Die kurze Definition
Eine Cyberversicherung überträgt einen vertraglich festgelegten Teil der finanziellen Folgen eines Cybervorfalls auf einen Versicherer. Je nach Police verbindet sie Leistungen für das eigene Unternehmen, Haftpflichtschutz gegenüber Dritten und organisierte Hilfe im Notfall.
Sie ersetzt keine IT-Sicherheit. Ob ein konkreter Schaden gedeckt ist, hängt immer von den Versicherungsbedingungen, Limiten, Selbstbehalten, Wartefristen und den Angaben im Antrag ab.
Warum das Thema in der Schweiz relevant ist
Mehrere offizielle Zahlen beschreiben unterschiedliche Teile der Lage und dürfen nicht miteinander gleichgesetzt werden:
- Das BACS registrierte 2025 64’733 freiwillige Meldungen. Das sind Meldungen von Unternehmen und Privatpersonen, nicht automatisch bestätigte Angriffe oder Versicherungsschäden.
- Die polizeiliche Kriminalstatistik erfasste 2025 57’761 Straftaten mit digitalem Tatvorgehen.
- Die Schweizer KMU-Cyberstudie 2024 berichtete, dass 25 Prozent der befragten Unternehmen über ein IT-Sicherheitskonzept verfügten.
- Der Schweizerische Versicherungsverband meldete für 2024 rund 67’000 Firmenpolicen, entsprechend 10,8 Prozent der Unternehmen, und ein Prämienvolumen von CHF 172 Millionen.
Diese Werte zeigen Relevanz und Schutzlücken. Sie sagen nichts über die Schadenwahrscheinlichkeit oder den passenden Versicherungsumfang eines einzelnen Unternehmens aus.
Welche Eigenschäden können versichert sein?
Eigenschäden betreffen Kosten und Verluste des versicherten Unternehmens. Typische Bausteine sind:
- IT-Forensik und Incident Response: Analyse, Eindämmung, Beweissicherung und Koordination.
- Daten- und Systemwiederherstellung: Wiederaufbau beschädigter Systeme und Daten, soweit vertraglich vereinbart.
- Betriebsunterbruch: versicherter Ertragsausfall und Mehrkosten nach Ablauf einer Wartefrist.
- Krisenkommunikation und Rechtsberatung: Unterstützung bei Kommunikation, Datenschutzfragen und Meldungen.
- Cybererpressung oder Zahlungsbetrug: nur wenn ausdrücklich eingeschlossen; oft gelten besondere Sublimiten und Freigabeprozesse.
Nicht jede Police enthält alle Bausteine. Besonders bei Lieferantenausfällen, Cloud-Diensten und Social Engineering unterscheiden sich die Bedingungen deutlich.
Welche Drittschäden können versichert sein?
Drittschäden entstehen, wenn Kunden, Mitarbeitende oder Geschäftspartner Ansprüche erheben. Je nach Vertrag kann die Haftpflichtdeckung umfassen:
- Prüfung und Abwehr versicherter Ansprüche
- Schadenersatz wegen Datenschutz- oder Vertraulichkeitsverletzungen
- Ansprüche wegen einer Beeinträchtigung fremder Netzwerke oder Systeme
- Verteidigungs- und Verfahrenskosten im versicherten Umfang
Bussen, Vertragsstrafen und rein vertragliche Haftung sind nicht automatisch versichert. Massgeblich sind die Police und das anwendbare Recht.
Was Incident Response in der Police bedeutet
Viele Angebote stellen eine Notfallnummer und ein festgelegtes Netzwerk aus Forensik-, Rechts- und Kommunikationsdienstleistern bereit. Vor Vertragsabschluss sollten Sie klären:
- Wer darf den Notfall melden und ist die Hotline rund um die Uhr erreichbar?
- Welche Dienstleister müssen oder dürfen eingesetzt werden?
- Welche Kosten benötigen eine vorgängige Freigabe?
- Gilt die Leistung bereits bei einem Verdacht oder erst bei einem bestätigten Schaden?
- Wie werden Datenschutzmeldungen, Beweissicherung und Kommunikation koordiniert?
Ein eigener Notfallplan bleibt nötig: Die ersten internen Schritte beginnen meist vor der Deckungsprüfung.
Typische Ausschlüsse und Sublimiten
Häufige Prüfstellen sind:
| Thema | Worauf Sie achten sollten |
|---|---|
| Vorbekannte Vorfälle | Bestehende oder vor Vertragsbeginn bekannte Ereignisse sind meist ausgeschlossen. |
| Angaben und Sicherheitsanforderungen | Unvollständige Angaben oder verletzte vertragliche Pflichten können die Leistung beeinflussen. |
| Vorsatz | Absichtlich verursachte Schäden sind grundsätzlich ausgeschlossen. |
| Krieg und staatliche Akteure | Definition und Zurechnung unterscheiden sich je nach Klausel. |
| Infrastruktur und Dienstleister | Strom-, Telekom- oder Cloud-Ausfälle können ausgeschlossen oder nur begrenzt gedeckt sein. |
| Betrug und Erpressung | Häufig gelten separate Sublimiten, Selbstbehalte und Zustimmungspflichten. |
| Betriebsunterbruch | Wartezeit, Bewertungsmethode und maximale Leistungsdauer sind entscheidend. |
| Körper- und Sachschäden | Diese gehören oft nicht zur Cyberdeckung oder nur zu einer Erweiterung. |
Eine Überschrift im Produktblatt genügt nicht. Vergleichen Sie den Wortlaut, die Definitionen und die zugehörigen Ausschlüsse.
Welche Voraussetzungen prüfen Versicherer?
Der Fragebogen kann unter anderem folgende Punkte abdecken:
- Multi-Faktor-Authentifizierung für kritische und externe Zugänge
- getestete, getrennte oder unveränderbare Backups
- zeitnahes Patch- und Schwachstellenmanagement
- Endpoint-Schutz, Protokollierung und administrative Rechte
- Schulungen und klare Freigaben für Zahlungen oder Kontowechsel
- dokumentierter Incident-Response- und Wiederanlaufplan
- Abhängigkeiten von IT-, Cloud- und Lieferdienstleistern
- frühere Vorfälle und bekannte Schwachstellen
Antworten müssen vollständig und aktuell sein. Eine Massnahme garantiert weder Annahme noch Rabatt oder Leistung.
Checkliste für den Vergleich
Vergleichen Sie Angebote mit demselben Risikoprofil und beantworten Sie mindestens diese Fragen:
- Welche Eigen- und Drittschäden sind ausdrücklich eingeschlossen?
- Welche Versicherungssumme, Sublimiten, Selbstbehalte und Wartefristen gelten?
- Sind Cloud-, IT-Dienstleister- und Lieferantenausfälle gedeckt?
- Wie sind Ransomware, Zahlungsbetrug und Social Engineering geregelt?
- Welche Sicherheitsangaben werden zu vertraglichen Pflichten?
- Wer führt Incident Response durch und wann ist eine Freigabe erforderlich?
- Welche Länder, Gesellschaften, Daten und Systeme umfasst die Police?
- Welche Ausschlüsse würden Ihre wichtigsten Schadensszenarien treffen?
Grenzen und Transparenz
Eine Cyberversicherung kann Liquidität und Fachhilfe bereitstellen, aber sie verhindert keinen Angriff, garantiert keine vollständige Entschädigung und ersetzt weder Backups noch Notfallübungen. Eine belastbare Empfehlung setzt aktuelle Risikodaten und vergleichbare Offerten voraus; feste Online-Preise oder pauschale Anbieter-Rankings reichen dafür nicht aus.
Cyberversicherung.ch informiert und vermittelt Beratungen über die BTAG Versicherungsbroker AG. Eine allfällige Courtage wird vom Versicherer bezahlt. Produktumfang und Entschädigung werden vor einem Abschluss offengelegt.