Wann bekommt man keine Cyber-Versicherung?

Ein Versicherer lehnt einen Antrag selten ab, weil ein Unternehmen „zu klein“ oder pauschal „zu riskant“ ist. Entscheidend ist, ob sich das Cyberrisiko nachvollziehbar einschätzen und begrenzen lässt. Die häufige Frage „Wann bekommt man keine Cyber-Versicherung?“ betrifft daher nicht nur den Versicherungsmarkt. Sie führt direkt zu Backup-Konzepten, Zugriffsrechten, Verantwortlichkeiten und zur Fähigkeit eines Unternehmens, nach einem Angriff handlungsfähig zu bleiben.

Für Geschäftsführer und IT-Verantwortliche ist das eine wichtige Unterscheidung: Eine Ablehnung ist kein bloßes Vertriebsproblem. Sie zeigt oft, dass technische oder organisatorische Mindeststandards fehlen, die im Ernstfall die Schadenhöhe erheblich beeinflussen können. Gleichzeitig bedeutet eine Absage nicht zwangsläufig, dass Cyberversicherung dauerhaft unmöglich ist. Häufig lässt sich Versicherbarkeit gezielt herstellen.

Wann bekommt man keine Cyber-Versicherung?

Es gibt keinen einheitlichen Annahmekatalog für alle Versicherer. Risikofragen, Mindestanforderungen und Zeichnungsentscheidungen unterscheiden sich nach Unternehmensgröße, Branche, Umsatz, Datenverarbeitung, internationaler Tätigkeit und vorhandener IT-Landschaft. Dennoch gibt es wiederkehrende Konstellationen, in denen Versicherer einen Antrag ablehnen, zunächst zurückstellen oder nur mit eingeschränkten Bedingungen prüfen.

Besonders kritisch wird es, wenn grundlegende Schutzmaßnahmen nicht vorhanden, nicht dokumentiert oder nicht verlässlich umgesetzt sind. Versicherer kalkulieren nicht, ob ein Angriff theoretisch möglich ist. Sie bewerten, ob ein Angriff mit hoher Wahrscheinlichkeit zu einem schwer kontrollierbaren Betriebsstillstand, Datenverlust oder einer kostspieligen Haftungssituation führt.

Fehlende Mehrfaktor-Authentifizierung

Fehlt eine Mehrfaktor-Authentifizierung für zentrale Zugänge, ist das heute einer der häufigsten Gründe für Probleme im Antrag. Das betrifft insbesondere E-Mail-Konten, Fernzugänge, administrative Konten, Cloud-Anwendungen und Systeme mit privilegierten Berechtigungen.

Dabei genügt es nicht immer, Mehrfaktor-Authentifizierung nur für einen Teil der Mitarbeitenden anzubieten. Versicherer wollen wissen, für welche Zugriffe sie verbindlich durchgesetzt wird und ob Ausnahmen kontrolliert werden. Nicht jede technische Umgebung lässt sich sofort vollständig umstellen. Wer offene Ausnahmen jedoch kennt, bewertet und mit einem konkreten Umsetzungsplan versieht, kann seine Ausgangslage wesentlich besser darstellen als ein Unternehmen ohne Transparenz.

Backups, die im Notfall nicht nutzbar sind

Ein vorhandenes Backup ist noch kein belastbares Wiederherstellungskonzept. Kritisch wird es, wenn Sicherungen permanent mit dem produktiven Netzwerk verbunden sind, nicht gegen Manipulation geschützt werden oder ihre Wiederherstellung nie getestet wurde. Nach einer Ransomware-Attacke entscheidet die Qualität der Backups oft darüber, ob ein Unternehmen wenige Tage beeinträchtigt ist oder über Wochen nicht liefern, fakturieren oder kommunizieren kann.

Versicherer achten deshalb auf getrennte oder besonders geschützte Sicherungen, geregelte Aufbewahrungsfristen und regelmäßige Restore-Tests. Je stärker der Geschäftsbetrieb von IT-Systemen abhängt, desto genauer fällt diese Prüfung aus. Ein Backup-Konzept, das nur auf Papier besteht, verbessert die Versicherbarkeit kaum.

Unkontrollierte Administratorrechte und veraltete Systeme

Zu weitreichende Zugriffsrechte vergrößern die mögliche Schadensausbreitung. Wenn viele Nutzer lokale Administratorrechte besitzen oder privilegierte Konten ohne klare Regeln genutzt werden, fehlt eine zentrale Sicherheitsbarriere. Gleiches gilt für gemeinsam verwendete Admin-Zugänge, unklare Verantwortlichkeiten und nicht dokumentierte Dienstleisterzugriffe.

Auch nicht mehr unterstützte Betriebssysteme oder geschäftskritische Anwendungen ohne nachvollziehbare Absicherung werden kritisch bewertet. Nicht jedes ältere System führt automatisch zur Ablehnung. In Produktionsumgebungen oder bei spezialisierten Anwendungen sind Übergangslösungen oft unvermeidbar. Dann erwarten Versicherer jedoch, dass das Risiko segmentiert, überwacht und durch kompensierende Maßnahmen begrenzt wird. Ohne solche Vorkehrungen kann die Zeichnung scheitern.

Kein geregeltes Patch- und Sicherheitsmanagement

Sicherheitsupdates müssen nicht zwangsläufig am Tag ihrer Veröffentlichung installiert sein. Entscheidend ist ein belastbarer Prozess: Wer bewertet Updates? Welche Systeme sind betroffen? Wie werden kritische Aktualisierungen priorisiert, getestet und dokumentiert? Und was geschieht bei Ausnahmen?

Unternehmen ohne diesen Prozess können gegenüber Versicherern schwer nachweisen, dass sie bekannte Risiken laufend behandeln. Besonders problematisch sind externe Zugänge, E-Mail-Infrastruktur, Firewalls, Server und Anwendungen, die sensible Daten verarbeiten. Ein IT-Dienstleister kann dabei eine wichtige Rolle übernehmen. Die Verantwortung für die Umsetzung und die korrekte Beantwortung der Risikofragen bleibt jedoch beim Unternehmen.

Nicht jede schwierige Risikofrage führt zur Ablehnung

Eine fehlende Maßnahme, ein früherer Sicherheitsvorfall oder ein komplexes IT-Umfeld bedeutet nicht automatisch: keine Police. In der Praxis gibt es drei unterschiedliche Ergebnisse. Ein Versicherer kann ablehnen, die Entscheidung bis zur Umsetzung bestimmter Maßnahmen verschieben oder Schutz mit abweichenden Konditionen und Selbstbehalten anbieten.

Wichtig ist, diese Ergebnisse nicht zu verwechseln. Eine Police mit erheblichen Leistungseinschränkungen löst das ursprüngliche Risiko möglicherweise nicht. Umgekehrt kann eine zeitlich realistische Sicherheitsmaßnahme den Zugang zu einem tragfähigen Schutz erst ermöglichen. Der richtige Weg hängt davon ab, welche Systeme geschäftskritisch sind, welche Daten verarbeitet werden und welche Ausfallfolgen das Unternehmen tatsächlich tragen könnte.

Frühere Schäden und laufende Vorfälle

Ein bereits eingetretener Cybervorfall wird im Antrag regelmäßig abgefragt. Versicherer betrachten dabei nicht nur das Ereignis selbst, sondern vor allem dessen Aufarbeitung. Wurde die Ursache untersucht? Wurden Zugangsdaten, Prozesse oder Systeme angepasst? Gibt es noch offene Auswirkungen, etwa unklare Datenabflüsse oder fortdauernde Betriebsstörungen?

Ein laufender oder noch nicht bereinigter Vorfall kann dazu führen, dass aktuell kein Schutz zustande kommt. Versicherung ist für ungewisse zukünftige Risiken gedacht, nicht für bereits bekannte Schadenlagen. Wer einen früheren Vorfall offen und strukturiert darstellt, einschließlich der ergriffenen Maßnahmen, schafft dagegen eine deutlich belastbarere Grundlage für die Risikoprüfung.

Unvollständige oder widersprüchliche Angaben

Cyberanträge enthalten technische und organisatorische Fragen, die häufig zwischen Geschäftsführung, IT-Abteilung und externem Systemhaus abgestimmt werden müssen. Genau hier entstehen vermeidbare Probleme: Eine Antwort wird vorschnell angekreuzt, Maßnahmen gelten nur für Teilbereiche oder Aussagen widersprechen sich im weiteren Verlauf der Prüfung.

Unvollständige Angaben können die Annahme verhindern und im Schadenfall zu erheblichen Diskussionen führen. Deshalb sollten Risikofragen nicht wie eine administrative Formalität behandelt werden. Sie bilden die Grundlage dafür, welchen Risikotransfer der Versicherer tatsächlich übernimmt. Unklarheiten gehören vor Abgabe geklärt und nachvollziehbar dokumentiert.

Versicherbarkeit strukturiert herstellen

Der praktikable Ausgangspunkt ist keine pauschale Maßnahmenliste, sondern eine Bestandsaufnahme. Welche Zugänge sind besonders kritisch? Wie werden Backups wiederhergestellt? Welche Dienstleister haben Zugriff? Welche Systeme sind für Produktion, Vertrieb, Buchhaltung oder Kundenservice unverzichtbar? Und wer entscheidet im Ernstfall?

Darauf aufbauend lassen sich Maßnahmen priorisieren. Zuerst gehören typischerweise Identitäts- und Zugriffsmanagement, belastbare Backups, Updates für kritische Systeme sowie ein klarer Umgang mit Sicherheitsvorfällen auf die Agenda. Danach folgen unternehmensspezifische Themen wie Netzwerksegmentierung, Lieferantensteuerung, Datenschutzprozesse und Anforderungen aus NIS2 oder vertraglichen Sicherheitsvorgaben.

Eine Cyberversicherung ersetzt diese Maßnahmen nicht. Sie ist die dritte Säule der IT-Sicherheit neben Prävention und technischen Schutzvorkehrungen. Ihre Aufgabe ist es, finanzielle Folgen, Krisendienstleistungen und Haftungsrisiken abzufedern, wenn Schutzmaßnahmen trotz angemessener Vorbereitung überwunden werden.

Für die Antragsphase lohnt sich eine koordinierte Zusammenarbeit zwischen Geschäftsführung, IT-Verantwortlichen und IT-Dienstleister. Ein spezialisierter, unabhängiger Makler wie CyberShield kann die Risikofragen einordnen, Anforderungen verschiedener Versicherer vergleichen und aufzeigen, welche Maßnahmen für die Versicherbarkeit wirklich entscheidend sind. Das verhindert, dass Unternehmen Zeit in wenig relevante Nachweise investieren oder Deckungslücken erst nach Vertragsabschluss erkennen.

Auch nach dem Abschluss bleibt Sicherheit entscheidend

Versicherbarkeit ist kein einmaliger Status. Wächst das Unternehmen, führt neue Cloud-Anwendungen ein, übernimmt einen Betrieb oder verändert seine Lieferkette, kann sich das Risikoprofil deutlich verschieben. Ebenso können Versicherer ihre Mindestanforderungen bei Verlängerungen anpassen.

Deshalb gehört die Cyberpolice in den regelmäßigen Austausch zwischen Management und IT. Änderungen an Schutzmaßnahmen, neue kritische Dienstleister und wesentliche Vorfälle sollten nicht erst kurz vor der Verlängerung sichtbar werden. Wer Risiken fortlaufend steuert und seine Sicherheitslage nachvollziehbar dokumentiert, schafft die bessere Grundlage für belastbaren Versicherungsschutz - und für einen Geschäftsbetrieb, der auch unter Druck entscheidungsfähig bleibt.

Fachtexte und Ratgeberbeiträge entstehen unter Einsatz von KI und werden vor der Veröffentlichung fachlich geprüft. Die redaktionelle Verantwortung liegt bei uns.