Cyber-Versicherungen verkaufen sich gerade wie Regenschirme im Wolkenbruch. Ein Auslandskunde verlangt einen Nachweis, der Makler ruft an, die Geschäftsführung entscheidet: „haben ja alle". Das Problem: eine Police, die nur „für das Papier" gekauft wird, schützt dich nicht vor einem Angriff — und zahlt im Schadensfall womöglich nichts.
Wir haben im letzten Jahr ein Dutzend solcher Gespräche geführt. Das Unternehmen bekommt vom Versicherer einen sechsseitigen Fragebogen — MFA, Backups, EDR, Netzsegmentierung, Incident-Response-Plan. Jemand füllt ihn in einer halben Stunde aus und kreuzt „ja" an, wo die ehrliche Antwort „teilweise" oder „ist geplant" wäre. Die Police wird ausgestellt. Ein Jahr später schlägt Ransomware zu, der Schadenregulierer fragt nach Nachweisen — und dann geht es los.
Cyber-Versicherung ist nicht schlecht. Sie wird nur falsch verstanden. Sie ist kein Schild. Sie ist das finanzielle Sicherheitsnetz unter einem Schild, das schon vorhanden sein muss.
Was Versicherer wirklich verlangen
Der polnische Markt ist dem deutschen und britischen gefolgt. Ein Standardfragebogen für ein Unternehmen mit 10–50 Mitarbeitenden enthält heute mindestens:
- MFA auf jedem Fernzugang — VPN, Microsoft 365, Webmail, ERP-Adminpanel. Nicht „MFA auf dem Adminkonto", sondern MFA auf jedem Konto, das sich von außerhalb des Büros einloggt.
- EDR (kein gewöhnliches Antivirus) auf allen Arbeitsplätzen und Servern. Die Liste der akzeptierten Produkte kann schmal sein.
- Offline- oder Immutable-Backups mit dokumentiertem Wiederherstellungstest mindestens einmal pro Quartal.
- Netzsegmentierung — mindestens Trennung von Produktion/Maschinen, Büro und Gästen.
- Ein Incident-Response-Plan — ein DIN A4 reicht, aber er muss existieren und eine namentlich benannte Person enthalten.
- Patch-Management in einem definierten Fenster (üblich: kritische Patches innerhalb von 14 Tagen).
Wenn du „ja" ankreuzt, wo die ehrliche Antwort „nicht ganz" wäre, und es kommt zum Vorfall, hat der Versicherer ein sauberes Argument: arglistige Täuschung beim Vertragsabschluss. Keine Zahlung. Dieser Mechanismus heißt Warranty und steht heute in fast jeder Cyber-Police in Polen.
Was die Police abdeckt — und was nicht
Eine typische KMU-Cyber-Police für 6.000–20.000 PLN pro Jahr deckt üblicherweise:
- Kosten der Vorfallbearbeitung (IT-Forensik, Ransomware-Verhandler, Anwalt);
- Betriebsunterbrechung (entgangener Gewinn) nach mehreren Tagen Ausfall;
- Haftpflicht gegenüber Kunden, deren Daten abgeflossen sind;
- Meldekosten (DSGVO, Kunden, Geschäftspartner);
- manchmal das Lösegeld selbst — zunehmend aber als separater Baustein, und viele Versicherer verkaufen das gar nicht mehr.
Was sie typischerweise nicht abdeckt:
- Schäden aus Fehlkonfigurationen, die vor Vertragsabschluss existierten (z. B. ein offener RDP-Port, von dem jemand wusste);
- Angriffe über Systeme, die seit mehr als 30 Tagen ungepatcht sind, obwohl ein Patch verfügbar war;
- Verluste aus „CEO-Fraud"-Überweisungen (BEC — meist ein separates Produkt);
- regulatorische Bußgelder — in PL praktisch nie.
Lies die Ausschlussliste, nicht die Versicherungssumme. In den Ausschlüssen verstecken sich die Gründe, warum 4 von 10 Meldungen mit Ablehnung oder Kürzung enden.
Ein echtes Beispiel von einem unserer Kunden
Eine 22-köpfige Steuerkanzlei bei Poznań überlegte eine Cyber-Police für 9.800 PLN pro Jahr, nachdem ein größerer Mandant (eine Anwaltskanzlei) in einem Vendor-Fragebogen wissen wollte, ob sie eine „Versicherung gegen Hackerangriffe" hätten. Der Makler stellte schnell ein Angebot zusammen. Der Versicherer verlangte: MFA auf allen Konten mit Fernzugriff, EDR auf 25 Arbeitsplätzen, Offline-Backups mit vierteljährlichem Wiederherstellungstest, einen Incident-Response-Plan und eine Passwortrichtlinie nach seiner Vorlage.
Beim genaueren Hinsehen waren 2 von 5 Bedingungen erfüllt. MFA gab es nur auf dem Hauptpostfach, nicht im Comarch-Optima-Cloud-Adminpanel. Es gab Antivirus (Bitdefender Business), aber kein EDR. Backups gingen auf ein NAS im selben Netz wie der Buchhaltungsserver. Einen Incident-Response-Plan gab es nicht.
Die Wahl: die Police mit „ja"-Antworten unterschreiben (und hoffen, dass nie jemand prüft) — oder vier Monate warten und die Grundlagen in Ordnung bringen. Sie wählten den zweiten Weg. Einmalige Kosten für das Anheben des Sicherheitsniveaus: 18.200 PLN (EDR-Rollout auf 25 Endpoints, zweites Backup-Ziel an einem anderen Standort, MFA-Konfiguration auf vier Systemen, Dokumentation) plus 3.600 PLN pro Jahr für EDR-Lizenzen.
Nach einem Jahr kostete die Police 8.400 PLN statt 9.800 — der Versicherer senkte die Prämie wegen des besseren Risikoprofils. Wichtiger noch: zwischenzeitlich klickte ein Mitarbeiter auf eine Phishing-Mail, EDR stoppte den Payload, und das Offline-Backup bestand den Wiederherstellungstest beim letzten internen Audit. Die Police musste nichts zahlen — weil es nichts zu zahlen gab.
Wann sie sinnvoll ist, wann sie Theater ist
Die Police ist sinnvoll, wenn:
- du Kunden (inländisch oder ausländisch) hast, die in Verträgen einen Versicherungsnachweis verlangen — typischerweise Automotive, Pharma, Finanzsektor, deutsche Fertigung;
- fünf Tage Betriebsunterbrechung ein Verlust wären, den du aus dem laufenden Cashflow nicht stemmen würdest;
- du sensible personenbezogene Daten verarbeitest und DSGVO-Meldungen ein reales Risiko sind (Steuerkanzlei, Anwaltskanzlei, Klinik);
- du die meisten Kontrollen aus dem Fragebogen bereits hast — dann ist eine Police für 8.000–15.000 PLN eine vernünftige Ergänzung.
Die Police ist Theater, wenn:
- du sie statt MFA, Backups und EDR kaufst, nach dem Motto „jetzt habe ich eine Police, also muss ich nichts tun";
- keiner deiner Kunden sie verlangt und du unter Mediendruck zugreifst;
- du unter 10 Personen hast, einen einfachen Stack (M365 plus ein Cloud-ERP), und im schlimmsten Fall zwei Tage Ausfall verkraftest, auch ohne Police.
Was du tun solltest, bevor du unterschreibst
Bevor du im Fragebogen „ja" ankreuzt, mach mit jemandem, der diese Anforderungen aus der Praxis kennt, ein kurzes Audit. Zwei bis drei Tage Arbeit reichen meist, um zu zeigen: welche Antworten der Realität entsprechen, wo die Lücken sind, was es kostet sie zu schließen — und ob die Police danach günstiger wird. Manchmal bringt das Aufräumen der Grundlagen mehr als die Police selbst, weil es die Eintrittswahrscheinlichkeit eines Vorfalls senkt, nicht nur den finanziellen Schaden.
Wenn ein Auslandskunde eine Police „für gestern" verlangt und du weißt, dass du nicht alle Bedingungen erfüllst — sag das deinem Makler. Eine teurere Police mit einem ehrlichen Fragebogen ist besser als eine billige, die nicht zahlt. Makler, die den Markt kennen, wissen, wie man das aufstellt.
Eine Cyber-Police ist das finanzielle Sicherheitsnetz unter einem Schild, das schon vorhanden sein muss. Sie ist nicht der Schild.