Cyberversicherung: Welche Voraussetzungen Versicherer verlangen und wann sie nicht zahlen

Die Voraussetzungen einer Cyberversicherung stehen an zwei Stellen: im Risikofragebogen, den Sie vor dem Abschluss ausfüllen, und in den Allgemeinen Versicherungsbedingungen (AVB), die während der ganzen Laufzeit gelten. Beide unterschreibt die Geschäftsleitung. Ob die Versicherung im Schadenfall zahlt, hängt davon ab, ob Sie belegen können, dass beides stimmt.

Dieser Beitrag richtet sich an Inhaber und Geschäftsleitungen von KMU, die einen Fragebogen auf dem Tisch haben oder ihre Police erneuern. Ob Sie beides brauchen, klärt der Beitrag Cyberversicherung oder Cybersicherheit?. Hier geht es um das Wie: was verlangt wird, mit welchen Fristen und mit welchem Nachweis.

Die kurze Antwort

Typisch sind fünf Mindestmassnahmen: regelmässige Backups, von denen mindestens eines offline liegt und sich zurückspielen lässt, Sicherheitsupdates innert fester Fristen, aktive Schutzsoftware, Mehrfaktor-Authentifizierung für Fernzugriffe und Administratorkonten sowie ein Notfallplan. Wie streng das gilt, regelt jeder Versicherer selbst. Entscheidend ist bei allen: Im Schadenfall zählt, was Sie belegen können.

Die Studie «Cyberrisiken für KMU» von VZ VermögensZentrum und Hochschule Luzern fasst es so zusammen: Versicherbarkeit wird «an Mindeststandards, Nachweisfähigkeit und Prozessreife geknüpft».

Vor dem Abschluss: der Risikofragebogen

Bevor ein Versicherer eine Police ausstellt, prüft er das Risiko. Bei kleineren Unternehmen geschieht das meist über eine Selbstdeklaration oder einen Fragebogen, je nach Exponierung kommen technische Abklärungen dazu.

Was typischerweise gefragt wird

Ein öffentlich verfügbares Beispiel ist der Fragebogen der Zurich für die Cyberversicherung KMU (Version 2022/03, eine neuere Fassung ist nicht öffentlich auffindbar). Er fragt unter anderem:

• wie oft gesichert wird und ob die Sicherheitskopien ausserhalb des eigenen Netzwerks liegen
• ob die Wiederherstellung mindestens einmal jährlich getestet wird
• ob ein schriftlicher Plan für den Betrieb bei einem IT-Ausfall existiert
• ob Notfall-Updates innert 48 Stunden eingespielt werden können
• ob Fernzugriffe und Administratorkonten eine Mehrfaktor-Authentisierung verlangen
• ob in den letzten drei Jahren eine Risiko- oder Schwachstellenanalyse durchgeführt wurde
• ob ein Prozess zur Meldung von Datenverlusten nach dem Datenschutzgesetz besteht
• ob es in den letzten drei Jahren Vorfälle gab oder ein Antrag abgelehnt wurde

Andere Anträge sind knapper. Im Antrag von SwissCyberRisk mit Markel, den der Schweizerische Anwaltsverband auf seiner Website bereitstellt, bestätigen Sie Virenschutz, Firewalls und Backups auf getrennten Datenträgern, bis CHF 1 Million Umsatz mindestens wöchentlich, darüber täglich. Nach Mehrfaktor-Authentifizierung fragt dieser Antrag erst ab CHF 10 Millionen Umsatz.

Zum Vergleich ein Beispiel aus Deutschland, das nicht für Schweizer Policen gilt: Der Fragebogen «Pro Cyber» von Markel fragt nach Restore-Tests, einem schriftlichen IT-Notfallplan mit Verantwortlichen und Sicherheitspatches innert vier Wochen.

Was Ihre Unterschrift bedeutet

Mit dem Fragebogen erfüllen Sie die Anzeigepflicht nach Art. 6 des Versicherungsvertragsgesetzes (VVG). Als erheblich gilt, wonach der Versicherer schriftlich fragt. Jede Frage zählt also, auch die unscheinbare.

Stimmt eine Antwort nicht oder fehlt etwas, kann der Versicherer den Vertrag kündigen. Für Schäden, deren Eintritt oder Umfang von der falschen Angabe beeinflusst wurde, entfällt die Leistung. So steht es auch auf der ersten Seite des Zurich-Fragebogens. Wer «Ja» zu getesteten Backups ankreuzt, ohne je getestet zu haben, riskiert die Leistung genau dann, wenn das Backup gebraucht wird.

Die Angaben wirken nach dem Abschluss weiter: Die Mobiliar verlangt, dass Sie jede Änderung einer Tatsache, nach der Sie gefragt wurden, umgehend melden (Art. A6, Ziff. 6.1).

Während der Laufzeit: Obliegenheiten in den AVB

Obliegenheiten sind Pflichten, die an jedem Tag der Vertragsdauer gelten. Die Mobiliar schreibt in den AVB «Cyberversicherung für Betriebe» (Ausgabe 05.2025, Teil D) unter anderem ein wöchentliches Vollbackup vor, das offline an einem Ort in sicherer Distanz liegt, dazu Patches innert 14 Tagen bei kritischen und innert 30 Tagen bei mittleren oder hohen Schwachstellen. Nach einer kritischen Lücke müssen Sie Ihre Systeme zusätzlich auf Kompromittierung untersuchen und einen Befall unverzüglich melden.

Die AXA verlangt im Modul Cyberversicherung (AVB Ausgabe 06.2024, Teil C) ebenfalls eine wöchentliche Sicherung, davon mindestens eine getrennt vom Netzwerk, dazu ein vom Hersteller unterstütztes Betriebssystem und kritische Patches innert 30 Tagen. Bei einer betriebsfremden Cloud entfällt die Backup-Pflicht, wenn der Anbieter die Datensicherung vertraglich zusagt. Diese Zusage sollten Sie schriftlich haben.

Die Tabelle fasst beide AVB zusammen und übersetzt jede Klausel in die Frage, auf die es ankommt: Wer setzt das um, und womit belegen Sie es?

Die Spalte «Wer setzt um» zeigt das Muster: Fast alles erledigt der IT-Partner, verantwortlich bleibt die Geschäftsleitung. Wie sich diese Rollen sauber trennen lassen, beschreibt der Beitrag Was Ihr IT-Dienstleister verantwortet und was nicht.

Wann die Versicherung kürzt oder nicht zahlt

Die Rechtsfolgen hängen davon ab, wo der Fehler liegt. Die Einordnung stützt sich auf den Wortlaut der genannten Dokumente, massgebend ist Ihre Police.

Falsch oder unvollständig beantwortet

Das ist die Anzeigepflichtverletzung nach Art. 6 VVG: Der Versicherer kann kündigen, und für Schäden, die durch die falsche Angabe beeinflusst wurden, entfällt die Leistung.

Obliegenheit verletzt

Hier geht es um den Alltag während der Laufzeit. Bei der Mobiliar gilt Art. A10, Ziff. 10.2: Bei schuldhafter Verletzung wird die Leistung in dem Ausmass gekürzt, in dem Ihr Handeln den Eintritt oder den Umfang des Schadens beeinflusst hat. Bei unverschuldeter Verletzung gibt es keine Kürzung.

Die AXA macht das mit zwei Beispielen greifbar (Teil C, Ziff. C5). Liegt die letzte Datensicherung länger als eine Woche zurück, werden nur die Kosten entschädigt, die mit der geforderten Sicherung entstanden wären. Ist gar keine verwendbare Datensicherung vorhanden, sind nur die Kosten gedeckt, um genau das festzustellen.

Andere Bedingungen unterscheiden nach dem Verschulden. Bei SwissCyberRisk mit Markel gilt für die Pflichten nach einem Schadenfall: Bei Vorsatz ist der Versicherer leistungsfrei, bei grober Fahrlässigkeit kürzt er nach der Schwere des Verschuldens. War die Verletzung für den Schaden nicht ursächlich, bleibt die Leistung.

Zu tiefer Umsatz angegeben

Ein oft übersehener Punkt: Die Prämie richtet sich auch nach dem Umsatz. Haben Sie im Antrag einen zu tiefen Umsatz gemeldet, kürzt die Mobiliar die Leistung im gleichen Verhältnis. Ihr Beispiel: Umsatz um 20 Prozent zu tief angegeben, Leistung um 20 Prozent reduziert (Art. A10, Ziff. 10.1).

Die Lücke in Schweizer KMU

Die Studie «KMU Cybersicherheit 2026» der Mobiliar und ihrer Partner zeigt, wo es bei vielen KMU hapert. Die schwachen Stellen sind genau die, nach denen Fragebogen und AVB fragen:

• Neun von zehn KMU sichern ihre Daten regelmässig, aber nur 27 Prozent üben das Zurückspielen.
• 55 Prozent haben Mehrfaktor-Authentifizierung voll umgesetzt.
• 28 Prozent haben einen Notfallplan oder ein Konzept für die Geschäftsfortführung.
• Sicherheitsaudits sind mit 15 Prozent die am seltensten umgesetzte organisatorische Massnahme.

Für den Fragebogen heisst das: Viele «Ja» stehen auf wackligen Beinen. Das Backup existiert, aber ob es sich zurückspielen lässt, weiss niemand. Der Notfallplan ist im Kopf, aber nicht auf Papier.

Sean Horvath sieht in der Praxis immer wieder dieselben Lücken beim Nachweis. Am häufigsten fehlt ein Risikomanagement, also eine schriftliche Übersicht, welche Risiken bestehen und was dagegen getan wird. Oft fehlen auch eine klar verantwortliche Person, schriftliche Sicherheitsrichtlinien und ein Notfallplan. Technisch scheitert der Nachweis meist am Patchmanagement, an einer EDR-Lösung, die nicht auf allen Geräten läuft, und an einem Backup-Konzept ohne getrennte Kopie und getestete Wiederherstellung.

Checkliste: zehn Fragen an Ihren IT-Partner vor der Unterschrift

Gehen Sie diese Fragen vor der Unterschrift mit Ihrem IT-Partner durch. Es geht um Belege, nicht um Zusicherungen:

• Können Sie mir zeigen, dass wir mindestens einmal pro Woche alle Daten vollständig sichern, und wo die Protokolle dazu liegen?
• Können Sie mir zeigen, dass mindestens ein Backup offline und an einem anderen Ort liegt, sodass ein Angriff es nicht erreicht?
• Können Sie mir zeigen, dass das Zurückspielen getestet wurde, wann zuletzt und wie lange es gedauert hat?
• Können Sie mir zeigen, dass auf allen Geräten und Servern Schutzsoftware läuft und sich automatisch aktualisiert?
• Können Sie mir zeigen, dass kritische Sicherheitsupdates innert 14 Tagen und alle übrigen innert 30 Tagen installiert werden?
• Können Sie mir zeigen, dass nach einer kritischen Lücke geprüft wird, ob unsere Systeme bereits kompromittiert sind?
• Können Sie mir zeigen, dass alle Fernzugriffe und Administratorkonten mit Mehrfaktor-Authentifizierung geschützt sind, ohne Ausnahme?
• Können Sie mir zeigen, dass bei uns kein System mehr läuft, für das der Hersteller keine Sicherheitsupdates liefert?
• Können Sie mir zeigen, dass ein schriftlicher Notfall- und Wiederanlaufplan existiert und wer darin wofür zuständig ist?
• Können Sie mir zeigen, dass jede Antwort im Fragebogen, die unsere IT betrifft, mit einem Beleg hinterlegt ist?

Legen Sie die Antworten mit Datum und Beleg ab, zusammen mit einer Kopie des unterschriebenen Fragebogens. Wo kein Beleg folgt, haben Sie eine Lücke gefunden. Das ist kein Vorwurf an den IT-Partner: Viele Verträge sehen solche Nachweise schlicht nicht vor.

Nachweise, die im Schadenfall zählen

Im Schadenfall klärt der Versicherer, ob die Obliegenheiten eingehalten waren. Dann zählen Unterlagen, die vor dem Vorfall entstanden sind:

• Restore-Protokolle mit Datum, Umfang und Ergebnis
• Patch-Berichte mit Installationsdatum
• eine Übersicht der mit Mehrfaktor-Authentifizierung geschützten Zugänge
• Schulungsnachweise der Mitarbeitenden
• der Notfallplan mit Datum der letzten Übung
• der Bericht einer unabhängigen Prüfung

Technische Belege liefert der IT-Partner. Ob sie vollständig sind und zu Ihrer Police passen, sollte jemand prüfen, der nicht die eigene Arbeit bestätigt. Dafür gibt es die Zweitmeinung zur IT-Sicherheit und die Standortbestimmung. Damit die Nachweise bei der nächsten Erneuerung aktuell sind, gehören sie in einen festen Rhythmus, wie ihn das Security-Management vorsieht.

Die Standortbestimmung liefert dafür einen datierten Bericht nach IKT-Minimalstandard: eine Prüfung der von aussen sichtbaren Systeme, eine Bewertung von Zuständigkeiten, Awareness und Notfallvorbereitung sowie eine priorisierte Risikoübersicht mit Massnahmenplan. Dabei gleichen wir Ihre Angaben im Fragebogen und die Anforderungen aus den Versicherungsbedingungen mit dem Ist-Zustand ab und prüfen stichprobenweise anhand der Protokolle Ihres IT-Partners, ob Backups tatsächlich zurückgespielt und Updates tatsächlich eingespielt wurden. Im Security-Management kommt jedes Quartal ein Report von zwei bis drei Seiten dazu. Er hält fest, was umgesetzt wurde und was offen ist. Dazu kommen Nachweise zu den Phishing-Simulationen und Lernmodulen der Mitarbeitenden.

Häufige Fragen

Welche Massnahmen verlangt eine Cyberversicherung?

Typisch sind regelmässige Backups, davon mindestens eines offline, aktuelle Schutzsoftware, Sicherheitsupdates innert fester Fristen und Mehrfaktor-Authentifizierung für Fernzugriffe. Die Mobiliar verlangt etwa ein wöchentliches Vollbackup und kritische Patches innert 14 Tagen. Abgefragt wird das im Risikofragebogen beim Abschluss, und als Obliegenheit gilt es während der ganzen Vertragsdauer.

Was passiert, wenn ich den Fragebogen der Cyberversicherung falsch beantworte?

Der Fragebogen ist Teil der Anzeigepflicht nach Art. 6 des Versicherungsvertragsgesetzes. Wird eine erhebliche Frage falsch oder unvollständig beantwortet, kann der Versicherer den Vertrag kündigen. Für Schäden, die durch die falsche Angabe beeinflusst wurden, entfällt die Leistung. Darum lohnt es sich, jede Antwort vor der Unterschrift mit dem IT-Partner zu belegen.

Was sind Obliegenheiten bei einer Cyberversicherung?

Obliegenheiten sind Pflichten, die während der ganzen Laufzeit gelten, zum Beispiel Backups, Updates und Virenschutz nach festen Vorgaben. Verletzt ein Unternehmen sie schuldhaft, kann der Versicherer die Leistung kürzen, je nachdem, wie stark die Verletzung den Schaden beeinflusst hat. Je nach Bedingungen kann die Leistung bei Vorsatz ganz entfallen. Entscheidend ist, die Einhaltung belegen zu können.

Ist Mehrfaktor-Authentifizierung Pflicht für eine Cyberversicherung?

Nicht überall, aber häufig. Ein Schweizer Makler beobachtet, dass Versicherer sie oft als Mindestanforderung voraussetzen, und der Zurich-Fragebogen fragt sie für Fernzugriffe und Administratorkonten ab. Andere Anträge fragen erst ab einer bestimmten Unternehmensgrösse danach. Wer sie im Fragebogen bestätigt, muss sie lückenlos umgesetzt haben.

Wie belege ich im Schadenfall, dass wir die Pflichten eingehalten haben?

Mit Unterlagen, die vor dem Vorfall entstanden sind: Restore-Protokolle, Patch-Berichte mit Datum, Notfallplan mit Übungsdatum. Am stärksten ist ein Bericht einer unabhängigen Stelle, der diese Belege regelmässig mit den Klauseln Ihrer Police abgleicht.

Was kostet eine Cyberversicherung?

Die Prämie hängt von Branche, Grösse, Deckung und Sicherheitsniveau ab. Wie sich Kosten für Schutz und Versicherung einordnen lassen, zeigt der Beitrag Was Cybersicherheit für ein KMU kostet.

Der nächste Schritt

Einen ersten Eindruck, wo Ihr Unternehmen steht, gibt der Selbstcheck. Er dauert rund fünf Minuten und kommt ohne Kontaktdaten aus.

Wenn Sie es genau wissen wollen, machen Sie die Standortbestimmung, bevor Sie den Fragebogen unterschreiben. Sie zeigt, welche Antworten belegt sind und wo Lücken bleiben. Die Cyber-Risiko Standortbestimmung kostet CHF 2'950 pauschal (exkl. MWST). Ob sie für Sie der richtige Schritt ist, klären wir im Erstgespräch: In 30 Minuten wissen Sie, wo Sie stehen.

Warum eine Police die Schutzmassnahmen nicht ersetzt, sondern voraussetzt, lesen Sie im Beitrag Cyberversicherung oder Cybersicherheit?.

Quellen

• Die Mobiliar: Cyberversicherung für Betriebe, Allgemeine Bedingungen, Ausgabe 05.2025, Art. A6, A10 und Teil D, als Kopie bei einem Makler.
• AXA: Allgemeine Vertragsbedingungen KMU Versicherung, Modul Cyberversicherung, Ausgabe 06.2024, Teil C.
• Zurich: Fragebogen Zurich Cyberversicherung KMU, Version 2022/03.
• SwissCyberRisk und Markel: Antrag und Bedingungen, Stand Version V.1, über den Schweizerischen Anwaltsverband.
• Markel Insurance SE (Deutschland, EU-Markt): Fragebogen für Cyber-Versicherungen «Pro Cyber», Stand Version 2, nur zum Vergleich.
• VZ VermögensZentrum und Hochschule Luzern: Cyberrisiken für KMU, Oktober 2026, Kapitel 3.2.
• avolut: Interview mit Michel Dominic Koch, ASSEPRO Brokerage AG, 22. Juli 2026.
• Die Mobiliar mit BACS, digitalswitzerland, HES-SO, HWZ und SATW: KMU Cybersicherheit 2026, Oktober 2026, Checkliste «Wo steht Ihr KMU?» und Whitepaper, Seiten 19 bis 22. 507 KMU mit 1 bis 49 Mitarbeitenden.
• Bundesgesetz über den Versicherungsvertrag (VVG): Art. 6.