Brauchen Online-Händler eine Cyberversicherung? Risiken, Leistungen, Pflicht

Kurz gesagt: Eine Cyberversicherung ist für Online-Händler keine gesetzliche Pflicht. Sie ist die Police, die diese drei Kosten eines Angriffs auf einen Shop zusammen trägt: den Stillstand des Shops, die Folgen einer Datenpanne bei Kunden- und Zahlungsdaten und die Soforthilfe durch Forensiker und Anwälte in den ersten Stunden. Betriebshaftpflicht und Inhaltsversicherung decken davon nichts. Ob sich der Beitrag lohnt, hängt daran, wie viel Umsatz dein Shop pro Tag Ausfall verliert und welche Daten du speicherst.

Wichtig vorab: Ich habe für diesen Artikel Bedingungswerke und Produktunterlagen ausgewertet, nicht deinen Versicherungsschein. Verbindlich ist, was in deinem Vertrag steht. Manche Leistungen gelten nur, wenn du sie als Baustein vereinbarst. Stand der Auswertung ist der 9. November 2026, Beiträge ergeben sich nur aus einer Berechnung auf dein Risiko.

Das Wichtigste auf einen Blick

• Es gibt keine gesetzliche Pflicht zur Cyberversicherung. Zahlungsdienstleister, Marktplätze oder Großkunden können sie vertraglich verlangen, das prüfst du in deinen Verträgen.
• Die typischen Risiken im Online-Handel sind Shop-Ausfall, Diebstahl von Kunden- und Zahlungsdaten, Erpressung mit verschlüsselten Systemen, manipulierte Zahlungsaufträge und Fake-Shops unter deinem Namen.
• Eine Cyberversicherung ersetzt die eigenen Kosten nach einem Angriff: Soforthilfe, IT-Forensik, Wiederherstellung von Daten und Systemen, Krisenberatung und je Tarif den Ertragsausfall einer Betriebsunterbrechung. Dazu übernimmt sie Haftpflichtansprüche von Kunden, deren Daten betroffen sind.
• Die Betriebsunterbrechung greift erst nach einer Wartezeit von 8 bis 24 Stunden Ausfall, je Tarif. Kurze Störungen bleiben bei dir.
• Eine Datenpanne mit Kundendaten musst du unverzüglich und möglichst binnen 72 Stunden der Aufsichtsbehörde melden (Art. 33 Abs. 1 DSGVO). Geprüfte Policen stellen dafür Forensiker und Anwälte.
• Ohne Backups, Updates und Zugangsschutz kürzt der Versicherer oder zahlt nicht. Diese Pflichten stehen in jedem geprüften Bedingungswerk.

Welche Risiken Cyberangriffe im Online-Handel auslösen

Ein Online-Shop ist von außen erreichbar, verarbeitet laufend personenbezogene Daten und verdient nur, solange er läuft. Daraus ergeben sich Risiken, die ein Ladengeschäft so nicht kennt:

• Shop-Ausfall: Eine Überlastungsattacke, ein Angriff auf das Shopsystem oder eine Verschlüsselung durch Erpresser legt den Shop still. Jede Stunde ohne Bestellungen ist verlorener Umsatz, dazu kommen Mehrkosten für Notbetrieb und Wiederanlauf.
• Kundendaten: Namen, Adressen, Bestellhistorien und Zugangsdaten sind das Ziel vieler Angriffe. Werden sie abgegriffen, haftest du als Verantwortlicher den Betroffenen auf Schadenersatz, auch für immaterielle Schäden (Art. 82 Abs. 1 DSGVO), und musst Behörde und Betroffene informieren.
• Zahlungsdaten: Wer Kartendaten selbst verarbeitet oder über einen Dienstleister laufen lässt, ist an die Sicherheitsvorgaben der Kartenorganisationen gebunden. Nach einem Vorfall können Vertragsstrafen für Kartendaten (PCI) fällig werden.
• Lieferkette und Dienstleister: Shop-Hosting, Zahlungsanbieter, Warenwirtschaft und Versandschnittstellen laufen bei Dritten. Fällt einer davon aus, steht dein Shop mit, obwohl deine eigene IT sauber ist.
• Manipulierte Zahlungen: Täter geben sich als Lieferant, Chef oder Zahlungsdienstleister aus und lassen Überweisungen auf fremde Konten umleiten oder Rückerstattungen auslösen.
• Fake-Shops: Betrüger kopieren Namen, Logo und Produktbilder deines Shops und kassieren bei deinen Kunden ab. Dein Schaden ist der Vertrauensverlust und der Aufwand für Abwehr und Kommunikation.

Nicht jedes dieser Risiken ist ein Fall für die Cyberversicherung. Die Tabelle unten ordnet sie ein.

Was eine Cyberversicherung im Online-Handel abdeckt

Eine Cyberversicherung ersetzt die eigenen Kosten eines Betriebs nach einem Angriff auf seine IT oder nach einer Datenpanne und übernimmt zusätzlich Haftpflichtansprüche Dritter, deren Daten betroffen sind. Sie ist eine eigene Police. Der Eigenschaden-Baustein einer IT- oder Berufshaftpflicht ersetzt sie nicht, und die Betriebshaftpflicht deckt weder deinen Umsatzausfall noch deine Wiederherstellungskosten.

In den Bedingungswerken, die ich ausgewertet habe, sind folgende Leistungen enthalten oder als Baustein wählbar:

• Soforthilfe und Krisenhotline rund um die Uhr, in geprüften Werken ohne Selbstbehalt und ohne Anrechnung auf die Versicherungssumme.
• IT-Forensik, also die Feststellung, wie die Täter hereinkamen und welche Daten betroffen sind, in geprüften Werken ohne Selbstbehalt.
• Wiederherstellung von Daten, Programmen und Systemen.
• Cyber-Erpressung: Kosten externer Experten. Ein Lösegeld wird nur mit Zustimmung des Versicherers ersetzt und nur, soweit keine Sanktionen entgegenstehen.
• Haftpflicht gegenüber Dritten wegen einer Datenschutz- oder Netzwerksicherheitsverletzung, also die Ansprüche deiner Kunden.
• Bußgelder wegen Datenschutzverletzung, soweit sie rechtlich versicherbar sind; in einem geprüften Werk sind es die Abwehrkosten im behördlichen Verfahren.
• Betriebsunterbrechung nach einem Angriff: je Tarif enthalten oder Zusatzbaustein, mit einer Wartezeit von 8 bis 24 Stunden.
• Vertragsstrafen für Kartendaten (PCI) in geprüften Werken, während Vertragsstrafen sonst ausgeschlossen sind.

Ist eine Cyberversicherung Pflicht für Online-Händler?

Nein. Eine gesetzliche Pflicht zur Cyberversicherung gibt es in Deutschland nicht, weder für Online-Händler noch für andere Betriebe. Pflichten entstehen an drei anderen Stellen:

• Datenschutz: Die DSGVO verpflichtet dich zu angemessener Sicherheit und zur Meldung einer Datenpanne, nicht zu einer Versicherung. Die Versicherung hilft dir, diese Pflichten im Ernstfall zu erfüllen.
• Verträge: Zahlungsdienstleister, Marktplätze, Plattformen oder Großkunden können in ihren Bedingungen eine Cyberversicherung oder bestimmte Deckungssummen verlangen. Das steht in deinen Verträgen, nicht im Gesetz. Prüfe sie, bevor du eine Summe festlegst.
• Obliegenheiten gegenüber dem Versicherer: Hast du eine Police, verpflichtest du dich zu Updates, Backups und Zugangsschutz. Verstöße können die Leistung kürzen oder entfallen lassen.

Die Frage ist also nicht, ob du musst, sondern ob du den Ausfall und die Datenpanne aus eigener Tasche tragen willst.

Welche Vorteile eine Cyberversicherung für einen Online-Shop bringt

Der Nutzen liegt weniger in der Versicherungssumme als in den ersten 48 Stunden nach einem Vorfall. In dieser Zeit entscheidet sich, ob der Shop schnell wieder läuft und ob die Meldefrist eingehalten wird.

• Du hast sofort die richtigen Leute: Krisenhotline, Forensiker und Anwälte kommen über die Police, du musst sie nicht erst suchen und nicht vorfinanzieren.
• Die Meldefrist wird eingehalten: Forensiker stellen fest, welche Daten betroffen sind, Anwälte prüfen die Melde- und Informationspflichten und formulieren die Benachrichtigung an Behörde und Kunden.
• Der Umsatzausfall wird gedämpft: Je Tarif ersetzt die Betriebsunterbrechung den Ertragsausfall und die Mehrkosten nach der Wartezeit.
• Kundenansprüche sind abgewehrt oder bezahlt: Die Haftpflichtkomponente prüft, wehrt ab und zahlt berechtigte Ansprüche.

Die Grenzen sind genauso klar: Ausfälle von Dienstleistern, Krieg und staatliche Angriffe, Strom- und Internetausfall außerhalb deines Betriebs und bereits bekannte Sicherheitslücken sind nicht versichert. Cyber-Betrug ist nur als Baustein und nur unter Bedingungen gedeckt.

Was eine Cyberversicherung für Online-Händler kostet

Der Beitrag richtet sich nach Umsatz, Versicherungssumme, Selbstbehalt und den gewählten Bausteinen. Als Orientierung aus meinem Cyber-Rechner: Für einen Betrieb mit 100.000 Euro Jahresumsatz, 100.000 Euro Versicherungssumme und 1.000 Euro Selbstbehalt liegt die Grunddeckung ohne Zusatzbausteine bei 262 bis 473 Euro im Jahr inklusive Versicherungsteuer, drei Tarife, Tarifstände 04/2025 bis 01/2026, gemessen 10/2026. Das ist ein Rechnerwert ohne Annahmeprüfung. Die Risikofragen zu Backup, Updates und Vorschäden entscheiden, ob und zu welchem Beitrag ein Versicherer dich annimmt. Online-Händler mit höherem Umsatz oder eigener Zahlungsabwicklung liegen darüber.

Die Selbstbehalte der Online-Tarife liegen bei 500 bis 5.000 Euro. Soforthilfe und Forensik laufen in geprüften Werken ohne Selbstbehalt. Die passende Versicherungssumme ergibt sich aus deinem Risiko: Zahl der gespeicherten Kundendatensätze, Tagesumsatz und Dauer, die du für einen Wiederanlauf brauchst. Eine Faustzahl gibt es dafür nicht.

Für wen das relevant ist

• Der Shop mit eigenem Shopsystem: Du betreibst Shopsoftware auf eigenem Hosting und speicherst Kundendaten selbst. Forensik, Wiederherstellung und Betriebsunterbrechung sind für dich die Kernleistungen.
• Der Marktplatz-Händler: Du verkaufst über eine Plattform, die Zahlungen und Kundendaten hält. Dein Risiko liegt in deinen eigenen Systemen (Mail, Warenwirtschaft, Buchhaltung) und in manipulierten Zahlungen. Prüfe, ob die Plattform eine Versicherung vorschreibt.
• Der Händler mit Abo- oder Kundenkonten: Je mehr Datensätze mit Zugangsdaten du hältst, desto größer wird der Haftpflicht- und Benachrichtigungsblock. Hier zählt die Haftpflichtkomponente mehr als die Betriebsunterbrechung.

Nächster Schritt

Ich schaue mit dir auf drei Zahlen: deinen Tagesumsatz, die Zahl deiner Kundendatensätze und deine Dienstleisterkette. Daraus leite ich Versicherungssumme, Wartezeit und die Bausteine ab, die dein Shop wirklich braucht. Den Rahmen findest du auf meiner Seite zur Cyberversicherung. Was ein Angriff kostet, habe ich im Artikel Was ein Cyberangriff ein Unternehmen wirklich kostet zusammengetragen. Wie Bußgelder und Benachrichtigungskosten versichert sind, steht im Artikel zu Vertragsstrafen und DSGVO-Schäden. Fällt dein Shop auch ohne Angriff aus, etwa durch Brand oder Wasserschaden, ist das ein Fall für die Betriebsunterbrechungsversicherung.

Häufige Fragen