Cyberversicherung für den Mittelstand, BaFin-Vorgaben und Deckungslücken in Berlin

Das Wichtigste auf einen Blick

• Cyberversicherung Mittelstand in Berlin wird nach den Vorgaben der BaFin gezeichnet, die den Markt laufend prüft.
• Typische Deckungslücken entstehen bei Betriebsunterbrechung, Drittschäden und grober Fahrlässigkeit.
• Das BSI liefert mit seinen IT-Sicherheitsvorgaben die technische Messlatte für den Vertragsabschluss.
• Berliner Start-ups und Dienstleister tragen ein anderes Risikoprofil als Industriebetriebe im Westen.
• Fördermittel für Digitalisierung lassen sich mit dem Aufbau von Cybersicherheit verbinden.
• Auswahlkriterien sind Deckungssumme, Meldefristen, Selbstbehalt und der Nachweis von Sicherheitsmaßnahmen.

Cyberversicherung für den Mittelstand in Berlin: BaFin-Vorgaben und Deckungslücken

Berlin ist Sitz eines großen Teils der deutschen Software-, E-Commerce- und Fintech-Szene. Die Unternehmen verteilen sich auf Mitte, Kreuzberg, Charlottenburg und den Technologiepark Adlershof.

Viele von ihnen hosten Kunden- und Zahlungsdaten in Clouddiensten und binden Freelancer sowie Agenturen in die Entwicklung ein. Das erzeugt Cyberrisiken, die sich von denen eines Maschinenbauers in Baden-Württemberg unterscheiden.

Die Cyberversicherung Mittelstand setzt genau dort an. Sie ersetzt keine Firewall und kein Notfallhandbuch, sondern finanziert die Folgen eines Angriffs: Forensik, Betriebsunterbrechung, Haftung gegenüber Dritten, Kommunikation mit Betroffenen.

Der Markt ist jung und uneinheitlich. Bedingungen, Ausschlüsse und Obliegenheiten unterscheiden sich stark zwischen den Anbietern. Wer in Berlin eine Police zeichnet, sollte den Vertrag wie ein technisches Dokument lesen, nicht wie eine Police für den Firmenwagen.

Die Aufsicht spielt dabei eine wachsende Rolle. Die BaFin prüft, ob Versicherer ihre Cyberrisiken sauber kalkulieren und ob die Produkte den aufsichtsrechtlichen Anforderungen genügen. Für Kunden bedeutet das mehr Transparenz, aber auch strengere Fragen im Antragsverfahren.

BaFin-Vorgaben und Aufsichtsanforderungen für Cyberpolicen

Die Bundesanstalt für Finanzdienstleistungsaufsicht ist die zentrale Aufsichtsbehörde für Versicherer und Finanzdienstleister in Deutschland. Ihre Vorgaben wirken mittelbar auf jeden Vertrag, den ein Mittelständler abschließt.

Wer sich einen Überblick über die Aufsichtspraxis verschaffen will, findet die Grundlagen auf der Startseite der BaFin. Dort sind Aufgaben, Zuständigkeiten und Veröffentlichungen gebündelt.

Für Cyberpolicen relevant sind vor allem drei Felder:

1. Die Solvabilitätsanforderungen. Versicherer müssen für Cyberrisiken ausreichend Eigenmittel vorhalten. Das begrenzt, wie aggressiv sie Deckungssummen zeichnen.
2. Die Produktaufsicht. Bedingungen und Werbung müssen klar und nicht irreführend sein. Pauschale Ausschlüsse in Nebensätzen sind ein Aufsichtsthema.
3. Die Meldepflichten. Sicherheitsvorfälle mit erheblichem Gewicht müssen gemeldet werden, was auch die Vertragsabwicklung betrifft.

Aktuelle Warnungen und Marktentwicklungen veröffentlicht die Behörde laufend. Wer die News und Warnungen der BaFin verfolgt, erkennt früh, wenn ein Anbieter oder ein Produkt in die Kritik gerät.

Für Berliner Unternehmen heißt das: Der Blick auf die Aufsicht ist kein Selbstzweck. Er zeigt, welche Anbieter ihre Hausaufgaben gemacht haben und welche Bedingungen später im Schadensfall halten.

Typische Deckungslücken in Cyberversicherungen

Die größte Enttäuschung entsteht nicht beim Abschluss, sondern bei der Regulierung. Viele Policen decken den Angriff, aber nicht seine Folgen. Fünf Lücken tauchen immer wieder auf.

Betriebsunterbrechung ohne Wartezeit. Manche Bedingungen zahlen erst nach 12 oder 24 Stunden Ausfall. Ein Berliner SaaS-Anbieter, dessen System sechs Stunden steht, bekommt dann nichts.

Drittschäden und Regress. Wenn ein Dienstleister die Systeme seiner Kunden kompromittiert, haftet er oft gegenüber diesen Kunden. Nicht jede Police deckt diesen Anspruch mit.

Grobe Fahrlässigkeit. Fehlende Zwei-Faktor-Authentifizierung oder ein ungepatchter Server können als grobe Fahrlässigkeit gewertet werden. Dann kürzt der Versicherer oder lehnt ab.

Krieg und staatliche Akteure. Angriffe staatlicher Gruppen sind in vielen Bedingungen ausgeschlossen. Das ist im Schadensfall schwer abzugrenzen.

Datenverlust ohne Wiederherstellung. Manche Policen erstatten forensische Kosten, aber nicht den Aufwand für den Wiederaufbau von Daten und Systemen.

Einen Überblick über Deckungsumfang und Marktentwicklung bietet der Wikipedia-Artikel zur Cyber-Versicherung. Er ersetzt keine Bedingungsprüfung, hilft aber beim Einstieg in die Systematik.

Deckungsbereich	Typische Lücke	Frage an den Versicherer
Betriebsunterbrechung	Wartezeiten, Umsatzdefinition	Ab wann wird gezahlt, wie wird Umsatz berechnet?
Drittschäden	Regress von Kunden	Sind Ansprüche eigener Kunden mitgedeckt?
Grobe Fahrlässigkeit	Ausschluss oder Kürzung	Welche Sicherheitsmaßnahmen sind Pflicht?
Forensik	Kostengrenzen	Wer steuert die Gutachter?
Datenwiederherstellung	Nur Sachkosten	Ist der Wiederaufbau mitversichert?

Risikoprofil der Berliner Start-up- und Dienstleistungszene

Berlins Wirtschaft ist kleinteilig. Zwischen Konzernen und öffentlichen Betrieben prägen Solo-Selbstständige, Agenturen und junge GmbHs das Bild, und die IT liegt häufig bei externen Dienstleistern.

Wer für das Land Berlin oder für Bundesbehörden arbeitet, muss zusätzlich die Sicherheitsanforderungen aus den Vergabeunterlagen erfüllen. Ein Vorfall kann dann den laufenden Rahmenvertrag gefährden.

Typisch sind Cloud-first-Architekturen. Daten liegen bei US-Anbietern, der Zugriff läuft über Single Sign-on, die Entwicklung über externe Auftragnehmer. Jeder dieser Punkte ist ein eigener Angriffsvektor.

Hinzu kommt die Dienstleistungsdichte. Agenturen, Beratungen und IT-Dienstleister verarbeiten Daten ihrer Kunden. Ein Vorfall trifft dann nicht nur das eigene Unternehmen, sondern zieht Haftungsansprüche nach sich.

Viele Start-ups haben zudem keinen IT-Sicherheitsbeauftragten. Sicherheit hängt an einer Person, oft an einem Entwickler, der nebenbei Firewalls pflegt. Fällt diese Person aus, fällt die Reaktion auf einen Angriff mit aus.

Für Versicherer ist das ein Problem. Sie fragen nach Prozessen, nicht nach Absichten. Wer keine dokumentierten Abläufe vorweisen kann, zahlt höhere Beiträge oder erhält Einschränkungen.

Die gute Nachricht: Berliner Unternehmen sind digital affin. Wer ohnehin mit Monitoring, Versionskontrolle und Clouddiensten arbeitet, kann Sicherheitsnachweise mit überschaubarem Aufwand erbringen.

IT-Sicherheitsvorgaben des BSI als Grundlage

Das Bundesamt für Sicherheit in der Informationstechnik ist die zentrale technische Autorität in Deutschland. Seine Empfehlungen und Standards bilden die Grundlage, auf die sich Versicherer im Antragsverfahren beziehen.

Relevant sind vor allem die IT-Grundschutz-Kataloge und die Hinweise zur Lage der IT-Sicherheit. Sie beschreiben, welche Maßnahmen als Stand der Technik gelten. Wer diese Maßnahmen umsetzt, hat im Schadensfall bessere Karten.

Das BSI stellt seine Informationen über eine eigene Schnittstelle bereit. Der Auftritt des BSI lohnt sich für IT-Verantwortliche, die ihre Maßnahmen gegen die offiziellen Vorgaben spiegeln wollen.

Für den Versicherungsantrag zählen vor allem diese Punkte:

• Backup-Konzept mit regelmäßigen Wiederherstellungstests
• Zwei-Faktor-Authentifizierung für alle Fernzugriffe
• Patch-Management mit dokumentierten Fristen
• Notfallplan mit benannten Ansprechpartnern
• Protokollierung und Auswertung von Sicherheitsereignissen
• Schulung der Mitarbeitenden zu Phishing und Passwörtern

Wer diese Liste abarbeitet, kann sie im Antrag belegen. Das senkt den Beitrag und reduziert das Risiko, dass der Versicherer im Ernstfall die Leistung kürzt.

Förderung von Digitalisierung und Cybersicherheit

Fördermittel für Digitalisierung laufen in Berlin über die Investitionsbank Berlin. Ihr IBB Business Team bezuschusst Beratungen für kleine und mittlere Unternehmen, auch zu IT-Sicherheit und Digitalisierung.

Der Deutsche Industrie- und Handelskammertag bündelt ergänzend praxisnahe Informationen. Die Seite Cybersicher, kurz und knapp richtet sich ausdrücklich an kleine und mittlere Unternehmen und erklärt, welche Schritte zuerst kommen.

Förderfähig sind je nach Programm Beratungsleistungen, die Einführung von Sicherheitsmanagementsystemen oder Schulungen. Die Antragstellung läuft meist über die IHK Berlin, die Handwerkskammer Berlin oder eine Landesstelle.

Wichtig ist die Reihenfolge. Wer erst investiert und dann den Antrag stellt, bekommt oft nichts. Die Abstimmung mit der Förderstelle gehört deshalb an den Anfang des Projekts.

Für Start-ups kommt die steuerliche Behandlung hinzu. Ausgaben für Sicherheitsmaßnahmen sind Betriebsausgaben und mindern den Gewinn, was den Effekt der Förderung verstärkt.

Auswahlkriterien für Cyberpolicen im Mittelstand

Der Markt ist unübersichtlich, die Bedingungen sind es auch. Diese Kriterien helfen bei der Auswahl.

Deckungssumme und Höchstgrenzen. Eine Million Euro klingt viel, reicht bei einem Datenschutzvorfall mit vielen Betroffenen aber schnell nicht. Die Summe sollte zum Datenbestand passen.

Definition der Betriebsunterbrechung. Entscheidend ist, ob der Ausfall eigener Systeme, der Systeme von Dienstleistern oder beides erfasst ist.

Meldewege und Fristen. Wer einen Vorfall zu spät meldet, verliert den Anspruch. Die Fristen sollten realistisch und im Notfallplan hinterlegt sein.

Selbstbehalt. Ein hoher Selbstbehalt senkt den Beitrag, kann aber im Schadensfall die Existenz kosten. Er sollte zur Liquidität passen.

Obliegenheiten. Der Versicherer verlangt bestimmte Sicherheitsmaßnahmen. Wer sie nicht erfüllt, riskiert die Leistung.

Regulierungspraxis. Ein Anbieter mit eigenem Incident-Response-Netzwerk reagiert schneller als einer, der Gutachter erst suchen muss.

Wer diese Punkte abarbeitet, findet eine Police, die im Schadensfall trägt. Der günstigste Beitrag ist selten die beste Wahl.

Häufige Fragen

Gilt die Cyberversicherung auch für Schäden durch eigene Mitarbeitende? In der Regel ja, solange keine grobe Fahrlässigkeit vorliegt. Viele Bedingungen kürzen die Leistung, wenn grundlegende Sicherheitsmaßnahmen fehlen.

Braucht ein Berliner Start-up mit zehn Mitarbeitenden eine Cyberpolice? Nicht zwingend, aber das Risiko steigt mit jedem Kundenvertrag. Wer Kundendaten verarbeitet, haftet auch ohne eigene IT-Abteilung.

Was prüft die BaFin bei Cyberpolicen? Sie prüft, ob Versicherer Risiken ausreichend kalkulieren und ob Bedingungen klar formuliert sind. Verbraucherrelevante Warnungen veröffentlicht sie laufend.

Reicht eine Betriebshaftpflichtversicherung aus? Meist nicht. Sie deckt Personen- und Sachschäden, aber keine Datenverluste, Betriebsunterbrechung oder Forensikkosten.

Wie lange dauert der Abschluss einer Cyberpolice? Bei vollständigen Sicherheitsnachweisen oft wenige Wochen. Fehlen Unterlagen, zieht sich das Antragsverfahren deutlich.

Welche Rolle spielt das BSI im Antragsverfahren? Versicherer orientieren sich an den BSI-Standards. Wer deren Maßnahmen umsetzt, kann sie belegen und erhält bessere Konditionen.