CYBERVERSICHERUNG · READINESS

Was Versicherer wirklich prüfen,
bevor sie eine Cyberpolice zeichnen.

Der Antrag ist mehr als eine Formalität. Er verdichtet Ihre technische und organisatorische Sicherheit in prüfbare Aussagen zu Daten, Backups, E-Mail, Zugriffen, Reaktion und Wiederanlauf. Dieser Ratgeber zeigt die typischen Cyberversicherung-Anforderungen, erklärt den Fragebogen und hilft Ihnen, offene Punkte vor der Einreichung zu erkennen.

13 typische Kontrollen·rund 5 Minuten·ohne Konto·keine Versicherungszusage

Kostenloser Versicherungs-Check (13 Fragen, ohne Konto)Die Kontrollen verstehen

DER ANTRAG

Warum der Fragebogen über Prämie, Deckung und Zusage entscheidet

Cyberversicherer beurteilen nicht nur Branche, Umsatz und Versicherungssumme. Sie wollen verstehen, wie wahrscheinlich ein Sicherheitsvorfall ist, wie weit er sich ausbreiten könnte und ob Ihr Unternehmen handlungsfähig bleibt. Der Cyberversicherung-Fragebogen übersetzt diese Risiken in konkrete Ja-Nein- oder Reifegradfragen. Je klarer und belastbarer die Antworten, desto besser kann ein Underwriting-Team das Risiko einordnen.

Die Antworten können Prämie, Selbstbehalt, Sublimiten und Ausschlüsse beeinflussen. Fehlende Basiskontrollen können Rückfragen, Auflagen oder eine Ablehnung auslösen. Eine Kontrolle sollte im relevanten Umfang umgesetzt, wirksam und mit einem nachvollziehbaren Nachweis belegbar sein.

Angaben im Antrag können Teil der Vertragsgrundlage werden. Beschreiben Sie den tatsächlichen Stand und nicht den gewünschten Zielzustand. Eine geplante Massnahme sollte auch als geplant bezeichnet werden. Die konkrete rechtliche Wirkung einer unvollständigen oder falschen Angabe hängt vom Antrag, der Police und dem anwendbaren Recht ab; im Zweifel gehören Versicherer, Broker oder Rechtsberatung an den Tisch.

Prämie und Selbstbehalt

Reife Kontrollen können die Risikoeinschätzung verbessern. Der Check berechnet jedoch keine individuelle Prämie und verspricht keinen Rabatt.

Deckung und Ausschlüsse

Versicherer können Deckung an Voraussetzungen knüpfen oder Teilrisiken begrenzen. Massgebend bleiben Antrag, Offerte und Police.

Zusage oder Rückfrage

Unklare Antworten und fehlende Nachweise führen häufig zu Rückfragen. Kritische Lücken können die Zeichnung erschweren oder verhindern.

DIE PRÜFPUNKTE

Die 13 Standard-Kontrollen im Cyberversicherung-Fragebogen

Die Formulierung unterscheidet sich von Antrag zu Antrag, die Kernthemen sind aber erstaunlich stabil. Die folgenden 13 Kontrollen sind bewusst generisch formuliert und nennen keinen Versicherer. Prüfen Sie bei jeder Aussage drei Ebenen: Gilt sie für alle relevanten Systeme? Wird sie im Alltag eingehalten? Können Sie das mit Konfigurationen, Protokollen, Richtlinien oder Testergebnissen zeigen?

Datenlage

Versicherer müssen zuerst verstehen, welche Werte und Abhängigkeiten geschützt werden.

Daten, Systeme und Verantwortungen kennen

Sie sollten wissen, welche geschäftskritischen Daten Sie verarbeiten, wo diese liegen und welche Systeme für Umsatz, Produktion oder Kundendienst unverzichtbar sind. Dazu gehören Verantwortliche pro Kernsystem und eine einfache Klassifizierung, etwa öffentlich, intern, vertraulich und besonders schützenswert. Für ein KMU genügt oft ein gepflegtes Inventar, sofern Cloud-Dienste, externe IT-Partner und Datenflüsse mitgedacht sind.

Mögliche Nachweise: Asset-Liste, Datenklassifizierung, Systemverantwortliche und Lieferantenübersicht.

Backups

Backups zählen nur, wenn sie getrennt, geschützt und wiederherstellbar sind.

Mindestens wöchentliche Sicherung

Geschäftskritische Daten sollten mindestens wöchentlich gesichert werden; bei hoher Änderungsrate kann häufiger nötig sein. Der Umfang muss zu den Wiederanlaufzielen passen. Prüfen Sie Datenbanken, SaaS-Plattformen, Dateien, Konfigurationen und Identitätsdienste. Ein Cloud-Anbieter übernimmt nicht automatisch jede Wiederherstellungspflicht. Definieren Sie, wie viel Datenverlust akzeptabel ist und ob der Sicherungsrhythmus dieses Ziel erfüllt.

Mögliche Nachweise: Backup-Plan, Job-Protokolle, Aufbewahrungsfristen und dokumentiertes Wiederherstellungsziel.

Backups verschlüsseln

Sicherungen enthalten oft die vollständigste Kopie Ihrer Daten und sind ein attraktives Ziel. Verschlüsselung sollte bei Übertragung und Speicherung greifen. Ebenso wichtig ist die Schlüsselverwaltung: Wer kann entschlüsseln, wie werden Zugriffe protokolliert und was geschieht beim Austritt einer administrativen Person? Prüfen Sie auch SaaS-Exporte und portable Datenträger. Ohne dokumentierte Zuständigkeit und getesteten Notfallzugriff bleibt die Kontrolle unvollständig.

Mögliche Nachweise: Verschlüsselungseinstellung, Schlüsselverwaltung, Zugriffsrollen und Wiederherstellungstest.

Offline oder unveränderbare Kopie

Ransomware versucht häufig, erreichbare Backups mitzuverschlüsseln oder zu löschen. Mindestens eine aktuelle Kopie sollte deshalb getrennt oder technisch unveränderbar sein, etwa über Offline-Medien, ein separates Konto oder Object Lock. Wenn dieselben Zugangsdaten Produktion und Sicherungen löschen können, fehlt die Isolation. Testen Sie regelmässig eine echte Rücksicherung und dokumentieren Sie Fehler und Korrekturen.

Mögliche Nachweise: Offline- oder Immutable-Konfiguration, getrennte Admin-Rollen und Restore-Protokoll.

SELBSTCHECK

Wie weit erfüllen Sie diese Anforderungen heute?

Beantworten Sie 13 kompakte Fragen und erhalten Sie pro Kontrolle eine Einordnung als erfüllt, teilweise oder offen. Der Check ist eine Standortbestimmung ohne Konto. Er übermittelt keinen Versicherungsantrag und trifft keine Aussage über Prämie, Deckung oder Annahme.

Kostenloser Versicherungs-Check (13 Fragen, ohne Konto)

E-Mail, Patching und Virenschutz

Viele Schadenereignisse beginnen mit einer Nachricht, einer bekannten Schwachstelle oder einem ungeschützten Endgerät.

E-Mail-Schutz und Phishing-Abwehr

E-Mail-Sicherheit umfasst mehr als Spamfilter. Nötig sind Schutz vor schädlichen Links und Anhängen, Absenderprüfung, sichere Domain-Konfiguration und ein klarer Meldeweg. Geschäftsleitung, Finanzen und IT benötigen besondere Aufmerksamkeit, weil Zahlungsbetrug und Kontoübernahmen dort hohe Wirkung haben. Prüfen Sie auch gemeinsame Postfächer und Weiterleitungen. Gemeldete Phishing-Versuche sollten zeitnah untersucht und bereinigt werden.

Mögliche Nachweise: Mail-Gateway-Konfiguration, Domain-Schutz, Meldeprozess und Auswertungen gemeldeter Nachrichten.

Sicherheitsupdates zeitnah einspielen

Ein belastbarer Patch-Prozess inventarisiert Systeme, bewertet Schwachstellen und setzt risikobasierte Fristen. Internet-exponierte Dienste, VPN, Firewalls, Browser und Betriebssysteme brauchen kurze Reaktionszeiten. Notfallpatches benötigen einen schnellen Weg; Ausnahmen eine verantwortliche Person, ein Enddatum und kompensierende Massnahmen. Automatische Updates ersetzen nicht die Kontrolle fehlgeschlagener oder nicht verwalteter Geräte.

Mögliche Nachweise: Patch-Richtlinie, Geräteabdeckung, Compliance-Bericht, Ausnahmeprotokoll und kritische Update-Tickets.

Endgeräte und Server aktiv schützen

Virenschutz wird meist breiter verstanden: zentral verwalteter Endpoint-Schutz, aktuelle Erkennungen, Manipulationsschutz und Reaktion auf Warnungen. Die Abdeckung sollte Laptops, Desktops und relevante Server im Büro und remote einschliessen. Prüfen Sie, ob Alarme tatsächlich bearbeitet werden. Unverwaltete Geräte, lange offline Systeme und lokale Ausschlüsse sind typische blinde Flecken. Ohne interne Kapazität kann ein betreuter Dienst sinnvoll sein.

Mögliche Nachweise: EDR- oder Antivirus-Konsole, Abdeckungsquote, Richtlinie, Alarmhistorie und Reaktionsprozess.

Passwörter, MFA und Schulung

Identitäten sind der direkte Weg zu E-Mail, Cloud, Administration und Finanzprozessen.

Starke Passwörter und saubere Kontoführung

Lange, einzigartige Passwörter und ein Passwortmanager sind wirksamer als vorhersehbare Wechsel. Eintritt, Rollenwechsel und Austritt müssen sauber gesteuert sein. Gemeinsame Konten sollten vermieden werden; Administratoren benötigen getrennte Konten für normale und privilegierte Arbeit. Prüfen Sie regelmässig inaktive Benutzer, externe Zugänge und Servicekonten. Wo Passwörter die einzige Barriere sind, sollten Sperren und Monitoring ergänzen.

Mögliche Nachweise: Passwortrichtlinie, Passwortmanager-Rollout, Benutzerreview und dokumentierter Joiner-Mover-Leaver-Prozess.

Mehrfaktor-Authentifizierung durchsetzen

MFA gehört zu den häufigsten Cyberversicherung-Anforderungen. Sie sollte E-Mail, Remote-Zugriff, Cloud-Administration, privilegierte Konten und kritische Anwendungen schützen. Entscheidend ist die Abdeckung, nicht eine Pilotgruppe. Ausnahmen sollten selten, begründet und befristet sein. Sicherheitsschlüssel oder passwortlose Anmeldung sind für kritische Rollen stärker als leicht abfangbare Codes. Alte Protokolle dürfen MFA nicht umgehen.

Mögliche Nachweise: Identitätsanbieter-Export, MFA-Abdeckungsquote, Conditional-Access-Regeln und Ausnahmeliste.

Mitarbeitende regelmässig schulen

Awareness sollte kurz, verständlich und wiederkehrend sein. Themen sind Phishing, Zahlungsfreigaben, Passwortmanager, Datenhandling, mobiles Arbeiten und schnelle Meldungen. Neue Mitarbeitende brauchen eine frühe Einführung; exponierte Teams rollenspezifische Übungen. Fördern Sie eine Kultur, in der verdächtige Vorgänge ohne Angst gemeldet werden. Messen Sie Teilnahme und Verbesserungen, ohne Simulationen als Beschämungsinstrument einzusetzen.

Mögliche Nachweise: Schulungsplan, Teilnahme, Inhalte, Phishing-Übungen und dokumentierte Verbesserungen.

Incident Response, BCM und End-of-Life

Versicherbarkeit hängt auch davon ab, wie schnell Sie einen Vorfall begrenzen und den Betrieb wieder aufnehmen.

Incident-Response-Plan vorbereiten

Ein Incident-Response-Plan beschreibt Rollen, Entscheidungswege und erste Schritte bei Ransomware, Datenabfluss, Kontoübernahme oder Lieferantenausfall. Er sollte Kontakte für Verantwortliche, IT-Partner, Forensik, Kommunikation, Datenschutz und Versicherung enthalten. Klären Sie, wer Systeme isoliert, Beweise sichert und externe Stellen informiert. Ein Tabletop-Test deckt fehlende Nummern, unklare Kompetenzen und unrealistische Annahmen auf.

Mögliche Nachweise: freigegebener Incident-Response-Plan, Kontaktliste, Übungsprotokoll und Verbesserungsmassnahmen.

Business Continuity und Wiederanlauf planen

Business Continuity fragt, wie Ihr Unternehmen ohne einzelne Systeme, Standorte oder Dienstleister weiterarbeitet. Priorisieren Sie kritische Leistungen, akzeptable Ausfallzeiten und manuelle Ersatzverfahren. Der IT-Wiederanlauf muss zu diesen Zielen passen. Berücksichtigen Sie Cloud-Ausfälle, Telekommunikation, Schlüsselpersonen und externe Abhängigkeiten. Testen Sie wichtige Szenarien und dokumentieren Sie fehlende Ressourcen, Entscheidungen und Daten.

Mögliche Nachweise: Business-Impact-Analyse, BCM-Plan, Wiederanlaufreihenfolge, Übungen und Lieferantenkontakte.

End-of-Life-Systeme ablösen oder isolieren

Nicht mehr unterstützte Systeme erhalten keine verlässlichen Sicherheitsupdates. Führen Sie bekannte Altlasten mit Eigentümer, Risiko, Ersatztermin und kompensierenden Kontrollen. Ist eine Ablösung nicht sofort möglich, reduzieren Segmentierung, Zugriffsbeschränkung, Monitoring und fehlender Internetzugang das Risiko. Eine unbekannte Altlast ist problematischer als eine transparent dokumentierte, befristete Ausnahme mit finanziertem Plan.

Mögliche Nachweise: Lifecycle-Inventar, Hersteller-Supportstatus, Ablöseplan, Segmentierung und genehmigte Ausnahme.

DER NÄCHSTE SCHRITT

Vom schnellen Check zur belastbaren Versicherungs-Readiness

Der 13-Fragen-Check ist bewusst schmal. Er zeigt, wo ein vertiefter Blick sinnvoll ist, kann aber weder technische Reichweite noch Wirksamkeit und Nachweise vollständig beurteilen. Ein Ja zu MFA sagt zum Beispiel noch nicht, welche Konten abgedeckt sind, welche Ausnahmen bestehen und ob alte Anmeldewege die Kontrolle umgehen.

Das vollständige Assessment mit 106 Fragen prüft dieselben Themen in grösserer Tiefe entlang NIST CSF 2.0. Die Versicherer-Sicht legt die 13 typischen Kontrollbereiche über Ihre Antworten und macht sichtbar, welche Aussagen im Antrag gut vorbereitet sind, wo Nachweise fehlen und welche Massnahmen zuerst angegangen werden sollten. Dadurch entsteht eine konsistente Arbeitsgrundlage für IT, Geschäftsleitung und externe Beratung.

Readiness bedeutet nicht, jede Frage mit Ja zu beantworten. Sie bedeutet, den tatsächlichen Zustand zu kennen, Lücken transparent zu benennen, Verantwortungen festzulegen und Verbesserungen nachzuweisen. Das schafft bessere Voraussetzungen für ein belastbares Gespräch, garantiert aber weder eine Police noch bestimmte Konditionen.

1. Schnell einordnen

13 Fragen zeigen die offensichtlichsten Stärken und offenen Punkte.

2. In 106 Fragen vertiefen

Das vollständige NIST-CSF-Assessment prüft Umfang, Reife und Zusammenhänge.

3. Nachweise und Massnahmen ordnen

Die Versicherer-Sicht verbindet Antworten mit Kontrollen und priorisiert die Vorbereitung.

Assessment und Preise ansehen

EHRLICHE GRENZEN

Vorbereitungshilfe, keine Zertifizierung

CyberGapAudit hilft Ihnen, Fragen strukturiert vorzubereiten und Lücken sichtbar zu machen. Die Plattform prüft nicht unabhängig, ob jede Selbstauskunft korrekt umgesetzt ist, zertifiziert keine Kontrolle und gibt keine Versicherungs- oder Rechtsberatung. Sie ersetzt weder den Antrag noch die individuelle Prüfung durch Versicherer, Broker, IT-Sicherheitsfachpersonen oder Rechtsberatung.

Keine Garantie für Annahme, Deckung, Prämie oder Schadenleistung
Keine Zertifizierung und kein formelles Audit
Keine automatische Prüfung Ihrer technischen Konfigurationen oder Nachweise
Massgebend bleiben der konkrete Antrag, die Offerte und die Police

HÄUFIGE FRAGEN

Fragen zur Cyberversicherung-Readiness

Was fragen Versicherer im Antrag?

Typisch sind Fragen zu Daten und Systemen, Backups, E-Mail-Schutz, Updates, Endpoint-Schutz, Passwörtern, MFA, Schulung, Incident Response, Business Continuity und End-of-Life-Technologie. Hinzu kommen Unternehmensdaten, Vorschäden, gewünschte Deckung und branchenspezifische Risiken. Wortlaut und Tiefe unterscheiden sich je nach Antrag.

Reicht der kostenlose Selbstcheck für den Antrag?

Nein. Der Check ist eine erste Standortbestimmung zu 13 verbreiteten Kontrollen. Er erstellt und übermittelt keinen Antrag, prüft keine Belege und bildet keine individuellen Versicherungsbedingungen ab. Nutzen Sie ihn, um frühe Lücken zu erkennen, und beantworten Sie den echten Fragebogen anhand des nachweisbaren Ist-Zustands.

Was passiert bei falschen oder unvollständigen Angaben?

Solche Angaben können je nach Antrag, Police und anwendbarem Recht Folgen für Vertrag oder Leistung haben. Beschreiben Sie deshalb den tatsächlichen Stand und kennzeichnen Sie geplante Massnahmen als geplant. Wenn eine Antwort unklar oder wesentlich ist, klären Sie sie vor Einreichung mit Versicherer, Broker oder Rechtsberatung.

Wie oft sollte die Readiness geprüft werden?

Mindestens vor Antrag und Erneuerung sowie nach wesentlichen Änderungen, etwa einer Cloud-Migration, Übernahme, neuen kritischen Lieferanten oder einem Sicherheitsvorfall. Zusätzlich ist ein quartalsweiser Kurzreview sinnvoll, weil Benutzer, Systeme, Ausnahmen und Nachweise laufend wechseln.

Brauchen KMU eine Cyberversicherung?

Das hängt von Risikoprofil, Abhängigkeiten, finanzieller Tragfähigkeit, Verträgen und bestehender Absicherung ab. Eine Police kann Restrisiken übertragen und Zugang zu Krisendienstleistungen schaffen, ersetzt aber keine Basissicherheit. Eine individuelle Risiko- und Versicherungsberatung ist für die Entscheidung sinnvoll.

Garantiert gute Readiness eine Deckung?

Nein. Gute Readiness kann Rückfragen reduzieren und die Vorbereitung verbessern, aber die Zeichnungsentscheidung bleibt beim Versicherer. Branche, Umsatz, Schadenhistorie, exponierte Systeme, Versicherungssumme und weitere Faktoren fliessen ebenfalls ein. CyberGapAudit gibt keine Annahme- oder Deckungszusage.

Machen Sie den ersten Readiness-Check

13 Fragen, rund fünf Minuten, ohne Konto. Sie erhalten eine ehrliche Einordnung der typischen Kontrollen und sehen, wo eine vertiefte Prüfung sinnvoll ist.

Kostenloser Versicherungs-Check (13 Fragen, ohne Konto)Vollständiges Assessment ansehen

Was Versicherer wirklich prüfen,bevor sie eine Cyberpolice zeichnen.