Das Wichtigste in Kürze
- Ob und für welche Zugänge MFA verlangt wird, hängt vom Versicherer und Tarif ab. E-Mail, Fernzugang und privilegierte Konten sollten im Antrag und im Betrieb einzeln geprüft werden.
- Ein Backup-Konzept sollte getrennte Kopien, Schutz vor nachträglicher Veränderung und dokumentierte Rücksicherungstests vorsehen. Die konkrete vertragliche Anforderung muss dazu abgeglichen werden.
- Segmentierung und kontrollierte Zugriffe begrenzen mögliche Ausbreitungswege. Welche Trennung und Nachweise ein Versicherer verlangt, ergibt sich aus seinen Unterlagen.
- Vertraglich vereinbarte Obliegenheiten können dauerhaft gelten. Folgen einer Verletzung hängen unter anderem vom Vertrag, dem Verschulden und dem Zusammenhang mit dem Schaden ab.
Der Antrag für eine Cyberversicherung sah vor einigen Jahren aus wie ein Formular. Heute sieht er aus wie ein technisches Audit — und das ist kein Zufall: Die Versicherer haben gelernt, welche Schäden sie zahlen mussten und welche Lücken dahinterstanden.
Multi-Faktor-Authentifizierung: die Frage, an der es hängt
MFA kann eine Voraussetzung für den Versicherungsschutz sein. Prüfen Sie konkret E-Mail-Zugang, VPN- und Fernzugang, Administratorkonten und privilegierten Anwendungszugriff. Ob Ausnahmen möglich sind und welche Verfahren anerkannt werden, muss der jeweilige Versicherer bestätigen.
Auch beim zweiten Faktor gilt der konkrete Vertrag. Eine bereits eingerichtete MFA-Lösung ist kein Beleg dafür, dass jedes vom Versicherer geforderte Konto und Verfahren abgedeckt ist. Dokumentieren Sie Verfahren, Geltungsbereich und vereinbarte Ausnahmen.
Backup: das Wort, auf das es ankommt, heißt „getestet“
Die 3-2-1-Regel — drei Kopien, zwei Medien, eine Kopie außer Haus — ist ein möglicher Ausgangspunkt für das Backup-Konzept. Eine offline oder unveränderbar gehaltene Kopie und dokumentierte Rücksicherungstests helfen, die Wiederherstellbarkeit zu beurteilen. Ob genau diese Ausgestaltung verlangt wird, entscheidet der konkrete Vertrag.
Ein erfolgreicher Sicherungslauf belegt noch keine erfolgreiche Wiederherstellung. Rücksicherungstests sollten deshalb Teil des Betriebs sein; als vertragliche Obliegenheit gelten sie in der jeweils vereinbarten Form.
Die Punkte, die im Netzwerk sitzen
Diese vier technischen Prüfpunkte betreffen auch das Netzwerk. Sie sind eine Orientierung für die Umsetzung; verbindliche Annahmekriterien legt der Versicherer fest:
Trennung zwischen Client- und Servernetz
Trennen Sie Arbeitsplätze, Server und gegebenenfalls Produktion entsprechend Schutzbedarf und notwendigen Datenflüssen. Eine VLAN-Trennung kann Teil des Konzepts sein.
Kontrollierte Zugriffe
Prüfen Sie SMB- und RDP-Verbindungen zwischen Sicherheitszonen. Erlauben Sie nur erforderliche Zugriffe durch passende Regeln und kontrollierte Administrationswege; ein pauschales Verbot aller Client-Server-Verbindungen wäre für manche Anwendungen unbrauchbar.
Kontrollierte Fernzugänge
Jeder Weg von außen — Homeoffice, IT-Dienstleister, Maschinenhersteller — braucht MFA und eine benannte Berechtigung. Der vergessene Fernwartungszugang eines früheren Lieferanten ist der klassische Fund.
Nachvollziehbares Patch-Management
Dokumentieren Sie Prozess, Werkzeuge, Reaktionszeiten und die tatsächlich installierten Updates. Router, Firewalls und Switches gehören ebenfalls in diese Übersicht.
Diese vier Punkte können auch beim Beantworten von Lieferketten-Fragebögen helfen. Die Anforderungen müssen dennoch einzeln verglichen werden. Mehr dazu im Beitrag über den NIS2-Fragebogen vom Kunden.
In welcher Reihenfolge das sinnvoll ist
Wenn nicht alles gleichzeitig geht, priorisieren wir nach konkretem Risiko und den Vertragsanforderungen: ungeschützte Fernzugänge schließen, Wiederherstellung prüfen und unnötige Zugriffe zwischen Netzen begrenzen. Aufwand und Reihenfolge hängen vom Bestand ab.
Wichtig ist dabei ein Punkt, der oft untergeht: Die Antworten im Antrag sind Zusicherungen. Wer ankreuzt, was demnächst umgesetzt werden soll, verschiebt das Problem in den Schadensfall — dorthin, wo es am teuersten ist. Wie wir kleinere Netze so aufbauen, dass diese Fragen beantwortbar sind, steht auf unserer Seite für kleinere Unternehmen.
Quellen
Jede belegte Aussage dieses Beitrags ist hier nachvollziehbar. Das Abrufdatum sagt, wie frisch die Prüfung ist.
- Cyberversicherung — unverbindliche Musterbedingungenöffnet in neuem Tab
GDV · abgerufen am 6. Oktober 2026
- § 28 VVG — Verletzung einer vertraglichen Obliegenheitöffnet in neuem Tab
Bundesministerium der Justiz / Bundesamt für Justiz · abgerufen am 6. Oktober 2026