Die Frage nach dem Preis für eine Cyberversicherung ist verständlich. Sie klingt nach einer Zahl, die man in einer Tabelle nachschlagen könnte, so wie den Beitrag für die Kfz-Versicherung des Firmenwagens. Bei der Cyberversicherung funktioniert das nicht. Es gibt keinen Standardtarif, den man einfach aufruft, und wer dir im ersten Gespräch einen konkreten Euro-Betrag nennt, ohne dein Unternehmen zu kennen, hat entweder geraten oder etwas übersehen.
Das ist keine schlechte Nachricht. Es bedeutet nur, dass der Preis das Ergebnis einer Rechnung ist, deren Faktoren du zu einem großen Teil selbst beeinflusst. Wer versteht, wie diese Rechnung funktioniert, kann sie zu seinen Gunsten verschieben. Dieser Beitrag erklärt, wovon die Prämie einer Cyberversicherung abhängt, welche Voraussetzungen die Versicherer inzwischen verlangen und warum dein Sicherheitsniveau am Ende über beides entscheidet: über den Preis und darüber, ob im Ernstfall überhaupt gezahlt wird.
Warum es keinen Listenpreis für eine Cyberversicherung gibt
Ein Risiko, das sich ständig verändert
Eine Cyberversicherung deckt ein Risiko ab, das sich ständig verändert. Bei einer Gebäudeversicherung weiß der Versicherer ziemlich genau, wie oft es brennt und was ein Brand kostet. Beim Thema Cyber sieht das anders aus. Die Bedrohungslage in Deutschland gilt seit Jahren als angespannt, und sie verschiebt sich schnell. Das Bundesamt für Sicherheit in der Informationstechnik zählte im aktuellen Berichtszeitraum durchschnittlich 119 neue Schwachstellen pro Tag, ein Anstieg von rund 24 Prozent gegenüber dem Vorjahr.¹ Ein Angriffsweg, der letztes Jahr theoretisch war, kann dieses Jahr Alltag sein.
Was die Zahlen der Branche zeigen
Für die Versicherer heißt das: Sie kalkulieren ein bewegliches Ziel. Und die eigenen Zahlen der Branche zeigen, wie ernst die Lage ist. Die Leistungen der Cyberversicherer stiegen 2023 gegenüber dem Vorjahr um knapp 50 Prozent auf 180 Millionen Euro. Rund 4.000 Hackerangriffe wurden gemeldet, fast 19 Prozent mehr als im Jahr davor, und ein einzelner Cyberschaden kostete im Schnitt 45.370 Euro.² Die Schaden-Kosten-Quote der Sparte kletterte auf 97 Prozent. Anders gesagt: Von jedem eingenommenen Euro floss fast alles wieder in Schäden und Verwaltung. Ein Geschäft, das man nur betreiben kann, wenn man beim Risiko sehr genau hinschaut.
Genau deshalb wird jeder Vertrag für deine Cyberversicherung einzeln kalkuliert. Der Versicherer will wissen, wie wahrscheinlich ein Schaden bei dir ist und wie teuer er würde. Aus diesen beiden Größen entsteht die Prämie. Der Rest sind die Stellschrauben.
Die Faktoren, die den Preis der Cyberversicherung bestimmen
Umsatz und Unternehmensgröße
Der Umsatz ist meist der erste Anhaltspunkt. Er sagt grob etwas darüber aus, wie viel bei einem Ausfall auf dem Spiel steht und wie groß deine Angriffsfläche ist. Ein Betrieb mit 40 Millionen Euro Umsatz hat in der Regel mehr Systeme, mehr Mitarbeiter und mehr Schnittstellen als einer mit vier Millionen, und jede davon kann ein Einfallstor sein. Die Musterbedingungen des Gesamtverbands der Deutschen Versicherungswirtschaft sind genau auf diese Größenordnung zugeschnitten: auf Unternehmen bis etwa 50 Millionen Euro Umsatz.³ Das ist der klassische Mittelstand, und in diesem Rahmen bewegt sich der Preis nach oben, je größer und komplexer dein Betrieb ist.
Branche und Tätigkeit
Nicht jedes Unternehmen ist gleich attraktiv für Angreifer, und nicht jeder Ausfall wiegt gleich schwer. Ein Online-Händler, dessen Geschäft komplett stillsteht, sobald der Shop offline ist, hat ein anderes Risikoprofil als ein Handwerksbetrieb, der zur Not auch mit Zettel und Stift weiterarbeiten kann. Wer viele personenbezogene Daten verarbeitet, etwa eine Arztpraxis oder eine Steuerkanzlei, bringt zusätzliche Haftungsrisiken mit. Kommen solche Daten abhanden, drohen nicht nur Wiederherstellungskosten, sondern auch Ansprüche Betroffener und Ärger mit den Datenschutzbehörden. Die GDV-Musterbedingungen richten sich ausdrücklich an ganz unterschiedliche Betriebe, und der Fragebogen zur Risikoerfassung fällt je nach Branche unterschiedlich aus.³
Ein weit verbreiteter Irrtum sitzt an dieser Stelle besonders tief: die Annahme, das eigene Unternehmen sei zu klein oder zu unbedeutend, um ins Visier zu geraten. Das BSI widerspricht dem deutlich. Für Cyberkriminelle sind weder Umsatz noch Branche das entscheidende Kriterium bei der Zielauswahl, sondern das Verhältnis von Aufwand und Ertrag.¹ Angreifer suchen den Weg des geringsten Widerstands. Rund 80 Prozent der angezeigten Angriffe trafen zuletzt kleine und mittlere Unternehmen.¹ Wer schlecht geschützt ist, wird zum Ziel, gerade weil er sich für uninteressant hält.
Das Sicherheitsniveau
Hier liegt der Faktor, den du am direktesten steuern kannst. Der Versicherer will vor Vertragsschluss wissen, wie es um deine IT-Sicherheit steht. Dafür gibt es einen unverbindlichen Muster-Risikofragebogen des GDV, der abfragt, welche Schutzmaßnahmen du tatsächlich umgesetzt hast.³ Aus den Antworten ergibt sich, wie riskant dein Betrieb aus Sicht des Versicherers ist, und das schlägt direkt auf die Prämie durch. Zwei Unternehmen gleicher Größe und Branche können sehr unterschiedliche Beiträge zahlen, allein weil das eine seine Hausaufgaben gemacht hat und das andere nicht.
Was dabei zählt, sind keine exotischen Hochsicherheitsmaßnahmen. Es sind die Grundlagen: regelmäßige Datensicherungen, die auch getrennt vom Netzwerk aufbewahrt werden, starke und individuelle Passwörter, zeitnah eingespielte Sicherheitsupdates, Virenschutz und Firewall.⁴ Dazu kommt zunehmend die Zwei-Faktor-Authentifizierung, also ein zweiter Nachweis zusätzlich zum Passwort, gerade für Zugänge von außen. Und weil die meisten Angriffe beim Menschen beginnen, gehören geschulte Mitarbeiter dazu. 68 Prozent der erfolgreichen Cyberangriffe starteten mit einer Phishing-Mail oder einer E-Mail mit Schadsoftware.⁵
Wir von IPEXX Systems prüfen für Betriebe in der Region zwischen Ansbach, Crailsheim, Dinkelsbühl, Wörnitz und Nürnberg, wo dein Schutzniveau heute wirklich steht, und schließen die Lücken, bevor der Versicherer sie zum Preistreiber macht.
Deckungssumme und Selbstbehalt
Zwei Größen legst du selbst fest, und beide bewegen den Preis. Die Deckungssumme ist der Höchstbetrag, den die Versicherung im Schadenfall zahlt. Je höher du sie ansetzt, desto teurer die Prämie, aber desto besser bist du bei einem großen Schaden abgesichert. Der Selbstbehalt ist der Anteil, den du im Schadenfall selbst trägst. Wählst du ihn höher, sinkt die Prämie, weil der Versicherer die kleinen Schäden nicht mehr übernimmt. Das ist die klassische Abwägung: Wie viel Risiko will ich selbst schultern, wie viel gebe ich ab? Für einen Betrieb, der einen Ausfall von einigen Tausend Euro zur Not verkraftet, kann ein höherer Selbstbehalt sinnvoll sein. Wer schon bei einem kleineren Schaden ins Straucheln käme, sollte ihn niedrig halten.
Cyberversicherung: Was die Police leistet, und warum das den Preis rechtfertigt
Hilfe im Moment des Angriffs
Eine Cyberversicherung ist mehr als eine Kostenerstattung im Nachhinein. Der eigentliche Wert liegt oft in den Leistungen, die im Moment des Angriffs greifen. Kommt es zum Ernstfall, schickt und bezahlt die Versicherung IT-Forensiker, die den Angriff stoppen und Beweise sichern. Sie vermittelt spezialisierte Anwälte und Fachleute für Krisenkommunikation, die Kunden, Lieferanten und Behörden informieren. Dazu kommt der eigentliche finanzielle Schutz: bei Betriebsunterbrechung, bei Datenwiederherstellung und beim Schadenersatz an Dritte, wenn durch den Vorfall fremde Daten betroffen sind.
Diesen Apparat aus eigener Kraft aufzustellen, gelingt den wenigsten mittelständischen Betrieben. Genau das macht die Police für eine Cyberversicherung wertvoll, und es erklärt, warum sie kostet, was sie kostet. Du zahlst nicht nur für den Fall, dass Geld fließt, sondern für ein Netzwerk, das im Chaos der ersten Stunden funktioniert.
Sicherheitsnetz, kein Schutzschild
Wichtig ist die realistische Einordnung: Eine Versicherung ist ein Sicherheitsnetz, kein Schutzschild. Sie verhindert keinen Angriff. Sie fängt die Folgen auf, wenn die Vorsorge nicht gereicht hat. Der GDV bringt es auf den Punkt: Cyberversicherungen sind ein Sicherheitsnetz für den Ernstfall, ersetzen aber nicht einen starken Schutzschild.² Wer die Police als Ersatz für Sicherheit versteht statt als Ergänzung, hat sie falsch verstanden.
Voraussetzungen: Warum der Schutz über die Auszahlung entscheidet
Sicherheit wird zur Vertragsbedingung bei der Cyberversicherung
Hier kommt der Teil, den viele Geschäftsführer unterschätzen. Die Versicherer verlangen nicht nur zur Preisberechnung ein Mindestmaß an Sicherheit, sie machen es zur Bedingung. Angesichts der wachsenden Schäden bestehen sie bei Neuabschlüssen auf wirksamen Schutzmaßnahmen.² Sind elementare Standards nicht erfüllt, wird es mit dem Versicherungsschutz schwer, und zwar in beide Richtungen: Entweder kommt kein Vertrag zustande, oder er kommt zustande, aber im Schadenfall prüft der Versicherer, ob du deine Zusagen eingehalten hast.
Das ist der Punkt, an dem es teuer wird. Wenn du im Fragebogen angibst, dass du regelmäßige Backups fährst und Updates zeitnah einspielst, dann ist das keine unverbindliche Absichtserklärung. Es sind Obliegenheiten. Stellt sich nach einem Angriff heraus, dass die Backups seit Monaten nicht liefen oder eine bekannte Sicherheitslücke wochenlang offenstand, kann der Versicherer die Leistung kürzen oder ganz verweigern. Du hättest dann Beiträge gezahlt und im entscheidenden Moment trotzdem keinen Schutz.
Die Kluft zwischen Selbstbild und Wirklichkeit
Die Realität im Mittelstand macht dieses Risiko greifbar. Eine repräsentative Forsa-Umfrage im Auftrag des GDV zeigt, dass mehr als zwei Drittel der befragten Unternehmen nicht einmal alle Basiskriterien für IT-Sicherheit erfüllen, etwa starke Passwörter oder regelmäßige Updates.⁵ 64 Prozent verzichten auf Schulungen für ihre Belegschaft, obwohl der Mensch das häufigste Einfallstor ist. Und fast jedes zweite Unternehmen, nämlich 48 Prozent, hat für den Ernstfall keinen Notfallplan.⁵
Besonders auffällig ist die Kluft zwischen Gefühl und Wirklichkeit: 77 Prozent halten sich für ausreichend gewappnet, aber die Mehrheit schätzt ihre Lage besser ein, als sie tatsächlich ist.⁵ Beim Risiko fällt dieselbe Verzerrung auf. 78 Prozent halten Cyberangriffe auf den Mittelstand allgemein für wahrscheinlich, aber nur 38 Prozent sehen die Gefahr für den eigenen Betrieb.⁵
Diese Lücke zwischen Selbstbild und Sicherheitslage ist genau das, was einen Vertrag im Schadenfall wertlos machen kann. Wer glaubt, gut geschützt zu sein, füllt den Fragebogen entsprechend optimistisch aus, und merkt erst nach dem Angriff, dass die Angaben nicht standhielten.
Wir richten deine Backups so ein, dass sie im Ernstfall wirklich funktionieren, kümmern uns um Updates und Zugänge und dokumentieren den Zustand so, dass du ihn dem Versicherer schwarz auf weiß nachweisen kannst. Sprich uns an, bevor du unterschreibst, nicht danach.
Backups schützen – aber nicht gegen alles!
Doppelte Erpressung als neue Realität
Ein Detail aus dem aktuellen BSI-Lagebericht solltest du kennen, weil es beeinflusst, wie du über Absicherung nachdenkst. Die größten Schäden richten Angreifer inzwischen mit einer Kombination an: Sie verschlüsseln deine Daten und drohen zugleich, sie zu veröffentlichen. Gegen die Verschlüsselung helfen gute Backups. Gegen die Veröffentlichung gestohlener Daten helfen sie nicht.¹ Selbst wenn du deine Systeme aus einer Sicherung wiederherstellen kannst, bleibt die Erpressung mit abgeflossenen Kunden- oder Geschäftsdaten bestehen.
Was das für deine Vorsorge bedeutet
Für dich heißt das zweierlei. Erstens ist Prävention breiter zu denken als nur Datensicherung. Es geht auch darum, den Abfluss von Daten von vornherein zu verhindern. Zweitens zeigt sich hier, wofür der Haftungsteil einer Cyberpolice da ist. Wenn durch einen Vorfall Daten Dritter betroffen sind, entstehen Ansprüche, die schnell die Wiederherstellungskosten übersteigen. Genau diese Folgeschäden fängt eine gut gewählte Deckung auf.
Was das für die Kalkulation deiner Cyberversicherung heißt
Die Richtung des Preises bestimmst du mit
Zurück zur Ausgangsfrage. Einen belastbaren Euro-Betrag kann seriös niemand nennen, ohne deinen Umsatz, deine Branche, dein Sicherheitsniveau und deine gewünschte Deckung zu kennen. Prämien werden individuell kalkuliert, und das ist kein Ausweichen, sondern die Logik dieses Produkts. Was du aber weißt: Die Richtung des Preises bestimmst du mit. Ein Unternehmen mit sauber aufgesetzten Backups, gepflegten Systemen, Zwei-Faktor-Anmeldung und geschulten Mitarbeitern zahlt weniger und bekommt überhaupt erst einen vernünftigen Vertrag. Ein Betrieb mit Lücken zahlt mehr, bekommt Auflagen oder gar keinen Schutz, und riskiert im Schadenfall die Auszahlung.
Kosten der Cyberversicherung im richtigen Verhältnis
Ordne die Kosten außerdem ins Verhältnis. Ein durchschnittlicher Cyberschaden lag zuletzt bei 45.370 Euro,² und das ist nur der Mittelwert. Nach oben ist die Spanne offen, gerade wenn ein Betrieb tagelang stillsteht oder Kundendaten abfließen. Gegen diese Größenordnung ist eine Jahresprämie überschaubar, vorausgesetzt, die Grundlagen stimmen und die Police greift im Ernstfall wirklich.
Ein letzter Hinweis in eigener Sache: Dieser Beitrag ordnet die Kostenlogik ein, er ersetzt keine Versicherungs- oder Rechtsberatung. Welche Deckung und welcher Selbstbehalt zu deinem Betrieb passen, klärst du mit einem Versicherer oder Makler deines Vertrauens. Was wir beisteuern, ist die Voraussetzung dafür, dass sich diese Beratung überhaupt lohnt: eine IT, die den Anforderungen standhält.
IPEXX Systems bringt die IT mittelständischer Unternehmen in der Region Wörnitz, Ansbach, Crailsheim, Dinkelsbühl und Nürnberg auf einen Stand, der den Fragebogen der Versicherer besteht und den Beitrag senkt. Vereinbare ein unverbindliches Gespräch, und wir schauen uns gemeinsam an, wo du stehst
Häufige Fragen zum Thema
Was kostet eine Cyberversicherung für ein mittelständisches Unternehmen?
Einen festen Preis gibt es nicht, weil jede Police einzeln kalkuliert wird. Die Prämie hängt von deinem Umsatz, deiner Branche, deinem Sicherheitsniveau, der gewünschten Deckungssumme und dem Selbstbehalt ab. Wer dir ohne Kenntnis dieser Faktoren eine konkrete Zahl nennt, rät im besten Fall. Was eine passende Cyberversicherung am Ende kostet, bestimmst du deshalb zu einem großen Teil selbst mit.
Wovon hängt die Höhe der Prämie ab?
Fünf Faktoren bestimmen den Preis: Umsatz und Unternehmensgröße, Branche und Tätigkeit, dein tatsächliches Sicherheitsniveau, die Deckungssumme und der Selbstbehalt. Umsatz und Branche kannst du kaum beeinflussen, dein Sicherheitsniveau dagegen sehr wohl. Genau hier entscheidet sich oft, ob zwei ähnliche Betriebe eine ähnliche oder eine sehr unterschiedliche Prämie zahlen. Eine passende Cyberversicherung setzt deshalb ein solides IT-Fundament voraus, das den Preis nach unten zieht.
Warum gibt es keinen festen Tarif?
Eine Cyberversicherung deckt ein Risiko ab, das sich ständig verändert. Das BSI zählte zuletzt durchschnittlich 119 neue Schwachstellen pro Tag, ein Anstieg von rund 24 Prozent gegenüber dem Vorjahr. Für die Versicherer ist das ein bewegliches Ziel, das sie bei jedem Vertrag neu bewerten. Deshalb entsteht der Preis für eine passende Cyberversicherung immer aus deinem individuellen Risiko und nicht aus einer festen Tabelle.
Welche Sicherheitsmaßnahmen verlangen die Versicherer?
Die Grundlagen stehen im Muster-Risikofragebogen des GDV: regelmäßige und getrennt aufbewahrte Datensicherungen, starke Passwörter, zeitnahe Sicherheitsupdates, Virenschutz und Firewall. Zunehmend kommt die Zwei-Faktor-Authentifizierung dazu, gerade für Zugänge von außen, und geschulte Mitarbeiter, weil die meisten Angriffe beim Menschen beginnen. Erfüllst du diese Punkte nicht, wird ein Vertrag teuer oder kommt gar nicht erst zustande. Für eine passende Cyberversicherung lohnt es sich deshalb, das Sicherheitsniveau vor dem Antrag prüfen zu lassen, und genau dabei unterstützt dich IPEXX Systems.
Zahlt die Versicherung immer, wenn etwas passiert?
Nicht automatisch. Die Angaben, die du im Fragebogen machst, sind Obliegenheiten, also verbindliche Zusagen. Stellt sich nach einem Angriff heraus, dass die Backups seit Monaten nicht liefen oder eine bekannte Lücke wochenlang offenstand, kann der Versicherer die Leistung kürzen oder ganz verweigern. Eine passende Cyberversicherung schützt dich also nur dann zuverlässig, wenn deine IT im Alltag tatsächlich hält, was der Vertrag verspricht.
Ist mein Unternehmen zu klein, um angegriffen zu werden?
Das ist eine gefährliche Fehleinschätzung. Laut BSI sind für Angreifer weder Umsatz noch Branche entscheidend, sondern das Verhältnis von Aufwand und Ertrag, und rund 80 Prozent der angezeigten Angriffe treffen kleine und mittlere Unternehmen. Kriminelle suchen ihre Ziele automatisiert und schlagen dort zu, wo der Schutz am schwächsten ist. Eine passende Cyberversicherung ist deshalb gerade für kleinere Betriebe sinnvoll, vorausgesetzt, die technische Vorsorge stimmt.
Was ist ein Selbstbehalt und wie beeinflusst er den Preis?
Der Selbstbehalt ist der Anteil an einem Schaden, den du selbst trägst. Wählst du ihn höher, sinkt die Prämie, weil der Versicherer die kleinen Schäden nicht mehr übernimmt. Für einen Betrieb, der einen Ausfall von einigen Tausend Euro zur Not verkraftet, kann das sinnvoll sein; wer schon bei einem kleineren Schaden ins Straucheln käme, hält ihn besser niedrig. Bei einer passenden Cyberversicherung ist der Selbstbehalt also eine bewusste Abwägung zwischen Prämienhöhe und eigenem Risiko.
Was leistet eine Cyberversicherung im Schadensfall?
Der eigentliche Wert liegt oft in den Leistungen, die im Moment des Angriffs greifen. Die Versicherung schickt und bezahlt IT-Forensiker, vermittelt Anwälte und Fachleute für Krisenkommunikation und übernimmt Kosten bei Betriebsunterbrechung, Datenwiederherstellung und Ansprüchen Dritter. Diesen Apparat aus eigener Kraft aufzustellen, gelingt den wenigsten mittelständischen Betrieben. Genau das macht eine passende Cyberversicherung im Ernstfall so wertvoll.
Ersetzt eine Cyberversicherung technische Schutzmaßnahmen?
Nein. Eine Versicherung ist ein Sicherheitsnetz, kein Schutzschild, wie es auch der GDV formuliert. Sie verhindert keinen Angriff, sondern fängt die Folgen auf, wenn die Vorsorge nicht gereicht hat. Backups helfen zum Beispiel gegen Verschlüsselung, aber nicht gegen die Veröffentlichung gestohlener Daten. Eine passende Cyberversicherung ergänzt deine IT-Sicherheit also, sie ersetzt sie nicht.
Wie kann ich meine Prämie senken?
Der wirksamste Hebel ist dein Sicherheitsniveau. Sauber aufgesetzte und getrennt aufbewahrte Backups, gepflegte Systeme, Zwei-Faktor-Anmeldung und geschulte Mitarbeiter senken dein Risiko aus Sicht des Versicherers und damit die Prämie. Wichtig ist außerdem, den Zustand deiner IT so zu dokumentieren, dass du ihn im Fragebogen belegen kannst. Für eine passende Cyberversicherung bringt IPEXX Systems die IT von Betrieben in der Region Wörnitz, Ansbach, Crailsheim, Dinkelsbühl und Nürnberg auf genau diesen Stand.