Anträge für Cyberversicherungen fühlten sich früher eher wie Papierkram an. Heute gleichen sie viel mehr einer Sicherheitsüberprüfung. Wer als Unternehmer oder COO eine Police erneuert, wird möglicherweise nach Multi-Faktor-Authentifizierung (MFA), Sicherungen, Zugriffskontrollen, Schulungen für Mitarbeitende, Patch-Management, Reaktion auf Sicherheitsvorfälle und Passwortverwaltung gefragt, bevor ein Versicherer überhaupt die Bedingungen bestätigt.
Risikoprüfer möchten wissen, welche Kontrollen vorhanden sind, wo sie greifen, wie konsequent sie durchgesetzt werden und ob das Unternehmen dies belegen kann. Denn eine Cyberversicherung kann keinen Ersatz für Cybersicherheit darstellen. Sie ergänzt Sicherheitskontrollen, Planung für Sicherheitsvorfälle, Wiederherstellungsprozesse und Risikomanagement als Teil des Umgangs mit Cyberrisiken.
Wenn dein Unternehmen einen Antrag stellen oder eine Police erneuern möchte, solltest du wissen, was Versicherer sehen möchten, bevor sie bereit sind, das Risiko zu übernehmen.
Was Risikoprüfer bei Cyberversicherungen wirklich prüfen
Die Kontrollen, die die meisten Versicherer erwarten
Eine praktische Checkliste für die Cyberversicherung
Warum es Unternehmen schwerfällt, die Voraussetzungen zu erfüllen
Wie sich das Risiko von KMU auf Gespräche mit Versicherern auswirkt
Wie Proton Pass die Vorbereitung auf die Cyberversicherung unterstützt
Was Risikoprüfer bei Cyberversicherungen wirklich prüfen
Eine Cyberversicherungsprüfung soll verstehen, wie wahrscheinlich ein Cybervorfall für ein Unternehmen ist, wie schwerwiegend dieser Vorfall werden könnte und wie gut das Unternehmen auf die Wiederherstellung vorbereitet ist.
Der Risikoprüfer betrachtet nicht nur, was ein Unternehmen tut oder wie viel Umsatz es erwirtschaftet. Er möchte auch verstehen, wie es mit Zugriff, Anmeldedaten, Daten, Systemen, Lieferanten und Kontinuität umgeht. Ein Unternehmen mit schwachen Administratorkontrollen, ohne MFA-Durchsetzung und mit ungetesteten Sicherungen weist ein anderes Risikoprofil auf als eines, das klare Richtlinien, durchgesetzte Kontrollen und Nachweise für die Wiederherstellung vorweisen kann.
Deshalb konzentrieren sich die Anforderungen von Cyberversicherungen oft auf die operative Sicherheit. Versicherer möchten wissen, ob Angreifer leicht eindringen können, ob das Unternehmen den Schaden begrenzen kann und ob wichtige Systeme wiederhergestellt werden können, ohne ein Lösegeld zu zahlen oder tagelang offline zu bleiben.
Die Risikoprüfung für Cyberversicherungen kann einen detaillierten Fragebogen, Rückfragen, Nachweisanforderungen, Scans oder Gespräche mit IT-Dienstleistern umfassen. Für kleinere Unternehmen kann dieser Prozess schwierig sein, besonders wenn im Bereich Sicherheit noch keine formellen Prozesse definiert wurden.
Es reicht beispielsweise nicht aus zu sagen, dass dein Unternehmen MFA verwendet. Ein Versicherer möchte möglicherweise wissen, wo und wie MFA durchgesetzt wird, ob sie Administratorkonten abdeckt und welche kritischen Anwendungen, falls vorhanden, ausgenommen sind. Eine überzeugendere Antwort ist konkret, dokumentiert und durch Nachweise belegt.
Die Kontrollen, die die meisten Versicherer erwarten
Die Anforderungen an die Cyberversicherung variieren je nach Anbieter, Policenart, Unternehmensgröße und Risikoprofil. Dennoch achten die meisten Bewertungen heute auf dieselben grundlegenden Anzeichen: ob dein Unternehmen gängige Angriffe verhindern, den Schaden begrenzen kann, wenn ein Konto gefährdet wird, sich von Störungen erholen und belegen kann, dass Kontrollen tatsächlich vorhanden sind. Dazu gehört oft auch, wie dein Unternehmen mit Passwörtern umgeht. Eine starke Passwortrichtlinie und ein sicherer Passwort-Manager für Unternehmen gehören zu den wirksamsten Best Practices für die Passwortverwaltung, die du umsetzen kannst.
MFA
Dies ist eine der ersten Kontrollen, nach denen Versicherer suchen, weil viele Schadensfälle auf Missbrauch von Anmeldedaten zurückgehen. Du wirst möglicherweise gefragt, ob 2FA für E-Mail, VPNs, Remote-Zugriff, Cloud-Plattformen, Passwort-Manager und andere kritische Anwendungen aktiviert ist.
Die Bewertung kann auch weiter gehen und fragen, ob MFA für alle Benutzer durchgesetzt wird, nur für bestimmte Systeme oder nur für Administratorkonten, und wie diese Durchsetzung tatsächlich funktioniert.
Es gibt einen Unterschied zwischen verfügbarer MFA und verpflichtender MFA: Ein Risikoprüfer möchte wissen, ob sie durchgesetzt wird, ob sie beim Identitätsanbieter oder App für App konfiguriert wird und was passiert, wenn jemand die Aufforderung nicht besteht oder umgeht.
Eine überzeugendere Antwort zeigt, wo MFA erforderlich ist, welche Anwendungen abgedeckt sind, wie sie durchgesetzt wird und wie Ausnahmen genehmigt und überprüft werden.
Schutz von Administrator- und privilegierten Konten
Versicherer möchten auch verstehen, wie dein Unternehmen Konten mit erweiterten Zugriffsrechten schützt. Administratorkonten können Einstellungen ändern, Benutzer erstellen, auf sensible Daten zugreifen, Sicherheitskontrollen deaktivieren oder sich systemübergreifend bewegen, was sie für Angreifer besonders wertvoll macht.
Unternehmen werden möglicherweise gefragt, ob Administratorzugriff auf bestimmte Personen beschränkt, regelmäßig überprüft, mit MFA geschützt und von alltäglichen Benutzerkonten getrennt ist. Nachweise können Zugriffsrichtlinien, Benutzerlisten, rollenbasierte Berechtigungen und Protokolle sein, die privilegierte Aktivitäten zeigen.
Sicherungen und Wiederherstellungsbereitschaft
Sicherungen sind wichtig, weil Versicherer über die Prävention hinausschauen. Sie möchten auch wissen, wie schnell dein Unternehmen wiederhergestellt werden kann. Wenn ein Ransomware-Angriff, versehentliches Löschen oder ein Systemausfall dein Unternehmen betrifft, möchte der Versicherer wissen, ob es wiederhergestellt werden kann, ohne ein Lösegeld zu zahlen oder kritische Daten zu verlieren.
Das bedeutet in der Regel, Sicherungen zu haben, die regelmäßig erfolgen, vor unbefugtem Zugriff geschützt und getestet sind. Es reicht nicht aus zu sagen, dass Sicherungen vorhanden sind. Du solltest bereit sein zu zeigen, was gesichert wird, wie oft Sicherungen ausgeführt werden, wo sie gespeichert sind, wer darauf zugreifen kann und wann die Wiederherstellung zuletzt getestet wurde.
Endpunkt- und E-Mail-Sicherheit
Viele Angriffe beginnen über den Posteingang oder das Gerät eines Mitarbeitenden, daher fragen Versicherer oft nach Endpunkt- und E-Mail-Schutz. Dazu können Anti-Malware, Endpunkterkennung, Spamfilterung, Phishing-Schutz und Kontrollen gehören, die verdächtige Anhänge, Links oder Anmeldeversuche blockieren.
Speziell für E-Mail fragen Versicherer möglicherweise auch, ob deine Domain E-Mail-Authentifizierung (SPF, DKIM und DMARC) verwendet, um zu verhindern, dass Angreifer Spoofing mit der Adresse deines Unternehmens betreiben.
Bei kleineren Unternehmen kann dies von einem IT-Dienstleister oder über integrierte Funktionen in den bereits verwendeten Tools übernommen werden. Entscheidend ist, erklären zu können, welcher Schutz aktiv ist, welche Geräte und Konten abgedeckt sind und wie mit Warnmeldungen oder Vorfällen umgegangen wird.
Patch-Management
Veraltete Software bietet Angreifern einen einfacheren Weg in Unternehmenssysteme. Aus diesem Grund fragen Versicherer möglicherweise, wie schnell dein Unternehmen Sicherheitsupdates für Betriebssysteme, Browser, Anwendungen, Server und andere kritische Software einspielt.
Sie fragen möglicherweise auch, ob Updates automatisch erfolgen, manuell überprüft oder von einem externen IT-Dienstleister verwaltet werden. Eine überzeugendere Antwort erklärt, wer für das Patch-Management verantwortlich ist, wie Updates nachverfolgt werden und wie das Unternehmen mit dringenden Sicherheitslücken umgeht.
Sicherheitsschulungen für Mitarbeitende
Versicherer wissen, dass Mitarbeitende häufig über Phishing, Social Engineering, gefälschte Rechnungen, bösartige Links und Diebstahl von Anmeldedaten ins Visier genommen werden.
Regelmäßige Sicherheitsschulungen helfen, dieses Risiko zu verringern, und Phishing-Schulungen befassen sich insbesondere mit der Angriffsart, die den meisten Schadensfällen im Zusammenhang mit Anmeldedaten zugrunde liegt. Dennoch kann die Bewertung mehr verlangen als die allgemeine Aussage, dass Mitarbeitende geschult sind.
Unternehmen müssen möglicherweise nachweisen, wie oft Schulungen stattfinden, was sie abdecken, ob neue Mitarbeitende eine Einführung erhalten und ob die Belegschaft weiß, wie verdächtige Aktivitäten gemeldet werden. Praktische, regelmäßige Schulungen sind nützlicher als eine einmalige Sitzung, die niemand erneut aufruft.
Planung der Reaktion auf Sicherheitsvorfälle
Ein schriftlicher Plan für die Reaktion auf Sicherheitsvorfälle zeigt, dass dein Unternehmen weiß, was zu tun ist, wenn etwas schiefgeht. Versicherer fragen möglicherweise, ob dein Unternehmen über einen dokumentierten Prozess zum Erkennen, Melden, Eindämmen und Eskalieren von Sicherheitsvorfällen verfügt.
Der Plan sollte klarstellen, wer verantwortlich ist, wer kontaktiert werden muss, wie Beweise gesichert werden und wie das Unternehmen bei Bedarf mit Mitarbeitenden, Lieferanten, Kunden, Rechtsberatern oder Aufsichtsbehörden kommuniziert. Selbst ein einfacher Plan ist besser, als sich in einer Krise auf Improvisation zu verlassen.
Zugriffskontrollen für Drittanbieter
Lieferanten, Auftragnehmer, Agenturen, IT-Dienstleister und Softwarepartner können Risiken mit sich bringen, wenn sie Zugriff auf Unternehmenssysteme oder Daten haben. Versicherer fragen möglicherweise, ob Drittanbieter-Zugriff beschränkt, überprüft und entfernt wird, wenn er nicht mehr benötigt wird.
Sie achten möglicherweise auch auf MFA für Lieferantenkonten, separate Anmeldedaten für externe Benutzer und einen klaren Prozess für die Genehmigung von Zugriff. Das Unternehmen sollte zeigen können, wer Zugriff hat, worauf zugegriffen werden kann, warum der Zugriff benötigt wird und wann er zuletzt überprüft wurde.
Eine praktische Checkliste für die Cyberversicherung
Bevor dein Unternehmen einen Antrag auf Cyberversicherung stellt oder eine Police erneuert, sollte es Nachweise sammeln, dass seine Sicherheitskontrollen nicht nur geplant sind, sondern bereits funktionieren. Risikoprüfer erwarten nicht, dass jedes kleinere Unternehmen Dokumentation auf Unternehmensniveau hat. Sie erwarten aber klare Antworten, konsistente Praktiken und Nachweise, dass das Unternehmen erklären kann, wie Zugriff, Wiederherstellung, Schulungen und die Reaktion auf Sicherheitsvorfälle gehandhabt werden.
Eine Checkliste garantiert weder Versicherungsschutz noch niedrigere Prämien, aber sie kann deine Bewertung effektiver machen, Rückfragen reduzieren und dem Unternehmen helfen, mit stärkeren Antworten in den Risikoprüfungsprozess zu starten.
Checkliste zur Vorbereitung auf die Cyberversicherung
MFA
Vorzubereitende Nachweise: Liste der Systeme, in denen MFA durchgesetzt wird, einschließlich E-Mail, Cloud-Apps, Remote-Zugriff, Administratorkonten und dokumentierter Ausnahmen.
Passwörter verwalten
Vorzubereitende Nachweise: Passwort-Manager-Richtlinie, Aufzeichnungen zur Nutzerakzeptanz, Struktur gemeinsam genutzter Tresore, Administrator-Einstellungen und Berichte, die schwache, wiederverwendete oder offengelegte Passwörter zeigen.
Sicherungen
Nachweise, die vorzubereiten sind: Sicherungsplan, Speicherort, Zugriffskontrollen, Aufbewahrungsrichtlinie und das Datum des letzten Wiederherstellungstests.
Reaktionsplan für Vorfälle
Nachweise, die vorzubereiten sind: Schriftlicher Reaktionsplan, Eskalationskontakte, interne Rollen, Meldeschritte und eine kürzliche Tabletop-Übung oder Planüberprüfung.
Schulungsnachweise
Nachweise, die vorzubereiten sind: Termine für Sicherheitsschulungen, Teilnahmeprotokolle, Onboarding-Materialien, Inhalte zur Phishing-Sensibilisierung und Meldeanweisungen für Mitarbeitende.
Patch-Management
Nachweise, die vorzubereiten sind: Patch-Richtlinie, Aktualisierungsprotokolle, Liste der abgedeckten Systeme, Details zur Eigentümerschaft und Aufzeichnungen zur dringenden Behebung von Sicherheitslücken.
Überprüfung privilegierter Zugriffe
Nachweise, die vorzubereiten sind: Liste der Administratorbenutzer, rollenbasierte Berechtigungen, Aufzeichnungen zur Zugriffsüberprüfung, MFA-Status für privilegierte Konten und Offboarding-Dokumentation.
Warum Unternehmen Schwierigkeiten haben, sich zu qualifizieren
Unternehmen haben oft Schwierigkeiten mit Cyberversicherungen, weil der Antrag Lücken offenlegt, die der Tagesbetrieb verbergen kann. Ein Unternehmen mag MFA für einige Systeme haben, Sicherungen eingerichtet, einen IT-Dienstleister auf Abruf und Mitarbeitende, die die Grundlagen von Phishing kennen. Doch Versicherer achten auf Konsistenz im gesamten Unternehmen: wo Kontrollen durchgesetzt werden, wer für sie zuständig ist, wie oft sie überprüft werden und welche Nachweise jede Antwort stützen.
Das ist besonders schwierig für kleinere Unternehmen, die ihre Sicherheit nach und nach aufgebaut haben, ohne formale Dokumentation. Zugriffe werden möglicherweise über verschiedene Systeme gewährt, gemeinsam genutzte Anmeldedaten liegen noch in Tabellen statt in einem sicheren Team-Passwort-Manager, Sicherungen wurden möglicherweise nicht kürzlich getestet, und Sicherheitsschulungen finden möglicherweise informell statt.
Keines dieser Probleme bedeutet automatisch, dass ein Unternehmen nicht versicherbar ist, aber sie können zu Verzögerungen, Ausschlüssen, höheren Prämien oder Rückfragen während der Risikoprüfung führen.
Die stärksten Anträge sind meist nicht die mit den komplexesten Sicherheitsprogrammen. Es sind die, die klar zeigen können, wie zentrale Kontrollen funktionieren, wo die verbleibenden Lücken sind und was das Unternehmen tut, um sie zu schließen.
Wie sich KMU-Risiken auf Versicherungsgespräche auswirken
Versicherer legen Wert auf Kontrollen, weil kleine und mittlere Unternehmen für Angreifer nicht unsichtbar sind. Der SMB Cybersecurity Report von Proton ergab, dass jedes vierte KMU im letzten Jahr Opfer eines Datenlecks wurde, obwohl Cybersicherheitsmaßnahmen vorhanden waren. Der Bericht nennt außerdem menschliches Versagen, inkonsistente Sicherheitsrichtlinien und fehlende Datenkontrolle als Hauptursachen.
Viele Unternehmen gehen ihre Anträge für Cyberversicherungen an, obwohl bereits Sicherheitsmaßnahmen vorhanden sind, doch die Bewertung zeigt oft, ob diese Maßnahmen konsistent, aktuell und leicht nachweisbar sind. MFA schützt möglicherweise einige Konten, aber nicht andere. Sicherungen laufen möglicherweise planmäßig, aber es gibt keinen aktuellen Wiederherstellungstest. Administratorzugriff hat sich möglicherweise mit dem Wachstum des Unternehmens ausgeweitet, ohne klare Aufzeichnung darüber, wer ihn noch benötigt.
Für einen COO oder Unternehmensinhaber kann diese Prüfung nützlich sein, noch bevor die Police ausgestellt wird. Sie verwandelt alltägliche Annahmen in konkrete Nachweise: Zugriffslisten, Sicherungsprotokolle, MFA-Abdeckung, Passwortpraktiken, dokumentierte Richtlinien und bekannte Lücken. Anstatt sich darauf zu verlassen, was Menschen glauben, was passiert, erhält das Unternehmen ein klareres Bild davon, wie seine Kontrollen tatsächlich funktionieren.
So gesehen ist die Bewertung nicht nur ein Hindernis für den Versicherungsschutz. Sie kann dem Unternehmen helfen, die Schwachstellen zu erkennen, die bei einem Datenleck am wichtigsten wären, und sie zu beheben, bevor sie schwieriger, teurer oder störender zu beheben werden.
Wie Proton Pass die Vorbereitung auf Cyberversicherungen unterstützt
Bewertungen für Cyberversicherungen betrachten das Unternehmen als Ganzes, einschließlich Sicherungen, Patches, Reaktion auf Sicherheitsvorfälle, Mitarbeiterschulungen, Netzwerksicherheit und Anbieterrisiken. Ein Passwort-Manager kann nicht jede Anforderung allein erfüllen, aber er kann einen der Bereiche stärken, die Versicherer genau prüfen: wie Ihr Unternehmen Anmeldedatenverwaltung und Zugriff handhabt.
Ein Business-Passwort-Manager wie Proton Pass for Business hilft Teams, unsichere Passwortgewohnheiten durch ein kontrollierteres System zu ersetzen. Mitarbeitende können einzigartige Passwörter in Ende-zu-Ende-verschlüsselten Passworttresoren erstellen und speichern, die automatische Ausfüllfunktion nutzen, um Wiederverwendung zu reduzieren, Passkeys verwalten und Anmeldedaten sicher teilen, ohne auf E-Mail, Tabellen, Chat-Threads oder im Browser gespeicherte Passwörter angewiesen zu sein.
Die integrierte Zwei-Faktor-Authentifizierung hilft Teams außerdem, Passwörter und Bestätigungscodes in einem sicheren Workflow zu bündeln, anstatt Zugriffe über verschiedene Apps und persönliche Geräte zu verteilen, was zusätzlichen Aufwand verursacht und Menschen zu Abkürzungen verleitet.
Als Passwort-Manager für IT-Teams bietet Proton Pass die nötige Transparenz und Kontrolle, um diese Praktiken leichter durchzusetzen. Teams können Passwortanforderungen konfigurieren, 2FA-Richtlinien durchsetzen, Tresorzugriff verwalten, rollenbasierte Berechtigungen zuweisen, Benutzer mit SCIM bereitstellen, Single Sign-on (SSO) unterstützen und Protokolle für Compliance- oder Incident-Response-Überprüfungen nutzen. Diese Funktionen können häufige Underwriting-Fragen zu MFA, Passwortverwaltung, gemeinsam genutzten Anmeldedaten, privilegiertem Zugriff, Onboarding, Offboarding und Zugriffsüberprüfungen unterstützen.
Der umfassendere Antrag für die Cyberversicherung benötigt weiterhin Dokumentation für die übrigen Teile des Sicherheitsprogramms. Doch für den Anmeldedaten-Teil der Bewertung kann Proton Pass Ihrem Unternehmen helfen, eine klarere Antwort zu geben: Wer hat Zugriff, wie werden Anmeldedaten geschützt, wie wird die Freigabe kontrolliert und welche Nachweise liegen vor, wenn ein Underwriter fragt.
Erfülle alle Anforderungen der Cyberversicherung mit einem Business-Passwort-Manager.
