Obliegenheiten der Cyberversicherung: IT-Sicherheit im Vergleich
Cyberversicherer verlangen in der Regel regelmäßige Datensicherungen, Virenschutz, Firewalls, Patch-Management und Zugangskontrollen. Laut Leistungsvergleich setzen 15 von 16 Versicherern eine Firewall voraus, 13 von 16 verlangen zusätzlich ohne Umsatzgrenze Patch-Management und Zugangskontrollen. Wird eine vertragliche Obliegenheit grob fahrlässig verletzt und ist dies für den Schaden ursächlich, droht eine Leistungskürzung. 6 von 16 Tarifen enthalten eine Begrenzung dieser Kürzung oder verzichten auf vertragliche technische Obliegenheiten, teils erst durch eine Besserstellung über valuest.
Worum es geht
Eine Obliegenheit ist eine vertragliche Verhaltenspflicht des Versicherungsnehmers. In der Cyberversicherung betrifft sie vor allem die IT-Sicherheit: Datensicherungen in festgelegten Abständen, aktueller Virenschutz, Firewalls, das zeitnahe Einspielen von Sicherheitsupdates und geschützte Zugänge. Ein Teil dieser Vorgaben wird bereits im Antrag abgefragt, ein Teil gilt während der gesamten Vertragslaufzeit.
Für Unternehmen sind diese Vorgaben deshalb wichtig, weil sie im Schadenfall über die Höhe der Leistung mitentscheiden. Stellt sich heraus, dass eine vereinbarte Sicherheitsmaßnahme grob fahrlässig nicht eingehalten wurde, kann der Versicherer seine Leistung je nach Schwere des Verschuldens kürzen. Wer die Vorgaben seines Vertrags kennt und ihre Umsetzung dokumentiert, verringert dieses Risiko.
Ein typisches Szenario: Eine bekannte Sicherheitslücke in der Firewall oder im Fernzugang wird über Monate nicht geschlossen, Angreifer nutzen sie und verschlüsseln die Systeme per Ransomware. Zeigt sich zudem, dass die letzte Datensicherung Wochen alt ist, steht neben dem Betriebsausfall schnell die Frage im Raum, ob eine Obliegenheit verletzt wurde – und ob der Versicherer deshalb kürzen darf.
Sicherheitsvorgaben: alle 16 Versicherer im Vergleich
Stoïk verlangt laut Leistungsvergleich eine wöchentliche Datensicherung (bis 150 Millionen € Umsatz), setzt Virenschutz, Firewall, Patch-Management und Zugangskontrollen aber nicht voraus. Markel verzichtet auf Patch-Management und Zugangskontrollen, Victor bis 25 Millionen € Umsatz. Ohne Umsatzgrenze verlangen 13 von 16 Versicherern beides. Eine Begrenzung der Leistungskürzung bei grob fahrlässigen Verstößen enthalten 5 Tarife: Hiscox im Standard mit maximal 20 % bei Schäden bis 250.000 €, Markel, Helvetia, HDI und Barmenia Gothaer als Besserstellung über valuest. Baobab sieht laut Leistungsvergleich keine vertraglichen technischen Obliegenheiten vor, damit sind es 6 von 16. ERGO bietet die Begrenzung nur gegen Aufpreis, Stoïk verzichtet auf Kürzungen bei Assistance-Leistungen. Bei 8 von 16 Versicherern, darunter VHV, AIG, Beazley und Signal Iduna, fehlt eine solche Begrenzung.
| Versicherer (Tarif) | Datensicherung | Virenschutz | Firewall | Patch-Management | Zugangskontrollen | Begrenzte Kürzung bei grober Fahrlässigkeit |
|---|---|---|---|---|---|---|
| Stoïk Cyber Serenity · 03/2026 | bis 150 Millionen € Umsatz wöchentliche Datensicherung | nicht erforderlich (Standard) | nicht erforderlich (Standard) | nicht erforderlich (Standard) | nicht erforderlich (Standard) | keine Leistungskürzung für Assistance-Leistungen |
| Markel Pro Cyber (Sonderkonzept) · 05/2025 | bei Unternehmen bis 1 Millionen € Umsatz wöchentlich bei Unternehmen ab 1 Millionen € Umsatz täglich (siehe Antragsfragen) | erforderlich, hiervon ausgenommen sind die Betriebssysteme von Apple, Unix und Linux (siehe Antragsfragen) | erforderlich (siehe Antragsfragen) | nicht erforderlich | nicht erforderlich | maximal Kürzung um 20 % bei Schäden bis 250.000 €über valuest |
| Victor Cyber Vlex · 05/2024 | bei Unternehmen bis 25 Millionen € Umsatz wöchentlich (siehe Antragsfragen) | erforderlich (siehe Antragsfragen) | erforderlich (siehe Antragsfragen) | nicht erforderlich (bis 25 Millionen € Umsatz) | nicht erforderlich (bis 25 Millionen € Umsatz) | nicht versichert |
| AIG CyberEdge · 02/2023 | erforderlich (siehe Antragsfragen) | erforderlich (siehe Antragsfragen) | erforderlich (siehe Antragsfragen) | erforderlich (siehe Antragsfragen) | erforderlich (siehe Antragsfragen) | nicht versichert |
| Alte Leipziger AL_Cyber · 06/2022 | mindestens einmal wöchentlich (siehe Obliegenheiten) | erforderlich, inklusive automatischer Aktualisierung (siehe Obliegenheiten) | erforderlich, inklusive ständiger Aktualisierung (siehe Obliegenheiten) | erforderlich (siehe Obliegenheiten) | erforderlich (siehe Obliegenheiten) | nicht versichert |
| Baobab Cyber Safe (Sonderkonzept) · 08/2026 | wöchentlich (siehe Antragsfragen) | erforderlich ab 30 Millionen € (siehe Antragsfragen) | erforderlich (siehe Antragsfragen) | erforderlich (siehe Antragsfragen) | erforderlich (siehe Antragsfragen) | keine vertraglichen, technischen Obliegenheiten |
| Barmenia Gothaer Cyber-Rahmenvereinbarung bis 10 Mio. € Umsatz · 05/2026 | mindestens einmal wöchentlich (siehe Antragsfragen) | erforderlich, inklusive ständiger Aktualisierung (siehe Antragsfragen) | erforderlich, inklusive ständiger Aktualisierung (siehe Antragsfragen) | erforderlich (siehe Antragsfragen) | erforderlich (siehe Antragsfragen) | maximal Kürzung um 20 % unabhängig der Schadenhöheüber valuest |
| Beazley Beazley Breach Response · 03/2025 | regelmäßige Datensicherung erforderlich | erforderlich | erforderlich | erforderlich | erforderlich | nicht versichert |
| ERGO Cyber-Versicherung · 09/2024 | mindestens einmal wöchentlich (siehe Obliegenheiten) | erforderlich, inklusive ständiger Aktualisierung (siehe Obliegenheiten) | erforderlich, inklusive ständiger Aktualisierung (siehe Obliegenheiten) | erforderlich (siehe Obliegenheiten) | erforderlich (siehe Antragsfragen) | über Präventionsbaustein "Premium" bis 5.000 € |
| HDI Cyber-Deckungskonzept mit Risikofragen · 07/2022 | mindestens einmal wöchentlich (siehe Obliegenheiten) | erforderlich, inklusive automatischer Aktualisierung (siehe Obliegenheiten) | erforderlich (siehe Antragsfragen) | erforderlich (siehe Obliegenheiten) | erforderlich, inklusive Rechtekonzept (siehe Obliegenheiten) | maximal Kürzung um 20 % bei Schäden bis 100.000 €. Sofern im Schadenfall ein durch Perseus durchgeführter Security Baseline Check vorgelegt werden kann (nicht älter als 12 Monate) entfällt die Obergrenze von 100.000 €.über valuest |
| Helvetia Cyber-Deckungskonzept · 04/2024 | mindestens einmal wöchentlich, inklusive physischer Trennung (siehe Obliegenheiten) | erforderlich, inklusive automatischer Aktualisierung (siehe Obliegenheiten) | erforderlich, inklusive ständiger Aktualisierung (siehe Obliegenheiten) | erforderlich (siehe Obliegenheiten) | erforderlich, inklusive Rechtekonzept (siehe Obliegenheiten) | maximal Kürzung um 20 % bei Schäden bis 250.000 €über valuest |
| Hiscox CyberClear Standard · 01/2026 | mindestens einmal wöchentlich (siehe Antragsfragen und Obliegenheit) | erforderlich, inklusive automatischer Aktualisierung (siehe Antragsfragen und Obliegenheit) | erforderlich (siehe Antragsfragen und Obliegenheit) | erforderlich (siehe Antragsfragen und Obliegenheit) | erforderlich, inklusive Rechtekonzept (siehe Antragsfragen) | maximal Kürzung um 20 % bei Schäden bis 250.000 € |
| Signal Iduna SI Cyberschutz · 04/2024 | wöchentliche Datensicherung erforderlich (siehe Antragsfragen) | erforderlich (siehe Antragsfragen) | erforderlich (siehe Antragsfragen) | erforderlich (siehe Antragsfragen) | erforderlich (siehe Antragsfragen) | nicht versichert |
| VHV CYBERPROTECT · 12/2020 | mindestens einmal wöchentlich (siehe Obliegenheiten) | erforderlich, inklusive automatischer Aktualisierung (siehe Obliegenheiten) | erforderlich, inklusive ständiger Aktualisierung (siehe Obliegenheiten) | erforderlich, bei einfacher IT genügt auch eine regelmäßige manuelle Überprüfung (siehe Obliegenheiten) | erforderlich, inklusive Rechtekonzept (siehe Obliegenheiten) | nicht versichert |
| VKB CyberSchutz · 05/2025 | mindestens einmal wöchentlich (siehe Antragsfragen) | erforderlich (siehe Obliegenheiten) | erforderlich (siehe Obliegenheiten) | erforderlich (siehe Obliegenheiten) | erforderlich, inklusive Rechtekonzept (siehe Obliegenheiten) | nicht versichert |
| Württembergische Cyber-Police · 01/2023 | mindestens einmal wöchentlich (siehe Obliegenheiten) | erforderlich, inklusive ständiger Aktualisierung (siehe Obliegenheiten) | erforderlich, inklusive ständiger Aktualisierung (siehe Obliegenheiten) | erforderlich (siehe Obliegenheiten) | erforderlich, inklusive Rechtekonzept (siehe Antragsfragen) | nicht versichert |
Grünes Häkchen = keine Pflicht für Sie; gelbes Symbol = der Versicherer verlangt diese Maßnahme.
Besserstellungen über valuest
- Markel – Begrenzte Kürzung bei grober Fahrlässigkeit: maximal Kürzung um 20 % bei Schäden bis 250.000 €
- Barmenia Gothaer – Begrenzte Kürzung bei grober Fahrlässigkeit: maximal Kürzung um 20 % unabhängig der Schadenhöhe
- HDI – Begrenzte Kürzung bei grober Fahrlässigkeit: maximal Kürzung um 20 % bei Schäden bis 100.000 €. Sofern im Schadenfall ein durch Perseus durchgeführter Security Baseline Check vorgelegt werden kann (nicht älter als 12 Monate) entfällt die Obergrenze von 100.000 €.
- Helvetia – Begrenzte Kürzung bei grober Fahrlässigkeit: maximal Kürzung um 20 % bei Schäden bis 250.000 €
Diese Regelungen erhalten Sie über uns; im Standardtarif und im Direktabschluss sind sie nicht enthalten.
Darauf sollten Sie achten
- 1
Obliegenheit oder Antragsfrage?
Im Vergleich steht oft „siehe Antragsfragen“ oder „siehe Obliegenheiten“. Antworten im Antrag müssen bei Abschluss zutreffen, vertragliche Obliegenheiten gelten während der gesamten Laufzeit.
- 2
Takt und Art der Datensicherung
Achten Sie auf die geforderte Frequenz und Form: Meist ist eine wöchentliche Sicherung gefordert, Markel verlangt ab 1 Million € Umsatz eine tägliche, Helvetia zusätzlich eine physische Trennung.
- 3
Begrenzung der Leistungskürzung
Prüfen Sie, ob die Kürzung bei grob fahrlässigen Verstößen gedeckelt ist, etwa auf maximal 20 %, und bis zu welcher Schadenhöhe diese Begrenzung gilt.
- 4
Umsatzgrenzen bei den Vorgaben
Manche Pflichten hängen von Schwellenwerten ab: Bei Victor entfallen Patch-Management und Zugangskontrollen bis 25 Millionen € Umsatz, bei Baobab ist Virenschutz laut Leistungsvergleich erst ab 30 Millionen € gefordert.
- 5
Unbestimmte Formulierungen
Begriffe wie „regelmäßig“, „aktuell“ oder „ständige Aktualisierung“ lassen Auslegungsspielraum. Dokumentieren Sie Backups, Updates und Berechtigungen, um die Umsetzung im Schadenfall belegen zu können.
Häufige Fragen
Was passiert, wenn ich eine Obliegenheit verletze?
Das hängt vom Verschulden ab. Bei Vorsatz kann der Versicherer leistungsfrei sein, bei grober Fahrlässigkeit kann er die Leistung im Verhältnis zur Schwere des Verschuldens kürzen. Einfache Fahrlässigkeit führt in der Regel nicht zu einer Kürzung. War die Verletzung für den Schaden nicht ursächlich, bleibt die Leistungspflicht meist bestehen.
Muss die Datensicherung vom Netzwerk getrennt sein?
Das ist je nach Vertrag unterschiedlich geregelt. Laut Leistungsvergleich verlangt etwa Helvetia ausdrücklich eine physische Trennung. Auch ohne vertragliche Pflicht ist eine getrennte Sicherung sinnvoll, weil Ransomware erreichbare Backups mitverschlüsseln kann.
Gelten die Vorgaben auch für Apple- oder Linux-Rechner?
Sofern der Vertrag keine Ausnahme vorsieht, sollten Sie davon ausgehen, dass die Vorgaben auch für diese Systeme gelten. Es gibt Ausnahmen: Markel nimmt laut Leistungsvergleich die Betriebssysteme von Apple, Unix und Linux von der Pflicht zum Virenschutz aus. Klären Sie bei anderen Versicherern im Zweifel vor Abschluss, welche Systeme erfasst sind.
Bekomme ich bei einem Verstoß trotzdem Hilfe im Notfall?
Das hängt vom Tarif ab. Bei Stoïk werden laut Leistungsvergleich Assistance-Leistungen ohne Prüfung einer Obliegenheits- oder Anzeigepflichtverletzung erbracht und nicht gekürzt. Klären Sie bei anderen Tarifen vor Abschluss, ob Soforthilfe und Krisenberatung von einer Kürzung ausgenommen sind.
Passende Cyberversicherung finden
Wir vergleichen die Tarife für Ihr Unternehmen – kostenlos, durch einen zugelassenen Versicherungsmakler (§ 34d GewO).
Quellen und Transparenz
Leistungsangaben laut Leistungsvergleich, der uns als Makler vorliegt (Stand 05.11.2026); je Versicherer der jeweils genannte Tarif. Maßgeblich sind allein die Versicherungsbedingungen. Wir sind Versicherungsmakler (§ 34d GewO) und erhalten bei Abschluss eine Courtage vom Versicherer; sie fließt nicht in Bewertungen ein. Methodik