Cyberversicherungen werden enger

Cyberversicherungen bleiben für Unternehmen attraktiv – doch IT-Entscheider sollten genauer hinsehen. Zwar zeigen aktuelle Marktberichte, dass sich die Beiträge in wichtigen Märkten stabilisiert haben oder sogar sinken. Gleichzeitig rücken Versicherer Ausschlüsse, Sublimits und Sicherheitsnachweise stärker in den Mittelpunkt. Für Unternehmen bedeutet das: Eine günstigere Police ist nicht automatisch eine bessere Absicherung.

Sinkende Beiträge sind nur die halbe Wahrheit

Nach Jahren stark steigender Preise hat sich der Cyberversicherungsmarkt spürbar entspannt. Marsh berichtet für den US-Markt von einem durchschnittlichen Rückgang der Cyberversicherungsraten um 5 Prozent im vierten Quartal 2024. Auch WTW beschreibt den Markt für 2025 weiterhin als käuferfreundlich, verweist aber darauf, dass sich die Preisnachlässe 2026 verlangsamen könnten.

Ganz eindeutig ist das Bild jedoch nicht. Laut NAIC stieg das globale Prämienvolumen für Cyberversicherungen 2024 auf knapp 15 Milliarden US-Dollar. Im US-Markt gingen die direkten Cyber-Prämieneinnahmen dagegen erstmals zurück. Gleichzeitig meldet die NAIC für 2024 deutlich mehr Schadenfälle. Der Markt wird also nicht risikoloser – er wird selektiver.

Versicherer schauen genauer hin

Der Wettbewerb unter Versicherern kann Unternehmen bessere Konditionen ermöglichen. Voraussetzung ist jedoch, dass die eigene Sicherheitslage nachvollziehbar ist. Wer robuste Kontrollen, sauberes Patchmanagement, Multi-Faktor-Authentifizierung, belastbare Backups, Incident-Response-Prozesse und eine gute Dokumentation vorweisen kann, hat in der Regel bessere Karten.

Für IT-Entscheider verschiebt sich damit der Fokus. Es geht nicht mehr nur darum, eine Cyberversicherung abzuschließen. Entscheidend ist, ob das Unternehmen im Ernstfall nachweisen kann, dass vereinbarte Sicherheitsanforderungen dauerhaft eingehalten wurden.

Ausschlüsse werden zum entscheidenden Risiko

Aktuelle Berichte zeigen, dass Versicherer bei Ausschlüssen genauer werden. Besonders kritisch sind Klauseln rund um Social Engineering, veraltete Software, nicht aufrechterhaltene Sicherheitskontrollen, M&A-Situationen, Cyberwar-Definitionen und sogenannte Mass-Cyber-Events. Auch Datenschutz- und Tracking-Risiken können je nach Police enger gefasst oder ausgeschlossen werden.

Gerade Social Engineering ist für Unternehmen heikel. Wenn ein Angreifer Mitarbeitende manipuliert, ohne technisch in Systeme einzudringen, kann die Abgrenzung zwischen Cybervorfall, Betrug und internem Kontrollversagen entscheidend sein. Genau hier kann sich im Schadenfall zeigen, ob eine Police wirklich trägt oder ob wichtige Szenarien ausgeschlossen sind.

Günstiger ist nicht gleich besser versichert

Für IT- und Sicherheitsverantwortliche ist die Prämie deshalb nur ein Teil der Bewertung. Wichtiger sind konkrete Fragen: Welche Angriffsszenarien sind tatsächlich abgedeckt? Gibt es Sublimits für bestimmte Schäden? Wie sind Cloud-Ausfälle, Dienstleistervorfälle oder staatlich unterstützte Angriffe geregelt? Welche Sicherheitsmaßnahmen müssen nachgewiesen werden? Und was passiert, wenn eine Kontrolle zum Zeitpunkt des Vorfalls nicht vollständig erfüllt war?

Eine günstige Cyberversicherung kann im Ernstfall teuer werden, wenn zentrale Risiken nur eingeschränkt oder gar nicht versichert sind. Umgekehrt kann eine etwas teurere Police sinnvoll sein, wenn sie besser zur tatsächlichen Risikolage des Unternehmens passt.

Cyberversicherung wird zum Reifegrad-Test

Cyberversicherung entwickelt sich zunehmend vom reinen Finanzprodukt zum Spiegel der eigenen Sicherheitsreife. Unternehmen, die ihre IT-Sicherheit strukturiert aufbauen und dokumentieren, profitieren doppelt: Sie reduzieren das Risiko erfolgreicher Angriffe und verbessern ihre Verhandlungsposition gegenüber Versicherern.

Die zentrale Frage lautet daher nicht mehr nur: Was kostet die Cyberversicherung? Sondern: Würde sie im Ernstfall wirklich zahlen?