Die Cyber-Versicherung ist eine spartenübergreifende Police, die Eigen- und Drittschäden aus IT-Sicherheitsvorfällen abdeckt. Zu den klassischen Auslösern gehören Ransomware-Angriffe (Verschlüsselungs-Trojaner mit Lösegeldforderung), Phishing/CEO-Fraud, Datendiebstahl, DDoS-Attacken und Cloud-Ausfälle. Ein durchschnittlicher Ransomware-Vorfall im deutschen Mittelstand verursacht heute zwischen 150 T€ und 2,5 Mio € Gesamtschaden — Forensik, Wiederherstellung, Anwaltskosten, DSGVO-Meldungen und Umsatzausfall zusammengerechnet.
Eigenschäden umfassen alle Kosten, die im eigenen Unternehmen anfallen: IT-Forensik zur Aufklärung des Vorfalls, Wiederherstellung von Daten und Systemen, Betriebsunterbrechungsschäden (entgangener Umsatz, Mehrkosten), Krisenkommunikation, ggf. Lösegeldverhandlung. Drittschäden sind Ansprüche externer Parteien: DSGVO-Bußgelder (bis 20 Mio € oder 4 % Konzernumsatz), Schadenersatz betroffener Kunden, Vertragsstrafen aus Lieferantenverträgen, PCI-DSS-Bußgelder bei Kartendaten-Vorfällen.
NIS-2-Richtlinie: Die EU-NIS-2-Richtlinie (in Deutschland durch das NIS2UmsuCG umgesetzt, in Kraft 2025/26) erweitert die Cybersicherheitspflichten auf rund 30.000 deutsche Unternehmen — viele davon im Mittelstand. Betroffen sind unter anderem Maschinenbau, Lebensmittelhersteller, Logistik, Gesundheitswesen, Energieversorger ab 50 Mitarbeitern bzw. 10 Mio € Umsatz. Die Geschäftsleitung haftet persönlich für Versäumnisse — eine direkte Schnittstelle zur D&O-Versicherung.
DORA-Verordnung: Der Digital Operational Resilience Act (EU-VO 2022/2554) gilt seit dem 17. Januar 2025 für Finanzdienstleister — Banken, Versicherer, Vermögensverwalter, Krypto-Dienstleister, IKT-Drittdienstleister. Anforderungen an IT-Risikomanagement, Incident-Reporting, Tests und Drittparteienmanagement sind verpflichtend. Cyber-Versicherer haben darauf reagiert und bieten DORA-konforme Bausteine (Reporting-Support, Incident-Response, Tabletop-Exercises) an.
Typische Schadensszenarien aus dem Großraum Ulm: Maschinenbauer im Donautal wird Opfer einer Ransomware-Attacke — Produktion 12 Tage stillgelegt, 1,8 Mio € Schaden, ohne Cyber-Police keine Erstattung. Steuerkanzlei in Neu-Ulm: Phishing-Mail an Mitarbeiter führt zu Datenabfluss von 4.500 Mandanten-Datensätzen — DSGVO-Meldung, Schadenersatzforderungen, Bußgeld 280 T€. Arztpraxis Ulm-Eselsberg: KVB-Systeme verschlüsselt, Patientendaten kompromittiert — Wiederherstellung und Meldepflichten kosten 90 T€.
Wichtig: Cyber-Versicherer prüfen heute streng — Multi-Faktor-Authentifizierung, regelmäßige Backups (Offline-Kopie!), Patch-Management und Endpoint-Protection sind in vielen Tarifen Voraussetzung. Ein Risiko-Fragebogen mit 30-80 Fragen ist Standard. Wer hier nicht ehrlich antwortet, riskiert im Schadenfall die Leistungsfreiheit (§ 19 VVG vorvertragliche Anzeigepflicht). Wir begleiten den Risikodialog mit den Anbietern.
