Cyberversicherung in Österreich: Risikofragen ehrlich beantworten

Eine Cyberversicherung ersetzt einem Betrieb die Kosten eines Angriffs auf seine IT: IT-Experten für Ursachenforschung und Wiederherstellung, den Ertragsausfall während des Stillstands, Ansprüche von Kunden, deren Daten abgeflossen sind, und je nach Vertrag Krisenberatung. Bevor sie das tut, will sie wissen, wie gut der Betrieb geschützt ist. Dafür gibt es den Risikofragebogen, und der ist der Teil des Vertrags, an dem sich im Schadenfall am meisten entscheidet.

Die Polizze ersetzt keine Sicherheitsmaßnahme, sie setzt sie voraus. Die Donau Versicherung schreibt in ihrem Produktinformationsblatt ausdrücklich, dass keine Deckung besteht, „wenn die Daten nicht mindestens wöchentlich durch ein Back-up gesichert werden“ (Donau, IPID Cyberversicherung, Stand September 2025). Wer die Versicherung als Ersatz für die Sicherung abschließt, hat am Ende beides nicht.

Was eine Cyberversicherung typischerweise deckt#

Die Allgemeinen Bedingungen der Donau in der Fassung 2025 teilen in Eigenschaden und Haftpflicht (Donau 1046A):

• Eigenschaden. Kosten für die Feststellung von Ursache und Auswirkung, für Datenwiederherstellung und das Entfernen von Schadprogrammen, Ersatzlizenzen, Information betroffener Personen und die Abwehr eines Verfahrens der Datenschutzbehörde.
• Haftpflicht. Ansprüche Dritter wegen Datenschutzverletzung, Verletzung der Geheimhaltungspflicht oder der Netzwerksicherheit, etwa wenn ein Schadprogramm vom eigenen System auf das eines Kunden übergeht.
• Nur nach besonderer Vereinbarung: Krisen- und PR-Management, Betriebsunterbrechung, Cyber-Erpressung, Cyber-Betrug. Das steht so im Inhaltsverzeichnis der Bedingungen.

UNIQA nennt auf der Produktseite für Unternehmen ein „Incident Management mit 24-Stunden Notruf-Hotline“ (UNIQA). Was im eigenen Vertrag steht, zeigt nur die eigene Polizze, und die Betriebsunterbrechung ist bei der Donau ein Zusatzbaustein, kein Grundschutz.

Was meist nicht gedeckt ist#

Aus den Ausschlüssen österreichischer Bedingungswerke, am 26.10.2026 gelesen:

• Lösegeld. Die unverbindlichen Musterbedingungen des Versicherungsverbands VVO schließen „Schäden aus der Zahlung von Löse-/Erpressungsgeldern“ aus (VVO, ABC 2018, Art. 2). Die Donau ebenso; ihr Erpressungsbaustein zahlt Experten und Verhandlungskosten, das Lösegeld selbst nicht. Markel dagegen ersetzt in „Pro Cyber Österreich“ den gezahlten Betrag, wenn der Baustein vereinbart ist und der Versicherer der Zahlung vorher ausdrücklich zugestimmt hat (Markel, Bedingungen Pro Cyber Österreich, A.3).
• Wissentliches Abweichen von Herstellervorgaben. Die Donau schließt Schäden durch „wissentliches Nichtbeachten von Anweisungen oder Vorgaben der Hersteller von Software und Hardware“ aus.
• Veraltete Systeme. Ebenfalls bei der Donau: Verschleiß, Leistungsreduzierung „oder veralteter Software und Hardware“, soweit durch gewöhnlichen Gebrauch oder Abnutzung hervorgerufen.
• Illegale oder nicht lizenzierte Software.
• Ausfall fremder Dienste. Die VVO-Muster nehmen Schäden aus dem Ausfall eines externen Dienstleisters aus, die Donau Unterbrechungen von Strom, Internet und Service-Providern außerhalb der eigenen Kontrolle.
• Vertragsstrafen, Geldbußen, Verwaltungsstrafen, außerdem Krieg und staatlich gesteuerte Angriffe auf kritische Infrastruktur.

Grobe Fahrlässigkeit regelt zuerst das Gesetz: Nach § 61 VersVG ist der Versicherer frei, wenn der Versicherungsnehmer den Versicherungsfall „vorsätzlich oder durch grobe Fahrlässigkeit herbeiführt“. Ob ein Vertrag das abmildert, steht in seinen Bedingungen.

Welche Fragen im Antrag stehen#

Ein vollständiger Antrag liegt öffentlich auf wko.at: der Cyber-Antrag von Funk International Austria mit Beazley für Versicherungsagenten (Funk, Antragsformular). Er hat acht Risikofragen. Die ersten vier müssen „zwingend positiv“ beantwortet sein, sonst gibt es keinen Schutz:

1. Kritische Daten werden regelmäßig an einem „kalten“ oder „Offline“-Speicherort gesichert, und die Sicherungen werden regelmäßig auf Wiederherstellbarkeit getestet.
2. MFA für Cloud-Dienste, etwa Cloud-Postfächer, und für alle Fernzugriffe auf das Netzwerk.
3. Kein Fernzugriff ohne VPN.
4. Mindestens jährliche Schulung zur Cybersicherheit samt Anti-Phishing für alle, die Zugang zum Netz oder zu vertraulichen Daten haben.
5. Kritische Patches so bald wie möglich, keine Software, die nicht mehr unterstützt wird (End of Life).
6. Eingehende Mails werden auf bösartige Anhänge und Links geprüft.
7. Virenschutz oder Endpoint-Schutz auf allen Geräten.
8. Keine Kreditkartenzahlungen im Betrieb.

Dazu kommt die Frage nach Vorschäden und bekannten Sachverhalten, die zu einem Anspruch führen könnten. Fragebögen von Maklern fragen zusätzlich, ob schon einmal ein Versicherer eine Cyber-Polizze gekündigt oder nicht verlängert hat, welche Daten verarbeitet werden und welche IT an Dienstleister ausgelagert ist (IMAK, Cyber-Fragebogen).

Warum eine geschönte Antwort teurer ist als ein Nein#

§ 16 Abs. 1 VersVG verlangt, dass der Versicherungsnehmer beim Abschluss „alle ihm bekannten Umstände, die für die Übernahme der Gefahr erheblich sind“, anzeigt. Und: „Ein Umstand, nach welchem der Versicherer ausdrücklich und in geschriebener Form gefragt hat, gilt im Zweifel als erheblich.“ Jede Frage im Fragebogen ist damit eine erhebliche Frage.

Was bei einer falschen Antwort passiert:

• Rücktritt. Nach § 17 kann der Versicherer zurücktreten, wenn über einen erheblichen Umstand „eine unrichtige Anzeige gemacht worden ist“. Ausgeschlossen ist das nur, wenn er die Unrichtigkeit kannte oder dich kein Verschulden trifft.
• Frist. Der Rücktritt ist nach § 20 binnen eines Monats ab Kenntnis zulässig. Sie beginnt nicht beim Unterschreiben, sondern wenn der Versicherer es merkt, etwa bei der Untersuchung nach dem Schaden.
• Nach dem Schaden. § 21 hält den Versicherer zur Leistung verpflichtet, wenn der falsch angegebene Umstand keinen Einfluss auf Eintritt oder Umfang des Schadens hatte. Wer „MFA überall“ angekreuzt hat und über ein Postfach ohne MFA angegriffen wird, wird sich darauf kaum berufen können.
• Arglist. Das Recht, den Vertrag wegen arglistiger Täuschung anzufechten, bleibt nach § 22 unberührt.
• Vertreter. Füllt der Makler oder der IT-Dienstleister den Bogen aus, zählt nach § 19 auch deine eigene Kenntnis.

Nach dem Abschluss wechselt das Werkzeug. Die Sicherheitsmaßnahmen stehen dann als Obliegenheiten in den Bedingungen, und ihre Verletzung führt nach § 6 VersVG zur Leistungsfreiheit, außer sie war unverschuldet oder hatte keinen Einfluss auf den Schaden. Die VVO-Muster nennen in Art. 9 unter anderem automatische Sicherheitspatches, eine mindestens wöchentliche Sicherung auf physisch getrennten Datenträgern mit regelmäßiger Prüfung der Wiederherstellung und Schulung aller Mitarbeiter. Die Donau verlangt „angemessene technische Schutzmaßnahmen“ bei Backups, Virenschutz, Kennwörtern, Berechtigungen, Firewalls und Updates (Teil D, 7.1.3).

Ein Nein im Antrag kostet vielleicht Prämie, einen Ausschluss oder den Abschluss. Ein falsches Ja kostet im Ernstfall die ganze Leistung. Die konkreten Folgen bestimmen Gesetz und Bedingungen deiner Polizze, nicht dieser Beitrag.

Die Fragen vor dem Unterschreiben selbst prüfen#

Für jede Frage gibt es einen Prüfweg, der eine Antwort am System ergibt statt aus dem Gedächtnis.

1. Offline-Sicherung und Rücksicherung. Zeig auf den Datenträger oder Dienst, der nach der Sicherung vom Netz getrennt ist. Das BSI beschreibt genau das: Offline-Backups werden nach dem Sicherungsvorgang von den anderen Systemen getrennt und sind daher vor Verschlüsselung geschützt, die Rücksicherung soll einem Praxistest unterzogen werden (BSI, Top-10-Ransomware-Maßnahmen). Spiel eine echte Datei aus der Sicherung auf einen anderen Rechner zurück und schreib Datum und Datei auf. Eine Festplatte, die dauerhaft am Server hängt, ist nicht offline.
2. MFA für jedes Konto. Im Microsoft Entra Admin Center unter Entra ID → Authentication methods → Activity → Registration zeigt „Users capable of Azure multifactor authentication“, wer wirklich MFA-fähig ist. Der Bericht braucht eine Lizenz Entra ID P1 oder P2 und hinkt bis zu 36 Stunden nach (Microsoft Learn, aktualisiert 15.06.2026). Ohne diese Lizenz: Unter Entra ID → Overview → Properties → Manage security defaults steht, ob die Sicherheitsstandards aktiv sind. Zwei Haken dabei, beide aus der Microsoft-Dokumentation (Microsoft Learn, Security defaults): Mit Sicherheitsstandards fragt Microsoft normale Benutzer nur „when necessary“ nach dem zweiten Faktor, und alte Protokolle wie IMAP, POP3 oder SMTP mit einfacher Anmeldung umgehen jede MFA, solange sie nicht gesperrt sind. Gemeinsame Postfächer und Admin-Konten zählen mit. „Cloud-Dienste“ heißt auch Bank, Hoster und Domain-Registrar, deren Zugänge im Passwort-Manager der Firma liegen sollten.
3. Fernzugriff. Schreib alle Wege von außen auf: Fernwartungssoftware des IT-Dienstleisters, Remote-Desktop, NAS mit Weboberfläche. Frag den Dienstleister schriftlich, welche davon ohne VPN erreichbar sind.
4. Schulung. Datum, Thema und Teilnehmer der letzten Schulung. Eine Stunde zu Phishing, CEO-Fraud und QR-Codes zählt, wenn sie dokumentiert ist. Ohne Nachweis ist die ehrliche Antwort Nein.
5. Updates und veraltete Systeme. Zähl die Geräte mit Betriebssystemen ohne Herstellerunterstützung. Windows 10 hat das Support-Ende am 14. Oktober 2025 erreicht und erhält seither keine Sicherheitsupdates mehr; Microsoft nennt das Programm Extended Security Updates als Übergang (Microsoft Support). Der eine Windows-10-Rechner an der Maschine in der Werkstatt ist genau die Ausnahme, nach der gefragt wird. Für die Website gehören WordPress-Updates dazu.
6. Mailprüfung. Bei Microsoft 365 sind Schutz gegen Schadsoftware, Spam und Phishing für alle Cloud-Postfächer eingebaut und standardmäßig aktiv, Anhänge werden auf Schadsoftware untersucht (Microsoft Learn). Bei einem anderen Mailanbieter fragst du nach. Die andere Richtung, ob Fremde mit deiner Absenderadresse Mails verschicken können, zeigt der kostenlose E-Mail-Check für SPF, DKIM und DMARC.
7. Virenschutz auf allen Geräten. Auch auf dem Laptop, den der Chef zu Hause nutzt, und auf dem Rechner der Aushilfe.
8. Vorschäden. Ein früherer Vorfall, auch einer ohne Schaden, gehört auf den Bogen. Ein gehacktes Postfach vom letzten Jahr ist ein bekannter Sachverhalt.

Was nicht stimmt, hat zwei ehrliche Lösungen: vor dem Unterschreiben beheben oder mit Nein beantworten und mit dem Versicherer reden. Ändert sich zwischen Antrag und Polizze etwas, verlangt der Funk-Antrag, den Versicherer „unverzüglich“ zu verständigen.

Was im Schadenfall zuerst kommt#

Die Reihenfolge der ersten Stunden steht im Notfallplan unter Cyberangriff: was tun?. Mit einer Cyberversicherung kommt ein Schritt dazu, und er kommt früh.

• Hotline unverzüglich. Die Donau verlangt, den Versicherer „zwecks Einschaltung von Experten unverzüglich über die bekannt gegebene Hotline zu informieren“, spätestens innerhalb einer Woche ab Kenntnis (Teil D, 7.1.4 und 7.2.3.1). Die VVO-Muster sagen dasselbe (Art. 10), Markel nennt in den Bedingungen die Rufnummer selbst.
• Experte des Versicherers. Bezahlt werden bei der Donau Ursachenforschung und Wiederherstellung „durch den vom Versicherer benannten IT-Experten oder, nach vorheriger Abstimmung mit dem Versicherer, einen sonstigen Experten“. Wer zuerst den eigenen Techniker alles neu aufsetzen lässt, riskiert die Übernahme dieser Kosten.
• Spuren sichern. Betroffene Hardware, Software und Daten sind zu sichern und dem Experten zur Verfügung zu stellen (7.2.3.2). Vom Netz trennen ist Schadenminderung, ein frisch installierter Rechner zerstört die Spuren.
• Nichts anerkennen. Eine Schadenersatzforderung eines Kunden darfst du ohne Zustimmung des Versicherers weder anerkennen noch vergleichen (7.2.5).
• Anzeige. Bei Erpressung verlangt die Donau eine Anzeige bei der Polizei, die VVO-Muster bei jedem Verdacht auf eine strafbare Informationssicherheitsverletzung.

§ 62 VersVG verpflichtet, den Schaden nach Möglichkeit abzuwenden und zu mindern und dabei Weisungen des Versicherers einzuholen, „wenn die Umstände es gestatten“. Ohne Polizze, oder parallel, hilft Mitgliedern der Wirtschaftskammer die Cyber-Security-Hotline der WKO unter 0800 888 133, rund um die Uhr, mit kostenlosem Erstgespräch bei einem IT-Sicherheitsunternehmen. Einen weiteren Einsatz des IT-Unternehmens bezahlt die WKO nicht. Ist ein Microsoft-Konto betroffen, stehen die Befehle zum Aussperren in Microsoft-365-Konto gehackt.

Was nicht hilft#

Ja ankreuzen und danach nachrüsten. Maßgeblich ist der Stand beim Abschluss, und kommt der Schaden vor dem Nachrüsten, findet die Untersuchung genau das.

Nur Prämien vergleichen. Zwei Polizzen zum gleichen Preis können beim Lösegeld, bei der Betriebsunterbrechung und beim Ausfall des Cloud-Anbieters völlig verschieden sein. Lies zuerst den Abschnitt mit den Ausschlüssen.

Die Versicherung als Sicherung betrachten. Sie bezahlt die Wiederherstellung, sie macht sie nicht möglich.

Prüfliste#

• [ ] Gibt es eine Sicherung, die nach dem Lauf vom Netz getrennt ist, und wann wurde zuletzt eine Datei daraus zurückgespielt?
• [ ] Ist jedes Microsoft-365-Konto MFA-fähig, auch gemeinsame Postfächer und Admin-Konten?
• [ ] Sind IMAP, POP3 und SMTP mit einfacher Anmeldung gesperrt?
• [ ] Ist jeder Fernzugriff aufgeschrieben und nur per VPN erreichbar?
• [ ] Gibt es einen Nachweis der letzten Schulung mit Datum und Teilnehmern?
• [ ] Läuft im Betrieb kein Gerät mit einem Betriebssystem ohne Sicherheitsupdates?
• [ ] Haben alle Geräte Virenschutz, auch private, die für die Arbeit genutzt werden?
• [ ] Sind Vorfälle der letzten Jahre im Antrag angegeben?
• [ ] Steht in der Polizze, ob Lösegeld, Betriebsunterbrechung und Cyber-Betrug eingeschlossen sind?
• [ ] Liegt die Hotline-Nummer des Versicherers auf dem Notfallplan?

Häufige Fragen#

Wenn du es nicht selbst machen willst#

In eigener Sache: cyberscale bin ich, Stefan Haun aus Tirol, und ich verkaufe keine Versicherungen und empfehle keinen Versicherer. Was ich beim Sicherheits-Check für 290 € prüfe, ist der Teil, den ein Angreifer von außen sieht: Website, Header, Plugin-Stand, offene Zugänge, SPF, DKIM und DMARC, als Bericht nach Dringlichkeit. Das beantwortet einige Fragen des Bogens mit Belegen, ersetzt aber nicht den Blick in die eigene Sicherung oder ins Schulungsprotokoll. Wer eine Auflage des Versicherers zu einem echten Angriffstest bekommt, findet die Abgrenzung in Was kostet ein Penetrationstest?.

Stand 26.10.2026. Alle Quellen an diesem Tag abgerufen. Zitate aus Bedingungen beziehen sich auf die genannte Fassung; maßgeblich sind immer die Bedingungen der eigenen Polizze. Menüpfade in Microsoft Entra nach der englischen Oberfläche.