vorfall zu strukturieren. Aber sie verhindert keinen Angriff.
Sie ersetzt kein Backup. Sie ersetzt keine Mehr-Faktor-Authentifizierung. Sie ersetzt kein Patch-Management. Sie ersetzt keine Firewall. Sie ersetzt keine saubere Benutzerverwaltung. Sie ersetzt keine Dokumentation. Sie ersetzt keinen Notfallplan. Und sie ersetzt vor allem nicht die Verantwortung der Geschäftsführung.
Eine Cyberversicherung ist ein Sicherheitsnetz. Aber ein Sicherheitsnetz ist nicht dasselbe wie ein stabiles Geländer.
Versicherung ist gut. Saubere IT ist besser.
Ich bin nicht gegen Cyberversicherungen. Im Gegenteil: Für viele Unternehmen kann eine Cyberversicherung ein sinnvoller Baustein im Risikomanagement sein. Aber sie darf nicht an die Stelle von IT-Sicherheit treten.
Wer eine Cyberversicherung abschließt und danach denkt, das Thema sei erledigt, hat den Kern nicht verstanden. Versicherungen sind für den Schadenfall da. Gute IT ist dafür da, den Schaden möglichst zu verhindern, früh zu erkennen, einzugrenzen und den Betrieb schnell wieder arbeitsfähig zu machen.
Wenn nachts Wasser durch das Dach läuft, ist eine Gebäudeversicherung hilfreich. Trotzdem würde niemand sagen: „Wir brauchen keine Dachwartung mehr, wir sind ja versichert.“ Bei IT wird genau dieser Denkfehler aber oft gemacht.
Der Versicherer schaut genauer hin als früher
Vor einigen Jahren war Cyberversicherung für viele kleinere Unternehmen noch relativ neu. Heute hat sich der Markt verändert. Versicherer wissen inzwischen sehr genau, welche technischen und organisatorischen Schwächen regelmäßig zu Schäden führen. Deshalb fragen sie genauer nach.
Wenn ein Unternehmen keine sauberen Backups hat, wenn Mehr-Faktor-Authentifizierung fehlt, wenn Updates nicht gepflegt werden, wenn alte Systeme öffentlich erreichbar sind, wenn Administratorrechte unkontrolliert vergeben werden und wenn kein Notfallplan existiert, dann ist das Risiko nicht abstrakt. Dann ist es konkret.
Das bedeutet: Wer eine Cyberversicherung abschließen möchte oder bereits eine hat, sollte die eigenen Angaben sehr ernst nehmen. Denn im Schadenfall kann entscheidend sein, ob die gemachten Angaben stimmen und ob vereinbarte Sicherheitsmaßnahmen tatsächlich umgesetzt wurden.
Der Fragebogen ist kein Papierkram
Viele Unternehmen behandeln den Sicherheitsfragebogen der Versicherung wie lästige Bürokratie. Das ist ein Fehler. Diese Fragen sind nicht nur Formsache. Sie zeigen ziemlich deutlich, welche Grundlagen heute erwartet werden.
- Gibt es regelmäßige Backups?
- Werden diese Backups getestet?
- Sind Backups vom restlichen Netzwerk getrennt?
- Ist Mehr-Faktor-Authentifizierung aktiv?
- Werden Sicherheitsupdates zeitnah installiert?
- Gibt es Schutz vor Schadsoftware?
- Sind Administratorrechte begrenzt?
- Gibt es ein Rechte- und Benutzerkonzept?
- Sind Fernzugriffe abgesichert?
- Gibt es einen Notfallplan?
- Gibt es eine IT-Dokumentation?
- Werden Mitarbeiter sensibilisiert?
- Sind externe Dienstleisterzugänge kontrolliert?
Das sind keine exotischen Anforderungen. Das sind Grundlagen. Deshalb sollte man diese Fragen nicht hastig beantworten. Nicht ungefähr. Nicht „müsste eigentlich“. Nicht „hat der alte Dienstleister damals bestimmt eingerichtet“. Sondern sauber.
„Ja“ ankreuzen ist leicht. Es zu beweisen ist schwerer.
In der Praxis liegt hier ein großes Risiko. Ein Unternehmen beantwortet einen Fragebogen. Viele Punkte werden mit „Ja“ angekreuzt. Nicht aus böser Absicht, sondern weil man davon ausgeht, dass es schon stimmen wird.
Backup? Ja, haben wir. Updates? Ja, macht bestimmt jemand. MFA? Ja, nutzen wir teilweise. Firewall? Ja, Router steht da. Notfallplan? Ja, wir wissen schon, wen wir anrufen. Dokumentation? Ja, irgendwo gibt es bestimmt Unterlagen.
So entstehen trügerische Sicherheiten. Die eigentliche Frage lautet nicht: „Können wir ein Ja setzen?“ Die eigentliche Frage lautet: Können wir es im Ernstfall nachvollziehbar belegen?
Ein Backup ist erst belastbar, wenn klar ist, was gesichert wird, wie lange zurückgegriffen werden kann, ob die Sicherung geschützt ist und ob eine Wiederherstellung getestet wurde. MFA ist erst belastbar, wenn sie für relevante Benutzer und Dienste konsequent umgesetzt ist. Patch-Management ist erst belastbar, wenn klar ist, wer Updates prüft, installiert, dokumentiert und Sonderfälle behandelt.
Cyberversicherung schützt nicht vor Stillstand
Der größte Schaden bei Cyberangriffen ist oft nicht nur der Datenverlust. Es ist der Stillstand. Ein Unternehmen kann nicht mehr arbeiten. E-Mails funktionieren nicht. Dateien sind nicht erreichbar. Warenwirtschaft oder Branchenprogramm stehen. Angebote können nicht raus. Rechnungen bleiben liegen. Mitarbeiter wissen nicht, was sie tun sollen. Kunden fragen nach.
Eine Versicherung kann später Geld zahlen oder Dienstleister unterstützen. Aber sie startet nicht automatisch Ihre Systeme neu. Sie kennt nicht Ihre Abläufe. Sie weiß nicht, welcher Server zuerst wieder laufen muss. Sie weiß nicht, welche Daten für Ihren Betrieb am wichtigsten sind. Sie kennt Ihre Sonderfälle nicht.
Im Ernstfall zählt Vorbereitung. Wer erst nach dem Angriff herausfindet, wie die eigene IT zusammenhängt, verliert wertvolle Zeit.
Der Moment der Wahrheit: Restore
Backup ist nicht dasselbe wie Wiederherstellung. Viele Unternehmen haben Sicherungen. Aber sie wissen nicht, ob sie im Ernstfall schnell genug und vollständig genug zurückkommen.
Für die Versicherung mag ein vorhandenes Backup auf dem Papier gut aussehen. Für den Betrieb zählt aber etwas anderes:
- Können wir die Daten wirklich zurückholen?
- Wie lange dauert das?
- Wer macht das?
- Welche Systeme kommen zuerst?
- Sind die Sicherungen sauber?
- Sind sie vor Manipulation geschützt?
- Sind Microsoft-365-Daten enthalten?
- Sind lokale Server und Fachanwendungen enthalten?
- Wurde das getestet?
Ein Restore-Test ist nicht übertrieben. Er ist ein Realitätscheck. Ein Unternehmen, das nie getestet hat, ob es wiederherstellen kann, weiß nicht, ob sein Backup-Konzept funktioniert. Es hofft es nur. Und Hoffnung ist im Schadenfall keine gute Strategie.
Mehr-Faktor-Authentifizierung ist keine Kür mehr
Ein Passwort allein ist heute zu wenig. Das gilt besonders für Microsoft 365, VPN, Fernzugänge, Administratoren, Buchhaltung, Geschäftsführung und alle Konten mit Zugriff auf sensible Daten.
Passwörter werden gestohlen, wiederverwendet, erraten, durch Phishing abgegriffen oder in Datenlecks gefunden. Mehr-Faktor-Authentifizierung verhindert nicht jeden Angriff. Aber sie macht viele Angriffe deutlich schwieriger.
Trotzdem wird MFA in vielen Betrieben halbherzig eingeführt: bei einigen Benutzern aktiv, bei anderen nicht, Administratoren ausgenommen, alte Protokolle weiterhin aktiv, externe Zugänge ohne konsequente Absicherung. Das ist kein belastbarer Zustand.
Patch-Management: langweilig, aber entscheidend
Sicherheitsupdates sind kein Nebenthema. Viele erfolgreiche Angriffe nutzen bekannte Schwachstellen: bekannte Lücken, verfügbare Updates, verschobene Wartung.
Im Mittelstand ist das Problem selten böser Wille. Es ist Alltag. Ein Update passt gerade nicht. Ein Neustart stört. Eine Fachanwendung könnte Probleme machen. Ein alter Server darf nicht angefasst werden. Niemand fühlt sich zuständig. Und dann bleibt es liegen.
Ein gutes Patch-Management muss nicht kompliziert sein. Aber es muss geführt werden: Welche Systeme gibt es? Welche sind kritisch? Welche Updates sind sicherheitsrelevant? Wer prüft sie? Wann werden sie installiert? Wie werden Ausnahmen dokumentiert? Welche Alt-Systeme müssen abgelöst werden?
Alte Systeme sind keine Liebhaberstücke
Fast jedes Unternehmen hat alte Systeme: ein alter Server für eine Fachanwendung, ein Windows-10-Arbeitsplatz, ein alter Exchange-Server, eine Scannerlösung mit Spezialtreiber, eine Telefonanlage mit alter Weboberfläche, ein alter VPN-Zugang oder ein Branchenprogramm, das niemand anfassen möchte.
Solche Systeme sind nicht automatisch verboten. Aber sie müssen geführt werden. Wenn ein altes System weiterlaufen muss, braucht es eine bewusste Entscheidung: Warum läuft es noch? Wie lange noch? Wie ist es abgesichert? Ist es vom restlichen Netz getrennt? Wer pflegt es? Welche Daten liegen darauf? Gibt es ein Backup? Gibt es einen Ablöseplan?
Rechteverwaltung: der stille Risikotreiber
Zu viele Rechte sind bequem, bis etwas passiert. Wenn jeder auf alles zugreifen kann, gibt es im Alltag weniger Rückfragen. Aber im Angriff wird der Schaden größer. Ein kompromittiertes Benutzerkonto ist schlimm. Ein kompromittiertes Benutzerkonto mit breiten Rechten ist schlimmer. Ein kompromittiertes Administratorkonto ist ein Notfall.
Deshalb gehört Rechteverwaltung zu den wichtigsten Sicherheitsgrundlagen: Wer braucht wirklich Zugriff? Wer darf administrieren? Welche Gruppen sind historisch gewachsen? Welche ehemaligen Mitarbeiter sind noch irgendwo berechtigt? Welche Dienstleisterzugänge existieren? Wer darf Daten extern teilen?
Dokumentation entscheidet, wenn der Kopf voll ist
Im normalen Betrieb merkt man fehlende Dokumentation oft nicht sofort. Im Ernstfall ist „irgendjemand weiß das schon“ aber kein Prozess. Wenn Systeme ausfallen, Daten verschlüsselt sind, Kunden anrufen und Mitarbeiter verunsichert sind, braucht man klare Informationen.
Welche Systeme sind kritisch? Welche Zugangsdaten werden benötigt? Welche Dienstleister sind zuständig? Wo liegen Backups? Wie wird wiederhergestellt? Welche Notfallkontakte gibt es? Welche Versicherungsnummer und Hotline gelten? Wer entscheidet was?
Eine gute Dokumentation ist kein Aktenfriedhof. Sie ist ein Werkzeug. Sie sorgt dafür, dass ein Unternehmen nicht von einzelnen Köpfen abhängig ist.
Der Notfallplan gehört vor den Schadenfall
Viele Unternehmen haben eine Cyberversicherung, aber keinen echten IT-Notfallplan. Das passt nicht zusammen. Gerade im Schadenfall zählt Geschwindigkeit. Die ersten Stunden sind entscheidend.
Wer wird informiert? Wer entscheidet, ob Systeme abgeschaltet werden? Wer kontaktiert den IT-Dienstleister? Wer ruft die Versicherung an? Welche Nummer wird genutzt, wenn E-Mail nicht geht? Wer dokumentiert den Ablauf? Wer spricht mit Mitarbeitern und Kunden? Wer prüft Datenschutzpflichten? Welche Systeme haben Priorität?
Ein Notfallplan muss nicht aus einem dicken Ordner bestehen. Aber er muss existieren, verständlich sein und im Betrieb bekannt sein. Im Ernstfall will niemand erst diskutieren, wer zuständig ist. Dann braucht man klare Schritte.
Cyberversicherung und IT-Dienstleister müssen zusammenpassen
Eine Cyberversicherung kann im Ernstfall eigene Dienstleister, Forensiker, Hotlines oder Rechtsberatung einbinden. Das ist sinnvoll. Trotzdem bleibt der bestehende IT-Dienstleister wichtig, weil er die Umgebung kennt – oder zumindest kennen sollte.
Im Schadenfall müssen Versicherung, Forensik, IT-Dienstleister und Geschäftsführung zusammenarbeiten. Wenn dann niemand eine aktuelle Dokumentation hat und niemand genau weiß, wie die Systeme zusammenhängen, wird es schwierig.
Die häufigsten Irrtümer zur Cyberversicherung
- „Wenn wir versichert sind, ist der Schaden erledigt.“ Nein. Eine Versicherung verhindert nicht den Stillstand, den Vertrauensverlust und die operative Belastung.
- „Der Versicherer zahlt schon.“ Das hängt vom Vertrag, vom Schaden, von Obliegenheiten und von den tatsächlichen Umständen ab.
- „Unsere IT ist klein, das wird schon nicht so streng gesehen.“ Auch kleine Unternehmen haben Microsoft 365, Kundendaten, E-Mail, Fernzugriffe, Backups und sensible Informationen.
- „Das macht alles unser IT-Dienstleister.“ Vielleicht. Vielleicht aber auch nicht. Geschäftsführung bleibt Verantwortung.
- „Wir kümmern uns darum, wenn die Versicherung nachfragt.“ Dann ist es oft spät. Besser ist, die eigene IT vorher sauber aufzustellen.
Was vor Abschluss oder Verlängerung geprüft werden sollte
Eine Cyberversicherung sollte nicht isoliert betrachtet werden. Sie ist ein guter Anlass, die eigene IT ehrlich zu prüfen:
- Sind alle geschäftskritischen Systeme bekannt?
- Gibt es eine aktuelle IT-Dokumentation?
- Sind Backups vorhanden und getestet?
- Sind Backups vor Manipulation geschützt?
- Sind Microsoft-365-Daten berücksichtigt?
- Ist MFA konsequent aktiv?
- Sind Fernzugriffe abgesichert?
- Sind Sicherheitsupdates geregelt?
- Sind alte Systeme bekannt und bewertet?
- Sind Administratorrechte begrenzt?
- Sind ehemalige Mitarbeiterkonten entfernt?
- Sind externe Dienstleisterzugänge dokumentiert?
- Gibt es einen Notfallplan?
- Sind Mitarbeiter für Phishing sensibilisiert?
Was ein Unternehmen dokumentieren sollte
Ich bin kein Freund von Papier um des Papiers willen. Aber bestimmte Dinge sollten nachweisbar sein: Backup-Konzept, letzte erfolgreiche Sicherungen, Restore-Tests, MFA-Umsetzung, Patch- und Update-Prozess, Firewall- und VPN-Struktur, Administratorenkonten, Benutzer- und Rechtekonzept, Liste kritischer Systeme, Dienstleister- und Zugangsliste, Notfallkontakte, Ablaufplan für IT-Sicherheitsvorfälle, Microsoft-365-Übersicht und Dokumentation besonderer Alt-Systeme.
Das klingt nach viel. In einem ordentlich betreuten Unternehmen ist das aber keine Monsteraufgabe. Es ist laufende Betriebsführung. Genau hier trennt sich improvisierte IT von professioneller IT.
Cyberversicherung als Weckruf, nicht als Ersatzhandlung
Die beste Wirkung einer Cyberversicherung ist oft nicht nur der mögliche finanzielle Schutz. Die beste Wirkung ist, dass sie Unternehmen zwingt, die richtigen Fragen zu stellen: Sind wir wirklich vorbereitet? Können wir unsere Angaben belegen? Sind unsere Backups belastbar? Sind unsere Zugänge geschützt? Ist unsere IT dokumentiert? Wissen wir, was im Ernstfall zu tun ist?
Wenn eine Versicherung dazu führt, dass ein Unternehmen seine IT endlich ordnet, dann ist das ein Gewinn. Aber wenn die Police nur abgeheftet wird und ansonsten alles bleibt wie vorher, ist wenig gewonnen.
Was wir bei EDV Systeme Donner darunter verstehen
Wir betrachten Cyberversicherung nicht als Versicherungsprodukt. Dafür sind Versicherungsmakler und Versicherer zuständig. Wir betrachten die IT-Seite dahinter.
Also die Frage: Ist Ihr Unternehmen technisch und organisatorisch so vorbereitet, dass eine Cyberversicherung sinnvoll greift und der Betrieb im Ernstfall nicht im Chaos versinkt?
Dazu schauen wir praktisch auf Backup und Wiederherstellung, Microsoft 365, MFA, Firewall und Netzwerk, Fernzugriffe, Benutzer und Rechte, Patch-Management, Altsysteme, Dokumentation, Notfallplan, Dienstleisterzugänge, Arbeitsplatz-IT, E-Mail-Sicherheit und Betriebsfähigkeit.
Mein Fazit
Eine Cyberversicherung ist sinnvoll. Aber sie ist kein Freifahrtschein. Sie schützt nicht vor schlechter Vorbereitung. Sie ersetzt keine saubere IT. Sie macht Backups nicht automatisch wiederherstellbar. Sie aktiviert keine MFA. Sie patcht keine Server. Sie entfernt keine alten Konten. Sie schreibt keinen Notfallplan. Sie dokumentiert keine Umgebung.
Die entscheidende Frage lautet nicht: „Haben wir eine Cyberversicherung?“ Die bessere Frage lautet: Sind wir so aufgestellt, dass eine Cyberversicherung im Ernstfall auf eine vorbereitete, dokumentierte und handlungsfähige IT trifft?
Wenn Sie diese Frage nicht klar beantworten können, sollten wir miteinander sprechen – nicht erst im Schadenfall, nicht erst, wenn der Versicherer nachfragt, sondern jetzt, solange man geordnet prüfen und verbessern kann.
IT-Grundlagen für Cyberversicherung und Ernstfall prüfen
EDV Systeme Donner unterstützt kleine und mittelständische Unternehmen dabei, die technische Grundlage für Cyberresilienz und Versicherbarkeit sauber aufzubauen: Backup, Restore-Test, Microsoft 365, MFA, Firewall, Patch-Management, Rechte, Dokumentation, Notfallplan und laufende IT-Betreuung.
Häufige Fragen zu Cyberversicherung und IT-Sicherheit
Ersetzt eine Cyberversicherung IT-Sicherheit?
Nein. Eine Cyberversicherung kann im Schadenfall unterstützen, verhindert aber keinen Angriff und ersetzt keine technischen und organisatorischen Schutzmaßnahmen.
Warum sind Backup und Restore-Test so wichtig?
Ein Backup ist nur dann belastbar, wenn klar ist, was gesichert wird, wie lange zurückgegriffen werden kann und ob eine Wiederherstellung im Ernstfall funktioniert.
Was fragen Cyberversicherer typischerweise ab?
Häufig geht es um Backups, MFA, Patch-Management, Rechteverwaltung, Fernzugriffe, Schutz vor Schadsoftware, Dokumentation, Notfallplan und kontrollierte Dienstleisterzugänge.
Was ist der wichtigste erste Schritt?
Der wichtigste erste Schritt ist eine ehrliche Bestandsaufnahme: Welche Systeme sind kritisch, was ist dokumentiert, was wurde getestet und welche Risiken müssen zuerst reduziert werden?
Ist das Rechts- oder Versicherungsberatung?
Nein. EDV Systeme Donner bewertet die IT-Seite: technische Grundlagen, Nachweise, Betriebsfähigkeit, Sicherheit und Wiederherstellbarkeit. Versicherungsverträge sollten mit Versicherungsmakler oder Versicherer geprüft werden.