Unsere Sicherung liegt auf einem NAS im Netz – reicht das für die Versicherung?

Nach den Musterbedingungen in der Regel nicht, wenn die gesicherten Systeme oder ein Administratorkonto der Domäne Sicherungen löschen können. Verlangt ist, dass kein System und keine Befugnisebene Original und Kopie gleichermaßen verändern oder vernichten kann. Eine Kopie außer Haus mit eigenen Zugangsdaten und Sperrfrist erfüllt das.

Was heißt „zeitnah“ bei Sicherheitsupdates?

Die Musterbedingungen nennen keine Frist, sondern verlangen ein Verfahren, das eine zeitnahe Installation relevanter Sicherheitsupdates sicherstellt. Maßgeblich ist, was die eigene Police sagt und was sich als geregelter Prozess belegen lässt – etwa ein monatlicher Updatelauf mit Bericht und schnelleren Updates bei kritischen Lücken.

Müssen wir Mehrfaktor-Anmeldung überall einführen?

Die Musterbedingungen nennen Zwei-Faktor-Authentifizierung als Beispiel für Server, die aus dem Internet erreichbar sind. Die Fragebögen vieler Versicherer fragen darüber hinaus nach Mehrfaktor für Fernzugänge, E-Mail und Cloud-Dienste. Wer sie dort einführt, erfüllt die meisten Varianten.

Was ist, wenn sich nach Abschluss etwas verschlechtert?

Etwa weil ein Altsystem ohne Updates weiterläuft oder die Sicherung umgestellt wurde. Das kann eine Gefahrerhöhung sein, die dem Versicherer anzuzeigen ist. Besser ist, die Angaben aus dem Fragebogen jährlich mit der IT abzugleichen.

Was die Cyberversicherung von Ihrer IT verlangt – die Obliegenheiten der Musterbedingungen, Punkt für Punkt

Eine Cyberversicherung zahlt nicht für jedes Haus. Die Musterbedingungen des Gesamtverbands der Versicherungswirtschaft nennen Obliegenheiten, die vor dem Schaden erfüllt sein müssen – individuelle Zugänge, Schutz gegen Schadsoftware, zeitnahe Updates, eine mindestens wöchentliche Sicherung, die niemand vom Netz aus löschen kann. Wer sie nicht erfüllt, riskiert im Schadenfall Kürzung oder Ablehnung. Diese Seite übersetzt sie in Technik und Nachweise.

0621 877 55 990 · rund um die Uhr, 365 Tage im Jahr

14Jahre
unternehmerisch im IT-Betrieb, GmbH seit 2020
InternationaleExpertise
Betreuung in Deutschland, Europa und dem Nahen Osten
99,9 %Verfügbarkeit
der Cloud-Services, je Kalendermonat
15 Min.Reaktionszeit
im Notfall, rund um die Uhr
ISO 27001zertifiziert
Partner-Rechenzentren in Deutschland

Der Gesamtverband der Deutschen Versicherungswirtschaft veröffentlicht Musterbedingungen für die Cyberrisiko-Versicherung, die AVB Cyber, zuletzt im Stand Februar 2024. Sie sind unverbindlich – jeder Versicherer formuliert seine eigenen Bedingungen –, aber sie zeigen, worauf die Branche achtet, und viele Policen orientieren sich daran. Maßgeblich ist immer die eigene Police; die Musterbedingungen sind der gemeinsame Nenner.

Der für die IT entscheidende Abschnitt ist A1-16, die Obliegenheiten vor Eintritt des Versicherungsfalls zur Gewährleistung der IT-Sicherheit. Er beschreibt keine Spitzentechnik, sondern Grundlagen, die jedes Haus erfüllen kann. Gerade deshalb ist ihre Verletzung im Schadenfall schwer zu erklären.

Die Obliegenheiten nach A1-16.1 – und was dafür zu tun ist

Linke Spalte nach dem Wortlaut der Musterbedingungen zusammengefasst, rechts die technische Umsetzung und der Beleg, den ein Versicherer nachvollziehen kann.

Obliegenheit (AVB Cyber A1-16.1)	Technische Umsetzung	Beleg
a) Einzelne Nutzer und Befugnisebenen unterscheiden: individuelle Zugänge, technisch durchgesetzte Passwort-Mindestanforderungen, Administratorzugänge nur für Administratoren und nur für administrative Tätigkeiten	Keine geteilten Konten, Kennwortrichtlinie im Verzeichnisdienst, getrennte Administratorkonten	Kontenliste, Kennwortrichtlinie, Liste der privilegierten Konten
b) Zusätzlicher Schutz bei erhöhtem Risiko: aus dem Internet erreichbare Server (z. B. Firewall, Zwei-Faktor-Authentifizierung) und Mobilgeräte (z. B. Datenträgerverschlüsselung)	Firewall vor erreichbaren Diensten, Mehrfaktor-Anmeldung für Fernzugänge und Cloud-Dienste, Verschlüsselung auf Notebooks und Telefonen	Firewall-Konfiguration, Mehrfaktor-Bericht, Verschlüsselungsstatus
c) Schutz gegen Schadsoftware, automatisch aktuell gehalten	Virenschutz oder Angriffserkennung auf allen Endgeräten und Servern, zentral verwaltet	Bericht der Verwaltungskonsole mit Stand je Gerät
d) Patch-Management mit zeitnaher Installation sicherheitsrelevanter Updates; Systeme mit bekannten Lücken nur mit zusätzlicher Absicherung	Geregelter Updateprozess, Übersicht der Systeme ohne Herstellerunterstützung, Abschottung von Altsystemen	Patchbericht, Liste der Altsysteme mit Maßnahme
e) Mindestens wöchentliche Sicherung; kein System und keine Befugnisebene darf Original und Kopie gleichermaßen verändern oder vernichten können; Sicherungsserver nicht im zentralen Verzeichnisdienst; regelmäßige Prüfung der Wiederherstellung	Tägliche Sicherung außer Haus mit eigenen Zugangsdaten und Sperrfrist, Sicherungsserver außerhalb der Domäne, geprobte Rücksicherung	Sicherungsprotokoll, Rücksicherungsprotokoll mit Datum

Die Sicherung ist die Obliegenheit, an der es am häufigsten scheitert

Punkt e) ist der anspruchsvollste und zugleich der wichtigste. Die Musterbedingungen verlangen nicht nur eine Sicherung, sondern eine, die ein Angreifer mit den Rechten eines Systems im Netz nicht löschen kann: Die gesicherten Geräte dürfen keine Befugnis haben, Sicherungskopien zu löschen, und wenn ein zentraler Verzeichnisdienst wie Active Directory verwendet wird, darf der Sicherungsserver nicht darin eingebunden sein. Ein NAS im selben Netz, das mit dem Administratorkonto der Domäne beschrieben und gelöscht werden kann, erfüllt das nicht.

Dazu kommt die Prüfung: Der Versicherungsnehmer hat die ordnungsgemäße Funktion von Sicherung und Wiederherstellung durch regelmäßige Prüfung in einem festgelegten Turnus sicherzustellen. Ein Rücksicherungsprotokoll mit Datum ist der einfachste Beleg dafür – derselbe, den Wirtschaftsprüfer und NIS2 verlangen.

Was darüber hinaus zählt

A1-16.2 ergänzt allgemeine Pflichten, und die Fragebögen der Versicherer fragen meist nach mehr als den Mindestpunkten.

Gesetzliche und vertragliche SicherheitsvorschriftenDie Musterbedingungen verlangen, alle gesetzlichen, behördlichen und vertraglich vereinbarten Sicherheitsvorschriften einzuhalten. Für NIS2-Einrichtungen gehören die Mindestmaßnahmen nach § 30 BSIG dazu.
Die Antworten im RisikofragebogenWas beim Abschluss angegeben wurde – etwa Mehrfaktor-Anmeldung oder Offline-Sicherung –, muss stimmen und stimmen bleiben. Ändert sich etwas zum Schlechteren, kann das eine anzeigepflichtige Gefahrerhöhung sein.
Schulung und NotfallplanViele Fragebögen fragen nach Sensibilisierung der Mitarbeitenden und einem Notfallplan. Beides lässt sich mit Teilnahmelisten und einem datierten Plan belegen.
Die NotfallnummerIm Schadenfall verlangen die Bedingungen meist die unverzügliche Anzeige; viele Versicherer stellen eine Notfallhotline und eigene Dienstleister. Die Nummer gehört auf die Notfallkarte.

Dazu gehört

Häufige Fragen

Unsere Sicherung liegt auf einem NAS im Netz – reicht das für die Versicherung?: Nach den Musterbedingungen in der Regel nicht, wenn die gesicherten Systeme oder ein Administratorkonto der Domäne Sicherungen löschen können. Verlangt ist, dass kein System und keine Befugnisebene Original und Kopie gleichermaßen verändern oder vernichten kann. Eine Kopie außer Haus mit eigenen Zugangsdaten und Sperrfrist erfüllt das.
Was heißt „zeitnah“ bei Sicherheitsupdates?: Die Musterbedingungen nennen keine Frist, sondern verlangen ein Verfahren, das eine zeitnahe Installation relevanter Sicherheitsupdates sicherstellt. Maßgeblich ist, was die eigene Police sagt und was sich als geregelter Prozess belegen lässt – etwa ein monatlicher Updatelauf mit Bericht und schnelleren Updates bei kritischen Lücken.
Müssen wir Mehrfaktor-Anmeldung überall einführen?: Die Musterbedingungen nennen Zwei-Faktor-Authentifizierung als Beispiel für Server, die aus dem Internet erreichbar sind. Die Fragebögen vieler Versicherer fragen darüber hinaus nach Mehrfaktor für Fernzugänge, E-Mail und Cloud-Dienste. Wer sie dort einführt, erfüllt die meisten Varianten.
Was ist, wenn sich nach Abschluss etwas verschlechtert?: Etwa weil ein Altsystem ohne Updates weiterläuft oder die Sicherung umgestellt wurde. Das kann eine Gefahrerhöhung sein, die dem Versicherer anzuzeigen ist. Besser ist, die Angaben aus dem Fragebogen jährlich mit der IT abzugleichen.

Quellen und Nachweise

GDV: Allgemeine Versicherungsbedingungen für die Cyberrisiko-Versicherung (AVB Cyber), Musterbedingungen, Stand Februar 2024 – A1-16 Obliegenheiten vor Eintritt des Versicherungsfalls · Gesamtverband der Deutschen Versicherungswirtschaft e. V.
GDV: Risikofragebogen zur Cyberrisiko-Versicherung (unverbindliche Bekanntgabe) · Gesamtverband der Deutschen Versicherungswirtschaft e. V.
§ 30 BSIG – Risikomanagementmaßnahmen (Absatz 2: Mindestmaßnahmen) · Bundesministerium der Justiz (gesetze-im-internet.de)amtlich

Ihr nächster Schritt

Sprechen wir über Ihre IT.

Schildern Sie uns Ihr Anliegen – Sie erhalten innerhalb der nächsten zwei Stunden eine Antwort von jemandem, der entscheiden kann.

Das gehört dazu

Phishing erkennenRechtschreibfehler und seltsame Anreden waren jahrelang das Erkennungszeichen. Heute schreiben Angreifer fehlerfrei, kennen Namen und Anlässe und tarnen Links hinter QR-Codes. Was bleibt, sind fünf Merkmale, die mit dem Inhalt der Nachricht zu tun haben, nicht mit ihrer Form – und zwei Prüfungen, die jeder in zehn Sekunden machen kann.Ansehen →

CEO-FraudKeine Schadsoftware, kein Link, kein Anhang – nur eine glaubwürdige Nachricht im Namen der Geschäftsführung oder eines Lieferanten, die eine eilige Zahlung oder eine neue Bankverbindung verlangt. CEO-Fraud und Rechnungsbetrug gehen an jedem technischen Schutz vorbei. Sie brechen an einer einzigen Regel im Zahlungsablauf, die nichts kostet.Ansehen →

Ransomware-AblaufDie Verschlüsselung ist das Ende eines Angriffs, nicht sein Anfang. Davor liegen Tage oder Wochen, in denen sich jemand im Netz bewegt, Rechte sammelt, Sicherungen sucht und Daten abzieht. Wer die Phasen kennt, weiß, wo ein Angriff sichtbar wird – und dass die beste Gelegenheit, ihn zu stoppen, lange vor dem Erpresserschreiben liegt.Ansehen →

Die ersten 24 StundenEin Bildschirm mit Erpresserschreiben, ein Postfach, das Mails verschickt, die niemand geschrieben hat, Server, die nicht mehr starten. In den ersten Stunden nach einem Angriff entscheiden wenige Handgriffe darüber, wie groß der Schaden wird – und einige gut gemeinte machen ihn größer. Diese Seite ist die Reihenfolge, die wir im Ernstfall abarbeiten, mit den Fristen, die ab der Kenntnis laufen.Ansehen →

Awareness-SchulungDer jährliche Pflichtfilm über Phishing schützt vor dem Angriff des Vorjahres. Was Mitarbeitende tatsächlich vor Fehlklicks bewahrt, sind kurze Einheiten mit Nachrichten aus dem eigenen Posteingang, eine Meldetaste und eine Geschäftsführung, die einen gemeldeten Fehler lobt. Für Einrichtungen unter NIS2 ist Schulung außerdem Pflicht – auch für die Geschäftsleitung selbst.Ansehen →

E-Mail-SicherheitDen Absender einer E-Mail kann jeder frei eintragen. Ob er stimmt, prüft der Empfänger über drei Einträge im DNS Ihrer Domain: SPF, DKIM und DMARC. Fehlen sie oder stehen sie auf „nur beobachten“, kommen gefälschte Rechnungen und Anweisungen in Ihrem Namen bei Kunden und Kollegen an. Das BSI hat im Mai 2025 aufgeschrieben, woran die Einrichtung am häufigsten scheitert.Ansehen →

MeldepflichtenNach einem Angriff laufen mehrere Uhren gleichzeitig, und sie beginnen alle mit der Kenntnis: 72 Stunden für die Datenschutzaufsicht, 24 Stunden für die NIS2-Erstmeldung, die Fristen der Cyberversicherung und die Pflichten aus Kundenverträgen. Diese Seite sortiert, welche Meldung für wen gilt, was hinein muss und wer im Haus sie vorbereitet.Ansehen →

Phishing & RansomwareFast jeder Angriff auf ein mittelständisches Haus beginnt nicht mit Technik, sondern mit einer Nachricht: einer E-Mail, die nach dem Paketdienst aussieht, einem Anruf, der nach dem Geschäftsführer klingt, einem QR-Code auf einem Brief. Was danach kommt – gestohlene Zugangsdaten, gefälschte Überweisungen, verschlüsselte Server – folgt einem Muster. Diese Seiten beschreiben das Muster, die Stellen, an denen es sich brechen lässt, und was in den ersten Stunden zu tun ist, wenn es nicht gelungen ist.Ansehen →

Die Obliegenheiten erfüllt – und belegt

Wir prüfen Ihre IT gegen die Obliegenheiten Ihrer Police, schließen die Lücken und liefern die Nachweise, die der Versicherer im Fragebogen und im Schadenfall sehen will: Zugangsliste, Patchstand, Sicherungs- und Rücksicherungsprotokoll.

Störung sofort melden