Lohnt sich eine Cyberversicherung für Kleinunternehmen? Nutzen, Kosten, Nachteile

Kurz gesagt: Eine Cyberversicherung lohnt sich für ein Kleinunternehmen, wenn ein Ausfall der eigenen IT oder ein Verlust von Kundendaten dich Umsatz, Zeit oder Vertrauen kostet und du diese Kosten nicht aus der Rücklage tragen willst. Sie zahlt die Posten, die nach einem Angriff zuerst anfallen: Soforthilfe, IT-Forensik, Wiederherstellung von Daten und Systemen und je Tarif den Ertragsausfall. Sie hat aber Grenzen: Obliegenheiten wie Updates und Backups, Wartezeiten bei der Betriebsunterbrechung, Sublimits und Ausschlüsse. Ob sie sich für dich rechnet, hängt davon ab, wie abhängig dein Betrieb von IT und Daten ist.

Wichtig vorab: Ich habe für diesen Artikel Bedingungswerke und Produktunterlagen ausgewertet, nicht deinen Versicherungsschein. Verbindlich ist, was in deinem Vertrag steht. Manche Leistungen gelten nur, wenn du sie als Baustein vereinbarst. Stand der Auswertung ist der 9. November 2026, Beiträge ergeben sich nur aus einer Berechnung auf dein Risiko.

Das Wichtigste auf einen Blick

• Eine Cyberversicherung ersetzt die eigenen Kosten deines Betriebs nach einem Angriff auf die IT oder nach einer Datenpanne und übernimmt Haftpflichtansprüche Dritter, deren Daten betroffen sind.
• Eine gesetzliche Pflicht gibt es nicht. Der Nutzen hängt davon ab, was ein Tag Stillstand oder ein Datenverlust dich kostet.
• Der Beitrag richtet sich nach Umsatz, Branche, Datenmenge, Selbstbehalt und deinem IT-Sicherheitsstand. Zahlen gibt es nur aus einer Berechnung auf dein Risiko.
• Nachteile sind real: Wartezeit von 8 bis 24 Stunden bei der Betriebsunterbrechung, Ausschlüsse für Dienstleister-Ausfall und Krieg, Zusatzbausteine für Cyber-Betrug, Leistungskürzung bei fehlenden Updates oder Backups.
• Der Eigenschaden-Baustein einer IT- oder Berufshaftpflicht ersetzt die Cyberversicherung nicht.

Lohnt sich eine Cyberversicherung für Kleinunternehmen?

Eine Cyberversicherung ist eine eigene Police, die die Folgen eines Angriffs auf deine IT oder einer Datenpanne für deinen Betrieb abfedert. Ob sie sich lohnt, entscheidet nicht die Größe deines Unternehmens, sondern deine Abhängigkeit von IT und Daten. Drei Fragen helfen bei der Einordnung:

• Was passiert, wenn dein Rechner, dein Shop oder deine Buchhaltung einen Tag lang nicht laufen? Kannst du weiterarbeiten oder steht der Betrieb?
• Welche fremden Daten speicherst du? Kundendaten, Zahlungsdaten, Gesundheitsdaten oder nur Kontaktdaten?
• Wer würde im Ernstfall die Analyse übernehmen, die Systeme wiederherstellen und mit der Aufsichtsbehörde sprechen? Hast du dafür einen Dienstleister und das Budget?

Wenn du bei einer dieser Fragen schlucken musst, ist die Police eine Überlegung wert. Wenn du mit Stift und Papier weiterarbeiten kannst und keine sensiblen Daten verarbeitest, ist der Nutzen klein. Was ein Angriff tatsächlich kostet, habe ich im Artikel Was ein Cyberangriff ein Unternehmen wirklich kostet zusammengetragen.

Was eine Cyberversicherung für Kleinunternehmen abdeckt

Die geprüften Bedingungswerke sind sich im Kern ähnlich. Die Leistungen lassen sich in drei Gruppen einteilen:

Eigene Kosten nach dem Angriff

• Soforthilfe und Krisenhotline rund um die Uhr, in den geprüften Werken ohne Selbstbehalt und ohne Anrechnung auf die Versicherungssumme.
• IT-Forensik und Schadenfeststellung: Wer war im System, was wurde kopiert oder verschlüsselt, meist ohne Selbstbehalt.
• Wiederherstellung von Daten, Programmen und Systemen.
• Cyber-Erpressung: Kosten externer Experten. Lösegeld nur mit Zustimmung des Versicherers und soweit keine Sanktionen entgegenstehen.

Betriebsunterbrechung

Fällt dein Betrieb nach einem Angriff aus, ersetzen die Tarife den Ertragsausfall und Mehrkosten. Je Tarif ist das enthalten oder ein Zusatzbaustein. Die Leistung beginnt erst nach einer Wartezeit von 8 bis 24 Stunden Ausfall, und die Haftzeit ist deutlich kürzer als die zwölf Monate einer klassischen Sach-Betriebsunterbrechung.

Ansprüche Dritter

Sind Daten deiner Kunden betroffen, übernimmt die Police die Haftpflicht gegenüber den Betroffenen wegen Datenschutz- oder Netzwerksicherheitsverletzung. Was dabei mit Bußgeldern und Benachrichtigungskosten ist, steht im Artikel Cyberversicherung und DSGVO. Betroffene können nach Art. 82 Abs. 1 DSGVO materiellen und immateriellen Schadenersatz verlangen. Bußgelder wegen Datenschutzverletzung sind in geprüften Werken enthalten, soweit sie rechtlich versicherbar sind. Was das im Einzelnen heißt, steht im Artikel Cyberversicherung auf der Leistungsseite.

Welche Vorteile eine Cyberversicherung kleinen Betrieben bringt

Der größte Vorteil ist nicht das Geld, sondern die Reaktion in den ersten Stunden. Ein Kleinunternehmen hat selten einen eigenen IT-Sicherheitsdienstleister auf Abruf. Die Krisenhotline des Versicherers bringt Forensiker und Anwälte, die wissen, was zu tun ist, auch bei der Meldung an die Aufsichtsbehörde, die nach Art. 33 Abs. 1 DSGVO unverzüglich und möglichst binnen 72 Stunden erfolgen muss, es sei denn, es droht voraussichtlich kein Risiko für die Betroffenen.

Weitere Vorteile:

• Die Wiederherstellungskosten sind gedeckt, auch wenn das Backup nicht sauber zurückgespielt werden kann und externe Hilfe nötig wird.
• Der Ertragsausfall wird je Tarif ersetzt, was für einen Shop oder eine Agentur mit laufenden Projekten den Unterschied macht.
• Haftpflichtansprüche Betroffener laufen nicht gegen dein Privat- oder Betriebsvermögen, sondern gegen die Police.
• Viele Versicherer verlangen Mindeststandards bei Backup, Updates und Zugangsschutz. Wer sie erfüllt, hat nebenbei seine IT-Sicherheit geordnet.

Welche Nachteile und Grenzen eine Cyberversicherung hat

Ich sage dir die Nachteile deutlich, weil sie im Schadenfall entscheiden:

• Obliegenheiten: Updates, Backups und Zugangsschutz sind Pflicht. Ein Verstoß kann die Leistung kürzen oder ganz entfallen lassen. Wer die Risikofragen im Antrag beschönigt, riskiert den Schutz.
• Wartezeit: Die Betriebsunterbrechung zahlt erst nach 8 bis 24 Stunden Ausfall, je Tarif. Ein halber Tag Stillstand bleibt bei dir.
• Sublimits und Bausteine: Cyber-Betrug, Fake President und Social Engineering sind Zusatzbausteine und greifen nur, wenn eine Sicherheitsverletzung deiner IT die Täuschung ermöglicht hat. Lässt sich der Inhaber selbst täuschen, ist das ausgenommen.
• Ausschlüsse: Der Ausfall externer Dienstleister und Cloud-Anbieter ist je Tarif nicht versichert oder nur für dein eigenes Interesse. Krieg, staatliche Angriffe auf kritische Infrastruktur sowie Strom- und Internetausfall außerhalb deines Betriebs sind nicht enthalten. Vertragsstrafen sind ausgeschlossen, mit Ausnahme von PCI-Vertragsstrafen bei Kartendaten.
• Bekannte Verletzungen: Was vor Vertragsbeginn schon bekannt war, ist nicht versichert.
• Selbstbehalt: Die Online-Tarife bieten Stufen von 500 bis 5.000 Euro. Soforthilfe und Forensik laufen in geprüften Werken ohne Selbstbehalt, der Rest nicht.

Was eine Cyberversicherung für Kleinunternehmen kostet

Konkrete Beträge nenne ich hier nicht, weil sie nur aus einer Berechnung auf dein Risiko entstehen. Die Faktoren, die den Beitrag bestimmen, sind in den Tarifen ähnlich:

• Umsatz: Das Raster der meisten Online-Tarife läuft über Umsatzstufen. Mehr Umsatz, höherer Beitrag.
• Branche: Wer Zahlungsdaten, Gesundheitsdaten oder viele Kundendaten verarbeitet, zahlt mehr als ein Handwerksbetrieb mit reiner Terminverwaltung.
• Datenmenge und Art der Daten: Anzahl der Datensätze und Sensibilität fließen in die Risikofragen ein.
• Versicherungssumme und Selbstbehalt: Eine höhere Summe kostet mehr, ein höherer Selbstbehalt senkt den Beitrag. Die passende Summe ergibt sich aus deinem Risiko, nicht aus einer Faustzahl.
• IT-Sicherheitsstand: Backups, Updates, Zugangsschutz und Vorschäden entscheiden über Annahme und Preis. Ohne Mindeststandards nehmen Versicherer das Risiko oft nicht an.
• Zusatzbausteine: Betriebsunterbrechung, Cyber-Betrug oder Erpressung sind je Tarif im Grundschutz oder kosten extra.

Der Grundbeitrag im Rechner ist ein Wert aus dem Tarifraster mit jährlicher Zahlweise, ohne Annahmeprüfung. Das Angebot kann nach den Risikofragen abweichen. Setze den Beitrag ins Verhältnis zu dem, was dich ein Tag Stillstand oder eine Datenpanne mit Anwalt und Forensiker kostet. Dann siehst du, ob sich die Police für dich rechnet.

Cyberversicherung oder Eigenschaden in der IT-Haftpflicht?

Viele Selbstständige haben eine IT- oder Berufshaftpflicht mit Eigenschaden-Baustein und fragen sich, ob das reicht. Der Eigenschaden-Baustein deckt einen Teil der eigenen Kosten, enthält aber regelmäßig keine Betriebsunterbrechung und keine Erpressung; eine Krisenhotline ist dort nicht der Regelfall. Die Cyberversicherung ist eine eigene Police, die diese Lücke schließt. Für die Haftung gegenüber deinen Kunden bei fehlerhafter Arbeit bleibt die IT-Haftpflicht zuständig. Was der Eigenschaden-Baustein leistet, zeige ich im Artikel Eigenschaden in der IT-Haftpflicht.

Für wen das relevant ist

• Online-Shop mit Zahlungsdaten: Kundendaten, Kartendaten und ein Betrieb, der ohne Shop stillsteht. Hier wiegen Betriebsunterbrechung, PCI-Vertragsstrafen und Haftpflicht gegenüber Betroffenen schwer.
• Agentur oder Beratung mit Kundendaten: Zugriff auf fremde Systeme und Daten. Eine Datenpanne trifft nicht nur dich, sondern deine Auftraggeber. Soforthilfe und Haftpflicht stehen im Vordergrund.
• Handwerk oder Dienstleistung mit Terminverwaltung: Wenig sensible Daten, Arbeit läuft auch ohne IT weiter. Der Nutzen ist kleiner, der Fokus liegt auf Wiederherstellung und Erpressung.

Nächster Schritt

Ich schaue mit dir, wie abhängig dein Betrieb von IT und Daten ist, welcher Tarif Soforthilfe und Forensik ohne Selbstbehalt bringt und ob die Betriebsunterbrechung enthalten ist. Den Überblick über die Leistungen findest du auf der Seite Cyberversicherung. Wenn du als Freelancer mit Kundendaten arbeitest, lies auch Cyberversicherung für Freelancer.

Häufige Fragen