Cyber-Versicherung Anforderungen 2026: Was Versicherer wirklich prüfen

Jeder dritte Antrag auf eine Cyber-Versicherung wird in Deutschland abgelehnt. Der häufigste Grund ist nicht das Risikoprofil der Branche. Es fehlt an grundlegender IT-Sicherheit. Für Geschäftsführung und IT-Leitung bedeutet das: Ohne funktionierende Endpoint-Security und dokumentiertes Sicherheitsniveau bleibt im Schadensfall oft nur die eigene Kasse. Dieser Beitrag zeigt die Cyber-Versicherung Anforderungen 2026 im Detail: welche Kriterien Versicherer im Underwriting-Fragebogen (der Risikoprüfung vor Vertragsabschluss) tatsächlich abfragen und mit welchem Aufwand sich diese Punkte realistisch erfüllen lassen. Am Ende steht eine kompakte Vergleichstabelle zur schnellen Einordnung.

Warum jeder dritte Antrag scheitert

Cyber-Versicherer haben ihre Prüfpraxis in den letzten Jahren deutlich verschärft. Nach Zahlen des MRTK Cyber-Monitor 2025 werden aktuell 31 Prozent aller Anträge auf Cyberpolicen in Deutschland abgelehnt. Das ist ein deutlicher Anstieg gegenüber dem Vorjahr.

Der Gesamtverband der Deutschen Versicherungswirtschaft (GDV) liefert den strukturellen Hintergrund dazu. Die Versicherungsleistungen in der Cyber-Sparte stiegen 2023 um knapp 50 Prozent auf 180 Millionen Euro. Die Schaden-Kosten-Quote (Combined Ratio, das Verhältnis zwischen Kosten und Einnahmen eines Versicherers) kletterte von 77,7 auf 97 Prozent. Eine begleitende Forsa-Umfrage unter 300 mittelständischen Unternehmen im Auftrag des GDV zeigt die Kehrseite: 69 Prozent erfüllen nicht einmal alle Basisanforderungen wie funktionierende Backups oder konsequenten Passwortschutz.

Für Unternehmen heißt das: Die Cyber-Police ist kein Produkt, das man einfach abschließt. Sie ist die Bestätigung eines bereits vorhandenen Sicherheitsniveaus.

Diese Cyber-Versicherung-Anforderungen 2026 prüfen Underwriting-Fragebögen

Die Fragebögen der großen Cyberversicherer ähneln sich inzwischen stark. Folgende Punkte tauchen branchenübergreifend als Mindestvoraussetzung auf:

• Phishing-resistente Multi-Faktor-Authentifizierung (MFA) für VPN, Cloud-Zugänge und Admin-Konten. Ein einfacher SMS-Code gilt vielen Versicherern inzwischen als unzureichend, weil er sich per SIM-Swapping umgehen lässt.
• Endpoint Detection and Response (EDR) auf praktisch allen Endgeräten statt reinem Signatur-Virenschutz. EDR erkennt auffälliges Verhalten, nicht nur bekannte Schadsoftware-Muster.
• Dokumentiertes Patch-Management mit festen Fristen für kritische Sicherheitslücken – etwa „kritisch“ innerhalb von 72 Stunden, „hoch“ innerhalb von zwei Wochen.
• Isolierte, unveränderliche Backups nach dem 3-2-1- beziehungsweise 3-2-1-1-0-Prinzip: drei Kopien, zwei Medienarten, eine extern, eine unveränderlich, null Fehler bei der Wiederherstellung.
• Ein geübter Incident-Response-Plan, der im Ernstfall nicht zum ersten Mal gelesen wird, sondern mindestens einmal jährlich durchgespielt wurde.
• Regelmäßige Security-Awareness-Trainings für Mitarbeitende, da Phishing weiterhin der häufigste Einstiegsvektor für Ransomware-Angriffe bleibt.
• Netzwerksegmentierung und Privileged-Access-Management (PAM), damit ein kompromittiertes Konto sich nicht ungehindert durch die gesamte Infrastruktur bewegt.

Ein offizielles GDV-Einzeldokument mit einer verbindlichen Mindestanforderungs-Checkliste existiert nicht. Grundlage sind die GDV-Musterbedingungen für die Cyberrisiko-Versicherung (AVB Cyber); die konkrete Ausprägung der Fragen unterscheidet sich je nach Versicherer und Branche spürbar.

Welche Sicherheitsmaßnahmen verlangen Cyber-Versicherer 2026?

Cyber-Versicherer verlangen 2026 im Kern sieben Nachweise: phishing-resistente MFA, EDR auf allen Endpoints, dokumentiertes Patch-Management, isolierte Backups nach 3-2-1-1-0, einen geübten Incident-Response-Plan, Security-Awareness-Trainings sowie Netzwerksegmentierung mit Privileged-Access-Management. Fehlt eine dieser Maßnahmen vollständig, sinkt die Annahmewahrscheinlichkeit spürbar.

NIS2 und die Versicherungspolice: Wenn Gesetz zur Obliegenheit wird

Mit NIS2 verschwimmt die Grenze zwischen gesetzlicher Pflicht und vertraglicher Obliegenheit. Was der Gesetzgeber an Mindeststandards vorschreibt, taucht zunehmend über Verweisklauseln direkt im Versicherungsvertrag auf. Versicherer verlangen dabei nicht mehr nur eine Papier-Policy, sondern lebende Nachweise: Logs, Testberichte, dokumentierte Übungen.

Für betroffene Unternehmen bedeutet eine Lücke damit ein doppeltes Risiko. Es entsteht regulatorischer Druck durch NIS2 selbst und zusätzlich ein versicherungsrechtliches Risiko bis hin zur Leistungsfreiheit im Schadensfall. Eine strukturierte Bestandsaufnahme lohnt sich deshalb unabhängig von der Versicherungsfrage. Die NIS2-Checkliste für KMU bildet dafür einen praktischen Ausgangspunkt.

Vergleichstabelle: Anforderung, Prüffokus und passende Maßnahme

Die Tabelle ersetzt keine individuelle Risikoprüfung durch den Versicherer. Sie zeigt aber, an welchen Stellen der größte Handlungsbedarf typischerweise liegt.

MDR als pragmatischer Weg zur Versicherbarkeit

Nicht jedes Unternehmen kann kurzfristig ein eigenes SOC-Team aufbauen, um 24/7-Monitoring nachzuweisen. Ein Managed-Detection-and-Response-Service (MDR) schließt diese Lücke, ohne dass zusätzliches Sicherheitspersonal eingestellt werden muss. Anbieter wie Sophos bündeln kontinuierliches Monitoring, Threat Hunting und Incident-Response-Unterstützung in einer Lizenz. Genau diese Nachweise werden im Underwriting-Fragebogen häufig unter den Stichworten „24/7-Monitoring“ oder „SOC-Anbindung“ abgefragt.

Für die Antragstellung zählt weniger die Marke als der Nachweis: Läuft ein durchgängiger Erkennungs- und Reaktionsprozess, und lässt sich das dokumentieren? Ein extern betriebener MDR-Service liefert diese Dokumentation meist automatisch mit. Wer unsicher ist, welche Kombination aus Endpoint-Schutz und Monitoring zur eigenen Unternehmensgröße passt, bekommt beim Produktberater eine konkrete Einschätzung statt einer allgemeinen Checkliste.

Ein Wechsel oder Ausbau der bestehenden Sicherheitsarchitektur muss zudem nicht das gesamte Budget auf einmal binden. Viele Unternehmen rüsten zunächst die kritischsten Systeme nach – etwa Server und Admin-Arbeitsplätze – und erweitern den Schutz anschließend auf die restliche Flotte, sobald der Underwriting-Prozess erste konkrete Lücken benannt hat.

Häufige Fragen zur Cyber-Versicherung 2026

Wird eine Cyber-Versicherung ohne EDR überhaupt noch angeboten?

Ein Abschluss ist theoretisch möglich, in der Praxis verschlechtert fehlendes EDR aber die Konditionen deutlich oder führt direkt zur Ablehnung, da Versicherer diesen Punkt inzwischen standardmäßig abfragen.

Reicht ein klassisches Antivirenprogramm für den Versicherungsantrag?

In der Regel nicht. Versicherer unterscheiden zunehmend zwischen signaturbasiertem Virenschutz und EDR-Lösungen mit Erkennung und automatisierter Reaktion. Nur Letzteres erfüllt die aktuellen Anforderungen.

Prüfen Versicherer die Angaben im Fragebogen tatsächlich nach?

Zunehmend ja. Im Schadensfall werden Angaben aus dem Antrag mit der tatsächlichen Umsetzung abgeglichen. Abweichungen können zur Leistungsfreiheit führen.

Was passiert, wenn eine Anforderung nach Vertragsabschluss wegfällt?

Das hängt von den vertraglichen Obliegenheiten ab. Fällt eine zugesicherte Maßnahme wie MFA oder ein aktives Backup-Konzept dauerhaft weg, kann das im Schadensfall zur teilweisen oder vollständigen Leistungskürzung führen.

Hilft eine NIS2-konforme Aufstellung automatisch bei der Cyber-Versicherung?

Nicht automatisch, aber die Schnittmenge ist groß. Wer NIS2-Nachweise wie Incident-Response-Pläne und Risikomanagement bereits dokumentiert hat, erfüllt viele Versicherer-Kriterien gleich mit.

Fazit: Versicherbarkeit ist das Ergebnis, nicht der Ausgangspunkt

Eine Cyber-Versicherung lässt sich nicht durch geschicktes Ausfüllen eines Fragebogens erkaufen. Sie ist das Ergebnis eines bereits funktionierenden Sicherheitsniveaus. Wer EDR, MFA, getestete Backups und einen dokumentierten Incident-Response-Prozess vorweisen kann, hat die größten Hürden im Underwriting bereits genommen. Welche Maßnahmen im eigenen Unternehmen noch fehlen und welche Lösung dafür passt, klärt der Produktberater in wenigen Minuten. Wie gut wäre Ihr Unternehmen heute im Schadensfall versichert?