Cyberversicherung 2026: Was Versicherer von KMU fordern

Cyberversicherung war vor wenigen Jahren noch ein Markt mit niedriger Eintrittshürde — Fragebogen ausfüllen, Prämie zahlen, fertig. Das hat sich 2026 geändert. Nach einer Welle von Ransomware-Großschäden und entsprechend deutlichen Verlusten der Versicherer sind die Aufnahmebedingungen erheblich härter geworden. Selbstbehalte steigen, Sublimits werden enger, und vor allem: die zugesicherten Schutzmaßnahmen werden im Schadensfall überprüft.

Wer im Fragebogen angekreuzt hat “MFA ist überall aktiv”, aber im Schadensfall stellt sich heraus, dass der Geschäftsführer-Account aus Bequemlichkeit ohne MFA lief — der Versicherer kann den Schaden ganz oder teilweise zurückweisen. Wir sehen das in der Beratungspraxis öfter, als die meisten Geschäftsführer denken.

Dieser Artikel fasst zusammen, was Versicherer 2026 typischerweise verlangen — und worauf im Detail geachtet wird.

MFA überall — die Nummer-eins-Anforderung

Multi-Faktor-Authentifizierung ist 2026 nicht mehr verhandelbar. Versicherer fragen explizit nach:

• E-Mail-Zugang (Microsoft 365, Google Workspace, On-Prem-Exchange-Outlook-Web-App)
• VPN- und Remote-Zugang (jeder Tunnel, jeder RDP-Gateway)
• Admin-Konten (Domain-Admins, Cloud-Tenant-Admins, Server-Root-Zugänge)
• Privilegierter Anwendungszugriff (ERP, CRM, Finanzbuchhaltung)

“MFA aktiv für die meisten Nutzer” reicht nicht. Es muss dokumentierbar sein, dass MFA für alle relevanten Konten erzwungen wird — keine Ausnahmen für “wichtige Personen”. Wer noch SMS-MFA einsetzt, sollte den Wechsel auf App-basierte oder Hardware-Token-MFA planen; SMS-MFA wird von einigen Versicherern bereits nicht mehr akzeptiert. Siehe auch Passkeys im Mittelstand: passwortlos.

Patch-Management dokumentiert — Audit-Trail Pflicht

“Wir patchen regelmäßig” steht in jedem Fragebogen — aber Versicherer wollen 2026 wissen:

• Welcher Prozess? Manuell, automatisiert, gestaffelt?
• Welche Tools? WSUS, SCCM, Intune, Ansible, RMM-Lösung?
• Welche SLAs? Critical-Patches innerhalb von 14/30/90 Tagen?
• Wo ist der Audit-Trail? Eine Liste mit “Patch X am Datum Y auf System Z aufgespielt” muss reproduzierbar sein.

Ohne dokumentierten Patch-Prozess riskiert man bei Schadensfällen mit “bekannten ungepatchten Schwachstellen” eine Leistungskürzung. Eine RMM-Lösung mit zentralem Patch-Reporting hilft hier nicht nur operativ, sondern auch versicherungstechnisch. Siehe RMM: IT-Infrastruktur überwachen und verwalten.

EDR / XDR — Standard-AV reicht nicht mehr

Ein klassisches Anti-Virus auf Endpoints ist 2026 für die meisten Versicherer kein ausreichender Schutz mehr. Erwartet wird eine EDR- (Endpoint Detection & Response) oder XDR-Lösung (Extended Detection & Response). Konkret:

• Verhaltensbasierte Erkennung (nicht nur Signatur-basiert)
• Zentrales Management mit Logging
• Response-Funktionen (Isolation befallener Endpoints, automatisierte Reaktion auf Indikatoren)
• 24/7-SOC oder MDR-Service ist nicht überall Pflicht, aber zunehmend gefragt

Bei KMU ist der häufigste Weg: ein EDR-Produkt des bestehenden AV-Herstellers (Bitdefender GravityZone, Sophos Intercept X, ESET Inspect, Microsoft Defender for Business). Wichtig: Es muss auch aktiv ausgewertet werden — eine EDR-Lösung ohne jemanden, der die Alerts ansieht, ist eine reine Compliance-Geste.

Backup mit Air-Gap oder Immutable — Pflicht-Komponente

Ransomware-Schadensfälle der letzten Jahre haben gezeigt: Online-Backups, die das gleiche Schicksal teilen wie die Produktivsysteme, sind nutzlos. Versicherer verlangen 2026 fast durchgängig:

• Mindestens eine Backup-Kopie offline oder immutable (Air-Gap, Write-Once, S3 Object Lock)
• Regelmäßige Restore-Tests — und Dokumentation davon
• 3-2-1-Regel als Mindeststandard (3 Kopien, 2 Medien, 1 off-site)

Siehe unsere ausführlichen Praxisartikel: Immutable-Backups gegen Ransomware, Ransomware 2026: Schutzmaßnahmen und für die Schlüsselverwaltung des Backup-Tresors unseren parallelen Artikel Backup-Verschlüsselung: Schlüsselverwaltung richtig.

Mitarbeiter-Schulungen nachweisbar

“Wir schulen unsere Mitarbeiter” reicht nicht. Versicherer fragen 2026 nach:

• Welche Inhalte? (Phishing, Passwort-Hygiene, Social Engineering, Datenschutz)
• Welche Frequenz? (Onboarding plus jährliche Auffrischung als Mindestmaß)
• Wie nachgewiesen? (Teilnahme-Listen, E-Learning-Reports)
• Phishing-Simulationen? Werden zunehmend als Schwellenwert genannt — mindestens zwei pro Jahr, mit Auswertung und Nachschulung der Klick-Quoten

Für KMU sind Anbieter wie SoSafe, Hoxhunt, Knowbe4 oder günstige lokale Alternativen ausreichend — Hauptsache, der Nachweis steht. Siehe auch Phishing-Wellen 2026: Schutz für KMU.

Incident-Response-Plan — schriftlich, geübt

Der Plan, was im Schadensfall zu tun ist, muss 2026 schriftlich vorliegen. Mindestinhalte, die Versicherer prüfen:

• Eskalationskette — wer ruft wen wann an?
• Externe Kontakte — Versicherer-Hotline, IT-Dienstleister, IT-Forensik-Anbieter, BSI-Meldepflichten
• Erstmaßnahmen — Isolation befallener Systeme, Beweissicherung, Kommunikation
• Wiederanlauf-Reihenfolge — welche Systeme zuerst zurück online?
• Geübt? Ein nicht geübter Plan zählt für viele Versicherer nicht; mindestens ein jährlicher Table-Top-Test wird erwartet

Netzwerk-Segmentation — kein Flat-Network mehr

Ein Punkt, der häufig unterschätzt wird: Flache Netzwerke, in denen jeder Endpoint jeden Server erreichen kann, sind bei einem Ransomware-Befall ein Beschleuniger. Versicherer verlangen 2026:

• VLAN-Segmentierung zwischen Client- und Server-Netzen, zwischen Produktion und Office
• Zugriffsbeschränkung auf kritische Server (Domain Controller, Backup-Server, Datenbanken) über Firewall-Regeln
• Kein direkter SMB/RDP vom Client-Netz auf Produktivserver

Praktisch heißt das: OPNsense oder andere Firewall an wichtigen Übergängen, Mikro-Segmentierung in größeren Umgebungen. Siehe OPNsense VLAN-Routing: Best Practices.

Notfall-Wiederherstellungstest dokumentiert

Der vielleicht am häufigsten “vergessene” Punkt: regelmäßige dokumentierte Restore-Tests. Nicht “wir haben mal probiert”, sondern:

• Datum, getestetes System, getesteter Datenstand
• Wiederanlauf-Zeit (RTO) — Soll vs. Ist
• Datenverlust (RPO) — Soll vs. Ist
• Auffälligkeiten, Korrekturmaßnahmen

Versicherer wollen sehen, dass die im Fragebogen genannten RTO/RPO-Werte realistisch sind. Wer “RTO vier Stunden” ankreuzt, aber im Schadensfall drei Tage braucht, wird sich rechtfertigen müssen.

Der Fragebogen wird länger — und detaillierter

Was 2020 ein zweiseitiger Fragebogen war, ist 2026 oft ein 15-20-seitiges Dokument plus zusätzliche Audit-Fragen. Typische zusätzliche Punkte:

• Cloud-Setup (Welche Anbieter? Welche Zugriffe? IAM-Setup?)
• Lieferketten-Risiken (Welche kritischen Software-Lieferanten? Wann zuletzt SBOM überprüft?)
• Drittland-Datentransfers (DSGVO-Aspekte)
• NIS2-Status — viele Versicherer fragen explizit, ob NIS2-Pflichten zutreffen und wie sie umgesetzt sind (siehe NIS2 Mittelstand: Pflichten 2026)

Die Antworten sind nicht nur Eintrittstür zur Versicherung, sondern werden im Schadensfall wörtlich geprüft. Wer falsch antwortet (auch versehentlich), riskiert die Leistung.

Praktische Empfehlung: einmal ehrlich ausfüllen, dann Lücken schließen

Aus unserer Beratungspraxis: Die effektivste Vorbereitung auf eine Cyberversicherung ist, den Fragebogen einmal ehrlich auszufüllen — auch wenn er noch nicht abgeschickt wird. Aus den “Nein”-Antworten ergibt sich automatisch die To-do-Liste. Die häufigsten Lücken in deutschen KMU 2026:

1. MFA fehlt bei Admin-Accounts oder VPN
2. Patch-Management nicht dokumentiert
3. Kein EDR (nur klassisches AV)
4. Backups online und ohne Immutability
5. Schulungen vor Jahren letztmals, keine Dokumentation
6. Kein schriftlicher IR-Plan
7. Flat-Network ohne Segmentierung

Jeder dieser Punkte ist mit überschaubarem Aufwand zu beheben. Wer sie schließt, bekommt nicht nur eine Cyberversicherung zu besseren Konditionen — er hat die wichtigste Ransomware-Resilience-Liste bereits abgearbeitet.

Fazit

Cyberversicherung ist 2026 keine “Beruhigungs-Police” mehr, sondern eine ergänzende Komponente einer ernsthaften Security-Strategie. Die Versicherer prüfen, was vorhanden ist — vor Abschluss und im Schadensfall. Selbstbehalte und Sublimits steigen, und die Anforderungen werden detaillierter.

Die gute Nachricht: Die geforderten Maßnahmen sind alle technisch sinnvoll — sie schützen das Unternehmen real, nicht nur formal. Wer sie umsetzt, schläft besser, gleich ob mit oder ohne Police. DATAZONE unterstützt Mittelständler beim Aufbau dieser Mindeststandards und bei der Vorbereitung von Cyberversicherungs-Fragebögen — mit Fokus auf das, was tatsächlich Risiken senkt, statt auf reine Compliance-Theater.