Was deckt die Cyber-Versicherung 2026? Erstantragsdeckung und Dritthaftungsdeckung erklärt

Wenn ein Cyberangriff erfolgt, lautet die erste Frage immer: Ist das abgedeckt?

Cyber-Versicherungspolicen basieren auf zwei grundlegenden Deckungsarten: Erstantragsdeckung (schutz der eigenen Organisation) und Dritthaftungsdeckung (schutz vor Ansprüchen Dritter). Dieses Unterscheidung zu verstehen — und was unter jede Kategorie fällt — ist entscheidend für den Kauf der richtigen Police und die Sicherstellung, dass Ihre Schadenfälle bezahlt werden.

Dieser Leitfaden analysiert detailliert, was die Cyber-Versicherung 2026 abdeckt, mit konkreten Beispielen, Deckungslimits und dem Kleingedruckten, das darüber entscheidet, ob ein Schadenfall genehmigt oder abgelehnt wird. Den vollständigen Schadenmeldeprozess finden Sie in unserem Cyber-Versicherungsschadenprozess: Schritt-für-Schritt-Leitfaden.

Erstantragsdeckung: Schutz Ihrer Organisation

Die Erstantragsdeckung zahlt für direkte Verluste, die Ihre Organisation durch ein Cyber-Ereignis erleidet. Hier entstehen die meisten Schadenfälle — die unmittelbaren Kosten der Reaktion auf und der Wiederherstellung nach einem Angriff.

1. Datenpannenreaktionskosten

Wenn personenbezogene Daten kompromittiert werden, beginnt die Zeit zu laufen. Die Datenpannenreaktionsdeckung zahlt die unmittelbaren Kosten der Bewältigung einer Datenpanne:

Was typischerweise abgedeckt ist:

• Forensische Untersuchung — Beauftragung von Cybersicherheitsexperten zur Ermittlung des Vorfalls, wie der Angreifer Zugang erlangte und welche Daten kompromittiert wurden
• Rechtsberatung — Datenschutzanwälte zur Beratung der Meldepflichten über Rechtskreise hinweg
• Krisenkommunikation — PR-Agenturen zum Management von Medien, Kunden und Stakeholdern
• Kundenbenachrichtigung — Kosten zur Benachrichtigung betroffener Personen per Post, E-Mail oder anderen Kanälen
• Bonitätsüberwachung — Bereitstellung von Identitätsschutzdiensten für betroffene Kunden (in der Regel 12–24 Monate)
• Callcenter-Dienste — Dedizierte Support-Hotlines für datenpannenbezogene Anfragen

Typische Limits: Die meisten Policen sehen 100.000 € bis 500.000 € für Datenpannenreaktionskosten vor, wobei risikointensivere Branchen über 1 Mio. € verfügen können.

Worauf achten: Einige Policen begrenzen die Stunden für forensische Ermittler oder Rechtsberatung. Prüfen Sie, ob Benachrichtigungskosten im Sublimit oder im Gesamtlimit enthalten sind.

2. Betriebsunterbrechungsdeckung

Wenn ein Cyberangriff Ihre Systeme lahmlegt, können die Erlösausfälle die technischen Wiederherstellungskosten übersteigen. Die Betriebsunterbrechungsdeckung ersetzt den während der Ausfallzeit entgangenen Umsatz.

Was typischerweise abgedeckt ist:

• Entgangener Umsatz während der Zeit, in der Ihre Systeme nicht verfügbar sind
• Zusatzkosten für den Fortbetrieb (z. B. manuelle Umgehungslösungen, temporäre Systeme)
• Erweiterte Betriebsunterbrechung — fortgesetzte Verluste während der Wiederherstellungsphase nach Systemreaktivierung

Wichtige Bedingungen, die die Deckung beeinflussen:

Begriff	Bedeutung	Warum es wichtig ist
Wartefrist	Stunden Ausfallzeit, bevor die Deckung aktiviert wird	Kürzer ist besser — 4–8 Stunden sind Standard; 12+ Stunden hinterlassen eine Lücke
Maximaler Zeitraum	Längste Dauer, die die Police abdeckt (z. B. 90 Tage)	Stellen Sie sicher, dass realistische Wiederherstellungsszenarien abgedeckt sind
Auslöser	Was als gedeckte Unterbrechung gilt	Breite Auslöser schließen Systemausfälle ein, nicht nur Angriffe

Reales Szenario: Ein Ransomware-Angriff verschlüsselt die Produktionssysteme eines Herstellers. Das Unternehmen ist 3 Wochen offline. Die Betriebsunterbrechungsdeckung ersetzt 850.000 € an entgangenem Umsatz, der in diesem Zeitraum erwirtschaftet worden wäre.

Worauf achten: Kontingente Betriebsunterbrechung — Deckung für Ausfallzeiten, die durch Angriffe auf Ihre Dienstleister verursacht werden — ist 2026 zunehmend wichtig. Wenn Ihr Cloud-Provider, Zahlungsverarbeiter oder kritische Lieferant ausfällt, haben Sie dann Deckung?

3. Cyber-Erpressung und Ransomware

Ransomware bleibt die dominierende Cyberbedrohung für Unternehmen im Jahr 2026. Die Erpressungsdeckung deckt die spezifischen Kosten dieser Angriffe.

Was typischerweise abgedeckt ist:

• Lösegeldzahlungen — die an Angreifer gezahlte Kryptowährung (sofern rechtlich zulässig)
• Verhandlungskosten — professionelle Verhandler, die mit Angreifern kommunizieren
• Entschlüsselungsunterstützung — Kosten für Datenwiederherstellungsversuche, auch wenn kein Lösegeld gezahlt wird
• Alternative Wiederherstellungskosten — wenn die Entschlüsselung fehlschlägt, Kosten für den Neuaufbau der Systeme aus Backups

Wichtige Überlegungen:

1. Lösegeld-Sublimits — Viele Policen begrenzen Erpressungszahlungen auf 25–50 % des Gesamtdeckungslimits
2. Regulatorische Einschränkungen — In einigen Rechtsordnungen (einschließlich bestimmter EU-Mitgliedstaaten) kann die Zahlung an Ransomware-Akteure eingeschränkt sein oder Meldepflichten unterliegen
3. Zahlungsbedingungen — Einige Policen erfordern die Zustimmung des Versicherers vor jeder Lösegeldzahlung

Reales Szenario: Ein Logistikunternehmen wird von Ransomware getroffen, die 400.000 € fordert. Die Police hat ein Limit von 1 Mio. € mit einem 40% Ransomware-Sublimit (maximal 400.000 €). Der Versicherer genehmigt die Zahlung, deckt Verhandlungskosten (25.000 €) und zahlt die Datenwiederherstellung (75.000 €).

Worauf achten: Policen können den Versicherungsschutz ausschließen, wenn Sie ohne Zustimmung des Versicherers das Lösegeld zahlen oder wenn die Zahlung gegen Sanktionsvorschriften verstößt. Prüfen Sie immer die Bedingungen der Erpressungsklausel.

4. Datenwiederherstellung und -rekonstruktion

Auch wenn Sie kein Lösegeld zahlen, ist die Wiederherstellung kompromittierter Daten teuer. Die Datenwiederherstellungsdeckung zahlt für:

Was typischerweise abgedeckt ist:

• Datenwiederherstellungsdienste — Spezialisten, die versuchen, verschlüsselte oder korrumpierte Daten wiederherzustellen
• Systemwiederherstellung — Kosten für den Neuaufbau von Servern, Datenbanken und Anwendungen
• Datenrekonstruktion — manuelle Kosten zur Neuerstellung verlorener Daten, wenn die Wiederherstellung nicht möglich ist
• Rekonstitutionsausgaben — Personalzeit und Dienstleisterkosten zur Wiederherstellung des Systemzustands vor dem Vorfall

Typische Limits: Oft mit der Datenpannenreaktion gebündelt oder mit separaten Sublimits von 250.000 € bis 1 Mio. €.

Reales Szenario: Die Datenbank eines Wirtschaftsprüfungsunternehmens wird während eines gescheiterten Ransomware-Angriffs korrumpiert. Backups sind 5 Tage alt. Die Datenwiederherstellungsdeckung zahlt 180.000 € für Spezialisten zur manuellen Rekonstruktion der fehlenden Transaktionsdatensätze.

Worauf achten: Einige Policen verlangen den Nachweis, dass Backups getestet und funktionsfähig waren. Wenn Sie die Backup-Integrität nicht nachweisen können, kann die Deckung reduziert oder abgelehnt werden.

5. Regulierungsverteidigungskosten und Bußgelder

Regulatorische Untersuchungen nach einer Datenpanne können mehr kosten als die Datenpanne selbst. Diese Deckung deckt staatliche Ermittlungen und Durchsetzungsmaßnahmen.

Was typischerweise abgedeckt ist:

• Rechtliche Verteidigung — Anwälte, die Sie in regulatorischen Untersuchungen vertreten
• Compliance-Remediation — Kosten zur Behebung regulatorischer Anforderungen, die während der Untersuchung identifiziert wurden
• Regulatorische Bußgelder — Strafen nach DSGVO, NIS2, DORA oder anderen Rahmenwerken (wo versicherbar)

Die Rechtsordnung ist entscheidend: Die Versicherbarkeit regulatorischer Bußgelder variiert:

• EU/UK: DSGVO-Bußgelder können in einigen Rechtsordnungen versicherbar sein (prüfung nach lokalem Recht), aber die Deckung gilt in der Regel unabhängig für Verteidigungskosten
• US: Regulatorische Bußgelder sind grundsätzlich versicherbar
• Sektorspezifisch: Finanzdienstleistungen, Gesundheitswesen und kritische Infrastrukturen unterliegen zusätzlicher regulatorischer Exposition

Reales Szenario: Ein Gesundheitsdienstleister erleidet eine Datenpanne, die 50.000 Patientendatensätze betrifft. Die Datenschutzbehörde eröffnet eine Untersuchung. Die Regulierungsverteidigungsdeckung zahlt 120.000 € für Rechtsberatung und 60.000 € für Compliance-Verbesserungen, die vom Regulierer angeordnet wurden.

Worauf achten: Stellen Sie sicher, dass Ihre Police ausdrücklich NIS2- und DORA-bezogene Untersuchungen abdeckt, die 2026 für EU-Unternehmen zunehmend häufig werden. Weitere Informationen zu diesen Vorschriften finden Sie in unserem NIS2-Compliance-Leitfaden.

6. Reputationsmanagement und Krisenkommunikation

Eine Datenpanne kann das Kundenvertrauen beschädigen, selbst wenn der technische Schaden eingedämmt ist. Einige Policen enthalten Deckung für das Management der reputationalen Folgen.

Was typischerweise abgedeckt ist:

• Krisen-PR-Agenturen — professionelle Kommunikatoren für Medien- und Stakeholder-Messaging
• Kundenbindungskampagnen — Marketingmaßnahmen zur Vertrauensrückgewinnung und Vermeidung von Kundenabwanderung
• Markehabilitation — langfristigere Kommunikationsstrategien

Typische Limits: 50.000 € bis 250.000 €, oft als Sublimit innerhalb der Datenpannenreaktionsdeckung.

Worauf achten: Dies ist etwas anderes als die „Reputationsschaden”-Deckung, die in Standardpolicen typischerweise nicht existiert. Sie können keinen Anspruch auf abstrakten Markenschaden oder entgangenes zukünftiges Geschäft erheben — nur auf die Kosten kommunikativer Maßnahmen.

7. Computerkriminalität und Funds-Transfer-Betrug

Obwohl oft unter separaten Kriminalversicherungen abgedeckt, enthalten viele Cyber-Policen inzwischen Deckung für direkte finanzielle Verluste durch cyber-gestützten Betrug.

Was typischerweise abgedeckt ist:

• Business Email Compromise (BEC) — wenn Angreifer Führungskräfte oder Dienstleister impersonieren, um Mitarbeiter zur Überweisung von Geld zu verleiten
• Funds-Transfer-Betrug — direkter Diebstahl über kompromittierte Anmeldeinformationen oder Systeme
• Rechnungsmanipulation — Betrüger leiten Zahlungen auf ihre Konten um

Reales Szenario: Ein Finanzmitarbeiter erhält eine E-Mail, die scheinbar vom CEO stammt und eine dringende Überweisung von 200.000 € an einen „neuen Lieferanten” anfordert. Die Überweisung wird getätigt, bevor jemand den Betrug bemerkt. Die Social-Engineering-Deckung erstattet den Verlust.

Worauf achten: Viele Policen verlangen, dass Sie etablierte Verifikationsverfahren einhalten (z. B. mündliche Bestätigung bei Überweisungen), andernfalls kann die Deckung reduziert werden. Weitere Informationen dazu, was nicht abgedeckt ist, finden Sie in unserem Leitfaden zu Cyber-Versicherungs-Ausschlüssen.

Dritthaftungsdeckung: Haftungsdeckung

Die Dritthaftungsdeckung schützt Sie, wenn andere Sie verklagen oder Ansprüche im Zusammenhang mit einem Cyber-Ereignis geltend machen. Dies ist Haftpflichtversicherung für das digitale Zeitalter.

1. Datenschutzhaftung

Wenn Ihre Datenpanne Kunden-, Mitarbeiter- oder Partnerdaten offenlegt, können Sie verklagt werden. Die Datenschutzhaftungsdeckung zahlt für:

Was typischerweise abgedeckt ist:

• Verteidigungskosten — Anwälte zur Verteidigung gegen Sammelklagen und Einzelklagen
• Vergleiche und Urteile — Zahlungen an Kläger, wenn Sie haftbar befunden werden
• Regulatorische Strafen — Bußgelder von Datenschutzbehörden (wo versicherbar)
• Benachrichtigungskosten — wenn die Klage zusätzliche Benachrichtigungen über die Erstantragsdeckung hinaus erfordert

Reales Szenario: Eine Datenpanne eines Einzelhändlers legt 200.000 Kundendatensätze offen. Eine Sammelklage wirft Fahrlässigkeit vor. Die Datenschutzhaftungsdeckung zahlt 1,2 Mio. € an Vergleichskosten sowie 400.000 € an Anwaltskosten.

Worauf achten: Prüfen Sie, ob die Police sowohl „Datenschutz”- als auch „Vertraulichkeits”-Ansprüche abdeckt — einige begrenzen die Deckung auf bestimmte Datentypen. Überprüfen Sie auch die Deckung für behördlich eingeleitete Maßnahmen, nicht nur für Privatklagen.

2. Sicherheitshaftung

Die Sicherheitshaftung deckt Ansprüche, bei denen Ihre Sicherheitsmängel anderen geschadet haben — auch wenn keine Daten gestohlen wurden.

Was typischerweise abgedeckt ist:

• Fahrlässige Sicherheitsmaßnahmen — Klagen, die vorbringen, Sie hätten keine angemessenen Sicherheitsvorkehrungen implementiert
• Übertragung von Malware — wenn Ihre Systeme bösartige Software an Partner oder Kunden weitergegeben haben
• Beitrag zu Denial-of-Service-Angriffen — wenn Ihre kompromittierten Systeme für Angriffe gegen andere genutzt wurden
• Nichtverhinderung unbefugten Zugangs — Ansprüche von Parteien, denen durch Angreifer über Ihre Systeme geschadet wurde

Reales Szenario: Die Systeme eines MSP werden kompromittiert und als Startpunkt für Angriffe auf 15 Kunden genutzt. Die Kunden verklagen auf Schadensersatz. Die Sicherheitshaftungsdeckung zahlt die Verteidigungs- und Vergleichskosten.

Worauf achten: Diese Deckung überschneidet sich oft mit Technology-Errors-&-Omissions-(E&O-)Versicherungen. Wenn Sie Technologieanbieter sind, stellen Sie sicher, dass Ihre Policen koordiniert sind und keine Lücken hinterlassen.

3. Medienhaftung

Für Unternehmen, die online Inhalte veröffentlichen — was die meisten Unternehmen mit Websites, Blogs oder Social-Media-Präsenz einschließt — deckt die Medienhaftung digitale Veröffentlichungsrisiken.

Was typischerweise abgedeckt ist:

• Verleumdung — Verleumdungs- oder Rufschädigungsansprüche aus digitalen Inhalten
• Urheberrechts- und Markenschutzverletzungen — unbeabsichtigte Nutzung geschützter Inhalte
• Privatsphäreverletzung — Ansprüche im Zusammenhang mit Online-Inhalten
• Unbeabsichtigte IP-Verletzung — in Ihren digitalen Materialien, Marketing oder Kommunikation

Reales Szenario: Ein Blogbeitrag eines Unternehmens enthält ein Bild ohne ordnungsgemäße Lizenzierung. Der Fotograf verklagt auf 50.000 € Urheberrechtsverletzung. Die Medienhaftung deckt Verteidigung und Vergleich.

Worauf achten: Dies ist in der Regel auf unbeabsichtigte Handlungen beschränkt. Vorsätzliche Verletzung oder Verleumdung ist ausgeschlossen.

4. Regulatorische Verfahren und Untersuchungen

Neben Bußgeldern (unter Erstantragsdeckung) kann die Dritthaftungsdeckung die Kosten der Verteidigung gegen formelle regulatorische Maßnahmen tragen.

Was typischerweise abgedeckt ist:

• Formelle Untersuchungen — wenn Regulierer Ermittlungen zu Ihren Sicherheitspraktiken einleiten
• Zustimmungsverfügungen und Vergleiche — Kosten der Aushandlung und Einhaltung regulatorischer Vereinbarungen
• Anhörungen und Untersuchungen — rechtliche Vertretung bei behördlichen Verfahren

Reales Szenario: Nach einer Datenpanne wird ein Finanzdienstleister vom Finanzaufsichtsamt wegen möglicher Verstöße gegen Cybersicherheitsanforderungen untersucht. Die Deckung für regulatorische Verfahren zahlt 300.000 € an Rechtskosten über die 18-monatige Untersuchung.

Was typischerweise NICHT abgedeckt ist (was Menschen jedoch annehmen)

Die Deckung zu verstehen heißt, die Lücken zu verstehen. Eine detaillierte Aufschlüsselung finden Sie in unserem vollständigen Leitfaden zu Cyber-Versicherungs-Ausschlüssen, doch häufige Missverständnisse umfassen:

Annahme	Realität
Alle Ransomware-Zahlungen sind gedeckt	Viele Policen haben Sublimits (25–50 % des Limits) und können die Zustimmung des Versicherers erfordern
Reputationaler Schaden ist gedeckt	Nur Krisenkommunikationskosten — nicht entgangenes zukünftiges Geschäft oder Markenabwertung
Jeder Social-Engineering-Verlust ist gedeckt	Viele Policen verlangen, dass Sie Verifikationsverfahren eingehalten haben, oder haben Sublimits
Frühere Datenpannen sind gedeckt	Claims-Made-Policen haben Rückwirkungsdaten; Vorfälle vor diesem Datum sind nicht gedeckt
Infrastrukturausfälle sind gedeckt	Nur wenn durch einen Cyberangriff verursacht — nicht bei Cloud-Provider-Downtime oder Stromausfällen

Wie Deckungslimits funktionieren

Cyber-Versicherungspolicen verfügen in der Regel über ein einziges aggregiertes Limit, das für alle Deckungsarten gilt, mit Sublimits für bestimmte Kategorien:

Beispielstruktur:

• Gesamtaggregatlimit: 5.000.000 €
  • Ransomware-Sublimit: 2.000.000 € (40 %)
  • Regulatorische-Bußgelder-Sublimit: 500.000 € (10 %)
  • Krisenkommunikations-Sublimit: 250.000 € (5 %)

Das bedeutet: Wenn Sie einen Ransomware-Verlust von 4 Mio. € haben, zahlt die Police 2 Mio. € (das Sublimit), nicht die vollen 4 Mio. €. Ihre Sublimits zu verstehen ist genauso wichtig wie Ihr Gesamtlimit.

Hinweise zu angemessenen Limits für Ihre Unternehmensgröße finden Sie in unserer Cyber-Versicherungskostenaufschlüsselung.

Erstantrags- vs. Dritthaftungsdeckung: Wie sie zusammenwirken

Bei einer bedeutenden Datenpanne lösen Sie in der Regel beide Deckungsarten aus:

Szenario: Ein SaaS-Unternehmen erleidet eine Datenpanne, die Kundendaten offenlegt.

Erstantrags-Schadenfälle:

• Forensische Untersuchung: 150.000 €
• Rechts- und Benachrichtigungskosten: 200.000 €
• Betriebsunterbrechung (5 Tage): 300.000 €
• Systemwiederherstellung: 100.000 €
• Gesamt Erstantrags: 750.000 €

Dritthaftungs-Schadenfälle:

• Verteidigung der Kundensammelklage: 800.000 €
• Regulatorische Untersuchung: 250.000 €
• Vergleichszahlung: 1.500.000 €
• Gesamt Dritthaftung: 2.550.000 €

Kombinierter Schadenfall: 3.300.000 € gegen das Aggregatlimit der Police.

Fragen zu Ihrer Deckung

Prüfen Sie vor dem Kauf oder der Erneuerung einer Cyber-Versicherung:

1. Welche Sublimits bestehen für Ransomware, regulatorische Bußgelder und Social Engineering?
2. Wie lang ist die Wartefrist für die Betriebsunterbrechungsdeckung?
3. Deckt die Datenschutzhaftung sowohl behördliche Maßnahmen als auch Privatklagen?
4. Gibt es Deckung für kontingente Betriebsunterbrechung, wenn Dienstleister ausfallen?
5. Welche Sicherheitskontrollen sind gewährleistet — und was passiert, wenn sie nicht aufrechterhalten werden?
6. Wie lautet das Rückwirkungsdatum bei Claims-Made-Deckung?
7. Sind regulatorische Bußgelder versicherbar in den Rechtsordnungen, in denen Sie tätig sind?

Fazit

Die Cyber-Versicherungsdeckung im Jahr 2026 ist umfassend, aber komplex. Die Erstantragsdeckung deckt Ihre direkten Kosten — Datenpannenreaktion, Betriebsunterbrechung, Erpressung und Wiederherstellung. Die Dritthaftungsdeckung schützt Sie vor Klagen, regulatorischen Maßnahmen und Haftung gegenüber Dritten.

Der Schlüssel zu angemessenem Schutz liegt nicht nur im Kauf einer Police — sondern im Verständnis dessen, was gedeckt, was sublimitiert und was ausgeschlossen ist. Prüfen Sie vor Ihrer nächsten Erneuerung Ihre Deckung an Ihrem tatsächlichen Risikoprofil. Die Lücken, die Sie finden, können den Unterschied zwischen einem gedeckten und einem abgelehnten Schadenfall ausmachen.

---

Bewerten Sie Ihre Cyberrisikoexposition: Nutzen Sie unseren Cyber-Risikorechner, um potenzielle Verluste abzuschätzen, oder überprüfen Sie Ihre Regulatoriecompliance mit unserem NIS2-Compliance-Checker.

Verwandte Leitfäden:

• Cyber-Versicherung Kaufratgeber 2026
• Was die Cyber-Versicherung nicht abdeckt: Ausschlussleitfaden
• Wie viel kostet die Cyber-Versicherung 2026?
• NIS2-Compliance-Anforderungen und Fristen