Braucht ein kleines britisches Unternehmen wirklich Cyber-Versicherung?

Cyber-Versicherung ist im Vereinigten Königreich nicht gesetzlich vorgeschrieben wie die Haftpflichtversicherung für Arbeitgeber, aber Versicherer stellen heute so viele Sicherheitsfragen im Vorfeld, dass allein das Einholen eines Angebots dich zwingt, Lücken zu schließen, die du sonst ignoriert hättest. Wenn dein kleines Unternehmen Kundenzahlungsdaten, persönliche Unterlagen oder etwas unter die UK GDPR Fallendes verarbeitet, ist der Verzicht auf Cyber-Versicherung ein Risiko, das die meisten Inhaber nach dem ersten Vorfall bereuen.

Was Versicherer vor der Angebotsstellung prüfen

Fordere ein Cyber-Angebot an und du wirst ein Antragsformular ausfüllen, das sich wie ein Mini-Audit liest. Standardfragen von britischen Versicherern (Hiscox, AXA und die auf Cyber spezialisierten Underwriter bei Lloyd's-Syndikaten folgen alle einem ähnlichen Muster) umfassen:

• Multi-Faktor-Authentifizierung bei E-Mail und Fernzugriff (besonders RDP — Versicherer behandeln freiliegendes RDP ohne MFA praktisch als automatische Ablehnung)
• Ob du Offline- oder unveränderliche Sicherungen hast und wie oft du die Wiederherstellung testest
• Endpoint-Schutz auf allen Unternehmensgeräten, nicht nur Servern
• Patch-Management-Zeitpläne für kritische Schwachstellen
• Ob du in den letzten 3–5 Jahren einen Datenverstoß oder Ransomware-Vorfall hattest
• Häufigkeit von Schulungen zum Sicherheitsbewusstsein der Mitarbeiter

Antworte mit "nein" auf MFA oder Sicherungen und du bekommst entweder eine Ablehnung, ein Angebot zu einer deutlich höheren Prämie oder eine Police mit einer praktisch unbrauchbaren Ransomware-Sublimit. Das ist nicht, weil der Versicherer schwierig ist — Auszahlungsdaten in der gesamten Branche haben Underwriter seit 2021, als die Ransomware-Forderungen in die Höhe schossen, dazu veranlasst, die Anforderungen deutlich zu verschärfen.

Die minimale technische Grundlage, die die meisten Policen erwarten

Basierend auf Fragen in Antragsformularen am Markt, behandle dies als deine Untergrenze, bevor du einen Antrag stellst:

• MFA auf allen E-Mail-Konten und jedem Fernzugriff-Tool (Microsoft 365 Conditional Access oder ein Tool wie Duo)
• Sicherungen nach dem 3-2-1-Muster, mit mindestens einer Kopie offline oder luftgekoppelt von deinem Hauptnetzwerk
• Ein dokumentierter Incident-Response-Kontakt — auch wenn es nur "diese MSP-Nummer anrufen" ist
• Endpoint-Erkennung, nicht nur älterer Virenschutz, auf allem, das Kundendaten berührt
• Firewall-Regeln, die eingehende RDP/SSH aus dem offenen Internet einschränken

Wenn du eine fünfköpfige Beratung bist, die alles über Microsoft 365 und ein paar Laptops läuft, ist das an einem Wochenende machbar. Wenn du Legacy-On-Prem-Server ohne Patch-Plan betreibst, rechne damit, dass der Underwriting-Prozess länger dauert und mehr kostet.

Was die Police tatsächlich bezahlt

Britische Cyber-Policen bündeln normalerweise mehrere Deckungstypen, und es lohnt sich zu wissen, was jeder macht, bevor du davon ausgehst, dass du versichert bist:

• First-Party-Kosten: Incident Response (Forensik, eine Firma wie dein Breach Coach), Betriebsunterbrechung, Ransomware-Verhandlung und Zahlung (wo legal), Datenwiederherstellung, PR/Krisenkommunikation
• Third-Party-Haftung: Ansprüche von Kunden oder Partnern, deren Daten freigelegt wurden, plus Kosten der Behördenverteidigung
• ICO-Geldbußgelder: Die Deckung variiert — einige Policen schließen behördliche Geldbußgelder ganz aus, da die Versicherbarkeit von Strafen im Vereinigten Königreich rechtlich unklar ist, also lese diese Klausel sorgfältig, anstatt anzunehmen, dass sie enthalten ist

Ein Betriebsunterbrechungslimit von £2m klingt großzügig, bis du berechnest, was eine Woche Ausfallzeit dich tatsächlich kostet an verlorenem Fakturieren, Mitarbeiterzeit und Kundenverlust. Berechne diese Zahl selbst, bevor du ein Limit wählst — nimm nicht nur die Standardempfehlung des Brokers.

Musst du einen Datenverstoß selbst ohne Versicherung melden?

Ja, und das überrascht kleine Unternehmen. Unter UK GDPR musst du die ICO innerhalb von 72 Stunden benachrichtigen, wenn ein Verstoß Rechte und Freiheiten von Personen gefährdet, Versicherung oder nicht. Cyber-Versicherung hebt diese Verpflichtung nicht auf — sie bezahlt die Forensik und rechtliche Unterstützung, die die Einhaltung der Frist realistisch macht. Versuch, eine Breach Response ohne diese Unterstützung durchzuführen, mit einem Junior-IT-Auftragnehmer und einem Word-Dokument, ist, wie Unternehmen selbst zu spät melden und mehr ICO-Kontrolle zeichnen als der ursprüngliche Vorfall verdient.

Häufige Lücken, die kleine Geschäftsinhaber stolpern lassen

• Annehmen, dass eine allgemeine Geschäftsversicherung Cyber-Vorfälle deckt — die meisten schließen das jetzt aus
• Bekannte Schwachstellen im Antragsformular nicht offenlegen (Versicherer können die Police wegen wesentlicher Nichtoffenlegung nichtig machen)
• Die billigste Police kaufen, ohne die Ransomware-Sublimit zu prüfen, die manchmal nur ein Bruchteil des Headline-Deckungsbetrags ist
• Kein benannter Incident-Response-Anbieter, was bedeutet, dass du während des eigentlichen Angriffs einen suchen musst

Besorge dir einen Broker, der sich auf Cyber spezialisiert, nicht einen Generalisten, der es als Add-on verkauft. Der Unterschied in der Claim-Erfahrung ist erheblich.

Wenn du tiefer in die technische Seite gehen möchtest, was Versicherer tatsächlich prüfen, schaue dir Korra Studio's Blue Team und Digital Forensics Segmente an — sie decken Incident Response und Backup-Architektur in einer Detailfülle ab, die Underwriting-Gespräche viel weniger schmerzhaft macht.