Cyberversicherung für KMU: Welche Massnahmen Versicherer häufig erwarten

Der Versicherungsantrag zeigt oft vorhandene Lücken

Vor dem Abschluss einer Cyberversicherung steht häufig ein Fragebogen zu Mehrfaktorauthentifizierung, aktuellen Systemen, Sicherungen oder dem Notfallplan. Wer diese Fragen erst beim Antrag stellt, entdeckt oft, dass Einstellungen zwar vorgesehen, aber nicht konsequent umgesetzt oder dokumentiert sind. Vielleicht ist MFA für die Geschäftsleitung aktiv, aber nicht für den Fernzugriff eines Dienstleisters. Oder Backups laufen zwar täglich, eine Wiederherstellung wurde jedoch nie getestet. Die 3-2-1-1-0-Regel für Sicherungen hilft, diese Prüfung konkret zu strukturieren.

Eine Cyberversicherung kann je nach Vertrag beispielsweise Kosten für Forensik, Wiederherstellung oder Betriebsunterbruch abdecken. Ob eine Leistung besteht, hängt vom einzelnen Vertrag, den Obliegenheiten und dem Ereignis ab. Dieser Beitrag bietet technische Orientierung und keine Rechts- oder Versicherungsberatung.

Antworten müssen im Alltag stimmen

Beantworten Sie Fragen nach dem heutigen Betrieb, nicht nach dem gewünschten Zielbild. Das schützt vor Überraschungen und liefert eine sinnvolle Prioritätenliste für die nächsten Monate. Als Nachweise eignen sich beispielsweise: - Konfigurationsübersichten für MFA und Administrationskonten - Update-Berichte und dokumentierte Ausnahmen - Wiederherstellungstests und Protokolle von Übungen

Prüfen Sie die Angaben periodisch, denn ein neuer Fernzugang, eine Firmenübernahme oder ein unverwaltetes Gerät kann die Ausgangslage verändern. Ein Fragebogen kann nach einigen Monaten überholt sein, obwohl sich am Versicherungsvertrag nichts geändert hat. Eine ehrliche Bestandsaufnahme ist hilfreicher als eine optimistische Antwort im Fragebogen.

Wiederherstellung und Meldeweg vorbereiten

Sicherungen sollten getrennt, auf Wiederherstellbarkeit geprüft und nach Priorität geplant sein. Definieren Sie, wie viel Datenverlust tragbar ist und welche Systeme zuerst zurück sein müssen. Für einen Betrieb mit vielen laufenden Aufträgen kann das ERP-System oder die Projektablage wichtiger sein als ein nachgelagertes Archiv. Ein Test zeigt zudem, ob genügend Bandbreite, Zugangsdaten und Fachwissen vorhanden sind, um die Daten im Ernstfall tatsächlich zurückzuholen.

Halten Sie fest, wer Systeme isolieren darf, wer die Geschäftsleitung informiert und wo Kontaktdaten verfügbar sind, wenn E-Mail oder Telefonie betroffen sind. Eine gedruckte Liste oder ein extern hinterlegter Ablauf kann dann nützlicher sein als ein Dokument im nicht erreichbaren SharePoint. Ransomware: die ersten 24 Stunden zeigt, warum klare Kontakte und Entscheidungen wichtig sind.

Vorsorge ist auch ohne Schaden nützlich

Beginnen Sie mit Identitäten, E-Mail, Fernzugriff, Patches und Sicherungen. Danach folgen Rechte, Endgeräteschutz, Protokollierung und Lieferantenzugänge. Persönliche, zeitlich begrenzte Dienstleisterkonten mit MFA sind beispielsweise besser kontrollierbar als gemeinsame Dauerzugänge. Notieren Sie Ausnahmen mit verantwortlicher Person und Ablaufdatum. Der IT-Security-Service unterstützt bei der technischen Priorisierung; für KMU und Dienstleister ist diese Vorsorge unabhängig von einem späteren Versicherungsfall nützlich.

Vertragsdetails und rechtliche Fragen klären Sie mit Versicherer oder geeigneten Fachpersonen.