Ein Kunststoffverarbeiter in Gunzenhausen, 120 Mitarbeitende, hat seit fünf Jahren eine Cyber-Versicherung. Zur Verlängerung schickt der Versicherer einen neuen Fragebogen: 40 Fragen statt 12. Ist Multi-Faktor-Authentifizierung für alle Fernzugriffe aktiv? Gibt es ein Backup, das vom Netzwerk getrennt und nicht veränderbar ist? Läuft auf allen Endgeräten eine EDR-Lösung? Werden kritische Sicherheitsupdates innerhalb von 14 Tagen eingespielt? Der Geschäftsführer reicht den Bogen an seinen IT-Dienstleister weiter. Die Antwort kommt nach zwei Wochen: Zwei der sechs Kernanforderungen sind erfüllt. Der Versicherer bietet die Verlängerung nur mit einer deutlich höheren Prämie, einem spürbar höheren Selbstbehalt und dem Ausschluss von Ransomware-Schäden an – bis die Mängel behoben sind.

Das Szenario ist fiktiv, der Ablauf typisch. Cyber-Versicherer haben in den vergangenen Jahren hohe Schäden reguliert und ihre Bedingungen verschärft. Für Unternehmen in Mittelfranken bedeutet das: Die Versicherbarkeit ist zu einem Prüfstein der eigenen IT-Sicherheit geworden – und oft der Moment, an dem Geschäftsführer erstmals sehen, wo ihre IT wirklich steht.

Warum sind die Anforderungen der Cyber-Versicherer so gestiegen?

Die Antwort steht in den Schadenstatistiken. Ransomware ist zum Massenphänomen geworden; laut Bitkom war 2025 etwa ein Drittel der deutschen Unternehmen von Ransomware betroffen, und mehr als die Hälfte sieht ihre Existenz durch Cyberangriffe bedroht. Der durchschnittliche Schaden eines Vorfalls im Mittelstand liegt nach Branchenangaben bei rund 95.000 Euro, die durchschnittliche Betriebsunterbrechung bei etwa drei Wochen.

Versicherer haben daraus zwei Konsequenzen gezogen. Erstens: Sie versichern nur noch Unternehmen, die grundlegende Schutzmaßnahmen nachweisen können – so wie eine Gebäudeversicherung Rauchmelder voraussetzt. Zweitens: Sie prüfen die Angaben genauer, teils durch externe Scans der Unternehmensdomain, teils durch Nachfragen im Schadenfall.

Für Unternehmen ist das kein Grund zur Klage. Die Anforderungen der Versicherer decken sich weitgehend mit dem, was NIS2, ISO 27001 und der gesunde Menschenverstand ohnehin verlangen. Wer sie erfüllt, ist nicht nur versicherbar, sondern deutlich schwerer anzugreifen.

Welche Anforderungen stehen 2026 im Fragebogen?

Die Fragebögen unterscheiden sich je nach Versicherer, aber sechs Themen tauchen praktisch überall auf.

1. Multi-Faktor-Authentifizierung (MFA)

Die mit Abstand häufigste Anforderung – nach Branchenerhebungen verlangen sie rund 95 Prozent der Versicherer. Gefragt wird nach MFA für alle Fernzugriffe (VPN, Remote Desktop), für Cloud-Dienste wie Microsoft 365, für E-Mail-Konten und für alle Konten mit Administratorrechten. „Teilweise“ gilt als „nein“: Ein einziger Admin-Zugang ohne zweiten Faktor ist die Tür, durch die Angreifer kommen.

2. Backup – getrennt, unveränderbar, getestet

Versicherer fragen nicht mehr nur, ob es ein Backup gibt, sondern wie es geschützt ist. Erwartet wird eine Kopie, die vom Produktivnetz getrennt ist (offline oder logisch isoliert), nicht verändert oder gelöscht werden kann (Immutable Backup), verschlüsselt ist und regelmäßig auf Wiederherstellbarkeit getestet wird. Der letzte Punkt wird häufig unterschätzt: Nach Erhebungen testen rund zwei Drittel der KMU ihre Backups nie. Eine Wiederherstellung, die noch nie durchgeführt wurde, zählt für den Versicherer nicht.

3. Endpoint Detection and Response (EDR)

Ein klassischer Virenscanner reicht nicht mehr. Gefragt wird nach einer EDR-Lösung auf allen Servern und Endgeräten, die verdächtiges Verhalten erkennt, meldet und automatisch eingreift – idealerweise überwacht durch ein Team, das die Alarme bearbeitet. Bei größeren Unternehmen wird zunehmend nach MDR oder XDR gefragt, also nach einem Dienst, der die Überwachung rund um die Uhr übernimmt.

4. Patchmanagement mit Fristen

Versicherer wollen wissen, wie schnell Sicherheitsupdates eingespielt werden. Übliche Erwartung: kritische Patches innerhalb von 14 Tagen, andere innerhalb von 30 Tagen, dokumentiert. Dazu die Frage, ob Systeme im Einsatz sind, für die es keine Updates mehr gibt – ein Windows Server 2012 oder ein altes Exchange-System ist für viele Versicherer ein Ausschlusskriterium.

5. Awareness-Schulung der Mitarbeitenden

Da die meisten Angriffe mit einer Phishing-Mail beginnen, fragen Versicherer nach regelmäßigen Schulungen aller Mitarbeitenden, oft ergänzt um simulierte Phishing-Tests. Erwartet wird ein Nachweis: Wer wurde wann geschult, mit welchem Ergebnis. Ein einmaliger Vortrag vor drei Jahren zählt nicht.

6. Notfallplan und Vorfallreaktion

Gibt es einen dokumentierten IT-Notfallplan, der beschreibt, wer bei einem Angriff was tut, wie der Betrieb aufrechterhalten wird und wer informiert werden muss? Wurde er geübt? Versicherer wissen aus Erfahrung, dass die ersten Stunden eines Vorfalls über die Schadenhöhe entscheiden.

Dazu kommen je nach Versicherer Fragen zu Firewall und Netzsegmentierung, zu Berechtigungskonzepten (kein Arbeiten mit Admin-Rechten), zu E-Mail-Sicherheit (Schutz vor Spoofing, Anhangsprüfung), zu Verschlüsselung mobiler Geräte und zur Absicherung von Fernwartungszugängen externer Dienstleister.

Was passiert, wenn Angaben im Fragebogen nicht stimmen?

Das ist der Punkt, der Geschäftsführer aufhorchen lassen sollte – und zu dem wir keine Rechtsberatung geben, sondern nur die allgemeine Logik beschreiben.

Der Fragebogen ist Teil des Versicherungsantrags. Die Angaben darin sind vorvertragliche Anzeigen, für deren Richtigkeit der Antragsteller einsteht. Stellt sich im Schadenfall heraus, dass eine Angabe falsch war – etwa „MFA für alle Fernzugriffe: ja“, während der Zugang des Steuerberaters ohne zweiten Faktor lief –, kann der Versicherer je nach Schwere und Verschulden die Leistung kürzen, verweigern oder vom Vertrag zurücktreten.

In der Praxis bedeutet das: Ein Unternehmen zahlt jahrelang Prämien, hat im Ernstfall aber keinen Schutz, weil eine Antwort im Fragebogen zu optimistisch war. Und weil der Fragebogen häufig vom IT-Dienstleister ausgefüllt wird, ohne dass die Geschäftsführung die Antworten nachprüfen kann, ist das Risiko real.

Unsere Empfehlung: Beantworten Sie den Fragebogen so, wie es ist – nicht, wie es sein sollte. Lassen Sie sich jede Antwort mit einem Nachweis belegen. Und wenn eine Anforderung nicht erfüllt ist, sagen Sie das dem Versicherer und legen einen Zeitplan vor. Die meisten Versicherer akzeptieren das, viele bieten Übergangslösungen an.

Wie werde ich in 90 Tagen versicherbar?

Die gute Nachricht: Die sechs Kernanforderungen lassen sich in einem Unternehmen mit 20 bis 250 Arbeitsplätzen in etwa drei Monaten umsetzen, wenn man strukturiert vorgeht. Der folgende Plan ist eine Orientierung; die Reihenfolge folgt der Wirkung.

Wer bereits einen Teil der Maßnahmen umgesetzt hat, ist schneller. Wer bei null startet und einen 15 Jahre alten Server betreibt, braucht länger – dann ist der Zeitplan mit dem Versicherer abzustimmen.

Was kostet das im Vergleich zum Risiko?

Die Maßnahmen kosten Geld: Lizenzen für MFA und EDR, ein externes Backup, Schulungsplattform, Arbeitszeit des Dienstleisters. Für ein Unternehmen mit 100 Arbeitsplätzen kommt da monatlich ein vierstelliger Betrag zusammen, wenn die Grundlagen fehlen; wer Microsoft 365 Business Premium nutzt, hat MFA, EDR und Geräteverwaltung bereits lizenziert und muss sie nur einrichten.

Dagegen stehen: die Prämienerhöhung bei mangelhaftem Fragebogen, der Selbstbehalt, ein möglicher Ausschluss von Ransomware-Schäden – und der durchschnittliche Schaden eines Vorfalls im hohen fünfstelligen Bereich plus drei Wochen Betriebsunterbrechung. In fast allen Fällen, die wir kennen, sind die Maßnahmen günstiger als die Differenz zwischen einer guten und einer schlechten Police – ganz zu schweigen vom Schaden selbst.

Fazit: Der Fragebogen ist ein kostenloser Sicherheitscheck

Betrachten Sie den Fragebogen des Versicherers nicht als Hürde, sondern als Prüfliste, die Sie sonst teuer bezahlen müssten. Jede Frage darin adressiert eine reale Angriffsmethode. Wer die sechs Kernanforderungen erfüllt, ist versicherbar, erfüllt einen Großteil der NIS2-Anforderungen und schläft ruhiger.

BES Systemhaus begleitet Unternehmen in Mittelfranken auf dem Weg zur Versicherbarkeit: Bestandsaufnahme, ehrliche Beantwortung des Fragebogens, Umsetzung der Maßnahmen – MFA und Härtung von Microsoft 365, Cloud-Backup mit unveränderbarer Kopie, EDR/XDR mit Sophos oder Securepoint, Managed Firewall, Patchmanagement, Awareness-Training mit Securepoint, Notfallplan – und die laufenden Nachweise im Monatsreport.

Ob Ihre IT heute die sechs Kernanforderungen erfüllt, zeigt Ihnen unser Cyber-Versicherungs-Check in wenigen Minuten. Erstgespräch vereinbaren – wir gehen den Fragebogen Ihres Versicherers mit Ihnen durch und sagen Ihnen, wo Sie stehen.

Häufige Fragen