Was will mein Cyberversicherer von meiner Website sehen?

Der Fragebogen staffelt nach Umsatz und stuft Webshops höher ein

Zu den Musterbedingungen gehört ein Muster-Risikofragebogen des GDV mit Stand Dezember 2019. Er teilt kleine und mittlere Unternehmen nach Jahresumsatz in drei Kategorien: bis 2 Millionen Euro, bis 5 Millionen und bis 10 Millionen. In der ersten Kategorie beantwortet der Versicherungsnehmer zehn Fragen zu den Obliegenheiten, etwa zu Zugängen, Passwörtern, Schadsoftware, Sicherheitsupdates und Datensicherung, dazu fünf Fragen, ob Sonderbereiche betroffen sind. Das reicht laut GDV, wenn der Umsatz unter 2 Millionen Euro liegt und keiner der Sonderbereiche zutrifft, und das sei bei rund 80 Prozent der kleinen und mittelständischen Unternehmen der Fall. Ein Sonderbereich betrifft die Website unmittelbar: Wer E-Commerce auf eigener Infrastruktur betreibt, kommt unabhängig vom Umsatz in die zweite Kategorie, weil im E-Commerce „die Kernbereiche des Geschäfts einem direkten Angriffsrisiko ausgesetzt“ sind und Kunden- und Zahlungsdaten verarbeitet werden. Wer den Shop selbst betreibt, beantwortet zusätzlich, ob er Kreditkartendaten speichert und ob ein Zahlungsdienstleister alle bargeldlosen Zahlungen abwickelt. Ein Webshop auf Ihrem eigenen Server bedeutet für den Versicherer also mehr Fragen, unabhängig davon, wie klein der Betrieb ist.

Viele Betriebe halten sich für geschützt und erfüllen die Basiskriterien nicht

Der GDV lässt seit 2018 jährlich 300 Entscheider und IT-Verantwortliche kleiner und mittlerer Unternehmen von Forsa befragen. 2025 hielten sich 77 Prozent für ausreichend gewappnet, tatsächlich erfüllten laut GDV mehr als zwei Drittel nicht alle Basiskriterien wie starke Passwörter oder regelmäßige Updates; 48 Prozent hatten keinen Notfallplan. In der Umfrage 2024 schützten 34 Prozent ihre Systeme mit einer Zwei-Faktor-Authentifizierung, und jedes vierte Unternehmen war nach eigener Angabe schon Opfer eines erfolgreichen Angriffs. Der Versicherer Hiscox nennt 2025, dass 40 Prozent der befragten deutschen kleinen und mittleren Unternehmen eine eigenständige Cyberversicherung haben. Die Fragen im Antrag zielen damit auf die Punkte, die laut diesen Umfragen am häufigsten fehlen. Die Musterbedingungen sehen in B3-4 vor, dass der Versicherer bei vorsätzlicher Verletzung einer Obliegenheit von der Leistung frei ist und sie bei grob fahrlässiger Verletzung im Verhältnis zur Schwere des Verschuldens kürzen kann; er bleibt zur Leistung verpflichtet, wenn der Versicherungsnehmer nachweist, dass er die Obliegenheit nicht grob fahrlässig verletzt hat.

Was davon Ihre Website von außen zeigt

Nicht alles aus den Bedingungen lässt sich an der Website ablesen; die Sicherung im Haus und der Virenschutz auf den Arbeitsplätzen bleiben Sache Ihres Betriebs. Einige Punkte sieht aber jeder, der Ihre Website abruft, und damit auch ein Prüfer. Das Patch-Management zeigt sich an Bibliotheken ohne Herstellerpflege und an Versionsnummern, die Ihre Seite im Quelltext oder in den Kopfzeilen des Servers nennt. Der Schutz des erreichbaren Servers zeigt sich daran, ob die Anmeldemaske und Schnittstellen wie xmlrpc.php offen antworten, ob die Sicherheitskopfzeilen gesetzt sind und ob der Server auf eine Serie typischer Scan-Abrufe reagiert. Die Fragen des Fragebogens zu Kreditkartendaten und zum Zahlungsdienstleister beantwortet die Kasse: Steht das Feld für die Kartennummer im eigenen Formular oder im Rahmen des Zahlungsanbieters. Ein Bericht, der diese Punkte mit Datum und Fundstelle festhält, zeigt Ihnen vor dem Antrag, was Sie wahrheitsgemäß ankreuzen können; ob ein Versicherer ihn nach einem Schaden als Nachweis nimmt, legt er selbst fest.

Belege vor dem Antrag zeigen, was noch zu tun ist

Allianz Commercial nennt Cyber im Risk Barometer 2026 mit 42 Prozent der Antworten zum fünften Mal in Folge das größte Geschäftsrisiko weltweit, auch in Deutschland. Die Musterbedingungen koppeln die Leistung an die Obliegenheiten. Wer sie erfüllt hat, sollte das belegen können, und wer sie nicht erfüllt hat, sollte das vor dem Antrag wissen. Für Ihr Unternehmen heißt das: Der Prüfbericht über die Website gehört in dieselbe Mappe wie die Police. Er zeigt dem Makler, was er in den Antrag schreiben kann, und Ihnen, was vor dem Abschluss noch zu tun ist.

Bekannte Lücken ohne Absicherung sind der Punkt, den das Muster eigens nennt

Die Musterbedingungen sagen in A1-16.1 d): Systeme und Anwendungen mit bekannten Sicherheitslücken dürfen nicht ohne zusätzliche geeignete Maßnahmen zur Absicherung eingesetzt werden. Eine Bibliothek, deren Hersteller die Pflege beendet hat, bekommt für jede später bekannte Lücke keine Korrektur mehr. Wie oft dieser Weg genutzt wird, zeigen zwei Messungen: Die Studie von KPMG und KSÖ 2026 fand in Österreich, dass in 40 Prozent der Angriffsfälle ineffektives Patch-Management das Einfallstor war. Der Verizon Data Breach Investigations Report 2026 zählt weltweit 31 Prozent der Datenpannen, die mit einer Software-Schwachstelle begannen, mehr als mit gestohlenen Passwörtern. Ob eine veraltete Bibliothek auf Ihrer Website im Einzelfall eine verletzte Obliegenheit ist, hängt von Ihrem Vertrag und vom Zusammenhang mit dem Schaden ab. Der Prüfbericht zeigt vorher, ob ein solcher Fall vorliegt, und Sie können ihn beheben, bevor jemand danach fragt.

Tipps aus der Praxis

• Der GDV-Fragebogen fragt eigens, ob Sie Kreditkartendaten speichern und ob ein Zahlungsdienstleister alle bargeldlosen Zahlungen abwickelt. Das Formular des Zahlungsanbieters statt eigener Kartenfelder beantwortet beide Fragen in Ihrem Sinn.
• Fragen Sie den Makler, ob Ihr Versicherer für Server über das Internet eine Zwei-Faktor-Anmeldung verlangt; bei WordPress heißt das: Zwei-Faktor für alle Konten mit Verwaltungsrechten.
• Antworten Sie im Antrag nur, was Sie nachgesehen haben. Ein Bericht mit Datum ist nachgesehen.
• Bewahren Sie jeden Bericht auf. Nach einem Schaden zählt der Zustand vor dem Vorfall, und den zeigt nur ein Bericht von damals.