Cyberversicherung für Freelancer: Was sie leistet und ob sie sich lohnt

Das Wichtigste auf einen Blick

• Eine Cyberversicherung sichert in erster Linie deinen Eigenschaden ab: Kosten für IT-Forensik, Datenwiederherstellung, Betriebsunterbrechung und Krisenkommunikation nach einem Cyber-Vorfall.
• Die Cyberversicherung hat daneben einen eigenen Drittschaden-Baustein für Haftpflichtansprüche aus genau diesem Cyber-Vorfall, ersetzt damit aber nicht die IT-Haftpflicht, die für Fehler in deiner eigentlichen Arbeitsleistung eintritt.
• Typische Leistungsbausteine sind je nach Tarif eine 24-Stunden-Assistance-Hotline, Rechtsberatung und die Kosten für die Meldepflichten nach der DSGVO.
• Bußgelder nach der DSGVO sind in den Musterbedingungen der Branche zunächst ausgeschlossen und nur über eine ausdrückliche Sonderregelung und unter dem Vorbehalt der rechtlichen Zulässigkeit versicherbar. Verlass dich hier nicht auf eine pauschale Zusage.
• Fast jeder Tarif verlangt im Gegenzug Mindeststandards, die über Updates und Backups hinausgehen: eigene Zugänge je Nutzer, Passwortvorgaben, Schutz gegen Schadsoftware, ein geregeltes Einspielen von Sicherheitsupdates und eine mindestens wöchentliche Datensicherung, auf die kein normales Nutzerkonto schreibend zugreifen kann. Wer diese Obliegenheiten grob fahrlässig verletzt, riskiert eine Kürzung der Leistung, bei Vorsatz den vollständigen Verlust.
• Ob sich die Versicherung lohnt, hängt stark davon ab, wie viele Kundendaten du verarbeitest und wie abhängig dein Honorar von einem funktionierenden Online-Betrieb ist.

Was eine Cyberversicherung abdeckt: Eigenschaden vs. Drittschaden

Wenn du als Freelancer über eine Cyberversicherung nachdenkst, lohnt sich zuerst ein Blick auf die Grundlogik der Sparte. Eine Cyberversicherung ist üblicherweise aus drei Bausteinen aufgebaut: Serviceleistungen und Kosten (etwa Forensik und die Erfüllung von Meldepflichten), Eigenschaden (dein Betriebsausfall, deine eigenen Daten) und Drittschaden, also eine eigene Haftpflichtdeckung für Ansprüche, die wegen genau dieses Cyber-Vorfalls gegen dich erhoben werden. Dieser Text schaut vor allem auf den Eigenschaden, weil das der Teil ist, den dir keine andere Police abnimmt: der Fall, dass du selbst Opfer wirst. Welche dieser Bausteine in deinem Vertrag tatsächlich gelten, steht dabei nicht im Bedingungswerk, sondern in deinem Versicherungsschein, denn Bedingungswerke beschreiben regelmäßig auch Bausteine, die nur greifen, soweit sie eigens vereinbart sind.

Je nach Tarif zählen dazu unter anderem:

• Kosten für IT-Forensik und Schadensermittlung, um herauszufinden, wie der Angriff abgelaufen ist und was betroffen ist.
• Wiederherstellung von Daten und Systemen nach einem Hackerangriff oder einer Schadsoftware.
• Ertragsausfall durch eine Betriebsunterbrechung, wenn deine Daten oder Systeme nach einem Cyber-Vorfall nicht verfügbar sind und dein Betrieb deshalb stillsteht. Achte hier auf zwei Stellschrauben: die zeitliche Selbstbeteiligung, also die Stundenzahl, die der Ausfall mindestens dauern muss, bevor überhaupt ein Anspruch entsteht, und die Haftzeit, also den Zeitraum, für den anschließend geleistet wird. Ersetzt werden dabei entgangener Betriebsgewinn und fortlaufende Kosten, häufig über einen im Versicherungsschein vereinbarten Tagessatz.
• Kosten für Krisenkommunikation, wenn ein Vorfall öffentlich wird und du gegenüber Kunden oder Presse reagieren musst.
• Eine Assistance-Hotline, die dich im akuten Fall rund um die Uhr berät, je nach Tarif mit direktem Zugriff auf IT-Forensiker und Rechtsanwälte. Wichtig für dich als Freelancer: Forensik und die meisten Kostenpositionen werden meist erst nach vorheriger Abstimmung mit dem Versicherer ersetzt. Wer im Eifer des Gefechts auf eigene Faust einen Dienstleister beauftragt, riskiert, auf der Rechnung sitzen zu bleiben.
• Kosten für die Prüfung und Erfüllung deiner Meldepflichten nach der DSGVO. Nach Artikel 33 DSGVO meldest du eine Datenpanne unverzüglich und möglichst binnen 72 Stunden an die Aufsichtsbehörde, gerechnet ab dem Zeitpunkt, an dem sie dir bekannt geworden ist, und nur dann, wenn sie voraussichtlich zu einem Risiko für die betroffenen Personen führt. Die Benachrichtigung der Betroffenen nach Artikel 34 DSGVO greift erst eine Stufe höher, nämlich bei einem voraussichtlich hohen Risiko, und kann entfallen, wenn die Daten wirksam verschlüsselt waren.

Wichtig ist die Formulierung „je nach Tarif“: Nicht jeder Baustein ist in jeder Police enthalten, und die Deckungssummen unterscheiden sich teils deutlich. Bevor du dich auf eine bestimmte Leistung verlässt, lohnt sich ein Blick in die konkreten Bedingungen oder ein Gespräch mit deinem Makler.

Gerade die Assistance-Hotline ist in der Praxis oft der Teil, der im Ernstfall den größten Unterschied macht. Statt selbst mühsam nach einem IT-Forensiker oder einem auf Datenschutzrecht spezialisierten Anwalt suchen zu müssen, meldest du dich bei einem akuten Vorfall bei einer zentralen Stelle, die dir sagt, welche Schritte jetzt sinnvoll sind: Systeme isolieren, Beweise sichern, Meldefristen im Blick behalten. Für Freelancer ohne eigene IT-Abteilung ist genau das oft wertvoller als die reine Kostenerstattung im Nachgang.

Abgrenzung zur IT-Haftpflicht

Der häufigste Denkfehler bei Freelancern ist, die Cyberversicherung mit der Haftpflicht zu verwechseln. Beide Sparten reagieren auf ganz unterschiedliche Situationen.

Ein Beispielszenario zur Einordnung: Wird bei dir selbst ein Server verschlüsselt und du kannst tagelang nicht arbeiten, ist das ein Fall für die Cyberversicherung. Programmierst du dagegen für einen Kunden eine Anwendung, in der ein Fehler steckt, durch den dessen Kundendaten öffentlich einsehbar sind, und der Kunde macht dich dafür haftbar, dann ist das ein Fall für die Vermögensschadenhaftpflicht beziehungsweise die IT-Haftpflicht.

Für IT-Freelancer, die beide Situationen kennen, lohnt sich ein Blick in die Schadenbeispiele zur IT-Haftpflicht, um ein Gefühl dafür zu bekommen, wo die Grenze in der Praxis verläuft. So trennscharf, wie die Tabelle es nahelegt, ist die Grenze allerdings nicht. Der Drittschaden-Baustein der Cyberversicherung ist eine vollwertige Haftpflichtdeckung für Ansprüche aus einem Cyber-Vorfall, etwa wenn durch einen Angriff bei dir Kundendaten abfließen und Betroffene dich in Anspruch nehmen. Die Haftung für die Verletzung von Datenschutzgesetzen ist dort häufig auf ein eigenes Sublimit begrenzt, das auf die Versicherungssumme angerechnet wird. Umgekehrt decken viele IT-Haftpflichtverträge Daten- und Cyber-Drittschäden ebenfalls schon mit ab, sodass es hier eine echte Überschneidung statt einer sauberen Trennlinie gibt. Außen vor bleiben auf beiden Seiten reine Erfüllungsansprüche: Musst du deine eigene fehlerhafte Leistung nachbessern, ist das weder über den Cyber-Drittschaden noch über die IT-Haftpflicht gedeckt. Wie sich beide Verträge bei dir zueinander verhalten, klärst du am besten konkret anhand der Bedingungen, nicht anhand einer pauschalen Erwartung.

Typische Schäden bei Freelancern

Die Schadenbilder, die bei Selbstständigen und Freelancern in der Praxis auftreten, wiederholen sich in ein paar Grundmustern. Sie unterscheiden sich damit oft gar nicht so stark von den Risiken größerer Unternehmen, nur dass ein Freelancer selten eine eigene IT-Abteilung im Rücken hat, die den Vorfall auffängt.

• Datenverlust nach einem Angriff: Verschlüsselte, veränderte oder gelöschte Daten nach einem Angriff, einem unberechtigten Zugriff oder einem Schadprogramm treffen nicht nur Konzerne, und ohne aktuelles Backup kostet das Projektdaten, Buchhaltung oder Kundenunterlagen. Wichtig zur Einordnung: Ein reiner Hardwaredefekt wie eine kaputte Festplatte, ein Ausfall bei deinem Cloud-Anbieter ohne Angriff oder ein versehentliches Löschen durch dich selbst fällt regelmäßig nicht darunter, dafür brauchst du ein sauberes Backup, keine Police. Versehentliches Löschen ist nur dann mitversichert, wenn dein Tarif einen eigenen Baustein für Bedien- und Programmierfehler enthält.
• Erpressungstrojaner (Ransomware): Deine Systeme werden verschlüsselt, auf dem Bildschirm erscheint eine Lösegeldforderung. In den Musterbedingungen der Branche ist die Zahlung von Löse- und Erpressungsgeldern zunächst ausgeschlossen. Ein Teil der Tarife übernimmt sie dennoch, in aller Regel nur bis zu einem gesonderten Sublimit und nur nach vorheriger Abstimmung mit dem Versicherer, dazu kommen sanktions- und strafrechtliche Grenzen, die eine Zahlung im Einzelfall verbieten können. Sicherheitsbehörden raten von Lösegeldzahlungen ohnehin ab, weil sie weitere Angriffe begünstigen können und eine Entschlüsselung nicht garantiert ist. Der praktisch verlässlichere Teil ist die Soforthilfe rund um den Vorfall, also Forensik und Wiederherstellung, nicht die Zahlung selbst. Verlass dich hier nicht auf eine pauschale Zusage deines Tarifs.
• Kundendaten-Leck: Wenn du Namen, Adressen oder Zahlungsdaten deiner Kunden speicherst, zum Beispiel in einem CRM oder Newsletter-Tool, und diese Daten durch einen Angriff abfließen, musst du prüfen, ob eine Meldung nötig ist. Die Pflicht entfällt nur, wenn die Panne voraussichtlich zu keinem Risiko für die Betroffenen führt, Aufwand entsteht dir also auch dann, wenn am Ende gar kein Bußgeld verhängt wird. Wichtig für viele Freelancer: Verarbeitest du die Daten weisungsgebunden im Auftrag eines Kunden, bist du Auftragsverarbeiter und meldest nicht selbst an die Aufsichtsbehörde, sondern unverzüglich an deinen Kunden als Verantwortlichen.
• Phishing und Business E-Mail Compromise: Gefälschte Rechnungen oder manipulierte Zahlungsaufforderungen, die über kompromittierte E-Mail-Konten verschickt werden, sind bei Solo-Selbstständigen ein häufiger Einstiegspunkt für größere Schäden. Genau hier lauert die größte Fehlvorstellung: Das Geld, das du selbst auf ein falsches Konto überweist, ist ein Abfluss von Vermögenswerten, und der ist in den Musterbedingungen der Branche ausdrücklich ausgeschlossen. Versichert ist er nur, wenn dein Tarif einen eigenen Baustein für Cyber-Betrug oder Vertrauensschaden enthält, und dann meist nur bis zu einem deutlich niedrigeren Sublimit als die Hauptdeckung. Frag danach ausdrücklich, wenn du regelmäßig Zahlungen freigibst.
• Geräteverlust mit Kundendaten: Ein gestohlener oder verlorener Laptop mit Kundenunterlagen ist streng genommen kein Hackerangriff, kann aber dieselben Meldepflichten auslösen und je nach Tarif ebenfalls unter die Cyberversicherung fallen. Hier hängt viel an der Verschlüsselung, und zwar gleich doppelt: Sind die Daten wirksam verschlüsselt, kann die Benachrichtigung der Betroffenen entfallen. Sind sie es nicht, kommt zum Datenschutzproblem möglicherweise eine verletzte Obliegenheit hinzu, denn die Verschlüsselung mobiler Geräte gehört in den Musterbedingungen der Branche zu den Mindeststandards, die du schon vor einem Schaden einhalten musst.

Gerade wer mit KI-Tools arbeitet, etwa als Entwickler oder in einer kleinen Agentur, vergrößert die Angriffsfläche zusätzlich: mehr angebundene Schnittstellen, mehr Zugangsdaten, mehr Automatisierung. Wenn das auf deine Arbeit zutrifft, lohnt sich ergänzend ein Blick auf die Einordnung zu KI-Versicherungen für Agenturen und Entwickler.

Was sie kostet

Pauschale Beitragszahlen nenne ich hier bewusst nicht, weil sie stark von deinem Tarif, deiner Branche und deinem Absicherungsumfang abhängen. Was den Beitrag in der Praxis am stärksten beeinflusst:

• Dein Jahresumsatz beziehungsweise deine Honorarsumme.
• Wie viele und wie sensible Kundendaten du speicherst und verarbeitest.
• Ob du mit externen Dienstleistern, Cloud-Anbietern oder eigenen Servern arbeitest.
• Die gewählte Deckungssumme und der vereinbarte Selbstbehalt.
• Vorschäden oder bereits umgesetzte Sicherheitsmaßnahmen wie Zwei-Faktor-Authentifizierung.
• Die vereinbarte zeitliche Selbstbeteiligung beim Ertragsausfall: Eine kurze Wartezeit kostet in der Regel mehr als eine lange.

Weil diese Faktoren so unterschiedlich zusammenspielen, ist ein individuelles Angebot aussagekräftiger als eine allgemeine Preisangabe im Blog. Ein Hebel, den viele Freelancer unterschätzen, ist der Selbstbehalt: Ein höherer Selbstbehalt senkt in der Regel den Beitrag, verlagert aber auch mehr Risiko auf dich selbst im Schadenfall. Wenn du wissen willst, wo du mit deinem konkreten Risikoprofil stehst und welcher Selbstbehalt für dich sinnvoll ist, ist ein kurzer Termin meist schneller als jede Beispielrechnung.

Wann sie sich lohnt (und wann nicht)

Eine Cyberversicherung ist kein Muss für jeden Freelancer, aber für bestimmte Konstellationen eine sinnvolle Ergänzung.

Der Abschluss lohnt sich tendenziell eher, wenn:

• du Kundendaten speicherst, die über reine Rechnungsadressen hinausgehen, etwa in einem CRM, einer Buchhaltungssoftware oder einer eigenen Datenbank.
• dein Honorar direkt von einem laufenden Online-Betrieb abhängt, zum Beispiel als Entwickler, Berater mit digitalen Tools oder Betreiber einer eigenen Plattform.
• ein mehrtägiger Systemausfall für dich existenziell wäre, weil du keine Rücklage hast, um die Zeit zu überbrücken.
• du für Tech-Gründer oder andere digital arbeitende Kunden tätig bist, für die ein durchdachtes Absicherungskonzept ohnehin Teil des Geschäftsmodells ist, wie es auch in der Übersicht zu IT-Versicherungen für Tech-Gründer beschrieben ist.

Ein Beispielszenario zur Einordnung: Eine Freelancerin, die als Webentwicklerin für mehrere kleine Onlineshops arbeitet und dabei Zugriff auf Kundenkonten und teils Zahlungsdaten hat, trägt ein deutlich höheres Cyber-Risiko als ein Freelancer, der als Trainer offline Workshops gibt und lediglich eine Handvoll Kontaktdaten in einer einfachen Liste pflegt. Im ersten Fall kann ein einzelner Vorfall mehrere Kundenbeziehungen gleichzeitig gefährden, im zweiten Fall bleibt der Schaden meist überschaubar. Betreibst du selbst einen Onlineshop, kommen weitere Risiken dazu: Die Übersicht Versicherungen für E-Commerce zeigt, welche Bausteine dann zählen.

Der Abschluss lohnt sich tendenziell weniger, wenn du überwiegend offline arbeitest, kaum sensible Daten speicherst und ein kurzer technischer Ausfall dein Geschäft nicht ernsthaft gefährden würde. In diesem Fall kann es reichen, die Grundlagen sauber abzusichern (aktuelle Backups, Updates, ein vernünftiges Passwort-Management) und die Cyberversicherung später nachzuholen, wenn sich dein Geschäftsmodell verändert.

Checkliste vor Abschluss

Bevor du eine Cyberversicherung abschließt, lohnt sich ein strukturierter Blick auf die Bedingungen, statt dich allein auf den Beitrag zu konzentrieren. Die folgenden Punkte helfen dir, im Beratungsgespräch die richtigen Fragen zu stellen.

• Prüfe im Versicherungsschein, nicht nur im Bedingungswerk, welche Bausteine tatsächlich vereinbart sind: Service und Kosten, Eigenschaden, Drittschaden. Bedingungswerke beschreiben regelmäßig auch Bausteine, die nur gelten, soweit sie eigens vereinbart sind.
• Frag konkret nach, wie mit Ransomware-Fällen umgegangen wird und ob und in welchem Umfang eine Lösegeldzahlung überhaupt vorgesehen ist.
• Kläre, welche Obliegenheiten der Tarif von dir verlangt, etwa regelmäßige Updates, Backups oder Zwei-Faktor-Authentifizierung, und ob du diese im Alltag realistisch einhältst.
• Vergleiche die Versicherungssumme mit deinem tatsächlichen Risiko: Wie viele Datensätze verwaltest du, wie lange könntest du einen Ausfall finanziell überbrücken? Frag beim Ertragsausfall zusätzlich nach der zeitlichen Selbstbeteiligung und der Haftzeit, denn beide entscheiden darüber, ab wann und wie lange überhaupt geleistet wird.
• Kläre die Abgrenzung zu einer bestehenden IT-Haftpflicht oder Vermögensschadenhaftpflicht, damit keine Deckungslücke zwischen beiden Policen entsteht.
• Frag nach, wie der Tarif mit Ausfällen umgeht, die gar nicht bei dir passieren. Störungen bei Cloud-Anbietern, Rechenzentren oder Software-Diensten sind je nach Bedingungswerk ausgeschlossen oder nur eingeschränkt gedeckt, der Ausfall von Strom-, Telefon- und Internetnetzen ist meist ganz ausgeschlossen. Wenn du praktisch vollständig in der Cloud arbeitest, ist das der wichtigste Vergleichspunkt überhaupt.
• Prüfe, ob eine Rückwärtsdeckung vereinbart ist. Cyber-Vorfälle werden oft erst Wochen nach dem eigentlichen Einbruch entdeckt, und ohne diese Klausel bleibt ein Schaden aus der Zeit vor Vertragsbeginn außen vor.

Aus meiner Erfahrung als Makler ist die Cyberversicherung für Freelancer selten die erste Police, über die gesprochen wird, dabei ist die Abhängigkeit von funktionierender Technik bei vielen Selbstständigen inzwischen höher als bei so mancher klassischen Firmenhaftpflicht. Wenn du unsicher bist, ob sich das für dein konkretes Geschäftsmodell lohnt, schau dir die Cyberversicherung im Überblick an oder buch dir einen Termin bei mir, dann gehen wir gemeinsam durch, wo dein größtes Risiko tatsächlich liegt.

Häufige Fragen

Brauche ich als Solo-Freelancer wirklich eine Cyberversicherung?

Das hängt von deinem Geschäftsmodell ab. Je mehr Kundendaten du verarbeitest und je stärker dein Honorar von einem laufenden Online-Betrieb abhängt, desto eher lohnt sich der Schutz. Arbeitest du überwiegend offline mit wenigen sensiblen Daten, ist sie weniger dringlich. Ein Blick auf deine tatsächliche Datenmenge und deine Abhängigkeit von funktionierender Technik ist dabei aussagekräftiger als eine pauschale Empfehlung nach Berufsbild.

Was ist der Unterschied zwischen Cyberversicherung und IT-Haftpflicht?

Die Cyberversicherung ersetzt in erster Linie deinen eigenen Schaden, wenn du Opfer eines Cyber-Vorfalls wirst. Die IT-Haftpflicht beziehungsweise Vermögensschadenhaftpflicht greift, wenn du durch deine Arbeit einem Kunden einen Schaden zufügst und dieser dich dafür haftbar macht.

Zahlt die Cyberversicherung das Lösegeld bei einem Ransomware-Angriff?

Ausgangspunkt ist ein Ausschluss: In den Musterbedingungen der Branche ist die Zahlung von Löse- und Erpressungsgeldern nicht versichert. Ein Teil der Tarife schließt sie ausdrücklich wieder ein, meist mit eigenem Sublimit, nur nach vorheriger Abstimmung mit dem Versicherer und unter sanktions- und strafrechtlichen Vorbehalten. Verlässlich gedeckt ist dagegen die Hilfe drumherum, also Forensik, Beratung und Wiederherstellung. Kläre das konkret anhand der Bedingungen deines Tarifs.

Übernimmt die Cyberversicherung DSGVO-Bußgelder?

Das hängt vom Tarif ab und ist rechtlich nicht abschließend geklärt. Die Musterbedingungen der Branche schließen Strafen und Bußgelder im Grundsatz aus und öffnen sie nur über eine ausdrückliche Sonderregelung. Wo ein Tarif Bußgelder einschließt, steht diese Leistung regelmäßig unter dem Vorbehalt, dass eine Versicherung dafür rechtlich überhaupt zulässig ist, und ob das für DSGVO-Bußgelder in Deutschland gilt, ist bis heute umstritten und nicht höchstrichterlich entschieden. Deutlich verlässlicher abgebildet sind die Kosten rund um die Meldepflichten, also die Prüfung des Vorfalls, die Meldung an die Aufsichtsbehörde und die Benachrichtigung der Betroffenen. Verlass dich hier nicht auf eine pauschale Deckungszusage.

Was passiert, wenn ich meine Backup- oder Update-Pflichten nicht einhalte?

Die meisten Tarife verlangen Mindeststandards wie aktuelle Software-Updates und regelmäßige Backups als Obliegenheit. Hältst du dich nicht daran und es kommt zum Schaden, richtet sich die Folge nach deinem Verschulden: Bei grober Fahrlässigkeit darf der Versicherer die Leistung in dem Verhältnis kürzen, das der Schwere deines Verschuldens entspricht, bei Vorsatz kann er ganz leistungsfrei sein. Bei einfacher Fahrlässigkeit bleibt es dagegen bei der vollen Leistung, und du kannst zusätzlich den Gegenbeweis führen, dass die Verletzung für den Schaden und seine Höhe gar nicht ursächlich war. Deshalb lohnt es sich, die konkreten Obliegenheiten vor Abschluss zu lesen und ehrlich zu prüfen, ob du sie im Alltag auch tatsächlich einhältst, statt sie nur auf dem Papier zu unterschreiben.