Inhalt
Kurzantwort
Je nach Versicherer, Unternehmensgröße, Branche und Risiko können unter anderem Datensicherung, Sicherheitsupdates, Zugänge und Administratorrechte, Virenschutz, Vorschäden und externe Dienstleister abgefragt werden. Beantworten Sie die Fragen vollständig und wahrheitsgemäß und bestätigen Sie keine Maßnahme, die nicht tatsächlich umgesetzt ist.
Antragsfrage und Obliegenheit: nicht dasselbe
Antragsfrage / Annahmekriterium
Was der Versicherer vor Vertragsschluss wissen möchte, um das Risiko einzuschätzen und über die Annahme zu entscheiden.
Vertragliche Obliegenheit
Eine Pflicht aus dem geschlossenen Vertrag, etwa Sicherheitsmaßnahmen vor einem Schaden oder Meldepflichten danach.
Warum das wichtig ist
Eine im Antrag abgefragte Maßnahme ist nicht automatisch identisch mit einer späteren Obliegenheit – Inhalt und Formulierung können abweichen. Dass eine Sicherheitsmaßnahme in Versicherungsbedingungen als Obliegenheit geregelt ist, bedeutet nicht automatisch, dass dieselbe Maßnahme zuvor identisch als Antragsfrage gestellt wurde. Entscheidend sind Antrag, Versicherungsschein und Bedingungen.
Typische Themen im Antrag
- Datensicherung: Häufigkeit, getrennte Aufbewahrung, Schutz und Prüfung der Wiederherstellung
- Sicherheitsupdates und Patchmanagement
- Umgang mit Systemen, die keine Updates mehr erhalten
- Individuelle Benutzerkonten und Passwortqualität
- Eingeschränkte Administratorrechte
- Zusätzlicher Zugriffsschutz, etwa verschlüsselter Fernzugriff
- Schutz gegen Schadsoftware auf Servern und Endgeräten
- Netzwerktrennung und Firewalls
- Vorschäden und bekannte Sicherheitsvorfälle
- Branche, Umsatz und Geschäftsfelder wie E-Commerce
- Externe IT-Dienstleister und Datenverarbeitung durch Dritte
Schritt für Schritt
Beispiel für vertragliche Sicherheitsobliegenheiten: Hiscox CyberClear. Die folgenden Beispiele stammen aus den Hiscox CyberClear Versicherungsbedingungen 01/2026 (Abschnitt 15). Sie zeigen vertragliche Obliegenheiten vor Eintritt eines Versicherungsfalls. Sie belegen nicht, dass Hiscox dieselben Punkte oder Grenzwerte in dieser Form im aktuellen Antrag abfragt. Datensicherung (15.1): mindestens wöchentlich vollständig, als Offline-Sicherung mit dauerhafter physischer Trennung oder als die in den Bedingungen beschriebene unveränderbare Online-Sicherung, mindestens 30 Tage aufbewahrt. Patchmanagement (15.2): Sicherheitsupdates auf den dort genannten Systemen innerhalb von 30 Tagen nach Veröffentlichung durch den Hersteller. Altsysteme (15.3): Systeme ohne Sicherheitsupdates nur in isolierter Netzwerkumgebung, ohne direkten Internetzugang und mit durchgehender Kontrolle des Datenverkehrs. Dies ist ein Anbieterbeispiel und kein allgemeingültiger Branchenstandard.
- 01
Ist-Stand erheben
Klären Sie vor dem Antrag mit Ihrer IT, was tatsächlich umgesetzt ist: Backups, Updates, Zugänge, Virenschutz.
- 02
Fragen genau lesen
Achten Sie auf Formulierungen wie „alle Systeme“, „mindestens wöchentlich“ oder „getrennt aufbewahrt“. Eine Teilumsetzung ist kein „Ja“.
- 03
Wahrheitsgemäß antworten
Bestätigen Sie keine Maßnahme, die nicht umgesetzt ist – auch nicht in der Absicht, sie später nachzuholen.
- 04
Lücken offen ansprechen
Können Sie eine Frage nicht mit Ja beantworten, sprechen Sie mit Vermittlung oder Versicherer. Manchmal sind Erklärungen, Bedingungen oder Fristen möglich.
- 05
Obliegenheiten nach Abschluss prüfen
Lesen Sie nach Vertragsschluss die Obliegenheiten und halten Sie sie dauerhaft ein.
- 06
Dokumentieren
Halten Sie fest, wie und wann Maßnahmen umgesetzt sind. Das hilft bei Rückfragen und im Schadenfall.
Checkliste
- Ist-Stand von Backups, Updates, Zugängen und Virenschutz ist mit der IT geklärt.
- Jede Antragsfrage ist vollständig und wahrheitsgemäß beantwortet.
- Teilweise umgesetzte Maßnahmen sind nicht als vollständig bestätigt.
- Vorschäden und bekannte Vorfälle sind angegeben.
- Obliegenheiten aus den Bedingungen sind bekannt und werden eingehalten.
- Umsetzung ist dokumentiert.
Typische Fehler
- „Ja“ anklicken und hoffen, die Maßnahme später umzusetzen.
- Antragsfragen ohne Rücksprache mit der IT beantworten.
- Kleine Vorfälle aus der Vergangenheit verschweigen.
- Antragsfragen und spätere Obliegenheiten für identisch halten.
- Die Anforderungen eines Versicherers für Marktstandard halten.
Häufige Fragen
Muss ich MFA haben?
Das hängt vom Versicherer ab. Zugriffsschutz wird häufig abgefragt; ob Mehr-Faktor-Anmeldung Voraussetzung ist, ergibt sich aus Antrag und Bedingungen.
Welche Backups werden verlangt?
Das ist unterschiedlich. Häufig geht es um regelmäßige, getrennt aufbewahrte und geschützte Sicherungen. Manche Anbieter nennen konkrete Häufigkeiten und Aufbewahrungsfristen.
Was passiert, wenn ich eine Frage nicht mit Ja beantworten kann?
Antworten Sie trotzdem wahrheitsgemäß und sprechen Sie mit Vermittlung oder Versicherer. Unrichtige oder unvollständige Angaben können Auswirkungen auf den Vertrag und den Versicherungsschutz haben.
Sind die Anforderungen bei jedem Versicherer gleich?
Nein. Sie unterscheiden sich je nach Versicherer, Unternehmensgröße, Branche und Risiko.
Brauche ich eine Beratung?
Bei Unsicherheit kann eine individuelle Versicherungs- oder Rechtsberatung sinnvoll sein.
Quellen
- GDV – Unverbindlicher Muster-Fragebogen zur Risikoerfassung Cyber (Stand 12/2019)
- GDV – Unverbindliche Musterbedingungen AVB Cyber (Stand 02/2024)
- Anbieterquelle: Hiscox CyberClear Versicherungsbedingungen, Stand 01/2026, Abschnitt 15
Geprüft am 07.10.2026.
Die Inhalte dienen der allgemeinen Orientierung und ersetzen keine individuelle Versicherungsberatung, Rechtsberatung oder technische Sicherheitsprüfung. Maßgeblich sind die jeweiligen Versicherungsbedingungen, der Versicherungsschein und der konkrete Einzelfall.