Wie gross ist die Cyber-Schutzlücke bei Schweizer KMU?
Zwei Primärquellen beleuchten unterschiedliche Aspekte und sollten nicht als individuelle Risikoprognose gelesen werden:
- Die Schweizer KMU-Cyberstudie 2024 befragte 515 KMU. 4 Prozent berichteten von einem schädigenden Cyberangriff in den vorangegangenen drei Jahren, 5 Prozent von einem Erpressungsversuch und 4 Prozent von einem finanziellen Verlust durch betrügerische E-Mails. 25 Prozent verfügten über ein Sicherheitskonzept, 32 Prozent führten regelmässige Mitarbeiterschulungen durch und 33 Prozent hatten einen Notfallplan.
- Der Schweizerische Versicherungsverband (SVV) meldete für 2024 rund 67’000 Cyberpolicen für Unternehmen. Dies entsprach 10,8 Prozent der in der Schweiz domizilierten Unternehmen. Das Prämienvolumen betrug CHF 172 Millionen, 22 Prozent mehr als im Vorjahr.
Die SVV-Zahlen betreffen den Markt als Ganzes und liefern weder eine KMU-spezifische Versicherungsquote noch einen Preis für ein einzelnes Unternehmen. Die Studienwerte beschreiben die befragte Stichprobe, nicht die sichere Eintrittswahrscheinlichkeit eines Betriebs.
Welche Risiken sollten KMU zuerst beurteilen?
Die Unternehmensgrösse allein bestimmt das Risiko nicht. Wichtiger sind Prozesse, Daten, Zugänge und Abhängigkeiten:
- Betriebsabhängigkeit von IT: Wie lange kann das Unternehmen ohne Warenwirtschaft, Produktion, Buchung oder E-Mail arbeiten?
- Personen- und Geschäftsdaten: Welche Folgen hätte ein Verlust, eine Offenlegung oder Manipulation?
- Zahlungsprozesse: Wie werden neue Konten, Rechnungsänderungen und dringliche Zahlungen bestätigt?
- Externe Dienstleister: Welche Cloud-, Software- und IT-Anbieter sind für den Betrieb kritisch?
- Wiederanlauf: Sind Backups getrennt, geschützt und praktisch getestet?
- Recht und Verträge: Welche Datenschutz-, Branchen- oder Kundenpflichten gelten?
Was kann eine Cyberversicherung abdecken?
Je nach Police können folgende Bausteine enthalten sein:
- IT-Forensik und Koordination der Incident Response
- Daten- und Systemwiederherstellung
- Rechtsberatung und Unterstützung bei Datenschutzmeldungen
- Krisenkommunikation
- versicherter Betriebsunterbruch und Mehrkosten nach einer Wartefrist
- Abwehr und Erfüllung gedeckter Haftpflichtansprüche
- Zahlungsbetrug, Erpressung oder Lieferantenausfälle, sofern ausdrücklich eingeschlossen
Nicht jede Police enthält alle Leistungen. Besonders häufig unterscheiden sich Definitionen, Sublimiten und Ausschlüsse bei Social Engineering, Cybererpressung, Cloud-Diensten, IT-Dienstleistern und rein technischen Ausfällen.
Was ist typischerweise nicht automatisch gedeckt?
- vor Vertragsbeginn bekannte Ereignisse oder Schwachstellen
- vorsätzlich verursachte Schäden
- uneingeschränkte Vertragsstrafen und Bussen
- jede Art von Zahlungsbetrug oder Erpressungszahlung
- jeder Ausfall eines Cloud- oder IT-Dienstleisters
- Schäden ausserhalb der versicherten Gesellschaften, Länder, Systeme oder Daten
- Folgen unzutreffender Angaben oder verletzter vertraglicher Sicherheitsanforderungen
Massgeblich sind der Wortlaut und das anwendbare Recht, nicht die Überschrift eines Produktblatts.
Was kostet eine Cyberversicherung für ein KMU?
Ein belastbarer Preis benötigt ein aktuelles Risikoprofil und konkrete Offerten. Pauschale Online-Preise können irreführen, weil Versicherer unter anderem prüfen:
- Umsatz, Branche, Standorte und Unternehmensgrösse
- Art und Menge verarbeiteter Daten
- gewünschte Versicherungssumme, Sublimiten und Selbstbehalt
- Abhängigkeit von IT, Cloud und Lieferanten
- frühere Vorfälle und bekannte Schwachstellen
- MFA, Backups, Patch-Management, Endpoint-Schutz und Notfallplanung
- Zahlungsfreigaben und Schutz vor Social Engineering
Vergleichen Sie Angebote nur mit denselben Angaben und demselben gewünschten Umfang. Ein tieferer Preis kann durch höhere Selbstbehalte, niedrigere Sublimiten oder engere Bedingungen entstehen.
Welche Sicherheitsfragen können Versicherer stellen?
Je nach Risiko und Anbieter können Fragebögen unter anderem folgende Punkte enthalten:
| Thema | Sinnvoller Nachweis |
|---|---|
| Multi-Faktor-Authentifizierung | geschützte Fern-, E-Mail- und Administrationszugänge |
| Backups | Trennung, Zugriffsschutz und protokollierte Wiederherstellungstests |
| Updates | Verantwortlichkeiten und Priorisierung kritischer Schwachstellen |
| Berechtigungen | begrenzte Administratorrechte und regelmässige Überprüfung |
| Zahlungen | unabhängige Bestätigung von Kontoänderungen und Ausnahmen |
| Notfallplan | aktuelle Kontakte, Entscheidungswege und durchgeführte Übungen |
| Dienstleister | bekannte Abhängigkeiten, Zugänge und Meldevereinbarungen |
Das sind keine einheitlichen Mindestanforderungen aller Versicherer. Antworten müssen vollständig und aktuell sein; eine einzelne Massnahme garantiert weder Annahme noch Rabatt oder Deckung.
Angebote in sieben Schritten vergleichen
- Die wichtigsten Schadensszenarien und maximal tolerierbaren Ausfallzeiten festhalten.
- Mit identischen Unternehmens- und Sicherheitsangaben Offerten anfordern.
- Versicherungssumme, Sublimiten, Selbstbehalt und Wartefrist nebeneinanderstellen.
- Cloud-, Lieferanten-, Erpressungs- und Zahlungsbetrugsbausteine ausdrücklich prüfen.
- Ausschlüsse und vertragliche Sicherheitsanforderungen lesen.
- Notfallhotline, zugelassene Dienstleister und Freigabeprozess klären.
- Courtage, Gebühren und allfällige Interessenkonflikte transparent festhalten.
Fazit
Eine Cyberversicherung kann Fachhilfe und Liquidität für vertraglich definierte Vorfälle bereitstellen. Ob sie für ein bestimmtes KMU sinnvoll ist und welcher Umfang passt, hängt vom konkreten Risiko, der finanziellen Tragfähigkeit und den verfügbaren Bedingungen ab. Sie ersetzt weder IT-Sicherheit noch einen geübten Notfallplan.
Cyberversicherung.ch informiert und vermittelt Beratungen über die BTAG Versicherungsbroker AG. Leistungen, Bedingungen und eine allfällige vom Versicherer bezahlte Courtage sind vor einem Abschluss offenzulegen.