Bevor Sie einen Vertrag bekommen, stellt die Cyberversicherung Anforderungen: Der Versicherer will wissen, wie gut Ihre IT geschützt ist – von Updates über den Virenschutz bis zur Datensicherung. Ihre Angaben müssen stimmen, und vieles davon gilt als Obliegenheit für die ganze Vertragslaufzeit. Hier lesen Sie, was typischerweise gefragt wird, was bei falschen Angaben droht und wie sich kleine Betriebe gut vorbereiten.
Warum die Cyberversicherung Anforderungen an Ihre IT stellt
Versicherer übernehmen ein Risiko nur, wenn ein Mindestschutz vorhanden ist. Der Gesamtverband der Deutschen Versicherungswirtschaft (GDV) vergleicht das mit der Hausratversicherung: Ohne abschließbare Wohnungstür lässt sich auch Hausrat nicht versichern. Grundlegende IT-Sicherheit ist deshalb in der Regel Voraussetzung für den Abschluss – und nach Erkenntnissen der Versicherer hat nur rund ein Drittel der deutschen Unternehmen ausreichende Schutzmaßnahmen.
Versichert sind bisher wenige: 2025 gab es rund 157.000 gewerbliche Cyber-Verträge, 15,7 Prozent mehr als im Vorjahr. Trotzdem ist laut GDV nur etwa jedes zwanzigste Unternehmen gegen die Folgen eines Cyberangriffs versichert.
- 43.186 €betrug 2025 der durchschnittliche Schaden je Cyber-Versicherungsfall.Quelle: GDV, September 2026
- 77 %der befragten Mittelständler halten sich für ausreichend geschützt – mehr als zwei Drittel erfüllen aber nicht alle Basiskriterien.Quelle: forsa für den GDV, September 2025
- 48 %der befragten Mittelständler haben für den Ernstfall keinen Notfallplan.Quelle: forsa für den GDV, September 2025
Was der Muster-Fragebogen des GDV abfragt
Einen einheitlichen Fragebogen gibt es nicht. Der GDV hat aber einen unverbindlichen Muster-Fragebogen für kleine und mittlere Unternehmen veröffentlicht (Stand Dezember 2019). Versicherer können ihn nutzen, ergänzen oder ganz eigene Fragen stellen.
Zehn Grundfragen zur IT-Sicherheit beantworten alle Betriebe. Liegt der Jahresumsatz über 2 Millionen Euro, kommen laut Muster weitere Fragen hinzu – ebenso unabhängig vom Umsatz, wenn ein Betrieb etwa Berufsgeheimnisse oder sensible Daten Dritter verarbeitet, wie Arztpraxen und Kanzleien.
| Thema | Frage im Muster (sinngemäß) | Das sollten Sie belegen können |
|---|---|---|
| Zugänge | Jede Person hat eine eigene Kennung; Mindestanforderungen an Passwörter werden technisch erzwungen. | Liste der Benutzerkonten, Passwort-Richtlinie |
| Admin-Rechte | Administratorrechte nur für Administratoren und nur für Verwaltungsaufgaben. | Getrennte Admin-Konten, Übersicht der Berechtigungen |
| Zusatzschutz | Aus dem Internet erreichbare Server und mobile Geräte sind zusätzlich geschützt, z. B. durch Firewall, Zwei-Faktor-Anmeldung oder Verschlüsselung. | Geräteliste mit Schutzmaßnahmen |
| Datensicherung | Mindestens wöchentlich, physisch getrennt aufbewahrt, gegen Zugriff und Manipulation geschützt, Wiederherstellung regelmäßig getestet. | Sicherungsplan, Protokolle, Testbericht mit Datum |
| Updates | Sicherheitsupdates werden automatisch oder zeitnah eingespielt, alle Systeme sind aktuell. | Update-Stand aller Geräte, Liste veralteter Systeme |
| Schadsoftware | Alle Rechner, Handys und weiteren Systeme haben einen Schutz, der sich automatisch aktualisiert. | Übersicht aus der Verwaltungskonsole |
| Weitere Stufen | Je nach Einstufung u. a. Verantwortliche für IT-Sicherheit und Datenschutz, Schulungen, verschlüsselter Fernzugriff, zentrale Updates, getrennte Netze, schriftlicher Notfallplan. | Zuständigkeiten, Netzplan, Notfallplan |
Die Zwei-Faktor-Anmeldung nennt das Muster nur als Beispiel. Fragebögen einzelner Versicherer können hier genauer sein, etwa für E-Mail, Fernzugriff und Administratorkonten. Sinnvoll ist sie ohnehin: Mit einem erbeuteten Passwort allein kommen Angreifer dann nicht mehr ins Konto.
Obliegenheiten und Fragebogen: Was bei Fehlern droht
Obliegenheiten im Vertrag
Obliegenheiten sind Pflichten, die Sie als Versicherungsnehmer erfüllen müssen, damit der Schutz voll greift. In den unverbindlichen Musterbedingungen des GDV (AVB Cyber, Stand Februar 2024) decken sie sich weitgehend mit den Grundfragen aus der Tabelle – von eigenen Zugängen bis zur mindestens wöchentlichen, regelmäßig geprüften Datensicherung.
Zwei Punkte sind besonders wichtig: Systeme mit bekannten Sicherheitslücken dürfen laut Muster nur mit zusätzlicher Absicherung weiterlaufen – ein alter Server ohne Updates kann also zum Problem werden. Und kein System und keine Berechtigungsstufe darf zugleich Original und Sicherungskopie verändern oder löschen können. Eine dauerhaft angeschlossene USB-Festplatte reicht deshalb meist nicht.
Verletzen Sie eine Obliegenheit vorsätzlich, muss der Versicherer nicht zahlen, wenn der Vertrag das vorsieht; bei grober Fahrlässigkeit kann er die Leistung je nach Schwere des Verschuldens kürzen. Zahlen muss er aber, soweit der Verstoß weder für den Schadenfall noch für dessen Feststellung oder den Umfang der Leistung ursächlich war – außer bei Arglist (§ 28 VVG).
Angaben im Fragebogen
Die Fragen vor Vertragsschluss beantworten Sie im Rahmen der vorvertraglichen Anzeigepflicht nach § 19 VVG. Sind Angaben falsch oder unvollständig, kann der Versicherer je nach Verschulden vom Vertrag zurücktreten, ihn kündigen oder zu anderen Bedingungen fortführen. Nach einem Rücktritt kann der Schutz auch rückwirkend entfallen.
Kreuzen Sie „Ja“ deshalb nur an, wenn es für alle Geräte gilt. Ein einzelner Laptop ohne Updates oder ein Admin-Konto, mit dem täglich gearbeitet wird, macht aus einem „Ja“ schnell ein „Nein“. Stellt Ihre Cyberversicherung Anforderungen, die Sie heute noch nicht erfüllen, schließen Sie die Lücke vor der Unterschrift – oder klären Sie den Punkt mit Ihrem Versicherer oder Makler.
Gut zu wissen
Die Angaben machen Sie. Für den Fragebogen ist der Versicherungsnehmer verantwortlich – auch wenn Ihr IT-Dienstleister beim technischen Teil hilft. Unterschreiben Sie nur, was Sie nachvollziehen können.
Die Obliegenheiten gelten fortlaufend, nicht nur am Tag des Abschlusses. Prüfen Sie den Stand deshalb regelmäßig, spätestens vor jeder Verlängerung.
Was eine Cyberversicherung leistet – und was nicht
Laut GDV umfasst eine Standard-Cyberversicherung typischerweise die folgenden Bausteine. Umfang, Summen und Selbstbehalte regelt Ihr Vertrag.
- Betriebsunterbrechung: ein vereinbarter Tagessatz für die Zeit des Stillstands, begrenzt durch die vereinbarte Haftzeit
- Datenwiederherstellung: Kosten, um Daten und Systeme wiederherzustellen und Schadsoftware zu entfernen
- Drittschäden: berechtigte Forderungen von Kunden oder Partnern, etwa nach einem Datendiebstahl, und die Abwehr unberechtigter Forderungen
- Krisenhilfe: IT-Forensiker für die Ursachensuche, Rechtsberatung bei Datenschutzverletzungen, nach Vereinbarung Krisenkommunikation und Callcenter
Nicht alles ist versichert. Die Musterbedingungen schließen unter anderem Lösegeldzahlungen aus, ebenso Bußgelder und Strafen, sofern nichts anderes vereinbart ist. Auch Schäden durch Krieg, durch den Ausfall öffentlicher Infrastruktur wie Strom- oder Telefonnetze oder durch den Ausfall eines externen Dienstleisters sind nach dem Muster nicht gedeckt. Verbesserungen an der IT, die über die Wiederherstellung hinausgehen, zahlen Sie selbst.
Eine Versicherung ersetzt also keine IT-Sicherheit. Gute Vorsorge verringert das Risiko, die Police hilft bei den Folgen – beides ergänzt sich.
Was Sie jetzt tun sollten
- Fragebogen früh anfordern: Holen Sie sich den Fragebogen Ihres Versicherers einige Wochen vor Abschluss oder Verlängerung und lesen Sie jede Frage genau.
- Bestand aufnehmen: Welche Rechner, Server, Laptops, Handys und Cloud-Dienste nutzen Sie? Welche bekommen keine Updates mehr?
- Lücken schließen: Prüfen Sie, ob Sie Anforderungen wie Updates, Virenschutz und getrennte Admin-Konten auf allen Geräten erfüllen. Richten Sie die Mehr-Faktor-Anmeldung für E-Mail und Fernzugriff ein.
- Datensicherung prüfen: mindestens wöchentlich, mit einer getrennten, geschützten Kopie – am besten außer Haus, zum Beispiel per Cloud-Datensicherung. Testen Sie die Wiederherstellung und halten Sie das Datum fest.
- Notfallplan schreiben: Wer entscheidet, wen rufen Sie an – Versicherer, IT-Dienstleister, Polizei – und welche Systeme kommen zuerst zurück? Mehr dazu unter Datensicherung & Notfall.
- Nachweise ablegen: Protokolle, Testberichte und Übersichten mit Datum sammeln und vor jeder Verlängerung aktualisieren.
Dabei unterstützen wir Sie. Wo Ihre Cyberversicherung Anforderungen an die Technik stellt, setzen wir folgende Bausteine um und dokumentieren sie: Updates und Patch-Management, Virenschutz und Firewall mit Bitdefender GravityZone, Mehr-Faktor-Anmeldung, Datensicherung mit Kopie außer Haus und Wiederherstellungstest sowie einen schlanken Notfallplan. Als Bestandsaufnahme eignet sich unser IT-Sicherheits-Check zum Festpreis – mit Abgleich Ihres Fragebogens.
Beim technischen Teil des Fragebogens helfen wir Ihnen; die Angaben verantworten Sie. Versicherungen vermitteln wir nicht, und zu Tarifen beraten wir nicht.
Fragebogen der Cyberversicherung auf dem Tisch?
Wir gehen den technischen Teil mit Ihnen durch, schließen Lücken und dokumentieren den Stand Ihrer IT. Vor jedem Auftrag erhalten Sie ein Angebot mit Preis.
Häufige Fragen
Stellt jede Cyberversicherung Anforderungen nach demselben Muster?
Nein. Das GDV-Muster ist unverbindlich; maßgeblich sind immer der Fragebogen und die Bedingungen Ihres Vertrags.
Reicht der Virenschutz, der in Windows eingebaut ist?
Das GDV-Muster verlangt nicht zwingend ein Programm eines Drittanbieters und nennt Windows Defender ausdrücklich als Beispiel – wenn der Schutz sich automatisch aktualisiert und auf allen Geräten läuft. Entscheidend ist, was Ihr Versicherer fragt. Eine zentrale Verwaltung, etwa mit Bitdefender GravityZone, zeigt den Stand aller Geräte auf einen Blick.
Hilft der IT-Sicherheits-Check beim Fragebogen?
Ja, als Bestandsaufnahme: Sie sehen, welche Anforderungen Ihre IT erfüllt und wo Sie nachbessern sollten. Der Check ist eine bezahlte Leistung zum Festpreis und kein Zertifikat; die Angaben verantworten weiterhin Sie.
Was ist nach einem Angriff zu tun?
Melden Sie den Schaden unverzüglich Ihrem Versicherer – so sehen es auch die Musterbedingungen vor. Ändern Sie am Schadenbild nur, was der Versicherer gestattet oder was unumgänglich ist, und dokumentieren Sie jede Änderung. Folgen Sie den Weisungen des Versicherers und binden Sie Ihren IT-Dienstleister in Abstimmung mit ihm ein.
Stand: 1. Oktober 2026. Dieser Beitrag gibt einen allgemeinen Überblick und ist keine Versicherungs- oder Rechtsberatung. Es gelten die Bedingungen Ihres jeweiligen Vertrags; bei Fragen dazu wenden Sie sich an Ihren Versicherer, Ihren Makler oder eine Rechtsanwaltskanzlei.