Der französische Markt für Cyber-Versicherungen zeigt ein selten kommentiertes Paradoxon: Die Prämien sinken, während die Schäden explodieren. Die Studie LUCY 2025 der AMRAE, die sich auf über 20.000 Policen stützt, zeigt, dass die entschädigten Schäden innerhalb eines Jahres von 54,5 Millionen Euro auf 83,2 Millionen Euro gestiegen sind, was einem Anstieg von 53 % entspricht.
Gleichzeitig sind die Prämien für große Unternehmen im Durchschnitt um 32 % gesunken. Diese Diskrepanz zwischen den tatsächlichen Kosten von Angriffen und dem Preis der Deckung wirft eine direkte Frage an jedes Unternehmen auf: Was ist Ihr Cyber-Versicherungsvertrag heute wirklich wert?
Lesetipp : Entdecken Sie die besten Immobilienangebote, um Ihr zukünftiges Zuhause zu finden
Sinkende Prämien und steigende Schäden: Was der Soft Market für KMU ändert
Der Begriff “Soft Market” bezeichnet eine Phase, in der der Wettbewerb zwischen Versicherern die Tarife nach unten drückt und die angebotenen Garantien erweitert. Liberty Specialty Markets bestätigt diesen Trend auf europäischer Ebene, trotz hoher Verluste und Risiken, die durch künstliche Intelligenz verstärkt werden.
Für ein KMU scheint diese Situation günstig zu sein: Der Zugang zu einer Cyber-Versicherung kostet weniger als vor zwei Jahren. Diese Senkung der Prämien spiegelt jedoch nicht eine Verringerung des Risikos wider. Sie zeigt ein geschäftliches Interesse der Versicherer, das sich abrupt wenden könnte, wenn die Schadensfälle weiter steigen.
Lesetipp : 10 effektive Tipps, um in einer kleinen Küche einen Raum zu schaffen
Die konkrete Gefahr für Unternehmen, die jetzt abschließen, besteht darin, dass sie bei der Erneuerung mit plötzlichen Preiserhöhungen oder während des Vertrags hinzugefügten Ausschlüssen konfrontiert werden. Ein im Soft Market unterzeichneter Vertrag verpflichtet den Versicherer nicht, seine Bedingungen aufrechtzuerhalten. Vor der Unterzeichnung sollten die Erneuerungsklauseln und die Mechanismen zur Preisrevision geprüft werden, nicht nur die Höhe der ursprünglichen Prämie.
Um die Cyber-Risiko-Versicherung in ihren grundlegenden Mechanismen zu verstehen, muss man zunächst erkennen, dass der Preis einer Police nichts über die Qualität des angebotenen Schutzes aussagt.
Unterversicherung im Cyber-Bereich: Das wahre Problem französischer Unternehmen
Die Umfrage 2025 der Schweizer Versicherungsvereinigung zeigt eine auffällige Zahl: Nur 10,8 % der Unternehmen verfügen über eine Cyber-Versicherung, trotz eines Anstiegs von 22 % der im Jahr 2024 eingezogenen Prämien. Die verfügbaren französischen Daten deuten auf eine vergleichbare, sogar ausgeprägtere Situation für TPE und KMU hin.
Unterversicherung beschränkt sich nicht auf das völlige Fehlen eines Vertrags. Sie betrifft auch Unternehmen, die eine Police haben, deren Deckungsgrenzen von ihrer tatsächlichen Exposition abgekoppelt sind. Ein Unternehmen, das die persönlichen Daten von mehreren Tausend Kunden speichert, aber dessen Deckung auf einige Zehntausend Euro für Benachrichtigungskosten begrenzt ist, gerät bei dem ersten ernsthaften Vorfall in Schwierigkeiten.
Drei Warnsignale für eine unangemessene Deckung
- Der Vertrag erwähnt nicht ausdrücklich die Übernahme der Krisenmanagementkosten (Kommunikation, forensische Expertise, rechtliche Unterstützung), die oft den größten Teil eines Cyber-Schadens ausmachen.
- Die bei einem Cloud-Anbieter gehosteten Daten sind nicht gedeckt oder nur dann, wenn der Anbieter namentlich in der Police genannt wird, was einen Anbieterwechsel während des Vertrags ausschließt.
- Die Schadensmeldungsfrist ist sehr kurz (manchmal 48 Stunden), während die Erkennung eines Eindringens im Durchschnitt mehrere Wochen dauert.
IT-Outsourcing verstärkt die Unterversicherung: Wenn ein Teil des Informationssystems von einem Dritten verwaltet wird, wird die Grenze zwischen dem, was gedeckt ist und was nicht, verschwommen. Diese Schnittstelle im Vertrag zu überprüfen, ist eine Voraussetzung, keine Option.
NIS 2-Richtlinie und Cyber-Versicherung: Ein laufender regulatorischer Konvergenzprozess
Die Umsetzung der europäischen NIS 2-Richtlinie verändert den Verantwortungsrahmen der Führungskräfte im Bereich der Cybersicherheit. Die betroffenen Unternehmen (und es sind deutlich mehr als unter NIS 1, da der Umfang auf ETI und bestimmte kritische Anbieter ausgeweitet wird) müssen nachweisen, dass sie angemessene Maßnahmen zur Risikomanagement im Cyber-Bereich implementiert haben.
In diesem Kontext entwickelt sich die Cyber-Versicherung schrittweise vom Status einer optionalen Garantie zu einer geschäftlichen Anforderung. Einige Auftraggeber beginnen, ihre Ausschreibungen an die Vorlage eines Nachweises über die Cyber-Deckung zu knüpfen. Nicht versichert zu sein, kann ein geschäftliches Hindernis werden, bevor es ein finanzielles Risiko darstellt.
Die Rückmeldungen aus der Praxis sind in diesem Punkt unterschiedlich: Nicht alle Branchen haben diese Anforderung bereits integriert, und die Reife variiert stark je nach Sektor. Die IHKs der Hauts-de-France beispielsweise fordern die Unternehmen bereits auf, diese Verpflichtungen vorauszusehen. Andere Regionen bleiben zurückhaltend.
Verantwortung des Geschäftsführers und Haftpflichtversicherung
NIS 2 führt die Möglichkeit persönlicher Sanktionen für Führungskräfte bei Verstößen gegen die Cybersicherheitsanforderungen ein. Diese Verantwortung ist nicht immer durch eine klassische Cyber-Versicherung gedeckt. Sie fällt eher unter die D&O-Versicherung (Directors and Officers), einen separaten Vertrag, dessen Wechselwirkungen mit der Cyber-Police überprüft werden sollten.
Die Schnittstelle zwischen Cyber-Versicherung und D&O-Versicherung ist ein häufiges blinder Fleck im Schutz von mittelständischen Unternehmen.
Eine Cyber-Police lesen: Die Klauseln, die den echten Schutz bestimmen
Über den Betrag der Prämie und die Gesamthöchstgrenze hinaus bestimmen drei vertragliche Elemente die tatsächliche Nützlichkeit einer Cyber-Versicherung im Falle eines Vorfalls.
- Der Umfang der gedeckten Daten: Einige Policen schließen unverschlüsselte Daten oder Daten, die auf persönlichen Geräten (BYOD) gespeichert sind, aus, was den Umfang der Garantie erheblich einschränkt.
- Die Definition des auslösenden Ereignisses: Ist ein Ransomware-Angriff, der erkannt, aber nicht aktiviert wurde, ein meldepflichtiger Schaden? Die Antwort variiert von Versicherer zu Versicherer und beeinflusst den Beginn der Übernahme.
- Die Präventionspflichten, die dem Versicherten auferlegt werden: Einige Policen sehen einen Verlust des Versicherungsschutzes vor, wenn das Unternehmen seine Sicherheitsupdates nicht auf dem neuesten Stand gehalten hat oder in den letzten zwölf Monaten kein Audit durchgeführt hat.
Diese technischen Klauseln sind nicht immer in der kommerziellen Dokumentation enthalten. Sie befinden sich in den besonderen Bedingungen, manchmal in Anhängen. Ein Cyber-Vertrag wird von hinten gelesen, beginnend mit den Ausschlüssen.
Der Markt für Cyber-Versicherungen entwickelt sich schnell, getragen von widersprüchlichen Dynamiken: Preissenkungen, steigende Schäden, verschärfte Regulierung. Ein Unternehmen, das abschließt, ohne diese drei Dimensionen (Tarif, tatsächlicher Deckungsumfang, regulatorische Verpflichtungen) zu analysieren, riskiert, für einen Schutz zu zahlen, der im entscheidenden Moment nicht greift.