Risiko und Versicherung
Der Antrag zur Cyberversicherung: die Fragen, an denen es hängt
Bevor ein Versicherer Ihren Betrieb versichert, stellt er Fragen. Wie oft wird gesichert, wer hat Administratorrechte, wie schnell kommen Updates auf die Rechner.
Stand: 17.09.2026
Das wirkt wie Formularkram. Tatsächlich ist es die Stelle, an der sich später entscheidet, ob die Police zahlt. Und es ist die Stelle, an der ein Geschäftsführer merkt, wie gut er seine eigene IT kennt.
Was Sie angeben müssen, und was nicht
Die Regel steht in § 19 Abs. 1 des Versicherungsvertragsgesetzes (VVG). Anzugeben sind Gefahrumstände, die drei Bedingungen erfüllen:
- Sie sind Ihnen bekannt.
- Sie sind für die Entscheidung des Versicherers erheblich.
- Der Versicherer hat in Textform danach gefragt.
Was nicht gefragt wurde, müssen Sie also nicht von sich aus erzählen. Beruhigend ist das nur halb. Denn die Fragen zielen genau auf die Punkte, an denen später ein Schaden geprüft wird.
Was eine falsche Antwort kostet
Hier liegt der Unterschied, den man kennen sollte. Eine falsche Antwort im Antrag kann mehr kosten als eine Kürzung.
Nach § 19 Abs. 2 VVG kann er vom Vertrag zurücktreten. Das GDV-Muster sagt in B3-1.2.1, was das heißt: „Im Fall des Rücktritts besteht auch für die Vergangenheit kein Versicherungsschutz.“
Es gibt Auswege. Drei stehen im selben Paragrafen, einer in § 21 VVG:
- War die falsche Angabe weder vorsätzlich noch grob fahrlässig, ist der Rücktritt ausgeschlossen. Der Versicherer darf dann nur mit einem Monat Frist kündigen (Abs. 3).
- Hätte der Versicherer den Vertrag auch in Kenntnis der Wahrheit geschlossen, wenn auch zu anderen Bedingungen, sind der Rücktritt wegen grober Fahrlässigkeit und die Kündigung ausgeschlossen (Abs. 4). Die anderen Bedingungen gelten dann auf sein Verlangen rückwirkend, etwa eine höhere Prämie oder ein Ausschluss.
- Der Versicherer hat diese Rechte nur, wenn er Sie vorher in einer gesonderten Mitteilung in Textform auf die Folgen hingewiesen hat (Abs. 5).
- Tritt der Versicherer erst nach einem Schaden zurück, bleibt er zur Zahlung verpflichtet, wenn Sie eines nachweisen: Der falsch angegebene Umstand war für den Schaden nicht ursächlich. Bei Arglist gilt das nicht (§ 21 Abs. 2 VVG, im Muster B3-1.2.1).
Wer über einen Makler abschließt, ist damit nicht aus dem Schneider. Nach B3-1.1 des Musters zählt auch, was der Vertreter wusste.
Daraus folgt eine einfache Regel: Ein ehrliches Nein ist sicherer als ein Ja, das Sie nicht belegen können. Ein ehrliches Nein verletzt keine Anzeigepflicht. Der Versicherer kann darauf andere Bedingungen anbieten oder ablehnen, aber wegen dieser Antwort später nicht zurücktreten.
Zwei Fehler, zwei Folgen
Die falsche Antwort im Antrag ist das eine. Das andere ist die Pflicht, die Sie nach Vertragsschluss im Betrieb nicht einhalten. Versicherer nennen das eine Obliegenheit.
| Gesichtspunkt | Falsche Antwort im Antrag | Pflicht im Betrieb verletzt |
|---|---|---|
| Regel | § 19 VVG, GDV B3-1 | § 28 VVG, GDV B3-4 |
| Folge | Rücktritt, rückwirkend kein Schutz | Kürzung bei grober Fahrlässigkeit, keine Leistung bei Vorsatz |
| Ausweg | Umstand war für den Schaden nicht ursächlich | Verletzung war für den Schaden nicht ursächlich |
| Kein Ausweg bei | Arglist | Arglist |
Beide Fehler haben also einen Notausgang: den Nachweis, dass der Punkt mit dem Schaden nichts zu tun hatte. Wer arglistig war, hat ihn nicht.
Die zehn Fragen aus dem Muster-Fragebogen
Der Gesamtverband der Versicherungswirtschaft hat einen Muster-Fragebogen für kleine und mittlere Betriebe veröffentlicht. Er ist vom Dezember 2019 und damit älter als die Musterbedingungen von 2024. Die Themen sind aber dieselben geblieben.
Der Bogen teilt Betriebe in drei Stufen. Stufe A gilt bei einem Jahresumsatz bis 2 Millionen Euro und wenn keiner von fünf Risikobereichen zutrifft. Dazu zählen ein eigener Onlineshop auf eigener Technik, sensible Daten, Berufsgeheimnisse, Geschäftsgeheimnisse Dritter und vernetzte Produktionsanlagen. Laut GDV trifft Stufe A auf rund 80 Prozent der kleinen und mittleren Unternehmen zu.
Für Stufe A sind es zehn Aussagen, die Sie bestätigen oder verneinen:
| Nr. | Thema | Was bestätigt werden soll, verkürzt |
|---|---|---|
| A1 | Eigene Zugänge | Jeder Nutzer und jeder Administrator hat eine eigene Kennung mit Passwort. |
| A2 | Passwortregeln | Mindestanforderungen an Passwörter werden technisch erzwungen. |
| A3 | Adminrechte | Administratorkonten nur für Administratoren und nur für Verwaltungsarbeit. |
| A4 | Geräte im Internet und unterwegs | Zusätzlicher Schutz vor fremdem Zugriff, bei Mobilgeräten Vollverschlüsselung. |
| A5 | Datensicherung | Mindestens wöchentlich. |
| A6 | Getrennte Aufbewahrung | Sicherungen liegen physisch getrennt von den Systemen. |
| A7 | Schutz der Sicherung | Fremder Zugriff und nachträgliche Änderung sind technisch verhindert. |
| A8 | Wiederherstellungstest | Regelmäßig, nach festem Turnus. |
| A9 | Updates | Alle Systeme aktuell, Sicherheitsupdates automatisch oder zeitnah. |
| A10 | Schadsoftware | Schutz auf allen Systemen, der sich selbst aktuell hält. |
Zu A10 steht im Bogen ein Satz, der Geld spart: Ein gekauftes Virenschutzprogramm ist nicht zwingend. Der GDV nennt Windows Defender ausdrücklich als Beispiel für wirksamen Schutz mit Bordmitteln.
Stufe B fügt acht Fragen hinzu, etwa zu Schulungen, zentralem Update-Management und getrennten Netzen. Stufe C noch drei, darunter einen schriftlichen Notfallplan.
Jeder Versicherer verlangt etwas anderes
Die zehn Fragen sind das Muster. Die echten Bedingungen weichen davon ab, und zwar in beide Richtungen. Verglichen am 17.09.2026:
| Thema | GDV-Muster 02/2024 | Hiscox 06/2022 | Gothaer 07/2023 | R+V 01.04.2026 |
|---|---|---|---|---|
| Sicherung | wöchentlich | wöchentlich vollständig | wöchentlich vollständig | wöchentlich |
| Aufbewahrung | nicht geregelt | mindestens 30 Tage | nicht geregelt | nicht geregelt |
| Wiederherstellungstest | ja, fester Turnus | nicht verlangt | nicht verlangt | ja, fester Turnus |
| Updates | „zeitnah“ | binnen 30 Tagen | „unverzüglich“ | „zeitnah“ |
| Zwei-Faktor-Anmeldung | nur als Beispiel für Server | nur beim Zugriff auf die Sicherung | für Fernzugriff, „und/oder VPN“ | nicht genannt |
| Altsysteme ohne Updates | nicht geregelt | nur im abgetrennten Netz ohne Internet | nicht geregelt | nicht geregelt |
| Schulung | nicht geregelt | nicht geregelt | mindestens jährlich | nicht geregelt |
Zwei Befunde fallen auf.
Zwei-Faktor-Anmeldung ist in keinem der vier Werke durchgängig Pflicht. Für E-Mail-Konten verlangt sie keines. Im Anforderungskatalog, an dem AXA die Versicherbarkeit größerer Betriebe misst, steht sie dagegen für Cloud-Administratoren und Fernzugriffe. Gefragt wird also danach, auch wo es nicht im Vertrag steht.
R+V hat eine Klausel, die für kleine Betriebe viel wert ist. Nach Ziffer 7.10.1 Nr. 2 verzichtet der Versicherer auf eine Pflicht, wenn sie technisch nicht umsetzbar ist. Oder wenn der Aufwand in einem groben Missverhältnis zum Vertrag steht. Eine solche Klausel steht in keinem der anderen drei Werke.
Wer den Versicherer wechselt, tauscht also Pflichten. Von Hiscox zu Gothaer heißt zum Beispiel: weg von der festen 30-Tage-Frist für Updates, hin zu einer jährlichen Schulungspflicht.
Was Sie vor dem Ausfüllen tun können
Die Fragen sind keine Gefühlsfragen. Sie fragen nach Zuständen, und zu jedem Zustand gibt es einen Beleg oder keinen.
- Wiederherstellungstest: Wann wurde zuletzt etwas aus der Sicherung zurückgeholt, und steht das irgendwo?
- Adminrechte: Wer hat welche Administratorkonten? Eine Liste mit Namen beantwortet A3.
- Updates: Welcher Rechner hat welchen Stand? Welcher bekommt gar keine Updates mehr?
- Sicherung: Kann ein Rechner im Netz die Sicherung löschen? Das GDV-Muster verlangt, dass kein System Original und Kopie gleichzeitig verändern kann.
Können Sie eine Frage nicht belegen, beantworten Sie sie so, wie es ist. Und schreiben Sie auf, was fehlt. Das ist Ihre Liste für die nächsten Wochen.
Wenn Sie beim Ausfüllen nicht weiterkommen, weil niemand im Haus die Antworten kennt, ist genau das der Punkt, an dem ein IT-Dienstleister gebraucht wird. Reden Sie im Erstgespräch mit uns darüber. Haben Sie die Police schon, lesen wir sie beim Cyber-Check und halten Ihre IT dagegen.
Quellen
- Versicherungsvertragsgesetz, § 19 zur Anzeigepflicht, § 21 zum Rücktritt nach dem Schaden und § 28 zu Obliegenheiten.
- GDV, Musterbedingungen AVB Cyber, Stand Februar 2024: A1-16.1, B3-1.1, B3-1.2.1 und B3-4.
- GDV, unverbindlicher Muster-Fragebogen zur Risikoerfassung, Stand Dezember 2019: Stufen, Fragen A1 bis A10, B1 bis B8, C1 bis C3 und der Hinweis zu A10.
- Pflichten der Versicherer: Hiscox IV.15, Gothaer Abschnitt IX § 8, R+V 7.10.1 und der Anforderungskatalog von AXA vom 19.12.2023.
Stand dieser Angaben: 17.09.2026. Hier sind Gesetz, Musterbedingungen und einzelne Bedingungswerke nebeneinandergelegt. Das ersetzt keine rechtliche Prüfung Ihres Antrags. Die Fragen, die für Sie gelten, stehen im Bogen Ihres Versicherers.