Cyberversicherung für Unternehmen: Leistungen, Kosten und Voraussetzungen
Ransomware-Angriffe, Datenpannen und Betriebsunterbrechungen durch Hackerangriffe verursachen deutschen Unternehmen jährlich Schäden in Milliardenhöhe. Die Cyberversicherung ist das versicherungstechnische Instrument, das diese spezifischen Risiken abdeckt – und für GmbH, UG sowie mittelständische Kapitalgesellschaften längst kein Nice-to-have mehr, sondern Teil einer ordnungsmäßigen Risikostrategie.
Kurzantwort
Eine Cyberversicherung deckt Eigenschäden (Datenverlust, Betriebsunterbrechung, Forensik, Krisenmanagement) und Drittschäden (Haftpflicht gegenüber Kunden und Behörden) infolge von Cyberangriffen oder IT-Sicherheitsvorfällen ab. Prämien richten sich nach Umsatz, Branche und IT-Sicherheitsniveau; Versicherer fordern Mindeststandards wie Multi-Faktor-Authentifizierung, aktuelle Backups und regelmäßige Patches. Die Prämie ist als Betriebsausgabe nach § 4 Abs. 4 EStG vollständig abzugsfähig.
Inhaltsverzeichnis
- Was deckt die Cyberversicherung?
- Eigenschäden: Betriebsunterbrechung, Forensik, Krisenkommunikation
- Drittschäden und Haftpflichtkomponente
- Für wen ist eine Cyberversicherung sinnvoll?
- Cyberversicherung Kosten: Prämien nach Umsatz und Branche
- Anforderungen der Versicherer: MFA, Backups, Patches
- Abgrenzung zur Vertrauensschadenversicherung
- Steuerliche Behandlung: Betriebsausgabe und Bilanzierung
- Praxisbeispiel: GmbH mit Ransomware-Angriff
- Fazit
Was deckt die Cyberversicherung?
Die Cyberversicherung ist eine eigenständige Versicherungssparte, die speziell auf digitale Risiken zugeschnitten ist. Klassische Betriebshaftpflicht- oder Sachversicherungen schließen Cyberschäden überwiegend aus oder decken sie nur rudimentär ab. Die Cyberversicherung schließt diese Lücke systematisch und unterscheidet dabei zwischen Eigenschäden (First-Party-Coverage) und Drittschäden (Third-Party-Coverage bzw. Haftpflichtkomponente).
Hinweis: Musterbedingungen des GDV
Der GDV (Gesamtverband der Deutschen Versicherungswirtschaft) veröffentlicht unverbindliche Musterbedingungen für die Cyberversicherung (AVB Cyber), an denen sich viele Versicherer orientieren. Viele Anbieter weichen davon in Teilen ab – ein sorgfältiger Cyberversicherung Vergleich der Bedingungswerke ist daher unerlässlich.
Eigenschäden: Betriebsunterbrechung, Forensik, Krisenkommunikation
Der Eigenschadenteil der Police ist in der Praxis oft der wertbestimmende Baustein, weil die eigenen Kosten nach einem Cyberangriff die Haftpflichtansprüche Dritter häufig deutlich übersteigen.
Betriebsunterbrechung (BU-Schaden)
Steht die Produktion oder der IT-gestützte Betrieb nach einem Angriff still, ersetzt die Cyberversicherung den entgangenen Rohertrag (Deckungsbeitrag) und die fortlaufenden Fixkosten – analog zur klassischen Feuer-BU, aber ausgelöst durch ein Cyber-Ereignis. Maßgeblich sind dabei Karenzzeit (üblicherweise 8–24 Stunden) und Haftzeit (12–24 Monate). Unternehmen sollten darauf achten, dass auch Betriebsunterbrechungen durch Ausfall von Cloud-Diensten oder Drittdienstleistern (sog. Contingent Business Interruption) mitversichert sind.
IT-Forensik und Wiederherstellungskosten
Die Aufklärung eines Angriffs erfordert spezialisierte IT-Forensiker, deren Stundensätze zwischen 200 und 400 EUR liegen können. Die Cyberversicherung übernimmt diese Kosten ebenso wie die Wiederherstellung von Daten, Systemen und Software aus Backups oder durch Neuprogrammierung.
Krisenkommunikation und PR
Datenpannen lösen nach Art. 33, 34 DSGVO Meldepflichten gegenüber Aufsichtsbehörden und Betroffenen aus. Viele Policen stellen hierfür spezialisierte Anwälte, Datenschutzberater und PR-Agenturen bereit bzw. erstatten deren Honorare. Diese Krisenmanagement-Leistungen sind besonders für kleinere Cyberversicherung Gewerbe-Kunden wertvoll, die keine eigene Rechts- oder Kommunikationsabteilung unterhalten.
Lösegeldzahlungen (Cyber-Extortion)
Ransomware-Angriffe enden häufig in Lösegeldforderungen. Viele Policen übernehmen – nach vorheriger Abstimmung mit dem Versicherer und oft in Kooperation mit spezialisierten Verhandlungsführern – die Lösegeldkosten sowie die damit verbundenen Beratungskosten. Wichtig: Die Zahlung von Lösegeld ist in Deutschland zivilrechtlich zulässig, kann aber in bestimmten Konstellationen (Sanktionslisten, OFAC-Compliance) riskant sein. Die steuerliche Abzugsfähigkeit solcher Zahlungen ist einzelfallabhängig und sollte mit dem Steuerberater abgestimmt werden.
Drittschäden und Haftpflichtkomponente
Werden durch einen Cyberangriff Daten Dritter (Kunden, Lieferanten, Mitarbeiter) kompromittiert oder erleiden Dritte einen Schaden durch eine Sicherheitslücke im System des Versicherungsnehmers, entstehen Haftpflichtansprüche. Die Cyberversicherung deckt hier:
Ansprüche Betroffener nach Art. 82 DSGVO sowie Bußgelder durch Datenschutzaufsichtsbehörden (soweit versicherbar; Geldbußen sind nach § 4 Abs. 5 Satz 1 Nr. 8 EStG nicht als Betriebsausgabe abzugsfähig und oft nicht versicherbar).
Ansprüche Dritter, wenn das Netzwerk des Versicherungsnehmers als Ausgangspunkt eines Angriffs auf Dritte genutzt wurde (z. B. Supply-Chain-Attacken).
Für wen ist eine Cyberversicherung sinnvoll?
Die Frage „Cyberversicherung sinnvoll – ja oder nein?“ lässt sich für Kapitalgesellschaften ab einer bestimmten Größe und Digitalabhängigkeit eindeutig mit Ja beantworten. Entscheidend sind folgende Kriterien:
- Digitalabhängigkeit: Unternehmen, deren Geschäftsprozesse wesentlich von IT-Systemen abhängen (ERP, Cloud, E-Commerce, vernetzte Produktion).
- Datenhaltung: Wer personenbezogene Daten von Kunden, Patienten oder Mitarbeitern verarbeitet, trägt erhebliche DSGVO-Haftungsrisiken.
- Branche: Besonders exponiert sind Gesundheitswesen, Fertigungsindustrie, Finanzdienstleistungen, Logistik und der Handel – aber auch Steuerberatungs- und Anwaltskanzleien.
- Unternehmensgröße: Cyberversicherung für Unternehmen ist auch für KMU und Einzelgesellschaften relevant; gerade kleinen GmbH fehlt die Ressource, Cyberangriffe aus eigener Kraft zu bewältigen.
Geschäftsführer einer GmbH haften nach § 43 GmbHG für Schäden, die durch Pflichtverletzungen entstehen – dazu kann das Unterlassen einer angemessenen IT-Risikoabsicherung zählen. Eine fehlende Cyberversicherung bei nachweisbar hohem Risiko kann im Schadensfall haftungsrechtlich relevant werden.
Cyberversicherung Kosten: Prämien nach Umsatz und Branche
Die Cyberversicherung Kosten werden primär durch Jahresumsatz, Branche, Versicherungssumme und das IT-Sicherheitsniveau des Unternehmens bestimmt. Die folgenden Werte sind grobe, unverbindliche Orientierungswerte; die tatsächliche Prämie ergibt sich nur aus einem individuellen Angebot:
| Jahresumsatz | Jahresprämie (ca.) | Versicherungssumme (ca.) |
|---|---|---|
| bis 1 Mio. EUR | 500 – 1.500 EUR | 250.000 – 1 Mio. EUR |
| 1 – 10 Mio. EUR | 1.500 – 8.000 EUR | 1 – 5 Mio. EUR |
| 10 – 50 Mio. EUR | 8.000 – 40.000 EUR | 5 – 15 Mio. EUR |
| über 50 Mio. EUR | individuell (Tender) | ab 15 Mio. EUR |
Prämien sind seit 2022 aufgrund steigender Schadensfrequenz und -schwere deutlich angestiegen, haben sich aber 2024/2025 auf erhöhtem Niveau stabilisiert. Höhere Prämien sind u. a. für das Gesundheitswesen, kritische Infrastrukturen (KRITIS) und Unternehmen mit großen Mengen personenbezogener Daten üblich. Nachgewiesene Sicherheitsstandards (z. B. ISO-27001-Zertifizierung oder BSI-IT-Grundschutz) können sich prämienmindernd auswirken.
Beim Cyberversicherung Vergleich sollte neben der Prämie stets auf Sublimits (z. B. für Lösegeld oder PCI-DSS-Bußgelder), Selbstbehalte und die Qualität der Assistanceleistungen geachtet werden.
Anforderungen der Versicherer: MFA, Backups, Patches
Versicherer stellen im Rahmen des Antragsverfahrens und als laufende Obliegenheit konkrete IT-Sicherheitsanforderungen. Werden diese verletzt, droht im Schadenfall die Leistungskürzung oder -verweigerung.
NIS-2-Richtlinie (ab 2025)
Die NIS-2-Richtlinie (in deutsches Recht umgesetzt durch das NIS-2-Umsetzungs- und Cybersicherheitsstärkungsgesetz, in Kraft seit 06.12.2025) verpflichtet „besonders wichtige“ und „wichtige“ Einrichtungen zu konkreten IT-Sicherheitsmaßnahmen. Die Anforderungen der Versicherer überschneiden sich in Teilen mit diesen gesetzlichen Mindeststandards.
Abgrenzung zur Vertrauensschadenversicherung
Eine häufige Verwechslung besteht zwischen der Cyberversicherung und der Vertrauensschadenversicherung (VSV). Beide Produkte überschneiden sich in Randbereichen, sind aber grundsätzlich verschieden:
| Kriterium | Cyberversicherung | Vertrauensschadenversicherung |
|---|---|---|
| Auslöser | Externer Cyberangriff, technisches Versagen | Vorsätzliche Handlung eigener Mitarbeiter |
| CEO-Fraud / Social Engineering | Teilweise als Zusatzbaustein | Klassischer Kernbestandteil |
| Datenverlust durch Mitarbeiter | Wenn durch Angriff verursacht | Bei vorsätzlichem Datendiebstahl |
| Überweisungsbetrug (Fake-President) | Oft nur mit Zusatzbaustein | Standardleistung |
Für eine vollständige Absicherung empfiehlt sich die Kombination beider Produkte, da sie komplementär wirken. Im Zweifel sollte vertraglich klargestellt werden, welche Police bei Schnittmengen vorrangig leistet.
Steuerliche Behandlung: Betriebsausgabe und Bilanzierung
Die Prämie für eine Cyberversicherung für Unternehmen ist als Betriebsausgabe nach § 4 Abs. 4 EStG (i. V. m. § 8 Abs. 1 KStG für Kapitalgesellschaften) vollständig abzugsfähig, sofern ein betrieblicher Veranlassungszusammenhang besteht – was bei einer auf das Unternehmen ausgestellten Police regelmäßig gegeben ist.
Buchhalterische Behandlung
Jährlich im Voraus gezahlte Prämien sind, soweit sie den laufenden Bilanzierungszeitraum überschreiten, als aktiver Rechnungsabgrenzungsposten (aRAP) nach § 250 Abs. 1 HGB zu aktivieren und periodengerecht aufzulösen. Bei Zahlung innerhalb des Geschäftsjahres ist die Prämie direkt als Aufwand zu buchen.
Versicherungsaufwand an Bank – Betrag: 6.000 EUR
Gilt, wenn Prämie vollständig das laufende Geschäftsjahr betrifft.
Aktiver RAP an Bank – anteiliger Vorausbetrag
Im Folgejahr: Versicherungsaufwand an aktiver RAP
Die korrekte Verbuchung und Bilanzierung ist Bestandteil eines ordnungsmäßigen Jahresabschlusses nach HGB. Für GmbH gilt dabei das Vollständigkeitsprinzip nach § 246 HGB.
Erstattungsleistungen des Versicherers (z. B. Schadensersatz für Betriebsunterbrechung) sind als sonstige betriebliche Erträge zu verbuchen und unterliegen der Körperschaftsteuer und Gewerbesteuer. Eine Saldierung mit den entstandenen Aufwendungen ist handelsrechtlich unzulässig (§ 246 Abs. 2 HGB).
Praxisbeispiel: GmbH mit Ransomware-Angriff
Die Muster GmbH (Maschinenbau, Jahresumsatz 8 Mio. EUR) erleidet einen Ransomware-Angriff. Verschlüsselt werden 80 % der Server; die Produktion steht 12 Tage still.
| Schadensposition | Betrag (ca.) |
|---|---|
| Betriebsunterbrechungsschaden (12 Tage × 15.000 EUR/Tag Deckungsbeitrag) | 180.000 EUR |
| IT-Forensik und Systemwiederherstellung | 45.000 EUR |
| Datenschutzrechtliche Beratung und DSGVO-Meldung | 8.000 EUR |
| Krisenkommunikation / PR | 12.000 EUR |
| Lösegeld (nach Verhandlung) | 30.000 EUR |
| Gesamtschaden | 275.000 EUR |
Die Cyberversicherung der Muster GmbH (Versicherungssumme 3 Mio. EUR, Selbstbehalt 5.000 EUR, Jahresprämie ca. 7.200 EUR) erstattet nach Abzug des Selbstbehalts 270.000 EUR. Die Jahresprämie von 7.200 EUR entspricht damit einem Bruchteil des abgedeckten Schadens. Ohne Versicherung hätte der Geschäftsführer diese Mittel aus der Liquidität der GmbH finanzieren müssen – mit erheblichem Risiko für die Insolvenzfestigkeit nach § 17 InsO.
Für die Steuerplanung lässt sich die Jahresprämie von 7.200 EUR bei einem KSt-Satz von 15 % + SolZ + GewSt (effektiv ca. 30 %) mit rund 2.160 EUR steuerlich entlasten, sodass die Nettoprämienlast bei ca. 5.040 EUR liegt. Was der Jahresabschluss-Entwurf über OnlineBilanz kostet, zeigt der Kostenrechner von onlinebilanz.de.
Fazit
Die Cyberversicherung ist für GmbH, UG und mittelständische Kapitalgesellschaften ein unverzichtbarer Baustein der Risikoabsicherung. Sie deckt Eigenschäden (Betriebsunterbrechung, Forensik, Krisenkommunikation, Lösegeld) und Drittschäden (Datenschutz- und Netzwerkhaftpflicht) ab und ist als Betriebsausgabe vollständig steuerlich abzugsfähig. Die Prämien richten sich nach Umsatz und Branche; Versicherer verlangen als Obliegenheit einen IT-Mindeststandard (MFA, Backups, Patches). Wer eine Cyberversicherung abschließen oder optimieren möchte, sollte die Police regelmäßig im Kontext des Jahresabschlusses überprüfen und die korrekte buchhalterische Behandlung sicherstellen. Nutzen Sie die kostenfreie Demo von onlinebilanz.de, um den KI-gestützten Jahresabschluss- und E-Bilanz-Entwurf von OnlineBilanz kennenzulernen.
275.000 EUR
Typischer Ransomware-Gesamtschaden (Beispiel-GmbH)
7.200 EUR
Jahresprämie für GmbH mit 8 Mio. EUR Umsatz (Richtwert)
Häufig gestellte Fragen
Was deckt eine Cyberversicherung für Unternehmen?
Eine Cyberversicherung deckt Eigenschäden (Betriebsunterbrechung, IT-Forensik, Datenwiederherstellung, Krisenkommunikation, Lösegeld bei Ransomware) und Drittschäden (Haftpflicht gegenüber Kunden und Behörden bei Datenpannen) infolge von Cyberangriffen oder IT-Sicherheitsvorfällen ab.
Was kostet eine Cyberversicherung für eine GmbH?
Die Jahresprämie richtet sich nach Umsatz und Branche. Für KMU mit einem Umsatz bis 10 Mio. EUR liegt sie typischerweise zwischen 1.500 und 8.000 EUR pro Jahr. Entscheidend sind außerdem die gewählte Versicherungssumme und das nachgewiesene IT-Sicherheitsniveau.
Welche IT-Anforderungen stellen Versicherer für eine Cyberversicherung?
Versicherer verlangen als Mindeststandard Multi-Faktor-Authentifizierung (MFA) für privilegierte Zugänge, eine funktionierende Offline-Backup-Strategie (3-2-1-Regel), aktuelles Patch-Management sowie zentral verwalteten Endpoint-Schutz. Verstöße können im Schadenfall zur Leistungskürzung führen.
Ist die Prämie einer Cyberversicherung steuerlich absetzbar?
Ja. Die Prämie ist als Betriebsausgabe nach § 4 Abs. 4 EStG i. V. m. § 8 Abs. 1 KStG vollständig abzugsfähig, da der betriebliche Veranlassungszusammenhang bei einer auf das Unternehmen ausgestellten Police regelmäßig gegeben ist.
Was ist der Unterschied zwischen Cyberversicherung und Vertrauensschadenversicherung?
Die Cyberversicherung deckt externe Cyberangriffe und technische IT-Vorfälle ab. Die Vertrauensschadenversicherung schützt vor vorsätzlichen Schäden durch eigene Mitarbeiter (z. B. Unterschlagung, Datendiebstahl durch Insider) sowie vor CEO-Fraud und Überweisungsbetrug. Beide Produkte ergänzen sich sinnvoll.
Über Autor
Autor
Servet Gündogan
Büroleiter OnlineBilanz · Stuttgart
Erster Ansprechpartner für Kunden, koordiniert auf Wunsch die Zusammenarbeit mit kooperierenden Steuerberatern.
Hinweis: Dieser Beitrag dient der allgemeinen Information und ersetzt keine individuelle Beratung. Steuerliche Beratung im Einzelfall erteilen nur die nach dem Steuerberatungsgesetz dazu befugten Personen und Gesellschaften, insbesondere Steuerberater, Rechtsanwälte und Wirtschaftsprüfer. OnlineBilanz stellt Software für einen KI-gestützten Jahresabschlussentwurf sowie die technische Datenübermittlung nach § 87d AO bereit; Prüfung, Entscheidung und Feststellung obliegen Ihnen. Auf Wunsch übernimmt gegen Aufpreis ein mit OnlineBilanz kooperierender Steuerberater Prüfung, Freigabe und Unterzeichnung in eigener beruflicher Verantwortung. Stand der Rechtslage: Juli 2026.
Fabian Klement
Jakob Röß
Dr. Jeannine Dinnebier
