Cyber-Versicherung für KMU: Was sie leistet – und ob Ihr Betrieb wirklich geschützt ist

Kurzantwort

• Die Gothaer Cyber-Versicherung (216273) greift bei Datenrechtsverletzungen, IT-Sicherheitsverletzungen und Cyber-Betrug – und deckt sowohl Eigen- als auch Drittschäden ab.
• Eigenschäden wie IT-Forensik, Betriebsunterbrechung, Datenwiederherstellung und Ransomware-Erpressung sind eingeschlossen; Drittschaden-Haftpflicht mit passivem Rechtsschutz ebenfalls.
• Nicht versichert sind vorsätzliche Handlungen, Krieg/Terrorismus sowie bekannte Sicherheitslücken, die nicht gepatcht wurden.

Warum KMU besonders im Fokus von Cyberkriminellen stehen

Mehr als 50 Prozent aller Cyberangriffe treffen mittelständische Unternehmen. Der Grund: KMU verfügen über wertvolle Daten – Kundendaten, Zahlungsinformationen, Geschäftsgeheimnisse – investieren aber deutlich weniger in IT-Sicherheit als Konzerne. Kein dedizierter IT-Sicherheitsverantwortlicher, veraltete Systeme, fehlende Schulungen: Das sind ideale Angriffspunkte.

Gleichzeitig sind die finanziellen Folgen eines erfolgreichen Angriffs für ein KMU oft existenzgefährdend. Eine mehrtägige Betriebsunterbrechung durch Ransomware, kombiniert mit DSGVO-Meldepflichten und Haftungsansprüchen betroffener Kunden, kann schnell in den sechsstelligen Bereich gehen.

Was die Gothaer Cyber-Versicherung auslöst und abdeckt

Die Gothaer Cyber-Versicherung (AVB 216273, Stand 02/2025) definiert drei Auslöseereignisse, die Versicherungsschutz aktivieren:

Datenrechtsverletzung: Unrechtmäßige Erhebung oder Verarbeitung personenbezogener Daten – etwa durch einen Hacker, der Kundendaten abgreift, oder durch einen Mitarbeiterfehler, der Daten an unbefugte Dritte weiterleitet.

IT-Sicherheitsverletzung: Angriff auf Verfügbarkeit, Vertraulichkeit oder Integrität Ihrer IT-Systeme – klassischerweise Ransomware, DDoS-Angriffe oder unbefugter Zugriff auf Unternehmensnetzwerke.

Cyber-Betrug: Social Engineering und CEO-Fraud sind bis 25.000 EUR mitversichert. Das bedeutet: Wenn ein Mitarbeiter durch eine gefälschte Geschäftsführer-E-Mail zu einer Überweisung veranlasst wird, greift der Versicherungsschutz.

Eigenschäden: Was der Versicherer direkt übernimmt

Nach einem Auslöseereignis übernimmt die Gothaer Cyber-Versicherung folgende Eigenschäden:

• IT-Forensik und Krisenmanagement: Analyse des Angriffs, Eindämmung, interne und externe Kommunikation
• Benachrichtigungskosten nach DSGVO Art. 33/34: Meldung an die Datenschutzbehörde und Benachrichtigung betroffener Personen
• Behördenkommunikation: Unterstützung bei Anfragen der Datenschutzaufsicht
• Betriebsunterbrechung durch Cyber-Angriff: Ersatz des entgangenen Gewinns und laufender Fixkosten
• Datenwiederherstellung: Kosten für die Wiederherstellung verlorener oder verschlüsselter Daten
• Cyber-Erpressung (Ransomware): Lösegeldzahlungen und Verhandlungsführung mit den Angreifern
• PR-Kosten: Reputationsschutz nach einem öffentlichkeitswirksamen Vorfall

Sie möchten den Cyber-Schutz für Ihren Betrieb prüfen lassen? Cyber-Schutz prüfen lassen

Drittschaden-Haftpflicht: Wenn auch Kunden betroffen sind

Wenn durch einen Angriff auf Ihr System auch Kunden, Lieferanten oder Geschäftspartner zu Schaden kommen, deckt die Gothaer Cyber-Versicherung die daraus resultierenden Haftpflichtansprüche Dritter – einschließlich passivem Rechtsschutz. Versichert sind Schadensersatzansprüche aus Datenrechtsverletzungen, Persönlichkeitsrechtsverletzungen und Netzwerksicherheitsverletzungen.

Was die Cyber-Versicherung nicht abdeckt

Die AVB 216273 nennt klare Ausschlüsse: vorsätzliche Herbeiführung des Schadens, Krieg und Terrorismus sowie – besonders relevant – bekannte Sicherheitslücken, die trotz verfügbarer Patches nicht geschlossen wurden. Wer ein bekanntes Update monatelang nicht einspielt und dadurch einen Schaden erleidet, riskiert Leistungsfreiheit. Ebenfalls nicht eingeschlossen: Schäden durch Stromausfall ohne nachweisbare Cyber-Ursache.

5-Punkte-Checkliste: So bereiten Sie Ihren Betrieb vor

Viele Versicherer setzen Mindestanforderungen als Obliegenheiten voraus. Wer diese nicht erfüllt, riskiert im Schadenfall Leistungskürzungen:

1. Regelmäßige Backups (offline): Datensicherungen sollten mindestens täglich erfolgen – mit einer Offline-Kopie, die nicht dauerhaft mit dem Netzwerk verbunden ist. Nur so sind Daten nach einem Ransomware-Angriff wiederherstellbar.

2. Patch-Management: Betriebssysteme, Anwendungen und Sicherheitssoftware müssen zeitnah aktualisiert werden. Bekannte Sicherheitslücken ohne Patch sind ein zentraler Ausschlussgrund.

3. Mitarbeiterschulung: Phishing ist der häufigste Einfallstor für Angreifer. Mitarbeiter sollten mindestens jährlich geschult werden – verdächtige E-Mails erkennen, sichere Passwörter nutzen, keine unbekannten USB-Geräte anschließen.

4. Zugriffsrechte prüfen: Das Prinzip der minimalen Rechtevergabe: Mitarbeiter sollten nur auf die Systeme und Daten zugreifen können, die sie für ihre Arbeit tatsächlich benötigen. Administratorrechte gehören nicht zum Standard-Account.

5. Cyber-Versicherung abschließen: Technische Maßnahmen reduzieren das Risiko – eliminieren können sie es nicht. Die Cyber-Versicherung schließt die verbleibende Lücke.

Häufige Fragen

Ist CEO-Fraud durch die Cyber-Versicherung gedeckt?

Ja, nach Gothaer AVB 216273 ist Cyber-Betrug durch Social Engineering und CEO-Fraud bis 25.000 EUR mitversichert.

Was ist, wenn ein Mitarbeiter den Schaden verursacht hat?

Unbeabsichtigte Fehler von Mitarbeitern sind versichert. Vorsätzliche Handlungen sind ausgeschlossen – das gilt auch für Mitarbeiter.

Deckt die Cyber-Versicherung auch DSGVO-Bußgelder?

Als optionale Erweiterung ja. Im Standardumfang sind Behördenkommunikation und Benachrichtigungskosten enthalten; Bußgelder selbst sind als Zusatzbaustein wählbar.

Gilt der Schutz auch für Home-Office-Arbeitsplätze?

Das hängt von der konkreten Vereinbarung ab. Viele Tarife schließen Home-Office-Arbeitsplätze und Cloud-Dienste ein – prüfen Sie das bei Vertragsabschluss.

Was kostet eine Cyber-Versicherung für ein KMU?

Das hängt von Umsatz, Branche und IT-Sicherheitsmaßnahmen ab. Für viele kleine Betriebe sind monatliche Beiträge ab ca. 30–80 EUR realistisch.

Nächster Schritt

Lassen Sie prüfen, welcher Cyber-Schutz zu Ihrer Betriebsgröße und Branche passt: Cyber-Schutz prüfen lassen

Oder vereinbaren Sie ein unverbindliches Gespräch: Beratung vereinbaren