Cyberversicherung für KMU: was sie zahlt und verlangt

Der Anruf kommt, wenn es schon zu spät ist

Ein Betrieb mit zwölf Leuten ruft an. Der Server ist verschlüsselt, die Täter wollen Geld, und irgendwann fällt der Satz: «Wir haben ja eine Cyberversicherung.» Dann kommt die Police auf den Tisch, und darin steht, dass MFA für alle Zugänge Pflicht war. Zwei Konten hatten keine. Die Versicherung prüft das genau, und aus der schnellen Hilfe wird eine lange Diskussion.

Genau hier liegt der Punkt, den viele unterschätzen. Eine Cyberversicherung ist kein Sicherheitsnetz, das einfach da ist. Sie ist ein Vertrag mit Bedingungen. Und wer die Bedingungen nicht erfüllt, steht im Ernstfall womöglich ohne Deckung da, obwohl er brav die Prämie bezahlt hat.

Was so eine Police überhaupt abdeckt

Eine gute Cyberversicherung zahlt nicht nur das Lösegeld, um das geht es sogar am wenigsten. Der grosse Nutzen liegt woanders.

Da ist zuerst die Soforthilfe. Bei einem Vorfall bekommen Sie einen Notfalldienst, der ans Telefon geht und weiss, was zu tun ist. IT-Forensiker, die den Angriff eingrenzen, und im Fall einer Datenpanne auch juristische Beratung. Für einen kleinen Betrieb ohne eigene IT ist das oft mehr wert als jede Auszahlung, weil in den ersten Stunden jede Fehlentscheidung teuer wird.

Dann der eigentliche Schaden. Die Wiederherstellung der Systeme, der Ertragsausfall während des Stillstands, allenfalls Kosten für Ersatzhardware. Wenn Kundendaten abgeflossen sind, kommen Meldepflichten und Benachrichtigungen dazu, und auch die kosten Zeit und Geld.

Und schliesslich die Haftung gegenüber Dritten. Wenn über Ihr System Daten von Kunden oder Partnern verloren gehen und die Ansprüche stellen, springt die Versicherung ein. Manche Policen decken auch Betrugsfälle mit, etwa wenn ein Mitarbeitender auf eine gefälschte Zahlungsanweisung hereinfällt. Das ist aber nicht selbstverständlich, oft ist es ein Zusatzbaustein.

Was die Versicherung von Ihnen verlangt

Jetzt kommt der Teil, der im Kleingedruckten steht und über die Deckung entscheidet. Versicherer haben in den letzten Jahren gelernt, dass sie ohne Mindeststandards jeden zweiten Fall zahlen. Also verlangen sie heute konkrete Massnahmen, bevor sie überhaupt eine Police ausstellen.

Der erste Punkt ist fast immer die Multifaktor Authentifizierung, kurz MFA. Also ein zweiter Faktor zusätzlich zum Passwort, meist eine App auf dem Handy. Und zwar nicht nur für den Chef, sondern für alle Zugänge von aussen: Microsoft 365, Fernzugriff, VPN. Ein einziges Konto ohne MFA kann reichen, damit der Versicherer im Schadenfall nachfragt.

Der zweite Punkt ist das Backup. Die Versicherung will wissen, dass Sie Ihre Daten sichern, dass mindestens eine Kopie vom Netz getrennt ist und dass Sie schon mal getestet haben, ob sich die Sicherung überhaupt zurückspielen lässt. Ein Backup, das im Ernstfall nicht funktioniert, ist für den Versicherer kein Backup.

Der dritte Punkt ist der Patch-Stand. Betriebssysteme und Programme müssen aktuell sein, Sicherheitsupdates zeitnah eingespielt. Wer noch mit Windows 10 ohne verlängerten Support oder mit einem veralteten Server läuft, hat hier ein Problem, und zwar sowohl beim Abschluss als auch im Schadenfall.

Dazu kommen je nach Anbieter weitere Dinge: ein aktueller Virenschutz auf allen Geräten, Mitarbeitende, die im Umgang mit Phishing geschult sind, klare Regeln für Zahlungsfreigaben. Beim Abschluss füllen Sie einen Fragebogen aus, und was Sie dort ankreuzen, wird zur verbindlichen Zusage. Kreuzen Sie «MFA überall aktiv» an, obwohl es nicht stimmt, riskieren Sie die Deckung. Nehmen Sie diesen Fragebogen darum ernst und beantworten Sie ihn ehrlich, auch wenn ein Nein unangenehm ist.

Was das kostet, ehrlich gesagt

Pauschale Zahlen sind hier heikel, weil die Prämie stark von Grösse, Branche und Umsatz abhängt. Als grobe Orientierung: Ein kleiner Betrieb mit einer Handvoll Mitarbeitenden liegt oft im Bereich von einigen hundert bis rund tausend Franken im Jahr für eine Grunddeckung. Grössere Firmen oder solche mit sensiblen Daten zahlen deutlich mehr. Wichtiger als der genaue Betrag ist, was drin ist: die Deckungssumme, die Höhe des Selbstbehalts und ob die Soforthilfe rund um die Uhr erreichbar ist.

Ein Rat aus der Praxis: Schauen Sie nicht zuerst auf die Prämie, sondern auf den Selbstbehalt und die Ausschlüsse. Eine günstige Police mit hohem Selbstbehalt und vielen Ausnahmen bringt im Ernstfall wenig.

Wann sie sich lohnt, und wann Sie das Geld besser anders ausgeben

Eine Cyberversicherung lohnt sich, wenn ein Ausfall Ihren Betrieb wirklich treffen würde. Wenn Sie ohne Ihre Systeme nicht arbeiten können, wenn Sie Kundendaten verwalten, wenn ein paar Tage Stillstand die Firma ins Wanken bringen. Das trifft auf die meisten Betriebe heute zu.

Es gibt aber eine wichtige Reihenfolge. Die Versicherung ersetzt die Sicherheit nicht, sie setzt sie voraus. Wenn Sie heute kein sauberes Backup und keine MFA haben, dann ist Ihr erster Franken nicht bei der Versicherung gut angelegt, sondern bei diesen Massnahmen. Das ist ohnehin günstiger als jede Prämie, und die Versicherung verlangt es sowieso. Bringen Sie also zuerst die Grundlagen in Ordnung, und schliessen Sie danach die Police ab, die den Rest abfedert. In dieser Reihenfolge bekommen Sie beides zum besten Preis: die tiefere Prämie und den Schutz, der im Ernstfall auch wirklich greift.

Checkliste: bevor Sie eine Police unterschreiben

• MFA auf allen Zugängen von aussen aktiv, für jeden Zugang, nicht nur für die Chefetage
• Backup vorhanden, eine Kopie vom Netz getrennt, Rückspielen schon einmal getestet
• Betriebssysteme und Programme aktuell, keine Geräte ohne Sicherheitsupdates im Einsatz
• Den Versicherungsfragebogen ehrlich ausfüllen, jedes falsche Kreuz kann die Deckung kosten
• Nicht nur auf die Prämie schauen, sondern auf Deckungssumme, Selbstbehalt und Ausschlüsse
• Prüfen, ob eine Soforthilfe rund um die Uhr enthalten ist, das ist im Ernstfall das Wertvollste
• Klären, ob Betrug durch gefälschte Zahlungsanweisungen mitversichert ist oder ein Zusatzbaustein
• Grundschutz zuerst, Police danach, so wird die Prämie tiefer und die Deckung sicher