Cyberversicherung oder Cybersicherheit? Warum KMU beides brauchen, in der richtigen Reihenfolge

Nein, eine Cyberversicherung ersetzt keine Cybersicherheit. Die Police zahlt einen Teil der Folgen, nachdem etwas passiert ist. Schutzmassnahmen sorgen dafür, dass es seltener passiert, und sie sind genau das, was der Versicherer vor dem Abschluss und im Schadenfall sehen will. Ein KMU braucht deshalb beides, und zwar in einer bestimmten Reihenfolge.

Dieser Beitrag richtet sich an Inhaber und Geschäftsleitungen, nicht an die IT. Er zeigt, was eine Police leistet, wo sie aufhört und wer im Unternehmen welchen Nachweis liefert.

Die kurze Antwort: Die Police zahlt, Schutzmassnahmen verhindern

Niemand verzichtet auf Brandschutz, weil eine Feuerversicherung besteht. Umgekehrt ersetzt der Feuerlöscher keine Versicherung. Bei Cyberrisiken gilt dasselbe, auch wenn es seltener so deutlich gesagt wird. Jesús Pampín, Leiter des Kompetenzzentrums Cyber Risk der Mobiliar, sagt es zur Studie «KMU Cybersicherheit 2026» so: «Eine Cyberversicherung kann Risiken abfedern, ersetzt aber die Eigenverantwortung nicht.» Das sagt ein Versicherer über sein eigenes Produkt.

«Wenn ich im Erstgespräch höre ‹Wir sind ja versichert›, frage ich zurück: Was haben Sie im Fragebogen angegeben, und könnten Sie es heute belegen? Dann wird es oft still. Das Problem ist nicht die Police, sondern die Annahme, dass damit alles erledigt ist», sagt Sean Horvath, Geschäftsführer von SAFEROUTE.

Die Reihenfolge ist einfach: zuerst die Grundlagen klären und belegen, dann versichern, was danach noch übrig bleibt. Dieses Restrisiko ist der Teil, für den eine Police gemacht ist.

Was eine Cyberversicherung typischerweise übernimmt

Cyberpolicen unterscheiden sich im Detail stark, die Bausteine sind aber bei den meisten Anbietern ähnlich. Verbreitet sind sie noch nicht: Laut der Studie «Cyberrisiken für KMU» von VZ VermögensZentrum und Hochschule Luzern hatten 2025 erst 11,5 Prozent der Schweizer Unternehmen eine Cyberversicherung. Die Zahl der Policen hat sich trotzdem fast verdoppelt, von 38'000 im Jahr 2021 auf 72'000 im Jahr 2025.

Eigenschäden

Das sind die Kosten, die im eigenen Unternehmen anfallen:

• Wiederherstellung von Daten und Systemen, etwa das Zurückspielen von Backups und das Neuaufsetzen von Servern
• Ertragsausfall und Mehrkosten während eines Betriebsunterbruchs, meist nach einer Wartefrist
• IT-Forensik, also die Klärung, wie die Angreifer hereinkamen und was sie mitgenommen haben
• Soforthilfe über eine Notfall-Hotline in den ersten Stunden

Haftpflicht, Recht und Krisenkommunikation

Dazu kommen Ansprüche Dritter, etwa wenn Kundendaten abfliessen, die Rechtsberatung bei Meldepflichten nach dem Datenschutzgesetz und die Unterstützung bei der Kommunikation gegenüber Kunden und Öffentlichkeit.

Ein Vorteil verdient Anerkennung: Mit der Police kommt oft der Zugang zu IT-Spezialisten, Juristen und Kommunikationsfachleuten, die im Ernstfall innert Stunden verfügbar sind. Für ein KMU ohne eigene Sicherheitsabteilung ist das viel wert.

Was keine Police zurückbringt

Typische Ausschlüsse

Die VZ/HSLU-Studie nennt Ausschlüsse, die in vielen Versicherungsbedingungen stehen:

• Der Wert verlorener Daten. Bezahlt wird die Wiederherstellung, nicht der Wert von Daten, die unwiederbringlich verloren sind.
• Bussen und Konventionalstrafen. Sie sind häufig nicht oder nicht immer gedeckt.
• Lösegeld. Je nach Anbieter versichert, ausgeschlossen oder nur über einen Zusatzbaustein, oft mit vorgängiger Zustimmung und eigener Limite.
• Krieg, staatliche Cyberoperationen und Vorsatz. Diese Fälle sind meist ausgeschlossen.

Was Ihr Versicherer konkret verlangt und ausschliesst, steht in den Allgemeinen Versicherungsbedingungen Ihrer Police. In der Standortbestimmung gleichen wir diese Anforderungen mit Ihrem Ist-Zustand ab. Welche Pflichten und Fristen in Schweizer Policen üblich sind, zeigt der Beitrag Cyberversicherung: Was Versicherer voraussetzen.

Was nach dem Angriff bleibt

Wichtiger als die Ausschlüsse ist, was sich gar nicht versichern lässt. Die Studie «KMU Cybersicherheit 2026» hat betroffene Unternehmen nach den Folgen gefragt. Am häufigsten genannt wurden grosser Arbeitsaufwand für die Behebung und emotionale Belastung, beide gleich oft. Erst danach folgen finanzieller Schaden, unsichere Geschäftsbeziehungen, Reputationsschaden und der Verlust von Kundendaten.

Die Police kann einen Teil des finanziellen Schadens tragen. Die Wochen, in denen die Geschäftsleitung Kunden beruhigt, die Arbeit neu organisiert und unter Druck entscheidet, trägt sie nicht. Wie sich die Kosten eines Angriffs zusammensetzen, zeigt der Beitrag Was ein Cyberangriff ein KMU wirklich kostet.

Warum die Versicherung Cybersicherheit voraussetzt

Die VZ/HSLU-Studie fasst es knapp zusammen: Eine Cyberversicherung ergänzt die Prävention, sie setzt sie aber auch voraus. Versicherbar ist, wer Mindeststandards erfüllt und das belegen kann.

Der Risikofragebogen beim Abschluss

Vor dem Abschluss prüft der Versicherer das Unternehmen, meist mit einer Selbstdeklaration oder einem Fragebogen. Bei kleineren Unternehmen sind es oft nur wenige Fragen. Typisch sind diese Mindestmassnahmen:

• regelmässige Backups mit getesteter Wiederherstellung
• zeitnahe Sicherheitsupdates, vor allem bei kritischen Lücken
• Mehrfaktor-Authentifizierung für E-Mail, Fernzugriffe und wichtige Systeme
• klar geregelte Zuständigkeiten und Entscheidungswege im Ereignisfall
• ein Notfallkonzept mit Melde-, Eskalations- und Kommunikationswegen

Den Fragebogen unterschreibt die Geschäftsleitung. Wer dort «Ja» ankreuzt, weil der IT-Partner das einmal so gesagt hat, unterschreibt eine Annahme. Stellt sich im Schadenfall heraus, dass eine Angabe nicht stimmte, steht im schlimmsten Fall die ganze Leistung infrage. Die Liste deckt sich übrigens weitgehend mit dem IKT-Minimalstandard des Bundes, der einen guten Rahmen für die Vorbereitung bietet.

Obliegenheiten: Wer nichts belegen kann, riskiert Kürzungen

In den Versicherungsbedingungen stehen Obliegenheiten, also Pflichten, die das Unternehmen während der ganzen Laufzeit erfüllen muss. Ein Beispiel aus den Bedingungen der AXA für das Modul Cyberversicherung (Ausgabe 06.2024):

• mindestens wöchentlich eine Sicherung sämtlicher Daten
• mindestens eine wöchentliche Sicherung getrennt vom Netzwerk aufbewahrt
• Sicherheitsupdates zeitnah einspielen, bei kritischen Lücken innert 30 Tagen

Das ist kein Sonderfall, sondern üblich. Die VZ/HSLU-Studie hält fest, dass strenge oder unklare Anforderungen das Risiko erhöhen, dass der Versicherer Leistungen kürzt oder verweigert, wenn Vorgaben nicht vollständig erfüllt oder nicht ausreichend dokumentiert sind.

Der entscheidende Teil steht am Schluss: nicht ausreichend dokumentiert. Es genügt nicht, dass das Backup läuft. Im Schadenfall zählt, ob Sie belegen können, dass es lief, getrennt aufbewahrt war und sich zurückspielen liess.

Die Lücke in Schweizer KMU: gesichert ja, geprüft selten

Das Risiko ist real. 6 Prozent der KMU erlebten laut der Studie «KMU Cybersicherheit 2026» in den letzten drei Jahren einen Cyberangriff mit schwerwiegenden Folgen, hochgerechnet über 35'000 Unternehmen. Bei KMU ab zehn Mitarbeitenden sind es bis zu 16 Prozent. Dieselbe Studie zeigt, wo die Lücke liegt. Technisch stehen viele KMU solide da, organisatorisch nicht:

• Neun von zehn KMU sichern ihre Daten regelmässig. Nur 27 Prozent üben auch das Zurückspielen.
• 55 Prozent nutzen Mehrfaktor-Authentifizierung.
• 31 Prozent schulen ihre Mitarbeitenden regelmässig.
• 28 Prozent haben einen Notfallplan für die Geschäftsfortführung.
• Sicherheitsaudits sind die am seltensten umgesetzte Massnahme überhaupt.

Legt man diese Liste neben den Risikofragebogen, fällt etwas auf: Die schwachen Felder sind genau die, nach denen der Versicherer fragt. Getestete Wiederherstellung, Notfallkonzept, geregelte Zuständigkeiten. Und es sind Felder, bei denen ein Häkchen nicht genügt, weil sie sich nur mit Protokollen und Dokumenten belegen lassen.

In der Praxis sieht Sean Horvath immer wieder dieselben Lücken. Am häufigsten fehlt ein Risikomanagement: Niemand hat festgehalten, welche Risiken bestehen, wie gross sie sind und was dagegen getan wird. Dazu kommen organisatorische und technische Punkte:

• Verantwortliche Person: Niemand ist im Unternehmen klar für die Informationssicherheit zuständig.
• Sicherheitsrichtlinien: Es gibt keine schriftlichen Regeln, etwa zu Passwörtern, Zugriffsrechten oder dem Umgang mit Daten.
• Notfallplan: Es ist nicht festgelegt, wer im Ernstfall was tut und wen informiert.
• Patchmanagement: Updates werden eingespielt, aber niemand kann zeigen, wann und auf welchen Geräten.
• EDR: Eine Software, die Angriffe auf Laptops und Servern erkennt und stoppt, fehlt oder läuft nicht auf allen Geräten.
• Backup-Konzept: Es wird gesichert, aber nicht getrennt vom Netz und ohne getestete Wiederherstellung.

Wer liefert die Nachweise? Geschäftsleitung, IT-Partner, Versicherer

Hier liegt das häufigste Missverständnis. Viele Geschäftsleitungen gehen davon aus, dass der IT-Partner sich um alles kümmert, was mit der Police zu tun hat. Der IT-Partner setzt um. Er unterschreibt aber nicht den Fragebogen, und er sollte nicht derjenige sein, der seine eigene Arbeit bestätigt.

Der Grundsatz dahinter ist aus der Buchhaltung vertraut: Niemand sollte sich selbst kontrollieren. Wer die Bücher führt, revidiert sie nicht. Mehr dazu im Beitrag Ihr IT-Partner schützt Ihre Systeme. Wer schützt Ihr Unternehmen? Warum die Verantwortung in jedem Fall bei der Geschäftsleitung bleibt, erklärt Security Governance ist Chefsache.

Die richtige Reihenfolge in vier Schritten

1. Standort klären

Bevor über Policen gesprochen wird, braucht die Geschäftsleitung ein ehrliches Bild: Welche Mindestmassnahmen sind umgesetzt, welche nicht, und welche lassen sich belegen? Einen ersten Eindruck gibt der Selbstcheck. Eine belastbare Grundlage, die auch gegenüber Versicherern trägt, liefert eine Standortbestimmung.

Was die Geschäftsleitung dafür tun muss: den Auftrag erteilen und festlegen, wer intern Auskunft gibt.

2. Die grössten Lücken schliessen und dokumentieren

Nicht alles auf einmal. Zuerst kommen die Punkte, die Versicherer fast immer verlangen: getestete Wiederherstellung, Mehrfaktor-Authentifizierung, zeitnahe Updates, ein Notfallplan. Jede Umsetzung wird festgehalten, mit Datum und Zuständigkeit.

Was die Geschäftsleitung dafür tun muss: Prioritäten und Budget freigeben, Zuständigkeiten schriftlich festlegen.

3. Den Fragebogen wahrheitsgetreu beantworten und die Police wählen

Jetzt lässt sich der Fragebogen ehrlich ausfüllen, und zu jeder Antwort gibt es einen Beleg. Das verbessert auch die Ausgangslage beim Abschluss: Laut der VZ/HSLU-Studie kann ein nachweislich hohes Sicherheitsniveau zu Prämienrabatten führen. Beim Vergleich der Angebote lohnt der Blick auf die Obliegenheiten. Was verlangt die Police, und kann das Unternehmen das im Alltag zuverlässig einhalten?

Was die Geschäftsleitung dafür tun muss: den Fragebogen selbst durchgehen und erst unterschreiben, wenn zu jedem «Ja» ein Beleg existiert.

4. Laufend nachweisen und vor jeder Erneuerung aktualisieren

Eine Police läuft über Jahre, die IT verändert sich in dieser Zeit laufend. Backups werden umgestellt, Mitarbeitende wechseln, neue Systeme kommen dazu. Die Obliegenheiten gelten trotzdem an jedem Tag. Deshalb gehören die Nachweise in einen festen Rhythmus, etwa einen Quartalsreport, und werden vor jeder Erneuerung auf den neuesten Stand gebracht. Genau dafür gibt es Security-Management.

Was die Geschäftsleitung dafür tun muss: die Nachweise einmal pro Quartal einfordern und vor der Erneuerung durchsehen.

Aus der Praxis: ein Treuhandbüro, bei dem die Police kaum zahlte

Im Frühjahr 2026 wurde ein kleines Treuhandunternehmen in der Deutschschweiz Opfer eines Ransomware-Angriffs. Es hat weniger als fünf Mitarbeitende, die IT betreut ein externer Dienstleister, eine Cyberversicherung bestand. Ein Fernwartungszugang war offen aus dem Internet erreichbar, und automatische Programme probierten so lange Passwörter aus, bis eines passte. Auf dem verschlüsselten Server lagen die Buchhaltungen, Lohndaten und Steuerunterlagen aller Mandanten.

Die Daten liessen sich am Wochenende aus der Datensicherung zurückholen, Lösegeld floss keines. Trotzdem kostete der Vorfall direkt einen Betrag im mittleren fünfstelligen Bereich. Die Cyberversicherung übernahm davon nur einen sehr kleinen Teil, weil das Büro seine vertraglichen Pflichten gegenüber dem Versicherer nicht erfüllt hatte. Es gab keinen Notfallplan, und was der IT-Dienstleister leistet und wann er erreichbar ist, war nirgends schriftlich festgehalten. Dazu kamen ein Arbeitsrückstand über Monate und Mandanten, die den Treuhänder gewechselt haben.

Die offene Tür war nach dem Angriff in weniger als einer Stunde geschlossen. Derselbe Aufwand hätte den Vorfall Monate früher wahrscheinlich verhindert, und schon eine einfache Prüfung von aussen hätte den offenen Zugang gezeigt. Sean Horvath beschreibt den Fall ausführlich im Fachbeitrag «Freitagmittag: Die IT fällt aus, der Betrieb steht still» in der Zeitschrift TREX Der Treuhandexperte.

Treuhandbüros trifft das Thema doppelt: Sie verwalten sensible Mandantendaten und arbeiten mit harten Fristen. Mehr dazu auf der Seite für Treuhandbüros. Was Treuhandbüros schützen und wem sie einen Vorfall melden müssen, zeigt der Ratgeber für Treuhandbüros.

Versicherung und Security-Management im Vergleich

Häufige Fragen

Reicht eine Cyberversicherung für ein KMU?

Nein. Eine Cyberversicherung verhindert keinen Angriff, sie übernimmt einen Teil der finanziellen Folgen, etwa Wiederherstellung, Betriebsunterbruch und Haftpflichtansprüche. Arbeitsaufwand, Belastung der Geschäftsleitung und Vertrauensverlust bei Kunden bleiben. Zudem setzt die Police Mindestmassnahmen wie Backups, Updates und Mehrfaktor-Authentifizierung voraus. Für ein KMU braucht es beides: zuerst Schutzmassnahmen, dann die Versicherung für das Restrisiko.

Brauche ich trotz Cyberversicherung Schutzmassnahmen?

Ja, aus zwei Gründen. Erstens verlangt die Police sie: Backups, Updates und Mehrfaktor-Authentifizierung gehören bei den meisten Versicherern zu den Mindestanforderungen. Zweitens verhindern nur Schutzmassnahmen, dass es überhaupt zum Schaden kommt. Die Versicherung zahlt erst danach, und nur einen Teil.

Was zahlt eine Cyberversicherung, und was nicht?

Typischerweise übernimmt sie die Wiederherstellung von Daten und Systemen, den Ertragsausfall während eines Betriebsunterbruchs, IT-Forensik, Haftpflichtansprüche Dritter, Rechtsberatung und Krisenkommunikation. Häufig nicht gedeckt sind der Wert verlorener Daten, Bussen, je nach Anbieter Lösegeld sowie Krieg und Vorsatz. Arbeitsaufwand, Belastung und Vertrauensverlust bleiben immer beim Unternehmen.

Kann die Cyberversicherung die Leistung kürzen, wenn Massnahmen fehlen?

Ja, das kann passieren. Cyberversicherungen enthalten Obliegenheiten, also Pflichten wie regelmässige und getrennt aufbewahrte Backups, zeitnahe Sicherheitsupdates und aktuelle Schutzsoftware. Sind diese im Schadenfall nicht erfüllt oder nicht dokumentiert, kann der Versicherer Leistungen kürzen oder verweigern. Entscheidend ist deshalb nicht nur, was umgesetzt ist, sondern dass es nachweisbar ist, etwa durch Protokolle getesteter Wiederherstellungen.

Was kommt zuerst: Cybersicherheit oder Cyberversicherung?

Zuerst die Grundlagen klären: Wo steht das Unternehmen, welche Mindestmassnahmen fehlen, wer ist intern und beim IT-Partner wofür zuständig? Danach eine Police abschliessen, deren Fragebogen man wahrheitsgetreu und belegbar beantworten kann. Wer diese Reihenfolge einhält, ist leichter versicherbar, beantwortet den Risikofragebogen korrekt und hat im Ernstfall die Nachweise, die der Versicherer verlangt.

Wer liefert die Nachweise: die Geschäftsleitung, der IT-Partner oder der Versicherer?

Der IT-Partner setzt die Technik um und liefert die technischen Belege. Ob das genügt und zu den Anforderungen passt, sollte eine unabhängige Stelle prüfen und dokumentieren. Verantwortlich bleibt die Geschäftsleitung: Sie unterschreibt den Fragebogen und muss im Schadenfall belegen können, dass die Obliegenheiten erfüllt waren. Der Versicherer liefert keine Nachweise, er verlangt sie. Wer im KMU was verantwortet, zeigt der Beitrag Ist Ihr IT-Dienstleister für Cybersicherheit zuständig?

Was kostet das?

Die Prämie hängt von Branche, Grösse, Deckungsumfang und Sicherheitsniveau ab. Was eine Standortbestimmung kostet und was sie umfasst, steht auf der Seite Standortbestimmung. Ein öffentliches Prämienbeispiel und weitere Vergleichszahlen stehen im Beitrag Was kostet Cybersicherheit für ein KMU?

Der nächste Schritt

Wer wissen will, wo das eigene Unternehmen steht, beginnt mit dem Selbstcheck: rund fünf Minuten, ohne Angabe von Kontaktdaten. Wer danach eine belastbare Grundlage für Versicherer, Kunden und Verwaltungsrat braucht, bespricht das im Erstgespräch. Nach 30 Minuten haben Sie ein klares Bild Ihrer Risikolage und wissen, ob eine Standortbestimmung der richtige nächste Schritt ist.

Quellen

• Die Mobiliar mit BACS, digitalswitzerland, HES-SO, HWZ und SATW: KMU Cybersicherheit 2026, Oktober 2026. 507 Interviews mit Geschäftsleitenden von KMU mit 1 bis 49 Mitarbeitenden, YouGov, 24. Juni bis 10. Juli 2026.
• Bundesamt für Cybersicherheit BACS: Medienmitteilung zur Studie «KMU Cybersicherheit 2026», 22. Oktober 2026.
• VZ VermögensZentrum und Hochschule Luzern: Cyberrisiken für KMU, Oktober 2026, Kapitel 3.
• AXA: Allgemeine Vertragsbedingungen KMU Versicherung, Modul Cyberversicherung, Ausgabe 06.2024, Abschnitte C2 und C3.
• Sean Horvath: «Freitagmittag: Die IT fällt aus, der Betrieb steht still», TREX Der Treuhandexperte 6/2026, Seiten 32 bis 35.