Eine Phishing-Mail führt zur Kontoplünderung, Datenverlust oder einem Netzwerkausfall – der Schaden ist schnell fünfstellig. Welche Kosten eine Cyberversicherung übernimmt und wo typische Deckungslücken entstehen, hängt von Vertragsdetails ab, die viele erst im Ernstfall lesen.

Was nach dem Klick auf eine Phishing-Mail passieren kann

Der häufigste Ablauf: Eine Mitarbeiterin oder ein Mitarbeiter öffnet eine täuschend echte E-Mail, gibt Zugangsdaten ein – und Minuten später greifen Angreifer auf interne Systeme zu. Was folgt, ist kein einziges Ereignis, sondern eine Kette: kompromittierte Konten, gestohlene Kundendaten, blockierte Systeme, möglicherweise eine Lösegeldforderung. Jede dieser Stufen erzeugt eigene Kosten, und nicht jede Stufe ist automatisch mitversichert.

Das ist der entscheidende Punkt: Eine Cyberversicherung ist kein Pauschalschutz für alles Digitale. Sie besteht aus mehreren Bausteinen, und Phishing-Folgeschäden landen – je nach Schadentyp – in unterschiedlichen davon.

Welche Kosten Cyberversicherungen typischerweise abdecken

Laut aktuellem Marktstandard (Quelle: Munich Re, 2026) deckt eine Cyberpolice im Kern vier Kostenkategorien ab:

Typische Leistungsbausteine einer Cyberversicherung nach Phishing-Angriff
Schadentyp Typisch versichert Häufige Einschränkung
Forensik & IT-Wiederherstellung Kosten für Spurensicherung, Systemreinigung, Dateirekonstruktion Nur bei nachgewiesener externer Attacke; eigene Fehler oft ausgeschlossen
Betriebsunterbrechung Ertragsausfall während des Systemausfalls Wartezeit (meist 8–24 Stunden) und Haftzeit begrenzen die Zahlung
Drittschäden / Haftpflicht Ansprüche von Kunden oder Partnern wegen gestohlener Daten DSGVO-Bußgelder: in Deutschland nicht versicherbar
Krisenmanagement PR-Kosten, Benachrichtigung Betroffener, Behörden-Kommunikation Oft nur, wenn Meldepflicht (DSGVO) ausgelöst wurde

Die häufigste Lücke: Social-Engineering-Betrug

Überweist jemand im Betrieb Geld auf ein gefälschtes Konto – weil eine Phishing-Mail die Identität des Chefs imitiert (Business Email Compromise) –, greift die Standard-Cyberpolice oft nicht. Ein US-Fall aus 2026 zeigt: Der Versicherer lehnte die Deckung ab, weil der Schaden kein „direkter Datenverlust" war, sondern ein durch Täuschung veranlasster Transfer. Solche Fälle erfordern einen speziellen Social-Engineering-Zusatzbaustein. (Quelle: Wiley Law, 2026)

Ransomware nach Phishing: Was Versicherer 2026 voraussetzen

Ransomware – also Verschlüsselung ganzer Systeme mit anschließender Lösegeldforderung – ist der teuerste Folgeangriff nach einem erfolgreichen Phishing-Angriff. Die Versicherungswirtschaft reagiert darauf mit deutlich schärferen Anforderungen an Versicherte.

Wer Ransomware-Schutz in seiner Police haben möchte, muss laut aktuellem Marktstandard bestimmte technische Mindestvoraussetzungen erfüllen (Cyber Advisors, 2026):

  • Multi-Faktor-Authentifizierung (MFA) für alle externen Zugänge (E-Mail, VPN, Cloud)
  • Endpoint Detection & Response (EDR/XDR) auf allen genutzten Geräten
  • Offline-Backups, die von aktiven Systemen getrennt gespeichert werden
  • Dokumentiertes Patch-Management – bekannte Sicherheitslücken müssen zeitnah geschlossen sein

Wer diese Anforderungen nicht erfüllt, riskiert im Schadensfall eine anteilige Kürzung, einen erhöhten Selbstbehalt – oder vollständige Ablehnung der Ransomware-Deckung. Das steht im Kleingedruckten, wird aber selten beim Abschluss thematisiert.

First-Party vs. Third-Party: Zwei Seiten des Schadens

Eine Cyberversicherung unterscheidet grundsätzlich zwischen zwei Schadenperspektiven:

First-Party-Deckung
Schützt das eigene Unternehmen: IT-Forensik, Systemwiederherstellung, Lösegeld, Betriebsunterbrechung, Krisenmanagement. Hier zahlt der Versicherer direkt an den Versicherten.
Third-Party-Deckung
Schützt vor Ansprüchen Dritter: Kunden, Partner oder Behörden, die nach einem Datenleck Schadensersatz fordern. Besonders relevant, wenn personenbezogene Daten abgeflossen sind.

Viele kompakte Einsteiger-Policen decken nur First-Party-Schäden ab. Wer Kundendaten verarbeitet – ob als Handwerksbetrieb mit Auftragsdatenbank oder als Praxis mit Patientenakten –, benötigt zwingend auch die Third-Party-Komponente.

Worauf Sie beim Vertragscheck achten sollten

Die Police ist erst dann vollständig, wenn Sie wissen, was sie nicht zahlt. Folgende Punkte trennen eine solide Deckung von einer Scheinsicherheit:

  1. Ist Social Engineering / Business Email Compromise explizit eingeschlossen – oder nur auf Antrag erweiterbar?
  2. Wie lang ist die Wartezeit bei Betriebsunterbrechung, und ab wann beginnt die Haftzeit?
  3. Welche technischen Sicherheitsmaßnahmen sind Obliegenheit – und führt ihre Verletzung zur Leistungskürzung?
  4. Sind Drittschäden aus Datenschutzverletzungen enthalten, oder nur eigene IT-Kosten?
  5. Gibt es eine 24/7-Notfallhotline für den Krisenfall – und wer zieht diesen Dienstleister, nicht der Versicherungsnehmer selbst?

Faustregel zur Versicherungssumme

Für kleine Betriebe mit bis zu zehn Mitarbeitenden gilt als grobe Orientierung: Die Versicherungssumme sollte mindestens dem Jahresumsatz entsprechen. Bei Datenschutz-intensiven Branchen (Gesundheit, Recht, Buchhaltung) empfehlen Fachleute das Doppelte – weil Drittschäden schnell in diese Größenordnung gehen. Das sind keine Garantiewerte, sondern Ausgangspunkte für die individuelle Bedarfsanalyse.

Häufige Fragen zur Cyberversicherung nach Phishing

Zahlt die Cyberversicherung, wenn ein Mitarbeiter die Phishing-Mail selbst geöffnet hat?

In der Regel ja – menschliches Versagen ist explizit mitversichert. Ausnahmen gelten bei grober Fahrlässigkeit oder wenn Sicherheitsrichtlinien nachweislich ignoriert wurden. Details stehen in den Obliegenheiten des Vertrags.

Übernimmt die Versicherung das Lösegeld bei Ransomware?

Je nach Tarif und Situation ja – aber nur, wenn die vereinbarten Sicherheitsmaßnahmen (MFA, Backups, EDR) erfüllt waren. Viele Versicherer verlangen außerdem die Einschaltung ihres eigenen Krisendienstleisters vor jeder Zahlung.

Sind DSGVO-Bußgelder versicherbar?

Nein. Bußgelder nach DSGVO sind in Deutschland nicht durch eine Versicherung abdeckbar – sie treffen Unternehmen direkt. Versicherbar sind hingegen die Anwalts- und Beratungskosten im Behördenverfahren sowie Schadensersatzforderungen betroffener Personen.

Reicht die Betriebshaftpflicht bei Datenpannen aus?

Meist nicht. Betriebshaftpflichten decken physische Schäden, keine immateriellen Datenschutzverletzungen. Eigene IT-Kosten (Forensik, Wiederherstellung) bleiben grundsätzlich ungedeckt. Eine separate Cyberpolice ist hier kein Luxus.

Kann ich eine bestehende Police auf Social-Engineering-Deckung prüfen lassen?

Ja. Poth & Poth prüft auch Verträge anderer Versicherer auf Deckungslücken – ein kostenloser Versicherungs-Check zeigt, ob und wo Ihr aktueller Schutz nachgebessert werden sollte.

Ob Ihr Betrieb im Schadensfall wirklich abgesichert ist oder ob stille Lücken im Vertrag schlummern, lässt sich nur durch einen konkreten Vertragscheck klären – nicht durch allgemeine Policentexte. Poth & Poth oHG, Ihre Versicherungsagentur in Langenselbold, bespricht das mit Ihnen: persönlich im Büro, per Video oder telefonisch unter 06184 9937044 – Antwort an Werktagen innerhalb von 24 Stunden. Mehr zur Cyberversicherung für Firmen finden Sie direkt auf unserer Seite.

Quellen: Munich Re – Cyber Insurance Risks and Trends 2026 · Cyber Advisors – What's New in Cyber Insurance 2026 · Wiley Law – Cyber Risks and Insurance 2026 Forecast · Los Angeles Times – Cyber Insurance for Business 2026 · Stand: Oktober 2026 – im Einzelfall prüfen.

Bild: KI-generiert

Über den Autor

Poth & Poth oHG

Versicherungsagentur in Langenselbold

Alle Ratgeber-Artikel