Hotel und Beherbergung: Was kann passieren, und wer zahlt?
eingeschränkt 12 von 18 Kostenpositionen meist gedeckt
5 typische Fälle mit Kassenzettel: was sie kosten und welche Position die Cyberversicherung meist zahlt. Besonders zu beachten ist nach unserer Recherche «Booking-Konto übernommen, Gäste um Anzahlungen betrogen» (Wahrscheinlichkeit hoch).
Stand
Booking-Konto übernommen, Gäste um Anzahlungen betrogen
Ransomware sperrt Hotelsoftware und Zimmerkarten
Auszahlungen von Booking.com auf fremdes Konto
Telefonanlage für Auslandanrufe missbraucht
Buchungsdaten bei einem Software-Anbieter abgegriffen
Tippen Sie auf eine Nummer: Sie springt zum Szenario.
Auf dieser Seite
5 Szenarien, 5 Kassenzettel
- Booking-Konto übernommen, Gäste um Anzahlungen betrogen
- Buchungsdaten bei einem Software-Anbieter abgegriffen
- Ransomware sperrt Hotelsoftware und Zimmerkarten
- Auszahlungen von Booking.com auf fremdes Konto
- Telefonanlage für Auslandanrufe missbraucht
1Booking-Konto übernommen, Gäste um Anzahlungen betrogen
Kassenzettel
Hotel und Beherbergung
Zeile antippen für die Begründung
-
Forensik: Rechner bereinigen, Zugänge prüfen, Extranet sichern CHF 1'500–8'000 gedeckt
Bei AXA, Mobiliar, Zurich, Helvetia und Chubb im Grundschutz; AXA-Sofortmassnahmen bis CHF 5'000 ohne Selbstbehalt. Herleitung: 6–20 Std. × CHF 250–400/Std. (Marktspanne Incident Response)
-
Information der betroffenen Gäste, Hotline durch eigenes Personal keine verlässliche Zahl gedeckt
Information Betroffener im Grundschutz; meist vorgängige Zustimmung des Versicherers nötig. Herleitung: Callcenter-Preise nicht gefunden; Porto CHF 1.00–1.20 je Brief, meist per E-Mail.
-
Anwalt: Meldepflichten nach DSG, Information Betroffener, Abwehr von Ansprüchen CHF 1'000–5'200 gedeckt
Bei AXA, Mobiliar, Zurich, Helvetia und Chubb im Grundschutz; AXA-Sofortmassnahmen bis CHF 5'000 ohne Selbstbehalt. Herleitung: 4–15 Std. × CHF 250–350/Std. (Anwaltssatz Schweiz)
-
Ansprüche geschädigter Gäste CHF 0–20'000 unklar
Cyber-Haftpflicht setzt eine Datenschutzverletzung oder Netzwerksicherheitsverletzung beim Versicherten voraus; ob die Übernahme des Portalkontos genügt, ist nicht geregelt. Herleitung: Annahme: 0 bis 50 Gäste × bis CHF 400 Anzahlung; Booking.com hat in einem belegten Fall Mehrkosten übernommen (V-IT-2026-001).
-
Stornierungen und Imageschaden keine verlässliche Zahl nicht gedeckt
Ertragsausfall durch Imageverlust: Helvetia ausdrücklich ausgeschlossen, bei AXA, Mobiliar und Zurich nicht vorgesehen; nur Chubb als Zusatz. PR-Kosten zahlt g.soforthilfe. Herleitung: Nicht bezifferbar.
- Zahlt die Cyberpolice meist
- CHF 2'500–13'200, dazu 1 Posten ohne Betrag
- Offen oder nur mit Zusatz
- CHF 0–20'000
- Bleibt meist beim Betrieb
- 1 Posten ohne Betrag
Wahrscheinlichkeit hoch
Die Rezeption öffnet eine Mail eines angeblichen Gastes mit Link zu einem «Buchungsportal»; ein gefälschtes Captcha lässt sie einen Befehl ausführen, der Zugangsdaten stiehlt. Die Täter melden sich im Booking-Extranet an und schicken Gästen über das echte Nachrichtensystem eine Aufforderung, die Kreditkarte «erneut zu bestätigen».
So läuft es ab: Booking-Konto übernommen, Gäste um Anzahlungen betrogen
Dutzende Gäste zahlen Anzahlungen an die Täter, einige stehen später mit ungültiger Buchung an der Rezeption. Gäste, Booking.com und Medien wenden sich an das Hotel.
Einfallstor: Phishing oder Schadsoftware gegen das Extranet-Konto des Hotels
Was KI daran ändert: KI-Texte im Namen des Hotels sind sprachlich perfekt und enthalten echte Buchungsdaten; gefälschte Captchas und Portale sind schnell gebaut.
Warum hoch? Vom BACS mehrfach beschrieben (2024 und 2025), auch in Österreich und Italien belegt; trifft Hotels jeder Grösse.
Wo steht das?
Woche 52: Gezielter, komplexer, raffinierter – Knapp 65'000 Meldungen ans BACS im 2025, 30.12.2025
Dokument öffnen: Woche 52: Gezielter, komplexer, raffinierter – Knapp 65'000 Meldungen ans BACS im 2025 (öffnet ein neues Fenster), abgerufen 06.11.2026
Was vorbeugt
- Zwei-Faktor-Anmeldung im Extranet für jedes Konto, keine geteilten Logins.
- Rezeption schulen: keine Befehle aus Captchas ausführen (Windows-Taste+R ist immer Betrug).
- Gäste in der Buchungsbestätigung warnen, dass das Hotel nie Kartendaten über Links verlangt.
Stolpersteine in den Bedingungen: Booking-Konto übernommen, Gäste um Anzahlungen betrogen
- Kunden bleiben weg: Ertragsausfall durch Imageverlust zahlt Helvetia ausdrücklich nicht, AXA, Mobiliar und Zurich sehen ihn nicht vor; bezahlt wird nur die PR-Beratung.
Wo steht das?
Allgemeine Versicherungsbedingungen Helvetia Cyber-Versicherung (Musterwording KMU-Spezial), Ausgabe Juni 2026, Ziff. 3.3.1.9
Dokument öffnen: Allgemeine Versicherungsbedingungen Helvetia Cyber-Versicherung (Musterwording KMU-Spezial) (öffnet ein neues Fenster), abgerufen 06.11.2026
- Meldepflicht: Eine Verletzung der Datensicherheit mit voraussichtlich hohem Risiko ist dem EDÖB so rasch als möglich zu melden (Art. 24 DSG). Benachrichtigung und PR vorher mit dem Versicherer absprechen (AXA, Helvetia), sonst Streit um die Kosten.
Wo steht das?
Bundesgesetz über den Datenschutz (DSG), SR 235.1, geltende Fassung, Art. 24 DSG (Paraphrase)
Dokument öffnen: Bundesgesetz über den Datenschutz (DSG), SR 235.1 (öffnet ein neues Fenster), abgerufen 06.11.2026
- Grobe Fahrlässigkeit (Art. 14 VVG): AXA (A13) und Helvetia (4.6.4) verzichten auf die Kürzung, Mobiliar und Zurich nicht. Der Verzicht hilft nicht, wenn eine Obliegenheit (Backup, Patch, Rückruf) verletzt ist.
Wo steht das?
Allgemeine Vertragsbedingungen (AVB) KMU Versicherung, Modul Cyberversicherung, Ausgabe 06.2024 (16381DE – 2024-06), Ziff. A13, S. 11
«Die AXA verzichtet auf das Recht der Leistungskürzung»
Dokument öffnen: Allgemeine Vertragsbedingungen (AVB) KMU Versicherung, Modul Cyberversicherung (öffnet ein neues Fenster), abgerufen 06.11.2026
Bausteine: Soforthilfe im Ernstfall, Betroffene informieren, Ansprüche Dritter nach Datenleck, Imageschaden
2Buchungsdaten bei einem Software-Anbieter abgegriffen
Kassenzettel
Hotel und Beherbergung
Zeile antippen für die Begründung
-
IT-Forensik und Incident Response (Analyse, Eindämmung, Beweissicherung) CHF 1'500–9'600 gedeckt
Bei AXA, Mobiliar, Zurich, Helvetia und Chubb im Grundschutz; AXA-Sofortmassnahmen bis CHF 5'000 ohne Selbstbehalt. Herleitung: 6–24 Std. × CHF 250–400/Std. (Marktspanne Incident Response)
-
Anwalt: Meldepflichten nach DSG, Information Betroffener, Abwehr von Ansprüchen CHF 1'200–7'000 gedeckt
Bei AXA, Mobiliar, Zurich, Helvetia und Chubb im Grundschutz; AXA-Sofortmassnahmen bis CHF 5'000 ohne Selbstbehalt. Herleitung: 5–20 Std. × CHF 250–350/Std. (Anwaltssatz Schweiz)
-
Benachrichtigung der Gäste per Brief (nur Porto) CHF 2'000–12'000 gedeckt
Information Betroffener im Grundschutz; meist vorgängige Zustimmung des Versicherers nötig. Herleitung: 2'000–10'000 Briefe × CHF 1.00–1.20 (B-/A-Post 2026); Druck, Couvert und Adressaufbereitung nicht gefunden, kämen dazu
-
Ansprüche geschädigter Gäste keine verlässliche Zahl gedeckt
Ansprüche Dritter und Abwehr unbegründeter Forderungen im Grundschutz; Sunrise/AXA-Kollektiv bis CHF 200'000. Herleitung: Keine Beträge gefunden.
- Zahlt die Cyberpolice meist
- CHF 4'700–28'600, dazu 1 Posten ohne Betrag
- Offen oder nur mit Zusatz
- nichts
- Bleibt meist beim Betrieb
- nichts
Wahrscheinlichkeit hoch
Über ein veraltetes Programm eines externen Software-Anbieters gelangen Kriminelle an E-Mail-Adressen und künftige Aufenthalte von Gästen. Sie schreiben die Gäste an, die Reservation werde wegen eines Zahlungsfehlers storniert, und verlangen die Kartendaten.
So läuft es ab: Buchungsdaten bei einem Software-Anbieter abgegriffen
Das Hotel warnt rund 10'000 Gäste.
Einfallstor: Lieferkette: Komponente des Buchungssystems
Was KI daran ändert: KI erzeugt Mails in der Sprache jedes Gastes.
Warum hoch? Zwei Schweizer Hotelfälle 2024 und 2026 belegt.
Was vorbeugt
- Mit dem Anbieter Auftragsbearbeitung, Updates und Meldefristen vertraglich regeln.
- Warnhinweis an Gäste vorbereitet haben.
- Nur nötige Daten an Drittsysteme geben.
Stolpersteine in den Bedingungen: Buchungsdaten bei einem Software-Anbieter abgegriffen
- Meldepflicht: Eine Verletzung der Datensicherheit mit voraussichtlich hohem Risiko ist dem EDÖB so rasch als möglich zu melden (Art. 24 DSG). Benachrichtigung und PR vorher mit dem Versicherer absprechen (AXA, Helvetia), sonst Streit um die Kosten.
Wo steht das?
Bundesgesetz über den Datenschutz (DSG), SR 235.1, geltende Fassung, Art. 24 DSG (Paraphrase)
Dokument öffnen: Bundesgesetz über den Datenschutz (DSG), SR 235.1 (öffnet ein neues Fenster), abgerufen 06.11.2026
- Ausfall des Software- oder Cloud-Anbieters: mitversichert nur, wenn dessen System angegriffen wurde und meist ein schriftlicher Vertrag besteht (Mobiliar, Zurich); rein technische Ausfälle beim Dienstleister und Netz-/Stromausfälle sind ausgeschlossen (Zurich Art. 5, Helvetia).
Wo steht das?
Zurich Cyberversicherung, Kundeninformation und Allgemeine Versicherungsbedingungen (AVB), Ausgabe 01/2024, Art. 5
Dokument öffnen: Zurich Cyberversicherung, Kundeninformation und Allgemeine Versicherungsbedingungen (AVB) (öffnet ein neues Fenster), abgerufen 06.11.2026
- Bussen sind nicht versichert (AXA B4, Mobiliar E lit. k, Helvetia 3.3.1.9 lit. e); nur Zurich zahlt Strafen, soweit versicherbar. DSG-Bussen bis CHF 250'000 treffen die verantwortliche natürliche Person, bei Vorsatz (Art. 60 DSG).
Wo steht das?
Onlinekommentar zu Art. 60 DSG (Verletzung von Informations-, Auskunfts- und Mitwirkungspflichten), abgerufen 06.11.2026, Art. 60 DSG
Dokument öffnen: Onlinekommentar zu Art. 60 DSG (Verletzung von Informations-, Auskunfts- und Mitwirkungspflichten) (öffnet ein neues Fenster), abgerufen 06.11.2026
Bausteine: Soforthilfe im Ernstfall, Betroffene informieren, Ansprüche Dritter nach Datenleck
3Ransomware sperrt Hotelsoftware und Zimmerkarten
Kassenzettel
Hotel und Beherbergung
Zeile antippen für die Begründung
-
IT-Forensik und Incident Response (Analyse, Eindämmung, Beweissicherung) CHF 2'500–16'000 gedeckt
Bei AXA, Mobiliar, Zurich, Helvetia und Chubb im Grundschutz; AXA-Sofortmassnahmen bis CHF 5'000 ohne Selbstbehalt. Herleitung: 10–40 Std. × CHF 250–400/Std. (Marktspanne Incident Response)
-
IT-Dienstleister: Bereinigung, Neuaufbau, Rückspielen der Datensicherung CHF 5'400–20'300 gedeckt
Wiederherstellung von Daten, Software und Systemen im Grundschutz; Sunrise/AXA-Kollektiv nur bis CHF 20'000 Eigenschaden. Herleitung: 20–60 Std. × CHF 270–338/Std. (IT-Support mit 50 % Zuschlag ausserhalb Bürozeit)
-
Neuaufsetzen der Arbeitsplätze (PCs, Tablets) CHF 900–12'000 gedeckt
Wiederherstellung von Daten, Software und Systemen im Grundschutz; Sunrise/AXA-Kollektiv nur bis CHF 20'000 Eigenschaden. Herleitung: 5–15 Geräte × CHF 180–800 je Gerät
-
Umsatzausfall (Stornos, nicht verrechenbare Leistungen) CHF 2'500–7'500 eingeschränkt
Erst nach der Karenz (AXA 12 h, Mobiliar 12 h nur mit Zusatz, Helvetia 24 h, Zurich nur Optimum/Premium). Ersetzt wird Umsatz minus eingesparte Kosten (AXA) bzw. EBITDA (Helvetia), nicht der Umsatz. Herleitung: 1–3 Tage × rund CHF 8'340 Umsatz/Tag × 30 % (Annahme) (ESTV-MWST-Statistik 2024, Durchschnitt MWST-pflichtiger Betriebe; kleine Betriebe liegen tiefer)
-
Lösegeld (nicht empfohlen) CHF 1'500 eingeschränkt
Lösegeld: Mobiliar und Sunrise nie, AXA nur mit Erweiterung, Zurich in Sublimite 25 %, Helvetia CHF 30'000–100'000, Chubb grundsätzlich ja; Polizeianzeige Pflicht. Herleitung: Vergleichsfall Österreich: rund EUR 1'500 bezahlt (2017).
- Zahlt die Cyberpolice meist
- CHF 8'800–48'300
- Offen oder nur mit Zusatz
- CHF 4'000–9'000
- Bleibt meist beim Betrieb
- nichts
Wahrscheinlichkeit mittel
An einem ausgebuchten Wochenende verschlüsselt Ransomware den Hotelserver. Weder Check-in noch Rechnungen sind möglich, das Schliesssystem programmiert keine neuen Zimmerkarten.
So läuft es ab: Ransomware sperrt Hotelsoftware und Zimmerkarten
Das Personal führt Listen von Hand und öffnet Zimmer mit dem Generalschlüssel.
Einfallstor: Bewerbungs- oder Gästemail mit Schadsoftware, alter Fernzugang
Was KI daran ändert: KI beschleunigt das Finden offener Lücken (Router, VPN, Fernwartung) und das Schreiben von Erpresser-Mails; die Zeit zwischen Veröffentlichung einer Lücke und Angriff wird kürzer, die Patch-Frist der Versicherer (14 bzw. 30 Tage) wird knapp.
Warum mittel? Belegt bei einem österreichischen Hotel (Schliesssystem) und einem Zürcher Hotel (Trojaner in Bewerbung).
Was vorbeugt
- Schliesssystem und Gebäudetechnik in eigenem Netz.
- Notfallmappe: Gästeliste täglich ausdrucken, mechanische Notschlüssel.
- Backups offline, Rücksicherung testen.
Stolpersteine in den Bedingungen: Ransomware sperrt Hotelsoftware und Zimmerkarten
- Backup-Pflicht: AXA und Mobiliar verlangen mindestens wöchentlich eine vom Netz getrennte Sicherung, Zurich alle 7 Tage, Helvetia täglich mit Funktionscheck. Fehlt sie, kürzt der Versicherer; bei AXA ohne verwendbares Backup nur Kosten der Feststellung.
Wo steht das?
Allgemeine Vertragsbedingungen (AVB) KMU Versicherung, Modul Cyberversicherung, Ausgabe 06.2024 (16381DE – 2024-06), Ziff. C3 und C5, S. 14
«keine verwendbare Datensicherung vorhanden ist, so sind nur die Kosten zur Feststellung dieses Sachverhalts gedeckt»
Dokument öffnen: Allgemeine Vertragsbedingungen (AVB) KMU Versicherung, Modul Cyberversicherung (öffnet ein neues Fenster), abgerufen 06.11.2026
- Wartefrist: Ertragsausfall erst nach 12 Stunden (AXA; Mobiliar nur mit Zusatz B4) bzw. 24 Stunden (Helvetia); bei Zurich nur in Optimum/Premium, Karenz laut Police. Ein Ausfall unter der Karenz bleibt beim Betrieb.
Wo steht das?
Antrag Cyber-Versicherung – KMU-Spezial (mit Prämientabelle), 01.07.2026, Ziff. 1.1, Karenzfrist 24 Std.
Dokument öffnen: Antrag Cyber-Versicherung – KMU-Spezial (mit Prämientabelle) (öffnet ein neues Fenster), abgerufen 06.11.2026
- Lösegeld: Mobiliar und Sunrise zahlen nie, AXA nur mit Erweiterung «Cybererpressung», Zurich innerhalb Sublimite 25 % der Eigenschaden-Summe, Helvetia CHF 30'000–100'000; Polizeianzeige ist Pflicht.
Wo steht das?
Zurich Cyberversicherung, Kundeninformation und Allgemeine Versicherungsbedingungen (AVB), Ausgabe 01/2024, Art. 10.1, S. 7
«Bei sämtlichen Ransomware-Attacken muss eine Strafanzeige bei der Polizei eingereicht werden.»
Dokument öffnen: Zurich Cyberversicherung, Kundeninformation und Allgemeine Versicherungsbedingungen (AVB) (öffnet ein neues Fenster), abgerufen 06.11.2026
- Patch-Frist: kritische Lücken innert 30 Tagen schliessen (AXA C2, Zurich Art. 6, Helvetia 3.6.1.1), bei Mobiliar innert 14 Tagen; Mobiliar schliesst Schäden durch Software ohne Hersteller-Support aus (E lit. n).
Wo steht das?
Cyberversicherung, Kundeninformationen und Allgemeine Bedingungen, Ausgabe 01.2024, Teil D Ziff. 5, S. 21
«Sie müssen den Patch zur Behebung der kritischen Schwachstelle innerhalb von 14 Tagen nach der Veröffentlichung»
Dokument öffnen: Cyberversicherung, Kundeninformationen und Allgemeine Bedingungen (öffnet ein neues Fenster), abgerufen 06.11.2026
Bausteine: Soforthilfe im Ernstfall, Daten und Systeme wiederherstellen, Ertragsausfall nach Angriff, Cyber-Erpressung
4Auszahlungen von Booking.com auf fremdes Konto
Kassenzettel
Hotel und Beherbergung
Zeile antippen für die Begründung
-
Entgangene Auszahlungen CHF 41'700–125'100 unklar
Kein Angriff auf das eigene IT-System und keine vom Hotel ausgelöste Zahlung: weder Social Engineering (eigene Überweisung) noch E-Banking-Deckung passen eindeutig. Helvetia 3.3.1.8 verlangt eine Manipulation auf dem IT-System des Versicherten. Herleitung: 10–30 Tage × rund CHF 8'340 Umsatz/Tag × 50 % (Annahme: Anteil Portalbuchungen) (ESTV-MWST-Statistik 2024, Durchschnitt MWST-pflichtiger Betriebe; kleine Betriebe liegen tiefer)
-
IT-Forensik und Incident Response (Analyse, Eindämmung, Beweissicherung) CHF 750–4'000 gedeckt
Bei AXA, Mobiliar, Zurich, Helvetia und Chubb im Grundschutz; AXA-Sofortmassnahmen bis CHF 5'000 ohne Selbstbehalt. Herleitung: 3–10 Std. × CHF 250–400/Std. (Marktspanne Incident Response)
- Zahlt die Cyberpolice meist
- CHF 750–4'000
- Offen oder nur mit Zusatz
- CHF 41'700–125'100
- Bleibt meist beim Betrieb
- nichts
Wahrscheinlichkeit mittel
Nach einem Phishing ändern Täter im Extranet die Bankverbindung für Auszahlungen. Booking.com überweist die Einnahmen eines Monats an ein ausländisches Konto.
So läuft es ab: Auszahlungen von Booking.com auf fremdes Konto
Das Hotel merkt es erst bei der Monatsabstimmung.
Einfallstor: Übernahme des Extranet-Kontos
Was KI daran ändert: KI schreibt fehlerfreie, persönlich zugeschnittene Phishing-Mails in Mundart-nahem Deutsch; das alte Warnzeichen «schlechtes Deutsch» fällt weg. Laut IBM nutzten Angreifer 2025 bei 16 % der Datenverletzungen KI, meist für Phishing.
Warum mittel? Von der Wirtschaftskammer Österreich als Warnbeispiel geführt; für die Schweiz kein öffentlicher Fall.
Was vorbeugt
- Zwei-Faktor-Anmeldung und Benachrichtigung bei Änderung der Bankdaten im Extranet.
- Auszahlungen wöchentlich abgleichen.
- Admin-Rechte im Extranet nur für eine Person.
Stolpersteine in den Bedingungen: Auszahlungen von Booking.com auf fremdes Konto
- Nur eigenes Geld: Mobiliar (B8) und Zurich (Art. 702) ersetzen nur Zahlungsmittel des Versicherten. Zahlt ein Kunde wegen des gehackten Mailkontos auf ein falsches Konto, deckt das von den gelesenen AVB nur Helvetia ausdrücklich (3.3.1.8 lit. b, Sublimite).
Wo steht das?
Allgemeine Versicherungsbedingungen Helvetia Cyber-Versicherung (Musterwording KMU-Spezial), Ausgabe Juni 2026, Ziff. 3.3.1.8 lit. b, S. 12
«wenn diese finanzielle Transaktion aufgrund einer auf dem IT-System des Versicherungsnehmers vorgenommene Manipulation»
Dokument öffnen: Allgemeine Versicherungsbedingungen Helvetia Cyber-Versicherung (Musterwording KMU-Spezial) (öffnet ein neues Fenster), abgerufen 06.11.2026
- Social Engineering ist meist nur ein Zusatzbaustein (AXA A6, Mobiliar B8, Zurich Baustein G Premium) oder hat eine tiefe Sublimite (Helvetia ECO CHF 30'000). Ohne Zusatz zahlt die Cyberpolice den überwiesenen Betrag nicht.
Wo steht das?
Cyberversicherung, Kundeninformationen und Allgemeine Bedingungen, Ausgabe 01.2024, Ziff. B8.1
«Der Versicherungsschutz gilt, sofern diese Deckung ausdrücklich in der Police erwähnt ist.»
Dokument öffnen: Cyberversicherung, Kundeninformationen und Allgemeine Bedingungen (öffnet ein neues Fenster), abgerufen 06.11.2026
Bausteine: Betrug mit gefälschten Anweisungen, Soforthilfe im Ernstfall
5Telefonanlage für Auslandanrufe missbraucht
Kassenzettel
Hotel und Beherbergung
Zeile antippen für die Begründung
-
Telefonrechnung CHF 2'000–30'000 mit Zusatz
AXA und Mobiliar als Zusatz (Mobiliar max. 60 Tage Gebühren), Zurich 60 Tage in Sublimite 25 %, Helvetia im Grundschutz. Herleitung: Helvetia-Musterfall «mehrere Zehntausend Franken»; Untergrenze Annahme.
-
Telefonanlage absichern CHF 360–1'400 gedeckt
Wiederherstellung von Daten, Software und Systemen im Grundschutz; Sunrise/AXA-Kollektiv nur bis CHF 20'000 Eigenschaden. Herleitung: 2–6 Std. × CHF 180–225/Std. (IT-Support KMU, Bürozeit)
- Zahlt die Cyberpolice meist
- CHF 360–1'400
- Offen oder nur mit Zusatz
- CHF 2'000–30'000
- Bleibt meist beim Betrieb
- nichts
Wahrscheinlichkeit tief
Über ein Standardpasswort der IP-Telefonanlage telefonieren Täter am Wochenende stundenlang auf teure Auslandnummern. Am Monatsende liegt eine Rechnung von mehreren tausend Franken vor.
So läuft es ab: Telefonanlage für Auslandanrufe missbraucht
Einfallstor: Telefonanlage mit Standardpasswort, offener Fernzugang
Was KI daran ändert: Kaum KI-Bezug; automatisiertes Durchprobieren von Passwörtern.
Warum tief? Helvetia führt Phreaking als Musterfall mit «mehreren Zehntausend Franken»; Schweizer Einzelfälle nicht öffentlich.
Wo steht das?
Broschüre Cyber-Versicherung, 07.26 (Nr. 120015329)
Dokument öffnen: Broschüre Cyber-Versicherung (öffnet ein neues Fenster), abgerufen 06.11.2026
Was vorbeugt
- Standardpasswörter der Telefonanlage ändern.
- Auslandsperre und Kostenlimite beim Anbieter setzen.
- Fernwartung der Anlage nur auf Anfrage.
Stolpersteine in den Bedingungen: Telefonanlage für Auslandanrufe missbraucht
- Telefon-Hacking: AXA und Mobiliar nur als Zusatz, Mobiliar ersetzt höchstens 60 Tage Gebühren, Zurich 60 Tage innerhalb der Sublimite 25 %; Helvetia im Grundschutz mit Strafanzeige.
Wo steht das?
Cyberversicherung, Kundeninformationen und Allgemeine Bedingungen, Ausgabe 01.2024, Ziff. B9.2
Dokument öffnen: Cyberversicherung, Kundeninformationen und Allgemeine Bedingungen (öffnet ein neues Fenster), abgerufen 06.11.2026
Bausteine: Telefon-Hacking und Mehrkosten, Daten und Systeme wiederherstellen
Spannen für einen kleinen bis mittleren Betrieb, keine Versicherungsleistung. Selbstbehalt, Summen und Sublimiten kommen dazu. Die Balken aller Zettel haben denselben Massstab.
Übersicht nach öffentlichen Bedingungen, Stand 06.11.2026. Massgebend sind Ihre Police und die dazugehörigen Allgemeinen Versicherungsbedingungen (AVB). Keine Deckungszusage.
Was ein Tag Stillstand kostet
CHF 8'340 Umsatz pro Tag im Durchschnitt; Ihr Betrieb kann kleiner sein.
CHF 800–3'100 Prämie im Jahr für einen Kleinstbetrieb, Richtwert nach Helvetia-Tarif Gruppe B, keine Offerte.
Woher die Zahlen stammen
Durchschnitt MWST-pflichtiger Betriebe (ESTV 2024); kleine Betriebe liegen tiefer. Versichert ist nur der Ertragsausfall nach Karenz (Umsatz minus eingesparte Kosten bzw. EBITDA). Aussagekraft: mittel.
Wartefrist: Ertragsausfall erst nach 12 Stunden (AXA; Mobiliar nur mit Zusatz B4) bzw. 24 Stunden (Helvetia); bei Zurich nur in Optimum/Premium, Karenz laut Police. Ein Ausfall unter der Karenz bleibt beim Betrieb.
Öffentliche Tarife gibt es nur von wenigen Versicherern. Wir ordnen Ihre Branche dem Helvetia-Tarif Gruppe B (u. a. Beratung, Hotel, Motorfahrzeuggewerbe) zu; diese Zuordnung ist von uns, nicht vom Versicherer.
| Betrieb | Versicherungssumme | Prämie im Jahr | Herleitung |
|---|---|---|---|
| KMU CHF 5–10 Mio. Umsatz, Gruppe A bis C | Eigenschaden 200'000–500'000, Haftpflicht 500'000–1 Mio. | rund CHF 800–3'100Richtwert, keine Offerte | Herleitung zu KMU CHF 5–10 Mio. Umsatz, Gruppe A bis CHerleitung: Untergrenze = tiefste öffentliche Jahresprämie (Helvetia KMU-Spezial ECO, Tarif 01.07.2026), Obergrenze = TOP-Variante derselben Gruppe. Gegenprobe: Zurich Basic ab 410 / Optimum ab 690 (Broschüre 2023, Parameter unbekannt), Sunrise/AXA 479 bei 20k/200k. Nur zwei Versicherer mit öffentlichen Preisen; Tarifpreis vor Risikoprüfung und ohne Rabatte. Richtwert, abgeleitet – keine Offerte. Wo steht das?Antrag Cyber-Versicherung – KMU-Spezial (mit Prämientabelle), Ausgabe 01.07.2026, Ziff. 1.3 Dokument öffnen: Antrag Cyber-Versicherung – KMU-Spezial (mit Prämientabelle) (öffnet ein neues Fenster), abgerufen 06.11.2026 |
Was im Betrieb am Netz hängt
- Konto im Extranet von Booking.com und anderen Buchungsportalen Booking.com hat laut HotellerieSuisse-Studie über 70 % der Online-Buchungen.
Beleg
Swiss hotels hit by undercutting on booking platforms (zur HotellerieSuisse-Studie, 171 Hotels), 20.05.2026
«Booking.com alone accounts for more than 70% of online bookings»
Dokument öffnen: Swiss hotels hit by undercutting on booking platforms (zur HotellerieSuisse-Studie, 171 Hotels) (öffnet ein neues Fenster), abgerufen 06.11.2026
- Hotelsoftware (PMS) mit Channel-Manager, Zahlungsterminal Beleg: Hotel Waldstätterhof
- Elektronisches Schliesssystem für Zimmerkarten Beleg: Romantik Seehotel Jägerwirt
- Gebäudetechnik (Heizung, Lüftung, Lift) mit Fernwartung
Beleg
Exploring security for building automation and control systems, abgerufen 06.11.2026, nur über Suchergebnis gesehen
Dokument öffnen: Exploring security for building automation and control systems (öffnet ein neues Fenster), abgerufen 06.11.2026
- Gäste-WLAN, E-Mail, Website mit Buchungsmaske Branchenüblich.
Echte Fälle
-
Schweiz · 03.2024
Hotels mit Booking.com-Konto (anonym)Nach einer Buchung über booking.com erhielten Gäste eine Nachricht im Namen ihres Hotels, die Kreditkarte müsse erneut geprüft werden.
-
Schweiz · 03.2025
Hotels und ihre Gäste (anonym)Angreifer gaben sich gegenüber Hotels als Gäste mit einem ungelösten Problem aus und schickten einen Link zu einem angeblichen booking.com-Portal.
-
Schweiz · 07.2024
Hotel WaldstätterhofKriminelle hackten über ein altes Programm einen externen Software-Anbieter des Hotels und erbeuteten E-Mail-Adressen und künftige Aufenthalte von Gästen.
Weitere 6 Fälle und Musterfälle
-
Schweiz · 09.2026
Hotel Schweizerhof LenzerheideKriminelle griffen Buchungsdaten aus einer Komponente des Buchungssystems des Hotels ab und schrieben Gäste per WhatsApp an.
-
Schweiz · 11.2018
Hotel (anonym)Der Betriebsleiter eines Hotels in der Region Zürich öffnete an einem Abend eine Bewerbung, weil das Hotel gerade Personal suchte.
-
ÖsterreichAusland: Österreich
Beherbergungsbetrieb (anonym)Unbekannte übernahmen den Extranet-Zugang eines österreichischen Beherbergungsbetriebs bei Booking.com und änderten die Bankverbindung für Auszahlungen.
-
Italien · 2026Ausland: Italien
Reisende und Unterkunft in Rom (Unterkunft nicht genannt)Täter hatten das Booking.com-Konto einer echten Unterkunft in Rom übernommen, Adresse und Fotos geändert und Gäste aufgefordert, Zahlungsdaten über einen Link einzugeben.
-
Österreich · 01.2017Ausland: Österreich
Romantik Seehotel JägerwirtBei einem von mehreren Angriffen legte Ransomware das System für die Zimmerschlüsselkarten lahm; Gäste kamen nicht mehr in ihre Zimmer, neue Karten liessen sich nicht programmieren.
-
Musterfall eines Versicherers: Helvetia
Hacker manipuliert die Telefonanlage eines Unternehmens (Phreaking); Dritte telefonieren ständig teuer ins Ausland, am Monatsende kommt eine Rechnung über mehrere Zehntausend Franken.
Musterfall des Versicherers ohne Beträge; Helvetia: Leistungen «abhängig vom gewählten Leistungspaket». Betrag nur als Grössenordnung («mehrere Zehntausend Franken»), deshalb chf null.
Wo steht das?
Cyber-Versicherung (Broschüre), 07.26 (Nr. 120015329), S. 6/9, «Firmentelefonanlage manipuliert»
«erhält das Unternehmen am Ende des Monats eine überraschend hohe Telefonrechnung von mehreren Zehntausend Franken.»
Dokument öffnen: Cyber-Versicherung (Broschüre) (öffnet ein neues Fenster), abgerufen 06.11.2026