Cyberversicherung für Unternehmen: Welche Voraussetzungen Versicherer 2026 prüfen

Der Markt für Cyberversicherungen wächst, und die Preise fallen trotzdem. Swiss Re rechnet für 2026 mit einem weltweiten Prämienvolumen von 16,4 Milliarden US-Dollar und für 2027 mit 17,1 Milliarden US-Dollar. Die Raten je Deckungseinheit sinken zum vierten Mal in Folge. Global schwächte sich der Rückgang von rund 13 Prozent im Jahr 2025 auf 5 Prozent im Jahr 2026 ab. Marsh meldet für das zweite Quartal 2026 weltweit um 4 Prozent gesunkene Cyber-Raten, das zwölfte Quartal in Folge mit Rückgängen.

Die zweite Hälfte der Nachricht steht im Risikofragebogen. Was eine Police im Schadenfall leistet und wo sie ausschließt, ist an anderer Stelle beschrieben: was eine Cyber-Police abdeckt und was nicht.

16,4 Milliarden US-Dollar weltweites Cyber-Prämienvolumen erwartet Swiss Re für 2026. Die durchschnittliche jährliche Wachstumsrate des Prämienvolumens liegt seit 2022 stabil bei 5 Prozent.

Was eine Cyberversicherung 2026 voraussetzt

Eine Cyberversicherung setzt 2026 den Nachweis konkreter Sicherheitsmaßnahmen voraus. Der IT-Dienstleister hagel IT fasst den Katalog so zusammen: phishing-resistente Multi-Faktor-Authentifizierung, Endpoint Detection and Response (EDR), eine Datensicherung nach der 3-2-1-1-0-Regel und Schwachstellenmanagement. Dazu kommen Privileged Access Management, Mitarbeiterschulungen mit Nachweis und ein getesteter Incident-Response-Plan. Laut MRTK Cyber-Monitor 2025 wird fast jeder dritte Antrag abgelehnt, die Quote liegt bei 31 Prozent.

Zwei unabhängige Quellen stützen den Kern dieser Liste. Beim Cyberversicherer Stoïk sind Backup-Anforderungen und Multi-Faktor-Authentifizierung Underwriting-Voraussetzungen. Der SMK Marktreport 2026 hält fest, dass Multi-Faktor-Authentifizierung, EDR-Lösungen und belastbare Backup-Konzepte inzwischen branchenübergreifend als Grundvoraussetzung für die Versicherbarkeit gelten. Je nach IT-Reifegrad zeigen sich dabei weiterhin deutliche Unterschiede bei Preisniveau und verfügbarer Kapazität.

KI-Phishing und Deepfakes in der Risikorechnung der Versicherer

Laut Swiss Re verändert und verstärkt KI vor allem bestehende Cyberrisiken, statt völlig neue Kategorien versicherter Schäden zu schaffen.

Swiss Re verweist auf eine Untersuchung, nach der KI-generierte Phishing-Mails eine Anfälligkeitsrate von 54 Prozent erreichen, gegenüber 12 Prozent bei von Menschen erstellten Mails. Munich Re erwartet, dass agentic AI kurzfristig eher die Häufigkeit von Angriffen beeinflusst als deren Schwere.

Mitarbeiterschulungen verlangt der Risikofragebogen laut hagel IT mit dokumentiertem Nachweis, inklusive der Frage nach Phishing-Simulationen mit Auswertung.

Procontra berichtete am 20.04.2026, dass der Assekuradeur Stoïk Deepfakes und Stimmklone nun ausdrücklich in seinen Cyber-Bedingungen als Versicherungsfälle aufführt.

Kumulrisiko: was noch nicht konsequent eingepreist wird

Cyberschäden treten nicht unabhängig voneinander auf. Nach der Darstellung von drweb.de kann eine einzige verbreitete Softwarelücke oder der Ausfall eines großen Cloud-Anbieters tausende Policen zugleich auslösen. Dieses Kumulrisiko landet am Ende beim Rückversicherer. Hannover Rück verlangt deshalb höhere Preise, während die Erstversicherer im Preiskampf nachgeben.

Ein Großteil der Marktteilnehmer analysiert laut BaFin im selbst abgeschlossenen Geschäft Kumule, aber nur knapp die Hälfte davon berücksichtigt sie bei der Prämienkalkulation. Systemische Risiken werden also noch nicht konsequent eingepreist.

Nachweis-Checkliste: Multi-Faktor-Authentifizierung und Backup

Der Katalog von hagel IT nennt sieben Kernbausteine. Die rechte Spalte der Tabelle ordnet ihnen Control-Nummern aus ISO/IEC 27001:2022 Annex A zu. Diese Zuordnung ist redaktionell, sie belegt keine Absicht der Versicherer. Für Privileged Access Management enthält die Tabelle keine Nummer.

Phishing-resistente MFA: FIDO2 und Passkeys statt SMS-Code

Phishing-resistent heißt FIDO2, Hardware-Keys oder Passkeys, die an das Gerät gebunden sind. SMS-Codes und klassische TOTP-Apps gelten laut hagel IT zunehmend nicht mehr als ausreichend, um einen Versicherungsschutz zu rechtfertigen.

Penetrationstest und Schwachstellenmanagement im Fragebogen

Im Risikofragebogen steht die Frage nach regelmäßigen Schwachstellen-Scans oder Penetrationstests laut hagel IT als eigener Punkt. Der dort genannte Turnus ist mindestens jährlich, das Ergebnis fließt zurück in die Maßnahmenliste. Eine allgemeine Pflicht ist der Penetrationstest damit nicht. Laut hagel IT sollten sich Unternehmen vom Makler schriftlich bestätigen lassen, dass jährliche Penetrationstests nicht verlangt werden, wenn keine durchgeführt werden sollen.

Nach dem Stoïk Cyber Schadensbericht 2025 hätten rund 20 Prozent der Ransomware-Vorfälle vermieden werden können, wenn bereits identifizierte Schwachstellen rechtzeitig geschlossen worden wären.

Incident-Response-Plan und Obliegenheiten im Schadenfall

Der getestete Incident-Response-Plan steht am Ende des Katalogs. Laut hagel IT prüft der Versicherer im Schadenfall jede Angabe aus dem Risikofragebogen. Stellen sich Antworten als falsch heraus, kann der Versicherer die Leistung ganz verweigern oder stark kürzen. Als Beispiel nennt hagel IT die Frage nach Multi-Faktor-Authentifizierung auf allen E-Mail-Konten. Findet der Forensiker nach einem Vorfall einen einzigen Account ohne MFA, kann der Versicherungsschutz verloren gehen.

Der Anforderungskatalog und die Controls der ISO 27001

Sechs der sieben Kernbausteine des Katalogs lassen sich Controls aus ISO/IEC 27001:2022 Annex A zuordnen. Die Zuordnung ist redaktionell. Keine der ausgewerteten Quellen stellt sie her. Die Tabelle nennt deshalb nur die Control-Nummern, die zugehörigen Titel stehen im Normtext selbst.

Ob Versicherer ihr Underwriting bewusst an der Norm ausgerichtet haben, lässt sich aus den vorliegenden Quellen nicht ableiten. Wer alle Punkte des Katalogs umsetzt, erfüllt laut hagel IT zugleich die wichtigsten technischen Anforderungen der ISO 27001. Ein ISMS nach ISO 27001 hält diese Maßnahmen dokumentiert vor.

NIS2 und Artikel 32 DSGVO verlangen einen vergleichbaren Zuschnitt

Laut hagel IT decken sich rund 80 Prozent der Voraussetzungen für eine Cyberversicherung mit NIS2, BSI IT-Grundschutz und vernünftiger Informationssicherheit. Eine Cyberversicherung allein macht ein Unternehmen nach der Darstellung von asscompact.at aber nicht NIS2-konform. Anforderungen etwa an Lieferkettensicherheit und Kryptographie bleiben in der Verantwortung der Unternehmen.

Art. 32 DSGVO verlangt technische und organisatorische Maßnahmen, die dem Risiko angemessen sind. Für regulierte Unternehmen ist der Versicherungsfragebogen damit eine zweite Abfrage von Pflichten, die ohnehin bestehen.

Lösegeldversicherung: das BaFin-Rundschreiben seit April 2026

Das Rundschreiben 01/2026 (VA) der BaFin zum Betrieb von Lösegeldversicherungen gilt seit dem 01.04.2026 und löst das Rundschreiben R 3/1998 (VA) ab.

Das Rundschreiben nennt neun Voraussetzungen für den zulässigen Betrieb. Unmittelbar in den Vertrag des Versicherungsnehmers wirken unter anderem die folgenden vier:

• Die Laufzeit der Versicherungsverträge darf ein Jahr nicht überschreiten, damit die Risikoverhältnisse und die Angemessenheit der Versicherungssumme in kurzen Abständen erneut geprüft werden können.
• Ein kompetentes Sicherheitsunternehmen muss beim Versicherungsnehmer eine präventive Beratung anhand eines Sicherheitskonzepts durchführen.
• Im Schadenfall besteht die Pflicht, die Tat unverzüglich bei der Polizei anzuzeigen und das staatliche Strafverfolgungsinteresse zu unterstützen.
• Die Bündelung mit anderen Versicherungsverträgen ist unzulässig, ausgenommen die Bündelung mit der Versicherung gegen Cyberrisiken.

Die BaFin fasst in dem Rundschreiben die seit 1998 mehrfach geänderten Zulässigkeitsvoraussetzungen und ihre Änderungen zusammen. Sie hält dazu fest: „Inhaltlich werden sie jedoch nicht geändert.“

Einordnung

Die Marktdurchdringung zeigt, wen dieses Verfahren überhaupt trifft. Swiss Re beziffert sie im Mittelstand (mid-market) auf 40 bis 50 Prozent und erwartet in diesem Segment für 2026 rund 4,1 Milliarden US-Dollar Prämie. Bei Kleinstunternehmen liegt sie bei 5 bis 10 Prozent, bei kleinen Unternehmen bei 10 bis 20 Prozent, bei Großunternehmen bei 60 bis 70 Prozent. Die Besonderheiten der Cyberversicherung für kleine und mittlere Unternehmen behandelt ein eigener Beitrag.

Nach dem Chubb Cyber Claims Report 2026 sank die Häufigkeit von Cyberschäden mittelständischer Unternehmen in Europa im Jahr 2025 auf ein Fünf-Jahres-Tief. Der durchschnittliche Schadenwert stieg zwischen 2020 und 2025 zugleich auf das Dreifache.

Die Nachweise, die ein Cyberversicherer verlangt, stehen für regulierte Unternehmen zum großen Teil ohnehin auf der Pflichtenliste. Der Unterschied liegt in der Prüfung. Der Versicherer sieht sich die Dokumentation vor Vertragsschluss an und misst sie im Schadenfall an den Obliegenheiten.

Quellen

• Swiss Re: Building a sustainable cyber market in the AI era (31.08.2026)
• Munich Re: Cyber insurance, risks and trends 2026 (25.03.2026)
• BaFin: Markt für Cyberversicherungen volatil, Fachartikel (15.04.2026)
• BaFin: Rundschreiben 01/2026 (VA), Betrieb von Lösegeldversicherungen (gültig ab 01.04.2026)
• Marsh: Global Commercial Insurance Falls 6% in Q2 2026 (23.07.2026)
• hagel IT: Cyberversicherung, IT-Anforderungen der Versicherer (13.04.2026)
• asscompact.at: NIS2 in Österreich, Stoïk über Folgen für Unternehmen und Cyberversicherung (28.08.2026)
• SMK Group: Marktreport 2026 (04.09.2026)
• Procontra: Deepfakes, Stoïk konkretisiert Cyber-Versicherungsschutz (20.04.2026)
• cybairbag.de: Cyberversicherung Markt 2026, MRTK Cyber-Monitor 2025 (05.09.2026)
• experten.de: Cybermarkt 2025, hohe Ablehnungsquote trifft auf wachsende Vermittlungschancen, MRTK Cyber-Monitor 2025 (21.05.2025)
• Pfefferminzia: Weniger Cyberschäden, dafür aber viel teurer, Chubb Cyber Claims Report 2026 (08.09.2026)
• drweb.de: Hannover Rück will höhere Cyber-Prämien, obwohl die Preise fallen (07.09.2026)