Freitagnachmittag, die Praxis- oder Kanzleiverwaltung reagiert nicht mehr. Auf dem Bildschirm eine Lösegeldforderung, die komplette Patienten- oder Mandantenkartei verschlüsselt, das letzte Backup drei Wochen alt und nie zurückgespielt. Bis die IT-Forensik die Ursache gefunden, die Systeme neu aufgebaut und die betroffenen Personen informiert sind, vergehen Tage – und es summieren sich Forensik, Betriebsausfall, Schadenersatz und Informationskosten. Ein dokumentierter Musterfall für einen Datenklau in einer Praxis liegt bei rund 37.000 € (Quelle: medizinio.de, 2026). Die Cyberversicherung ist die Police, die genau diese Kette trägt. Innerhalb der betrieblichen Absicherung ist sie der Baustein für digitale Risiken; den Gesamtüberblick gibt die Gewerbeversicherung.

Cyberversicherung oder IT-Haftpflicht: welcher Schaden gehört wohin

Beide Policen sichern digitale Risiken ab, aber an unterschiedlichen Stellen. Die Abgrenzung entscheidet sich an einer einzigen Frage: Was hat den Schaden ausgelöst – ein Angriff beziehungsweise eine Datenpanne, oder Ihr eigener Leistungsfehler?

• Die Cyberversicherung (diese Seite) greift, wenn ein Angriff oder eine Datenpanne der Auslöser ist. Sie deckt den Eigenschaden am eigenen Betrieb (Wiederherstellung, Forensik, Betriebsunterbrechung) und den Drittschaden, der aus der Datenpanne folgt (Schadenersatzansprüche Betroffener nach Art. 82 DSGVO).
• Die IT-Haftpflichtversicherung greift ohne jeden Angriff: Sie deckt Vermögens-Drittschäden aus einer fehlerhaften IT-Leistung – ein Software-, Projekt- oder Beratungsfehler verursacht beim Kunden einen finanziellen Schaden. Auslöser ist hier Ihr eigener Fehler, nicht ein Krimineller.

Fall	Auslöser	Zuständige Police
Ransomware verschlüsselt Ihre Praxis- oder Kanzlei-IT	Angriff von außen	Cyberversicherung
Datenpanne im eigenen Haus, betroffene Kunden fordern Schadenersatz (Art. 82 DSGVO)	Datenpanne	Cyberversicherung (Drittschaden-Baustein)
Ihre ausgelieferte Software rechnet beim Kunden falsch ab, ihm entsteht Umsatzausfall	eigener Leistungsfehler, kein Angriff	IT-Haftpflicht
Fehlerhafte Projektleitung oder Beratung führt beim Kunden zu einem Vermögensschaden	eigener Fehler	IT-Haftpflicht / Berufshaftpflicht

Kurz: Wird Ihr Betrieb angegriffen oder verlieren Sie Daten, ist die Cyberversicherung zuständig. Machen Sie in Ihrer bezahlten IT-Leistung einen Fehler, der beim Kunden Geld kostet, ist es die IT-Haftpflicht. Für IT-Dienstleister und SaaS-Anbieter gehören in der Regel beide Policen zusammen.

Wie groß das Cyber-Risiko wirklich ist

Die Branchenstatistik des GDV weist für 2023 – den jüngsten veröffentlichten Jahrgang (Publikation 09/2024) – rund 261.000 Verträge, 180 Mio. € Schadenaufwand und eine durchschnittliche Schadenhöhe von 45.370 € aus (GDV, Datenjahr 2023). Nach GDV und BSI treffen rund 80 % der registrierten Ransomware-Angriffe kleine und mittlere Unternehmen (Zeitraum 07/2024 bis 06/2025); zugleich erfüllen KMU im Schnitt nur gut die Hälfte der IT-Sicherheits-Basisanforderungen. Der Angriff auf das Rechenzentrum eines Konzerns ist die Ausnahme, der auf den schlecht gepatchten Server eines Kleinbetriebs die Regel.

Was die Cyberversicherung zahlt – und was nicht

Marktüblich sind drei Leistungsblöcke. Zwei davon entscheiden über die Existenz: der Eigenschaden am eigenen Betrieb und der Drittschaden, den Sie anderen ersetzen müssen.

Eigenschäden am eigenen Betrieb (First-Party)

• IT-Forensik und Ursachenermittlung: Fachleute klären, wie die Täter eingedrungen sind, welche Daten betroffen sind und wie das System sicher wieder aufgebaut wird.
• Datenwiederherstellung und Systemwiederaufbau: Rekonstruktion von Daten und Neuaufsetzen der IT.
• Betriebsunterbrechung: entgangener Gewinn und fortlaufende Kosten, solange der Betrieb steht. In der Praxis oft der größte Posten – und häufig mit einem eigenen Sublimit und einer Karenzzeit von 12 bis 24 Stunden vor Leistungsbeginn versehen (Quelle: fraghugo.de, 2026).
• Krisenmanagement: 24/7-Notfall-Hotline, Incident-Response-Team, Krisenkommunikation und PR.
• Lösegeld/Erpressung: teils versichert, zunehmend limitiert oder ganz ausgeschlossen. Eine Zahlung ist kein Automatismus und wird nur im Rahmen der Bedingungen und nach Prüfung geleistet.

Drittschäden: Haftung nach einer Datenpanne (Third-Party)

• Schadenersatzansprüche Betroffener wegen einer Datenschutzverletzung nach Art. 82 DSGVO – auch für immaterielle Schäden.
• Rechtsverteidigung gegen berechtigte wie unberechtigte Ansprüche.
• Vertragsstrafen aus Datenschutz- und Geheimhaltungsvereinbarungen, soweit versicherbar.

Serviceleistungen (Assistance)

Notfall-Hotline, Incident Response, DSGVO-Rechtsberatung, die Benachrichtigung Betroffener und – soweit rechtlich zulässig – Bußgeld-Rechtsschutz. Diese Leistungen entscheiden im Ernstfall über Tempo und Schadenhöhe, weil die ersten Stunden nach einem Angriff zählen.

Typische Ausschlüsse

• Verletzte Obliegenheiten (fehlende MFA, ungetestete Backups, unterlassenes Patch-Management, keine Schulungen) – der häufigste Ablehnungsgrund. Mehr dazu im nächsten Abschnitt.
• Vorsatz und grob fahrlässiges Unterlassen bekannter Sicherheitslücken; bereits vor Vertragsbeginn bekannte Vorfälle.
• Kriegs- und staatlich gesteuerte Angriffe (Cyber-War-/APT-Ausschlüsse), zunehmend verschärft.
• Vermögensabfluss durch Betrug (CEO-Fraud, Fake-Invoice): oft gar nicht oder nur mit einem Sublimit von 25.000 bis 50.000 € gedeckt (Quelle: cybairbag.de/fraghugo.de, 2026). Diese Lücke schließt die Vertrauensschadenversicherung.
• Infrastruktur-/Providerausfälle ohne eigenen Angriff (teils nur mit Zusatzbaustein).
• Reine Hardware-/Sachschäden und ausstehende Hersteller-Updates.
• Sublimits verstecken die reale Deckung: 1 Mio. € Gesamtdeckung, aber z. B. nur 100.000 € für die Betriebsunterbrechung. Der Blick ins Sublimit-Verzeichnis ist wichtiger als die große Zahl auf dem Deckblatt.

DSGVO-Meldepflichten: was die Cyberversicherung übernimmt – und was nicht

Nach einer Datenpanne laufen gesetzliche Fristen. Nach Art. 33 DSGVO ist eine meldepflichtige Verletzung des Schutzes personenbezogener Daten binnen 72 Stunden nach Bekanntwerden an die zuständige Aufsichtsbehörde zu melden. Nach Art. 34 DSGVO sind die betroffenen Personen unverzüglich zu benachrichtigen, wenn für sie ein hohes Risiko besteht. Der Bußgeldrahmen reicht nach Art. 83 DSGVO bis zu 20 Mio. € oder 4 % des weltweiten Jahresumsatzes – der höhere Wert gilt.

Zur sauberen Abgrenzung: Die Meldepflicht selbst bleibt bei Ihnen als verantwortlicher Stelle. Die Versicherung kann sie Ihnen nicht abnehmen und meldet nicht an Ihrer Stelle bei der Behörde. Was die Cyberversicherung übernimmt, sind die Kosten und die fachliche Unterstützung, damit Sie die Fristen einhalten: eine datenschutzrechtliche Erstberatung zur Frage, ob und in welchem Umfang gemeldet werden muss, die organisatorische und finanzielle Abwicklung der Benachrichtigung Betroffener sowie die Krisenkommunikation. Ob DSGVO-Bußgelder selbst versicherbar sind, ist in Deutschland rechtlich umstritten und je nach Bedingungswerk unterschiedlich geregelt.

Für bestimmte „wichtige“ und „wesentliche“ Einrichtungen kommen gestufte Meldepflichten an das BSI hinzu (Frühwarnung, Meldung, Abschlussbericht). Grundlage ist die NIS-2-Richtlinie (EU) 2022/2555; ihre deutsche Umsetzung, das NIS2UmsuCG, ist seit dem 06.12.2025 in Kraft und erfasst rund 29.500 Einrichtungen, mit Bußgeldern bis zu 10 Mio. € oder 2 % des weltweiten Jahresumsatzes (Quelle: BSI). Ob diese Meldepflichten Ihren Betrieb treffen, hängt von Branche und Größe ab und ist im Einzelfall zu prüfen.

Das Verwaltungs- oder Bußgeldverfahren vor der Aufsichtsbehörde ist ein eigenes Kostenrisiko. Die Rechtsverteidigung darin gehört in den Firmen-Rechtsschutz, während die Cyberpolice die datenschutzrechtliche Fachberatung und die Krisenkosten trägt. Beide greifen an unterschiedlichen Stellen.

IT-Sicherheit als Deckungsvoraussetzung: die Obliegenheiten

Die häufigste Ursache für eine gekürzte oder abgelehnte Leistung ist keine Lücke im Bedingungswerk, sondern eine verletzte Obliegenheit. Versicherer setzen ein IT-Sicherheits-Mindestniveau voraus und fragen es im Antrag ab. Rund 95 % der Anbieter verlangen inzwischen verpflichtend eine Multi-Faktor-Authentifizierung (Quelle: fraghugo.de, 2026). Typische Mindestanforderungen:

• Multi-Faktor-Authentifizierung (MFA) für Fernzugriffe, E-Mail und administrative Konten – ein zweiter Faktor neben dem Passwort, etwa ein Code per App.
• Regelmäßige, getestete Backups. Ein Backup, das sich im Ernstfall nicht zurückspielen lässt, zählt nicht.
• Zeitnahes Einspielen von Sicherheitsupdates (Patch-Management) für Betriebssysteme und Software.
• Aktueller Virenschutz und getrennte Administratorkonten.
• Mitarbeiterschulungen gegen Phishing und Social Engineering – die meisten Angriffe beginnen mit einem Klick.

Zwei Fehler kosten im Schadenfall den Schutz: eine im Antrag zugesicherte, aber nicht gelebte Sicherheit, und Risikofragen, die beim Abschluss zu günstig beantwortet werden. Falsche Angaben können den Versicherer nach den Regeln zur vorvertraglichen Anzeigepflicht zur Leistungskürzung oder zum Rücktritt berechtigen. Umgekehrt gilt: Wer seine IT-Sicherheit nachweist, bekommt oft Prämienrabatte von 10 bis 25 % (Quelle: cybairbag.de, 2025/2026).

Was kostet eine Cyberversicherung? Deckungssummen und Prämien

Die Prämie hängt von Umsatz, Branche, Mitarbeiterzahl, Datenmenge und nachgewiesener IT-Sicherheit ab. Die folgenden Werte sind Marktorientierung von Vergleichs- und Maklerportalen (Stand 2025/2026), kein verbindliches Angebot – Ihr konkreter Beitrag kann abweichen.

Betrieb (Beispiel)	Jahresumsatz	Jahresprämie (Orientierung)	Empf. Deckungssumme
Einzelpraxis / Solo-Startup	bis 250.000 €	250–600 €	100.000–250.000 €
Kleine Praxis / Kleinbüro (3–5 MA)	bis 1 Mio. €	500–1.200 €	250.000–500.000 €
Kanzlei / Ingenieurbüro / Steuerbüro	bis 2 Mio. €	800–2.000 €	500.000–1 Mio. €
KMU (10–50 MA)	bis 5 Mio. €	1.000–3.500 €	500.000–2 Mio. €
Mittelstand (50–250 MA)	bis 25 Mio. €	3.000–12.000 €	1–5 Mio. €

Als Faustregel für die Deckungssumme gilt am Markt „Jahresumsatz geteilt durch zehn, mindestens 250.000 €“ (Quelle: fraghugo.de). Der Selbstbehalt liegt je nach Größe zwischen 500 € und 5.000 €. Zur Einordnung möglicher Schadenkosten: Ransomware 80.000–250.000 €, Datendiebstahl mit DSGVO-Bezug 50.000–150.000 €, CEO-Fraud 40.000–500.000 € (Quelle: cybairbag.de, 2025/2026). Diese Spannen zeigen, warum eine zu niedrig gewählte Deckungssumme der teuerste Sparfehler ist.

Schadenbeispiele nach Branche

Arztpraxen, Psychotherapie und Heilberufe

Patientendaten sind besondere Kategorien personenbezogener Daten nach Art. 9 DSGVO. Ihr Abfluss löst hohe Schadenersatz- und Benachrichtigungskosten aus, dazu tritt die Schweigepflicht nach § 203 StGB. Der Praxis-Musterfall für einen Datenklau summiert sich auf rund 37.000 €: etwa 20.000 € Schadenersatz nach Art. 82 DSGVO, 5.000 € Forensik, 5.000 € Betriebsunterbrechung über zwei Tage und 4.000 € für die Informationspflichten; ein Ransomware-Musterfall liegt bei 18.500 € (Quelle: medizinio.de, 2026). Für die einzelnen Berufsgruppen: Cyberversicherung für Arztpraxen und Versicherungen für Psychotherapeuten.

Tierarztpraxen

Praxisverwaltungssoftware, Zahlungs- und Kundendaten sowie die zunehmende Digital- und TI-Anbindung machen die Praxis-IT zum Engpass: Fällt sie aus, stehen Behandlung und Abrechnung still. Mehr dazu unter Versicherungen für Tierärzte.

Kanzleien und beratende Berufe

Mandantendaten unterliegen der Verschwiegenheitspflicht (§ 203 StGB). Ein Datenleck trifft hier nicht allein die Betroffenen, sondern das Vertrauensverhältnis, das die Geschäftsgrundlage der Kanzlei ist. Details in der Cyberversicherung für Anwaltskanzleien.

Ingenieur- und Architekturbüros

CAD-, BIM- und Projektdaten sind sensibel und termindruckkritisch. Werden sie verschlüsselt, stehen laufende Bauprojekte still – mit Vertragsstrafen und Verzugsrisiko. Manipulierte Planungsdaten berühren zusätzlich die Berufs- und Vermögensschadenhaftpflicht. Siehe Versicherungen für Ingenieure.

Onlinehandel und E-Commerce

Wer einen relevanten Teil des Umsatzes über Shop oder Portal macht, verliert bei einem Ausfall sofort Umsatz, nicht erst mittelbar. Dazu kommt die Verantwortung für Zahlungs- und Kundendaten. Die Betriebsunterbrechungsdeckung ist hier meist der wichtigste Baustein – mit einem prüfenden Blick auf das Sublimit und die Karenzzeit von häufig 12 bis 24 Stunden vor Leistungsbeginn (Quelle: fraghugo.de, 2026).

IT-Dienstleister, RWTH-Spin-offs und Startups

Hohe Cloud- und SaaS-Abhängigkeit trifft auf oft noch junge IT-Prozesse. Das wertvollste Gut sind Forschungsdaten, Prototypen und Quellcode. Legt Ransomware die Entwicklungsumgebung lahm und ist kein getestetes Backup vorhanden, droht der Totalverlust von Projektständen. Investoren fordern die Cyber-Deckung zunehmend als Punkt in der Due Diligence. Mehr unter Versicherungen für IT-Dienstleister und Versicherungen für Startups und Gründer.

Produzierendes Gewerbe

Vernetzte Maschinensteuerungen und Lieferketten machen Ransomware zum Produktionsrisiko: Jeder Stillstandstag kostet, der GDV-Durchschnittsschaden von 45.370 € wird im Produktionsumfeld schnell überschritten. Der Vermögensabfluss durch CEO-Fraud in der Buchhaltung ist über die Cyberpolice dagegen meist nicht gedeckt – dafür steht die Vertrauensschadenversicherung.

Für wen die Cyberversicherung Pflicht ist, für wen sinnvoll

Eine gesetzliche Pflicht zur Cyberversicherung gibt es nicht. Der Druck entsteht anders:

• Gesetzliche Melde- und Bußgeldpflichten (DSGVO, für bestimmte Einrichtungen NIS-2/BSIG) lösen im Ernstfall Kosten aus, unabhängig davon, ob Sie versichert sind.
• Branchenspezifische IT-Sicherheitspflichten, etwa § 75b SGB V samt KBV-IT-Sicherheitsrichtlinie für Vertragsärzte und -psychotherapeuten. Ein Verstoß kann im Schadenfall die Deckung gefährden. Für reine Privatpraxen und Heilpraktiker gilt der Anwendungsbereich teils nicht – hier lohnt die individuelle Prüfung.
• Vertragliche Anforderungen von Auftraggebern, Konzernkunden und Investoren; bei Startups häufig Voraussetzung im Beteiligungs- oder Kundenvertrag.

Sinnvoll ist die Police für jeden Betrieb, der ohne seine IT nicht arbeiten kann oder personenbezogene Daten in relevantem Umfang verarbeitet: Praxen, Kanzleien, Planungsbüros, Onlinehändler, produzierende Betriebe. Gute Beratungsanlässe sind eine Praxis- oder Betriebsgründung, die TI-Anbindung, neue Cloud- oder ERP-Software, das Überschreiten von Umsatzschwellen, eine Investorenrunde oder ein erster Beinaheschaden nach einem Phishing-Versuch.

Ihren Cyber-Bedarf online ermitteln

Der folgende Fragebogen führt Sie in wenigen Minuten durch die Angaben, die für ein passendes Angebot nötig sind. Sie beantworten nur die Fragen, die zu Ihrer Branche passen. Am Ende entsteht ein PDF, das Sie mir per E-Mail senden. Ihre Eingaben bleiben dabei nur lokal in Ihrem Browser gespeichert, bis Sie die E-Mail selbst absenden – kein Server-Versand, keine automatische Übertragung.

So funktioniert es

Halten Sie grob bereit: Ihren Jahresumsatz, die Zahl Ihrer Mitarbeiter, eine grobe Größenklasse Ihrer personenbezogenen Datensätze, Ihre IT-Sicherheitsmaßnahmen und eine eventuell bestehende Police. Alles Weitere fragt das Formular Schritt für Schritt ab.

Häufige Fragen zur Cyberversicherung

Passende Seiten

Dieser Ratgeber dient der allgemeinen Information und ersetzt keine individuelle Rechts-, Steuer- oder Versicherungsberatung im Einzelfall. Maßgeblich sind im Schadenfall die konkreten Versicherungsbedingungen.