Nach einem Cyberangriff ist die erste Frage oft: Wer zahlt das? Die Antwort ist weniger eindeutig, als viele hoffen – und deutlich komplexer, als viele befürchten. Mehrere Versicherungsarten können greifen, aber jede davon deckt nur einen bestimmten Ausschnitt des Schadens. Wer die Unterschiede nicht kennt, stellt nach dem Angriff fest, dass er zwar versichert war, aber nicht für das, was ihn am härtesten trifft.
Das Wichtigste in Kürze
- Eine eigenständige Cyberversicherung ist die einzige Police, die alle wesentlichen Schäden durch einen Cyberangriff vollständig abdeckt: Forensik, Systemwiederherstellung, Betriebsunterbrechung, Haftpflicht und Krisenkommunikation.
- Klassische Policen wie Betriebshaftpflicht, Hausrat oder Rechtsschutz decken nur Teilaspekte und sind kein Ersatz für eine Cyberversicherung.
- Die Cyberversicherung zahlt Versicherern 2023 rund 180 Millionen Euro an Schadenzahlungen aus. Im Schnitt kostet ein Cyberangriff ein KMU rund 99.000 Euro.
- Lösegeldzahlungen bei Ransomware, CEO-Fraud und Cloud-Ausfälle sind in den meisten Standardpolicen nicht automatisch enthalten – sie müssen als Zusatzbausteine aktiv vereinbart werden.
Was deckt eine Cyberversicherung ab?
Eine vollwertige Cyberversicherung arbeitet mit drei Säulen: Eigenschadendeckung, Drittschadendeckung und Serviceleistungen. Zusammen bilden sie den einzigen Versicherungsschutz, der den Gesamtschaden eines Cyberangriffs wirklich auffängt.
Was zahlt die Cyberversicherung bei eigenen Schäden?
Der Großteil des Schadens nach einem Angriff entsteht im eigenen Unternehmen, nicht gegenüber Dritten. Genau das deckt die Eigenschadendeckung:
IT-Forensik und Krisenmanagement: Sofort nach einem Angriff braucht man externe Spezialisten, die den Angriffsvektor identifizieren, Beweise sichern und die Lage einschätzen. Die Cyberversicherung übernimmt diese Kosten und stellt in der Regel eine 24/7-Notfallhotline mit sofortigem Zugang zu Incident-Response-Teams. Die meisten Versicherer koordinieren dabei IT, Recht und PR aus einer Hand. Auch ein Verhandlungsführer wird bezahlt.
Datenwiederherstellung: Kosten für die Wiederherstellung verschlüsselter, beschädigter oder zerstörter Daten und Systeme werden übernommen, einschließlich externer Spezialisten und Wiederherstellungssoftware.
Betriebsunterbrechung: Das ist für die meisten Unternehmen der größte Schadensposten. Die Cyberversicherung erstattet den entgangenen Betriebsgewinn und die fortlaufenden Fixkosten während der Betriebsstilllegung, typischerweise ab einer Wartezeit von 12 Stunden und bis zu 180 Tagen je nach Tarif. Bei mehr als der Hälfte der betroffenen Unternehmen war der Betrieb nach einem Angriff mindestens zwei Tage eingeschränkt.
Benachrichtigungskosten und Krisenkommunikation: Nach der DSGVO müssen Datenpannen der Aufsichtsbehörde innerhalb von 72 Stunden gemeldet werden, bei hohem Risiko auch den betroffenen Personen direkt. Diese Benachrichtigungskosten übernimmt die Cyberversicherung ebenso wie die Kosten für externe PR-Berater.
Was zahlt die Cyberversicherung gegenüber Dritten?
Wenn durch einen Cyberangriff auch andere Unternehmen oder Personen geschädigt werden, schützt die Cyber-Haftpflichtdeckung:
Datenschutzrechtliche Haftpflicht deckt Ansprüche von Kunden, Geschäftspartnern und betroffenen Personen nach DSGVO-Datenpannen, sowohl die Abwehr unberechtigter Forderungen als auch die Befriedigung berechtigter Ansprüche. Netzwerksicherheits-Haftpflicht greift, wenn das eigene Unternehmen als Überträger von Schadsoftware auf Dritte haftet. Behördliche Verfahrenskosten – etwa bei Ermittlungen nach einer Datenpanne – sind ebenfalls versichert (Vorsicht: Keine Bußgelder).
Welche Bausteine muss man separat vereinbaren?
Folgende Risiken sind in den meisten Standardpolicen nicht automatisch enthalten:
- Ransomware-Lösegeld: Lösegeldzahlungen sind in den GDV-Musterbedingungen ausgeschlossen und nur als separater Baustein buchbar. BSI und BKA raten von Zahlungen ausdrücklich ab, aber für Unternehmen in besonders betroffenen Branchen wie Gesundheit oder Logistik kann dieser Baustein relevant sein.
- CEO-Fraud und Business Email Compromise: Wenn Mitarbeiter durch gefälschte Zahlungsanweisungen manipuliert werden, zahlt die Standardpolice in der Regel nicht oder nur stark begrenzt. Als optionaler Baustein buchbar, häufig an das Vier-Augen-Prinzip bei Zahlungsfreigaben geknüpft.
- Cloud-Ausfall: Bei Ausfall von AWS, Azure oder Microsoft 365 greift die Standarddeckung nicht automatisch. Hiscox bietet diesen Baustein beispielsweise bis 50.000 Euro pauschal oder nach Tagessatz an.
Welche anderen Versicherungen zahlen bei einem Cyberangriff?
Neben der eigenständigen Cyberversicherung gibt es mehrere klassische Policen, die Teilaspekte abdecken. Sie sind aber kein Ersatz für eine Cyberversicherung.
Betriebshaftpflicht: Zahlt grundsätzlich, wenn das Unternehmen Dritten gegenüber für Schäden haftet. Bei Cyberangriffen greift sie jedoch nur sehr begrenzt: Cyberspezifische Schäden wie Datenverlust oder Datenschutzverletzungen sind häufig nicht oder nur mit minimaler Sublimitierung enthalten.
Rechtsschutzversicherung: Deckt Rechtsstreitigkeiten aus der Internetnutzung, etwa Abmahnungen. Bei einem Cyberangriff kann der Rechtsschutz für Verfahren gegen Angreifer oder für Abwehr von Ansprüchen genutzt werden, übernimmt aber weder IT-Forensik noch Betriebsunterbrechungsschäden.
Hausratversicherung: Einige Anbieter haben Cyberschutzbausteine integriert, etwa die VHV mit bis zu 10.000 Euro Deckung für Privatpersonen. Das ist ein Baustein für sehr kleine Schäden, kein Unternehmensschutz.
Vertrauensschadenversicherung: Deckt Betrug und Untreue durch eigene Mitarbeiter, schließt aber externe Cyberangriffe häufig aus. Die Abgrenzung zum CEO-Fraud-Baustein der Cyberversicherung ist in der Beratung wichtig.
D&O-Versicherung: Für Geschäftsführer relevant, seit NIS2 (Dezember 2025) eine persönliche Managerhaftung für die Umsetzung von Cybersicherheitspflichten eingeführt hat. Die D&O deckt diese Risiken nur begrenzt ab. Eine Cyberversicherung mit Drittschadendeckung ist ergänzend empfohlen.
Welche Versicherer bieten Cyberversicherungen in Deutschland an?
Der deutsche Markt hat einige klar führende Anbieter:
Markel folgt auf Platz zwei mit rund 44 Prozent Vermittleranteil und starkem Specialty-Segment, besonders bei komplexen Risiken.
HDI hat zuletzt stark aufgeholt, besonders mit branchenspezifischen Lösungen für Industrie und Handwerk.
Hiscox ist der Maklerfavorit mit einem Vermittleranteil von rund 50 Prozent und gilt als erster Anbieter einer Cyber-Police in Deutschland überhaupt (2011). Das Produkt CyberClear bietet eine umfassende Allround-Deckung inklusive Betriebsunterbrechung bei Cloud-Ausfall.
Coalition ist 2025 mit einem innovativen Ansatz in den deutschen Markt eingetreten: Active Cyber Insurance mit Echtzeit-Monitoring der digitalen Angriffsfläche des Kunden und proaktiver Meldung erkannter Schwachstellen.
Cogitanda war lange einer der führenden Cyber-Assekuradeure in Deutschland, meldete im November 2024 Insolvenz an und wurde im März 2025 von der Deutsche Gesellschaft für Cybersicherheit (DGC AG) übernommen. Bestehende Policen blieben erhalten, Makler sollten Bestandspolicen beim Renewal auf die neue Trägerstruktur prüfen.
VHV ist mit dem VHV Cyberprotect vor allem im KMU-Bereich gut aufgestellt und erhielt von Assekurata die Note 1,5.
Allianz bietet mit dem Allianz Cyber Schutz ein breites Produkt mit guter Assekurata-Bewertung und einer weiten Vertriebsstruktur.
Was zahlt die Cyberversicherung nicht?
Das ist der kritischste Punkt in der Beratung. Die Ausschlüsse nach den GDV-Musterbedingungen AVB Cyber 2024 sind umfangreich.
Krieg und staatliche Cyberangriffe: Angriffe, die einem Staat, einer Regierung oder staatlich beauftragten Akteuren zuzurechnen sind, sind ausgeschlossen. Die neue GDV-Klausel stellt klar, dass ein Krieg im Sinne der Bedingungen keinen Einsatz physischer Waffengewalt voraussetzt – ein digitaler Cyberwar reicht. Zur Beweisführung reichen objektive Hinweise auf staatliche Beteiligung, ein vollständiger Beweis ist nicht mehr erforderlich. NotPetya-ähnliche Angriffe wären unter dieser Klausel problematisch.
Infrastrukturausfall: Ein Ausfall der öffentlichen Infrastruktur wie Strom oder Internet ohne kausalen Zusammenhang zu einem Cyberangriff ist nicht gedeckt.
Vorsatz: Bei nachgewiesenem Vorsatz ist der Versicherer vollständig leistungsfrei.
Behördliche Bußgelder: Regulatorisch umstrittenes Terrain. Viele Policen decken DSGVO-Bußgelder dem Wortlaut nach, die herrschende juristische Auffassung tendiert jedoch zur Unwirksamkeit dieser Deckung, weil Bußgelder eine Präventionsfunktion haben, die durch Versicherung unterlaufen werden würde. Was sicher gedeckt ist: die Verfahrenskosten für Rechtsvertretung im Bußgeldverfahren.
Vorvertragliche Schäden: Vorfälle, die vor Vertragsabschluss eingetreten sind oder deren Ursache vor dem Vertragsbeginn lag, sind ausgeschlossen.
Weitere Ausschlüsse betreffen Produktrückruf, Finanzmarkttransaktionen, Immaterialgüterrechtsverletzungen und rechtswidrig erfasste Daten.
Was kosten Cyberversicherungen in Deutschland?
Die Prämie hängt stark von Umsatz, Branche, IT-Sicherheitsniveau und gewünschter Deckungssumme ab. Als Orientierung:
| Unternehmensgröße | Versicherungssumme | Jahresprämie |
| Kleinunternehmen und Freiberufler | 250.000 bis 500.000 Euro | ab ca. 300 bis 600 Euro |
| KMU bis 5 Mio. Euro Umsatz | 1 Mio. Euro | ca. 1.000 bis 3.000 Euro |
| Mittelstand bis 50 Mio. Euro Umsatz | 5 Mio. Euro | ca. 5.000 bis 20.000 Euro |
| Privatpersonen (Standalone) | 15.000 Euro | ab ca. 4,99 Euro/Monat |
Zum Vergleich: Ein einziger Ransomware-Angriff kostet ein mittelständisches Unternehmen im Schnitt zwischen 250.000 und 2.000.000 Euro. Eine Police für 10.000 Euro im Jahr rechnet sich schon beim ersten verhinderten Ernstfall.
Die Marktverbreitung ist trotzdem erschreckend gering: Laut Gothaer KMU-Studie 2024 haben nur 25 Prozent der KMU eine Cyberversicherung, gegenüber über 70 Prozent bei großen Unternehmen.
Welche Pflichten gelten im Versicherungsfall?
Wer eine Cyberversicherung hat, muss im Schadensfall klare Obliegenheiten erfüllen. Ihre Verletzung kann zur teilweisen oder vollständigen Leistungskürzung führen:
- Den Schadensfall unverzüglich melden, die meisten Policen schreiben eine Frist von 48 bis 72 Stunden vor
- Keine eigenmächtigen Lösegeldzahlungen ohne Zustimmung des Versicherers
- Beweissicherung vor jeder Bereinigung: Logs, RAM-Abbilder, Netzwerkprotokolle müssen gesichert werden, bevor Systeme bereinigt werden
- Den Versicherer bei der Schadenbearbeitung aktiv unterstützen und Forensik-Zugang ermöglichen
- Alle zumutbaren Maßnahmen zur Schadenminderung ergreifen
Für Unternehmen unter NIS2 gilt zusätzlich die Meldepflicht an das BSI: Frühwarnung innerhalb von 24 Stunden, detaillierte Meldung innerhalb von 72 Stunden.
