Cyberversicherung für KMU: Was Versicherer 2026 verlangen

Inhalt in Kürze

• Drei von vier KMU haben keine Cyberversicherung — obwohl der durchschnittliche Schaden bei 95.000 Euro liegt.
• Versicherer verlangen 2026 strikte Obliegenheiten: MFA, Patch-Management, Backups und dokumentierte IT-Sicherheit.
• Ohne nachweisbaren Versicherungsschutz und IT-Sicherheitsmaßnahmen wird es für betroffene Unternehmen bei Cyberangriffen existenzbedrohend.
• Eine Cyberversicherung ersetzt keine IT-Sicherheit — sie ergänzt sie.

27 Prozent der kleinen und mittelständischen Unternehmen wurden laut Hiscox Cyber Readiness Report 2025 innerhalb eines Jahres von Ransomware getroffen. Die finanziellen Folgen für betroffene Unternehmen: durchschnittlich 95.000 Euro Schaden durch Cyberkriminalität. Trotzdem haben drei von vier KMU keine Cyberversicherung abgeschlossen — und stehen im Schadenfall ohne Absicherung da.

Das ist, als würde man ohne Feuerversicherung ein Lagerhaus betreiben. Klingt übertrieben? Fragen Sie mal den Schweizer Fensterbauer Swisswindows. Nach einem Cyber-Angriff mit Schadsoftware auf 120 Server stand die Produktion über einen Monat still. Datenverlust, Betriebsunterbrechungen und die Kosten für die Wiederherstellung — nichts war abgesichert. Sieben Monate später: Konkurs. Der Schaden: mehrere Milliarden Euro in der Branche jährlich.

Cyberversicherung für Unternehmen — was die Versicherung wirklich abdeckt

Eine Cyberversicherung schützt nicht vor Cyberangriffen. Sie federt die finanziellen Folgen ab, wenn es trotz aller Vorsicht passiert. Der Cyberschutz durch eine Cyber-Versicherung umfasst typischerweise:

Eigenschäden: IT-Forensik, Datenwiederherstellung, Betriebsunterbrechung, Kosten für die Wiederherstellung von IT-Systemen, Krisenkommunikation und PR-Maßnahmen.

Drittschäden: Schadensersatzforderungen von Kunden oder Geschäftspartnern bei Datenverlust, Haftpflichtansprüche bei Datenschutzverletzungen, Vertragsstrafen.

Serviceleistungen: 24/7-Notfall-Hotline, Rechtsberatung, Krisenmanagement, Lösegeldzahlungen (je nach Police) und Unterstützung durch spezialisierte Incident-Response-Teams. Im Schadenfall aktiviert der Versicherer ein Krisenteam mit Expertinnen und Experten, das sofort eingreift. Versicherte Unternehmen erhalten damit auch IT-Sicherheitsmaßnahmen und Präventionsmaßnahmen als Teil des Versicherungsschutzes.

Cyberversicherung abschließen: Was Versicherer 2026 verlangen

Hier wird es für viele KMU und kleine und mittlere Unternehmen unbequem. Versicherer vergeben heute keine Policen mehr nach dem Gießkannenprinzip. Sie prüfen detailliert, welche technischen und organisatorischen Maßnahmen ein Unternehmen gegen Cyberrisiken bereits implementiert hat.

Die wichtigsten Obliegenheiten im Überblick:

Cyber-Risiken richtig einschätzen: Braucht Ihr Unternehmen eine Cyber-Versicherung?

Die ehrliche Antwort: Wenn Ihr Unternehmen E-Mails nutzt, sensible Daten speichert oder auf IT-Systeme angewiesen ist — ja. Das Risiko durch Cyberangriffe und Schadsoftware betrifft praktisch jede Branche. 84 Prozent der Unternehmen in Deutschland waren laut Bitkom bereits von einem Cyber-Angriff betroffen. Gutes Risikomanagement und Informationssicherheit allein reichen als Absicherung nicht aus — Cyberversicherungen ergänzen die Präventionsmaßnahmen für den Ernstfall.

Besonders gefährdet sind:

• Unternehmen mit sensiblen Daten — Gesundheitswesen, Kanzleien, Finanzdienstleister
• Fertigungsbetriebe — Produktionsausfall durch Ransomware kostet schnell sechsstellig
• IT-Dienstleister und Zulieferer — als Einfallstor in die Lieferkette besonders attraktiv für Kriminelle
• E-Commerce und Online-Dienste — Datenverlust führt direkt zu Drittschäden und Vertrauensverlust
• NIS2-betroffene Unternehmen — die [NIS2-Richtlinie](/nis-2-richtlinie-einfach-erklaert/) verschärft die Anforderungen an die Absicherung erheblich

Aus der Praxis: Wenn die Cyberversicherung zum Rettungsanker wird

Viele Unternehmer denken, ich bin doch zu klein für das ganze Thema Datenschutz. Wir haben Mandanten mit drei, vier, fünf Mitarbeitern — die arbeiten für große Kunden mit enormen Ansprüchen an den Datenschutz. Und genau diese kleinen Unternehmen sind auch für Cyberangriffe interessant, weil sie oft schlechter abgesichert sind.

Nils OehmichenDatenschutzberater bei frag.hugo

Ein Mandant von uns — ein Dienstleister mit 35 Mitarbeitern — wurde Opfer einer Cyberattacke per Phishing-Mail. Der Angreifer verschlüsselte die Fileserver und forderte 80.000 Euro Lösegeld. Die Cyberversicherung übernahm IT-Forensik, Datenrettung und den Ertragsausfall für drei Wochen Betriebsunterbrechung. Gesamtschaden: über 120.000 Euro. Eigenanteil des Unternehmens: 5.000 Euro Selbstbeteiligung.

Ohne Versicherungsschutz wäre das für dieses betroffene Unternehmen existenzbedrohend gewesen.

Cyberversicherung abschließen: 5 Schritte für KMU

1. IT-Reifegrad ehrlich bewerten: Wo steht Ihre IT-Sicherheit? Ein kostenloser Website-Check zeigt erste Schwachstellen. Für eine umfassende Bewertung brauchen Sie ein professionelles IT-Sicherheitskonzept.
2. Mindestanforderungen umsetzen: MFA aktivieren, Patch-Management einrichten, Backup-Konzept dokumentieren. Ohne diese Basics bekommen Sie keine bezahlbare Police.
3. Versicherungssumme kalkulieren: Als Faustregel: Jahresumsatz geteilt durch zehn, mindestens aber 250.000 Euro. Berücksichtigen Sie Betriebsunterbrechung, Drittschäden und Wiederherstellungskosten.
4. Angebote vergleichen: Achten Sie nicht nur auf die Prämie. Entscheidend sind Deckungsumfang, Ausschlüsse, Obliegenheiten und die Qualität der Assistance-Leistungen im Schadenfall.
5. Dokumentation sicherstellen: Halten Sie alle IT-Sicherheitsmaßnahmen schriftlich fest. Im Schadenfall müssen Sie beweisen, dass Sie Ihre Pflichten erfüllt haben.

Was eine Cyberversicherung für KMU kostet

Die Kosten hängen von Branche, Unternehmensgröße und IT-Reifegrad ab. Kleine und mittelständische Unternehmen zahlen typischerweise:

Zum Vergleich: Eine einzige Ransomware-Attacke kostet betroffene Unternehmen im Schnitt 95.000 Euro — plus 21 Tage Betriebsunterbrechung. Die Absicherung durch eine Cyber-Versicherung kostet einen Bruchteil davon.

Lesetipp: Dieses Thema wird in unserem kostenlosen E-Book „CYBER-SICHER — Der IT-Sicherheits-Guide für den deutschen Mittelstand" (47 Seiten, 2026-Edition) ausführlich behandelt. Jetzt herunterladen →

Ihr nächster Schritt

Häufige Fragen (FAQ)

Was kostet eine Cyberversicherung für KMU?

Für kleine und mittelständische Unternehmen mit 10 bis 50 Mitarbeitern liegen die Jahresprämien zwischen 500 und 5.000 Euro. Der genaue Preis hängt von Branche, Umsatz, IT-Reifegrad und gewählter Versicherungssumme ab.

Ist eine Cyberversicherung Pflicht?

Nein, es gibt in Deutschland keine gesetzliche Pflicht zum Abschluss einer Cyberversicherung. Allerdings verlangen NIS2 und die DSGVO nachweisbare Schutzmaßnahmen — und immer mehr Geschäftspartner setzen eine Cyber-Versicherung vertraglich voraus.

Welche IT-Sicherheitsmaßnahmen fordern Versicherer?

Die meisten Versicherer verlangen 2026 mindestens Multi-Faktor-Authentifizierung, regelmäßige Backups, aktuelles Patch-Management, ein dokumentiertes Berechtigungskonzept und nachweisbare Mitarbeiterschulungen.

Was deckt eine Cyberversicherung ab?

Typische Leistungen umfassen IT-Forensik, Datenwiederherstellung, Betriebsunterbrechungsschäden, Krisenkommunikation, Rechtsberatung bei Datenschutzverletzungen und Drittschäden gegenüber Kunden oder Partnern.

Wann zahlt die Cyberversicherung nicht?

Bei Verletzung der Obliegenheiten — etwa fehlende MFA, veraltete Software oder nicht durchgeführte Backups — kann der Versicherer die Leistung kürzen oder komplett verweigern. Im Schadenfall trägt das Unternehmen die Beweislast.