Das Wichtigste in Kürze
- Auch Kleinbetriebe und Selbständige werden angegriffen, meist automatisiert und ohne Blick auf die Firmengrösse.
- Eine Cyberversicherung deckt je nach Police Kosten für Forensik, Wiederherstellung, Betriebsunterbruch und Ansprüche Dritter.
- Versicherer verlangen Mindeststandards wie Backups, Updates und Zwei-Faktor-Authentifizierung. Wer sie nicht einhält, riskiert Leistungskürzungen.
- Sinnvoll ist die Police vor allem dort, wo ein mehrtägiger Ausfall oder ein Datenabfluss den Betrieb ernsthaft gefährden würde.
Warum auch kleine Betriebe Ziel sind
Der Satz „bei uns gibt es nichts zu holen“ hält einer nüchternen Prüfung selten stand. Jedes KMU verfügt über Kundendaten, Zahlungsverkehr und Systeme, ohne die der Betrieb stillsteht. Das Bundesamt für Cybersicherheit (BACS) erhält jedes Jahr Zehntausende Meldungen zu Cybervorfällen; Phishing, Betrugsversuche und Ransomware betreffen dabei regelmässig auch Kleinstunternehmen.
Typische Schwachstellen in kleineren Betrieben sind:
- IT wird nebenbei betreut, ohne klare Verantwortung für Updates, Backups und Zugriffsrechte.
- Schwache oder mehrfach verwendete Passwörter, fehlende Zwei-Faktor-Authentifizierung.
- Wenig Sensibilisierung für gefälschte Rechnungen, Phishing und Fake-CEO-Anrufe.
- Wissen über Systeme liegt bei einer einzigen Person oder einem externen Partner.
- Backups existieren, wurden aber nie auf ihre Wiederherstellbarkeit getestet.
Was eine Cyberversicherung typischerweise deckt
Die Produkte auf dem Schweizer Markt sind modular aufgebaut und unterscheiden sich im Detail erheblich. Die folgende Übersicht zeigt die üblichen Bausteine und die Punkte, die Sie im Vertrag prüfen sollten.
| Baustein | Was er abdeckt | Worauf Sie achten sollten |
|---|---|---|
| Eigenschäden | Forensik, Datenwiederherstellung, Neuaufsetzen von Systemen | Ob Hardware-Ersatz eingeschlossen ist |
| Betriebsunterbruch | Ertragsausfall und Mehrkosten nach einem Angriff | Wartefrist (Selbstbehalt in Stunden) und Haftungsdauer |
| Haftpflicht | Ansprüche Dritter, etwa nach Datenabfluss | Abwehr unberechtigter Forderungen, Deckung im Ausland |
| Assistance und Krisenhilfe | Hotline, IT-Spezialisten, Rechts- und Kommunikationsberatung | Erreichbarkeit rund um die Uhr, Sprache, Reaktionszeit |
| Betrug und Social Engineering | Fehlüberweisungen nach gefälschten Zahlungsanweisungen | Oft nur als Zusatz und mit tiefer Sublimite |
Lösegeld
Ob und unter welchen Bedingungen Lösegeldzahlungen versichert sind, ist je nach Police unterschiedlich geregelt und rechtlich wie ethisch umstritten. Behörden raten grundsätzlich davon ab, zu bezahlen. Klären Sie diesen Punkt ausdrücklich mit dem Versicherer.
Obliegenheiten und typische Ausschlüsse
Vor dem Abschluss stellt der Versicherer in der Regel Fragen zur Sicherheitslage. Die Antworten werden Vertragsbestandteil. Wer falsche Angaben macht oder zugesicherte Massnahmen später nicht umsetzt, riskiert im Schadenfall Kürzungen oder die Ablehnung der Leistung.
- Regelmässige, vom Netzwerk getrennte Backups mit dokumentierten Wiederherstellungstests.
- Zeitnahe Sicherheitsupdates für Betriebssysteme, Programme und Firewall.
- Zwei-Faktor-Authentifizierung für E-Mail, Fernzugriff und Administratorkonten.
- Aktueller Virenschutz und klare Regeln für Berechtigungen.
- Mindestens jährliche Sensibilisierung der Mitarbeitenden.
Häufige Ausschlüsse betreffen bekannte, aber nicht behobene Schwachstellen, Schäden aus veralteten Systemen ohne Herstellersupport, kriegerische Ereignisse sowie grossflächige Ausfälle von Infrastruktur wie Strom- oder Internetnetzen. Die genaue Formulierung entscheidet, lesen Sie diese Klauseln vollständig.
Für wen sich die Police lohnt
Eine Cyberversicherung ist ein Baustein im Risikomanagement, kein Ersatz für Schutzmassnahmen. Ihr grösster praktischer Nutzen liegt oft in der Soforthilfe: Wer im Ernstfall nicht weiss, wen er anrufen soll, verliert wertvolle Stunden. Besonders sinnvoll ist sie, wenn:
- Aufträge, Rechnungen und Termine vollständig von IT-Systemen abhängen.
- Sie besonders schützenswerte Personendaten bearbeiten, etwa Gesundheits- oder Finanzdaten.
- keine eigene IT-Abteilung vorhanden ist und externe Hilfe im Notfall nicht vertraglich gesichert ist.
- ein Ausfall von einer Woche die Liquidität ernsthaft belasten würde.
Die Prämie hängt von Branche, Umsatz, Versicherungssumme, Selbstbehalt und Sicherheitsniveau ab. Holen Sie mehrere Offerten ein und vergleichen Sie nicht nur den Preis, sondern Deckungsumfang, Sublimiten und Wartefristen. Auch Branchenverbände bieten Lösungen an; laut Anbieter hat etwa der Schweizerische Kaderverband SKV mit einem Spezialversicherer ein Produkt mit Online-Abschluss für Selbständige und KMU entwickelt.
Rechtlicher Rahmen
Seit dem revidierten Datenschutzgesetz (in Kraft seit September 2023) müssen Datenschutzverletzungen mit hohem Risiko dem EDÖB gemeldet werden. Betreiber kritischer Infrastrukturen unterliegen zudem einer Meldepflicht für Cyberangriffe an das BACS. Prüfen Sie die aktuell geltenden Regeln und ziehen Sie bei Unsicherheit eine Fachperson bei.
Häufige Fragen
Reicht eine Cyberversicherung, wenn wir sonst nichts ändern?
Deckt die Betriebshaftpflicht nicht schon Cyberschäden?
Was kostet eine Cyberversicherung für ein KMU?
Was sollten wir im Ernstfall zuerst tun?
Sind Einzelfirmen und Selbständige ebenfalls versicherbar?
Die entscheidende Frage für ein KMU ist nicht, ob es zu klein für Angreifer ist, sondern wie gut es auf einen Vorfall vorbereitet ist. Eine passende Police ergänzt diese Vorbereitung, ersetzt sie aber nicht.