Ein Ransomware-Angriff verschlüsselt die Systeme, der Betrieb steht still und gleichzeitig müssen Beweise gesichert, Kunden informiert und rechtliche Fragen geklärt werden. Eine Cyberversicherung Schweiz kann solche Folgen abfedern, ersetzt aber keine wirksamen Sicherheitsmassnahmen und bezahlt nicht automatisch jeden Schaden.
Was ist eine Cyberversicherung in der Schweiz?
Eine Cyberversicherung ist eine Versicherung für finanzielle Schäden und Unterstützungsleistungen nach Cybervorfällen. Sie kombiniert je nach Produkt Eigenschaden-, Haftpflicht- und Assistance-Leistungen.
Der Begriff Cyber Insurance KMU bezeichnet dabei keine einheitliche Standarddeckung. Versicherer unterscheiden sich bei versicherten Ereignissen, Sublimiten, Wartefristen, Selbstbehalten und Sicherheitsanforderungen. Eine Police muss deshalb zum Geschäftsmodell, zur Datenverarbeitung und zur technischen Umgebung Ihres Unternehmens passen.
Typische versicherte Ereignisse sind:
- Ransomware und andere Schadsoftware
- unbefugte Zugriffe auf Systeme oder Daten
- Datenverlust und Wiederherstellungskosten
- Betriebsunterbruch durch einen Cybervorfall
- Datenschutzverletzungen
- Angriffe auf Lieferanten oder Cloud-Dienstleister, sofern vertraglich eingeschlossen
- Social Engineering oder Zahlungsumleitung, oft nur mit separater Klausel
Cyberrisiko Versicherung wird teilweise als Synonym verwendet. Inhaltlich geht es um die Absicherung von Cyberrisiken, nicht um eine Garantie gegen Angriffe.
Was deckt eine Cyberversicherung typischerweise ab?
Eine Cyberversicherung übernimmt je nach Police Kosten für die Reaktion auf einen Vorfall, die Wiederherstellung und bestimmte Haftpflichtansprüche. Die konkrete Leistung ergibt sich immer aus den Versicherungsbedingungen.
Häufig umfasst eine Police folgende Bausteine:
- Incident Response: Zugang zu spezialisierten Forensik-, Krisenmanagement- und Rechtsdienstleistern.
- Forensische Untersuchung: Analyse des Angriffs, Sicherung von Spuren und Eingrenzung des betroffenen Systems.
- Wiederherstellung: Kosten für die Bereinigung und Rekonstruktion von Systemen und Daten.
- Betriebsunterbruch: Entgangener Gewinn oder zusätzliche Kosten während einer versicherten Unterbrechung, meist nach Ablauf einer Wartefrist.
- Benachrichtigung und Krisenkommunikation: Unterstützung bei der Information betroffener Personen, Kunden oder Geschäftspartner.
- Haftpflicht: Abwehr und Regulierung berechtigter Ansprüche Dritter, beispielsweise nach einer Datenschutzverletzung.
- Erpressung: Unterstützung bei einer Cybererpressung, sofern der Versicherer diesen Baustein anbietet und die Bedingungen erfüllt sind.
In der Schweiz müssen Unternehmen Datenschutzvorfälle nach dem revDSG beurteilen. Eine Meldung an den EDÖB ist erforderlich, wenn die Verletzung der Datensicherheit voraussichtlich zu einem hohen Risiko für die Persönlichkeit oder die Grundrechte betroffener Personen führt. Die Versicherung kann bei der Beurteilung und Kommunikation unterstützen, nimmt dem Unternehmen die Verantwortung aber nicht ab.
Was ist bei einer Cyberversicherung nicht automatisch versichert?
Nicht jede finanzielle Folge eines Cyberangriffs fällt unter die Police. Ausschlüsse und Obliegenheiten stehen häufig in den allgemeinen Bedingungen, besonderen Bedingungen und Anhängen.
Typische Einschränkungen sind:
- bereits bekannte oder vor Vertragsbeginn eingetretene Sicherheitsvorfälle
- Schäden durch bewusst falsche Angaben oder vorsätzliches Fehlverhalten
- fehlende oder nicht eingehaltene Sicherheitsmassnahmen
- bestimmte Betrugsfälle, insbesondere CEO-Fraud und Zahlungsumleitungen
- Vertragsstrafen und nicht versicherbare öffentlich-rechtliche Bussen
- Kriegshandlungen oder staatlich zugerechnete Angriffe, je nach Klausel
- Schäden durch nicht gemeldete kritische Änderungen an der IT- oder Cloud-Umgebung
- Lösegeldzahlungen, wenn rechtliche Vorgaben oder die Police dies ausschliessen
- rein immaterielle Schäden ohne vereinbarte Deckung
Auch ein Backup schützt nicht automatisch vor allen Betriebsunterbruchschäden. Entscheidend ist, ob die Sicherung erreichbar, getrennt gespeichert, aktuell und tatsächlich wiederherstellbar ist. Viele Versicherer verlangen Nachweise zu Backups, Mehrfaktor-Authentisierung, Patch-Management, privilegierten Konten und Notfallprozessen.
Welche Sicherheitsanforderungen stellen Versicherer an KMU?
Versicherer verlangen typischerweise ein Mindestniveau an organisatorischen und technischen Kontrollen, bevor sie eine Cyberdeckung anbieten. Dazu gehören oft Mehrfaktor-Authentisierung, aktuelle Systeme, belastbare Backups, Endpoint-Schutz und ein dokumentierter Incident-Response-Prozess.
Der Schweizer IKT-Minimalstandard bietet eine gute Orientierung für grundlegende Massnahmen. Je nach Branche sind zusätzlich NIST CSF, ISO 27001 oder Vorgaben der FINMA relevant. Finanzinstitute müssen operationelle Risiken, Auslagerungen und Cyberrisiken im Rahmen der geltenden FINMA-Anforderungen angemessen steuern. Eine Versicherung ersetzt diese Pflichten nicht.
| Kriterium | Basisdeckung | Erweiterte Cyberdeckung |
|---|---|---|
| Eigenschäden | Wiederherstellung nach versicherten Ereignissen, mit Limiten | Zusätzlich Betriebsunterbruch und Mehrkosten |
| Haftpflicht | Je nach Police eingeschlossen | Breitere Deckung für Datenschutz- und Sicherheitsansprüche |
| Social Engineering | Oft ausgeschlossen oder stark limitiert | Separater Baustein mit Bedingungen |
| Incident Response | Unterstützung durch definierte Partner | Breiteres Netzwerk und zusätzliche Krisenleistungen |
| Sicherheitsauflagen | Grundlegende Kontrollen erforderlich | Häufig höhere Anforderungen und Nachweispflichten |
| Selbstbehalt | In CHF vereinbart | In CHF vereinbart, abhängig von Risiko und Deckung |
Wie unterscheiden sich Cyberversicherung und klassische Versicherungen?
Eine Cyberversicherung deckt spezifische digitale Ereignisse, während klassische Policen andere Schadenursachen versichern. Überschneidungen müssen Sie ausdrücklich prüfen.
Eine Sachversicherung kann beispielsweise den Ersatz physischer Geräte abdecken. Sie ersetzt aber nicht automatisch die Kosten für digitale Forensik oder eine mehrtägige Betriebsunterbrechung nach einem Angriff. Eine Betriebshaftpflicht deckt nicht zwingend Ansprüche aus einer Datenschutzverletzung. Eine Vertrauensschadenversicherung kann bestimmte Vermögensdelikte erfassen, ist jedoch nicht dasselbe wie eine Cyberversicherung.
Prüfen Sie deshalb insbesondere:
- Überschneidungen mit Sach-, Haftpflicht- und Vertrauensschadenversicherungen
- Deckung von Cloud-, Hosting- und Managed-Service-Ausfällen
- Sublimiten für Benachrichtigung, Forensik und Betriebsunterbruch
- Wartefristen und maximale Entschädigungsdauer
- geografischer Geltungsbereich
- Anforderungen an externe Dienstleister und Lieferketten
- Verfahren für die Auswahl von Forensik- und Rechtsdienstleistern
Wie berechnen Sie den passenden Versicherungsumfang?
Der passende Umfang ergibt sich aus der möglichen Schadenshöhe und nicht allein aus dem Jahresumsatz. Bewerten Sie kritische Prozesse, Daten, Abhängigkeiten und die Zeit, in der Ihr Unternehmen einen Ausfall verkraften kann.
Berücksichtigen Sie mindestens:
- Welche Systeme sind für Verkauf, Produktion, Lohn, Logistik oder Kundendienst kritisch?
- Welche besonders schützenswerten Personendaten bearbeitet Ihr Unternehmen?
- Wie hoch sind Wiederanlauf- und Wiederherstellungskosten?
- Welche vertraglichen Pflichten bestehen gegenüber Kunden und Lieferanten?
- Wie lange kann der Betrieb ohne zentrale Systeme weiterarbeiten?
- Welche Kosten entstehen für externe Spezialisten, Kommunikation und Rechtsberatung?
- Welche Risiken liegen bei Cloud- und IT-Dienstleistern?
Schätzen Sie die finanziellen Auswirkungen in CHF und dokumentieren Sie die Annahmen. Arbeiten Sie mit mehreren Szenarien, etwa Datenabfluss, Ransomware und Kompromittierung eines Lieferanten. Die Zahlen sind keine Prognose, sondern eine Grundlage für Limiten und Selbstbehalte.
Wie Sie am besten starten
Starten Sie mit einer dokumentierten Risikoanalyse, einer Prüfung Ihrer Sicherheitskontrollen und einem direkten Vergleich der Versicherungsbedingungen.
- Kritische Werte erfassen: Listen Sie Systeme, Daten, Prozesse und externe Abhängigkeiten auf.
- Sicherheitsniveau prüfen: Bewerten Sie MFA, Backups, Patch-Management, Netzwerksegmentierung, Logging und Notfallübungen.
- Schadensszenarien berechnen: Schätzen Sie Kosten für Ausfall, Wiederherstellung, Forensik, Kommunikation und rechtliche Unterstützung in CHF.
- Bestehende Policen vergleichen: Suchen Sie Überschneidungen und Lücken bei Haftpflicht, Sachversicherung und Vertrauensschäden.
- Offerten mit gleichen Annahmen einholen: Verwenden Sie identische Umsatz-, Daten- und Risikoinformationen.
- Ausschlüsse verhandeln: Klären Sie Social Engineering, Cloud-Ausfälle, Lieferantenrisiken, Betriebsunterbruch und Erpressung.
- Meldeprozess festlegen: Definieren Sie intern, wer den Versicherer, den EDÖB, das NCSC, Kunden und Behörden informiert.
- Police jährlich aktualisieren: Berücksichtigen Sie neue Cloud-Dienste, Standorte, Datenbestände und Sicherheitsmassnahmen.
Im Verzeichnis von Cyberprovider können Sie geprüfte Schweizer Anbieter für Cybersecurity vergleichen. Eine unabhängige technische Prüfung vor dem Versicherungsabschluss hilft, Anforderungen realistisch zu beurteilen und spätere Diskussionen über Obliegenheiten zu vermeiden.
Häufige Fragen
Ist eine Cyberversicherung für jedes KMU sinnvoll?
Eine Cyberversicherung kann sinnvoll sein, wenn ein Angriff den Betrieb, Kundendaten oder vertragliche Verpflichtungen erheblich beeinträchtigen würde. Sie sollte jedoch erst nach einer Risiko- und Sicherheitsanalyse abgeschlossen werden.
Was kostet eine Cyberversicherung in der Schweiz?
Die Prämie hängt unter anderem von Umsatz, Branche, Datenbestand, Sicherheitsniveau, gewünschter Deckung und Selbstbehalt ab. Verbindliche Preise erhalten Sie nur über eine individuelle Offerte in CHF.
Zahlt die Cyberversicherung bei Ransomware?
Das hängt von der Police und vom Ablauf des Vorfalls ab. Wiederherstellung, Forensik und Betriebsunterbruch können versichert sein. Lösegeldzahlungen, grobe Pflichtverletzungen oder fehlende Sicherheitsmassnahmen können ausgeschlossen oder begrenzt sein.
Muss ein Unternehmen trotz Cyberversicherung Sicherheitsmassnahmen umsetzen?
Ja. Versicherte müssen die vereinbarten Sicherheitsauflagen einhalten. Dazu zählen je nach Police etwa MFA, aktuelle Backups, Patch-Management und ein dokumentierter Notfallprozess.
Ist eine Cyberversicherung wegen des revDSG zwingend?
Nein, das revDSG schreibt keine allgemeine Cyberversicherung vor. Es verlangt jedoch einen angemessenen Schutz personenbezogener Daten und sieht unter bestimmten Voraussetzungen eine Meldung an den EDÖB vor. Die Versicherung ist ein finanzielles Instrument und ersetzt keine Datenschutz- oder Sicherheitsorganisation.
