Ein Gastbeitrag von Julia Weimer, Junior Cyber Specialist, und Florian Salm, Head of Cyber Wholesale, bei hendricks
Laut Bitkom waren 2025 rund 87% der deutschen Unternehmen von Datendiebstahl, Spionage oder Sabotage betroffen. Der Schaden lag bei 289,2 Mrd. Euro, davon rund 70% durch Cyberangriffe. Die Nachfrage nach Absicherung ist hoch, doch fehlende IT-Reife erschwert die Versicherbarkeit. Zudem wird ein Unternehmen bei geringer Absicherung selbst zum beliebten Angriffsziel für Cyberkriminelle. Kurz gesagt: Solange das Passwort „1234“ lautet und die eigenen Mitarbeiter für Phishing-Angriffe nicht sensibilisiert sind, haben Cyberkriminelle leichtes Spiel.
Aufgrund der ansteigenden Schadenfälle achten die Versicherer daher zunehmend auf die Erfüllung von Risikofragen, die je nach Versicherer unterschiedlich gestaltet sind.
Die Relevanz der IT-Reife eines Unternehmens zeigt Wirkung. Weist ein Unternehmen eine positive Entwicklung der IT-Sicherheit vor, wirkt sich dies auf die Prämiengestaltung und Deckungstiefe aus. Bestehen dagegen Defizite, formulieren die Versicherer Auflagen, um eine Versicherbarkeit zu ermöglichen; tendenziell nimmt dieses Verhalten der Versicherer jedoch ab. Heißt konkret: Sind Mindestanforderungen zum Vertragsbeginn nicht erfüllt, endet der Prozess zunehmend in der Ablehnung des Risikos. IT-Reife wird somit zur Eintrittskarte in den Cyberversicherungsmarkt.
Folgen für Risikotransfer und Unternehmenssicherheit
Die Konsequenz der fehlenden IT-Reife ist eine doppelte Verwundbarkeit. Das Bundesamt für Sicherheit in der Informationstechnik (BSI) beobachtet, dass Angreifer gezielt Unternehmen mit schwacher IT-Sicherheit auswählen. Ein daraus folgender Schadenfall lässt Unternehmen ohne Police aufgrund mangelnder IT-Reife mit allen Konsequenzen zwangsläufig allein.
Bereits in den ersten Stunden eines Angriffs wird dies spürbar. Ohne Cyberversicherung fehlt vielen Unternehmen, oft im klein- und mittelständischen Segment, der wichtige Zugriff auf ein etabliertes Krisennetzwerk aus IT-Forensikern, spezialisierten Anwälten und Krisenkommunikation, welches im Schadenfall sofort verfügbar sein muss. Wirtschaftliche Folgen und Schäden des Angriffs, bspw. Betriebsunterbrechung, Kosten der Systemwiederherstellung oder Drittschäden, verbleiben ebenfalls bei dem betroffenen Unternehmen. Ohne Police kann ein größerer Cybervorfall damit schnell zum Insolvenzrisiko werden. Hierbei kann ebenfalls im Schadenfall die Frage aufkommen, ob die Geschäftsführung angemessene IT-Sicherheit etabliert und den Risikotransfer ausreichend geprüft hat. Sollte dies nicht erfüllt sein, steht eine Verletzung der Sorgfaltspflicht im Raum und damit auch die persönliche Haftung mit dem Privatvermögen.
Warum klassische Maklerprozesse an ihre Grenzen stoßen
Die Qualität der Vermittler innerhalb der Assekuranz in Deutschland ist hoch. Noch nie waren die Anforderungen an unsere Zunft dermaßen vielschichtig: Regulatorik, Digitalisierung, Demografie, Diversität und Komplexität der Versicherungsprodukte. Das Gebiet der IT-Sicherheit ist darüber hinaus eine gänzlich neue Disziplin, sofern ein Vermittler nicht privater Natur ein Faible dafür hat.
Die IT-Infrastruktur ist heutzutage das technische Rückgrat eines Unternehmens und erweitert sich kontinuierlich mit der Größe eines Unternehmens. Als fachfremder und außenstehender Dritter (hier der Vermittler) den Überblick zu behalten und damit verbundene Rückfragen des Kunden adäquat und ausreichend zu beantworten, ist unmöglich. Risikofragen im Antragsprozess, Begriffe und Zusammenhänge im Bedingungswerk und Aufklärung zu Anforderungen des Gesetzgebers (bswp. NIS-2) drängen den Vermittler jedoch genau in diese Richtung. Die Theorie und Praxis einer allumfassenden Beratung des Kunden zu diesem Risiko können an dieser Stelle weit auseinander liegen (bspw. Bedarfsanalyse). Häufig ist vertrieblich die Reise somit schneller beendet, als es sich Vermittler und Kunde wünschen, es fehlt schlichtweg an einem fachlichen Dolmetscher zu diesem Thema. Diese Spezialtiefe für eine einzelne Sparte wirtschaftlich durch einen Vermittler vorzuhalten ist kaum darstellbar, denn es fehlt die Skalierbarkeit.
Neue Beratungs- und Lösungsansätze
Die Antwort darauf kann ein arbeitsteiliges Modell sein. Der betreuende Vermittler ist und bleibt erster Ansprechpartner und Vertrauter des Kunden. Eine Unterstützung für den Vermittler bietet die Kooperation mit einem Spezialmakler, welcher fachliche, vertriebliche und technische Expertise bereitstellt. Er begegnet dieser neuen Herausforderung demnach mit einer Auswahl an Experten verschiedener Bereiche: Risikoingenieure für die IT-Sicherheit, Fachjuristen sowie kaufmännische Spezialisten der Cyberversicherung.
Die versicherungsfachliche Expertise erfolgt v. a. in den Bereichen Bedingungswerkauswahl bzw. -erstellung sowie Begleitung und Orchestrierung im Schadenfall. Die vertriebliche Expertise erfolgt mithilfe der richtigen Argumentationsansätze für alle Ansprechpartner des Kunden (u. a. Geschäftsführer, IT-Leiter) als auch in dem Transfer und Einordnung der Risikofragen in die Richtungen des Versicherungsnehmers und des Versicherers. Die technische Expertise hilft bei mangelndem Verständnis bzw. Status-Quo des IT-Sicherheitsreifegrades des Versicherungsnehmers als auch der Lösung und Umsetzung fehlender Merkmale in der IT-Sicherheit. Ein besonders hervorzuhebender Vorteil ist an dieser Stelle die Schlüsselrolle der Risikoingenieure. Mit ihrer Unterstützung kann ein aktuell noch nicht versicherbarer Kunde weiter betreut und serviciert werden bis zu dem Zeitpunkt, an dem er ein versicherbares Risiko für den Versicherer darstellt. Aus einer Ablehnung wird demnach ein gemeinsamer Fahrplan hin zur Versicherbarkeit. Das Dienstleistungspaket des Vermittlers gegenüber dem Kunden umfasst folglich neben dem Produktvergleich auch die grundsätzliche Herstellung von Versicherbarkeit.
Fazit
Der Engpass der Cyberversicherung liegt heute weniger in der Kapazität der Versicherer als in der Reife der nachfragenden Unternehmen. Versicherbarkeit wird somit selbst zum Beratungsziel. Wer als Vermittler den Weg dorthin organisiert und alle notwendigen Werkzeuge, Expertisen und Kompetenzen mitbringt, stellt Kundenzufriedenheit und -bindung dar. Die Zusammenarbeit mit Spezialisten zeigt Stärke an der richtigen Stelle und liefert einen immensen Mehrwert für die betroffenen Unternehmen.
Lesen Sie auch: Prävention oder Versicherung: Die richtige Mischung bei Cyberrisiken
- Anmelden, um Kommentare verfassen zu können
- 52 Aufrufe
