Cyber-Versicherungsbedingungen: 12 wesentliche Klauseln, die jeder Underwriter und Makler 2026 prüfen muss

Die Bedingungen einer Cyber-Versicherungspolice bestimmen, was im Ernstfall wirklich gezahlt wird. Diese 12 Klauseln sind der Unterschied zwischen Deckung und Ablehnung.

Die 12 kritischen Klauseln

1. Definitions of Security Event vs. Privacy Event

Warum wichtig: Die Police unterscheidet zwischen Sicherheitsereignissen (Systemeintritt, Ransomware) und Datenschutzereignissen (DSGVO-Verletzung, Datenleck). Einige Policen decken nur eines vollständig.

Prüfen: Sind beide Ereignistypen gleichwertig abgedeckt?

2. Retroactive Date

Warum wichtig: Bestimmt, wie weit zurück ein Vorfall datieren darf, um noch gedeckt zu sein. Wenn der Angreifer schon vor 2 Jahren im System war, ist das entscheidend.

Prüfen: Retroaktives Datum = Policenbeginn oder früher?

3. Notification Requirement

Warum wichtig: Die Frist zur Schadenmeldung. 2026 haben einige Versicherer auf 48 Stunden reduziert.

Prüfen: Wie lange haben Sie Zeit? Was zählt als „Benachrichtigung”?

4. Consent Clause

Warum wichtig: Regelt, ob Sie zustimmen müssen, bevor der Versicherer Kosten übernimmt — besonders bei Lösegeldzahlungen.

Prüfen: Vorbedingte Zustimmung oder Einzelfallprüfung?

5. Sublimits for Specific Costs

Warum wichtig: Teilkapitalgrenzen innerhalb der Gesammtdeckung:

Prüfen: Welche Sublimits gibt es und reichen sie?

6. War and State-Sponsored Exclusion

Warum wichtig: 2026 haben die meisten Versicherer den Kriegsausschluss ausgeweitet. Staatlich geförderte Cyberangriffe können ausgeschlossen sein.

Prüfen: Wie wird „staatlich gefördert” definiert? Gibt es eine Kausalitätsschwelle?

7. Bodily Injury and Property Damage Exclusion

Warum wichtig: Wenn ein Cyberangriff physische Schäden verursacht (z.B. Industrieanlagen, medizinische Geräte), wird dies oft ausgeschlossen.

Prüfen: Gibt es eine Brücke zur Betriebshaftpflicht?

8. Prior Knowledge Exclusion

Warum wichtig: Wenn Sie zum Zeitpunkt der Antragsstellung von einer Schwachstelle wussten und sie nicht offenlegten, kann die Deckung entfallen.

Prüfen: Wie wird „Wissen” definiert? Gilt es für alle Mitarbeiter?

9. Failure to Maintain Security Standards

Warum wichtig: Eine wachsende Klausel — die Police kann die Deckung verweigern, wenn grundlegende Sicherheitsmaßnahmen fehlten.

Prüfen: Welche Maßnahmen sind vertraglich vorausgesetzt? MFA? Patch-Management?

10. Virtual Asset and Cryptocurrency Exclusion

Warum wichtig: Verluste durch Kryptotransaktionen (auch erpressungsbezahlte) können ausgeschlossen sein.

Prüfen: Ist die Zahlung von Lösegeld in Krypto gedeckt?

11. Regulatory Defense Costs

Warum wichtig: NIS2 und DSGVO-Verfahren erzeugen erhebliche Rechtskosten. Nicht alle Policen decken die Verteidigung gegen regulatorische Maßnahmen.

Prüfen: Sind Ermittlungs- und Verteidigungskosten gedeckt?

12. Aggregate vs. Per-Claim Limits

Warum wichtig: Aggregatdeckung = maximale Auszahlung pro Jahr für alle Schäden. Pro-Schaden-Deckung = pro einzelnem Vorfall.

Prüfen: Was gilt? Was passiert bei mehreren Vorfällen im selben Jahr?

Die NIS2-Verbindung

Seit NIS2 prüfen Versicherer aktiv, ob Einrichtungen ihre gesetzlichen Pflichten erfüllen. Eine „Failure to Maintain Security Standards”-Klausel kann sich auf NIS2-Artikel-21-Anforderungen beziehen.

Siehe unseren NIS2-Compliance-Leitfaden für die Mindestanforderungen.

Fazit

Die Bedingungen sind wichtiger als die Prämie. Eine günstige Police mit engen Ausschlüssen ist teurer als eine teurere Police mit breiter Deckung. Prüfen Sie diese 12 Klauseln bei jedem Angebot.

Vergleichen Sie Cyber-Policen mit unserem Deckungsvergleichstool und nutzen Sie die NIS2-Compliance-Checkliste als Verhandlungsgrundlage.