Cyberversicherung Graz
Für einen Angriff sind wir zu klein. Genau das macht uns interessant
Angriffe laufen automatisiert. Sie suchen keine Ziele aus, sie suchen Lücken – und finden sie dort, wo niemand eine eigene IT-Abteilung hat. Der Schaden entsteht dann selten an der Hardware, sondern am Stillstand, an den Meldepflichten und an den Ansprüchen jener, deren Daten betroffen sind.
Vier verbreitete Irrtümer
- Ein Backup allein bringt den Betrieb nicht zurück
- Die Betriebsversicherung deckt Geräte, keine Daten
- Die IT-Firma haftet nicht automatisch für meinen Ausfall
- Ausgelagerte IT ist kein ausgelagertes Risiko
Cyber ist die Sparte, in der die Unterschiede zwischen den Anbietern am größten sind – und in der die Abwicklung im Schadensfall über Erfolg oder Misserfolg entscheidet.
Leistungsumfang
Was eine Cyberversicherung abdeckt
Ein Cybervorfall trifft einen Betrieb an vier Stellen gleichzeitig: an den eigenen Systemen, am laufenden Geschäft, an den Ansprüchen Dritter und an der Frage, wer in den ersten Stunden überhaupt weiß, was zu tun ist. Ein brauchbares Produkt bedient alle vier.
Eigener Schaden
Wiederherstellung von Daten und Systemen, IT-Forensik zur Klärung des Hergangs, Isolation befallener Bereiche, Krisenkommunikation. Dazu die Kosten der Benachrichtigung von Behörde und betroffenen Personen sowie die Deckung bei Erpressung.
Schaden bei Dritten
Die Haftpflichtkomponente. Sie greift, wenn Dritte Ansprüche stellen – etwa nach der Weiterleitung von Schadsoftware oder weil Kundendaten offengelegt wurden. Dazu die Begleitung datenschutzrechtlicher Verfahren. Ohne diese Komponente ist ein Produkt unvollständig.
Stillstand
Der Betrieb steht, die Gehälter laufen weiter. Ersetzt werden Fixkosten samt Entgeltfortzahlung, Mehrkosten zur Aufrechterhaltung des Geschäfts und der entgangene Gewinn. Erweitern lässt sich das auf Ausfälle in der Cloud und auf rein technische Störungen ohne Angriff.
Soforthilfe
Der Teil, der bei einem Kleinbetrieb den größten Unterschied macht: Notfallnummer rund um die Uhr, IT-Forensik, erfahrene Verhandlung bei Erpressung, Rechts- und Kommunikationsexpertise. Bei guten Produkten sind Schulungen und ein Krisenplan Bestandteil der Bedingungen, nicht bloß Beigabe.
Diese vier Komponenten bilden den Kern. Daneben stehen Bausteine, die gesondert zu wählen sind und in Angeboten deshalb leicht übersehen werden: die Deckung für Betrug durch gefälschte Zahlungsanweisungen, die Unterbrechung durch Ausfall eines Cloudanbieters, die Unterbrechung durch rein technische Störungen und Vertragsstrafen wegen verzögerter Leistung.
Der erste dieser Punkte verdient besondere Aufmerksamkeit. Wird auf eine täuschend echte Mail hin auf ein falsches Konto überwiesen, ist das kein Systemeinbruch – niemand hat sich Zugang verschafft, alles lief technisch korrekt. Genau deshalb fällt dieser Fall aus vielen Grunddeckungen heraus, obwohl er zu den häufigsten überhaupt zählt.
Vergleichsmaßstab
Woran ein schwaches Produkt erkennbar ist
In keiner anderen Sparte gehen die Bedingungswerke so weit auseinander. Sechs Punkte trennen ein tragfähiges Produkt von einem, das im Ernstfall an der entscheidenden Stelle nicht greift.
- Gedeckt sind nur Angriffe, nicht Bedienfehler und technische Störungen
- Die ausgelagerte IT ist nicht mitversichert
- Ausfälle durch Fehler eines Dienstleisters sind ausgeschlossen
- Es fehlt die Deckung für Ansprüche Dritter
- Kein Zugriff auf ein eingespieltes Netz aus Forensik, Recht und Kommunikation
- Der Stillstand wird ohne entgangenen Gewinn oder erst nach langer Wartezeit ersetzt
Besonders der dritte Punkt hat an Gewicht gewonnen. Als ein fehlerhaftes Update eines Sicherheitsanbieters weltweit Systeme lahmlegte, war das kein Angriff – und trotzdem standen unzählige Betriebe still. Dass solche Ursachen mitgedeckt sind, gilt inzwischen als Marktstandard. Fehlt es, ist das ein Grund für einen Wechsel, nicht für eine Diskussion über die Prämie.
Ein Punkt steht in keinem Bedingungswerk und entscheidet trotzdem mit: Im Cyberschaden trifft den Betrieb eine umfassende Dokumentationspflicht. Wer sie nicht erfüllt, macht sich die Durchsetzung der Leistung schwer bis unmöglich. Deshalb gehören Versicherer und Betreuung vom ersten Moment an eingebunden – nicht erst, wenn die Systeme wieder laufen.
Neue Rechtslage
Was das NISG 2026 für kleine Betriebe bedeutet
Mit 1. Oktober 2026 tritt das Netz- und Informationssystemsicherheitsgesetz 2026 in Kraft, mit dem Österreich die europäische NIS-2-Richtlinie umsetzt. Betroffene Einrichtungen müssen sich bis 31. Dezember 2026 beim neu geschaffenen Bundesamt für Cybersicherheit registrieren.
Direkt betroffen sind Sie vermutlich nicht
Das Gesetz erfasst mittlere und große Unternehmen ab 50 Beschäftigten oder mit mehr als zehn Millionen Euro Jahresumsatz beziehungsweise Bilanzsumme – und das auch nur in bestimmten Sektoren wie Energie, Verkehr, Gesundheit, Finanzwesen oder digitaler Infrastruktur.
Ein-Personen-Unternehmen und Kleinbetriebe fallen damit in aller Regel nicht unter die Registrierungs- und Meldepflichten. Die Prüfung, ob man erfasst ist, liegt allerdings beim Unternehmen selbst – eine Verständigung durch die Behörde gibt es nicht.
Über die Lieferkette schon
Erfasste Unternehmen sind verpflichtet, auch ihre Lieferkette abzusichern. Sie geben diese Anforderung weiter – an Zulieferbetriebe, Agenturen, IT-Dienstleister, Beratungen, Reinigungs- und Wartungsfirmen. Wer für solche Auftraggeber arbeitet, wird künftig nach Nachweisen gefragt werden.
Für kleine Betriebe heißt das: kein neuer Gesetzesauftrag, aber ein neues Auftragskriterium. Wichtig dabei – eine Versicherung ist kein Compliance-Nachweis und ersetzt keine Sicherheitsmaßnahme. Sie deckt das Restrisiko, das auch bei guter Absicherung bleibt.
Für wen
Welcher Betrieb welchen Umfang braucht
Ausschlaggebend ist nicht die Größe, sondern die Art der Daten und die Abhängigkeit von funktionierenden Systemen. Ein Betrieb, der ohne Rechner drei Wochen weiterarbeiten kann, braucht etwas anderes als eine Ordination.
Beratung und Dienstleistung
Häufig genügt hier ein Cybermodul zur bestehenden Haftpflicht statt eines eigenständigen Vertrags. Gedeckt sind damit die wesentlichen Gefahren; der Stillstand lässt sich zusätzlich einschließen. Sobald Kundendaten in größerem Umfang verarbeitet werden, wird das Vollprodukt sinnvoll.
Handel und Onlineshop
Hier hängt der Umsatz unmittelbar am System: Steht der Shop oder die Kassa, steht das Geschäft. Dazu kommen Zahlungsdaten, die besonders begehrt sind. Der Stillstandsbaustein gehört breit angelegt, inklusive Ausfällen beim Hosting-Anbieter.
Ordinationen und Praxen
Gesundheitsdaten zählen zu den besonders geschützten Kategorien. Ein Vorfall zieht deshalb regelmäßig Meldepflichten, behördliche Verfahren und Ansprüche betroffener Personen nach sich – und trifft zusätzlich den laufenden Betrieb, weil ohne Terminverwaltung und Befunde nicht gearbeitet werden kann.
IT- und Technikbetriebe
Doppelt betroffen: einmal am eigenen Betrieb, einmal an der Haftung, wenn beim Kunden durch die eigene Arbeit ein Schaden entsteht. Das sind zwei verschiedene Deckungen. Für Fehler in der eigenen Leistung greift die Berufshaftpflicht, für Angriffe und Datenvorfälle die Cyberdeckung. Wer nur eines davon hat, trägt das Risiko der anderen Hälfte selbst.
Aus der Praxis
Vier Fälle, vier Bausteine
Nur einer dieser vier Fälle ist ein klassischer Hackerangriff. Genau deshalb reicht ein Produkt nicht, das ausschließlich Angriffe kennt.
Verschlüsselte Systeme
Ein Anhang wird geöffnet, wenig später ist nichts mehr lesbar – auch das Backup nicht, weil es am selben Netz hing. Forensik, Wiederherstellung und Verhandlung laufen über die Eigenschadendeckung, der Stillstand über den Ertragsbaustein.
Die gefälschte Rechnung
Eine bekannte Lieferantin meldet neue Bankdaten, die Überweisung geht hinaus, das Geld ist weg. Kein Angriff auf die Technik, sondern auf die Aufmerksamkeit. Gedeckt ist das nur über den Zusatzbaustein für Cyberbetrug – und den hat längst nicht jeder Vertrag.
Der Anbieter fällt aus
Warenwirtschaft und Terminverwaltung liegen in der Cloud, der Dienstleister hat eine Störung, der Betrieb steht zwei Tage. Kein eigener Fehler, keine beschädigte Hardware. Ob geleistet wird, hängt allein daran, ob die Deckung ausgelagerte Systeme und rein technische Ursachen umfasst.
Der falsche Verteiler
Eine Liste mit Kundendaten geht an den falschen Empfängerkreis. Keine Software war beteiligt, trotzdem stehen Meldepflicht, behördliches Verfahren und Ansprüche der Betroffenen im Raum. Das ist der Fall, an dem Produkte scheitern, die nur Angriffe versichern.
Wie ich arbeite
Warum ich bei Cyber jemanden dazuhole
Cyber ist keine Sparte, die sich nebenbei betreiben lässt. Die Versicherer verlangen vor der Zeichnung technische Angaben zur IT und zu den Sicherheitsvorkehrungen. Im Schadensfall entscheidet die Dokumentation über die Leistung. Und wer nur gelegentlich anfragt, bekommt am Markt oft gar keine Antwort.
Deshalb habe ich für diese Sparte eine Kooperationsvereinbarung mit einem Maklerhaus, das ausschließlich auf Cyber, D&O und Vermögensschadenhaftpflicht spezialisiert ist. Über diesen Weg stehen mir eigene Deckungskonzepte offen, die es im Standardmarkt nicht gibt – und im Schadensfall ein Team, das nichts anderes macht.
Für Sie ändert sich dadurch nichts an der Ansprechperson: Beratung, Erhebung und Betreuung laufen weiterhin über mich, hier in Graz. Ich halte das für die ehrlichere Lösung, als in einer Spezialsparte eine Erfahrung zu behaupten, die im Ernstfall den Unterschied macht.
Dazu gehört eine unbequeme Seite, die ich lieber vorher ausspreche: Nicht jeder Betrieb ist versicherbar. Fehlen getrennt aufbewahrte Sicherungen, ein Zugriffsschutz mit zweitem Faktor oder aktuelle Systeme, wird kein Risikoträger zeichnen – unabhängig davon, wie gern jemand die Prämie zahlen würde. Zeigt sich das bei der Erhebung, sagen wir es vor der Ausschreibung und nicht danach. Meist sind es überschaubare Schritte, nach denen der Markt wieder offensteht.
Versicherung vergleichen
So läuft der Vergleich ab
Vier Schritte, ohne Verpflichtung. Der erste kostet nichts, der zweite auch nicht.
01
Erstgespräch
Kostenlos und unverbindlich, bei Ihnen oder telefonisch. Bestehende Polizzen sehe ich mir dabei an – manches ist bereits abgedeckt, ohne dass es bewusst ist.
02
Risiko einschätzen
Systeme, Datenbestände, Abhängigkeiten von Dienstleistern, vorhandene Sicherungen und Notfallabläufe. Die Fragen der Versicherer stammen aus deren Schadenerfahrung – wer sie beantwortet, findet dabei meist selbst schon Lücken.
03
Marktvergleich
Angebote mehrerer Versicherer, gemeinsam mit dem Spezialmaklerhaus gegenübergestellt: Umfang der Ursachen, ausgelagerte Systeme, Stillstandsdeckung, Assistance, Selbstbehalt. Die Prämie steht dabei nicht an erster Stelle.
04
Betreuung
Nach dem Abschluss bleibt die Polizze in Betreuung. Verändern sich Systeme, Umsatz oder Dienstleister, prüfen wir die Angaben nach – und im Ernstfall unterstütze ich Sie bei Meldung, Dokumentation und Abwicklung.
Prämie
Wovon die Prämie abhängt
Cyber ist die einzige Sparte, in der das eigene Verhalten die Prämie unmittelbar bewegt – und in der schlechte Vorkehrungen dazu führen können, dass gar kein Angebot zustande kommt.
- Umsatz – die zentrale Bezugsgröße
- Branche und Datenart – Gesundheits- und Zahlungsdaten wiegen schwerer
- Abhängigkeit von Systemen – wie schnell steht der Betrieb
- Sicherungsniveau – getrennte Backups, Mehrfaktor-Anmeldung, Aktualität der Software
- Notfallplan – bei größeren Betrieben Voraussetzung für eine Zeichnung
- Schulung der Belegschaft – senkt bei manchen Anbietern den Selbstbehalt
- Deckungssumme und Zusatzbausteine
- Selbstbehalt und Wartezeit beim Stillstand
Die Maßnahmen, die Versicherer verlangen, stammen aus deren eigener Schadenerfahrung. Sie zu erfüllen senkt nicht nur die Prämie, sondern zuerst die Wahrscheinlichkeit, sie überhaupt zu brauchen. Das ist der seltene Fall, in dem sich Vorsorge doppelt auszahlt.
Häufige Fragen
Was ich vorher wissen möchte
Sind wir als Kleinbetrieb nicht zu unbedeutend für einen Angriff?
Die Vorstellung, jemand suche sich sein Ziel aus, trifft nur auf einen kleinen Teil der Fälle zu. Der weitaus größere läuft automatisiert: Programme durchsuchen das Netz nach bekannten Schwachstellen und schlagen dort zu, wo sie fündig werden. Kleine Betriebe sind dabei nicht weniger betroffen, sondern eher mehr – weil niemand die Systeme laufend betreut.
Zahlt die Versicherung Lösegeld?
Eine Deckung für Erpressung ist bei guten Produkten enthalten, führt aber nicht automatisch zu einer Zahlung. Zuerst wird geprüft, ob die Systeme aus Sicherungen wiederhergestellt werden können – das ist in der Regel der bessere Weg. Kommt eine Zahlung in Betracht, verhandeln erfahrene Fachleute, es braucht die vorherige Freigabe des Versicherers, und es ist zu prüfen, ob sanktionsrechtliche Hindernisse entgegenstehen. Auf eigene Faust zu zahlen kann die Deckung gefährden.
Unsere IT liegt bei einem externen Dienstleister. Ist das Risiko damit weg?
Das Risiko ist verlagert, nicht verschwunden. Steht der Dienstleister, steht Ihr Betrieb – und der Schaden entsteht bei Ihnen. Ob der Vertrag mit dem Dienstleister eine Haftung dafür vorsieht und ob diese durchsetzbar ist, steht auf einem anderen Blatt. Ein brauchbares Cyberprodukt versichert deshalb ausdrücklich auch Vorfälle, die außerhalb der eigenen Systeme eintreten.
Ersetzt eine Cyberversicherung unsere IT-Sicherheit?
Nein, und sie setzt sie voraus. Ohne getrennte Sicherungen, aktuelle Software und eine vernünftige Anmeldung kommt in vielen Fällen kein Vertrag zustande oder nur zu deutlich schlechteren Konditionen. Die Versicherung deckt das Restrisiko, das auch bei guter Absicherung bleibt – sie ist die letzte Ebene, nicht die erste.
Was ist der Unterschied zur Berufshaftpflicht?
Die Berufshaftpflicht greift, wenn durch einen Fehler in Ihrer fachlichen Leistung bei einer Kundin oder einem Kunden ein finanzieller Schaden entsteht – eine falsche Konfiguration, eine fehlerhafte Beratung. Die Cyberdeckung greift, wenn Ihr eigener Betrieb von einem Angriff oder Datenvorfall getroffen wird. Bei IT-Betrieben treten beide Fälle nebeneinander auf, und sie werden von zwei verschiedenen Verträgen bedient.
Und für den privaten Bereich?
Dafür gibt es eine eigene, deutlich schlanker gebaute Deckung – gegen betrügerische Onlineshops, missbrauchte Konto- und Kreditkartendaten, Identitätsmissbrauch und verschlüsselte private Daten. Sie lässt sich in aller Regel über die Haushaltsversicherung einschließen und ist dort auch näher beschrieben. Eine betriebliche Nutzung deckt sie nicht ab.
Verwandte Versicherungen
Was daneben noch dazu gehört
Ein Cybervorfall berührt fast immer mehrere Verträge gleichzeitig: die Haftung gegenüber Dritten, den Ertragsausfall und die Sachwerte im Betrieb. Deshalb lohnt es sich, diese Deckungen gemeinsam anzusehen statt einzeln.
Nächster Schritt
Erst kennenlernen, dann entscheiden
Im Erstgespräch sehen wir uns an, wovon Ihr Betrieb digital abhängt und welche Ursachen ein bestehender Vertrag überhaupt kennt. Kostenlos, unverbindlich, in Graz und Graz-Umgebung auch bei Ihnen im Betrieb.