Fragebogen zur Cyberversicherung: Maßnahmen, zu deren Einhaltung sich ein KMU verpflichtet

Bei der Mobiliar sind die Verpflichtungen in den Allgemeinen Geschäftsbedingungen für die Cyberversicherung, Ausgabe 01.2024, festgelegt: In einem Abschnitt werden fünf davon aufgezählt, und dieser beginnt mit den Worten: „Im Rahmen der Cyberversicherung sind Sie verpflichtet, die folgenden Maßnahmen zu ergreifen.“

Diese beiden in der Schweiz tätigen Versicherer veröffentlichen also ihre Listen, und diese Bestimmungen stellen vertragliche Verpflichtungen dar. In beiden Verträgen ist festgelegt, was geschieht, wenn diese nicht eingehalten werden. Ein Geschäftsführer, der einen Fragebogen für eine Cyber-Versicherung ausfüllt – sei es bei Vertragsabschluss oder bei Vertragsverlängerung –, beantwortet somit Fragen, deren Tragweite nicht im Formular selbst, sondern an anderer Stelle festgelegt ist.

Wo befindet sich die Liste, die Sie unterschreiben?

Bei Helvetia wird in der Broschüre erläutert, woher diese Massnahmen stammen: Helvetia schreibt, sie seien «unter Beachtung der Empfehlungen des Bundesamtes für Cybersicherheit (BCS) und in Zusammenarbeit mit verschiedenen Spezialisten für IT-Sicherheit und Datenschutz» entwickelt worden. Seite 4 trägt die Überschrift „Organisatorische und technische Sicherheitsvorschriften“ und gliedert sich in drei organisatorische sowie sechs technische Maßnahmen. Auf Seite 5 kommen vier weitere Punkte hinzu: die Schnittstelle zwischen dem IT-System und dem System zur Steuerung der Maschinen, die Datenschutzerklärung auf der Website, externe Dienstleister sowie die regelmäßige Kontrolle.

Die gleiche Liste findet sich in den Allgemeinen Geschäftsbedingungen der Helvetia unter der Überschrift «Organisatorische und technische Sicherheitsvorschriften», eingeleitet durch den Satz «Zudem müssen die folgenden Mindestanforderungen zur Schadenverhütung erfüllt sein». In der Broschüre wird präzisiert, dass diese Mindestvorschriften «je nach Grösse und Art Ihres Unternehmens» gelten. Die Broschüre dient der Vorbereitung der Antwort; der Vertrag enthält die Verpflichtung.

Bei der Mobiliar sind die fünf Pflichten auf einer Seite der Allgemeinen Geschäftsbedingungen zusammengefasst, und der Vertrag sieht eine weitergehende Pflicht vor: „Sie sind zur Sorgfalt verpflichtet. Das bedeutet, dass Sie die versicherten Daten schützen müssen, indem Sie alle erforderlichen Maßnahmen ergreifen.“

Zugangsverwaltung und die Bedeutung der Multi-Faktor-Authentifizierung

Drei der Maßnahmen von Helvetia betreffen den Zugriff. Die erste fordert die „Definition und Umsetzung einer Berechtigungsverwaltung mit verschiedenen Berechtigungsstufen“, beispielsweise den funktionsbezogenen Zugriff auf Finanz-, Personen- oder Kundendaten. Die zweite fordert die „Definition und Umsetzung einer Zugriffsrichtlinie (Access Policy)“. Die dritte Maßnahme, die zu den technischen Maßnahmen gezählt wird, sieht die „technische Umsetzung der definierten Zugriffsrichtlinie (Access Policy) und des Berechtigungsmanagements“ vor.

Die Multi-Faktor-Authentifizierung wird in keiner dieser drei Zeilen ausdrücklich erwähnt. Sie taucht in der Definition der „Access Policy“ auf, die Helvetia im Glossar ihrer Allgemeinen Geschäftsbedingungen liefert: Die Zugriffsrichtlinie „umfasst sowohl herkömmliche Passwortrichtlinien als auch alternative Authentifizierungsmethoden wie die Multi-Faktor-Authentifizierung (MFA)“, und diese Richtlinien „müssen auf allen Ebenen der Organisation umgesetzt werden“.

Bei der Mobiliar verlangt die vierte Verpflichtung, dass die Schutzmechanismen „stets dem neuesten Stand der Technik sowie den Empfehlungen des Herstellers entsprechen, insbesondere in Bezug auf Passwörter, Systemkonfigurationen und Firewalls“. Der Vertrag verweist somit auf die Empfehlungen des Herstellers. Für eine Umgebung Microsoft 365lautet diese Empfehlung wie folgt: Microsoft empfiehlt, für alle Benutzer, insbesondere für Administratoren, eine Multi-Faktor-Authentifizierung zu verlangen.

Was die Berechtigungen angeht, empfiehlt Microsoft, Rollen mit möglichst wenigen Berechtigungen zu verwenden und die Anzahl der Benutzer, die über diese Berechtigungen verfügen, zu begrenzen – insbesondere bei der Rolle „Global Administrator“, deren Inhaber, wie es heißt, nahezu uneingeschränkten Zugriff auf die Einstellungen der Organisation und auf den Großteil ihrer Daten haben. Informationen zur Aufteilung dieser Rollen zwischen Ihnen und Ihren Dienstleistern finden Sie unter „Wer ist Eigentümer Ihrer Tenant?“ Microsoft 365.

Ein Bericht von Microsoft Entra ID gibt die Anzahl der Benutzer an, die zur Multi-Faktor-Authentifizierung fähig sind, d. h. diejenigen, die sowohl für eine starke Authentifizierungsmethode registriert sind als auch gemäß den Richtlinien berechtigt sind, diese zu verwenden: Diese Zahl sollte abgefragt werden. Microsoft weist selbst auf die Einschränkung dieser Zahl hin: Sie umfasst nicht die Benutzer, die außerhalb von Microsoft Entra ID nicht. Für den Zugriff auf diesen Bericht ist eine Microsoft-Lizenz „ Entra ID “ P1 oder P2 erforderlich.

Die Datensicherung und die von Helvetia geforderte halbjährliche Überprüfung

Beide Verträge sehen eine Datensicherung vor, allerdings nicht dieselbe.

Helvetia fügt drei Anforderungen hinzu, die in der Tabelle nicht aufgeführt sind. Die Sicherung „darf nicht vor Ablauf einer Woche überschrieben werden“. „Die Qualität der Datensicherung muss mindestens alle sechs Monate überprüft werden“, beispielsweise durch einen Vergleich des Datenvolumens und eine stichprobenartige Überprüfung der Funktionalität. Und «der Zugriff entweder auf die Originaldaten oder auf die Sicherungsdaten muss jederzeit gewährleistet sein». Eine Sicherungsaufgabe, die jede Nacht fehlerfrei abgeschlossen wird, reicht für diese Anforderung also nicht aus.

Für Daten, die in Microsoft 365, Microsoft 365 Backup gilt für die Websites SharePoint, Konten OneDrive und die Postfächer Exchange, mit einem konfigurierbaren Wiederherstellungszeitraum von drei Monaten, sechs Monaten, einem Jahr oder zwei Jahren sowie einer nutzungsabhängigen Abrechnung anstelle einer Lizenzierung pro Benutzer. Die Unveränderlichkeit hat ihre Grenzen. Der Speicher funktioniert nach dem „Append-only“-Prinzip: Der Dienst fügt Wiederherstellungspunkte hinzu, ohne die bestehenden jemals zu ändern. Der Administrator des Tools kann diese jedoch beim Beenden des Dienstes löschen, und eine festgelegte Karenzzeit von neunzig Tagen ermöglicht dann deren Wiederherstellung. Fragen Sie nach, wer diese Rolle in Ihrem Unternehmen innehat.

Patches und Systeme, für die keine Patches verfügbar sind

In beiden Verträgen ist eine Frist für die Installation von Sicherheitspatches festgelegt. Bei Helvetia beträgt diese Frist dreißig Tage, „es sei denn, es ist zur Gewährleistung der Kompatibilität der Patches erforderlich, mehr Zeit zu investieren“, und der Vertrag enthält eine Anweisung für den Fall, dass kein Patch verfügbar ist: „Software/Systeme, für die keine Sicherheitspatches/Updates verfügbar sind, müssen isoliert werden.“ Bei der Mobiliar beträgt die Frist dreißig Tage bei einer mittleren oder hohen Sicherheitslücke und vierzehn Tage bei einer kritischen Sicherheitslücke.

Diese Aussage lässt sich am Bildschirm nicht überprüfen. Zunächst muss eine Bestandsaufnahme der Software und der Geräte durchgeführt werden, anschließend muss diese Bestandsaufnahme mit den von den jeweiligen Herstellern veröffentlichten Enddaten für den Support verglichen werden. Bei Microsoft sind diese Daten öffentlich zugänglich und auf den Seiten zum Lebenszyklus zentral zusammengefasst. Microsoft weist dort darauf hin, dass ältere Produkte möglicherweise nicht den aktuellen Sicherheitsanforderungen entsprechen und dass das Unternehmen unter Umständen nicht in der Lage ist, Sicherheitsupdates für diese bereitzustellen. Für Produkte, die der „Fixed Lifecycle Policy“ unterliegen, heißt es auf derselben Seite, dass Sicherheitsupdates über das Ende des Supports hinaus im Rahmen des Programms „Extended Security Updates“ weiterhin verfügbar sind. Die „Fixed Lifecycle Policy“ gilt nicht für alle Produkte, und Microsoft weist darauf hin, dass die jeweiligen Lebenszyklus-Seiten der einzelnen Produkte die entsprechenden Termine enthalten.

Die Mobiliar fügt eine Analysepflicht hinzu: Im Falle einer kritischen Sicherheitslücke müssen die betroffenen Systeme zudem analysiert werden, um festzustellen, ob sie einer Schadsoftware ausgesetzt waren, es sind die erforderlichen Maßnahmen zu ergreifen, und der Versicherer ist unverzüglich zu informieren, sobald eine Gefährdung festgestellt wird.

Schulung, Dienstleister und regelmäßige Überprüfung

Die dritte organisatorische Massnahme von Helvetia sieht eine «regelmässige Sensibilisierung und Schulung der versicherten Personen zum Thema Cyberrisiken» vor. In der Broschüre wird im Anschluss darauf hingewiesen, dass Helvetia auf ihrer Website eine kostenlose Sicherheitsschulung für die Mitarbeiter ihrer Versicherten anbietet.

In Bezug auf Dritte werden auf Seite 5 drei Anforderungen gestellt. Wenn Dritte – beispielsweise Lieferanten – Zugriff auf Ihr IT-System und Ihre digitalen Daten haben oder wenn Sie bei der Verarbeitung digitaler Daten mit externen Dienstleistern zusammenarbeiten, müssen Sie zunächst sicherstellen, dass diese die Datenschutzgesetze und andere geltende Vorschriften einhalten. Zweitens «müssen Sie über eine schriftliche Zusicherung Ihrer Geschäftspartner verfügen». Und schliesslich müssen Sie bei der Nutzung von cloud für das Unternehmen kritischen Dienste muss sichergestellt werden, dass die externen Dienstleister, die diese bereitstellen, über einen Notfallplan und einen Plan zur Aufrechterhaltung des Geschäftsbetriebs verfügen. Helvetia definiert diese kritischen Dienste wie folgt: Dienste, cloud , die für die wichtigsten Geschäftsprozesse genutzt werden und deren Verfügbarkeit mehr als 30 % des Jahresumsatzes oder des jährlichen Betriebsertrags ausmacht.

Der letzte Punkt auf Seite 5 betrifft die Dauer: „Alle Sicherheitsmaßnahmen müssen regelmäßig überprüft werden. Die technischen und organisatorischen Maßnahmen müssen stets auf dem neuesten Stand sein.“

Der Vorfallreaktionsplan des Unternehmens selbst taucht in keiner dieser beiden Listen auf. Stattdessen sehen die Verträge Verpflichtungen vor, die am Tag des Schadensfalls einzuhalten sind. Die Mobiliar nennt mehrere davon: den Versicherer unverzüglich zu informieren und dessen Kostengarantie zu beantragen, ein spezialisiertes Unternehmen zu beauftragen oder dem vom Versicherer beauftragten Unternehmen Zugang zu gewähren sowie die betroffenen Geräte, Software und Daten zu sichern, um sie so lange wie nötig zur Verfügung zu stellen.

Was passiert, wenn eine Antwort falsch ist?

Zwei Sachverhalte werden an unterschiedlicher Stelle behandelt: Die Mobiliar widmet der unrichtigen Angabe bei Vertragsantrag einen eigenen Artikel, während in den beiden Verträgen die während der Vertragslaufzeit nicht eingehaltene Verpflichtung behandelt wird.

Eine unrichtige Angabe. In den Versicherungsbedingungen der Mobiliar wird der Begriff „Verschweigen“ verwendet: „Wir können den Versicherungsvertrag kündigen, wenn Sie eine Angabe verschwiegen haben. Dies ist der Fall, wenn Sie eine wesentliche Tatsache im Versicherungsantrag nicht oder unrichtig angegeben haben.“ “ Derselbe Artikel präzisiert die Auswirkungen auf bereits eingetretene Schadensfälle: Die Kündigung beendet die Leistungspflicht „soweit der wesentliche Sachverhalt, der Gegenstand der Unterlassung war, den Eintritt oder den Umfang des Schadens beeinflusst hat“, und bereits bezogene Leistungen sind zurückzuzahlen. Der Versicherer hat ab dem Zeitpunkt, zu dem er von der Verschweigung Kenntnis erlangt, vier Wochen Zeit, um den Vertrag zu kündigen.

Eine nicht eingehaltene Verpflichtung. Hier sehen beide Verträge eine anteilige Kürzung vor, keinen Verlust des Versicherungsschutzes. Die Mobiliar schreibt, dass im Falle eines schuldhaften Verstoßes die Leistung „in dem Maße gekürzt wird, wie Ihre Handlungen den Eintritt oder das Ausmaß des Schadens beeinflusst haben“, und dass bei Vorliegen eines Verschuldens keine Kürzung erfolgt. Helvetia schreibt ebenfalls, dass die Entschädigung «in dem Masse gekürzt wird, in dem der Eintritt oder das Ausmass des Schadens dadurch beeinflusst wurde», und dass der Versicherer nicht von seinen Verpflichtungen befreit ist, wenn die Verletzung nicht als schuldhaft angesehen werden kann oder wenn der Versicherungsnehmer nachweist, dass sie keinen Einfluss „weder auf das Eintreten des Schadensfalls noch auf den Umfang der vom Versicherungsunternehmen geschuldeten Leistungen“ hatte. Beide Teile dieser zweiten Bedingung müssen gemeinsam nachgewiesen werden.

Es gibt noch einen dritten Fall: Eine zutreffende Antwort kann ihre Gültigkeit verlieren. Beide Verträge verlangen, dass jede Änderung eines für die Risikobeurteilung wichtigen Sachverhalts unverzüglich gemeldet wird, und Helvetia präzisiert, dass alle Sachverhalte als wichtig gelten, zu denen sie im Antragsformular Auskünfte verlangt hat. Eine bei einem früheren Vertragsabschluss gegebene Antwort ist daher weiterhin verbindlich, und ein Wechsel des Hilfsmittels, des Dienstleisters oder der Organisation führt dazu, dass sie nicht mehr zutreffend ist.

Unsere Lektüre

Ein Fragebogen für eine Cyberversicherung wird mit einer Frist zugestellt, passt auf eine Seite und wirkt wie eine administrative Formalität. Die Liste befindet sich in dem Dokument, auf das sich das Formular bezieht, nicht auf dem Formular selbst. Wenn Sie vor dem Ausfüllen des Formulars eine Zeile für Zeile durchgehende Bestandsaufnahme vornehmen, haben Sie für jedes Feld einen schriftlichen Sachverhalt – und genau diese Reihenfolge behalten wir bei: zuerst das zitierte Dokument, dann die Bestandsaufnahme, zuletzt das Formular.

In der Sache stellen wir klar: Ein „Ja“ anzukreuzen, ohne dies zuvor zu überprüfen, bringt nichts. Beide Verträge bemessen die Leistungskürzung anhand des tatsächlichen Einflusses des Verstoßes auf den Schadensfall, und einer von ihnen sieht zusätzlich einen Kündigungsgrund wegen unrichtiger Angaben vor. Ein leichtfertig angekreuztes Kästchen verbessert also nicht den Versicherungsschutz; es schafft vielmehr einen Streitpunkt bei der Schadensregulierung.

Was die Antwort beeinflusst, ist das Ausmaß der Diskrepanz. Wenn die Bestandsaufnahme zeigt, dass nur eine oder zwei Zeilen aktualisiert werden müssen, handelt es sich um ein Projekt von einigen Wochen, das intern mit dem üblichen Dienstleister abgewickelt wird – im Rahmen eines Outsourcing-Vertrags, sofern ein solcher besteht. Zeigt die Bestandsaufnahme jedoch, dass keine der Maßnahmen umgesetzt ist, steht der Fragebogen nicht mehr im Mittelpunkt: Die Nachrüstung wird zu einem eigenständigen Projekt mit eigenem Budget und Zeitplan, und die Versicherung kommt erst danach ins Spiel.

Der Umfang einer Antwort liegt in der Verantwortung Ihres Versicherers oder Ihres Maklers – und ausschließlich in deren Verantwortung. Ein IT-Dienstleister kann den Sachverhalt ermitteln – welche Konten, welche Backups, welche Systeme ohne Patches – und genau dieser Sachverhalt ist das, was Ihnen für Ihre Antwort fehlt. Er kann Ihnen jedoch nicht sagen, wie der Versicherer Ihre Antwort bewerten wird, und eine Antwort, die auf einer improvisierten Vertragsauslegung basiert, birgt das gleiche Risiko einer unzutreffenden Antwort.

Was Sie heute überprüfen können

1. Suchen Sie das Dokument, auf das in Ihrem Fragebogen verwiesen wird, und lesen Sie es vollständig durch. Bei Helvetia ist dies die Broschüre zur Cybersicherheit, Seiten 4 und 5. Bei der Mobiliar ist es der Abschnitt über die Pflichten in den Allgemeinen Geschäftsbedingungen. Bei einem anderen Versicherer gibt die Frage im Formular an, wo Sie nachschlagen müssen.
2. Melden Sie sich von einem Gerät aus, das Sie sonst nie benutzen, bei Ihrem geschäftlichen E-Mail-Konto an und prüfen Sie, ob eine zweistufige Authentifizierung verlangt wird. Dieser Test dauert zwei Minuten und erfordert keine besonderen Berechtigungen.
3. Fordern Sie eine Liste der Konten an, die über eine Administratorrolle verfügen, sowie eine Liste der Konten, für die eine Ausnahme von der Multi-Faktor-Authentifizierung gilt. Eine Ausnahme ist nichts Ungewöhnliches; nicht zu wissen, welche es gibt, hingegen schon.
4. Fragen Sie nach dem Datum der letzten Qualitätsprüfung Ihrer Backups und nach dem schriftlichen Ergebnis. Das ist nicht dasselbe wie das Datum des letzten erfolgreichen Backups.
5. Fragen Sie nach, wo sich die Kopie Ihrer Daten befindet, die von einem Cyberangriff auf Ihre Systeme nicht betroffen wäre, und wer berechtigt ist, diese zu löschen.
6. Fordern Sie die Liste der Software und Geräte an, für die der Hersteller keine Sicherheitspatches mehr veröffentlicht.
7. Lesen Sie die im vorherigen Vertrag gemachten Angaben noch einmal durch. Sollte eine davon nicht mehr zutreffen, ist dies gemäß beiden Verträgen mitzuteilen.

Der zweite Punkt erledigt sich von selbst. Die übrigen sechs Punkte können in einer Nachricht an den IT-Verantwortlichen zusammengefasst werden, und die erwarteten Antworten sind Dokumente.

Die Quellen

• Helvetia Cyber-Versicherung – speziell für KMU, Antragsformular, Ausgabe vom 1. Juli 2026
• Helvetia, Broschüre „Cyber-Versicherung“: Risiken vorbeugen und Unternehmen wirksam schützen
• Helvetia, Broschüre zur Cyber-Versicherung
• Helvetia Cyber-Versicherung, Allgemeine Versicherungsbedingungen
• Die Mobiliar, Cyberversicherung: Kundeninformationen und Allgemeine Geschäftsbedingungen, Ausgabe 01.2024
• Über Administratorrollen in der Microsoft 365 admin center
• Aktivität „Authentifizierungsmethoden“
• Überblick über Microsoft 365 Backup
• Richtlinie zum festen Lebenszyklus