Cyberversicherung für kleinere und mittlere Unternehmen (KMU): Deckung, Kosten und Voraussetzungen im Überblick

60 Prozent der deutschen KMU stufen Cyberschäden mittlerweile als relevantes Risiko ein, 31 Prozent halten einen Angriff auf das eigene Unternehmen innerhalb der nächsten zwei Jahre für wahrscheinlich – das zeigt die HDI-Cyberstudie 2026. Trotzdem lassen Markteinschätzungen von Versicherern und Brancheninitiativen darauf schließen, dass ein Großteil der kleinen und mittleren Unternehmen in Deutschland (noch) keine Cyberversicherung abgeschlossen hat.

Wer sich derzeit mit der Absicherung durch eine Cyberversicherung beschäftigt, stößt schnell auf offene Fragen: Was genau wird versichert? Was kostet der Schutz? Und welche Voraussetzungen muss das eigene Unternehmen erfüllen, damit die Versicherung im Ernstfall auch zahlt? Ziel dieses Beitrags ist es, einen branchenneutralen Überblick zu vermitteln.

Was deckt eine Cyberversicherung ab?

Eine Cyberversicherung federt die finanziellen Folgen eines erfolgreichen Angriffs ab. Sie ersetzt zwar keine IT-Sicherheit, greift aber, wenn diese versagt hat. Der Leistungsumfang gliedert sich üblicherweise in zwei Bereiche:

Eigenschäden (First-Party):

• IT-Forensik und Wiederherstellung von Systemen und Daten
• Kosten der Betriebsunterbrechung
• Krisenkommunikation und PR-Maßnahmen
• Rechtsberatung, teils auch Lösegeldzahlungen bei Ransomware

Drittschäden (Third-Party):

• Haftpflichtansprüche Dritter, etwa von Kunden oder Mandanten nach einer Datenpanne
• Kosten für Meldepflichten gegenüber Aufsichtsbehörden
• Bußgeldrisiken im Rahmen der DSGVO, je nach Vertrag

Ein wichtiger, oft unterschätzter Baustein: Viele Versicherer stellen im Schadensfall unmittelbar IT-Experten, Anwälte und Kommunikationsberater bereit. Diese Assistance-Leistungen entscheiden häufig stärker über den tatsächlichen Nutzen einer Police als die reine Deckungssumme.

Wie sinnvoll ist eine Cyberversicherung für KMU?

Darüber lässt sich kaum diskutieren, wenn man die aktuelle Bedrohungslage betrachtet. Ein Blick auf aktuelle Zahlen:

Quelle: HDI-Cyberstudie 2026 (Befragung von rund 1.100 KMU-Entscheidern durch Sirius Campus).

Wie greifbar das Risiko ist, zeigt sich an typischen Schadensverläufen, wie sie regelmäßig beschreiben werden:

Beispielhaftes Szenario Industrie:

Ein Maschinenbaubetrieb mit rund 80 Mitarbeitenden wird über eine kompromittierte Fernwartungssoftware Ziel eines Ransomware-Angriffs. Die Produktion steht mehrere Tage still, die Wiederherstellung von Systemen und Daten sowie der Produktionsausfall verursachen einen sechsstelligen Schaden – ein Betrag, der für viele mittelständische Betriebe ohne Versicherung existenzbedrohend wäre.

Beispielhaftes Szenario Gesundheitswesen:

Eine Arztpraxis mit 15 Mitarbeitenden wird über eine Phishing-Mail kompromittiert, Patientendaten werden verschlüsselt. Neben der technischen Wiederherstellung entstehen Kosten für die Meldung an die Aufsichtsbehörde und für rechtliche Beratung zu möglichen Ansprüchen betroffener Patienten.

Hinweis: Diese beiden Szenarien fassen typische, in Schadensberichten von Versicherern wiederkehrende Muster zusammen und sind keine dokumentierten Einzelfälle. Für die Steuerkanzlei-Zielgruppe steht ein konkreter, mit Zahlen belegter Praxisfall in unserem Artikel „Cyberversicherung für Steuerkanzleien: Anforderungen & Schulungspflicht“ (siehe Fazit).

Was kostet eine Cyberversicherung?

Die Prämien hängen in der Regel von Umsatz, Mitarbeiterzahl, Branche und IT-Sicherheitsniveau des zu versichernden Unternehmens ab. Marktvergleiche von Versicherungsmaklern und Vergleichsportalen zeigen für den deutschen Mittelstand folgende Bandbreiten:

Als grobe Faustregel wird in der Praxis häufig mit 0,1 bis 0,5 Prozent des Jahresumsatzes gerechnet. Kanzleien und Gesundheitseinrichtungen liegen aufgrund des höheren Datenrisikos tendenziell am oberen Ende der jeweiligen Bandbreite. Der Selbstbehalt pro Schadensfall bewegt sich meist zwischen 2.500 und 10.000 Euro.

Wie hoch sollte die Deckungssumme der Cyberversicherung sein?

Auf diese Frage gibt es keine pauschale Antwort – die Deckungssumme sollte sich am realistischen Schadenpotenzial orientieren, nicht am Wunsch nach einer möglichst niedrigen Prämie. Marktübliche Deckungssummen für KMU bewegen sich zwischen 500.000 Euro und mehreren Millionen Euro, abhängig von Unternehmensgröße, Datenvolumen und Branche.

Zur Einordnung: Ein durchschnittlicher Ransomware-Vorfall kann je nach Quelle und Unternehmensgröße Kosten zwischen niedrigem sechsstelligem und niedrigem siebenstelligem Bereich verursachen, wenn Forensik, Betriebsunterbrechung, Rechtsberatung und Krisenkommunikation zusammenkommen. Wer die Deckungssumme allein an der aktuellen Prämie ausrichtet, unterschätzt regelmäßig das tatsächliche Risiko.

Welche Voraussetzungen verlangen Versicherer für eine Cyberversicherung?

Cyberversicherer prüfen vor Vertragsabschluss immer genauer, wie ein Unternehmen technisch und organisatorisch aufgestellt ist. Zu den Grundvoraussetzungen für die meisten Versicherungen zählen:

• Umsetzung grundlegender IT-Sicherheitsmaßnahmen (z. B. Multi-Faktor-Authentifizierung, aktuelle Backups)
• Einhaltung der Datenschutzgesetze (DSGVO)
• Ein dokumentierter Notfallreaktionsplan
• Meldung von Vorfällen innerhalb kurzer Fristen, häufig 24 Stunden
• Regelmäßige, dokumentierte Mitarbeiterschulungen zum Thema Cybersicherheit

Der letzte Punkt wird in der Praxis oft unterschätzt. Es handelt sich dabei um eine sogenannte „Obliegenheitspflicht“. Für die Praxis bedeutet dies: Sie muss erfüllt und im Schadensfall nachgewiesen werden. Fehlt der Nachweis, drohen Leistungskürzung oder im schlimmsten Fall die vollständige Verweigerung der Zahlung. „Regelmäßig“ bedeutet dabei nicht einmal jährlich – die meisten Versicherer erwarten deutlich kürzere Abstände und eine lückenlose Dokumentation, wer wann teilgenommen hat.

Typische Fehler beim Abschluss einer Cyberversicherung

Bei Unternehmen, die eine Cyberversicherung abgeschlossen haben, lassen sich in der Praxis am häufigsten die folgenden Fehler beobachten:

• Zu niedrige Deckungssumme, weil die Prämie im Vordergrund steht
• Unvollständige Risikoerfassung – Cloud-Dienste, mobile Geräte und Homeoffice werden übersehen
• Fehlende oder lückenhafte Dokumentation der IT-Sicherheitsmaßnahmen und Schulungen
• Verzögerte Schadensmeldung, obwohl Fristen im Vertrag stehen
• Vergleich nur nach Prämie, nicht nach Deckungsumfang, Ausschlüssen und Assistance-Leistungen

Häufige Fragen zur Cyberversicherung

Fazit

Eine Cyberversicherung ersetzt keine Sicherheitsmaßnahmen, sie federt deren Versagen finanziell ab. Für die meisten KMU lohnt sich die Prüfung einer Police, wenn sie mit einer realistischen Deckungssumme, sauberer Dokumentation und – als zentralem, oft übersehenem Baustein – regelmäßigen, nachweisbaren Mitarbeiterschulungen verbunden wird.

Speziell für Steuerkanzleien haben wir die Anforderungen und Obliegenheitspflichten in einem eigenen Beitrag vertieft: „Cyberversicherungen für Unternehmen und speziell für Steuerkanzleien: Was Sie wissen sollten“. Beiträge für das Gesundheitswesen und die Industrie/Medizintechnik folgen in den kommenden Monaten.

Wie die Security Awareness Toolbox dabei hilft, die Schulungsnachweise für die eigene Cyberversicherung mit geringem Aufwand zu erbringen, zeigen wir in einer kostenlosen Online-Demo.

Quellen

• HDI Cyberstudie 2026 (Sirius Campus, rd. 1.100 befragte KMU-Entscheider), veröffentlicht Juli 2026
• Gesamtverband der Deutschen Versicherungswirtschaft (GDV): Themenseite Cybersicherheit, gdv.de
• Bundesamt für Soziale Sicherung: „Cyber-Versicherung als Teil des Informationssicherheitsmanagements“ (Mai 2024)
• Marktvergleiche und Preisübersichten mehrerer Versicherungsmakler und Vergleichsportale (Stand: Q2 2026), zur Einordnung von Prämien- und Deckungssummen-Bandbreiten