Cyberversicherung: Welche Nachweise im Schadensfall zählen

Veröffentlicht am 28.07.2026, aktualisiert am 29.07.2026 · Sicherheit

Eine Cyberversicherung schützt nicht davor, angegriffen zu werden — sie soll den Schaden tragen, wenn es passiert. Ob sie das tut, entscheidet sich oft an einer nüchternen Frage: Können Sie belegen, dass Sie die vereinbarten Sicherheitsmaßnahmen tatsächlich eingehalten haben? Nicht heute, sondern in dem Zeitraum, in dem der Schaden entstanden ist.

Wo Nachweise ins Spiel kommen

Nachweise spielen an drei Stellen eine Rolle. Beim Abschluss füllen Sie einen Risikofragebogen aus; Ihre Angaben werden Vertragsgrundlage. Während der Laufzeit gelten daraus abgeleitete Obliegenheiten — also Verhaltenspflichten, die Sie dauerhaft einhalten müssen. Und im Schadensfall prüft der Versicherer, ob das, was Sie angegeben haben, auch zutraf.

Die unangenehme Reihenfolge ist dabei die übliche: Gefragt wird rückwirkend. Was im Fragebogen angekreuzt wurde, muss für die Vergangenheit belegt werden — für einen Zustand, den zu diesem Zeitpunkt niemand mehr herstellen kann.

Beweislast und ein Urteil: warum das kein Papierkram ist

Zwei Fundstellen zeigen, wie ernst es gemeint ist. Erstens die Beweislast: § 28 Abs. 2 Satz 2 VVG legt sie beim Versicherungsnehmer — im Streit um eine verletzte Obliegenheit müssen Sie belegen, nicht der Versicherer. Zweitens ein Urteil: Das OLG Schleswig (Az. 16 U 63/24) hat einen Cyberversicherungsvertrag für nichtig erklärt, weil Risikofragen beim Abschluss „ins Blaue hinein" beantwortet worden waren. Wer Fragen zum Sicherheitszustand beantwortet, ohne ihn geprüft zu haben, riskiert also den gesamten Schutz. Die anwaltlich empfohlene Praxis lautet deshalb: Systemprüfungen vor der Beantwortung der Risikofragen durchführen — und dokumentieren.

Was Risikofragebögen typischerweise abfragen

Die Fragebögen unterscheiden sich zwischen Anbietern, die Kernpunkte ähneln sich aber:

• Aktueller Patchstand. Werden Betriebssystem, Anwendungen, CMS und Erweiterungen zeitnah aktualisiert? Oft mit einer konkreten Frist für kritische Aktualisierungen.
• Backups. Regelmäßig, getrennt vom Produktivsystem aufbewahrt — und geprüft, ob sich daraus wirklich zurücksichern lässt.
• Mehrfaktor-Authentifizierung. Mindestens für administrative Zugänge, Fernzugriffe und E-Mail.
• Rechte und Zugänge. Wer darf was, und werden Zugänge ausgeschiedener Mitarbeiter entzogen?
• Schutz nach außen. Verschlüsselte Verbindungen, gültige Zertifikate, keine offen erreichbaren Verwaltungsschnittstellen oder Konfigurationsdateien.
• Erkennung und Reaktion. Fällt es überhaupt auf, wenn etwas nicht stimmt — und wer handelt dann?

Fast alle diese Punkte haben etwas gemeinsam: Sie beschreiben keinen Zustand, sondern eine Dauer. „Wir aktualisieren zeitnah" ist eine Aussage über Wochen und Monate, nicht über den heutigen Nachmittag.

Warum ein Screenshot nicht genügt

Ein Bildschirmfoto zeigt einen Moment. Es sagt nichts darüber, wie der Zustand am Tag des Vorfalls war, es lässt sich ohne Aufwand nachstellen, sein Zeitstempel stammt aus dem Dateisystem des Erstellers, und üblicherweise gibt es genau eines — nämlich von dem Tag, an dem jemand daran gedacht hat.

Das gilt sinngemäß für jede nachträglich erstellte Dokumentation. Ein Prüfbericht, der nach dem Vorfall angefertigt wurde, beschreibt eine aufgeräumte Anlage. Interessant wäre gewesen, wie sie drei Wochen vorher aussah.

Was eine belastbare Nachweiskette ausmacht

Aus der Praxis lassen sich vier Eigenschaften ableiten, an denen sich ein Nachweis messen lassen sollte:

1. Lückenlos. Regelmäßige Prüfungen ohne Unterbrechungen. Eine Lücke von sechs Wochen ist genau die Zeit, für die gefragt wird.
2. Datiert und unveränderlich. Jeder Eintrag trägt einen Zeitstempel, und nachträgliche Änderungen fallen auf. Kryptografisch signierte Ergebnisse leisten das; eine Tabelle leistet es nicht.
3. Von außen erzeugt. Ein Nachweis, den der Versicherungsnehmer selbst schreibt, hat weniger Gewicht als einer, der von einer unabhängigen Stelle stammt und öffentlich überprüfbar ist.
4. Nachvollziehbar im Detail. Nicht „bestanden", sondern was gemessen wurde: der Header im Wortlaut, die gefundene Version, die Nummer der Schwachstelle, der Zeitpunkt.

Ebenso wichtig ist, was ein solcher Nachweis nicht verschweigen darf. Eine Kette, in der nur die guten Tage stehen, ist keine Kette. Auch ein Mangel gehört hinein — zusammen mit dem Datum, an dem er behoben wurde. Genau das ist der Beleg dafür, dass jemand hingesehen hat.

Wie das konkret aussieht, zeigt der Tutador-Nachweisbericht: Er weist je Kriterium die Veränderung zum Vormonat mit Datum aus, führt offene Punkte samt „offen seit", benennt seinen Geltungsbereich vor den Ergebnissen und bewertet die Systemumgebung gegen die Hersteller-Supportzeiträume — Musterbericht mit Beispieldaten ansehen (PDF).

Was wir dazu beitragen — und was nicht

Tutador prüft täglich nach einem offenen Katalog von 22 Kriterien, davon 18 allein anhand Ihrer Domain, hält jedes Ergebnis mit Zeitstempel fest und fasst den Verlauf monatlich in einem PDF zusammen. Jedes Siegel verweist auf eine öffentliche Prüfseite mit den Einzelbefunden. Damit liegt eine datierte, von außen erzeugte und im Detail nachvollziehbare Reihe vor, statt einer Momentaufnahme.

Und die notwendige Ehrlichkeit dazu: Wir decken den Teil ab, der sich von außen und über den Konnektor messen lässt. Ihre Backup-Strategie, Ihre Zugriffsrechte, die Absicherung der Arbeitsplätze und Ihre organisatorischen Abläufe sehen wir nicht — für diese Punkte brauchen Sie eigene Nachweise.

Wichtiger Vorbehalt. Ob ein bestimmter Nachweis anerkannt wird, entscheidet allein Ihr Versicherer auf Grundlage Ihres Vertrags. Wir können und wollen nicht versprechen, dass ein Bericht von uns im Schadensfall akzeptiert wird oder eine vertragliche Obliegenheit erfüllt. Dieser Beitrag ist weder eine Rechts- noch eine Versicherungsberatung; klären Sie den Umfang Ihrer Pflichten mit Ihrem Makler oder anwaltlich.