Eine Cyberversicherung zahlt, wenn ein Hackerangriff, eine Schadsoftware oder eine Datenpanne Deinen Betrieb lahmlegt oder Kundendaten in falsche Hände geraten. Sie übernimmt die Kosten für IT-Forensiker und Datenwiederherstellung, ersetzt den Ertragsausfall während des Stillstands und wehrt Schadenersatzforderungen Dritter ab.
Du erfährst hier, ob die Versicherung Pflicht ist, welche Schäden sie übernimmt, welche IT-Sicherheit die Versicherer verlangen und welche Summe zu Deinem Betrieb passt. Die Beiträge für typische Betriebe haben wir am 31. Oktober 2026 selbst im Online-Rechner eines Versicherers ermittelt.
Was ist eine Cyberversicherung?
Die Cyberversicherung ist eine Vermögensschadenversicherung für die Folgen von IT-Vorfällen in Deinem Unternehmen. Der Gesamtverband der Deutschen Versicherungswirtschaft (GDV) hat dafür Musterbedingungen veröffentlicht, die Allgemeinen Versicherungsbedingungen für die Cyberrisiko-Versicherung, kurz AVB Cyber (Stand Februar 2024).
Gegenstand der Versicherung sind Vermögensschäden im Umfang der nachfolgenden Bestimmungen, die durch eine Informationssicherheitsverletzung verursacht worden sind.
Ziffer A1-1 AVB Cyber des GDV
Eine Informationssicherheitsverletzung liegt vor, wenn die Verfügbarkeit, Integrität oder Vertraulichkeit Deiner Daten oder IT-Systeme beeinträchtigt ist (A1-2.1). Auslöser können ein Angriff von außen, ein unberechtigter Zugriff, ein Schadprogramm oder eine Datenschutzverletzung durch Deinen eigenen Betrieb sein (A1-2.4). Daten, die bei einem Cloud-Anbieter liegen, schließt das Muster ein.
Das Muster richtet sich laut GDV an Freiberufler sowie kleine und mittlere Unternehmen bis 50 Mio. € Umsatz. Es kombiniert drei Teile in einem Vertrag, die Eigenschäden in Deinem Betrieb, die Haftpflicht gegenüber Dritten und Serviceleistungen wie Forensik und Krisenhilfe. Die Versicherer dürfen von diesem unverbindlichen Muster abweichen, und viele tun das auch.
Ist eine Cyberversicherung für Unternehmen Pflicht?
Eine gesetzliche Pflicht zur Cyberversicherung gibt es in Deutschland nicht. Eine Pflichtversicherung setzt eine Rechtsvorschrift voraus, die den Abschluss verlangt (§ 113 Abs. 1 Versicherungsvertragsgesetz, VVG), und eine solche Vorschrift gibt es für Cyberrisiken nicht.
Pflichten zur IT-Sicherheit hast Du trotzdem. Die Datenschutz-Grundverordnung (DSGVO) verlangt technische und organisatorische Maßnahmen, die ein dem Risiko angemessenes Schutzniveau sichern, dazu gehört die Fähigkeit, Daten nach einem Zwischenfall rasch wiederherzustellen (Art. 32 Abs. 1 DSGVO). Geht etwas schief, musst Du die Datenpanne unverzüglich und möglichst binnen 72 Stunden der Aufsichtsbehörde melden (Art. 33 Abs. 1 DSGVO).
Bei einem hohen Risiko für die Betroffenen benachrichtigst Du auch Deine Kunden selbst (Art. 34 Abs. 1 DSGVO). Verstöße gegen diese Pflichten kann die Behörde mit bis zu 10 Mio. € oder 2 % des weltweiten Jahresumsatzes ahnden, je nachdem, welcher Betrag höher ist (Art. 83 Abs. 4 DSGVO).
Seit dem 6. Dezember 2025 gilt außerdem das neue BSI-Gesetz zur Umsetzung der europäischen NIS-2-Richtlinie. Es betrifft in der Regel Unternehmen bestimmter Sektoren ab 50 Beschäftigten oder mit jeweils mehr als 10 Mio. € Jahresumsatz und Bilanzsumme (§ 28 Abs. 2 Nr. 3 BSIG). Laut Bundesamt für Sicherheit in der Informationstechnik (BSI) hatten sich bis zum 30. September 2026 bereits 20.141 Einrichtungen registriert.
Für diese Unternehmen gelten strenge Meldefristen, eine erste Meldung spätestens 24 Stunden nach Kenntnis eines erheblichen Sicherheitsvorfalls (§ 32 Abs. 1 Nr. 1 BSIG). Die Geschäftsleitung muss die Sicherheitsmaßnahmen umsetzen, überwachen und haftet bei schuldhaften Pflichtverletzungen gegenüber dem eigenen Unternehmen (§ 38 BSIG). Eine Versicherungspflicht enthält aber auch das BSI-Gesetz nicht.
Wer braucht eine Cyberversicherung?
Jeder Betrieb, der ohne E-Mail, Kundendaten, Kassensystem oder Buchhaltungssoftware nicht arbeiten kann, braucht eine Cyberversicherung. Das betrifft heute fast jede Arztpraxis, Kanzlei, Agentur, jeden Handwerksbetrieb und jeden Händler.
Kleine Unternehmen stehen besonders im Visier. Nach dem Bundeslagebild Cybercrime des Bundeskriminalamts (BKA) gab es 2025 in Deutschland 1.041 angezeigte Ransomware-Angriffe, rund 10 % mehr als im Vorjahr, und etwa 90 % davon richteten sich gegen kleine und mittlere Unternehmen. Das BSI zählte in seinem Lagebericht 2025 im Schnitt 119 neue Software-Schwachstellen pro Tag.
Versichert sind bisher nur wenige Betriebe. Der GDV schätzt, dass rund 5 % der Unternehmen in Deutschland eine Cyberversicherung haben (Stand September 2026). In einer forsa-Umfrage für den GDV hatten 48 % der befragten kleinen und mittleren Unternehmen keinen Notfallplan, 64 % schulten ihre Mitarbeitenden nicht (Stand September 2025). Wie sich die Lage im Mittelstand entwickelt, beschreiben wir im Beitrag über Cyberrisiken im Mittelstand.
Die Versicherer veröffentlichen auf ihren Produktseiten Schadenfälle aus ihrer Regulierung (Stand 31. Oktober 2026):
- Zahnarztpraxis, Erpressungssoftware, 20.000 € (Allianz)
- Steuerkanzlei, Schadsoftware legt Betrieb still, 15.000 € (Allianz)
- Maschinenbauer, Trojaner per falscher Kundenmail, 83.000 € (R+V)
- Händler, drei Tage Ausfall nach DDoS-Angriff, 300.000 € (Markel)
- Ransomware-Angriff mit Stillstand, 520.000 € (Hiscox)
Beim Maschinenbauer der R+V entfielen 45.000 € allein auf drei Tage Stillstand, bei Hiscox rund 470.000 € auf die Betriebsunterbrechung. Den Durchschnittsschaden in der Cyberversicherung beziffert der GDV für 2025 auf 43.186 €. Für Praxen haben wir die Frage im Beitrag Braucht eine Arztpraxis eine Cyberversicherung? ausführlich beantwortet.
Weniger dringend ist der Schutz für Selbstständige, die kaum Kundendaten speichern und notfalls einige Tage offline weiterarbeiten können. Auch dann bleibt das Risiko eines gekaperten E-Mail-Kontos oder einer verschlüsselten Festplatte, das wir in der Beratung gemeinsam mit Dir einschätzen.
Welche Schäden zahlt die Cyberversicherung?
Die Cyberversicherung zahlt Eigenschäden in Deinem Betrieb, Schadenersatzforderungen Dritter und die Kosten der Krisenbewältigung. Nach dem GDV-Muster sind das die Bausteine A2 bis A4 der AVB Cyber.
Zu den Eigenschäden gehört die Betriebsunterbrechung. Stehen Deine Systeme nach einem Angriff still, ersetzt der Versicherer den entgangenen Betriebsgewinn und die laufenden Kosten als vereinbarten Tagessatz, bis zum Ende der Haftzeit (A4-1). Dazu kommen die Kosten, um Daten wiederherzustellen und die Schadsoftware zu entfernen (A4-2).
Die Haftpflicht deckt Ansprüche von Kunden, Patienten oder Geschäftspartnern, deren Daten durch den Vorfall betroffen sind (A3-1). Der Versicherer prüft die Forderung, wehrt unberechtigte Ansprüche ab und zahlt berechtigte (A3-5.1). Datenschutzverletzungen schließt das Muster mit einer eigenen Höchstgrenze ein (A3-4.1).
Jede Person, der wegen eines Verstoßes gegen diese Verordnung ein materieller oder immaterieller Schaden entstanden ist, hat Anspruch auf Schadenersatz gegen den Verantwortlichen oder gegen den Auftragsverarbeiter.
Art. 82 Abs. 1 DSGVO
Der Europäische Gerichtshof hat 2023 entschieden, dass ein bloßer Verstoß für Schadenersatz nicht reicht, ein immaterieller Schaden aber auch ohne bestimmte Erheblichkeit zählt (Urteil C-300/21). Nach einem Datenleck mit vielen Betroffenen summieren sich solche Forderungen schnell.
Diese Leistungen deckt die Cyberversicherung ab
- IT-Forensik zur Ursachensuche
- Datenwiederherstellung und Entfernung der Schadsoftware
- Ertragsausfall während der Betriebsunterbrechung
- Benachrichtigung von Kunden und Behörden
- Abwehr und Zahlung von Schadenersatzansprüchen
- Mitarbeitende und Organmitglieder mitversichert
Krisenkommunikation und PR-Berater zahlt das GDV-Muster nur, wenn Du sie besonders vereinbart hast (A2-2.2), ebenso ein Call-Center für die Kundeninformation (A2-2.1 b). Viele Tarife enthalten diese Leistungen, und HDI und R+V rechnen die ersten 90 Minuten der Notfallhilfe nicht auf die Selbstbeteiligung an. Welche Kosten im Detail anfallen, erklären wir im Beitrag welche Schäden die Cyberversicherung übernimmt.
Wann zahlt die Cyberversicherung nicht?
Die Cyberversicherung zahlt nicht bei Vorsatz, nicht bei Krieg und nicht für Personen- oder Sachschäden. Das GDV-Muster versichert ausschließlich Vermögensschäden, die nicht aus einem Personen- oder Sachschaden folgen (A1-1, A1-3).
Ein wichtiger Punkt betrifft Ausfälle, die Du nicht beeinflussen kannst. Fällt das Internet, der Strom oder das Telefonnetz großflächig aus, zahlt die Cyberversicherung nach dem Muster nicht (A1-17.5). Auch den Ausfall eines externen Dienstleisters, etwa Deines Cloud-Anbieters, nimmt das Muster aus (A1-2.2), einige Versicherer schließen ihn aber gegen Aufpreis oder serienmäßig ein.
Die AVB Cyber schließen außerdem diese Fälle aus:
- Krieg und staatliche Angriffe, die kritische Infrastruktur treffen (A1-17.2)
- politische Gefahren und Terrorakte (A1-17.3, A1-17.4)
- Zahlung von Löse- oder Erpressungsgeldern (A1-17.6)
- Abfluss von Vermögenswerten, etwa durch Betrug (A1-17.8)
- vorsätzliche Schäden und wissentliche Pflichtverletzungen (A1-17.9)
- Strafen und Bußgelder, soweit nicht abweichend geregelt (A1-17.10)
- Erfüllung von Verträgen und Nachbesserung (A3-2)
Beim staatlichen Angriff muss der Versicherer beweisen, dass ein Staat dahintersteckt (A1-17.2). Grobe Fahrlässigkeit beim Herbeiführen des Schadens führt nach dem Muster zu keiner Kürzung, weil es § 81 Abs. 2 VVG ausdrücklich nicht anwendet (A1-17.9).
Beim Lösegeld weichen manche Tarife vom Muster ab und erstatten gezahltes Lösegeld. Die Bundesanstalt für Finanzdienstleistungsaufsicht (BaFin) hält eine Lösegeldversicherung nur unter strengen Auflagen für zulässig und erlaubt ausdrücklich die Bündelung mit einer Cyberpolice (Rundschreiben 01/2026 (VA), gültig seit 1. April 2026, inhaltlich unverändert gegenüber den früheren Vorgaben). Das BSI rät davon ab, auf Erpresser einzugehen, und laut BKA gaben 2025 nur 7 % der Ransomware-Opfer an, Lösegeld gezahlt zu haben. Was ein solcher Angriff ohne Zahlung kostet, zeigt unser Beitrag zu den Kosten eines Ransomware-Angriffs.
Täuschungsschäden wie der Fake-President-Betrug, bei dem ein Mitarbeiter auf eine gefälschte Chefanweisung Geld überweist, fallen im Muster unter den Ausschluss für Vermögensabflüsse. Hiscox deckt solche Fälle nur über einen eigenen Baustein für Cyber-Betrug und nur, wenn ein Angriff auf das Netzwerk die Täuschung erst möglich gemacht hat. Sonst hilft eine Vertrauensschadenversicherung.
Welche Sicherheitsmaßnahmen verlangt die Cyberversicherung?
Die Cyberversicherung verlangt eine IT-Grundsicherung mit eigenen Zugängen, aktuellen Updates, Virenschutz und regelmäßigen Backups. Im GDV-Muster stehen diese Pflichten als Obliegenheiten vor dem Versicherungsfall (A1-16.1).
Verletzt Du eine dieser Obliegenheiten vorsätzlich, kann der Versicherer die Leistung verweigern, bei grober Fahrlässigkeit kürzen (§ 28 VVG, B3-4 AVB Cyber). Hat der Verstoß den Schaden nicht verursacht, bleibt die Leistung außer bei Arglist erhalten.
Schon vor dem Abschluss fragt der Versicherer Deine IT-Sicherheit ab. Was Du im Fragebogen angibst, muss stimmen, denn bei falschen Angaben kann er vom Vertrag zurücktreten oder ihn kündigen (§ 19 VVG). Der Musterfragebogen des GDV teilt Betriebe nach Umsatz in Kategorien bis 2, 5 und 10 Mio. € ein und fragt mit steigender Größe mehr ab.
Diese Mindeststandards verlangt das GDV-Muster
- eigene Zugänge und Rechte für jeden Nutzer
- technisch erzwungene Passwortregeln
- Zusatzschutz für Server und Mobilgeräte
- automatisch aktualisierter Virenschutz
- Sicherheitsupdates zeitnah einspielen
- mindestens wöchentliche, geschützte Datensicherung
- Wiederherstellung regelmäßig testen
Die Versicherer formulieren diese Punkte unterschiedlich streng. Hiscox verlangt in den Bedingungen CyberClear (Stand Januar 2026) etwa eine wöchentliche Vollsicherung, die mindestens 30 Tage aufbewahrt wird, und Sicherheitsupdates innerhalb von 30 Tagen. Die Allianz nennt auf ihrer Produktseite IT-Mindeststandards, die schon vor dem Antrag erfüllt sein müssen.
Wo Dein Betrieb heute steht, klärst Du am besten vor dem Antrag. Unser kostenloser Cyber-Check für Unternehmen zeigt Dir die Lücken und die Schritte, mit denen Du sie schließt.
Wie hoch sollte die Versicherungssumme der Cyberversicherung sein?
In den Beispielen der Versicherer reichen die Summen für kleine Betriebe von 150.000 € bei SIGNAL IDUNA bis 5 Mio. € bei Markel und Baloise, die Allianz versichert Unternehmen bis 10 Mio. € Umsatz standardmäßig bis 500.000 € (Stand 31. Oktober 2026). Maßstab für Deine Wahl ist, was ein Stillstand von mehreren Tagen plus Forensik, Wiederherstellung und Haftpflichtansprüche bei Dir kosten würde.
Der Betriebsausfall macht oft den größten Teil des Schadens aus. Die VHV empfiehlt in ihrem Tarifrechner, für die Betriebsunterbrechung erfahrungsgemäß ein Zwölftel des Jahresumsatzes anzusetzen. Für Benachrichtigung und Haftpflicht nennt sie bis zu 50 € je Kundendatensatz und für die Forensik rund 10.000 € je Standort (Stand 31. Oktober 2026).
Achte auch auf die Grenzen innerhalb der Summe. Das Muster sieht für Datenschutz-Haftpflicht, Vertragsstrafen von Zahlungsdienstleistern und Maßnahmen gegen einen unmittelbar drohenden Angriff eigene Höchstbeträge vor (A3-4, A2-3.1). Die Versicherungssumme gilt zugleich als Höchstleistung für alle Schäden eines Versicherungsjahres (A3-6.2, A4-1.3.2).
Diese Höchstsummen und Zielgruppen nennen die Versicherer auf ihren Produktseiten (Stand 31. Oktober 2026):
| Versicherer | Höchste genannte Versicherungssumme | Zielgruppe nach Umsatz | Besonderheit laut Produktseite |
|---|---|---|---|
| Hiscox CyberClear | online bis 2 Mio. € | bis 10 Mio. € | Tarif Plus ohne Selbstbeteiligung bis 2,5 Mio. € Umsatz |
| Allianz CyberSchutz | 500.000 €, höher nach Risikoprüfung | bis 10 Mio. € | Betriebsunterbrechung durch Fehlbedienung als Zusatz |
| AXA FirmenFlex Cyber | 1 Mio. € | bis 5 Mio. € | Selbstbeteiligung ab 500 €, Laufzeit ein Jahr |
| R+V Cyber | 1 Mio. € | keine Angabe | Betriebsunterbrechung ab sechs Stunden |
| Markel Pro Cyber | 5 Mio. € | online bis 25 Mio. € | Hotline ohne Anrechnung auf Summe und Selbstbehalt |
| Baloise Cyber-Police | 5 Mio. € über alle Bausteine | bis 150 Mio. € | Ausfall von Cloud und Dienstleistern mitversichert |
Bei der Allianz liegt die Grenze von 500.000 € für Unternehmen bis 10 Mio. € Umsatz, darüber prüft sie individuell. Hiscox bietet im Online-Rechner keine Summe unter 500.000 € an. Wie Du die passende Summe für Deinen Betrieb herleitest, steht in unserem Beitrag zur Versicherungssumme der Cyberversicherung.
Was kostet eine Cyberversicherung?
Eine Cyberversicherung kostete kleine Betriebe in unseren Rechnungen ohne Betriebsunterbrechung rund 27 bis 95 € netto im Monat, je nach Branche, Umsatz, Summe und Selbstbeteiligung. Den Preis bestimmen viele Faktoren, vor allem Branche, Umsatz, Versicherungssumme, Selbstbeteiligung, Zusatzbausteine wie die Betriebsunterbrechung, Deine IT-Sicherheit und frühere Cybervorfälle.
Die meisten Versicherer nennen deshalb keine festen Preise. Allianz, AXA und HDI veröffentlichen auf ihren Produktseiten keine Beispiele, die R+V schreibt, für kleine und mittlere Unternehmen „beginnen die Beiträge für diese Versicherungen häufig im niedrigen vierstelligen Bereich pro Jahr.“
Andere Versicherer rechnen Beispiele vor. Vergleichbar sind sie nur eingeschränkt, weil Summen, Selbstbeteiligung und Steuerausweis jeweils anders gewählt sind.
Diese Beispielbeiträge nennen die Versicherer selbst (Stand 31. Oktober 2026):
| Beispiel des Versicherers | Eckdaten laut Versicherer | Beitrag |
|---|---|---|
| Hiscox, Reisebranche | 150.000 € Umsatz, 500.000 € Summe, 5.000 € Selbstbeteiligung, jährliche Zahlung | ab 26,20 € im Monat zzgl. Versicherungsteuer |
| SIGNAL IDUNA, Taxiunternehmen | 200.000 € Umsatz, 150.000 € Summe, 500 € Selbstbeteiligung | 258,09 € im Jahr brutto |
| SIGNAL IDUNA, Steuerberatung | 250.000 € Umsatz, 150.000 € Summe, 500 € Selbstbeteiligung | 344,11 € im Jahr brutto |
| SIGNAL IDUNA, Elektroinstallation | 800.000 € Umsatz, 150.000 € Summe, 500 € Selbstbeteiligung | 443,01 € im Jahr brutto |
| SIGNAL IDUNA, Textilwarenhandel | 1,2 Mio. € Umsatz, 150.000 € Summe, 500 € Selbstbeteiligung | 709,72 € im Jahr brutto |
| SIGNAL IDUNA, Hausverwaltung | 1,5 Mio. € Umsatz, 150.000 € Summe, 500 € Selbstbeteiligung | 1.672,65 € im Jahr brutto |
Die Hausverwaltung kostet bei SIGNAL IDUNA trotz ähnlichem Umsatz mehr als doppelt so viel wie der Textilhändler, denn neben Umsatz und Summe zählt dort die Betriebsart zu den Preisfaktoren.
Für eine bessere Einordnung haben wir selbst gerechnet. Einen nutzbaren Online-Rechner für Endkunden fanden wir am Stichtag nur bei Hiscox. Bei den übrigen geprüften Versicherern gab es keinen Rechner, nur ein Kontaktformular, einen Zugang für Makler, einen technischen Fehler oder eine Seite, die sich nicht abrufen ließ.
Diese Monatsbeiträge haben wir am 31. Oktober 2026 für typische Profile im Online-Rechner von Hiscox CyberClear ermittelt:
| Betrieb in unserem Vergleich | Tarif und Selbstbeteiligung | 500.000 € Summe | 1 Mio. € Summe | 2 Mio. € Summe |
|---|---|---|---|---|
| IT-Dienstleister, 150.000 € Umsatz | Basis, 5.000 € | 27,25 € | 36,83 € | 48,98 € |
| IT-Dienstleister, 150.000 € Umsatz | Plus, 0 € | 37,26 € | 48,53 € | 62,83 € |
| Steuerkanzlei, 500.000 € Umsatz | Basis, 5.000 € | 33,51 € | 46,41 € | nicht ermittelt |
| Steuerkanzlei, 500.000 € Umsatz | Plus, 0 € | 44,63 € | 59,80 € | 78,86 € |
| Arztpraxis, 500.000 € Umsatz | Basis, 5.000 € | 37,93 € | 50,09 € | 65,56 € |
| Arztpraxis, 500.000 € Umsatz | Plus, 0 € | 49,83 € | 64,13 € | 82,33 € |
| Handwerksbetrieb, 1 Mio. € Umsatz | Plus, 0 € | 52,00 € | 71,06 € | 94,46 € |
Alle Werte gelten bei monatlicher Zahlung ohne Betriebsunterbrechung und zuzüglich 19 % Versicherungsteuer. Aus 27,25 € netto macht der Rechner 32,43 € brutto. Die kleinste wählbare Umsatzstufe liegt bei 150.000 €, Online-Shops nimmt Hiscox im Online-Abschluss nicht an.
Die Betriebsunterbrechung kostet bei Hiscox extra. Im Tarif Plus kamen beim IT-Dienstleister 10,40 € im Monat für einen Tagessatz von 150 € dazu, bei Arztpraxis und Steuerkanzlei 15,60 € für 500 € am Tag und beim Handwerksbetrieb 20,37 € für 800 € am Tag. Der Versicherer zahlt dann ab der 25. Stunde des Ausfalls für höchstens 30 Tage.
Mehr Deckung kostet überschaubar mehr. Bei der Arztpraxis stieg der Basis-Beitrag von 500.000 € auf 1 Mio. € um 32,1 % und von 1 auf 2 Mio. € um weitere 30,9 %.
Selbstbeteiligung senkt den Beitrag spürbar
Eine höhere Selbstbeteiligung macht die Cyberversicherung günstiger. Bei der Arztpraxis und beim IT-Dienstleister sank der Beitrag mit 5.000 € statt 1.000 € Selbstbeteiligung bei 750.000 € Summe jeweils um 15,0 %.
Der Tarif Plus ohne Selbstbeteiligung lag bei 750.000 € Summe beim IT-Dienstleister 13,6 % und bei der Arztpraxis 9,9 % über dem Basis-Tarif mit 1.000 €. Dafür steht Dir die Summe im Plus-Tarif bis zu dreimal im Jahr zur Verfügung. Wann sich welcher Selbstbehalt lohnt, liest Du im Beitrag zur Selbstbeteiligung bei einer Cyberversicherung.
Worin unterscheidet sich die Cyberversicherung von der Betriebshaftpflicht?
Die Betriebshaftpflicht zahlt nur Schäden Dritter, die Cyberversicherung auch die Schäden in Deinem eigenen Betrieb. Den Ertragsausfall nach einem Angriff, die Datenwiederherstellung und die Forensik übernimmt die Betriebshaftpflicht deshalb nicht.
Nach den GDV-Musterbedingungen für die Betriebshaftpflicht (Stand Oktober 2026) sind Datenschutzverletzungen und Schäden aus dem elektronischen Datenaustausch mit Dritten zwar eingeschlossen (A1-6.13). IT-Dienstleistungen wie Programmierung, Hosting oder Netzwerkbetrieb bleiben dort aber ausgenommen.
Auch die klassischen Sachversicherungen helfen bei einem Hackerangriff kaum. Die Elektronikversicherung ersetzt beschädigte Hardware, und Daten gelten dort nicht als Sachen. Die herkömmliche Betriebsunterbrechungsversicherung zahlt nur nach einem Sachschaden (§ 1 FBUB), etwa einem Brand.
So teilen sich die Policen die Risiken eines IT-Vorfalls auf:
- Cyberversicherung für Eigenschäden, Haftpflicht und Krisenhilfe
- Betriebshaftpflicht für Personen- und Sachschäden Dritter
- Elektronikversicherung für Schäden an der Hardware
- Vertrauensschadenversicherung für Betrug und Untreue
- D&O-Versicherung für die Haftung der Geschäftsführung
Die D&O-Versicherung springt ein, wenn Dein Unternehmen Dich als Geschäftsführer nach einem Cybervorfall wegen mangelnder Vorsorge in Anspruch nimmt (§ 43 GmbHG). Die Cyberversicherung deckt solche Ansprüche des eigenen Unternehmens gegen Organmitglieder nach dem Muster nicht (A3-7.2). Welche Police nach einem Angriff im Einzelnen zahlt, haben wir im Beitrag Welche Versicherung zahlt bei einem Cyberangriff? zusammengestellt.
Was tust Du im Schadenfall mit der Cyberversicherung?
Im Schadenfall rufst Du sofort die Notfall-Hotline Deines Versicherers an und meldest den Vorfall unverzüglich. Die Anzeigepflicht steht im Gesetz (§ 30 Abs. 1 VVG) und in den Musterbedingungen (B3-3.2), Hiscox verlangt die Meldung ausdrücklich schon beim vermuteten Versicherungsfall.
Danach stimmst Du jeden Schritt mit dem Versicherer ab. Forensik und andere Kosten zahlt er nach dem Muster nur nach vorheriger Abstimmung (A2-1). Hiscox, HDI und andere Versicherer vermitteln über ihre Hotline IT-Experten, die Systeme prüfen und Spuren sichern.
Diese Schritte helfen Dir nach einem Angriff
- betroffene Geräte vom Netz trennen
- Notfall-Hotline des Versicherers anrufen
- Systeme nicht eigenmächtig neu aufsetzen
- Lösegeldforderung nicht beantworten
- Datenpanne möglichst binnen 72 Stunden melden
- Strafanzeige bei der Polizei erstatten
Spuren auf den Systemen brauchst Du für die Aufklärung und für die Leistung. Das Muster regelt die Beweissicherung ausdrücklich.
Der Versicherungsnehmer hat das Schadenbild so lange unverändert zu lassen, bis der Versicherer eine Veränderung gestattet. Sind Veränderungen unumgänglich, ist das Schadenbild nachvollziehbar zu dokumentieren.
Ziffer B3-3.4 AVB Cyber des GDV
Die Meldung an die Datenschutzbehörde bleibt Deine eigene Pflicht, die Kosten dafür übernimmt die Versicherung (A2-2.1). Wann und wie Du einen Angriff melden musst, erklären wir im Beitrag Müssen Unternehmen Cyberangriffe melden?. Das BSI empfiehlt, bei jedem Cyberangriff Strafanzeige zu erstatten, Ansprechpartner sind die Zentralen Ansprechstellen Cybercrime der Landeskriminalämter.
Verletzt Du Deine Pflichten im Schadenfall vorsätzlich, kann der Versicherer die Leistung verweigern, bei grober Fahrlässigkeit kürzen (§ 28 VVG). Erkennst Du gegenüber einem Geschädigten eine Forderung an, bindet das den Versicherer nur, soweit der Anspruch ohnehin bestanden hätte (A3-5.1).
Kannst Du die Cyberversicherung von der Steuer absetzen?
Ja, die Beiträge zur Cyberversicherung sind Betriebsausgaben, weil sie ein betriebliches Risiko absichern (§ 4 Abs. 4 Einkommensteuergesetz). Sie mindern damit Deinen Gewinn.
Auf den Beitrag fällt Versicherungsteuer von 19 % an (§ 6 Abs. 1 Versicherungsteuergesetz), auch auf den Baustein für die Betriebsunterbrechung. Umsatzsteuer enthält der Beitrag nicht (§ 4 Nr. 10 a Umsatzsteuergesetz), deshalb ziehst Du daraus keine Vorsteuer.
Bei 400 € Nettobeitrag kommen 76 € Versicherungsteuer dazu, auf Deiner Rechnung stehen 476 €. Ein Bußgeld der Datenschutzbehörde, das Du selbst zahlst, darfst Du dagegen nicht als Betriebsausgabe abziehen (§ 4 Abs. 5 Satz 1 Nr. 8 EStG).
Welche Fragen stellen Unternehmer zur Cyberversicherung am häufigsten?
Diese Fragen tauchen in der Google-Suche zur Cyberversicherung am häufigsten auf. Die Antworten fassen die wichtigsten Punkte aus den Abschnitten oben kurz zusammen.
Was deckt eine Cyberversicherung ab?
Sie deckt Eigenschäden wie Betriebsunterbrechung, Datenwiederherstellung und IT-Forensik, dazu Schadenersatzansprüche Dritter nach einer Datenpanne. Der Versicherer wehrt unberechtigte Forderungen ab und zahlt berechtigte. Sach- und Personenschäden sind nach dem GDV-Muster nicht versichert.
Was kostet eine Cyberversicherung für Unternehmen?
In unseren Rechnungen bei Hiscox lagen kleine Betriebe bei 500.000 € Summe zwischen 27,25 € und 52,00 € netto im Monat. SIGNAL IDUNA nennt für einen Taxibetrieb 258,09 € im Jahr, für eine Hausverwaltung 1.672,65 €. Den Preis bestimmen Branche, Umsatz, Summe, Selbstbeteiligung, Bausteine und Deine IT-Sicherheit.
Ist eine Cyberversicherung Pflicht?
Nein, eine gesetzliche Pflicht gibt es nicht, weder in der DSGVO noch im neuen BSI-Gesetz. Pflicht sind aber angemessene Sicherheitsmaßnahmen und die Meldung von Datenpannen binnen möglichst 72 Stunden (Art. 33 DSGVO).
Ist eine Cyberversicherung sinnvoll?
Für jeden Betrieb, der ohne IT nicht arbeiten kann oder Kundendaten speichert, ist sie sinnvoll. Laut BKA trafen 2025 etwa 90 % der angezeigten Ransomware-Angriffe kleine und mittlere Unternehmen. Den Durchschnittsschaden beziffert der GDV für 2025 auf 43.186 €.
Welche Cyberversicherung ist die beste?
Die passende Cyberversicherung deckt Betriebsunterbrechung, Datenwiederherstellung und Haftpflicht mit ausreichender Summe ab und stellt erfüllbare Sicherheitsanforderungen. Achte außerdem auf den Schutz bei Cloud-Ausfall, auf Bedienfehler, Cyber-Betrug und eine Hotline ohne Anrechnung auf die Selbstbeteiligung. Diese Punkte vergleichen wir in der Beratung für Dich.
Zahlt die Cyberversicherung Lösegeld?
Das GDV-Muster schließt Lösegeld aus, einzelne Versicherer erstatten es unter den Auflagen der BaFin. Nach dem Muster zahlt der Versicherer stattdessen Forensik, Datenwiederherstellung und, falls vereinbart, den Ertragsausfall. Das BSI rät davon ab, auf Erpresser einzugehen.
Reicht die Betriebshaftpflicht bei einem Hackerangriff?
Nein, die Betriebshaftpflicht zahlt nur Schäden Dritter. Deinen eigenen Ertragsausfall, die Datenwiederherstellung und die Forensik übernimmt nur die Cyberversicherung.
Welche Versicherungen braucht ein IT-Unternehmen?
Neben der Cyberversicherung brauchen IT-Dienstleister eine Haftpflichtdeckung für ihre IT-Leistungen. Die Datenschutz- und Datenaustausch-Deckung der Betriebshaftpflicht nimmt IT-Dienstleistungen wie Programmierung und Hosting nach dem GDV-Muster aus. Für Geschäftsführer kommt eine D&O-Versicherung dazu.
Ist die Cyberversicherung steuerlich absetzbar?
Ja, die Beiträge sind Betriebsausgaben (§ 4 Abs. 4 EStG). Sie enthalten 19 % Versicherungsteuer und keine Umsatzsteuer, ein Vorsteuerabzug ist deshalb nicht möglich.
Wie hoch ist der Schaden durch Cyberkriminalität in Deutschland?
Das BKA übernimmt im Bundeslagebild 2025 eine Schätzung des Branchenverbands Bitkom von 202,4 Mrd. € Schaden durch Cyberattacken im Jahr. Die Cyberversicherer zahlten 2025 laut GDV 197 Mio. € für gemeldete Schäden.
Wie hilft Dir COVAGO bei der Wahl Deiner Cyberversicherung?
In der Beratung klären wir, welche IT-Risiken Dein Betrieb hat, welche Bausteine und welche Versicherungssumme dazu passen und ob Deine Sicherheitsmaßnahmen die Anforderungen der Versicherer erfüllen. Deine Ansprechpartner sind Thorsten Schiffgens, unser Geschäftsführer, und Melanie Schaser.
Wir vergleichen die Bedingungen mehrerer Versicherer, prüfen Deinen bestehenden Vertrag auf Lücken wie fehlende Betriebsunterbrechung oder Ausschlüsse beim Cloud-Ausfall und holen passende Angebote für Dich ein. Einen Termin vereinbarst Du direkt über Termin buchen. Wie wir Unternehmen und Geschäftsführer darüber hinaus absichern, zeigt unsere Seite zu D&O und Cyberschutz.

