„Bei uns gibt es doch nichts zu holen.“ Das ist die häufigste Reaktion, wenn ich das Thema Cyber bei einem Handwerks- oder Handelsbetrieb anspreche. Sie beruht auf einem Missverständnis: Angreifer suchen sich ihre Opfer heute nicht mehr aus. Sie scannen automatisiert das Netz nach Schwachstellen und schlagen dort zu, wo sie eine finden. Ob dahinter ein Konzern steht oder ein Betrieb mit zwölf Mitarbeitern, merken sie erst danach.
Wie ein Angriff im Mittelstand typischerweise abläuft
Der Klassiker ist immer noch die E-Mail. Eine angebliche Rechnung, eine Bewerbung, eine Nachricht vom Paketdienst – jemand klickt, und eine Schadsoftware verschlüsselt Schritt für Schritt die Dateien im Netzwerk. Am nächsten Morgen lässt sich kein Auftrag mehr öffnen, keine Maschine mehr ansteuern und keine Rechnung mehr schreiben. Auf dem Bildschirm steht eine Lösegeldforderung.
Die zweite Variante ist unauffälliger und mindestens so teuer: Der sogenannte Chef-Trick, bei dem sich jemand als Geschäftsführer ausgibt und die Buchhaltung zu einer eiligen Überweisung bringt. Oder gefälschte Rechnungen mit geänderter Bankverbindung, die einfach mitlaufen.
Was die Cyberversicherung tatsächlich leistet
Der wichtigste Teil ist nicht die Geldzahlung, sondern die Soforthilfe. Gute Verträge bieten eine Notfallnummer rund um die Uhr und schicken IT-Forensiker, die den Angriff analysieren, das Netz säubern und beim Wiederanlauf helfen. Wer schon einmal versucht hat, an einem Samstagmorgen kurzfristig einen IT-Dienstleister zu finden, weiß, was das wert ist.
Dazu kommen typischerweise die Kosten für Datenwiederherstellung, der Ertragsausfall durch den Betriebsstillstand, Rechtsberatung, die Meldung an die Datenschutzbehörde, Benachrichtigung betroffener Kunden sowie die Abwehr oder Regulierung von Ansprüchen Dritter, wenn über deine Systeme fremde Daten abgeflossen sind.
Was Versicherer voraussetzen
Cyberschutz gibt es nicht ohne Mindeststandards. Was konkret gefordert wird, unterscheidet sich, aber diese Punkte tauchen fast immer auf:
- Regelmäßige Datensicherung: Und zwar getrennt vom Netzwerk, sonst verschlüsselt die Schadsoftware das Backup gleich mit.
- Aktuelle Software: Betriebssysteme und Anwendungen mit eingespielten Sicherheitsupdates.
- Virenschutz und Firewall: Auf allen Geräten, auch auf Notebooks im Außendienst.
- Zugriffsrechte: Nicht jeder Mitarbeiter arbeitet mit Administratorrechten.
- Mehr-Faktor-Authentifizierung: Bei Fernzugriffen und Cloud-Diensten inzwischen Standardanforderung.
Diese Anforderungen sind keine Schikane. Sie verhindern einen großen Teil der Angriffe von vornherein – und wer sie erfüllt, bekommt den Schutz günstiger.
Die Grenzen ehrlich benannt
Eine Cyberversicherung ersetzt keine IT-Sicherheit. Wer die vereinbarten Obliegenheiten nicht einhält, riskiert die Leistung. Und sie deckt nicht jeden Fall: Schäden durch bekannte, aber nicht geschlossene Sicherheitslücken oder durch vorsätzliches Handeln eigener Leute sind regelmäßig ausgeschlossen. Auch die Zahlung von Lösegeld ist nicht überall eingeschlossen und rechtlich heikel.
Was sie dagegen sehr gut kann: den organisatorischen und finanziellen Schaden auffangen, wenn es trotz aller Vorsicht passiert ist.
Was ich Betrieben rate
Fang nicht mit der Police an, sondern mit dem Backup. Prüfe, ob eure Datensicherung wirklich funktioniert – und zwar, indem ihr einmal testweise etwas zurückspielt. Danach lohnt sich der Blick auf den Versicherungsschutz, weil der Betriebsstillstand nach einem Angriff wirtschaftlich genauso wirkt wie nach einem Brand. Wenn du wissen willst, welche Anforderungen dein Betrieb erfüllen müsste und was der Schutz kostet: Ruf an oder vereinbar einen Termin. Einen Überblick über die Absicherung von Betrieben in Crailsheim und Hohenlohe findest du auf der Seite Für Unternehmen & Betriebe.
Häufige Fragen aus meiner Beratung
Sind wir nicht über die IT-Firma abgesichert? Nur begrenzt. Dein IT-Dienstleister haftet für eigene Fehler, nicht für einen Angriff, der über eine Phishing-Mail an deine Buchhaltung hereinkam. Und selbst wenn er haftet, deckt seine Vermögensschadenhaftpflicht deinen Betriebsstillstand nicht automatisch ab.
Was muss ich melden, wenn Kundendaten betroffen sind? Bei einer Verletzung des Schutzes personenbezogener Daten besteht in der Regel eine Meldepflicht gegenüber der Aufsichtsbehörde innerhalb von 72 Stunden, unter Umständen auch eine Informationspflicht gegenüber den Betroffenen. Genau dabei helfen die Rechtsberatungsleistungen der Cyberpolice.
Zahlt die Versicherung das Lösegeld? Manche Tarife sehen das vor, viele schließen es aus. Unabhängig davon: Eine Zahlung ist keine Garantie für die Entschlüsselung und rechtlich nicht unproblematisch. Der bessere Weg ist ein funktionierendes, getrenntes Backup.
Wie teuer ist so ein Vertrag für einen kleinen Betrieb? Das hängt vom Umsatz, der Branche und dem Sicherheitsniveau ab. Für einen kleinen Handwerks- oder Handelsbetrieb bewegt es sich in einer Größenordnung, die deutlich unter dem liegt, was ein einziger Tag Stillstand kostet.
Dieser Beitrag gibt allgemeine Hinweise und ersetzt keine individuelle Beratung. Was im Einzelfall sinnvoll ist, hängt von deiner konkreten Situation und den Bedingungen des jeweiligen Tarifs ab.