Cyber-Versicherung für IT-Dienstleister und Softwarehäuser

Warum stehen IT-Dienstleister doppelt im Risiko?

Wer Zugänge zu vielen Kundensystemen verwaltet, ist für Angreifer ein Hebel: Ein gekaperter Fernwartungszugang kann viele Kunden zugleich treffen. Und genau diese Kunden sind das übliche Angriffsziel: Rund 80 Prozent der bekannt gewordenen Ransomware-Angriffe richten sich laut BSI-Lagebericht gegen kleine und mittlere Unternehmen. Der Bitkom zählt 58 Prozent betroffene Unternehmen innerhalb von zwölf Monaten.

Für ein Systemhaus oder Softwarehaus heißt das zwei Fragen:

• Eigener Betrieb: Was passiert, wenn Ihre Entwicklungs-, Support- und Abrechnungssysteme ausfallen?
• Kundenbezug: Was passiert, wenn über Ihren Zugang oder Ihre Software ein Kunde angegriffen wird?

Cyber-Versicherung oder IT-Haftpflicht: Was deckt was?

Beide Verträge ergänzen sich.

• Cyber-Versicherung: typischerweise Eigenschäden (Wiederherstellung, Forensik, Betriebsunterbrechung), Krisenhilfe und Abwehr von Forderungen nach einem Datenleck. Details im Schutzumfang.
• IT-Haftpflicht: Vermögensschäden, die Kunden durch fehlerhafte Leistung oder Software entstehen. Prüfen Sie, wie Schäden durch Schadsoftware oder Datenverlust bei Kunden eingeordnet werden.
• Schnittstelle klären: Lassen Sie sich bestätigen, welcher Vertrag bei einem Angriff über Ihren Fernwartungszugang zuständig ist, damit keine Lücke zwischen beiden entsteht.

Was bedeutet NIS-2 für Managed Service Provider?

In Anlage 1 des BSI-Gesetzes (BSIG 2025) sind Managed Service Provider und Managed Security Service Provider ausdrücklich aufgeführt. Ob Ihr Unternehmen als besonders wichtige oder wichtige Einrichtung gilt, hängt von den Größenschwellen in § 28 BSIG ab. Dann gelten Pflichten zu Risikomanagement und Meldung von Vorfällen. Die Pflichten ersetzen keine Versicherung, und eine Versicherung ersetzt sie nicht. Eine erste Einordnung bietet der NIS-2-Check.

Was verlangen Versicherer von IT-Dienstleistern?

Versicherer fragen bei dieser Branche genauer nach. Üblich sind:

• Mehr-Faktor-Anmeldung für alle Administrator- und Fernwartungszugänge.
• Getrennte, getestete Datensicherung, auch für Entwicklungs- und Repository-Daten.
• Zugriffsrechte nach Mandant getrennt und regelmäßig geprüft.
• Ein dokumentierter Notfallplan; mehr in den Anforderungen an IT-Sicherheit.

Was können Sie vorab selbst prüfen?

Der Versicherbarkeits-Radar ordnet Ihre Tätigkeit und Ihren IT-Stand ein. Softwareentwicklung wird dort bei einzelnen Versicherern nur eingeschränkt gezeichnet, deshalb lohnt der Blick vor der Anfrage.

Brauchen IT-Dienstleister eine eigene Cyber-Versicherung, wenn sie IT-Haftpflicht haben?

In der Regel ja, weil beide Verträge verschiedene Schäden abdecken. Die IT-Haftpflicht bezieht sich auf Schäden bei Kunden durch fehlerhafte Leistung, die Cyber-Versicherung auf Ihre eigenen Kosten nach einem Angriff und auf Krisenhilfe. Lassen Sie die Schnittstelle prüfen.

Gilt NIS-2 für mein Systemhaus?

Managed Service Provider und Managed Security Service Provider stehen in Anlage 1 des BSI-Gesetzes. Ob Sie betroffen sind, hängt von Größe und Tätigkeit ab; der NIS-2-Check gibt eine erste Einordnung, ersetzt aber keine Rechtsberatung.

Wird jede Softwareentwicklung versichert?

Nicht von jedem Versicherer. Manche zeichnen Softwareentwicklung nur eingeschränkt oder im Einzelfall. Der Versicherbarkeits-Radar zeigt vorab, wie Ihre Angaben eingestuft werden.

Welche Sicherheitsmaßnahmen sind für IT-Dienstleister besonders wichtig?

Mehr-Faktor-Anmeldung auf allen Fernwartungs- und Administratorzugängen, getrennte Datensicherung und eine saubere Trennung der Kundenzugänge. Diese Punkte werden im Antrag meist abgefragt.

Was kostet eine Cyber-Versicherung für ein Softwarehaus?

Das hängt von Umsatz, Tätigkeit, Kundenstruktur und Versicherungssumme ab. Feste Preise nennen wir hier nicht; Einordnung bietet der Kostenratgeber, ein Angebot gibt es nach Prüfung Ihrer Angaben.