Cyberversicherung für kleine Handwerksbetriebe: sinnvoll?

Ich habe keinen Online-Shop. Was soll bei mir schon passieren?

Viele Angriffe zielen nicht auf einen bestimmten Betrieb. Phishing-Mails gehen breit gestreut raus, und wer klickt, ist drin. Ein Handwerksbetrieb mit Büro hat genau das, was sie brauchen: ein E-Mail-Konto, über das Rechnungen laufen, einen PC mit Angeboten und Kundendaten und oft nur eine Person, die sich nebenbei um die Technik kümmert.

Diese vier Fälle kommen im Handwerk typischerweise vor:

• Phishing-Mail: Eine Mail sieht aus wie von deiner Bank, deinem Großhändler oder dem Paketdienst. Wer den Link öffnet und das Passwort eingibt, gibt den Zugang ab.
• Verschlüsselter Büro-PC: Ein Anhang startet ein Schadprogramm. Am nächsten Morgen sind Angebote, Rechnungen und Aufmaße verschlüsselt, auf dem Bildschirm steht eine Zahlungsforderung.
• Gefälschte Rechnung mit geänderter IBAN: Du bekommst eine Rechnung, die aussieht wie die deines Lieferanten. Nur die Bankverbindung ist eine andere. Oder dein Kunde bekommt so eine Mail scheinbar von dir.
• Gehacktes E-Mail-Konto: Jemand liest wochenlang mit, verschickt in deinem Namen Mails an Kunden oder greift über dein Konto auf andere Zugänge zu.

Keiner dieser Fälle braucht einen Online-Shop. Es reicht, dass dein Betrieb mit Mails, Rechnungen und Kundendaten arbeitet.

Was zahlt eine Cyberversicherung, wenn es passiert?

Eine Cyberversicherung besteht meist aus zwei Teilen: dem Schutz für deinen eigenen Schaden und einer Haftpflicht für Ansprüche anderer. Was genau drin ist, hängt stark vom Tarif ab. Diese Bausteine findest du in vielen Tarifen:

• Krisenhilfe und IT-Forensik: Eine Notfallnummer, über die IT-Fachleute den Angriff eingrenzen, die Ursache suchen und sagen, was du jetzt tun musst. Gerade ohne eigenen IT-Mann ist das oft der Teil, der am schnellsten hilft.
• Wiederherstellung: Die Kosten, um Daten und Programme wiederherzustellen und die Rechner wieder sauber aufzusetzen.
• Betriebsunterbrechung: Je nach Tarif der Ertragsausfall, wenn du wegen des Angriffs nicht arbeiten, nicht abrechnen oder keine Angebote schreiben kannst. Je nach Tarif gilt eine Wartezeit, bevor diese Leistung beginnt. Die genaue Dauer steht im Versicherungsschein oder in den Bedingungen.
• Haftpflicht für Datenschutzverstöße: Wenn Kundendaten abfließen und Betroffene Schadenersatz fordern, prüft der Versicherer die Ansprüche, zahlt berechtigte und wehrt unberechtigte ab.
• Kosten rund um die Meldung: In vielen Tarifen auch Beratung zur Meldung an die Datenschutzbehörde und zur Information der Kunden.

Wichtig: Diese Leistungen gibt es nur, wenn sie im Vertrag stehen. Für einzelne Bausteine gelten oft eigene Höchstbeträge, die im Versicherungsschein oder in den Bedingungen stehen.

Beispiel: Ein Dachdeckerbetrieb mit drei Leuten, das Büro macht eine Teilzeitkraft. Montagmorgen startet der Büro-PC nicht mehr richtig, alle Dateien haben eine neue Endung, auf dem Bildschirm steht eine Lösegeldforderung. Angebote für zwei Ausschreibungen sind fällig, die Rechnungen vom Vormonat noch nicht raus. Mit Cyberversicherung ruft sie die Notfallnummer an. Ein IT-Dienstleister trennt den PC vom Netz, prüft, ob das Mailkonto mitbetroffen ist, und spielt die Datensicherung zurück. Je nach Tarif übernimmt der Versicherer diese Kosten und den Ausfall der Tage, an denen das Büro nicht arbeiten konnte. Ohne Datensicherung wäre die Lage deutlich schwieriger, mit und ohne Versicherung.

Was zahlt die Cyberversicherung nicht?

Das ist eine allgemeine Übersicht, keine Rechtsberatung. Im Einzelfall hilft ein Anwalt.

Typische Grenzen:

• Fehlende Mindestmaßnahmen: Viele Tarife verlangen, dass du Updates einspielst, regelmäßig eine Datensicherung machst, einen Virenschutz nutzt und Passwörter nicht mehrfach verwendest. Solche Vorgaben heißen Obliegenheiten. Verletzt du sie vorsätzlich, kann der Versicherer nach § 28 Abs. 2 VVG leistungsfrei sein, wenn der Vertrag das vorsieht. Bei grober Fahrlässigkeit darf er kürzen. War der Verstoß für den Schaden nicht ursächlich, muss er in der Regel trotzdem zahlen (§ 28 Abs. 3 VVG). Welche Maßnahmen gefordert sind, steht in den Bedingungen und oft schon im Antrag.
• Selbst überwiesenes Geld: Hast du eine gefälschte Rechnung bezahlt, ist das Geld meist nicht automatisch über die Cyberversicherung gedeckt. Manche Tarife bieten dafür einen eigenen Baustein an, sonst braucht es eine Vertrauensschadenversicherung.
• Lösegeld: Ob ein Lösegeld erstattet wird, regelt jeder Tarif anders. Manche schließen es ganz aus. Verlass dich nicht darauf.
• Defekte ohne Angriff: Geht die Festplatte einfach kaputt, ist das kein Cyberschaden. Dafür ist eher eine Elektronikversicherung da.
• Strafen und Bußgelder: Vertragsstrafen und Bußgelder sind meist nicht oder nur eingeschränkt versichert.

Was muss ich tun, wenn Kundendaten betroffen sind?

Speicherst du Namen, Adressen, Telefonnummern oder Bankdaten deiner Kunden, bist du für diese Daten verantwortlich. Geraten sie bei einem Angriff in falsche Hände oder sind sie verschlüsselt und nicht mehr zugänglich, kann eine Meldepflicht entstehen.

Nach Art. 33 Abs. 1 DSGVO meldest du eine Verletzung des Schutzes personenbezogener Daten unverzüglich und möglichst binnen 72 Stunden, nachdem sie dir bekannt wurde, der zuständigen Aufsichtsbehörde. Das gilt nicht, wenn die Verletzung voraussichtlich nicht zu einem Risiko für die Betroffenen führt. Außerdem musst du jede Verletzung mit Fakten, Auswirkungen und deinen Gegenmaßnahmen dokumentieren (Art. 33 Abs. 5 DSGVO).

Besteht voraussichtlich ein hohes Risiko für die Betroffenen, musst du nach Art. 34 Abs. 1 DSGVO auch die betroffenen Kunden unverzüglich benachrichtigen. Es gibt Ausnahmen, etwa wenn die Daten verschlüsselt waren (Art. 34 Abs. 3 DSGVO).

Die Frist läuft also, während du noch mit dem Angriff beschäftigt bist. Genau hier hilft die Krisenhilfe vieler Tarife: Sie sagt dir, ob und wie du melden musst.

Worauf du achten solltest

• Mach eine Datensicherung, die nicht dauerhaft mit dem Büro-PC verbunden ist, und prüfe ab und zu, ob sie sich wirklich zurückspielen lässt.
• Spiel Updates für Betriebssystem, Handwerkersoftware und Router zeitnah ein.
• Schalte für dein E-Mail-Konto eine Zwei-Faktor-Anmeldung ein, wenn dein Anbieter das kann.
• Ändert ein Lieferant per Mail seine Bankverbindung, ruf unter der Nummer an, die du schon kennst, nicht unter der aus der Mail.
• Lies vor dem Abschluss, welche Mindestmaßnahmen der Tarif verlangt, und frag dich ehrlich, ob du sie im Alltag einhältst.
• Schau, ob Betriebsunterbrechung, Lösegeld und Überweisungsbetrug drin sind und welche Höchstbeträge gelten.
• Speicher die Notfallnummer des Versicherers dort, wo du sie findest, wenn der PC nicht mehr geht: im Handy und auf Papier.

Läuft dein Vertrag über meine Agentur, kannst du den Schaden auch mir melden. Bei anderen Verträgen meldest du direkt dem Versicherer. Hast du schon eine Cyberversicherung und weißt nicht, was drin ist: Ich prüfe das gern für deinen Vertrag.

Häufige Fragen

Was passiert bei Erpressung?

In vielen Tarifen schickt der Versicherer nach deiner Meldung IT-Fachleute, die den Angriff eingrenzen und die Daten aus der Sicherung zurückholen. Ob ein Lösegeld erstattet wird, regelt jeder Tarif anders, manche schließen es ganz aus. Zahle nichts auf eigene Faust, sondern melde dich zuerst bei der Notfallnummer deines Versicherers und zeige den Angriff bei der Polizei an.

Brauche ich das ohne Online-Shop?

Ein Online-Shop ist nicht der Maßstab. Entscheidend ist, ob dein Betrieb stillsteht, wenn Büro-PC, E-Mail-Konto oder Handwerkersoftware ausfallen, und ob du Kundendaten speicherst. Hat dein Betrieb ein Büro, trifft das meist zu.

Was zahlt sie nicht?

Meist nicht gedeckt sind Schäden, wenn vereinbarte Mindestmaßnahmen wie Updates oder Datensicherung fehlen, Geld, das du selbst auf eine gefälschte Rechnung überwiesen hast (je nach Tarif nur über einen eigenen Baustein), Hardware-Defekte ohne Angriff und Vertragsstrafen. Was genau ausgeschlossen ist, steht in den Bedingungen.

Was muss ich in den ersten Stunden tun?

Übliche Empfehlung: betroffene Geräte vom Netz trennen, aber nicht ausschalten oder neu aufsetzen, die Notfallnummer des Versicherers anrufen, Anzeige bei der Polizei erstatten und prüfen, ob Kundendaten betroffen sind. Dann gilt für die Meldung an die Datenschutzbehörde nach Art. 33 DSGVO: unverzüglich und möglichst binnen 72 Stunden.

Passt eine Cyberversicherung zu deinem Betrieb?

Ob du sie brauchst, hängt davon ab, wie sehr dein Betrieb am Büro hängt und welche Verträge du schon hast. Beim Versicherungs-Aufmaß schaue ich mir deinen ganzen Betrieb an und sage dir, wo Lücken sind und wo du doppelt zahlst.

Aufmaß anfordern