Cyber-Versicherung KMUCyber-Versicherung für KMU Baden-Württemberg.

Eine moderne Cyber-Police deckt typischerweise fünf Schaden-Cluster: Forensik-Kosten (externe IT-Spezialisten zur Aufklärung des Vorfalls), Krisenkommunikation (PR-Aufwand bei Datenpanne, Behörden- und Kundenbriefe), Rechtsverteidigung gegen Datenschutzbehörden inklusive versicherbare DSGVO-Bußgelder soweit gesetzlich zulässig, Betriebsunterbrechung mit Mehrkosten-Erstattung und Ertragsausfall, sowie Lösegeld-Klausel bei Ransomware mit Einschränkungen. Schadens-Schäden Dritter (Kunden-Daten-Leak mit Schadensersatz-Forderungen) sind über die Drittschadens-Sektion abgedeckt.

Eingeschränkt ja. Bußgelder nach Art. 83 DSGVO können bis 4% des weltweiten Jahresumsatzes oder 20 Mio. Euro betragen. Versicherbar sind sie nur, soweit das nationale Recht des betroffenen Mitgliedsstaats die Versicherung von Geldbußen nicht ausdrücklich verbietet — in Deutschland gilt eine differenzierte Rechtslage. Vorsatz-Bußgelder (vorsätzliche Datenschutzverstöße) sind nie versicherbar. Fahrlässige Verstöße (etwa unzureichende technisch-organisatorische Maßnahmen nach Art. 32 DSGVO) werden in vielen Tarifen mitversichert, soweit zulässig. Die genaue Klausel muss in der Police explizit ausgewiesen sein.

Die Ransomware-Klausel deckt typischerweise drei Aspekte: Erstens die Forensik- und Wiederherstellungs-Kosten nach einem Verschlüsselungs-Vorfall, zweitens die Betriebsunterbrechung während der Wiederherstellung, drittens — mit deutlichen Einschränkungen — das Lösegeld selbst. Letzteres ist oft an Vorbedingungen geknüpft: Lösegeld-Zahlung nur mit Zustimmung des Versicherers, Konsultation einer Krisenkommunikations-Beratung, Prüfung sanktionsrechtlicher Vorgaben (Empfänger darf nicht auf US-Sanktionslisten stehen). Viele Versicherer empfehlen primär die Wiederherstellung aus Backup statt Lösegeld-Zahlung.

Cyber-Policen mit 24/7-Incident-Response stellen im Schadensfall eine Notrufnummer bereit, die rund um die Uhr erreichbar ist. Anrufer werden direkt mit einem koordinierenden Incident-Response-Manager des Versicherers oder eines Partner-Netzwerks verbunden — typischerweise externe Forensik-Spezialisten, Krisenkommunikations-Berater und IT-Wiederherstellungs-Teams. Erst-Maßnahmen werden ohne Vorab-Genehmigung freigegeben, da bei Cyber-Vorfällen Zeit der entscheidende Faktor ist. Die Police übernimmt diese Erst-Kosten als Teil der Deckung.

Auch ohne zentrales IT-System verarbeiten Stuttgarter KMU heute personenbezogene Daten — E-Mail-Kommunikation, Kunden-Datenbanken in Cloud-Diensten, Rechnungs-Tools, Buchhaltungs-Software. Ein Phishing-Vorfall im Mail-Account des Geschäftsführers oder eine kompromittierte Buchhaltungs-Software können bereits DSGVO-Folgen auslösen. Wer wirklich nur analog arbeitet (keine E-Mail, keine Cloud, keine Kunden-Datenbank), kann den Baustein zurückstellen — das ist in der Praxis aber selten. Bei TISAX-pflichtigen Zulieferern, IT-Dienstleistern und Arztpraxen ist Cyber inzwischen Pflicht-Niveau.

Versicherer haben in den letzten Jahren die technisch-organisatorischen Mindeststandards verschärft. Typische Anforderungen: Multi-Faktor-Authentifizierung für E-Mail- und VPN-Zugriff, regelmäßige Sicherheits-Updates auf Server- und Endgeräte-Ebene, dokumentierte Backup-Strategie mit Offline-Komponente (3-2-1-Regel), Mitarbeiter-Schulung gegen Phishing, dokumentiertes Patch-Management. Bei größeren KMU kommt eine schriftliche IT-Sicherheits-Selbstauskunft hinzu. Werden Mindeststandards nicht eingehalten, kann der Versicherer im Schadensfall die Leistung kürzen. Mit der NIS2-Richtlinie sind diese Anforderungen für viele Branchen zusätzlich gesetzlich verpflichtend.

Die Beitrags-Range für Cyber-Versicherungen für ein Stuttgarter 20-Mitarbeiter-KMU mit 3–5 Mio. Euro Jahresumsatz liegt typischerweise zwischen 1.500 und 5.500 Euro pro Jahr. Die Spanne ergibt sich aus Branche (Maschinenbau-Zulieferer mit TISAX-Pflicht teurer als reines B2C-Handelsgeschäft), Datenarten (Verarbeitung von Gesundheitsdaten teurer als reine B2B-Bestelldaten), IT-Sicherheits-Niveau (mit dokumentiertem ISMS günstiger als ohne) und Deckungssumme (1 Mio. Euro Standard, 3–5 Mio. Euro empfohlen für mittlere Risiken). Eine seriöse Beitrags-Aussage erfolgt nach Bedarfsanalyse.