Restaurant und Gastronomie: Was kann passieren, und wer zahlt?
eingeschränkt 10 von 17 Kostenpositionen meist gedeckt
5 typische Fälle mit Kassenzettel: was sie kosten und welche Position die Cyberversicherung meist zahlt. Seit Oktober 2026 manipulieren Angreifer in mehreren europäischen Ländern Kühlanlagen über das Internet.
Wer verdorbene Ware nach einem Angriff zahlt
Stand
Gefälschte Kartenzahlung im Take-away-Shop
Getränkelieferant mit «neuer Bankverbindung»
Kasse und Reservation am Samstagabend durch Ransomware weg
Gästedaten beim Reservationsanbieter abgeflossen
Kühlraum über Fernwartung aufgeheizt
Tippen Sie auf eine Nummer: Sie springt zum Szenario.
Auf dieser Seite
5 Szenarien, 5 Kassenzettel
- Kasse und Reservation am Samstagabend durch Ransomware weg
- Gefälschte Kartenzahlung im Take-away-Shop
- Getränkelieferant mit «neuer Bankverbindung»
- Gästedaten beim Reservationsanbieter abgeflossen
- Kühlraum über Fernwartung aufgeheizt
1Kasse und Reservation am Samstagabend durch Ransomware weg
Kassenzettel
Restaurant und Gastronomie
Zeile antippen für die Begründung
-
IT-Notfall am Wochenende: Kasse, Reservation und Büro-PC wiederherstellen CHF 2'200–8'100 gedeckt
Wiederherstellung von Daten, Software und Systemen im Grundschutz; Sunrise/AXA-Kollektiv nur bis CHF 20'000 Eigenschaden. Herleitung: 8–24 Std. × CHF 270–338/Std. (IT-Support mit 50 % Zuschlag ausserhalb Bürozeit)
-
IT-Forensik und Incident Response (Analyse, Eindämmung, Beweissicherung) CHF 1'500–8'000 gedeckt
Bei AXA, Mobiliar, Zurich, Helvetia und Chubb im Grundschutz; AXA-Sofortmassnahmen bis CHF 5'000 ohne Selbstbehalt. Herleitung: 6–20 Std. × CHF 250–400/Std. (Marktspanne Incident Response)
-
Neuaufsetzen von Kassentablets und Büro-PC CHF 540–6'400 gedeckt
Wiederherstellung von Daten, Software und Systemen im Grundschutz; Sunrise/AXA-Kollektiv nur bis CHF 20'000 Eigenschaden. Herleitung: 3–8 Geräte × CHF 180–800 je Gerät
-
Umsatzausfall Samstagabend (Teilausfall) und geschlossener Sonntag CHF 2'900–5'800 eingeschränkt
Erst nach der Karenz: bei 24 h Karenz (Helvetia) ist der Samstagabend Selbstbehalt; Mobiliar zahlt nur mit Zusatz, Zurich nur Optimum/Premium. Herleitung: 1–2 Tage × rund CHF 2'880 Umsatz/Tag (ESTV-MWST-Statistik 2024, Durchschnitt MWST-pflichtiger Betriebe; kleine Betriebe liegen tiefer)
-
Lösegeld (nicht empfohlen) keine verlässliche Zahl eingeschränkt
Lösegeld: Mobiliar und Sunrise nie, AXA nur mit Erweiterung, Zurich in Sublimite 25 %, Helvetia CHF 30'000–100'000, Chubb grundsätzlich ja; Polizeianzeige Pflicht. Herleitung: Kein Schweizer Durchschnitt gefunden.
- Zahlt die Cyberpolice meist
- CHF 4'240–22'500
- Offen oder nur mit Zusatz
- CHF 2'900–5'800, dazu 1 Posten ohne Betrag
- Bleibt meist beim Betrieb
- nichts
Wahrscheinlichkeit mittel
Am Samstag um 18 Uhr starten Kassentablets und Reservationssystem nicht mehr; auf dem Büro-PC liegt eine Lösegeldforderung. Der Service schreibt Bestellungen von Hand, kassiert nur bar oder per Twint auf das Privathandy, Reservationen sind unbekannt, einige Gäste stehen vor vollen Tischen.
So läuft es ab: Kasse und Reservation am Samstagabend durch Ransomware weg
Erst am Montag stellt der IT-Partner Kasse und Daten aus dem Backup wieder her; Sonntag bleibt das Lokal zu.
Einfallstor: Gestohlenes Passwort der Fernwartung oder Phishing-Mail an das Büro
Was KI daran ändert: KI beschleunigt das Finden offener Lücken (Router, VPN, Fernwartung) und das Schreiben von Erpresser-Mails; die Zeit zwischen Veröffentlichung einer Lücke und Angriff wird kürzer, die Patch-Frist der Versicherer (14 bzw. 30 Tage) wird knapp.
Warum mittel? Kassen- und Reservationssysteme sind zentrale Einzelsysteme; Ransomware-Vorfälle bei Kassen sind im Detailhandel und bei Kassenanbietern belegt (NCR Aloha). Für ein Schweizer Restaurant ist kein öffentlicher Fall bekannt.
Wo steht das?
Halbjahresbericht 2026/I (Januar–Juni), 24.08.2026
Dokument öffnen: Halbjahresbericht 2026/I (Januar–Juni) (öffnet ein neues Fenster), abgerufen 06.11.2026
Was vorbeugt
- Kasse mit Offline-Modus und Papier-Notfallset (Bonblock, Preisliste, Barkasse).
- Reservationen täglich als PDF/Ausdruck sichern; Cloud-Tool mit eigenem Passwort und Zwei-Faktor-Anmeldung.
- Fernwartung nur auf Anfrage öffnen; Backup offline und getestet.
Stolpersteine in den Bedingungen: Kasse und Reservation am Samstagabend durch Ransomware weg
- Wartefrist: Ertragsausfall erst nach 12 Stunden (AXA; Mobiliar nur mit Zusatz B4) bzw. 24 Stunden (Helvetia); bei Zurich nur in Optimum/Premium, Karenz laut Police. Ein Ausfall unter der Karenz bleibt beim Betrieb.
Wo steht das?
Antrag Cyber-Versicherung – KMU-Spezial (mit Prämientabelle), 01.07.2026, Ziff. 1.1, Karenzfrist 24 Std.
Dokument öffnen: Antrag Cyber-Versicherung – KMU-Spezial (mit Prämientabelle) (öffnet ein neues Fenster), abgerufen 06.11.2026
- Backup-Pflicht: AXA und Mobiliar verlangen mindestens wöchentlich eine vom Netz getrennte Sicherung, Zurich alle 7 Tage, Helvetia täglich mit Funktionscheck. Fehlt sie, kürzt der Versicherer; bei AXA ohne verwendbares Backup nur Kosten der Feststellung.
Wo steht das?
Allgemeine Vertragsbedingungen (AVB) KMU Versicherung, Modul Cyberversicherung, Ausgabe 06.2024 (16381DE – 2024-06), Ziff. C3 und C5, S. 14
«keine verwendbare Datensicherung vorhanden ist, so sind nur die Kosten zur Feststellung dieses Sachverhalts gedeckt»
Dokument öffnen: Allgemeine Vertragsbedingungen (AVB) KMU Versicherung, Modul Cyberversicherung (öffnet ein neues Fenster), abgerufen 06.11.2026
- Lösegeld: Mobiliar und Sunrise zahlen nie, AXA nur mit Erweiterung «Cybererpressung», Zurich innerhalb Sublimite 25 % der Eigenschaden-Summe, Helvetia CHF 30'000–100'000; Polizeianzeige ist Pflicht.
Wo steht das?
Zurich Cyberversicherung, Kundeninformation und Allgemeine Versicherungsbedingungen (AVB), Ausgabe 01/2024, Art. 10.1, S. 7
«Bei sämtlichen Ransomware-Attacken muss eine Strafanzeige bei der Polizei eingereicht werden.»
Dokument öffnen: Zurich Cyberversicherung, Kundeninformation und Allgemeine Versicherungsbedingungen (AVB) (öffnet ein neues Fenster), abgerufen 06.11.2026
- Grobe Fahrlässigkeit (Art. 14 VVG): AXA (A13) und Helvetia (4.6.4) verzichten auf die Kürzung, Mobiliar und Zurich nicht. Der Verzicht hilft nicht, wenn eine Obliegenheit (Backup, Patch, Rückruf) verletzt ist.
Wo steht das?
Allgemeine Vertragsbedingungen (AVB) KMU Versicherung, Modul Cyberversicherung, Ausgabe 06.2024 (16381DE – 2024-06), Ziff. A13, S. 11
«Die AXA verzichtet auf das Recht der Leistungskürzung»
Dokument öffnen: Allgemeine Vertragsbedingungen (AVB) KMU Versicherung, Modul Cyberversicherung (öffnet ein neues Fenster), abgerufen 06.11.2026
- Sach- und Betriebshaftpflicht schliessen Datenschäden aus; nur die Cyberpolice zahlt.
Wo steht das?
AVB Helvetia Betriebs- und Berufshaftpflichtversicherung (Kopie Schweizer Hängegleiter-Verband), Ausgabe Juni 2021 (Datei 07.2026), Ziff. 7
Dokument öffnen: AVB Helvetia Betriebs- und Berufshaftpflichtversicherung (Kopie Schweizer Hängegleiter-Verband) (öffnet ein neues Fenster), abgerufen 06.11.2026
Bausteine: Daten und Systeme wiederherstellen, Soforthilfe im Ernstfall, Ertragsausfall nach Angriff, Cyber-Erpressung
2Gefälschte Kartenzahlung im Take-away-Shop
Kassenzettel
Restaurant und Gastronomie
Zeile antippen für die Begründung
-
Forensik inkl. Untersuchung nach Kartenindustrie-Vorgaben CHF 2'500–16'000 gedeckt
Bei AXA, Mobiliar, Zurich, Helvetia und Chubb im Grundschutz; AXA-Sofortmassnahmen bis CHF 5'000 ohne Selbstbehalt. Herleitung: 10–40 Std. × CHF 250–400/Std. (Marktspanne Incident Response)
-
Anwalt: Meldepflichten nach DSG, Information Betroffener, Abwehr von Ansprüchen CHF 1'200–7'000 gedeckt
Bei AXA, Mobiliar, Zurich, Helvetia und Chubb im Grundschutz; AXA-Sofortmassnahmen bis CHF 5'000 ohne Selbstbehalt. Herleitung: 5–20 Std. × CHF 250–350/Std. (Anwaltssatz Schweiz)
-
Benachrichtigung der Gäste per Brief (nur Porto) CHF 300–3'600 gedeckt
Information Betroffener im Grundschutz; meist vorgängige Zustimmung des Versicherers nötig. Herleitung: 300–3'000 Briefe × CHF 1.00–1.20 (B-/A-Post 2026); Druck, Couvert und Adressaufbereitung nicht gefunden, kämen dazu
-
Forderungen der Kartenindustrie (Strafen, Kartenersatz) keine verlässliche Zahl eingeschränkt
Zurich und Helvetia zahlen PCI-Strafen, soweit versicherbar; Mobiliar nur als Zusatz mit gültiger PCI-Zertifizierung; AXA schliesst aus (B4, B11). Herleitung: Keine Schweizer Beträge gefunden.
-
Umsatzausfall Take-away, solange der Shop offline ist CHF 1'200–4'000 eingeschränkt
Erst nach der Karenz (AXA 12 h, Mobiliar 12 h nur mit Zusatz, Helvetia 24 h, Zurich nur Optimum/Premium). Ersetzt wird Umsatz minus eingesparte Kosten (AXA) bzw. EBITDA (Helvetia), nicht der Umsatz. Herleitung: 2–7 Tage × rund CHF 2'880 Umsatz/Tag × 20 % (Annahme: Anteil Online-Bestellungen) (ESTV-MWST-Statistik 2024, Durchschnitt MWST-pflichtiger Betriebe; kleine Betriebe liegen tiefer)
- Zahlt die Cyberpolice meist
- CHF 4'000–26'600
- Offen oder nur mit Zusatz
- CHF 1'200–4'000, dazu 1 Posten ohne Betrag
- Bleibt meist beim Betrieb
- nichts
Wahrscheinlichkeit mittel
In die Bezahlseite des Bestellshops wird Schadcode eingeschleust: Neben Twint erscheint eine falsche Option «Kreditkarte», die Kartendaten an die Täter schickt. Erst Wochen später melden Gäste Missbrauch; die Kartenfirmen verlangen eine Untersuchung.
So läuft es ab: Gefälschte Kartenzahlung im Take-away-Shop
Einfallstor: Schwachstelle im Shop-System oder in einem eingebundenen Drittskript
Was KI daran ändert: KI macht gefälschte Bezahlmasken optisch fehlerfrei und in mehreren Sprachen.
Warum mittel? Belegt bei einem Schweizer Essensliefer-Webshop 2026 und beim ESA-Shop 2024.
Was vorbeugt
- Shop mit gehosteter Bezahlseite des Zahlungsanbieters betreiben (Kartendaten nie auf dem eigenen Server).
- Änderungen an der Bezahlseite überwachen lassen.
- Updates und Zwei-Faktor-Anmeldung für das Shop-Backend.
Stolpersteine in den Bedingungen: Gefälschte Kartenzahlung im Take-away-Shop
- Kartenzahlungen: PCI-Strafen zahlen Zurich und Helvetia, soweit versicherbar; Mobiliar nur mit Zusatz und gültiger PCI-DSS-Zertifizierung; AXA schliesst Vertragsstrafen (B4) und Kartenmissbrauch (B11) aus.
Wo steht das?
Zurich Cyberversicherung, Kundeninformation und Allgemeine Versicherungsbedingungen (AVB), Ausgabe 01/2024, Ausnahme vom Bussen-Ausschluss (PCI)
Dokument öffnen: Zurich Cyberversicherung, Kundeninformation und Allgemeine Versicherungsbedingungen (AVB) (öffnet ein neues Fenster), abgerufen 06.11.2026
- Meldepflicht: Eine Verletzung der Datensicherheit mit voraussichtlich hohem Risiko ist dem EDÖB so rasch als möglich zu melden (Art. 24 DSG). Benachrichtigung und PR vorher mit dem Versicherer absprechen (AXA, Helvetia), sonst Streit um die Kosten.
Wo steht das?
Bundesgesetz über den Datenschutz (DSG), SR 235.1, geltende Fassung, Art. 24 DSG (Paraphrase)
Dokument öffnen: Bundesgesetz über den Datenschutz (DSG), SR 235.1 (öffnet ein neues Fenster), abgerufen 06.11.2026
Bausteine: Soforthilfe im Ernstfall, Betroffene informieren, Strafen der Kartenindustrie, Ertragsausfall nach Angriff
3Getränkelieferant mit «neuer Bankverbindung»
Kassenzettel
Restaurant und Gastronomie
Zeile antippen für die Begründung
-
Überwiesener Rechnungsbetrag CHF 3'000–20'000 mit Zusatz
Nur als Zusatz (AXA A6, Mobiliar B8, Zurich Premium) oder mit Sublimite (Helvetia CHF 30'000–100'000); fast immer Rückrufpflicht bei neuer Bankverbindung. Herleitung: Annahme: Monatsrechnung Getränke; kein Branchenbeleg.
- Zahlt die Cyberpolice meist
- nichts
- Offen oder nur mit Zusatz
- CHF 3'000–20'000
- Bleibt meist beim Betrieb
- nichts
Wahrscheinlichkeit mittel
Aus dem gehackten Postfach des Getränkehändlers kommt eine echt wirkende Rechnung mit neuer IBAN und QR-Code. Die Wirtin zahlt CHF 8'000; der echte Händler mahnt einen Monat später.
So läuft es ab: Getränkelieferant mit «neuer Bankverbindung»
Einfallstor: Gehacktes Mailkonto des Lieferanten
Was KI daran ändert: KI schreibt fehlerfreie, persönlich zugeschnittene Phishing-Mails in Mundart-nahem Deutsch; das alte Warnzeichen «schlechtes Deutsch» fällt weg. Laut IBM nutzten Angreifer 2025 bei 16 % der Datenverletzungen KI, meist für Phishing.
Warum mittel? BACS beschreibt manipulierte QR-Rechnungen mit Schweizer Konten, die kaum zu erkennen sind.
Wo steht das?
Woche 52: Gezielter, komplexer, raffinierter – Knapp 65'000 Meldungen ans BACS im 2025, 30.12.2025
Dokument öffnen: Woche 52: Gezielter, komplexer, raffinierter – Knapp 65'000 Meldungen ans BACS im 2025 (öffnet ein neues Fenster), abgerufen 06.11.2026
Was vorbeugt
- Neue IBAN nur nach Rückruf über bekannte Nummer übernehmen.
- QR-Rechnungen mit geänderter IBAN in der Buchhaltung markieren lassen.
- Lieferantenstamm im E-Banking als Vorlage, keine Neuerfassung aus der Mail.
Stolpersteine in den Bedingungen: Getränkelieferant mit «neuer Bankverbindung»
- Social Engineering ist meist nur ein Zusatzbaustein (AXA A6, Mobiliar B8, Zurich Baustein G Premium) oder hat eine tiefe Sublimite (Helvetia ECO CHF 30'000). Ohne Zusatz zahlt die Cyberpolice den überwiesenen Betrag nicht.
Wo steht das?
Cyberversicherung, Kundeninformationen und Allgemeine Bedingungen, Ausgabe 01.2024, Ziff. B8.1
«Der Versicherungsschutz gilt, sofern diese Deckung ausdrücklich in der Police erwähnt ist.»
Dokument öffnen: Cyberversicherung, Kundeninformationen und Allgemeine Bedingungen (öffnet ein neues Fenster), abgerufen 06.11.2026
- Rückrufpflicht: neue oder geänderte Bankverbindungen per Rückruf (oder digitale Signatur) prüfen und schriftlich dokumentieren, sonst entfällt die Deckung (AXA A6, Zurich Art. 704); Helvetia verlangt die sichere Verifizierung ab CHF 30'000.
Wo steht das?
Zurich Cyberversicherung, Kundeninformation und Allgemeine Versicherungsbedingungen (AVB), Ausgabe 01/2024, Art. 704, S. 15
«Als sicheres Verfahren gelten ein telefonischer Rückruf zur Identitätsprüfung und jede Form von digital signierter Kommunikation.»
Dokument öffnen: Zurich Cyberversicherung, Kundeninformation und Allgemeine Versicherungsbedingungen (AVB) (öffnet ein neues Fenster), abgerufen 06.11.2026
- Mobiliar zahlt nicht, wenn eine Zahlungsaufforderung erkennbar gefälscht oder nicht personalisiert war oder Waren betrifft, die nie bestellt wurden (B8.2 lit. c).
Wo steht das?
Cyberversicherung, Kundeninformationen und Allgemeine Bedingungen, Ausgabe 01.2024, Ziff. B8.2 lit. c
«weil Sie frei erfundene oder erkennbar gefälschte Zahlungsaufforderungen bezahlt haben»
Dokument öffnen: Cyberversicherung, Kundeninformationen und Allgemeine Bedingungen (öffnet ein neues Fenster), abgerufen 06.11.2026
Bausteine: Betrug mit gefälschten Anweisungen
4Gästedaten beim Reservationsanbieter abgeflossen
Kassenzettel
Restaurant und Gastronomie
Zeile antippen für die Begründung
-
Anwalt: Meldepflichten nach DSG, Information Betroffener, Abwehr von Ansprüchen CHF 750–4'200 gedeckt
Bei AXA, Mobiliar, Zurich, Helvetia und Chubb im Grundschutz; AXA-Sofortmassnahmen bis CHF 5'000 ohne Selbstbehalt. Herleitung: 3–12 Std. × CHF 250–350/Std. (Anwaltssatz Schweiz)
-
Benachrichtigung der Gäste per Brief (nur Porto) CHF 500–6'000 gedeckt
Information Betroffener im Grundschutz; meist vorgängige Zustimmung des Versicherers nötig. Herleitung: 500–5'000 Briefe × CHF 1.00–1.20 (B-/A-Post 2026); Druck, Couvert und Adressaufbereitung nicht gefunden, kämen dazu
-
Ansprüche geschädigter Gäste keine verlässliche Zahl gedeckt
Gedeckt bei Datenschutzverletzung; bei AXA zählen auch Daten, die einem Dritten anvertraut wurden (E7). Ob ein Leck beim Anbieter genügt, ist im Einzelfall zu prüfen. Herleitung: Keine Beträge gefunden.
- Zahlt die Cyberpolice meist
- CHF 1'250–10'200, dazu 1 Posten ohne Betrag
- Offen oder nur mit Zusatz
- nichts
- Bleibt meist beim Betrieb
- nichts
Wahrscheinlichkeit mittel
Beim Anbieter des Reservationstools fliessen Namen, Telefonnummern und Reservationen ab. Kurz darauf erhalten Gäste WhatsApp-Nachrichten im Namen des Restaurants mit einem Link zur «Bestätigung der Kreditkarte».
So läuft es ab: Gästedaten beim Reservationsanbieter abgeflossen
Gäste beschweren sich beim Restaurant.
Einfallstor: Datenleck beim Dienstleister; Phishing an Gäste
Was KI daran ändert: KI schreibt glaubwürdige Nachrichten mit echten Reservationsdaten in mehreren Sprachen.
Warum mittel? Gleiches Muster bei Schweizer Hotels 2024 und 2026 belegt (Waldstätterhof, Lenzerheide).
Was vorbeugt
- Anbieter mit Auftragsbearbeitungsvertrag und Meldepflicht wählen.
- Gäste auf der Website informieren, dass das Restaurant nie Kartendaten per WhatsApp verlangt.
- Nur nötige Gästedaten erfassen.
Stolpersteine in den Bedingungen: Gästedaten beim Reservationsanbieter abgeflossen
- Meldepflicht: Eine Verletzung der Datensicherheit mit voraussichtlich hohem Risiko ist dem EDÖB so rasch als möglich zu melden (Art. 24 DSG). Benachrichtigung und PR vorher mit dem Versicherer absprechen (AXA, Helvetia), sonst Streit um die Kosten.
Wo steht das?
Bundesgesetz über den Datenschutz (DSG), SR 235.1, geltende Fassung, Art. 24 DSG (Paraphrase)
Dokument öffnen: Bundesgesetz über den Datenschutz (DSG), SR 235.1 (öffnet ein neues Fenster), abgerufen 06.11.2026
- Ausfall des Software- oder Cloud-Anbieters: mitversichert nur, wenn dessen System angegriffen wurde und meist ein schriftlicher Vertrag besteht (Mobiliar, Zurich); rein technische Ausfälle beim Dienstleister und Netz-/Stromausfälle sind ausgeschlossen (Zurich Art. 5, Helvetia).
Wo steht das?
Zurich Cyberversicherung, Kundeninformation und Allgemeine Versicherungsbedingungen (AVB), Ausgabe 01/2024, Art. 5
Dokument öffnen: Zurich Cyberversicherung, Kundeninformation und Allgemeine Versicherungsbedingungen (AVB) (öffnet ein neues Fenster), abgerufen 06.11.2026
Bausteine: Soforthilfe im Ernstfall, Betroffene informieren, Ansprüche Dritter nach Datenleck
5Kühlraum über Fernwartung aufgeheizt
Kassenzettel
Restaurant und Gastronomie
Zeile antippen für die Begründung
-
Verdorbene Ware CHF 3'000–15'000 nicht gedeckt
In allen gelesenen Cyber-AVB ausgeschlossen (AXA B6, Mobiliar E lit. e, Zurich Art. 5, Helvetia 3.2.3 b, Chubb 4.8); AXA auch der daraus folgende Ertragsausfall. Herleitung: Annahme: Wochenvorrat eines Restaurants; Umsatz rund CHF 2'880/Tag (ESTV 2024), Wareneinsatz nicht belegt.
-
Kältetechniker: Steuerung zurücksetzen CHF 810–2'700 gedeckt
Steuerung = IT-System; Stundensatz als Annahme. Herleitung: 3–8 Std. × CHF 270–338/Std. (IT-Support mit 50 % Zuschlag ausserhalb Bürozeit)
-
Umsatzausfall Mittag CHF 1'400–2'900 nicht gedeckt
Folge des Sachschadens: AXA B6, Helvetia 3.2.3 b. Herleitung: ½–1 Tage × rund CHF 2'880 Umsatz/Tag (ESTV-MWST-Statistik 2024, Durchschnitt MWST-pflichtiger Betriebe; kleine Betriebe liegen tiefer)
Bleibt meist beim BetriebCHF 4'400–17'900
- Zahlt die Cyberpolice meist
- CHF 810–2'700
- Offen oder nur mit Zusatz
- nichts
Wahrscheinlichkeit tief
Der Kühlraum mit Fleisch, Fisch und Milchprodukten wird über die offene Fernwartung des Kältetechnikers auf Abtauen gestellt. Am Morgen ist die Ware warm und muss weg; das Mittagsmenü fällt aus.
So läuft es ab: Kühlraum über Fernwartung aufgeheizt
Einfallstor: Fernwartung der Kühlanlage am Internet
Was KI daran ändert: Wie bei der Metzgerei.
Warum tief? Welle auf Kühlsteuerungen ab Oktober 2026 im Detailhandel belegt; Gastronomie seltener mit zentraler Fernwartung (Annahme).
Wo steht das?
CERTFR-2026-ALE-012: Incident de sécurité ciblant les contrôleurs à distance des installations de réfrigération, 12.10.2026, aktualisiert 13. und 16.10.2026, Recommandations
«Le CERT-FR a connaissance de nombreuses compromissions des controleurs à distance»
Dokument öffnen: CERTFR-2026-ALE-012: Incident de sécurité ciblant les contrôleurs à distance des installations de réfrigération (öffnet ein neues Fenster), abgerufen 06.11.2026
Was vorbeugt
- Kältetechniker fragen, ob die Anlage aus dem Internet erreichbar ist.
- Eigener Temperaturalarm aufs Handy.
- Sach- und Cyberpolice auf Kühlgut nach Hackerangriff prüfen lassen.
Stolpersteine in den Bedingungen: Kühlraum über Fernwartung aufgeheizt
- Sachschaden ausgeschlossen: verdorbene Ware, tote Tiere oder beschädigte Maschinen zahlt keine gelesene Cyber-AVB (AXA B6, Mobiliar E lit. e, Zurich Art. 5, Helvetia 3.2.3 b); AXA schliesst auch den Ertragsausfall aus dem Sachschaden aus. Die Steuerung selbst gilt als IT-System (AXA E11, Zurich Art. 102.1).
Wo steht das?
Allgemeine Vertragsbedingungen (AVB) KMU Versicherung, Modul Cyberversicherung, Ausgabe 06.2024 (16381DE – 2024-06), Ziff. B6 und E11
Dokument öffnen: Allgemeine Vertragsbedingungen (AVB) KMU Versicherung, Modul Cyberversicherung (öffnet ein neues Fenster), abgerufen 06.11.2026
- Sachversicherung hilft meist nicht: Kühlgut ist dort nur als Zusatz und nur bei technischem Defekt oder Stromunterbruch versichert (AXA Sach B8, Allianz C6.3.3); AXA schliesst Fehlmanipulationen (B8.5) und im Auffangtatbestand Hacker-Angriffe aus (lit. s), Mobiliar All Risks Cyberrisiken (Ziff. 3).
Wo steht das?
Allgemeine Vertragsbedingungen (AVB) KMU Versicherung, Modul Sachversicherung, Ausgabe 06.2024 (16373DE – 2024-06), Nicht genannte Gefahren, lit. s
«Schäden verursacht durch Schadprogramme, Hacker- und Denial-of-Service-Angriffe sowie andere Cyber-Ereignisse.»
Dokument öffnen: Allgemeine Vertragsbedingungen (AVB) KMU Versicherung, Modul Sachversicherung (öffnet ein neues Fenster), abgerufen 06.11.2026
Bausteine: Sachschäden durch Angriff, Daten und Systeme wiederherstellen, Ertragsausfall nach Angriff
Spannen für einen kleinen bis mittleren Betrieb, keine Versicherungsleistung. Selbstbehalt, Summen und Sublimiten kommen dazu. Die Balken aller Zettel haben denselben Massstab.
Übersicht nach öffentlichen Bedingungen, Stand 06.11.2026. Massgebend sind Ihre Police und die dazugehörigen Allgemeinen Versicherungsbedingungen (AVB). Keine Deckungszusage.
Was ein Tag Stillstand kostet
CHF 2'880 Umsatz pro Tag im Durchschnitt; Ihr Betrieb kann kleiner sein.
CHF 300–750 Prämie im Jahr für einen Kleinstbetrieb, Richtwert nach Helvetia-Tarif Gruppe A, keine Offerte.
Woher die Zahlen stammen
Durchschnitt MWST-pflichtiger Betriebe (ESTV 2024); kleine Betriebe liegen tiefer. Versichert ist nur der Ertragsausfall nach Karenz (Umsatz minus eingesparte Kosten bzw. EBITDA). Aussagekraft: gut.
Wartefrist: Ertragsausfall erst nach 12 Stunden (AXA; Mobiliar nur mit Zusatz B4) bzw. 24 Stunden (Helvetia); bei Zurich nur in Optimum/Premium, Karenz laut Police. Ein Ausfall unter der Karenz bleibt beim Betrieb.
Öffentliche Tarife gibt es nur von wenigen Versicherern. Wir ordnen Ihre Branche dem Helvetia-Tarif Gruppe A (u. a. Bauhaupt- und Baunebengewerbe, Café/Restaurant) zu; diese Zuordnung ist von uns, nicht vom Versicherer.
| Betrieb | Versicherungssumme | Prämie im Jahr | Herleitung |
|---|---|---|---|
| Kleinstbetrieb < CHF 1 Mio. Umsatz, Restaurant oder Handwerk (Helvetia Gruppe A) | Eigenschaden 50'000–200'000, Haftpflicht 500'000–1 Mio. | rund CHF 300–750Richtwert, keine Offerte | Herleitung zu Kleinstbetrieb < CHF 1 Mio. Umsatz, Restaurant oder Handwerk (Helvetia Gruppe A)Herleitung: Untergrenze = tiefste öffentliche Jahresprämie (Helvetia KMU-Spezial ECO, Tarif 01.07.2026), Obergrenze = TOP-Variante derselben Gruppe. Gegenprobe: Zurich Basic ab 410 / Optimum ab 690 (Broschüre 2023, Parameter unbekannt), Sunrise/AXA 479 bei 20k/200k. Nur zwei Versicherer mit öffentlichen Preisen; Tarifpreis vor Risikoprüfung und ohne Rabatte. Richtwert, abgeleitet – keine Offerte. Wo steht das?Antrag Cyber-Versicherung – KMU-Spezial (mit Prämientabelle), Ausgabe 01.07.2026, Ziff. 1.1 Dokument öffnen: Antrag Cyber-Versicherung – KMU-Spezial (mit Prämientabelle) (öffnet ein neues Fenster), abgerufen 06.11.2026 Wo steht das?Broschüre Zurich Cyberversicherung, PDF vom 21.03.2023, S. 15 Dokument öffnen: Broschüre Zurich Cyberversicherung (öffnet ein neues Fenster), abgerufen 06.11.2026 |
| KMU CHF 1–5 Mio. Umsatz, Gruppe A (Handwerk, Restaurant) | Eigenschaden 100'000–500'000, Haftpflicht 500'000–1 Mio. | rund CHF 550–1'200Richtwert, keine Offerte | Herleitung zu KMU CHF 1–5 Mio. Umsatz, Gruppe A (Handwerk, Restaurant)Herleitung: Untergrenze = tiefste öffentliche Jahresprämie (Helvetia KMU-Spezial ECO, Tarif 01.07.2026), Obergrenze = TOP-Variante derselben Gruppe. Gegenprobe: Zurich Basic ab 410 / Optimum ab 690 (Broschüre 2023, Parameter unbekannt), Sunrise/AXA 479 bei 20k/200k. Nur zwei Versicherer mit öffentlichen Preisen; Tarifpreis vor Risikoprüfung und ohne Rabatte. Richtwert, abgeleitet – keine Offerte. Wo steht das?Antrag Cyber-Versicherung – KMU-Spezial (mit Prämientabelle), Ausgabe 01.07.2026, Ziff. 1.2 Dokument öffnen: Antrag Cyber-Versicherung – KMU-Spezial (mit Prämientabelle) (öffnet ein neues Fenster), abgerufen 06.11.2026 |
| KMU CHF 5–10 Mio. Umsatz, Gruppe A bis C | Eigenschaden 200'000–500'000, Haftpflicht 500'000–1 Mio. | rund CHF 800–3'100Richtwert, keine Offerte | Herleitung zu KMU CHF 5–10 Mio. Umsatz, Gruppe A bis CHerleitung: Untergrenze = tiefste öffentliche Jahresprämie (Helvetia KMU-Spezial ECO, Tarif 01.07.2026), Obergrenze = TOP-Variante derselben Gruppe. Gegenprobe: Zurich Basic ab 410 / Optimum ab 690 (Broschüre 2023, Parameter unbekannt), Sunrise/AXA 479 bei 20k/200k. Nur zwei Versicherer mit öffentlichen Preisen; Tarifpreis vor Risikoprüfung und ohne Rabatte. Richtwert, abgeleitet – keine Offerte. Wo steht das?Antrag Cyber-Versicherung – KMU-Spezial (mit Prämientabelle), Ausgabe 01.07.2026, Ziff. 1.3 Dokument öffnen: Antrag Cyber-Versicherung – KMU-Spezial (mit Prämientabelle) (öffnet ein neues Fenster), abgerufen 06.11.2026 |
Was im Betrieb am Netz hängt
- Kassensystem (oft Cloud-Kasse mit Tablets) und Kartenterminal Beleg: Restaurants mit NCR-Aloha-Kassensystem (Anbieter NCR)
- Online-Reservationstool und Tischplan Branchenüblich, kein eigener Beleg.
- Webshop oder Bestellplattform für Take-away und Lieferung Beleg: Essensliefer-Webshop (anonym)
- Kühlräume und Tiefkühler mit Temperaturüberwachung
Beleg
CERTFR-2026-ALE-012: Incident de sécurité ciblant les contrôleurs à distance des installations de réfrigération, 12.10.2026, aktualisiert 13. und 16.10.2026, Recommandations
«Le CERT-FR a connaissance de nombreuses compromissions des controleurs à distance»
Dokument öffnen: CERTFR-2026-ALE-012: Incident de sécurité ciblant les contrôleurs à distance des installations de réfrigération (öffnet ein neues Fenster), abgerufen 06.11.2026
- Gäste-WLAN, E-Mail, E-Banking, Lohnsoftware Branchenüblich.
Echte Fälle
-
Schweiz · 08.2026
Essensliefer-Webshop (anonym)Angreifer schleusten Schadcode in die echte Bezahlseite eines Webshops für Essensbestellungen ein.
-
Schweiz · 01.2023
Unternehmen (anonym)Angreifer durchsuchten ein gehacktes E-Mail-Konto nach versandten Rechnungen und schickten eine Kopie erneut an den Kunden.
-
Schweiz · 07.2024
Hotel WaldstätterhofKriminelle hackten über ein altes Programm einen externen Software-Anbieter des Hotels und erbeuteten E-Mail-Adressen und künftige Aufenthalte von Gästen.
Weitere 5 Fälle und Musterfälle
-
Schweiz · 09.2026
Hotel Schweizerhof LenzerheideKriminelle griffen Buchungsdaten aus einer Komponente des Buchungssystems des Hotels ab und schrieben Gäste per WhatsApp an.
-
USA · 04.2023Ausland: USA
Restaurants mit NCR-Aloha-Kassensystem (Anbieter NCR)Ransomware beim Kassenanbieter NCR legte Zusatzfunktionen von Restaurantkassen lahm.
-
international · 12.2024Ausland: international
Offizieller Online-Shop der Europäischen Weltraumorganisation ESAKurz vor Weihnachten 2024 entdeckte die Firma Sansec im ESA-Shop ein Skript, das beim Bezahlen eine gefälschte Zahlungsseite zeigte und Kartendaten abgriff.
-
Frankreich · 10.2026Ausland: Frankreich
Intermarché, Coopérative U, Carrefour (über 230 Filialen)In der Nacht auf den 12. Oktober 2026 schalteten Angreifer die Kühl- und Tiefkühlanlagen von rund 150 Intermarché-Filialen, 80 Carrefour-Standorten und Läden von Coopérative U in den Abtaumodus; die Temperatur stieg rund sechs Stunden lang auf bis zu 50 Grad.
-
Musterfall eines Versicherers: Mobiliar
Vergleich Mobiliar: zwei Tage ohne Terminverwaltung und Zahlungen, anteiliger Ertragsausfall.
Musterfall ohne Betrag. Mobiliar: Ertragsausfall ab 12 Stunden Stillstand, Komplettausfall volle Tagesentschädigung, Teilausfall anteilig; BU nur als Zusatz.
Wo steht das?
Cyberversicherung für Unternehmen (Produktseite, Schadenbeispiele), abgerufen 06.11.2026, Schadenbeispiele, Ertragsausfall «Ertragsverlust durch Cyberangriff»
Dokument öffnen: Cyberversicherung für Unternehmen (Produktseite, Schadenbeispiele) (öffnet ein neues Fenster), abgerufen 06.11.2026