Eine Cyberversicherung gehört aus unserer Sicht heute zu den wichtigen Bestandteilen eines professionellen Risikomanagements. Besonders für Unternehmen mit eigener Serverinfrastruktur, Microsoft 365, ERP-Systemen und geschäftskritischen IT-Prozessen kann ein erfolgreicher Cyberangriff Schäden verursachen, die weit über die eigentlichen Wiederherstellungskosten hinausgehen.
Entscheidend ist nicht, möglichst günstig eine Police abzuschliessen, sondern ein Unternehmen so vorzubereiten, dass Versicherer das Risiko günstig einstufen und im Schadenfall tatsächlich leisten.
Der Schweizer Markt bietet dafür mittlerweile verschiedene Lösungen. Gemäss dem Schweizerischen Versicherungsverband (SVV) waren 2025 allerdings erst 11,5 % der Schweizer Unternehmen gegen Cyberrisiken versichert. (vgl. dazu Cyberversicherungen wachsen – doch bei KMU bleiben grosse Schutzlücken | SVV)
Für eine professionelle Ausschreibung sollte man die folgenden Deckungsbereiche gewichten: (Vorschlag)
|
Deckungsbereich |
Priorität |
Worauf achten? |
|
IT-Forensik und Incident Response |
Sehr hoch |
24/7-Verfügbarkeit, externe Experten, Sofortmassnahmen |
|
Daten- und Systemwiederherstellung |
Sehr hoch |
Auch Server, ERP, Datenbanken und Konfigurationen |
|
Betriebsunterbruch |
Sehr hoch |
Ertragsausfall, Wartefrist, Haftzeit |
|
Cyberhaftpflicht |
Sehr hoch |
Ansprüche geschädigter Kunden und Geschäftspartner |
|
Datenschutzverletzungen |
Hoch |
Anwaltskosten, Meldungen, Untersuchungen |
|
Cyber-Erpressung |
Hoch |
Krisenmanagement, Verhandlungen, mögliche Erpressungskosten |
|
Social Engineering / Zahlungsbetrug |
Hoch |
Überweisung nach gefälschten Zahlungsanweisungen |
|
Cloud- und Dienstleisterausfälle |
Hoch |
Microsoft 365, Hosting und kritische IT-Provider |
|
Krisenkommunikation |
Mittel |
Kundeninformation, Reputationsmanagement |
|
Hardwarebeschädigung / OT |
Branchenabhängig |
Produktionsanlagen, Maschinensteuerungen |
Das ist der wirtschaftlich wichtigste Teil der Vorbereitung. Die folgenden Massnahmen erhöhen die technische Widerstandsfähigkeit und verbessern typischerweise die Ausgangslage für die Risikoprüfung.
Massnahme Unsere Bewertung
MFA für sämtliche externen und privilegierten Zugriffe Kritisch
Immutable/offline Backup und getestete Rücksicherung Kritisch
Patchmanagement und Beseitigung kritischer Schwachstellen Sehr hoch
EDR/XDR und zentrales Security-Monitoring Sehr hoch
Privilegierter Zugriff und Netzwerksegmentierung Sehr hoch
Notfallreaktion bei Cyberangriffen und Wiederanlaufpläne Hoch
Security Awareness und Phishing-Übungen Hoch
Unabhängiges Assessment und Dokumentation Hoch
Multi-Faktor-Authentifizierung: MFA für VPN, Microsoft 365, Administratoren, Remote Desktop, Backupverwaltung und externe Dienstleister. Ausnahmen dokumentieren und absichern. Besonders wichtig sind privilegierte Konten und Remotezugriffe.
Ransomware-resistente Backups: 3-2-1-1-0-Prinzip anstreben, mit isolierter bzw. unveränderbarer Sicherung, geschützten Backupadministratoren und dokumentierten Wiederherstellungstests. Ein erfolgreich ausgeführter Backupjob allein ist kein Restore-Nachweis.
Schwachstellenmanagement: Inventar der Systeme, klare Patchfristen, regelmässige Scans und dokumentierte Behandlung nicht patchbarer Systeme. Kritische, öffentlich erreichbare Sicherheitslücken besonders rasch beheben.
Endpoint Detection & Response: Zentral verwalteter Schutz sämtlicher Server und Clients, überwachte Sicherheitsmeldungen und geregelte Reaktion auf Bedrohungen. Mindestens eine Moderne EDR oder sogar mit 24/7-MDR-Service.
Netzwerksegmentierung: Benutzer, Server, Backup, Management, Gastnetz und gegebenenfalls Produktion/OT voneinander trennen. Nur notwendige Kommunikationsverbindungen zulassen.
Notfallmanagement: Verantwortlichkeiten, Notfallkontakte, Kommunikationswege, Wiederanlaufreihenfolge und Freigabeverfahren festlegen. Mindestens jährlich eine realistische Krisenübung durchführen.
Awareness: Wiederkehrende, kurze Mitarbeiterschulungen und Phishing-Simulationen. Für Finanzen und Geschäftsleitung spezielle Prüfverfahren bei Kontoänderungen und Zahlungsfreigaben, für schnelle Reaktionen sollten Codewörter vereinbart werden.
Nachweise: Risikoassessment, Sicherheitsrichtlinien, Scanberichte, Backup-Testprotokolle, Patchreports und Schulungsnachweise für den Versicherer zusammenstellen.
Bevor Sie damit beginnen eine Versicherungslösung zu evaluieren, stellen Sie sicher, dass Sie die erwarteten Voraussetzungen erfüllen, sonst bezahlen Sie zu viel oder im Ernstfall wird der Versicherer nicht leisten.
Suchen Sie Unterstützung in diesem Prozess?
Oder rufen Sie uns an +41 44 947 17 20 oder schreiben Sie eine E-Mail: info@nexgen.ch