Ein gefälschtes E-Mail der Geschäftsführung, eine manipulierte Zahlungsanweisung oder ein verschlüsselter Server: Für ein KMU können alle drei Fälle teuer werden. Die Frage Cyberdeckung oder Vertrauensschadenversicherung lässt sich deshalb nicht pauschal beantworten. Beide Versicherungen schützen vor finanziellen Folgen digitaler und krimineller Ereignisse, aber sie setzen an unterschiedlichen Stellen an. Wer nur auf den Namen der Police schaut, übersieht schnell eine kostspielige Lücke.

Gerade bei kleineren Unternehmen liegen IT, Buchhaltung und Zahlungsfreigaben oft in wenigen Händen. Das vereinfacht Abläufe, erhöht aber auch die Abhängigkeit von einzelnen Personen und Systemen. Eine verständliche Risikoanalyse beginnt daher nicht mit dem Produkt, sondern mit einer konkreten Frage: Was passiert finanziell, wenn jemand Zugriff auf unsere Daten, Konten oder Zahlungsprozesse erhält?

Cyberdeckung oder Vertrauensschadenversicherung: der Unterschied

Eine Cyberversicherung deckt in erster Linie die Folgen eines Cyberereignisses. Dazu zählen je nach Vertrag etwa Hackerangriffe, Schadsoftware, Ransomware, Datenverlust, Datenschutzverletzungen oder eine Betriebsunterbrechung nach einem IT-Angriff. Häufig übernimmt sie Kosten für IT-Forensik, Krisenkommunikation, Wiederherstellung von Daten, Rechtsberatung und gegebenenfalls Ansprüche Dritter.

Die Vertrauensschadenversicherung konzentriert sich dagegen auf Vermögensschäden durch vorsätzliche, unerlaubte Handlungen. Klassisch geht es um Veruntreuung, Diebstahl, Betrug oder Untreue durch Mitarbeitende. Viele Lösungen lassen sich um Schäden durch externe Täter erweitern, beispielsweise wenn ein Betrüger mittels gefälschter Rechnung oder manipuliertem E-Mail eine Überweisung auslöst.

Der entscheidende Unterschied liegt im Auslöser und im Schadenbild. Bei der Cyberdeckung steht der Angriff auf IT-Systeme, Daten oder digitale Prozesse im Vordergrund. Bei der Vertrauensschadenversicherung steht die betrügerische Handlung im Fokus, durch die Geld oder andere Vermögenswerte verloren gehen.

In der Praxis überschneiden sich die Fälle zunehmend. Ein Angreifer kann sich etwa Zugang zu einem E-Mail-Postfach verschaffen, die Kommunikation mit einem Lieferanten mitlesen und anschliessend eine geänderte Bankverbindung senden. Technisch ist das ein Cyberangriff. Der unmittelbare finanzielle Schaden entsteht jedoch durch Überweisungsbetrug. Ob und welche Versicherung zahlt, entscheidet der genaue Wortlaut der jeweiligen Bedingungen.

Welche Schäden deckt eine Cyberversicherung?

Eine passende Cyberversicherung ist mehr als eine Kostenbeteiligung bei einem gehackten Laptop. Sie soll dem Unternehmen helfen, handlungsfähig zu bleiben, wenn die IT nicht mehr funktioniert oder Daten in falsche Hände geraten sind.

Typische Leistungsbausteine sind die Analyse und Bereinigung befallener Systeme, die Wiederherstellung von Daten und Software sowie die Kosten für spezialisierte IT-Dienstleister. Kommt der Betrieb wegen eines Angriffs zum Stillstand, kann eine vereinbarte Betriebsunterbrechungsdeckung den Ertragsausfall und fortlaufende Fixkosten auffangen. Das ist besonders relevant für Unternehmen, deren Verkauf, Terminplanung, Produktion oder Kundenservice von digitalen Systemen abhängt.

Auch Datenschutzfälle gehören häufig dazu. Werden Kundendaten, Personaldaten oder vertrauliche Geschäftsinformationen unberechtigt offengelegt, entstehen nicht nur technische Kosten. Betroffene müssen möglicherweise informiert werden, rechtliche Fragen sind zu klären und der Reputationsschaden verlangt eine sorgfältige Kommunikation. Die konkrete Deckung hängt von der Police, den Sublimiten und den vereinbarten Selbstbehalten ab.

Nicht jede Cyberpolice ersetzt automatisch eine betrügerische Zahlung. Manche Verträge enthalten eine Deckung für Social Engineering oder Zahlungsverkehrsbetrug, andere schliessen sie aus oder begrenzen sie deutlich. Gerade bei Rechnungsmanipulationen und Fake-President-Fällen lohnt sich deshalb ein Blick über die Überschrift «Cyber» hinaus.

Ein Beispiel aus dem Alltag

Ein Mitarbeiter erhält eine E-Mail, die scheinbar vom bekannten Lieferanten stammt. Die Nachricht enthält eine neue IBAN und wirkt glaubwürdig, weil der Täter zuvor das E-Mail-Konto des Lieferanten kompromittiert hat. Die Buchhaltung überweist den offenen Betrag auf das falsche Konto.

Für die Untersuchung des kompromittierten Mailverkehrs und mögliche Folgen beim eigenen System kann die Cyberversicherung relevant sein. Der verlorene Überweisungsbetrag fällt jedoch oft unter Vertrauensschaden, Betrug im Zahlungsverkehr oder einen speziell vereinbarten Social-Engineering-Baustein. Ohne präzise Regelung kann genau der grösste Schaden ungedeckt bleiben.

Wann braucht ein Unternehmen eine Vertrauensschadenversicherung?

Eine Vertrauensschadenversicherung ist für Unternehmen sinnvoll, die mit Geldflüssen, Kundengeldern, Waren, Zugangsdaten oder sensiblen Entscheidungsbefugnissen arbeiten. Das betrifft nicht nur Banken oder Treuhandunternehmen. Auch Handelsbetriebe, Agenturen, Dienstleister, Verwaltungen und junge Unternehmen können betroffen sein.

Das Risiko steigt, wenn einzelne Personen Zahlungen vorbereiten und freigeben können, Bargeld verwalten, Bestellungen auslösen oder Lieferantendaten ändern dürfen. Besonders heikel sind fehlende Stellvertretungen, unklare Freigabelimiten und eingespielte Prozesse ohne unabhängige Kontrolle. Vertrauen im Team bleibt unverzichtbar. Versicherungsschutz und saubere Kontrollmechanismen sind jedoch kein Misstrauensvotum, sondern professionelles Risikomanagement.

Je nach Vertrag kann die Deckung Schäden durch eigene Mitarbeitende, Organmitglieder oder temporäre Arbeitskräfte erfassen. Für viele KMU ebenso wichtig ist die Erweiterung auf externe Täter. Sie kann bei Täuschung im Zahlungsverkehr greifen, sofern die Bedingungen den konkreten Fall einschliessen. Entscheidend sind dabei Definitionen, Ausschlüsse, Nachweispflichten und die Höhe der maximalen Entschädigung.

Eine hohe Versicherungssumme allein reicht nicht. Wenn ein Vertrag zum Beispiel nur interne Delikte versichert, hilft er bei einer professionell gefälschten Lieferantenrechnung nicht weiter. Umgekehrt deckt eine umfassende Betrugsdeckung keine Kosten für die Wiederherstellung eines verschlüsselten Servers. Deshalb ergänzen sich beide Versicherungsarten häufig.

Die richtige Kombination hängt vom Geschäftsmodell ab

Für ein kleines Beratungsunternehmen mit Cloud-Tools, Kundendaten und digitaler Rechnungsstellung ist eine Cyberversicherung meist ein zentraler Baustein. Kommen Zahlungsfreigaben, wiederkehrende Lieferantenrechnungen und wenige Personen mit weitreichenden Berechtigungen hinzu, sollte auch der Vertrauensschaden geprüft werden.

Ein Handelsunternehmen mit Lager, vielen Bestellungen und hohem Rechnungsvolumen braucht oft beide Perspektiven: Schutz bei Systemausfall und Schutz bei betrügerischen Vermögensabflüssen. Bei Treuhand-, Immobilien- oder Finanzdienstleistern können zudem Kundengelder und besondere vertragliche Pflichten die notwendige Versicherungssumme erhöhen.

Für Solo-Selbstständige ist die Ausgangslage anders. Die Gefahr einer internen Veruntreuung ist meist gering, während Phishing, Account-Übernahmen oder der Verlust geschäftlicher Daten durchaus relevant sein können. Dennoch kann auch hier Zahlungsbetrug entstehen, etwa wenn ein gehacktes E-Mail-Konto falsche Rechnungen an Kunden versendet. Es kommt auf die tatsächlichen Prozesse an, nicht auf die Unternehmensgrösse allein.

Diese Punkte sollten Sie in den Bedingungen prüfen

Bei Cyber- und Vertrauensschadenversicherungen entscheidet das Kleingedruckte oft über den Nutzen im Ernstfall. Prüfen Sie deshalb nicht nur die Prämie, sondern insbesondere diese Fragen:

• Sind Social Engineering, CEO-Fraud, Phishing und Rechnungsmanipulation ausdrücklich mitversichert?
• Deckt die Police externe Täter, interne Täter oder beide Schadenursachen?
• Wie hoch sind Versicherungssumme, Sublimiten und Selbstbehalt für Zahlungsbetrug, Datenwiederherstellung und Betriebsunterbruch?
• Ab wann leistet die Betriebsunterbrechungsdeckung und wie lange werden Ausfälle entschädigt?
• Sind Kosten für IT-Forensik, rechtliche Unterstützung, Benachrichtigungen und Krisenkommunikation eingeschlossen?
• Welche Sicherheitsvorgaben gelten, etwa Mehrfaktor-Authentifizierung, Backups oder das Vier-Augen-Prinzip bei Zahlungen?

Solche Anforderungen sind kein reines Formalthema. Werden vereinbarte Schutzmassnahmen dauerhaft ignoriert, kann das die Leistung im Schadenfall beeinflussen. Gleichzeitig sollten Vorgaben für ein kleines Unternehmen praktikabel bleiben. Eine Police, die umfangreiche Prozesse voraussetzt, die im Alltag niemand umsetzen kann, schafft nur scheinbare Sicherheit.

Versicherungsschutz funktioniert besser mit klaren Abläufen

Keine Versicherung verhindert den Angriff oder die falsche Überweisung. Sie begrenzt die finanziellen Folgen. Prävention bleibt deshalb der erste Schutz: Mehrfaktor-Authentifizierung, regelmässige Backups, getrennte Benutzerrechte und eine kurze Sensibilisierung des Teams haben oft eine grosse Wirkung.

Beim Zahlungsverkehr bewährt sich ein festes Rückrufverfahren. Ändert ein Lieferant seine Bankverbindung, sollte die Bestätigung über eine bekannte Telefonnummer erfolgen - nie über die Kontaktdaten aus der fraglichen E-Mail. Bei grösseren Zahlungen reduziert ein Vier-Augen-Prinzip das Risiko erheblich. Diese Kontrollen sind meist günstiger und wirksamer als nachträgliche Diskussionen über eine Deckungslücke.

Im Schadenfall zählt zudem Tempo. Konten sollten sofort gesperrt oder Rückrufe von Überweisungen veranlasst, Passwörter geändert und der Versicherer gemäss Meldepflicht informiert werden. Wer ohne Abstimmung externe IT-Dienstleister beauftragt, riskiert je nach Vertrag Diskussionen über Kosten. Ein klarer Notfallplan mit Zuständigkeiten spart wertvolle Stunden.

Eine unabhängige Prüfung bestehender Policen kann zeigen, ob Cyberrisiken und Vertrauensschäden bereits sinnvoll zusammenspielen oder ob doppelte Bausteine und Lücken bestehen. Brokerhouse betrachtet dabei nicht nur einzelne Begriffe in der Police, sondern die Zahlungswege, IT-Abhängigkeiten und Verantwortlichkeiten im Unternehmen.

Wer seine Systeme, Zahlungsprozesse und bestehenden Verträge einmal gemeinsam prüft, schafft mehr als formalen Versicherungsschutz: Das Unternehmen weiss im Ernstfall, welche Kosten versichert sind, wer handeln muss und wo es vorher noch nachbessern sollte.