Kurzantwort: Was deckt eine Cyberversicherung?
Eine Cyberversicherung kann eigene Kosten, Ansprüche Dritter und Soforthilfe nach einem versicherten Cyberereignis übernehmen. Es gibt aber keinen einheitlichen Deckungsstandard. Entscheidend sind Definitionen, Limiten, Sublimiten, Selbstbehalte, Wartefristen, Ausschlüsse und Sicherheitsvoraussetzungen der konkreten Police.
Die Police ersetzt weder IT-Sicherheit noch einen Notfallplan. Sie überträgt nur jene finanziellen Risiken, die im Vertrag tatsächlich versichert sind.
Die wichtigsten Deckungsbausteine
| Baustein | Mögliche Leistungen | In der Offerte prüfen |
|---|---|---|
| Incident Response und IT-Forensik | Eindämmung, Ursachenanalyse, Beweissicherung | Hotline, Reaktionsprozess, zugelassene Dienstleister und Kostenzusage |
| Daten- und Systemwiederherstellung | Bereinigung, Wiederaufbau und Wiederherstellung | Bewertungsmethode, Verbesserungen gegenüber dem früheren Zustand und Sublimit |
| Betriebsunterbruch | Versicherter Ertragsausfall und Mehrkosten | Wartefrist, Haftzeit, Berechnung, abhängige Dienstleister und nicht böswillige Ausfälle |
| Cybererpressung | Krisenberatung, Verhandlung und Wiederherstellung | Ob und unter welchen rechtlichen sowie vertraglichen Bedingungen Zahlungen erfasst sind |
| Datenschutz und Benachrichtigung | Rechtsberatung, Beurteilung und erforderliche Kommunikation | Versicherte Rechtsordnungen, Zustimmungspflichten und Benachrichtigungskosten |
| Cyberhaftpflicht | Abwehr und Befriedigung versicherter Ansprüche Dritter | Datenschutz-, Netzwerk- und Medienhaftpflicht sowie reine Vermögensschäden |
| Krisenkommunikation | Kommunikationsberatung und Hotline für Betroffene | Auslöser, Dauer, Anbieter und Sublimit |
| Social Engineering und Zahlungsbetrug | Bestimmte fehlgeleitete Zahlungen | Häufig optional; Authentifizierungsregeln, Gegenprüfung und tiefere Sublimiten beachten |
| Cloud- und Dienstleisterausfall | Folgen eines Vorfalls bei externen Anbietern | Welche Anbieter, Ereignisse und Ausfallarten tatsächlich eingeschlossen sind |
«24/7-Hilfe» bedeutet nicht automatisch, dass jede externe Rechnung gedeckt ist. Viele Verträge verlangen, zuerst die bezeichnete Notfallstelle zu kontaktieren oder Kosten genehmigen zu lassen, soweit die Lage dies zulässt.
Eigenschäden und Haftpflicht getrennt lesen
Eigenschäden betreffen das eigene Unternehmen, etwa Forensik, Wiederherstellung oder einen versicherten Betriebsunterbruch. Haftpflichtdeckung betrifft versicherte Ansprüche Dritter und die Rechtsverteidigung.
Eine hohe Gesamtversicherungssumme sagt wenig aus, wenn wichtige Bausteine fehlen oder tiefe Sublimiten haben. Vergleichen Sie deshalb jeden Baustein separat und prüfen Sie, ob Selbstbehalt und Wartefrist gleichzeitig gelten.
Typische Ausschlüsse und Bedingungen
Der genaue Wortlaut ist massgebend. Häufig zu prüfen sind:
- vor Vertragsbeginn bekannte Vorfälle oder Umstände;
- vorsätzliches Handeln und unrichtige Angaben im Risikofragebogen;
- vereinbarte Sicherheitsanforderungen, etwa MFA, Backups oder Patch-Management;
- Krieg, staatliche Akteure, systemische Ereignisse und kritische Infrastruktur;
- Körper-, Sach- oder Umweltschäden;
- Vertragsstrafen, Garantien und freiwillig übernommene Haftung;
- langfristiger Reputationsverlust oder zukünftiger Umsatzverlust;
- veraltete Systeme, nicht behobene Schwachstellen oder Änderungen des Risikos;
- Lösegeld, Bussen oder Sanktionen, soweit diese rechtlich oder vertraglich nicht versicherbar sind.
Ein Ausschluss wirkt nicht in jeder Police gleich. Verlangen Sie bei unklaren Begriffen eine schriftliche Erläuterung anhand Ihrer Systeme und Lieferanten.
Acht Punkte für den Offertvergleich
- Auslöser: Welche Ereignisse aktivieren welchen Baustein?
- Limiten: Welche Gesamtlimite und welche Sublimiten gelten?
- Eigenanteil: Welche Geldselbstbehalte und Wartefristen tragen Sie?
- Zeitraum: Wie lange werden Betriebsunterbruch und Folgekosten berücksichtigt?
- Dienstleister: Gibt es ein Panel, freie Wahl oder eine vorgängige Zustimmung?
- Abhängigkeiten: Sind Cloud, IT-Provider, Zahlungsdienstleister und Lieferanten erfasst?
- Geltungsbereich: Passen Länder, Tochtergesellschaften und anwendbare Rechtsordnungen?
- Sicherheitsangaben: Können Sie jede Antwort im Fragebogen aktuell belegen?
Unser Ratgeber zu Preisfaktoren erklärt, weshalb nur aktuelle Offerten mit identischen Unternehmensangaben vergleichbar sind.
Meldepflichten: drei Prozesse auseinanderhalten
Nach Art. 24 DSG meldet der Verantwortliche eine Verletzung der Datensicherheit dem EDÖB so rasch als möglich, wenn sie voraussichtlich zu einem hohen Risiko für Persönlichkeit oder Grundrechte führt. Das Schweizer DSG nennt dafür keine allgemeine feste Stundenfrist.
Die 24-Stunden-Meldung ans BACS gilt seit 1. April 2025 nur für Betreiber kritischer Infrastrukturen im gesetzlichen Geltungsbereich und für meldepflichtige Cyberangriffe. Zusätzlich können Branchen-, Vertrags- oder Auslandspflichten gelten.
Die Schadenmeldung an den Versicherer ist ein eigener vertraglicher Prozess. Eine Behördenmeldung ersetzt sie nicht. Einzelheiten stehen im Leitfaden zu Meldepflichten.
Im Vorfall
- Notfallplan aktivieren und die in der Police genannte Kontaktstelle prüfen.
- Betroffene Systeme kontrolliert eindämmen und Beweise erhalten.
- Entdeckung, Entscheidungen, Daten und Kosten fortlaufend dokumentieren.
- Rechtliche, regulatorische und vertragliche Meldungen parallel beurteilen.
- Externe Kosten vorab abstimmen, soweit dies ohne zusätzliche Gefährdung möglich ist.
Eine Police garantiert weder die Wiederherstellung noch eine Zahlung in bestimmter Höhe. Die Leistung hängt vom Ereignis, Nachweis, Vertrag und der Einhaltung der vereinbarten Pflichten ab.
Offizielle Quellen
- EDÖB: Leitfaden zu Datensicherheitsverletzungen nach Art. 24 DSG
- BACS: Meldepflicht für Cyberangriffe auf kritische Infrastrukturen
Inhaltlich geprüft am 18. Juli 2026. Dieser Überblick ist keine Rechts- oder Deckungszusage; der konkrete Vertrag ist massgebend.