Cyberversicherung im Chiemgau: Wenn der Betrieb betroffen ist

Cyberrisiko ist kein Sachschaden: Warum die klassische Betriebsunterbrechungsversicherung hier meist nicht greift

Wer einen Betrieb führt, denkt bei Betriebsunterbrechung zuerst an einen Brand oder an einen Wasserschaden. Die klassische Betriebsunterbrechungsversicherung knüpft an einen Sachschaden an: Erst wenn Gebäude, Maschinen oder eingelagertes Material beschädigt sind, greift sie. Ein verschlüsselter Server, ein gesperrter Zugang zum Warenwirtschaftssystem oder eine erpresste Datenbank sind in diesem Sinn kein Sachschaden. Deshalb wird die Cyberversicherung in der Regel als eigener Vertrag oder als eigener Baustein angeboten, nicht als Teil der klassischen Betriebsunterbrechungsversicherung.

Oft ist von einer „Hacker-Versicherung“ die Rede. Gemeint ist damit in der Regel die Cyberversicherung, also ein Vertrag, der die Folgen eines Angriffs auf Daten und Systeme abdeckt – nicht das Gebäude und nicht die Maschine. Wer beides absichern will, braucht dafür zwei Deckungen.

Was im Chiemgau konkret betroffen ist

Ein Handwerksbetrieb mit digitaler Auftragsabwicklung, eine Gastronomie mit Kassensystem und Reservierungssoftware, eine Praxis mit digitaler Dokumentation, ein landwirtschaftlicher Betrieb mit Direktvermarktung und Online-Shop: In all diesen Fällen hängt der Ablauf an Systemen, die aus dem Internet erreichbar sind oder von außen gewartet werden. Fällt die Fernwartung aus oder werden Daten verschlüsselt, steht nicht nur ein einzelner Rechner still.

Ob dein Betrieb in Traunstein, Rosenheim oder Prien am Chiemsee steht: Entscheidend ist nicht der Ort, sondern welche Systeme du nutzt, wie lange du ohne sie arbeitsfähig bleibst und wie deine Zugänge abgesichert sind. Ein Betrieb mit eigener IT-Abteilung hat andere Lücken als ein Betrieb, der die Wartung an einen Dienstleister vergeben hat. Auch die Frage, ob im Schadenfall überhaupt jemand erreichbar ist, der die Systeme kennt, unterscheidet sich von Betrieb zu Betrieb.

Was eine Cyberversicherung leisten kann

Je nach Tarif können beispielsweise folgende Kosten versichert sein:

• Wiederherstellung von Daten und Systemen nach einem Angriff, einschließlich der forensischen Untersuchung
• Ertragsausfall, wenn der Betrieb nach einem Angriff stillsteht
• Ansprüche Dritter, etwa wenn Daten von Kunden oder Geschäftspartnern betroffen sind
• Kosten für die Benachrichtigung betroffener Personen und für die Krisenkommunikation
• Rechtsberatung im Zusammenhang mit einem Datenschutzvorfall
• Erpressungszahlungen – nur in einzelnen Tarifen, meist eng begrenzt und nur, wenn der Versicherer der Zahlung vorher zugestimmt hat

Entscheidend sind die konkreten Versicherungsbedingungen. Ein Baustein, der in einem Tarif enthalten ist, kann in einem anderen fehlen oder mit einer Obergrenze versehen sein. Manche Tarife bündeln mehrere Bausteine zu einem Paket, andere trennen sie bewusst.

Fremddatenverlust und Eigenschaden sind zwei getrennte Bausteine

Der Eigenschaden betrifft deine eigenen Daten, Programme und Geräte. Der Fremddatenverlust betrifft Daten, die dir andere anvertraut haben – Kundendaten, Abrechnungsdaten, Konstruktionspläne, Unterlagen von Auftraggebern. In vielen Tarifen sind das getrennte Bausteine, oft mit eigenen Deckungssummen und eigenen Selbstbehalten. Ein Tarif kann den einen Baustein enthalten und den anderen nicht. Wer annimmt, „Cyber“ sei ein einziger Schalter, übersieht im Schadenfall häufig genau die Position, um die es geht.

Erpressung: Zahlung nur mit Zustimmung des Versicherers

In den Musterbedingungen des GDV ist die Zahlung von Löse- oder Erpressungsgeld ausgeschlossen. Einzelne Tarife schließen sie begrenzt ein, und dann meist nur, wenn der Versicherer der Zahlung vorher zugestimmt hat. Wer ohne diese Zustimmung zahlt, riskiert, dass die Leistung entfällt. Hinzu kommt, dass Zahlungen an sanktionierte Empfänger auch dann problematisch sein können, wenn der Vertrag sie dem Wortlaut nach abdeckt. In der Praxis ist deshalb weniger die Frage entscheidend, ob Lösegeld versichert ist, sondern ob der Ablauf für den Notfall vorher geklärt wurde.

Obliegenheiten: Updates, Backups und Mehrfaktor-Anmeldung müssen funktionieren

Viele Tarife verlangen, dass grundlegende Sicherungsmaßnahmen vorhanden und funktionsfähig sind. Dazu gehören regelmäßige Updates, ein Backup, das räumlich getrennt aufbewahrt wird, und eine Mehrfaktor-Anmeldung für Zugänge aus dem Internet. Entscheidend ist, dass die vereinbarten Maßnahmen tatsächlich gepflegt werden – also nicht nur einmal eingerichtet, sondern regelmäßig aktualisiert und getestet. Wird eine vereinbarte Obliegenheit grob fahrlässig verletzt, darf der Versicherer seine Leistung kürzen, bei Vorsatz kann sie ganz entfallen; hatte die Verletzung keinen Einfluss auf den Schaden, bleibt er grundsätzlich zur Leistung verpflichtet (§ 28 VVG). Ein Backup, dessen Wiederherstellung nie getestet wurde, ist deshalb vor allem ein betriebliches Risiko. Wer die Maßnahmen nur auf dem Papier hat, kann im Leistungsfall in Erklärungsnot geraten.

Worauf du bei der Auswahl achtest

• Deckungssumme: Sie sollte zu deiner Datenabhängigkeit passen und nicht allein am Umsatz ausgerichtet werden. Ein Betrieb, der ohne Warenwirtschaftssystem nicht liefern kann, braucht eine andere Summe als ein Betrieb mit überwiegend analogem Ablauf.
• Selbstbehalt: Eine höhere Selbstbeteiligung senkt den Beitrag, kostet dich aber im Schadenfall bares Geld. Bei häufigen kleineren Vorfällen kann ein niedriger Selbstbehalt sinnvoller sein als bei einem Betrieb, der vor allem große Ausfälle absichern will.
• Ausschlüsse: Typische Ausschlüsse betreffen bekannte, nicht geschlossene Sicherheitslücken, vorsätzliches Handeln und bestimmte Großereignisse. Prüfe, ob Schäden durch eigene Mitarbeiter mitversichert sind oder nicht.
• Zeitlicher Selbstbehalt und Wartezeiten: Bei der Betriebsunterbrechung gilt meist ein zeitlicher Selbstbehalt: Den Ausfall der ersten Stunden trägst du selbst. Manche Tarife sehen zudem für einzelne Bausteine eine Wartezeit vor, in der für diesen Baustein kein Schutz besteht.
• Obergrenzen einzelner Bausteine: Forensik, Krisenkommunikation und Betriebsunterbrechung haben häufig eigene Höchstbeträge, die unter der Gesamtdeckungssumme liegen.

Was du selbst tun kannst

1. Notiere, welche Systeme für deinen Betrieb kritisch sind: Warenwirtschaft, Kassensystem, E-Mail, Zeiterfassung, Cloud-Ordner, Fernwartungszugänge. Halte für jedes System fest, wie viele Stunden du ohne es arbeitsfähig bleibst.
2. Prüfe, ob dein Backup räumlich getrennt liegt und nicht dauerhaft mit dem Netz verbunden ist, und ob eine Wiederherstellung schon einmal getestet wurde.
3. Aktiviere die Mehrfaktor-Anmeldung für E-Mail, Fernwartung und alle Dienste, die aus dem Internet erreichbar sind.
4. Halte den Patchstand deiner Server und Arbeitsrechner schriftlich fest, ebenso die Person oder das Unternehmen, die dafür zuständig ist – mit Name und erreichbarer Nummer.
5. Lege einen Notfallplan auf Papier an: Wer entscheidet, wen rufst du an, und wie erreichst du deinen IT-Dienstleister, wenn deine Systeme ausgefallen sind.
6. Nimm deinen bestehenden Vertrag zur Hand und prüfe drei Punkte: die Deckungssumme, die Obergrenzen für Forensik und Betriebsunterbrechung sowie die Frage, ob Fremddatenverlust mitversichert ist.

Wie ich dabei helfen kann

Wenn du unsicher bist, ob dein Betrieb gegen einen Angriff auf Daten und Systeme ausreichend abgesichert ist, prüfe ich deinen bestehenden Schutz, die Abhängigkeit deines Betriebs von einzelnen Systemen und mögliche Alternativen. Als Makler vergleiche ich Tarife, die zu deinem Betrieb passen. Wenn du möchtest, schauen wir uns deine Situation gemeinsam an – auf Wunsch auch bei dir vor Ort.

Dieser Artikel ist eine allgemeine Information und ersetzt keine Beratung im Einzelfall. Ob und in welchem Umfang eine Cyberversicherung leistet, ergibt sich ausschließlich aus den konkreten Bedingungen des jeweiligen Tarifs. Stand: 25.10.2026