Grobe Fahrlässigkeit in der Cyberversicherung: Wie stark wird gekürzt?
Verletzt ein Unternehmen grob fahrlässig eine vereinbarte Sicherheitsvorschrift, etwa durch ein nicht eingespieltes Update, kann der Versicherer seine Leistung grundsätzlich nach der Schwere des Verschuldens kürzen – wie stark, entscheidet der Einzelfall. Laut Leistungsvergleich begrenzen 5 von 16 Versicherern diese Kürzung auf höchstens 20 %, davon 4 nur als Besserstellung über valuest. Ein weiterer Versicherer vereinbart keine vertraglichen technischen Obliegenheiten. Bei 8 von 16 Versicherern fehlt eine solche Regelung.
- enthalten
- 6 / 16
- gegen Aufpreis
- 1 / 16
- eingeschränkt
- 1 / 16
- nicht versichert
- 8 / 16
Worum es geht
Cyberversicherungen knüpfen den Schutz häufig an Sicherheitsvorschriften, sogenannte Obliegenheiten: regelmäßige Datensicherung, aktueller Virenschutz, Firewall, zeitnahes Einspielen von Updates und Zugangskontrollen. Verletzt ein Unternehmen eine solche Pflicht grob fahrlässig, kann der Versicherer die Leistung grundsätzlich nach der Schwere des Verschuldens kürzen. Eine Kürzungsbegrenzung legt dafür eine vertragliche Obergrenze fest.
Für Unternehmen ist das wichtig, weil sich vorab kaum kalkulieren lässt, ob ein Versäumnis als grob fahrlässig gewertet wird und wie hoch die Kürzungsquote ausfällt. Beides wird im Einzelfall bewertet. Eine vertragliche Begrenzung schafft Planungssicherheit: Es steht fest, welcher Anteil der Entschädigung auch bei einem groben Fehler erhalten bleibt.
Ein typisches Szenario: Für eine bekannte Sicherheitslücke im VPN-Zugang steht seit Wochen ein Update bereit, es wird aber nicht eingespielt. Angreifer nutzen die Lücke, verschlüsseln die Systeme, der Betrieb steht still. Im Schadenfall prüft der Versicherer, ob die vereinbarte Pflicht zum Patch-Management grob fahrlässig verletzt wurde. Ohne Begrenzung kann die Entschädigung für Wiederherstellung und Betriebsunterbrechung deutlich sinken.
Grobe Fahrlässigkeit: alle 16 Versicherer im Vergleich
Laut Leistungsvergleich begrenzen 5 von 16 Versicherern die Kürzung bei grob fahrlässiger Verletzung der Sicherheitsvorschriften auf höchstens 20 %. Bei 8 von 16 fehlt eine Begrenzung, darunter VHV, AIG, Beazley, Signal Iduna und VKB. Hiscox begrenzt die Kürzung im Standardtarif auf höchstens 20 % bei Schäden bis 250.000 €. Markel und Helvetia bieten dies als Besserstellung über valuest, Barmenia Gothaer über valuest ohne Begrenzung auf eine Schadenhöhe und HDI über valuest bis 100.000 €. Bei HDI entfällt diese Obergrenze, wenn im Schadenfall ein von Perseus durchgeführter Security Baseline Check vorgelegt wird, der nicht älter als 12 Monate ist. Baobab vereinbart im getesteten Sonderkonzept keine vertraglichen technischen Obliegenheiten, Stoïk nimmt Assistance-Leistungen von der Kürzung aus, und ERGO bietet eine Begrenzung nur gegen Aufpreis über den Präventionsbaustein „Premium“ bis 5.000 €.
| Versicherer (Tarif) | Begrenzte Kürzung bei grober Fahrlässigkeit | Patch-Management | Zugangskontrollen |
|---|---|---|---|
| Barmenia Gothaer Cyber-Rahmenvereinbarung bis 10 Mio. € Umsatz · 05/2026 | maximal Kürzung um 20 % unabhängig der Schadenhöheüber valuest | erforderlich (siehe Antragsfragen) | erforderlich (siehe Antragsfragen) |
| HDI Cyber-Deckungskonzept mit Risikofragen · 07/2022 | maximal Kürzung um 20 % bei Schäden bis 100.000 €. Sofern im Schadenfall ein durch Perseus durchgeführter Security Baseline Check vorgelegt werden kann (nicht älter als 12 Monate) entfällt die Obergrenze von 100.000 €.über valuest | erforderlich (siehe Obliegenheiten) | erforderlich, inklusive Rechtekonzept (siehe Obliegenheiten) |
| Helvetia Cyber-Deckungskonzept · 04/2024 | maximal Kürzung um 20 % bei Schäden bis 250.000 €über valuest | erforderlich (siehe Obliegenheiten) | erforderlich, inklusive Rechtekonzept (siehe Obliegenheiten) |
| Markel Pro Cyber (Sonderkonzept) · 05/2025 | maximal Kürzung um 20 % bei Schäden bis 250.000 €über valuest | nicht erforderlich | nicht erforderlich |
| Baobab Cyber Safe (Sonderkonzept) · 08/2026 | keine vertraglichen, technischen Obliegenheiten | erforderlich (siehe Antragsfragen) | erforderlich (siehe Antragsfragen) |
| Hiscox CyberClear Standard · 01/2026 | maximal Kürzung um 20 % bei Schäden bis 250.000 € | erforderlich (siehe Antragsfragen und Obliegenheit) | erforderlich, inklusive Rechtekonzept (siehe Antragsfragen) |
| Stoïk Cyber Serenity · 03/2026 | keine Leistungskürzung für Assistance-Leistungen | nicht erforderlich (Standard) | nicht erforderlich (Standard) |
| ERGO Cyber-Versicherung · 09/2024 | über Präventionsbaustein "Premium" bis 5.000 € | erforderlich (siehe Obliegenheiten) | erforderlich (siehe Antragsfragen) |
| AIG CyberEdge · 02/2023 | nicht versichert | erforderlich (siehe Antragsfragen) | erforderlich (siehe Antragsfragen) |
| Alte Leipziger AL_Cyber · 06/2022 | nicht versichert | erforderlich (siehe Obliegenheiten) | erforderlich (siehe Obliegenheiten) |
| Beazley Beazley Breach Response · 03/2025 | nicht versichert | erforderlich | erforderlich |
| Signal Iduna SI Cyberschutz · 04/2024 | nicht versichert | erforderlich (siehe Antragsfragen) | erforderlich (siehe Antragsfragen) |
| VHV CYBERPROTECT · 12/2020 | nicht versichert | erforderlich, bei einfacher IT genügt auch eine regelmäßige manuelle Überprüfung (siehe Obliegenheiten) | erforderlich, inklusive Rechtekonzept (siehe Obliegenheiten) |
| Victor Cyber Vlex · 05/2024 | nicht versichert | nicht erforderlich (bis 25 Millionen € Umsatz) | nicht erforderlich (bis 25 Millionen € Umsatz) |
| VKB CyberSchutz · 05/2025 | nicht versichert | erforderlich (siehe Obliegenheiten) | erforderlich, inklusive Rechtekonzept (siehe Obliegenheiten) |
| Württembergische Cyber-Police · 01/2023 | nicht versichert | erforderlich (siehe Obliegenheiten) | erforderlich, inklusive Rechtekonzept (siehe Antragsfragen) |
Besserstellungen über valuest
- Barmenia Gothaer – Begrenzte Kürzung bei grober Fahrlässigkeit: maximal Kürzung um 20 % unabhängig der Schadenhöhe
- HDI – Begrenzte Kürzung bei grober Fahrlässigkeit: maximal Kürzung um 20 % bei Schäden bis 100.000 €. Sofern im Schadenfall ein durch Perseus durchgeführter Security Baseline Check vorgelegt werden kann (nicht älter als 12 Monate) entfällt die Obergrenze von 100.000 €.
- Helvetia – Begrenzte Kürzung bei grober Fahrlässigkeit: maximal Kürzung um 20 % bei Schäden bis 250.000 €
- Markel – Begrenzte Kürzung bei grober Fahrlässigkeit: maximal Kürzung um 20 % bei Schäden bis 250.000 €
Diese Regelungen erhalten Sie über uns; im Standardtarif und im Direktabschluss sind sie nicht enthalten.
Darauf sollten Sie achten
- 1
Ist die Kürzung überhaupt begrenzt?
Prüfen Sie, ob die Bedingungen die Kürzung bei grob fahrlässiger Verletzung von Sicherheitsvorschriften ausdrücklich begrenzen, etwa auf höchstens 20 %, und ob das im Standardtarif oder nur per Zusatzvereinbarung gilt.
- 2
Bis zu welcher Schadenhöhe gilt die Grenze?
Manche Begrenzungen gelten nur für Schäden bis zu einer bestimmten Höhe, etwa 100.000 € oder 250.000 €. Gerade beim großen Ransomware-Schaden greift die Grenze dann möglicherweise nicht.
- 3
Welche Sicherheitsvorschriften sind vereinbart?
Je weniger technische Obliegenheiten der Vertrag vorgibt, desto seltener stellt sich die Kürzungsfrage. Prüfen Sie, ob Patch-Management, Virenschutz, Firewall und Zugangskontrollen verlangt werden und wie konkret.
- 4
Antragsfragen sorgfältig beantworten
Viele Anforderungen ergeben sich aus den Antragsfragen. Unzutreffende Angaben sind ein eigenes Risiko, das eine Kürzungsbegrenzung für Sicherheitsvorschriften nicht ohne Weiteres auffängt.
- 5
Ausnahmen für Assistance-Leistungen
Prüfen Sie, ob zumindest Assistance-Leistungen wie Krisenberatung von einer Kürzung ausgenommen sind. Das sichert die Soforthilfe, ersetzt aber keine Begrenzung für Eigen- und Drittschäden.
Häufige Fragen
Wann gilt ein Fehler als grob fahrlässig?
Grob fahrlässig handelt, wer die erforderliche Sorgfalt in besonders schwerem Maß außer Acht lässt, also naheliegende Vorsichtsmaßnahmen unterlässt. Ob etwa ein wochenlang nicht eingespieltes kritisches Update oder ein leicht zu erratendes Passwort darunter fällt, hängt vom Einzelfall ab.
Muss der Fehler den Schaden verursacht haben?
Nach allgemeinem Versicherungsvertragsrecht bleibt der Versicherer grundsätzlich zur Leistung verpflichtet, wenn die Pflichtverletzung weder für den Eintritt noch für den Umfang des Schadens ursächlich war. Bei Arglist gilt das nicht. Maßgeblich sind allein die jeweiligen Versicherungsbedingungen.
Welche Sicherheitsvorschriften verlangen die Versicherer?
Laut Leistungsvergleich verlangen alle 16 Versicherer eine regelmäßige Datensicherung, teils abhängig vom Umsatz. Patch-Management und Zugangskontrollen sind bei 3 von 16 nicht erforderlich: bei Stoïk, Markel und bei Victor bis 25 Millionen € Umsatz. Auf eine Firewall verzichtet nur Stoïk (1 von 16).
Sind vorsätzlich herbeigeführte Schäden versichert?
Laut Leistungsvergleich verzichten 15 von 16 Versicherern auf den Ausschluss vorsätzlich herbeigeführter Schäden. Meist gilt das nicht für Repräsentanten wie die Geschäftsführung, bei ERGO zusätzlich nicht für den Versicherungsnehmer und mitversicherte Gesellschaften. Victor verzichtet ohne diese Einschränkung. Beazley sieht im getesteten Tarif keinen solchen Verzicht vor.
Passende Cyberversicherung finden
Wir vergleichen die Tarife für Ihr Unternehmen – kostenlos, durch einen zugelassenen Versicherungsmakler (§ 34d GewO).
Quellen und Transparenz
Leistungsangaben laut Leistungsvergleich, der uns als Makler vorliegt (Stand 05.11.2026); je Versicherer der jeweils genannte Tarif. Maßgeblich sind allein die Versicherungsbedingungen. Wir sind Versicherungsmakler (§ 34d GewO) und erhalten bei Abschluss eine Courtage vom Versicherer; sie fließt nicht in Bewertungen ein. Methodik