Cyberversicherung 2026: Anforderungen für KMU

1Einleitung

Die unbequeme Wahrheit zuerst: Nicht die Cyberversicherung ist 2026 die Hürde, sondern dein Belegordner.

Viele Unternehmen in Aachen, Würselen, Eschweiler, Düren und der ganzen Städteregion bekommen den Antrag grundsätzlich hin. Was sie ausbremst, ist der Zustand dahinter: MFA nur teilweise aktiv, Backups nie sauber getestet, Adminrechte historisch gewachsen, Patch-Listen irgendwo in Excel. Klingt hart, ist aber Alltag.

Dazu kommt der Druck von außen. Ein Industriekunde schickt einen Lieferantenfragebogen, die Bank fragt bei der Kreditlinie nach IT-Risiken, und plötzlich ist Cyberversicherung nicht mehr nur Police, sondern Nachweis gegenüber Dritten .

Laut dem GDV treffen 80 Prozent der Cyberangriffe KMU. Genau deshalb schauen Versicherer 2026 nicht mehr nur auf Umsatz und Branche, sondern sehr konkret auf deine Sicherheitsmaßnahmen.

2Warum 2026 nicht die Police das Problem ist, sondern der Nachweis

Früher konntest du bei manchen Policen noch mit eher allgemeinen Aussagen durchkommen. 2026 ist das deutlich schwieriger. Versicherer fragen im Risikofragebogen gezielt nach MFA, Endpoint-Schutz, Backups, Patch-Management, Berechtigungen und organisatorischen Abläufen.

Das Entscheidende: Diese Antworten sind nicht bloß nette Selbstauskünfte. Laut IFCSD sind viele dieser Maßnahmen faktische Voraussetzung und zugleich vertragliche Obliegenheit. Heißt auf Deutsch: Wenn du dort zu optimistisch antwortest, kann das im Schadenfall sehr hässlich werden.

Auch Munich Re macht klar, dass Cyber-Risikomanagement ganzheitlich, integrativ und laufend überprüft werden muss. Genau das ist der Punkt, den viele unterschätzen. Eine Versicherung will keinen Einmal-Sprint vor Vertragsabschluss sehen, sondern einen dauerhaft funktionierenden Zustand.

In meiner Arbeit mit Unternehmen in der Region sehe ich oft dasselbe Muster: Die Geschäftsführung glaubt, „wir haben doch IT“, aber auf Nachfrage fehlt der Nachweis, ob MFA wirklich für alle Admin-Konten aktiv ist oder wann der letzte Restore-Test gelaufen ist. Ehrlich gesagt halte ich genau diese Lücke zwischen Gefühl und Realität für das größte Problem.

3Die 5 Mindestanforderungen, die fast jeder Versicherer sehen will

Es gibt Unterschiede je nach Versicherer. Aber die Baseline ist inzwischen ziemlich klar.

Erstens: Multi-Faktor-Authentifizierung. Gemeint ist nicht nur E-Mail, sondern auch VPN, Remote-Zugänge, Cloud-Dienste und Admin-Konten. „Fast überall aktiv“ reicht nicht, wenn ausgerechnet das Chefpostfach oder ein altes Admin-Konto ausgenommen ist.

Zweitens: Endpoint Detection and Response, also EDR. Klassischer Virenschutz allein wird 2026 oft nicht mehr als ausreichend angesehen. Mehrere Quellen nennen EDR auf allen Endgeräten als Standard oder sogar als Voraussetzung.

Drittens: Backups. Getrennt, verschlüsselt, offline oder immutable und regelmäßig getestet. Die Richtung geht klar zu 3-2-1-1-0 statt nur 3-2-1. Also 3 Kopien, 2 Medien, 1 externe Kopie, 1 immutable oder offline, 0 Fehler beim Restore-Test.

Viertens: Patch-Management. Nicht als Absichtserklärung, sondern als dokumentierter Prozess mit Fristen, Verantwortlichkeiten und Kontrolle. Versicherer wollen sehen, dass Updates nicht nur freigegeben, sondern auch wirklich eingespielt wurden.

Fünftens: Berechtigungen. Least Privilege ist kein Konzernluxus mehr, sondern Standard. Wer Adminrechte hat, warum und wie oft das überprüft wird, sollte nachvollziehbar sein.

4Was in den Risikofragebogen gehört – und welche Belege bereitliegen sollten

Der Fragebogen ist im Kern eine Übersetzung deiner IT in Versicherer-Sprache. Und genau da wird es oft schief. Technisch ist etwas „eigentlich vorhanden“, aber dokumentiert ist nichts.

Für MFA solltest du Richtlinien, Screenshots oder besser noch Reports aus Microsoft 365, deinem VPN, dem Cloud-Admin-Portal oder dem Identitätsdienst bereithalten. Entscheidend ist nicht die Behauptung, sondern die Abdeckung aller kritischen Konten.

Beim Endpoint-Schutz zählen Nachweise, dass Agents wirklich ausgerollt sind, wie hoch die Abdeckung ist und ob Alerts aktiv bearbeitet werden. Ein Dashboard-Screenshot allein ist nett, aber ein Report zu verwalteten Geräten ist stärker.

Bei Backups brauchst du mehr als „läuft jede Nacht“. Gute Belege sind Backup-Protokolle, Restore-Test-Berichte und der Nachweis einer offline oder immutable Kopie. Laut Hagel-IT ist 3-2-1-1-0 2026 die deutlich belastbarere Zielstruktur.

Beim Patch-Management gehören Regeln, Wartungsfenster, Auswertungen offener Schwachstellen und Nachweise über abgeschlossene Updates in dein Paket. Gerade hier sehe ich oft das Problem, dass Windows-Clients halbwegs sauber sind, Server, Netzwerkgeräte oder Fachanwendungen aber außen vor bleiben.

Wenn du schon an anderer Stelle Dokumentation aufbaust, zum Beispiel für Cloud-Prozesse oder Standardisierung, lohnt sich ein Blick auf meine Seite zur Digitalisierung. Viele dieser Nachweise sind nämlich nicht nur Versicherungsthema, sondern verbessern ganz banal deinen IT-Betrieb.

1. 1
   Systeme prüfen

   Vergleiche Fragebogen und echte IT-Lage: E-Mail, VPN, Admin-Konten, Server, Clients, Backup, Cloud.
2. 2
   Belege sammeln

   Zieh Reports, Screenshots, Restore-Protokolle, Patch-Auswertungen und Richtlinien zusammen.
3. 3
   Lücken schließen

   Entferne MFA-Ausnahmen, teste Backups, verteile EDR vollständig und bereinige Adminrechte.
4. 4
   Dann erst einreichen

   Unterschreibe den Antrag erst, wenn jede Ja-Antwort belastbar belegt ist.

5Nicht vergessen: Organisation schlägt Tool-Sammlung

Viele reden bei Cyberversicherung nur über Tools. Das ist zu kurz gedacht.

Versicherer schauen zunehmend auch auf organisatorische Reife: Gibt es einen Incident-Response-Plan? Sind Zuständigkeiten klar? Wissen Mitarbeitende, an wen sie sich bei einer verdächtigen Mail wenden? Wurde der Ablauf wenigstens einmal durchgespielt?

Dazu kommen Berechtigungskonzepte, Meldewege, Schulungen und oft auch Themen wie E-Mail-Filtering, Managed Firewall, Netzwerksegmentierung, regelmäßige Vulnerability Scans und ein Dateninventar. MoneyGeek nennt neben MFA, EDR und Backups ausdrücklich auch Access Controls und einen Incident-Response-Plan als Kernanforderungen.

Meine klare Meinung: Wer versucht, fehlende Organisation mit mehr Tools zu überdecken, wirft Geld auf das falsche Problem. Ein zusätzlicher Security-Stack bringt wenig, wenn niemand sauber dokumentiert, wer Admin ist, wer Alarme bearbeitet und wie im Ernstfall entschieden wird.

6Kosten, Versicherungssumme und warum Vorbereitung Prämien beeinflusst

Natürlich geht es am Ende auch ums Geld. Schlechte Vorbereitung kostet oft doppelt: erst bei der Umsetzung unter Zeitdruck und dann bei der Prämie.

Mehrere Quellen weisen darauf hin, dass unzureichende Controls die Prämie erhöhen oder den Abschluss sogar blockieren können. Und bei Verlängerungen wird gern erneut geprüft. Wer denkt, nach dem ersten Abschluss sei das Thema erledigt, liegt daneben.

Bei der Versicherungssumme nennt Fraghugo eine grobe Faustregel: Jahresumsatz geteilt durch zehn, mindestens aber 250.000 Euro. Das ist keine universelle Wahrheit, aber als erste Orientierung brauchbar.

Wichtiger finde ich die Denkweise dahinter: Du musst nicht nur den Datendiebstahl absichern, sondern auch Betriebsunterbrechung, Wiederherstellungskosten, IT-Forensik, Datenschutz-Rechtsberatung, Krisenkommunikation und mögliche Drittschäden. Gerade Tech-Firmen oder Dienstleister mit Kundenzugriff brauchen laut Insureon oft zusätzlich Third-Party-Coverage.

7Readiness-Check vor dem Antrag: der schlanke Ablauf für KMU

Wenn du es pragmatisch angehen willst, mach es in vier Schritten.

Schritt eins: Füll den Fragebogen nicht sofort aus. Prüfe erst die reale Lage bei E-Mail, Remote-Zugängen, Admin-Konten, Servern, Endpoints, Backup und Cloud-Diensten. Gerade in gewachsenen Umgebungen gibt es fast immer blinde Flecken.

Schritt zwei: Priorisiere die Lücken. Zuerst MFA für kritische Zugänge, getestete Backups und ein belastbarer Patch-Prozess. Danach EDR-Abdeckung, Berechtigungskonzept, Segmentierung und Schulungen.

Schritt drei: Bau ein Evidence Pack. Also einen geordneten Satz an Nachweisen: MFA-Reports, EDR-Abdeckung, Backup- und Restore-Protokolle, Patch-Auswertungen, Incident-Response-Plan und Schulungsnachweise.

Schritt vier: Wiederhole das vor Neuabschluss und vor jeder Verlängerung. Laut mehreren Quellen werden Controls nicht nur beim Antrag, sondern auch beim Underwriting, Renewal und im Schadenfall relevant.

In meiner Praxis scheitern Unternehmen selten an der Idee einer Cyberversicherung. Sie scheitern am ungeordneten Vorzustand der IT. Nicht getestete Backups, unklare Adminrechte, fehlende Reports und MFA-Ausnahmen – das sind die Klassiker. Deshalb mein pragmatischer Rat: erst Basismaßnahmen und Belege sauberziehen, dann Antrag stellen. Alles andere produziert Hektik und unnötige Risiken.

Für Betriebe in Aachen und der Städteregion ist das übrigens oft mehr als ein Versicherungsthema. Wer als Zulieferer in industriellen Lieferketten hängt, bekommt ähnliche Fragen inzwischen auch von Kunden. Das Thema zahlt also doppelt ein: auf Versicherbarkeit und auf Vertrauenswürdigkeit gegenüber Auftraggebern .

8Meine Einschätzung

Cyberversicherung wird 2026 gern als Finanzprodukt verkauft. In Wirklichkeit ist sie ein Reifegrad-Test für deine IT.

Das ist nicht nur nervig, sondern auch sinnvoll. Denn die abgefragten Maßnahmen sind keine Schikane, sondern die Basics, die du sowieso brauchst. MFA, getestete Backups, EDR, Patch-Management, klare Rechte und geübte Abläufe – das ist keine Luxus-Security, sondern solides Handwerk.

Gerade im Mittelstand rund um Aachen sehe ich darin sogar einen Vorteil. Wer seine Nachweise einmal sauber aufsetzt, ist nicht nur besser auf den Antrag vorbereitet, sondern steht auch bei Kunden, Banken und Audits deutlich stabiler da. Der eigentliche Gewinn ist also nicht die Police. Der eigentliche Gewinn ist Ordnung in der eigenen IT.