Cyberversicherung und DSGVO: Was ist versicherbar?

Ein Datenschutzvorfall beginnt selten mit einer abstrakten Rechtsfrage. Meist steht zuerst der operative Druck im Raum: Systeme sind betroffen, personenbezogene Daten könnten abgeflossen sein, Kunden erwarten Antworten und die Geschäftsleitung muss Entscheidungen treffen. Genau an dieser Schnittstelle wird die Frage „Cyberversicherung und DSGVO – was ist versicherbar?“ konkret. Eine Cyberpolice kann erhebliche finanzielle Folgen abfedern. Sie ersetzt jedoch weder Datenschutzorganisation noch technische Sicherheitsmaßnahmen - und sie deckt nicht jede denkbare DSGVO-Folge automatisch ab.

Cyberversicherung und DSGVO: Was ist versicherbar?

Die DSGVO begründet Pflichten rund um den Schutz personenbezogener Daten. Kommt es zu einer Verletzung des Schutzes dieser Daten, entstehen häufig mehrere Kostenarten gleichzeitig: technische Untersuchung, Eindämmung, Kommunikation, rechtliche Einordnung, mögliche Ansprüche Betroffener und Folgen für den laufenden Betrieb.

Eine leistungsfähige Cyberversicherung ist darauf ausgerichtet, diese Kette eines versicherten Cyberereignisses zu begleiten. Entscheidend ist nicht allein, ob „Datenschutz“ im Bedingungswerk erwähnt wird. Entscheidend sind die konkreten Auslöser, versicherten Kostenpositionen, Sublimits, Selbstbehalte, Ausschlüsse und Obliegenheiten.

Versicherbar sind typischerweise die Kosten der IT-Forensik und Incident Response. Spezialisten klären, was passiert ist, welche Systeme oder Daten betroffen sind und welche Maßnahmen zur Stabilisierung erforderlich sind. Gerade für mittelständische Unternehmen ist dieser Zugang zu eingespielten Experten oft wertvoller als eine pauschale Kostenzusage, denn die ersten Stunden beeinflussen Schadenhöhe, Betriebsunterbrechung und Nachweislage.

Auch Kosten für die Krisenkommunikation, Benachrichtigung betroffener Personen und die Einrichtung von Informationsprozessen können versichert sein. Ob und in welchem Umfang das greift, hängt von der Police und vom Szenario ab. Bei großen Datenbeständen können Informations- und Kommunikationskosten schnell relevant werden. Unternehmen sollten daher prüfen, ob die vereinbarte Versicherungssumme zur eigenen Datenmenge und zur Kundenstruktur passt.

Diese DSGVO-Folgen können gedeckt sein

Eigenschäden nach einem Datenschutzvorfall

Zu den häufig versicherbaren Eigenschäden gehören Aufwendungen für die Wiederherstellung betroffener Daten und Systeme, externe IT-Dienstleistungen sowie Mehrkosten zur Aufrechterhaltung des Betriebs. Besteht durch den Cybervorfall eine Betriebsunterbrechung, kann auch ein daraus resultierender Ertragsausfall Teil des Schutzes sein. Voraussetzung ist stets, dass der Versicherungsfall nach den Bedingungen ausgelöst wurde und die vereinbarten Wartezeiten, Nachweis- und Meldepflichten eingehalten sind.

Datenschutzrechtlich relevant wird dies etwa, wenn ein Angriff auf ein E-Mail-System, eine unberechtigte Offenlegung oder eine Fehlkonfiguration zu einem Verlust der Vertraulichkeit personenbezogener Daten führt. Die technische Bewältigung und die organisatorische Reaktion lassen sich nicht sauber voneinander trennen. Deshalb sollten Unternehmen keine Police wählen, die nur einzelne Kostenblöcke betrachtet, aber keine koordinierte Schadenhilfe vorsieht.

Ansprüche betroffener Personen und Dritter

Betroffene Personen können unter bestimmten Voraussetzungen Schadensersatz verlangen. Auch Geschäftspartner können Ansprüche geltend machen, wenn vertragliche Datenschutz- oder Sicherheitsanforderungen verletzt wurden und daraus ein Schaden entsteht. Eine Cyberversicherung kann Haftpflichtansprüche Dritter einschließlich der Kosten für deren Prüfung und Abwehr umfassen.

Hier ist Präzision gefragt. Nicht jede Forderung ist berechtigt, nicht jede Vertragsstrafe ist versicherbar und nicht jede Datenschutzklausel in Kundenverträgen passt automatisch zur Cyberpolice. Wer regelmäßig als Auftragsverarbeiter tätig ist, besonders sensible Daten verarbeitet oder weitreichende vertragliche Haftungen akzeptiert, sollte seine Deckung daran ausrichten. Die Police muss zur tatsächlichen Rolle im Datenverarbeitungsprozess passen - nicht nur zur Branche auf dem Antrag.

Kosten im Zusammenhang mit Behördenverfahren

Nach einem meldepflichtigen Vorfall kann die zuständige Aufsichtsbehörde Informationen anfordern oder ein Verfahren einleiten. Viele Cyberpolicen sehen Kosten für die Unterstützung bei solchen Verfahren vor, etwa für spezialisierte Beratung, Stellungnahmen oder die Verteidigung gegen versicherte Ansprüche. Der Umfang unterscheidet sich jedoch deutlich zwischen den Tarifen.

Besonders sorgfältig muss die Frage von Bußgeldern bewertet werden. Ob ein DSGVO-Bußgeld versicherbar ist, hängt vom anwendbaren Recht, vom konkreten Sachverhalt und von der Formulierung der Police ab. Teilweise enthalten Verträge eine Deckung, soweit eine Versicherung rechtlich zulässig ist. Daraus folgt keine automatische Zahlungspflicht des Versicherers. Vorsätzliche Pflichtverletzungen, unversicherbare Sanktionen oder nicht gedeckte Tatbestände bleiben ausgeschlossen. Unternehmen sollten Bußgelder daher nicht als kalkulierbaren Bestandteil ihres Risikotransfers behandeln.

Wo die Grenze der Versicherbarkeit liegt

Cyberversicherung ist die dritte Säule der IT-Sicherheit - nach Prävention und technischen Schutzmaßnahmen. Sie ist kein Ersatz für ein gepflegtes Sicherheitsniveau. Versicherer prüfen deshalb zunehmend, ob grundlegende Schutzvorkehrungen tatsächlich umgesetzt sind. Dazu zählen insbesondere Mehrfaktor-Authentifizierung für relevante Zugänge, belastbare Datensicherungen, Patch- und Berechtigungsmanagement sowie ein nachvollziehbarer Umgang mit privilegierten Konten.

Diese Anforderungen sind keine reine Hürde im Antragsprozess. Fehlen zentrale Maßnahmen, steigt das Schadeneintrittsrisiko erheblich. Zudem können unzutreffende Angaben, nicht eingehaltene Sicherheitsvorgaben oder verspätete Schadenmeldungen den Versicherungsschutz gefährden. Es kommt auf die Formulierung der jeweiligen Obliegenheit an: Manche Anforderungen gelten vor Vertragsschluss, andere dauerhaft oder erst im Schadenfall. Pauschale Aussagen helfen hier nicht weiter.

Nicht versicherbar oder regelmäßig ausgeschlossen sind vorsätzlich herbeigeführte Schäden. Ebenfalls problematisch sind bereits bekannte Vorfälle oder Umstände, die vor Versicherungsbeginn erkennbar waren. Wer nach einem bereits entdeckten Datenabfluss Schutz sucht, kann diesen konkreten Vorfall normalerweise nicht nachträglich versichern.

Auch reine Compliance-Defizite ohne versichertes Ereignis sind nicht die Aufgabe einer Cyberpolice. Fehlen etwa Verzeichnisse, Prozesse oder Datenschutzvereinbarungen, finanziert der Versicherer deren allgemeinen Aufbau üblicherweise nicht. Gleiches gilt für geplante Modernisierungen der IT. Versicherbar sind die Folgen eines versicherten Schadensereignisses, nicht die ohnehin erforderliche betriebliche Sorgfalt.

DSGVO-Deckung richtig prüfen: Nicht auf Schlagworte vertrauen

Eine Policenprüfung sollte mit den tatsächlichen Datenflüssen beginnen. Welche personenbezogenen Daten werden verarbeitet? Wo liegen sie? Wer hat Zugriff? Welche Dienstleister sind eingebunden? Welche Systeme wären bei einem Ausfall geschäftskritisch? Erst aus diesen Antworten lässt sich ableiten, welche Schadenbilder wirtschaftlich relevant sind.

Danach folgt der Blick in die Bedingungen. Unternehmen sollten insbesondere klären, ob Datenschutzverletzungen als versichertes Ereignis erfasst sind, welche Kosten für Forensik und Benachrichtigungen übernommen werden, wie Ansprüche Dritter behandelt werden und ob behördliche Verfahren eingeschlossen sind. Ebenso relevant sind Versicherungssumme, Selbstbehalt, Sublimits und die Frage, ob der Versicherer im Ernstfall bestimmte Dienstleister steuert oder eine freie Auswahl zulässt.

Bei bestehenden Verträgen lohnt sich zudem ein Abgleich zwischen Antrag und Realität. Sind neue Cloud-Dienste, Standorte, Tochtergesellschaften, Umsätze oder veränderte Sicherheitsarchitekturen hinzugekommen, kann die ursprünglich passende Deckung heute Lücken aufweisen. Das ist kein theoretisches Detail: Gerade nach Wachstum, einer IT-Umstellung oder veränderten Kundenanforderungen weichen Risikoprofil und Police häufig auseinander.

Versicherbarkeit entsteht im Zusammenspiel von IT und Management

Die besten Ergebnisse entstehen, wenn Geschäftsleitung, IT-Verantwortliche, Datenschutzorganisation und gegebenenfalls das betreuende Systemhaus dieselbe Risikobeschreibung verwenden. Die Geschäftsleitung bewertet Haftung, Betriebsfortführung und finanzielle Tragfähigkeit. Die IT kann Maßnahmen, Abhängigkeiten und Wiederanlauf realistisch einschätzen. Gemeinsam entsteht ein Bild, das gegenüber Versicherern belastbar ist und im Schadenfall nicht an widersprüchlichen Angaben scheitert.

CyberShield begleitet diesen Prozess unabhängig vom Versicherer: von der Risikoeinschätzung über die Abstimmung technischer Anforderungen bis zur Analyse vorhandener oder neuer Deckungskonzepte. Das Ziel ist nicht, jede Anforderung formal abzuhaken, sondern eine belastbare Verbindung zwischen Sicherheitsniveau, DSGVO-Exposition und finanziellem Risikotransfer herzustellen.

Wer seine Cyberversicherung vor dem nächsten Vorfall strukturiert prüft, verschafft sich vor allem Handlungsfähigkeit: mit klaren Zuständigkeiten, realistischen Erwartungen an die Deckung und einem Sicherheitsniveau, das auch bei der Versicherbarkeit trägt.

Fachtexte und Ratgeberbeiträge entstehen unter Einsatz von KI und werden vor der Veröffentlichung fachlich geprüft. Die redaktionelle Verantwortung liegt bei uns.