Cyberversicherung: Was vor der Police im Betrieb zu klären ist

Die Police liegt auf dem Tisch. Damit scheint die nächste Aufgabe klar: Fragen beantworten, Unterlagen zusammensuchen, den Dienstleister einbeziehen.

„Die Versicherung fragt Dinge ab, die wir bisher nie sauber dokumentiert haben.“ Dieser Satz beschreibt den Druck gut. Sie wollen den Anlass ordentlich bearbeiten, ohne den Betrieb mit einer Grundsatzdebatte anzuhalten. Das ist nachvollziehbar. Nur bleibt dabei leicht offen, welche Frage bei Ihnen im Haus entschieden werden muss, bevor über eine Police gesprochen wird.

Der Gesamtverband der Deutschen Versicherungswirtschaft veröffentlichte am 18. September 2026 eine Mitteilung zur Cyberversicherung. Darin schreibt der GDV, Prävention und Versicherungsschutz erfüllten unterschiedliche, sich ergänzende Funktionen. Das ist eine Einordnung des Verbands, keine Aussage über einen konkreten Vertrag. Für den Betrieb macht sie dennoch einen Unterschied: Eine Police nimmt der Leitung die Frage nach Abläufen, Zuständigkeiten und Vorsorge nicht ab.

Das kann sich im ersten Moment nach zusätzlicher Arbeit anhören. Tatsächlich verhindert die Trennung, dass eine externe Frage alle anderen Entscheidungen verdeckt. Wer zuerst sichtbar macht, woran der Betrieb hängt, kann die Versicherungsfrage gezielter stellen. Zugleich bleibt klar, welche Punkte der Betrieb unabhängig davon sortieren muss.

Die sichtbare Aufgabe und die offene Entscheidung

Ein Fragebogen oder eine Versicherungsentscheidung bringt viele Einzelthemen gleichzeitig auf den Tisch. Der Admin oder IT-Dienstleister kennt die technische Ausgangslage und soll sagen, was vorhanden ist. Die Geschäftsführung möchte eine Entscheidung treffen, die Arbeit und Kundenbeziehungen nicht unnötig belastet. Beide Seiten verfolgen ein gutes Ziel: Der Betrieb soll verlässlich weiterarbeiten.

Schwierig wird es, wenn aus der technischen Beschreibung schon eine betriebliche Entscheidung werden soll. Der Dienstleister kann Systeme betreuen, Hinweise einordnen und technische Maßnahmen umsetzen. Er kann aber nicht allein festlegen, welcher Ablauf im Betrieb Vorrang hat, wer dafür intern entscheidet oder welche Vorsorgefrage offen bleibt. Das ist keine Kritik am Dienstleister. Es ist die Grenze zwischen technischer Zuständigkeit und Verantwortung im Unternehmen.

Auch für die Geschäftsführung ist diese Grenze hilfreich. Sie muss keine technischen Einzelheiten entscheiden, die der Dienstleister besser beurteilen kann. Ihre Aufgabe ist, die betriebliche Priorität zu benennen und eine Person zu bestimmen, die sie im Haus vertreten kann. Erst dann haben Technik und Führung denselben Auftrag vor sich.

Genau dort bleibt eine Aufgabe liegen, wenn niemand die Entscheidung trägt. Die Police kann diese Aufgabe nicht übernehmen. Sie beantwortet nicht, welcher Ablauf für Ihren Betrieb zuerst geklärt werden muss und wer seine Priorität festlegt.

Erst den Betrieb ansehen, dann die Fragen verteilen

Der ehrliche Einwand lautet: Unter Zeitdruck braucht es doch vor allem Antworten für die Versicherung. Das stimmt für den aktuellen Anlass. Antworten aus dem Betrieb lassen sich jedoch nur vertreten, wenn Zuständigkeiten und vorhandene Informationen zusammenpassen. Wer dafür nur den Fragebogen abarbeitet, kann am Ende zwar Felder gefüllt haben, aber die eigene Entscheidungslage bleibt unscharf.

Das gilt auch dann, wenn schon Schutzmaßnahmen vorhanden sind. Sie können wichtig sein. Für sich allein sagen sie noch nicht, welchem Ablauf sie dienen, wer seine Priorität festgelegt hat und welche Frage noch offen ist. Die Versicherungsentscheidung wird dadurch nicht kleiner. Sie bekommt nur eine belastbarere Grundlage aus dem eigenen Betrieb.

Wie ich das sehe: Technik kann Verantwortung unterstützen. Sie kann sie nicht übernehmen. Vor einer Versicherungsentscheidung würde ich deshalb nicht bei einzelnen technischen Maßnahmen beginnen. Ich würde einen Ablauf auswählen, dessen Unterbrechung den Betrieb zuerst trifft. Dann wird sichtbar, welche Information der Dienstleister liefern kann und was die Geschäftsführung selbst entscheiden muss.

Ein CyberRisikoCheck kann den Sicherheitsstatus sichtbar machen. Für die Reihenfolge reicht ein Befund allein aber nicht. Sie entsteht aus dem Betrieb: Was darf nicht ungeklärt bleiben, wer trägt die Entscheidung, und welche Information fehlt noch? Die grundsätzliche Seite dieser Führungsverantwortung habe ich in IT-Security ist Chefsache beschrieben.

Ein Termin mit vier klaren Spalten

Nehmen Sie für einen Termin den Ablauf, dessen Unterbrechung zuerst spürbar wäre. Die Geschäftsführung benennt dafür eine entscheidungsfähige Person. Admin oder IT-Dienstleister beschreibt die technische Ausgangslage. Halten Sie dann vier Dinge fest:

Betroffener Ablauf	Entscheidung im Betrieb	Technische Zuständigkeit	Offene Vorsorgefrage
Welcher Ablauf darf nicht ungeklärt bleiben?	Wer legt seine Priorität fest?	Welche Information liefert der Dienstleister?	Was muss unabhängig von Versicherungsbedingungen geklärt werden?

Prüfen Sie dabei vier Fragen:

• Welcher Ablauf trifft den Betrieb zuerst, wenn er unterbrochen ist?
• Wer entscheidet im Unternehmen über seine Priorität?
• Welche technische Information kann Admin oder Dienstleister dafür liefern?
• Welche Vorsorgefrage bleibt bestehen, auch wenn die Police noch nicht besprochen ist?

Das ist eine Arbeitsgrundlage, keine Versicherungs- oder Rechtsberatung und keine vollständige Risikomethode. Danach haben Sie eine Seite, auf der die betriebliche Entscheidung, die technische Zuständigkeit und die offene Frage getrennt stehen. Erst dann lässt sich sauber festlegen, welche Frage an Versicherer oder Dienstleister geht.

Sie müssen diesen Termin nicht mit fertigen Antworten beginnen. Es reicht, den einen Ablauf zu wählen und die Lücken offen auf den Tisch zu legen. So wird aus dem Druck, rasch eine Police zu besprechen, ein Gespräch, in dem Verantwortung nicht zwischen Leitung und Technik liegen bleibt.

Wenn diese Grenze bei Ihnen bisher verschwimmt, kann eine anstehende Entscheidung so sortiert werden, dass Sie sie treffen und begründen können. Dafür ist strategisches Sparring da: Ich helfe, die betriebliche Frage mit der technischen Sicht zusammenzubringen.

Quellen

• GDV-INS-F01, GDV-INS-F02: Gesamtverband der Deutschen Versicherungswirtschaft e. V., „Nur eins von 20 Unternehmen in Deutschland ist gegen Cyberangriffe versichert“, veröffentlicht 18.09.2026, abgerufen 18.10.2026.
• gdv.de

---

Michael Höner ist IT-Architekt und strategischer Sparringspartner für den Mittelstand. Er berät Unternehmen in NRW und bundesweit zu IT-Sicherheit, KI-Verantwortung und digitaler Architektur, ohne Produktprovisionen und ohne Implementierungsmandat.