Cyber-Versicherung im KMU: Obliegenheiten, Risikofragebogen und Nachweise nach VVG

Eine Cyber-Versicherung hilft nur, wenn sie im Schadenfall auch leistet. Ob sie das tut, entscheidet sich oft lange vor dem Angriff: bei den Antworten im Risikofragebogen, bei den im Vertrag vereinbarten Obliegenheiten und daran, ob Sie deren Einhaltung belegen können. Diese Anleitung zeigt, wie ein KMU seinen Vertrag und den Fragebogen systematisch aufarbeitet, Nachweise für die abgefragten Sicherheitsmaßnahmen sammelt und im Schadenfall die gesetzlichen Pflichten aus dem Versicherungsvertragsgesetz (VVG) einhält. Sie enthält keine Prämien, keine Anbieterempfehlung und keine Musterklauseln, weil diese von Vertrag zu Vertrag verschieden sind. Stand: 14. Oktober 2026.

Voraussetzungen

Dieser Beitrag ist keine Rechtsberatung. Ob eine bestimmte Klausel eine Obliegenheit ist oder den Versicherungsschutz von vornherein begrenzt, hängt vom Wortlaut ab; im Zweifel beurteilt das Ihr Versicherungsmakler oder ein Fachanwalt für Versicherungsrecht. Sie brauchen:

• Vertragsunterlagen: Versicherungsschein, Allgemeine und Besondere Bedingungen, Klauseln und den ausgefüllten Risikofragebogen des aktuellen Vertrags oder Angebots.
• Technische Übersicht: Liste der Server, Arbeitsplätze, Cloud-Dienste und Administratorkonten.
• Zugriff auf die Verwaltungsoberflächen für Benutzerkonten, Backup, Updates und Endpoint-Schutz, um Berichte zu exportieren.
• Ablage mit Versionierung für den Nachweisordner, getrennt von der Produktiv-IT erreichbar, etwa ein verschlüsselter Export auf einem separaten Datenträger.
• Zeit: etwa einen Arbeitstag für die erste Aufarbeitung, danach eine Stunde je Quartal.

Schritt 1: Vertrag und Obliegenheiten auswerten

Lesen Sie die Bedingungen mit einer einzigen Frage: Was muss das Unternehmen tun oder unterlassen, damit der Schutz erhalten bleibt? Unterscheiden Sie dabei drei Arten von Pflichten, weil das VVG sie unterschiedlich behandelt:

Pflicht	Zeitpunkt	Gesetzliche Grundlage
Vorvertragliche Anzeigepflicht	bis zur Vertragserklärung	§ 19 VVG
Obliegenheiten vor dem Versicherungsfall (zum Beispiel vereinbarte Sicherheitsmaßnahmen)	während der Laufzeit	§ 28 VVG
Gefahrerhöhung	während der Laufzeit	§§ 23 bis 26 VVG
Anzeige, Auskunft, Schadenminderung	nach Eintritt des Versicherungsfalls	§§ 30, 31, 82 VVG

Übertragen Sie jede gefundene Pflicht in eine Tabelle mit Fundstelle im Vertrag, verantwortlicher Person und Nachweisart. Der Gesamtverband der Deutschen Versicherungswirtschaft (GDV) veröffentlicht unverbindliche Musterbedingungen für die Cyberrisiko-Versicherung; maßgeblich sind aber allein die Bedingungen Ihres Vertrags.

Pflicht | Fundstelle (AVB/Klausel/Frage Nr.) | Art (Anzeige/Obliegenheit/Schadenfall)
Verantwortlich | Nachweis | zuletzt geprüft | nächste Prüfung

Verifizieren: Jede Obliegenheit aus den Bedingungen steht mit Fundstelle in der Tabelle. Ein Kollege, der den Vertrag nicht kennt, findet anhand der Fundstelle die Originalformulierung in weniger als einer Minute.

Schritt 2: Risikofragebogen wahrheitsgemäß und belegbar beantworten

Nach § 19 Abs. 1 VVG müssen Sie die Ihnen bekannten gefahrerheblichen Umstände anzeigen, nach denen der Versicherer in Textform gefragt hat. Das gilt auch für Fragen, die nach Ihrer Vertragserklärung, aber vor der Annahme gestellt werden. Die Folgen einer Verletzung sind gestaffelt:

• Vorsatz oder grobe Fahrlässigkeit: Rücktritt möglich (§ 19 Abs. 2, 3), außer bei grober Fahrlässigkeit, wenn der Versicherer den Vertrag auch in Kenntnis zu anderen Bedingungen geschlossen hätte (Abs. 4).
• Weder Vorsatz noch grobe Fahrlässigkeit: nur Kündigung mit Monatsfrist (Abs. 3), die ebenfalls entfällt, wenn der Versicherer zu anderen Bedingungen abgeschlossen hätte (Abs. 4).
• Andere Bedingungen werden auf Verlangen des Versicherers Vertragsbestandteil. Steigt die Prämie dadurch um mehr als 10 Prozent, dürfen Sie nach Abs. 6 kündigen.
• Nach einem Rücktritt im Versicherungsfall bleibt der Versicherer zur Leistung verpflichtet, wenn der verschwiegene Umstand für den Schaden nicht ursächlich war, außer bei Arglist (§ 21 Abs. 2).

Diese Rechte hat der Versicherer nur, wenn er Sie durch gesonderte Mitteilung in Textform auf die Folgen hingewiesen hat (§ 19 Abs. 5). Praktisch heißt das: Antworten Sie nicht nach Wunschzustand. Ist eine Maßnahme nur teilweise umgesetzt, etwa MFA für Cloud-Konten, aber nicht für den VPN-Zugang, schreiben Sie genau das. Heben Sie zu jeder Antwort einen datierten Beleg auf, der den Zustand am Tag der Antwort zeigt.

Verifizieren: Zu jeder mit „ja“ beantworteten Frage liegt ein Beleg mit Datum vor dem Tag der Unterschrift. Einschränkungen sind im Fragebogen oder in einem Begleitschreiben ausdrücklich genannt.

Schritt 3: Nachweisordner für Sicherheitsmaßnahmen anlegen

Welche Maßnahmen Ihr Versicherer abfragt, steht in Ihrem Fragebogen. Ein neutraler Maßstab, um Lücken zu erkennen, sind die zehn Mindestmaßnahmen aus § 30 Abs. 2 BSIG oder der CyberRisikoCheck des BSI nach DIN SPEC 27076, der 27 Anforderungen aus sechs Themenbereichen abfragt. Legen Sie je abgefragter Maßnahme einen Unterordner an:

Nachweise/
  01_Zugaenge_MFA/        Export der MFA-Registrierung je Konto, Richtlinie
  02_Admin_Konten/        Liste privilegierter Konten, Trennung von Alltagskonten
  03_Backup_Restore/      Backup-Plan, Protokolle von Wiederherstellungstests
  04_Updates/             Patch-Berichte, Ausnahmen mit Begründung
  05_Endpoint_Schutz/     Abdeckungsbericht aller Geräte inkl. Server
  06_EMail/               Filter- und Authentifizierungseinstellungen
  07_Schulung/            Termine, Teilnehmerlisten
  08_Notfallplan/         Plan, Übungsprotokoll, Kontaktliste inkl. Versicherer
  README.txt              Stand, Verantwortliche, Prüfrhythmus

Ein Backup-Nachweis ohne Wiederherstellung belegt wenig. Dokumentieren Sie einen echten Restore in eine Testumgebung. Mit restic sieht das zum Beispiel so aus:

restic check
restic restore latest --target /srv/restore-test --include /srv/daten/buchhaltung
ls -la /srv/restore-test/srv/daten/buchhaltung

Speichern Sie Ausgabe, Datum und Ergebnis im Ordner 03. Anleitungen zu einzelnen Maßnahmen finden Sie unter MFA einführen und Immutable Backups mit restic.

Verifizieren: Jeder Unterordner enthält mindestens einen Nachweis, der nicht älter als drei Monate ist. Der Restore-Test zeigt die wiederhergestellten Dateien mit Datum, und der Nachweisordner ist auch bei ausgefallener Firmen-IT erreichbar.

Schritt 4: Änderungen während der Laufzeit prüfen und melden

Nach § 23 Abs. 1 VVG dürfen Sie nach Vertragsschluss ohne Einwilligung des Versicherers keine Gefahrerhöhung vornehmen. Tritt eine Gefahrerhöhung unabhängig von Ihrem Willen ein oder erkennen Sie sie nachträglich, müssen Sie sie unverzüglich anzeigen (Abs. 2, 3). Versäumen Sie das, drohen Kündigung (§ 24) und je nach Verschulden Leistungsfreiheit oder Kürzung (§ 26), wobei der Versicherer nach § 26 Abs. 3 leisten muss, soweit die Gefahrerhöhung für den Schaden nicht ursächlich war.

Ob eine konkrete Änderung eine Gefahrerhöhung ist, hängt vom Vertrag ab. Prüfen Sie deshalb bei diesen Anlässen, ob Fragebogenangaben noch stimmen:

• eine im Fragebogen bestätigte Maßnahme wird abgeschaltet oder läuft aus, etwa eine Lizenz für den Endpoint-Schutz
• neue Standorte, Unternehmenskäufe oder deutlich mehr Mitarbeitende
• neue, aus dem Internet erreichbare Dienste oder ein Wechsel des IT-Dienstleisters
• Betriebssysteme ohne Sicherheitsupdates des Herstellers bleiben im Einsatz

Nehmen Sie den Abgleich mit dem Fragebogen in Ihren Änderungsprozess auf und stimmen Sie Meldungen mit Ihrem Makler ab.

Verifizieren: Das Änderungsprotokoll der IT enthält für die letzten zwölf Monate bei jeder größeren Änderung einen Vermerk „Fragebogen geprüft“ mit Ergebnis. Gemeldete Änderungen sind mit Datum und Bestätigung des Versicherers abgelegt.

Schritt 5: Schadenfall vorbereiten

Nach Eintritt des Versicherungsfalls müssen Sie ihn dem Versicherer unverzüglich anzeigen (§ 30 VVG), auf Verlangen jede erforderliche Auskunft erteilen und zumutbare Belege beschaffen (§ 31) sowie nach Möglichkeit den Schaden abwenden oder mindern und zumutbare Weisungen des Versicherers befolgen oder einholen (§ 82 VVG). Viele Cyber-Policen bieten dafür eine Notfallnummer mit Dienstleistern; welche Dienstleister Sie beauftragen dürfen, regelt Ihr Vertrag.

Parallel laufen Meldepflichten gegenüber Behörden, die mit der Versicherung nichts zu tun haben:

• Datenschutzverletzung: Meldung an die Aufsichtsbehörde unverzüglich und möglichst binnen 72 Stunden nach Bekanntwerden (Art. 33 DSGVO), außer bei voraussichtlich keinem Risiko für Betroffene.
• NIS-2-betroffene Einrichtungen: bei einem erheblichen Sicherheitsvorfall frühe Erstmeldung an die Meldestelle von BSI und BBK spätestens 24 Stunden nach Kenntniserlangung (§ 32 Abs. 1 Nr. 1 BSIG), siehe NIS-2 im Mittelstand umsetzen.

Tragen Sie die Versicherungsnummer, die Notfallnummer des Versicherers und die Reihenfolge der Meldungen in Ihren Notfallplan ein, zum Beispiel so:

1. Schaden begrenzen (Systeme isolieren, nicht neu installieren, Spuren sichern)
2. Versicherer-Notfallnummer anrufen: ____  Vertragsnr.: ____  Uhrzeit notieren
3. Weisungen des Versicherers dokumentieren (wer, wann, was)
4. Datenschutz: DSB informieren, Meldung Aufsichtsbehörde prüfen (72 h)
5. NIS-2 (falls betroffen): Erstmeldung BSI (24 h)
6. Alle Kosten und Maßnahmen mit Belegen sammeln (§ 31 VVG)

Wie Sie Spuren sichern, statt sie bei der Wiederherstellung zu vernichten, beschreibt Cybervorfall: Spuren forensisch sichern.

Verifizieren: Der Notfallplan liegt ausgedruckt und außerhalb der Firmen-IT vor und enthält Vertrags- und Notfallnummer. Eine Tischübung hat die Reihenfolge der Meldungen einmal durchgespielt, das Protokoll liegt im Ordner 08.

Typische Fehler

• Fragebogen nach Zielbild beantwortet: „MFA: ja“, obwohl einzelne Konten ausgenommen sind. Nennen Sie Ausnahmen ausdrücklich.
• Nachweise nur in der Firmen-IT: Nach einer Verschlüsselung sind sie nicht mehr lesbar.
• Selbst sanieren vor der Schadenmeldung: Das kann Weisungen des Versicherers und die Beweissicherung unterlaufen.
• Verlängerung ohne Abgleich: Der neue Fragebogen enthält andere Fragen als der alte, die Antworten wurden kopiert.
• Versicherung als Ersatz für Sicherheit: Die Police ersetzt weder Backup noch Notfallplan und deckt nicht jeden Schaden.

Häufige Fragen

Zahlt der Versicherer nicht, wenn eine vereinbarte Maßnahme fehlt?

Das hängt vom Verschulden und von der Ursächlichkeit ab. Nach § 28 Abs. 2 VVG ist er bei vorsätzlicher Verletzung einer Obliegenheit leistungsfrei, bei grober Fahrlässigkeit darf er entsprechend der Schwere des Verschuldens kürzen. Nach Abs. 3 muss er leisten, soweit die Verletzung für den Versicherungsfall und den Leistungsumfang nicht ursächlich war, außer bei Arglist. Voraussetzung ist, dass der Vertrag die Leistungsfreiheit für diesen Fall überhaupt vorsieht.

Reicht unsere Datenschutzdokumentation als Nachweis?

Sie ist eine gute Grundlage, beschreibt aber oft Soll-Zustände. Der Versicherer fragt nach dem tatsächlichen Stand. Ergänzen Sie deshalb datierte Berichte und Protokolle, siehe auch TOMs dokumentieren.

Müssen wir den IT-Dienstleister einbinden?

Ja, wenn er Systeme betreibt, die im Fragebogen abgefragt werden. Vereinbaren Sie, dass er die Nachweise regelmäßig liefert.

Fazit

Der Wert einer Cyber-Versicherung hängt an ehrlichen Antworten und belegbaren Maßnahmen. Wer Obliegenheiten kennt, Nachweise laufend pflegt, Änderungen meldet und den Schadenfall geübt hat, steht im Ernstfall auf sicherem Boden. Die Einzelheiten Ihres Vertrags klären Sie mit Makler oder Anwalt.

Weiterführende Anleitungen und Quellen

• Cybervorfall: Spuren forensisch sichern
• IT-Notfallhandbuch nach BSI 200-4 erstellen
• Immutable Backups gegen Ransomware mit restic
• Versicherungsvertragsgesetz (VVG) im Volltext
• § 26 VVG: Leistungsfreiheit wegen Gefahrerhöhung
• BSI: CyberRisikoCheck nach DIN SPEC 27076
• DSGVO auf EUR-Lex (Art. 33 Meldung von Datenschutzverletzungen)
• restic-Dokumentation: Wiederherstellung