Cyberversicherung KMU: das fordern Versicherer 2026

Ein Kunde leitet dir das Formular seiner Versicherung weiter, bevor er die Cyberpolice abschließen kann. Darin steht eine Frage, die harmlos klingt: „Setzen Sie Multi-Faktor-Authentifizierung für alle administrativen Zugänge ein?" Der Kunde kreuzt „Ja" an, weil es sich gut anfühlt. Dabei weiß nur einer wirklich, ob das stimmt: du. Denn du verwaltest seine Server, sein Hosting, seine Zugänge. Und wenn im Schadensfall herauskommt, dass das Kreuzchen falsch war, kann die Versicherung die Zahlung kürzen oder ganz verweigern.

Genau hier verändert sich gerade etwas. Cyberversicherungen sind längst kein Nischenprodukt mehr, aber die Anbieter sind vorsichtiger geworden. Wer 2026 eine Police will, muss Sicherheitsmaßnahmen nicht nur behaupten, sondern nachweisen – und im Ernstfall trägt das Unternehmen die Beweislast. Für kleine Agenturen ist das eine doppelte Nachricht: Es geht um die eigene Absicherung, und es entsteht ein neues Beratungsfeld bei den Kunden. Dieser Beitrag ordnet ein, was Versicherer heute verlangen, welche Zahlen dahinterstehen und wie du das Thema für dich nutzt. Das ist eine journalistische Einordnung, keine Rechts- oder Versicherungsberatung.

Cyberversicherung KMU: warum 2026 alles strenger wird

Um zu verstehen, warum die Versicherer die Zügel anziehen, hilft ein Blick auf das Schadensbild. Die Bitkom-Studie „Wirtschaftsschutz 2025" beziffert den jährlichen Gesamtschaden durch Datendiebstahl, Industriespionage und Sabotage auf 289,2 Milliarden Euro – ein Anstieg von rund acht Prozent gegenüber dem Vorjahr. Auf Cyberangriffe im engeren Sinne entfallen davon 70 Prozent, also 202,4 Milliarden Euro. 87 Prozent der befragten Unternehmen berichten überhaupt von Angriffen. Das ist kein Randphänomen mehr, sondern der Normalzustand.

Besonders relevant für die Zielgruppe kleiner Betriebe ist eine Zahl des Gesamtverbands der Deutschen Versicherungswirtschaft: Rund 80 Prozent der registrierten Ransomware-Angriffe treffen kleine und mittlere Unternehmen. Der Grund ist unbequem: Laut GDV erfüllen KMU im Schnitt nur etwa die Hälfte grundlegender IT-Sicherheitsanforderungen, und pro Mitarbeiter kommen im Durchschnitt weniger als vier Schutzmaßnahmen zum Einsatz. Angreifer wissen das. Sie zielen nicht auf den bestgesicherten Konzern, sondern auf den schwächsten erreichbaren Betrieb.

Für die Versicherer folgt daraus eine simple Logik. Wer schlecht abgesicherte Unternehmen zu günstigen Prämien versichert, macht Verluste. Also verlangen sie belegbare Mindeststandards, bevor sie überhaupt eine Police anbieten – und behalten sich vor, im Schadensfall genau zu prüfen, ob diese Standards eingehalten wurden.

Was Versicherer heute konkret verlangen

Die Anforderungskataloge der Anbieter ähneln sich stark, und sie lesen sich wie eine Checkliste der IT-Hygiene, die du deinen Kunden ohnehin empfiehlst. An erster Stelle steht fast immer die Multi-Faktor-Authentifizierung – für E-Mail-Konten, VPN-Zugänge, Cloud-Dienste und vor allem für administrative Konten. Ein gestohlenes Passwort allein soll keinen Zugang mehr ermöglichen. Wie weit die passwortlose Zukunft hier schon reicht, haben wir im Beitrag zu Passkeys und passwortloser Anmeldung beschrieben.

Ähnlich zentral ist ein funktionierendes Backup-Konzept: regelmäßige Sicherungen, getrennt vom Produktivsystem aufbewahrt, und – der Punkt, an dem viele scheitern – eine getestete Wiederherstellung. Ein Backup, das im Ernstfall nicht zurückspielbar ist, zählt nicht. Warum das für Kunden ein eigenes Standbein ist, haben wir im Beitrag zu Website-Backups ausgeführt. Hinzu kommt ein geregeltes Patch-Management, das kritische Sicherheitsupdates zeitnah einspielt – üblich sind Fenster von wenigen Wochen. Das ist nichts anderes als konsequente WordPress-Wartung, nur mit einem Vertrag im Rücken, der sie einfordert.

Dazu treten ein Berechtigungskonzept nach dem Prinzip der minimalen Rechte, nachweisbare und regelmäßige Mitarbeiterschulungen zur Sensibilisierung sowie eine grundlegende IT-Dokumentation mit Netzwerkübersicht, Inventar und Notfallplan. Keine dieser Maßnahmen ist exotisch. Zusammen ergeben sie aber ein Sicherheitsniveau, das die meisten kleinen Betriebe ohne Unterstützung nicht erreichen – und das ist der Ansatzpunkt für dich.

Die Obliegenheit: der Satz im Kleingedruckten

Der gefährlichste Teil einer Cyberpolice steht nicht in der Werbung, sondern im Kleingedruckten: bei den Obliegenheiten. Das sind die Pflichten, die der Versicherungsnehmer einhalten muss, damit der Schutz greift. Wird eine solche Obliegenheit verletzt – etwa weil die zugesicherte Multi-Faktor-Authentifizierung in Wahrheit nie eingerichtet war –, darf der Versicherer die Leistung kürzen oder komplett verweigern. Und die Beweislast dafür, dass alle Pflichten erfüllt waren, liegt im Zweifel beim Unternehmen.

Das ist der eigentliche Grund, warum dieses Thema deine Agentur betrifft. Dein Kunde füllt den Fragebogen aus, aber die Antworten beschreiben Systeme, die du betreust. Wenn er „Ja" ankreuzt, wo eigentlich „Nein" richtig wäre, entsteht eine Lücke, die im Schadensfall zur Katastrophe wird – der Angriff passiert, die Existenz steht auf dem Spiel, und dann zahlt die Versicherung nicht. Wer die technische Realität kennt, kann diese Falle verhindern. Das macht dich vom Dienstleister zum unverzichtbaren Partner im Antragsprozess.

Was der Schutz kostet – und was er wert ist

Trotz der wachsenden Bedrohung ist die Verbreitung gering. Nach GDV-Angaben erleidet unter den versicherten Unternehmen nur rund drei Prozent pro Jahr einen Cyberschaden – ein Hinweis darauf, dass abgesicherte, also besser geschützte Betriebe seltener zum Opfer werden. Umgekehrt bedeutet die niedrige Versicherungsquote im Mittelstand, dass sehr viele Betriebe im Ernstfall völlig ungeschützt dastehen.

Die Prämien bewegen sich für kleine Unternehmen in überschaubarem Rahmen. Branchenübliche Orientierungswerte liegen für Betriebe mit rund fünf bis zehn Mitarbeitenden je nach Umsatz und Risikoprofil im niedrigen bis mittleren vierstelligen Bereich pro Jahr; sie steigen mit Unternehmensgröße und Datenmenge. Gemessen an den Folgekosten eines Ransomware-Vorfalls – Betriebsausfall, Datenrekonstruktion, Krisenkommunikation, mögliche Lösegeldforderungen – ist das für die meisten eine sinnvolle Investition. Wichtig ist nur, dass die Police im Ernstfall auch zahlt, und das hängt eben an den erfüllten Voraussetzungen.

Hier lohnt es sich, den Blick zu weiten. Eine Cyberversicherung ist kein Ersatz für gute Sicherheit, sondern ihr Gegenstück – die Absicherung des Restrisikos, das trotz aller Maßnahmen bleibt. Sie fügt sich damit in dieselbe Landschaft ein wie die Sicherheitsanforderungen aus NIS2 über die Lieferkette: Kunden werden zunehmend gefragt, wie sie sich schützen, und die Antwort besteht aus Technik und Vertrag zugleich. Auch die Wahl gut dokumentierter, europäisch gehosteter Werkzeuge – von der Datenbank bis zu einem Chatbot wie Ragnova – zahlt auf diese Nachweisbarkeit ein, weil sich Verantwortlichkeiten und Datenflüsse sauber belegen lassen.

Zwischen Prävention und Meldepflicht

Ein Punkt wird bei der Police leicht übersehen: Ein Cybervorfall ist nicht nur ein Versicherungsfall, sondern oft auch ein Meldefall. Werden bei einem Angriff personenbezogene Daten kompromittiert, greift die 72-Stunden-Frist der DSGVO, die wir im Notfallplan für Datenpannen beschrieben haben. Kommen vernetzte Produkte ins Spiel, können ab September 2026 zusätzlich die kurzen Meldefristen des Cyber Resilience Act hinzukommen. Wer im Chaos eines Ransomware-Angriffs erst anfängt, diese Pflichten zu recherchieren, verliert wertvolle Stunden.

Gute Cyberpolicen tragen dem Rechnung: Sie umfassen meist nicht nur die finanzielle Deckung, sondern auch eine Krisenhotline und Zugang zu Forensik- und Rechtsexperten. Für einen kleinen Betrieb, der im Ernstfall weder die eine noch die andere Kompetenz im Haus hat, ist das oft wertvoller als die reine Schadenssumme. Umso wichtiger ist, dass die Police im Ernstfall greift – und der Kreis schließt sich wieder bei den erfüllten Voraussetzungen.

So machst du daraus ein Angebot

Für kleine Agenturen ergibt sich daraus ein klarer, wiederkehrender Auftrag. Der erste Schritt ist die eigene Standortbestimmung: Erfüllt deine Agentur selbst die typischen Anforderungen? Multi-Faktor-Authentifizierung, getestete Backups, aktuelles Patch-Management, minimale Rechte, geschulte Mitarbeiter. Was du bei dir nicht leben kannst, kannst du auch beim Kunden nicht glaubwürdig verantworten.

Der zweite Schritt ist die Begleitung deiner Kunden. Du kannst den Versicherungsfragebogen technisch verifizieren, statt ihn ins Blaue ankreuzen zu lassen. Du kannst die geforderten Maßnahmen umsetzen und dokumentieren. Und du kannst die jährliche Überprüfung übernehmen, denn Anforderungen und Systeme ändern sich. Das ist kein einmaliges Projekt, sondern ein Wartungsverhältnis mit einem starken Argument: Ohne den Nachweis zahlt die Versicherung womöglich nicht.

Cyberversicherung ist damit kein trockenes Finanzthema, sondern der Anlass, aus dem viele Kunden endlich in Sicherheit investieren – weil ein Dritter es verlangt und Geld daran hängt. Wer diesen Moment nutzt und die technische Umsetzung liefert, verkauft nicht Angst, sondern Verlässlichkeit. Und genau die ist das Fundament jeder guten Agentur-Kunden-Beziehung.