Cyber-Versicherung 2026:

Wenn Organisationsleitungen Versicherungsschutz annehmen, aber Obliegenheiten unterschätzen

Seit meiner kritischen Analyse der Allianz-Versicherungsbedingungen hat sich die Richtung im Cyber-Versicherungsmarkt mit erschreckender Konsequenz fortgesetzt: Was damals als „Lösung zur Konfliktvermeidung“ in einem Frankfurter Forum diskutiert wurde – nämlich die Verlagerung des Risikos vom Versicherer auf den Versicherungsnehmer durch klar formulierte vertragliche Obliegenheiten nach § 28 VVG – ist heute Marktstandard. Das Problem: Diese Entwicklung hat eine strukturelle Schutzlücke erzeugt, die hunderttausende Unternehmen betrifft, die weder von NIS2 reguliert werden noch die faktisch geforderten Sicherheitsstandards dauerhaft erfüllen können.

Was noch als Problemdiagnose galt, ist heute Realität

Markus Fleck von Allianz Commercial präsentierte im Oktober 2023 auf dem 13. Hamburger Financial Lines Forum eine klare Perspektive: Das Instrument der vorvertraglichen Anzeigepflicht nach § 19 VVG sei zu schwach, um das dynamische Cyberrisiko dauerhaft zu beherrschen. Die Lösung? „Klar formulierte vertragliche Obliegenheiten zur Gewährleistung der IT-Sicherheit, für die § 28 VVG gilt.“ Allianz_Cyber.pdf

Diese Empfehlung ist inzwischen vollständig in den Markt übergegangen. Versicherer verlangen 2026 standardisiert als vertragliche Dauerobliegenheiten während der gesamten Laufzeit:

Multi-Faktor-Authentifizierung (MFA) – insbesondere für Remote-Zugänge und privilegierte Konten
Endpoint Detection & Response (EDR) – klassische Antivirensoftware gilt nicht mehr als ausreichend
Dokumentierte Backup-Tests – die bloße Existenz von Backups genügt nicht mehr
Incident Response Plan – als schriftlich fixiertes Dokument, nicht als abstrakte Absicht
Patch-Management – nachweisbar, vollständig, systemübergreifend hagel-it+1

Im Schadenfall wird nicht mehr geprüft, ob der Versicherungsnehmer beim Vertragsschluss korrekte Angaben gemacht hat. Es wird geprüft, ob er zum Zeitpunkt des Angriffs alle Obliegenheiten lückenlos erfüllt hat. Wer auch nur eine davon verletzt hat, riskiert anteilige Kürzung bis zur vollständigen Leistungsfreiheit – je nach Verschuldensgrad nach § 28 VVG.

Der rechtliche Hebel: Warum § 28 VVG für Versicherer attraktiver ist als § 19 VVG

Das Versicherungsvertragsgesetz unterscheidet zwischen der vorvertraglichen Anzeigepflicht (§ 19 VVG) und den nachvertraglichen Obliegenheiten (§ 28 VVG). Diese Unterscheidung ist der juristische Angelpunkt der gesamten Problematik.

§ 19 VVG: Die Einmal-Prüfung mit Gegenbeweis

Bei der vorvertraglichen Anzeigepflicht prüft der Versicherer beim Vertragsschluss, ob alle Risikofragen korrekt beantwortet wurden. Der Versicherungsnehmer hat dabei eine wichtige Schutzposition: Den Kausalitätsgegenbeweis. Wer nachweisen kann, dass seine fehlerhafte Angabe für den eingetretenen Schaden nicht ursächlich war, behält seinen Anspruch. Und das LG Tübingen hat in seinem wegweisenden Urteil vom 26.05.2023 (Az. 4 O 193/21) gezeigt, wie wirkungsvoll dieser Schutz sein kann: Das Gericht gab der Klage trotz veralteter Server teilweise statt, weil der Angriff auch vollständig gepatchte Systeme getroffen hatte. Allianz_Cyber.pdf

§ 28 VVG: Die Dauerpflicht als Dauerrisiko

Obliegenheiten nach § 28 VVG gelten für die gesamte Vertragslaufzeit. Die Verschiebung von der einmaligen Risikoprüfung zur permanenten Erfüllungspflicht bedeutet: Jeder Tag, an dem eine Obliegenheit nicht erfüllt ist, ist ein potenzieller Ablehnungsgrund. Zwar besteht der Kausalitätsgegenbeweis auch hier – aber er ist bei technischen Obliegenheiten deutlich schwerer zu führen. Wer im Schadenfall beweisen muss, dass sein fehlender EDR-Schutz für den erfolgreichen Ransomware-Angriff nicht ursächlich war, steht faktisch vor einem unlösbaren Problem.

Die Verschiebung von § 19 zu § 28 VVG ist damit nicht nur eine technische Vertragsgestaltung – sie ist eine fundamentale Umkehrung der Risikobalance zugunsten der Versicherer.

Das NIS2-Paradoxon: Gleiche Anforderungen, unterschiedliche Pflichten

Hier liegt der eigentliche Skandal des aktuellen Marktes.

Wer NIS2 betrifft

Die NIS2-Richtlinie, seit Oktober 2024 in Deutschland geltendes Recht, gilt für Unternehmen mit mindestens 50 Mitarbeitern oder mindestens 10 Millionen Euro Jahresumsatz in 18 definierten Sektoren (Energie, Wasser, Gesundheit, digitale Infrastruktur u.a.). Diese Unternehmen unterliegen verbindlichen Sicherheitsanforderungen – mit Geschäftsführerhaftung und Bußgeldern bis zu 10 Millionen Euro oder 2% des globalen Jahresumsatzes.

Der Vergleich der Anforderungen

Anforderung	NIS2-Pflicht	Cyber-Versicherungsobliegenheit
MFA für kritische Systeme	✅ Pflicht	✅ Obliegenheit hagel-it
Patch-Management	✅ Pflicht	✅ Obliegenheit fraghugo
Backup-Tests	✅ Pflicht	✅ Obliegenheit ing-ism
Incident Response Plan	✅ Pflicht	✅ Obliegenheit securitytoday
EDR/Endpoint-Schutz	✅ Pflicht (indirekt)	✅ Obliegenheit securitytoday
Mitarbeiterschulungen	✅ Pflicht	✅ Obliegenheit cyberdirekt
Meldepflicht bei Vorfällen	✅ 24h/72h-Pflicht	✅ Vertragliche Obliegenheit

Die Anforderungen sind nahezu deckungsgleich. Doch hier endet die Parallelität.

Wer nicht unter NIS2 fällt – und trotzdem betroffen ist

Ein Handwerksbetrieb mit 30 Mitarbeitern, ein Steuerberatungsbüro, eine mittelgroße Werbeagentur, ein WooCommerce-Shop mit 5 Millionen Euro Umsatz – all diese Unternehmen fallen nicht unter NIS2. Kein regulatorischer Zwang, keine Behördenaufsicht, keine Bußgeldandrohung. Das IW Köln stellte 2025 explizit fest, dass das Cybersicherheitsniveau zwischen NIS2-betroffenen und nicht-betroffenen KMU bislang kaum variiert. iwkoeln

Das Cyberrisiko aber ist identisch. Ein Ransomware-Angriff prüft keine Firmengröße. Ein Phishing-Angriff kennt keine Branchengrenzen.

Das Ergebnis dieser Asymmetrie:

NIS2-pflichtiges Unternehmen: Erhält staatlichen Regulierungsdruck, investiert in Sicherheit, erfüllt die Versicherungsobliegenheiten als Nebenprodukt, bekommt im Schadenfall Leistung.
Nicht-NIS2-Unternehmen: Trägt dasselbe Risiko, wird von Versicherern mit denselben Anforderungen konfrontiert, hat aber keinen externen Anreiz zur Investition – und zahlt im Schadenfall trotzdem drauf.

Die 40-Prozent-Klausel: Wenn die Versicherung nicht versichert

Die Ablehnungsquote bei Cyber-Schadensmeldungen ist in den letzten Jahren dramatisch gestiegen. Während Versicherer 2022 noch primär über Prämienanpassungen und Kapazitätsreduktionen saniert haben, setzen sie 2026 zunehmend auf einen anderen Hebel: die nachträgliche Prüfung der Obliegenheitserfüllung. Laut aktuellen Branchendaten werden 2026 bis zu 40% aller Cyber-Claims abgelehnt – in der Mehrzahl der Fälle mit der Begründung, eine oder mehrere Obliegenheiten seien nicht erfüllt gewesen. securitytoday

Das hat gravierende praktische Konsequenzen:

Die Versicherung wird zur Kulisse: Unternehmen zahlen Jahresprämien, fühlen sich geschützt und verhalten sich entsprechend. Das trügerische Sicherheitsgefühl senkt die eigene Risikowahrnehmung.
Die Dokumentationslast ist prohibitiv: Gerade kleine Unternehmen können die Erfüllung von Obliegenheiten kaum lückenlos dokumentieren. Ohne Nachweis gilt die Obliegenheit im Zweifel als verletzt.
Die Sprache der AVB ist eine Falle: Formulierungen wie „unverzüglich“, „angemessene Schutzmaßnahmen“ oder „nach dem Stand der Technik“ sind auslegungsbedürftig. Unklarheiten gehen nach h.M. zu Lasten des Versicherers – aber nur, wenn der Versicherungsnehmer sie vor Gericht durchfechten kann. stc-makler

NIS2 und Cyberversicherung: Ein wachsender Konflikt

Die NIS2-Richtlinie hat noch eine weitere, weniger diskutierte Dimension: Sie schafft für NIS2-pflichtige Unternehmen eine neue Gefahr der Doppelbestrafung. Ein Unternehmen, das einen Cybervorfall erleidet und dabei eine NIS2-Pflichtverletzung vorlag (z.B. verspätete Meldung), sieht sich gleichzeitig mit:

Behördlichen Bußgeldern nach dem NIS2UmsuCG
Leistungsfreiheit des Versicherers wegen derselben Pflichtverletzung

Versicherungsbote analysierte im März 2026: „Bestehende Cyberversicherungsverträge können durch NIS2 plötzlich kritisch werden“ – nämlich dann, wenn NIS2-Verstöße gleichzeitig als Obliegenheitsverletzungen nach § 28 VVG gewertet werden. versicherungsbote

Der Markt reagiert – aber nicht auf das eigentliche Problem

Der Cyber-Versicherungsmarkt wächst weiter. Das selbst abgeschlossene Geschäft in Deutschland erreichte 2024 rund 807 Millionen Euro, mit einem Wachstum von etwa 13%. bafin Doch die BaFin warnte in ihrer April-2026-Analyse: Das Wachstum verlangsamt sich, und strukturelle Kumulrisiken – insbesondere durch IT-Supply-Chain-Angriffe – werden von weniger als der Hälfte der Versicherer adäquat in der Prämie berücksichtigt. bafin

Der Markt hat die Profitabilität zurückgewonnen. Die Schadenquote sank von dem katastrophalen Wert von 123,7% im Jahr 2021 auf 77,7% im Jahr 2022. Das wurde primär durch drei Instrumente erreicht: höhere Prämien, engere Obliegenheitskataloge und schärfere Schadenprüfung. Das zugrundeliegende Risiko wurde nicht reduziert – es wurde umverteilt.

Was das für Unternehmen konkret bedeutet

Wer eine Cyberversicherung abschließt oder verlängert, muss heute drei Fragen beantworten:

Frage 1: Was habe ich unterschrieben?
Nicht die Prämie, nicht die Deckungssumme ist entscheidend – sondern der Obliegenheitenkatalog in den AVB. Jede einzelne Klausel ist potenzielle Ablehnungsgrundlage. Besondere Vorsicht gilt bei unbestimmten Begriffen wie „Stand der Technik“ – hier hat das LG Tübingen gezeigt, dass Gerichte solche Klauseln eng auslegen, aber der Weg dorthin ist kostspielig.

Frage 2: Kann ich das dauerhaft erfüllen?
Eine MFA-Pflicht ist nicht dadurch erfüllt, dass MFA für den Geschäftsführer aktiv ist. Sie muss für alle definierten Systeme, dauerhaft und nachweisbar aktiv sein. Jede Ausnahme – ein Legacy-System, ein mobiles Gerät, ein Dienstleister-Zugang – ist ein Risiko. ing-ism+1

Frage 3: Kann ich es beweisen?
Im Schadenfall trägt der Versicherungsnehmer die Beweislast für die Erfüllung der Obliegenheiten. Ohne Logs, ohne Dokumentation, ohne regelmäßige Audit-Nachweise ist der Gegenbeweis nahezu unmöglich zu führen. stc-makler

Die systemische Lösung, die der Markt nicht liefert

Der Markt hat ein Anreizproblem. Versicherer profitieren von Prämieneinnahmen und haben ein wirtschaftliches Interesse an einer Ablehnungsrate, die Schadenquoten in der Profitzone hält. Regulierungsbehörden wie BaFin und BSI fokussieren auf NIS2-pflichtige Unternehmen. Nicht-NIS2-KMU fallen strukturell durch alle Raster.

Was fehlt, ist ein abgestuftes Obliegenheitssystem, das Unternehmensgröße und Risikoprofil berücksichtigt – ähnlich wie NIS2 zwischen „wesentlichen“ und „wichtigen“ Einrichtungen unterscheidet. Ein Handwerksbetrieb mit Cyberversicherung sollte nicht denselben Anforderungskatalog erfüllen müssen wie ein Betreiber kritischer Infrastruktur.

Solange dieser Grundsatz im Markt nicht verankert ist, bleibt die Cyber-Versicherung für einen erheblichen Teil des deutschen Mittelstands das, was sie nicht sein darf: eine Prämie mit Ablehnungsvorbehalt.

Dieser Beitrag basiert auf der Auswertung der Allianz-Präsentation vom 13. Oktober 2023 (13. Hamburger Financial Lines Forum), der BaFin-Analyse vom April 2026, aktuellen Marktberichten sowie der rechtswissenschaftlichen Auseinandersetzung mit §§ 19, 28 VVG und der NIS2-Richtlinie.