Ein verschlüsselter Server am Montagmorgen, ein täuschend echtes E-Mail im Namen der Geschäftsleitung oder eine falsch konfigurierte Cloud-Freigabe: Cybervorfälle treffen auch kleine Betriebe. Wer Cyberrisiken im Betrieb absichern will, braucht deshalb mehr als eine Police. Entscheidend ist das Zusammenspiel aus klaren Abläufen, technischen Schutzmassnahmen und einer Versicherung, die zum tatsächlichen Risiko passt.
Für Schweizer KMU, Selbstständige und Gründerinnen und Gründer geht es dabei nicht nur um IT. Ein Ausfall kann Aufträge verzögern, Kundendaten gefährden, Rechnungen blockieren und das Vertrauen von Geschäftspartnern belasten. Gerade kleinere Teams spüren die Folgen oft besonders schnell, weil es kaum personelle Reserven gibt.
1. Das eigene Risiko realistisch einordnen
Cyberrisiken unterscheiden sich von Betrieb zu Betrieb. Ein Treuhandbüro verwaltet besonders schützenswerte Finanz- und Personendaten. Ein Handwerksbetrieb ist möglicherweise stark von seiner Einsatzplanung, mobilen Geräten und digitalen Offerten abhängig. Ein Onlineshop braucht funktionierende Zahlungs- und Bestellsysteme. Auch Unternehmen, die ihre IT weitgehend an externe Anbieter auslagern, bleiben für ihre Daten und die Geschäftskontinuität verantwortlich.
Die wichtigste Frage lautet daher nicht: „Sind wir ein interessantes Ziel?“ Sondern: „Was passiert, wenn unsere wichtigsten Systeme oder Daten morgen nicht verfügbar sind?“ Oft entstehen Schäden nicht durch einen gezielten Angriff auf ein bekanntes Unternehmen, sondern durch automatisierte Phishing-Mails, gestohlene Zugangsdaten oder bekannte Sicherheitslücken.
Für eine erste Einschätzung lohnt sich ein Blick auf die geschäftskritischen Bereiche: Kundendaten, Buchhaltung, Zahlungsfreigaben, E-Mail, Cloud-Speicher, Produktionsanlagen, Kassensysteme und externe Dienstleister. Je stärker der Betrieb von einem dieser Bereiche abhängig ist, desto höher kann der finanzielle Unterbruchsschaden ausfallen.
2. Prävention beginnt bei den täglichen Gewohnheiten
Die beste Cyberversicherung ersetzt keine funktionierende IT-Sicherheit. Versicherer erwarten in der Regel angemessene Schutzmassnahmen. Fehlen sie vollständig, kann das im Schadenfall Fragen aufwerfen. Was angemessen ist, hängt von Grösse, Branche und technischer Umgebung ab. Ein Ein-Personen-Betrieb braucht kein eigenes Security-Team, sollte aber zentrale Grundlagen konsequent umsetzen.
Besonders wirksam sind aktuelle Software und Sicherheitsupdates, starke individuelle Passwörter mit Mehrfaktor-Authentifizierung sowie regelmässige, getrennt gespeicherte Backups. Ebenso wichtig ist eine klare Regel für Zahlungen: Änderungen von Bankverbindungen oder Zahlungsanweisungen sollten nicht allein aufgrund einer E-Mail ausgeführt werden. Ein kurzer Rückruf über eine bekannte Telefonnummer verhindert viele Fälle von CEO-Fraud und Rechnungsbetrug.
Mitarbeitende sind dabei nicht das schwächste Glied, sondern ein wichtiger Teil der Abwehr. Kurze, wiederkehrende Sensibilisierungen wirken meist besser als eine lange Schulung einmal pro Jahr. Wer verdächtige Nachrichten ohne Angst vor einem Fehler melden kann, hilft dem ganzen Betrieb. Hilfreich sind konkrete Beispiele: unerwartete Anhänge, Druck zur sofortigen Zahlung, ungewöhnliche Login-Aufforderungen oder leicht veränderte Absenderadressen.
3. Einen Notfallplan erstellen, bevor etwas passiert
Unter Zeitdruck werden Entscheidungen teuer. Deshalb sollte jedes KMU festlegen, wer bei einem Cybervorfall welche Aufgabe übernimmt. Der Plan muss nicht umfangreich sein. Er sollte aber aufzeigen, wer IT-Dienstleister, Geschäftsleitung, Versicherung, Bank, Datenschutzverantwortliche und allenfalls betroffene Kunden informiert.
Bewährt hat sich ein einfacher Ablauf: Systeme möglichst rasch isolieren, den Vorfall dokumentieren, keine überstürzten Zahlungen leisten und fachliche Unterstützung beiziehen. Bei einem Verdacht auf missbräuchliche Zahlungsaufträge zählt jede Stunde. Die Bank sollte sofort kontaktiert werden, damit sie noch prüfen kann, ob eine Transaktion gestoppt oder zurückgerufen werden kann.
Auch die Kommunikation braucht Augenmass. Betroffene Kunden erwarten Transparenz, aber voreilige Aussagen können später problematisch sein. Ein externer IT-Forensiker oder ein spezialisiertes Krisenteam kann helfen, Ursache, Umfang und weitere Schritte zu klären. Genau hier kann eine passende Cyberversicherung mehr leisten als eine Kostenerstattung: Viele Lösungen organisieren im Ernstfall den Zugang zu Spezialisten.
4. Was eine Cyberversicherung abdecken kann
Eine Cyberversicherung soll die finanziellen Folgen eines digitalen Angriffs oder einer Datenpanne auffangen. Die Leistungen unterscheiden sich jedoch deutlich je nach Anbieter und Vertragsmodell. Eine sorgfältige Prüfung der Bedingungen ist deshalb wichtiger als ein reiner Prämienvergleich.
Typische Leistungen betreffen die IT-Forensik, die Wiederherstellung von Daten und Systemen, Krisenkommunikation sowie Rechtsberatung. Je nach Deckung können auch Kosten für die Information betroffener Personen, die Abwehr von Haftpflichtansprüchen oder behördliche Verfahren eingeschlossen sein. Kommt der Betrieb durch einen versicherten Vorfall teilweise oder ganz zum Stillstand, kann eine Cyber-Betriebsunterbrechung den entgangenen Ertrag und weiterlaufende Kosten berücksichtigen.
Ein weiterer Bereich ist Cyber-Erpressung. Werden Daten verschlüsselt und Lösegeld gefordert, stellt sich nicht nur die Frage nach einer möglichen Zahlung. Fachleute müssen klären, ob Daten abgeflossen sind, wie der Angriff gestoppt wird und ob die Systeme sicher wiederhergestellt werden können. Eine Lösegeldzahlung ist keine Garantie für Entschlüsselung und kann rechtlich oder wirtschaftlich heikel sein. Der Fokus sollte immer auf Eindämmung, Wiederherstellung und einer fundierten Beurteilung liegen.
Nicht jede Vermögensschädigung ist automatisch versichert. Besonders bei Zahlungsbetrug, Social Engineering oder betrügerisch ausgelösten Überweisungen kommt es stark auf die Formulierung der Deckung an. Manche Policen enthalten dafür eigene Bausteine, Sublimiten oder klare Voraussetzungen. Auch Schäden durch vorsätzliche Handlungen, bekannte Sicherheitsmängel oder rein vertragliche Streitigkeiten können ausgeschlossen sein.
5. Deckungssumme und Selbstbehalt passend wählen
Die richtige Versicherungssumme lässt sich nicht pauschal festlegen. Ein kleines Architekturbüro mit gut gesicherten Cloud-Diensten hat andere Risiken als ein Handelsbetrieb, dessen Auftragsabwicklung während mehrerer Tage stillstehen würde. Relevant sind unter anderem Umsatz, maximale Ausfalldauer, Anzahl Datensätze, Abhängigkeit von IT-Systemen und Kosten externer Spezialisten.
Viele Unternehmen unterschätzen den Betriebsunterbruch. Die technische Wiederherstellung kann zwar schnell beginnen, doch bis sämtliche Zugänge, Datenbestände und Prozesse wieder zuverlässig funktionieren, vergeht mitunter mehr Zeit. Dazu kommen Zusatzaufwand im Team, verpasste Termine oder Reputationsschäden. Eine höhere Deckungssumme ist nicht in jedem Fall sinnvoll, aber eine zu knapp bemessene Limite schützt im entscheidenden Moment nicht ausreichend.
Der Selbstbehalt ist ein weiterer Abwägungspunkt. Ein höherer Selbstbehalt kann die Prämie senken, sollte den Betrieb im Ernstfall aber nicht belasten. Ebenso wichtig sind Wartezeiten bei der Betriebsunterbrechung und Sublimiten für einzelne Kostenarten. Eine Police mit guter Hauptsumme kann enttäuschen, wenn für IT-Forensik, Datenwiederherstellung oder Zahlungsbetrug nur geringe Teilbeträge vorgesehen sind.
6. Bestehende Policen im Gesamtbild prüfen
Cyberrisiken berühren mehrere Versicherungsbereiche. Eine Betriebs- oder Berufshaftpflicht kann einzelne Vermögensschäden abdecken, ersetzt aber nicht automatisch eine spezialisierte Cyberdeckung. Eine Sachversicherung schützt allenfalls Hardware nach einem versicherten Ereignis, nicht jedoch zwingend Datenverlust, Erpressung oder die Folgen eines Hackerangriffs. Auch Rechtsschutz und Krankentaggeld lösen andere Probleme als eine Cyberversicherung.
Deshalb lohnt sich eine Gesamtprüfung der bestehenden Verträge. Dabei geht es um drei Fragen: Welche Risiken sind bereits sinnvoll abgedeckt? Wo bestehen Überschneidungen? Und welche Lücken könnten den Betrieb wirklich treffen? Für Betriebe mit externem IT-Partner sind zudem die Verträge mit diesem Dienstleister relevant. Verantwortlichkeiten, Reaktionszeiten, Backup-Pflichten und Haftungsgrenzen sollten verständlich geregelt sein.
Eine unabhängige Analyse kann helfen, Bedingungen verschiedener Gesellschaften vergleichbar zu machen. Brokerhouse prüft nicht nur Prämien, sondern auch Leistungen, Ausschlüsse und die Situation des jeweiligen Unternehmens. Das schafft eine nachvollziehbare Grundlage, um Schutz und Kosten langfristig sinnvoll auszurichten.
Wenn der Ernstfall eintritt: schnell, aber nicht kopflos handeln
Bei einem Verdacht auf einen Cybervorfall sollten betroffene Geräte oder Konten nicht unüberlegt weiterverwendet werden. Gleichzeitig kann ein vorschnelles Löschen von Daten wichtige Spuren zerstören. Informieren Sie den zuständigen IT-Partner, sichern Sie verfügbare Informationen wie E-Mails, Zeitpunkte und Screenshots und melden Sie den Fall so früh wie möglich der Versicherung. Bei möglichen Datenschutzverletzungen ist zudem zu prüfen, ob gesetzliche Melde- oder Informationspflichten bestehen.
Eine gute Absicherung zeigt ihren Wert nicht im Versicherungsordner, sondern in den ersten Stunden eines Vorfalls. Wer Zuständigkeiten kennt, Schutzmassnahmen regelmässig überprüft und seine Deckung an den Betrieb anpasst, schafft die nötige Ruhe, um auch unter Druck richtig zu handeln.