Cyberversicherung 2026: Was Versicherer jetzt voraussetzen

Ohne Mehrfaktor-Anmeldung und dokumentierte Backups wird es schwierig, eine Cyberpolice zu bekommen. Was Betriebe jetzt tatsächlich vorweisen müssen.

Ein Handwerksbetrieb mit zwölf Mitarbeitern möchte sich gegen Cyberschäden absichern, nach einem Vorfall bei einem befreundeten Unternehmen. Der Rückfragebogen des Versicherers liest sich aber wie eine IT-Prüfung: Mehrfaktor-Authentifizierung, Patch-Management, getrennte Backups, Notfallplan. Der Inhaber kennt die Begriffe kaum und fragt sich, ob er überhaupt eine Police bekommt, wenn er nicht alles ankreuzen kann.

Diese Erfahrung machen 2026 viele mittelständische Betriebe. Cyberversicherer fragen inzwischen deutlich genauer nach, ob grundlegende Schutzmaßnahmen tatsächlich umgesetzt sind, und verlangen dafür eine dokumentierte Grundlage statt einer bloßen Selbstauskunft. Der Hintergrund ist einfach: Schäden durch Ransomware und Datenverlust sind teuer, und Versicherer wollen nur noch Risiken übernehmen, bei denen die einfachsten Einfallstore geschlossen sind.

Konkret geht es um fünf Punkte, die inzwischen fast durchgängig abgefragt werden. Mehrfaktor-Anmeldung für Fernzugriffe und wichtige Konten, damit ein gestohlenes Passwort allein nicht reicht. Ein geregeltes Patch-Management, also das zeitnahe Einspielen von Sicherheitsupdates. Backups, die vom Produktivsystem getrennt liegen, damit eine Verschlüsselung nicht auch die Sicherung erwischt. Regelmäßige Schulungen der Mitarbeiter, weil die meisten Angriffe über eine harmlos wirkende E-Mail beginnen. Und ein Notfallplan, der festlegt, wer im Ernstfall was tut, statt dass im Chaos improvisiert wird.

Wichtig ist dabei ein Punkt, der oft unterschätzt wird: Die Angaben aus dem Antrag werden im Schadenfall geprüft. Wenn ein Betrieb im Fragebogen angibt, Mehrfaktor-Anmeldung sei eingerichtet, dies aber nur für einen Teil der Systeme stimmt, kann das im Ernstfall zu Problemen bei der Leistung führen. Es geht also nicht darum, den Fragebogen möglichst günstig auszufüllen, sondern die eigene IT-Situation ehrlich abzubilden, auch wenn das unbequem ist.

Ohne diese Technik bekommt man 2026 kaum noch eine Deckung, unabhängig vom Beitrag. Das ist für viele kleinere Betriebe die eigentliche Hürde, nicht der Preis der Police. Manche scheitern schlicht daran, dass die Basics fehlen: kein getrenntes Backup, kein Update-Rhythmus, keine Ansprechperson für den Ernstfall. Hier hilft es, die Lücken zunächst zu benennen, bevor man einen Antrag stellt, statt ihn abzulehnen zu bekommen und dann ratlos dazustehen.

Als Makler sind wir dabei nicht der Verkäufer einer bestimmten Police, sondern nach § 60 VVG Sachwalter unserer Kunden. Das heißt, wir sagen auch, wenn eine Deckung aktuell noch nicht sinnvoll oder möglich ist, und was vorher zu klären wäre. Diese Einordnung ist keine Rechtsberatung und ersetzt keine individuelle Prüfung Ihrer IT-Sicherheit, aber sie zeigt, woran ein Antrag später scheitern könnte. Für Sie ist die Beratung in der Regel kostenfrei, weil die Courtage im Beitrag steckt und auch bei einem Direktabschluss anfällt.

Wenn Sie wissen möchten, ob Ihr Betrieb aktuell versicherbar wäre und was dafür noch fehlt, sprechen wir das gern durch, unverbindlich und ohne Vorentscheidung für ein bestimmtes Produkt. In unserem Bereich für Gewerbekunden finden Sie weitere Hintergründe zum Thema betriebliche Risiken, und über das Kontaktformular erreichen Sie uns für ein erstes Gespräch mit einem festen Ansprechpartner, der auch im Schadenfall für Sie da ist.