Scheinsicherheit: Wenn die Cyberpolice im Ernstfall nicht greift

Die Police steht im Schrank, die MFA nur auf einem Teil der Zugänge. Wenn der Versicherer im Schadensfall prüft und ablehnt, wird aus dem gefühlten Risikotransfer ein Governance-Versagen der Geschäftsleitung – nicht der IT-Abteilung.

VerwandtCyber-Versicherung: Risiken managen und Verluste vermeiden  /  NIS2-Organhaftung greift trotz Registrierung

Mittelstand, rund 200 Mitarbeitende, seit Jahren eine Cyberversicherung. Dann Ransomware: Systeme verschlüsselt, Betrieb steht. Der Schaden landet beim Versicherer – und wird abgelehnt. Im Antragsfragebogen war Multi-Faktor-Authentifizierung als flächendeckend zugesagt. In der Realität lief MFA nur auf einem Teil der Zugänge. Für den Versicherer reicht die Lücke.

Das Muster taucht in Incident-Response-Fällen immer wieder auf. Es ist selten böser Wille. Es ist die Lücke zwischen dem, was die Organisation glaubt zu haben und dem, was sie nachweisen kann.

Die Police ist kein Schutzschild

Viele Geschäftsleitungen lesen die Police als Absicherung und fühlen sich entlastet. Verständlich – und riskant. Eine Cyberversicherung verhindert keinen Angriff. Sie ist finanzieller Risikotransfer für den Fall, dass präventive und detektive Maßnahmen versagt haben. Sie zahlt nur, wenn die Obliegenheiten im Kleingedruckten zum Angriffszeitpunkt lückenlos erfüllt sind. Der Vertragsabschluss allein zählt nicht.

Wer eine Police hat, aber keine Sicherheitsarchitektur, die dieser Police standhält, hat Scheinsicherheit organisiert. Das ist keine IT-Feinjustierung. Das ist eine Führungsentscheidung über Risikotransparenz.

Was Versicherer 2026 verlangen

Nach den Ransomware-Wellen der letzten Jahre ist aus dem kurzen Fragebogen eine technische Prüfung geworden. MFA auf E-Mail, VPN, Remote-Zugängen, Cloud-Plattformen und Admin-Konten – vollständig. Endpoint Detection and Response auf der gesamten Gerätebasis. Backups, die laufen und im Ernstfall getestet wiederhergestellt werden. Konsequentes Patch-Management. Dokumentierter Incident-Response-Plan.

Wer das nicht erfüllt, bekommt 2026 entweder keine Police oder eine, die im Ernstfall nicht greift. Wer im Fragebogen mehr zusagt als im Betrieb steht, riskiert Ablehnung und unter Umständen den vollständigen Verlust des Versicherungsschutzes. Das OLG Schleswig hat das im Januar 2025 in einem konkreten Fall bestätigt.

Viele Unternehmen haben kein reines Security-Problem. Sie haben ein Governance-Problem: Die Lücke zwischen zugesagter und gelebter Control-Lage landet selten im Vorstandspapier.

Scheinsicherheit als Führungsfehler

Investitionen in Tools, Policen und Dienstleister erzeugen auf dem Papier ein sauberes Bild. In der Praxis fehlen oft drei Antworten auf C-Level-Niveau:

• Wie hoch ist die MFA-Abdeckung wirklich – als messbare Zahl, nicht als Projektstatus?
• Wann wurde das letzte Backup erfolgreich wiederhergestellt – nicht nur geschrieben?
• Wer besitzt den Gesamtüberblick über geschützte vs. ungeschützte Systeme?

Diese Fragen bleiben zu oft in der IT stecken. NIS-2 zieht sie nach oben: Seit dem 6. Dezember 2025 gilt das NIS-2-Umsetzungsgesetz. Rund 29.500 Unternehmen in 18 Sektoren sind betroffen. Die Geschäftsleitung haftet persönlich – Bußgelder bis 10 Millionen Euro oder 2 Prozent des weltweiten Jahresumsatzes. Cybersicherheit ist eine Kapital- und Haftungsentscheidung. Eine rein technische Arbeitsliste greift zu kurz.

Drei Kontrollfragen für die Geschäftsleitung

Drei Prüfschritte trennen Scheinsicherheit von belastbarem Risikotransfer:

1. Police lesen, nicht nur Deckungsblatt. Welche Obliegenheiten wurden zugesagt – und sind sie heute belegbar?
2. Realstand messen. MFA-Abdeckung in Prozent, letztes erfolgreiches Restore-Datum, EDR-Flächendeckung, Patch-Lag auf kritischen Systemen.
3. Lücke schließen oder Risiko offen ausweisen. Eine Police, die im Schadensfall nicht zahlt, ist kein Transfer. Sie ist verbranntes Budget mit falschem Sicherheitsgefühl.

Häufig gestellte Fragen

Bildquelle: KI-generiert (Juli 2026)