Was die Versicherer zu Zugängen und Sicherungen fragen
Welche Fragen im Antrag stehen, legt jeder Versicherer selbst fest. Öffentlich lesbar sind zwei Muster des Gesamtverbands der Deutschen Versicherungswirtschaft (GDV): die Musterbedingungen AVB Cyber, Stand Februar 2024, und ein Muster-Fragebogen für kleine und mittlere Unternehmen, Stand Dezember 2019. Beide sind unverbindlich, abweichende Vereinbarungen sind ausdrücklich möglich. Zu Zugängen fragt das Muster: eigene Kennung für jeden Nutzer, technisch erzwungene Mindestanforderungen an Passwörter, Administratorrechte nur für Administratoren, zusätzlicher Schutz für Server und Mobilgeräte, etwa ein zweiter Faktor. Zur Sicherung fragt es nach einer mindestens wöchentlichen Datensicherung, die getrennt aufbewahrt und gegen Veränderung geschützt wird und deren Wiederherstellung Sie regelmäßig testen.
In den Musterbedingungen sind genau diese Punkte als Obliegenheiten formuliert, also als Pflichten Ihrer Firma vor einem Schaden (Klausel A1-16). Ihre Antworten im Antrag fallen unter die vorvertragliche Anzeigepflicht (B3-1). Es gelten immer Ihr eigener Antrag und die Bedingungen Ihres Vertrags.
Hinweis: Dieser Text ist keine Rechts- oder Versicherungsberatung und keine Empfehlung für oder gegen eine Versicherung. Ob Ihre Maßnahmen zu Ihrem Vertrag passen, klären Sie mit Ihrem Versicherer oder Makler.
Die zehn Grundfragen des Muster-Fragebogens
Jede Firma beantwortet im Muster zuerst die zehn Fragen der Kategorie A zu den Obliegenheiten.
| Nr. | Thema | Gemeint ist |
|---|---|---|
| A1 | Individuelle Zugänge | Jeder Nutzer und jeder Administrator hat eine eigene Kennung mit Passwort |
| A2 | Passwortqualität | Die Systeme lassen zu schwache Passwörter gar nicht erst zu |
| A3 | Administratorrechte | Admin-Zugänge nur für Administratoren und nur für Verwaltungsaufgaben |
| A4 | Server und Mobilgeräte | Zusätzlicher Schutz, zum Beispiel zweiter Faktor oder Verschlüsselung |
| A5 bis A8 | Datensicherung | Mindestens wöchentlich, getrennt aufbewahrt, gegen Veränderung geschützt, Wiederherstellung getestet |
| A9 | Sicherheitsupdates | Automatisch oder zeitnah eingespielt |
| A10 | Schadsoftware | Schutz, der sich selbst aktualisiert |
Als Antwort sieht das Muster in der Regel nur „Ja, trifft zu“ oder „Nein, nicht zutreffend“ vor. Gibt es bei Ihnen eine Ausnahme, schreiben Sie sie dazu oder fragen Sie den Versicherer, wie er sie verstanden haben will.
Eigene Kennung, Passwortregeln, getrennte Admin-Konten
A1: der gemeinsame Login
Der Fragebogen begründet die Frage nach individuellen Zugängen mit den sogenannten Funktionsaccounts: Teilen sich mehrere Personen an kritischen Stellen einen Login, lässt sich die Verbreitung der Zugangsdaten nicht kontrollieren und nicht stoppen. Für Ihre eigenen IT-Systeme heißt das: Rechner, Mailpostfach, Warenwirtschaft und Server bekommen ein Konto je Person. Wo ein Portal von außen nur ein einziges Firmenkonto kennt, bleibt ein geteilter Zugang. Er gehört dann in eine Sammlung, die nur die Leute sehen, die ihn brauchen, so wie im Ratgeber Passwörter im Team teilen beschrieben. Wie Ihr Versicherer solche Zugänge bewertet, fragen Sie ihn vor der Antwort.
A2: „technisch sichergestellt“
Gefragt ist, ob Ihre Systeme zu schwache Passwörter abweisen, der Fragebogen spricht von „technisch erzwungen“. Ein Passwort-Manager mit Generator erzeugt lange, zufällige Passwörter, setzt aber an der Windows-Anmeldung oder am Postfach keine Regel durch. Dafür braucht es die Einstellung in der Verwaltung der Benutzerkonten. Welche Mindestlänge sinnvoll ist, steht in der Passwortrichtlinie nach BSI.
A3: Administrator nur zum Verwalten
Der Muster-Fragebogen nennt es bewährte Praxis, die tägliche Arbeit mit weniger berechtigten Konten zu erledigen. Wer als Inhaber am eigenen Rechner dauerhaft mit Administratorrechten arbeitet, kann A3 nicht mit „trifft zu“ beantworten. Abhilfe ist ein zweites Konto nur für Installationen und Einstellungen. Für Microsoft 365 erklärt die Seite globaler Administrator und Notfallkonto, wie viele Admins eine kleine Firma braucht, für Windows-Rechner die Seite zum lokalen Admin-Kennwort.
Zusätzlicher Schutz: wo der zweite Faktor gemeint ist
Klausel A1-16.1 b der Musterbedingungen verlangt zusätzlichen Schutz gegen unberechtigten Zugriff bei erhöhtem Risiko. Erhöht ist es nach dem Muster bei zwei Gerätearten:
- Server, die über das Internet erreichbar sind. Der Fragebogen meint damit Geräte, die einen Dienst nach außen anbieten, nicht Arbeitsplatzrechner, die nur ins Internet gehen. Als Beispiele nennen die Muster Firewall, Zwei-Faktor-Authentifizierung und zertifikatsbasierte Anmeldung.
- Mobilgeräte wie Laptops und Smartphones. Hier nennt der Fragebogen die Vollverschlüsselung der Datenträger obligatorisch, dazu je nach Einsatz Ortung oder Fernlöschung und einen zweiten Faktor für kritische Zugänge.
Der Fragebogen schlägt vor, die Antwort als kleine Tabelle vorzubereiten: Geräte in den Zeilen, Schutzmaßnahmen in den Spalten. Kategorie B fragt zusätzlich, ob der Zugriff aus öffentlichen oder drahtlosen Netzen verschlüsselt läuft. Die Zusatzfragen für vernetzte Produktionsanlagen verlangen Fernzugriff nur mit Zwei-Faktor-Authentifizierung. Wie Sie den zweiten Faktor Konto für Konto einführen, erklärt der Ratgeber Zwei-Faktor im Unternehmen einführen.
Datensicherung: wöchentlich, getrennt, geschützt, geprüft
Klausel A1-16.1 e verlangt einen mindestens wöchentlichen Sicherungsprozess. Dabei darf kein System und keine Berechtigungsstufe Originale und Kopien zugleich verändern oder löschen können. Als Beispiele nennen die Musterbedingungen eine Sicherungsplatte, die regelmäßig vom Rechner getrennt wird, und Sicherungen über das Netz, die der gesicherte Rechner nicht löschen darf. Den Test der Wiederherstellung verlangt das Muster nach einem festen Turnus.
Eine Sicherung auf ein Netzlaufwerk, auf dem jeder Rechner im Büro schreiben und löschen darf, passt nicht zu dieser Klausel. Verschlüsselt eine Schadsoftware die Rechner, erreicht sie über dieselben Rechte auch die Sicherung. Halten Sie außerdem fest, wann zuletzt jemand eine Datei aus der Sicherung zurückgeholt hat, mit Datum und Namen.
Mehr Fragen bei mehr Umsatz oder heiklen Daten
Wie viele Fragen eine Firma beantwortet, hängt im Muster vor allem am Jahresumsatz. Bis 2 Mio. € bleibt es bei Kategorie A. Bis 5 Mio. € kommt Kategorie B dazu, bis 10 Mio. € Kategorie C. Unabhängig vom Umsatz steigt die Kategorie bei einem Onlineshop auf eigener Infrastruktur, bei sensiblen Daten Dritter, bei Berufsgeheimnissen, bei Betriebsgeheimnissen von Kunden und bei vernetzten Produktionsanlagen. Ein Onlinehändler mit eigenem Shop-Server oder eine Kanzlei mit Berufsgeheimnissen landet also schon mit kleinem Umsatz in einer höheren Stufe, siehe auch die Seiten für Onlinehändler und Anwälte.
Kategorie B fragt unter anderem, ob Zugänge nur bei Bedarf vergeben werden und ob jemand die Admin-Zugänge in festem Turnus auf ihre Notwendigkeit prüft. Kategorie C fragt nach einem schriftlichen IT-Notfall- und Wiederanlaufkonzept mit benannten Verantwortlichen. Was darin zu Zugängen stehen sollte, beschreibt der IT-Notfallplan für kleine Unternehmen.
Ein erfundenes Beispiel aus einem Ingenieurbüro
Ein Büro für Tragwerksplanung mit neun Leuten und 1,4 Mio. € Umsatz bekommt Konstruktionsdaten seiner Auftraggeber. Wegen dieser Betriebsgeheimnisse Dritter beantwortet es nach dem Muster auch die Fragen der Kategorie B. Beim Durchgehen zeigt sich, dass der Inhaber seit Jahren mit dem Administratorkonto arbeitet und die Sicherung auf ein Netzlaufwerk läuft, das jeder Rechner beschreiben darf. Bevor er den Antrag unterschreibt, legt sein IT-Betreuer ihm ein normales Arbeitskonto an und richtet eine zweite Sicherung auf eine Platte ein, die wöchentlich im Wechsel aus dem Büro geht. Mehr zu Zugängen in solchen Büros steht auf der Seite für Ingenieurbüros.
Antworten, die stimmen, und Änderungen danach
Nach Klausel B3-1 der Musterbedingungen muss Ihre Firma alle ihr bekannten Gefahrumstände angeben, nach denen der Versicherer in Textform gefragt hat. War eine Angabe vorsätzlich falsch, kann er zurücktreten, und auch für die Vergangenheit besteht dann kein Schutz. Bei grober Fahrlässigkeit gilt das Rücktrittsrecht nur, wenn er den Vertrag bei richtiger Angabe gar nicht geschlossen hätte, bei einfacher Fahrlässigkeit oder ohne Verschulden bleibt ihm unter derselben Bedingung die Kündigung mit einem Monat Frist.
Hätte er den Vertrag bei Kenntnis zu anderen Bedingungen geschlossen, kann er bei nicht vorsätzlich falschen Angaben verlangen, dass diese gelten. Alle diese Rechte hat er laut Muster nur, wenn er vorher in einer gesonderten Mitteilung in Textform auf die Folgen hingewiesen hat.
Auch Änderungen nach dem Abschluss zählen. Die Musterbedingungen nennen es Gefahrerhöhung, wenn sich ein Umstand ändert, nach dem vor Vertragsschluss gefragt wurde. Ohne Zustimmung des Versicherers dürfen Sie sie nicht vornehmen, und eine unbemerkte Gefahrerhöhung zeigen Sie unverzüglich an, sobald Sie sie erkennen. Das kann zum Beispiel der zweite Faktor am Fernzugang sein, den jemand für einen Dienstleister „kurz“ abschaltet und dann vergisst.
Für die Obliegenheiten vor einem Schaden regelt Klausel B3-4 die Folgen: Bei vorsätzlicher Verletzung ist der Versicherer frei, bei grob fahrlässiger darf er die Leistung nach der Schwere des Verschuldens kürzen. Er bleibt zur Leistung verpflichtet, wenn Ihre Firma nachweist, dass die Verletzung nicht grob fahrlässig oder für den Schaden nicht ursächlich war, außer bei Arglist.
- Den Fragebogen gemeinsam mit der Person ausfüllen, die Ihre IT betreut.
- Jede Antwort, bei der Sie zögern, mit einem Satz erläutern statt sie zu raten.
- Antrag, Antworten und eine kurze Liste der Einstellungen mit Datum aufheben.
- Einmal im Jahr prüfen, ob die Antworten noch stimmen.
Was ein Passwort-Tresor dazu beiträgt
Ein gemeinsamer Tresor ersetzt keine Obliegenheit und sichert keine Leistung des Versicherers. Er hilft bei einzelnen Punkten: Jeder Mitarbeiter hat dort ein eigenes Konto mit eigenem Master-Passwort und eigenem zweiten Faktor, der Generator liefert lange Passwörter, und Admin-Zugänge liegen in einer Sammlung für Geschäftsführung und IT, an die außer ihnen nur Eigentümer und Administratoren der Organisation kommen. Ob NIS2 Ihre Firma oder Ihre Kunden betrifft, ist eine andere Frage, sie steht unter NIS2 und Passwörter.
Der Tresor selbst ist so ein Server, der über das Internet erreichbar ist. Passwortheld richtet ihn mit Zwei-Faktor-Pflicht für alle Mitarbeiter ein: Ein Mitarbeiter sieht die Sammlungen der Firma erst, wenn er einen zweiten Faktor eingerichtet hat, und die Einträge liegen dort Ende-zu-Ende-verschlüsselt. Eigentümer und Administratoren richten den zweiten Faktor selbst ein. Fragt Ihr Antrag nach IT-Dienstleistern (im Muster Frage E3 und die Zusatzfragen DL), gehören auch der Betreuer des Tresors und der Vermieter des Servers in die Liste. Eine Sicherung gibt es nur mit dem Backup-Paket für 7,99 € im Monat inkl. MwSt.: täglich, verschlüsselt, an einem zweiten Ort bei einem anderen Anbieter in Deutschland, 30 Tage Aufbewahrung, Test der Rücksicherung einmal im Quartal. Das Paket sichert nur den Tresor, nicht Ihre übrigen Daten. Ohne Backup-Paket sichern wir den Tresor nicht, dann sichern Sie ihn selbst.
Für die Wartung zahlen Sie 16,99 € im Monat inkl. MwSt., die Mindestlaufzeit beträgt 12 Monate. Den Server mieten Sie selbst bei netcup, ab 3,69 € im Monat inkl. MwSt. Passwortheld gibt es nur für Unternehmer. Wenn Sie wissen möchten, wie der Tresor zu den Fragen Ihres Antrags passt, sprechen wir darüber im kostenlosen Erstgespräch (15 Minuten).
Quellen: GDV: Musterbedingungen AVB Cyber (PDF, Stand Februar 2024); GDV: Muster-Fragebogen zur Risikoerfassung für kleine und mittelständische Unternehmen (PDF, Stand Dezember 2019); GDV: Übersicht der Musterbedingungen. Stand: 14.10.2026.