Cyberversicherung für KMU: Welche IT-Anforderungen Versicherer wirklich stellen

Dein Versicherungsmakler schickt die Unterlagen zur Verlängerung, und mit ihnen einen Cyber-Fragebogen. Ist Multi-Faktor-Authentifizierung für alle erzwungen? Ist auf jedem Laptop Endpoint-Schutz installiert? Wann war der letzte Restore-Test der Backups? Niemand in deinem Team weiß es genau, und die Person, die damals die IT aufgesetzt hat, ist seit zwei Jahren weg.

Früher waren Anträge für Cyberversicherungen ein kurzes Formular. Heute lesen sie sich oft wie ein kleiner IT-Audit, und die Antworten entscheiden, ob du Versicherungsschutz bekommst, zu welchem Preis und ob ein Schaden im Ernstfall bezahlt wird. Dieser Artikel erklärt, welche IT-Anforderungen Versicherer typischerweise stellen, welche Nachweise sie sehen wollen und wie du dich ohne IT-Team vorbereitest. Er behandelt nur die IT-Seite. Zu Leistungen und Prämien berät dich dein Makler. Das ist keine Versicherungs- oder Rechtsberatung.

Warum fragen Versicherer überhaupt nach deiner IT?

Jahre voller Ransomware-Schäden haben Versicherer gelehrt, dass wenige fehlende Maßnahmen den Großteil des Schadens verursachen. Mit ihren Fragen entscheiden sie, wen sie versichern, zu welchen Bedingungen und zu welchem Preis.

Die Bedrohung ist in Deutschland real. Laut der Bitkom-Studie 2025 waren 87 % der Unternehmen mit mindestens 10 Beschäftigten in den vergangenen zwölf Monaten von Datendiebstahl, Spionage oder Sabotage betroffen, der Schaden lag bei 289,2 Milliarden Euro. Für KMU bedeutet das strengere Fragebögen, mehr Rückfragen und bei höheren Deckungssummen mitunter eine technische Prüfung durch den Versicherer.

Welche IT-Anforderungen stellen Versicherer wirklich?

Anforderungen und Schwellenwerte unterscheiden sich je nach Versicherer. Verstehe die Tabelle deshalb als typische Liste, nicht als Garantie. Frag deinen Makler früh nach dem aktuellen Fragebogen.

Die großen drei: MFA, Endpoint-Schutz und Backups

Multi-Faktor-Authentifizierung (MFA). Das ist am häufigsten das K.-o.-Kriterium. Versicherer wollen MFA in der Regel für E-Mail, Fernzugriff wie VPN, Admin-Konten und Cloud-Dienste, nicht nur für einen Teil des Teams. Eine typische Lücke ist die Ausnahme: MFA für die meisten, aber nicht für das Admin-Konto oder ein altes gemeinsames Postfach. Unser Leitfaden zur Einführung der Zwei-Faktor-Authentifizierung zeigt, wie du sie ausrollst.

Endpoint-Schutz. Viele Versicherer erwarten inzwischen mehr als einen klassischen Virenscanner. Sie fragen nach Endpoint Detection and Response (EDR), einem Werkzeug, das verdächtiges Verhalten in Echtzeit erkennt, auf jedem Gerät. Ein einziger nicht verwalteter Laptop kann eine sonst saubere Antwort schwächen.

Backups. Versicherern geht es darum, ob du wiederherstellen kannst, nicht darum, ob irgendwo ein Backup liegt. Typische Erwartungen sind regelmäßige Backups, mindestens eine Kopie offline oder gegen Veränderung geschützt (unveränderbar bzw. immutable) und ein dokumentierter Restore-Test. Ein Backup, das nie zurückgespielt wurde, ist eine Hoffnung, keine Kontrolle.

Der Rest der Liste: Patching, Gerätekontrolle, E-Mail, Notfallplan und Schulung

• Patch-Management: ein definierter Prozess und eine Frist für kritische Updates, dazu ein Bericht mit Datum. “Wir patchen regelmäßig” reicht selten aus. Mehr dazu im Artikel zum Patch-Management.
• Geräte- und Zugriffskontrolle: ein Geräteinventar, Festplattenverschlüsselung, eingeschränkte Admin-Rechte und Zugänge, die am Austrittstag entfernt werden (automatisiertes Offboarding).
• E-Mail-Sicherheit: Filter gegen Spam und Phishing sowie korrekt eingerichtete E-Mail-Authentifizierung (SPF, DKIM, DMARC). Die Einstellungen kann dein E-Mail-Anbieter in der Regel bestätigen.
• Notfallplan: ein schriftlicher Plan mit Kontakten, ersten Schritten und Zuständigkeiten. Eine Seite ist besser als keine. Unsere Vorlage für eine IT-Sicherheitsrichtlinie enthält einen Abschnitt zu Vorfällen.
• Mitarbeiterschulung: regelmäßige Schulungen mit Nachweis. Kurze Einheiten, an denen wirklich jemand teilnimmt, schlagen eine lange Präsentation pro Jahr.

Warum zählen Nachweise mehr als das Häkchen im Fragebogen?

Ein Häkchen im Fragebogen ist eine Aussage. Versicherer verlangen zunehmend, dass du sie belegst, und nach einem Vorfall prüfen sie unter Umständen, ob die Maßnahmen wirklich vorhanden waren. Wurde MFA für alle Konten angegeben, aber das betroffene Konto hatte keine, hat der Versicherer einen Grund, den Schaden infrage zu stellen.

Falsche oder unvollständige Angaben können ernste Folgen haben. Das Versicherungsvertragsrecht verlangt, dass du risikorelevante Fragen wahrheitsgemäß beantwortest (vorvertragliche Anzeigepflicht), und manche Policen enthalten Obliegenheiten, etwa Backups zu führen oder Updates einzuspielen. Je nach Fall kann ein Verstoß die Leistung kürzen oder ausschließen. Frag deinen Makler oder eine Anwältin bzw. einen Anwalt, wie das bei deiner Police aussieht.

Drei praktische Regeln:

• Setze kein “Ja” bei etwas, das nur teilweise umgesetzt ist. Schließe die Lücke zuerst oder beschreibe sie so, wie sie ist.
• Lege deine Nachweise in einem Ordner ab: Screenshots der Einstellungen, Berichte mit Datum, das Restore-Test-Protokoll, den Notfallplan und die Schulungsnachweise.
• Prüfe den Ordner vor jeder Verlängerung und nach größeren Änderungen, etwa einem neuen Tool oder einem neuen Standort.

Wie bereitest du dich vor, bevor der Fragebogen kommt?

1. Fragebogen früh anfordern. Bitte deinen Makler vor dem Verlängerungstermin um die aktuelle Version oder ein Muster.
2. Bestandsaufnahme machen. Liste alle Geräte, Konten und Tools auf, auch alte Konten und gemeinsame Postfächer.
3. Lücken in der richtigen Reihenfolge schließen. Beginne mit MFA überall, dann Endpoint-Schutz auf jedem Gerät, ein Restore-Test der Backups, dokumentiertes Patching und sauberes Offboarding.
4. Einen einseitigen Notfallplan schreiben. Wen rufst du an, wer entscheidet, was passiert in der ersten Stunde?
5. Nachweise sammeln. Lege Einstellungen, Berichte und Protokolle mit Datum in einem Ordner ab.
6. Eine verantwortliche Person benennen. Sie beantwortet den Fragebogen und hält den Ordner aktuell.

Wie hilft zentrales Gerätemanagement bei den Antworten?

Viele Fragen betreffen Geräte, und genau dort hilft zentrales Management am meisten. Mit einer Plattform wie deeploi kannst du:

• ein Inventar aller Geräte führen, mit Besitzer und Status
• Festplattenverschlüsselung, Passwortregeln und Bildschirmsperre auf jedem verwalteten Gerät durchsetzen
• Sicherheitsupdates automatisch einspielen und sehen, welche Geräte zurückliegen
• Endpoint-Schutz auf allen verwalteten Geräten betreiben (deeploi arbeitet mit WithSecure)
• ein verlorenes Gerät aus der Ferne sperren oder löschen
• am letzten Arbeitstag Konten deaktivieren und Geräte löschen, durch automatisiertes Offboarding

So werden viele Antworten zu Fakten, die du zeigen kannst, statt zu Aussagen, auf die du hoffst. deeploi ist außerdem ISO-27001-zertifiziert, DSGVO-konform und in der EU gehostet, was nützlich ist, wenn Versicherer oder Makler nach deinem IT-Dienstleister fragen.

Zur Einordnung der Grenzen: Gerätemanagement ersetzt weder deine MFA-Einstellungen in Google Workspace oder Microsoft 365 noch deine Backup-Lösung, deine E-Mail-Sicherheitseinstellungen, deinen Notfallplan oder die Mitarbeiterschulung. Auch dafür braucht es Verantwortliche. Und kein Tool macht dich allein versicherbar, denn das entscheidet der Versicherer.

Was ist mit NIS2 und den Sicherheitsfragebögen deiner Kunden?

Dieselben Grundlagen beantworten drei Zielgruppen: Versicherer, NIS2 und die Sicherheitsfragebögen deiner Kunden. Wenn du einen dokumentierten Standard aufbaust, kannst du dieselben Nachweise für alle drei verwenden, statt dieselben Fragen dreimal zu beantworten.

Fazit

Eine Cyberversicherung hilft bei den finanziellen Folgen eines Vorfalls, ersetzt aber keine Sicherheit, und sie wirkt nur, wenn die Maßnahmen, die du angegeben hast, im Ernstfall wirklich vorhanden sind. Die gute Nachricht für KMU: Die Anforderungen sind eine kurze, vertraute Liste. Starte mit MFA, Endpoint-Schutz und getesteten Backups, dokumentiere Patching und Notfallplan und halte die Nachweise an einem Ort bereit.

Wenn du Geräte-Nachweise nicht von Hand sammeln möchtest: deeploi verwaltet Verschlüsselung, Updates, Endpoint-Schutz und Offboarding auf einer Plattform. Buche eine Demo und sieh, wie das funktioniert.

Demo buchen und sehen, wie deeploi dich auf den nächsten Cyber-Fragebogen vorbereitet

Häufig gestellte Fragen

Welche IT-Anforderungen stellen Cyberversicherer an KMU?

‍Typischerweise MFA für E-Mail, Fernzugriff und Admin-Konten, Endpoint-Schutz auf jedem Gerät, regelmäßige und getestete Backups, dokumentiertes Patch-Management, Geräte- und Zugriffskontrolle, einen schriftlichen Notfallplan und Mitarbeiterschulungen. Die genauen Anforderungen unterscheiden sich je nach Versicherer.

Bekommt ein kleines Unternehmen ohne IT-Team eine Cyberversicherung?

‍Ja, wenn die Grundmaßnahmen umgesetzt sind und du den Fragebogen wahrheitsgemäß beantworten kannst. Ohne IT-Team helfen zentrales Gerätemanagement und ein externer IT-Partner, die geräte-bezogenen Anforderungen zu erfüllen und zu dokumentieren.

Was passiert, wenn ich den Fragebogen falsch beantworte?

‍Falsche oder unvollständige Angaben können deinen Versicherungsschutz oder einen späteren Schadenfall beeinträchtigen. Die genauen Folgen hängen von deiner Police und den Umständen ab, frag deshalb deinen Makler oder eine Anwältin bzw. einen Anwalt. Am sichersten ist es, wahrheitsgemäß zu antworten und Lücken vor dem Antrag zu schließen.

Reicht ein Virenscanner oder brauche ich EDR?

‍Viele Versicherer verlangen inzwischen mehr als einen klassischen Virenscanner und erwarten Endpoint Detection and Response (EDR) oder vergleichbaren Schutz auf jedem Gerät. Prüfe den Wortlaut deines Fragebogens und frag im Zweifel deinen Makler.

Wie zeige ich einem Versicherer, dass meine Geräte sicher sind?

‍Mit einem Geräteinventar, das Besitzer, Verschlüsselungs- und Update-Status zeigt, einem Bericht zur Abdeckung durch Endpoint-Schutz und Belegen dafür, wie du Zugänge beim Austritt entfernst. Eine Gerätemanagement-Plattform kann einen großen Teil davon liefern.