Versicherung und Kunden
Cyberversicherung und Kundenfragebogen: was man Sie fragen wird.
Bevor ein Cyberversicherer Sie versichert, stellt er Fragen zu Ihrem Risiko und erwartet grundlegende Maßnahmen: Backups, Schutz vor Schadsoftware, sichere Fernzugänge, Updates, Zugriffsrechte und Notfallprozesse. Ihre Kunden verlangen in ihren Sicherheitsfragebögen dasselbe. In beiden Fällen gilt: wahr antworten und es belegen können.
Was muss vorhanden sein, um versicherbar zu sein?
Eine einheitliche Liste gibt es nicht: Jeder Versicherer hat seinen Fragebogen und seine Bedingungen, und sie unterscheiden sich von Land zu Land. Als Orientierung dient eine Schweizer Quelle: Der Schweizerische Versicherungsverband (SVV) schreibt, dass grundlegende Sicherheitsmaßnahmen auch für den Abschluss einer Cyberversicherung von Relevanz sind. Er gibt sechs Maßnahmen des Vereins Swiss Cyber Defense DNA wieder und hält fest, dass es sich nicht um Mindestanforderungen handelt, sondern um eine Checkliste, die mit Fachleuten zu verfeinern ist.
Die Tabelle nimmt diese sechs Maßnahmen und verbindet sie mit dem, was Ryze Cyber auf seiner Website beschreibt. Ein leeres Feld ist besser als ein Versprechen: Was nicht auf der Website steht, ist als solches vermerkt.
| Maßnahme (Liste des SVV) | Frage des Gratis-Scans | Red Team (Test) | Blue Team (Schutz) |
|---|---|---|---|
| 1. Aktuelle, unveränderbare Datensicherung, Wiederherstellung getestet | «Ihre Backups sind getestet (Sie haben schon einmal eine Datei wiederhergestellt)» | Nicht betroffen: Bereich des Blue Teams. | Paket Schutz: Härtung von Zugängen und Backups. |
| 2. Schutz vor Schadsoftware und Schulung des Personals | «Das Team wurde geschult, betrügerische E-Mails zu erkennen» | Bereich «E-Mails und Phishing». | Paket Schutz: Sensibilisierung des Teams. Die Installation eines Virenschutzes ist auf der Website nicht beschrieben: mit Ihrem IT-Dienstleister klären. |
| 3. Sichere Netzwerke und Fernzugänge (Zwei-Faktor-Authentifizierung, VPN, getrenntes Gäste-WLAN) | «Die Zwei-Faktor-Authentifizierung ist für Ihre E-Mails und wichtigsten Tools aktiviert» | Komplett-Audit: manuelle Tests von Web und Zugängen. Bereich «Netzwerk und WLAN». | Paket Schutz: Härtung der Zugänge. |
| 4. Aktuelle Hardware und Software | «Updates für Arbeitsplätze und Website werden jeden Monat eingespielt» | Externer Scan: exponierte Website und Dienste aus Sicht des Internets. | Paket Monitoring: monatliche Kontrolle der exponierten Punkte. |
| 5. Rollen und Zugriffsrechte der Mitarbeitenden | «Administratorrechte sind auf wenige Personen beschränkt» | Bereich «Konten und Zugänge»: Passwörter, Zwei-Faktor-Authentifizierung, Rechte. | Paket Schutz: Härtung der Zugänge. |
| 6. Notfallprozesse definiert und bekannt | «Sie wissen, wen Sie bei einem Angriff anrufen und was zu tun ist» | Nicht betroffen: Bereich des Blue Teams. | Bereich «Reaktion auf Vorfälle»: wissen, wer wen anruft, bevor es so weit ist. |
Die Pakete und ihre Preise stehen auf der Startseite. Zur Gesamtlogik siehe Red Team und Blue Team.
Was passiert, wenn ich den Fragebogen des Versicherers falsch beantworte?
Der Risikofragebogen ist keine Formalität. Die Bedingungen eines Schweizer Versicherers zeigen es deutlich: In der Cyber-Versicherung für KMU der Baloise (Ausgabe 2025) heißt es, die Antragsfragen müssten «wahrheitsgetreu sowie vollständig» beantwortet werden. Bei schuldhafter Pflichtverletzung kann der Versicherer den Vertrag kündigen. Beeinflusst die Pflichtverletzung den Schadenseintritt oder den Schadensumfang, kann er seine Leistung reduzieren oder verweigern.
Zwei praktische Folgen:
- Kreuzen Sie «Ja» nur für das an, was heute tatsächlich umgesetzt ist. «Geplant» ist nicht «erledigt».
- Bewahren Sie zu jedem «Ja» einen datierten Beleg auf: Screenshot der Einstellung, Wiederherstellungsprotokoll, Testbericht.
Lesen Sie die Bedingungen Ihres eigenen Vertrags: Nur sie sind für Ihre Deckung maßgebend.
Wie beantwortet man den Sicherheitsfragebogen eines Kunden?
Ein Kunde schickt Ihnen oft einen Fragebogen, weil das Gesetz von ihm verlangt, sich seiner Lieferanten zu vergewissern. In der EU verpflichtet die NIS-2-Richtlinie regulierte Einrichtungen, die Sicherheit ihrer Lieferkette zu steuern (Art. 21). In der Schweiz muss sich der Verantwortliche vergewissern, dass sein Auftragsbearbeiter die Datensicherheit gewährleisten kann (DSG, Art. 9). Die Einzelheiten stehen auf der Seite Meldepflichten nach Land.
Eine Methode in sechs Schritten:
- Erst alles lesen, dann antworten. Ordnen Sie jede Frage ein: ja, nein, teilweise, nicht anwendbar.
- Wahr antworten. Ein «Nein» mit einem Datum für die Behebung kommt besser an als ein «Ja», das Sie nicht belegen können.
- Belege beilegen. Ein aktueller Testbericht ist einer: Der Bericht von Ryze Cyber enthält eine Zusammenfassung für die Geschäftsleitung, den Umfang und seine Grenzen, die Schwachstellen nach Schweregrad und einen Behebungsplan nach Priorität.
- Zu jedem «Nein» einen Plan nennen. Wer behebt was bis wann.
- Fragen, was ein Ausschlusskriterium ist. Nicht alle Punkte haben für Ihren Kunden dasselbe Gewicht. Fragen Sie nach.
- Eine Masterversion aufbewahren. Der nächste Fragebogen wird dieselben Themen aufgreifen.
Kann mein Kunde eine ISO-27001-Zertifizierung verlangen?
Das ist eine vertragliche Anforderung: Er kann sie zur Bedingung machen, und Sie können darüber verhandeln. Bevor Sie eine Zertifizierung angehen, fragen Sie ihn, ob er für einen Lieferanten Ihrer Größe einen anderen Nachweis akzeptiert, zum Beispiel einen aktuellen Penetrationstest-Bericht mit Behebungsplan. Die Entscheidung liegt bei ihm. Ryze Cyber stellt keine Zertifizierungen aus.
Womit konkret beginnen?
Mit einem Schritt, der nichts kostet: dem Gratis-Scan. Seine zehn Fragen decken sich mit den Themen dieser Fragebögen (Zugänge, Daten, Team, KI-Tools und Tests). In zwei Minuten sehen Sie die «Nein», die Sie angehen müssen, bevor Sie irgendetwas unterschreiben.
Häufige Fragen
Verlangt ein Cyberversicherer einen Penetrationstest?
Das hängt vom Versicherer und von der Unternehmensgröße ab. Die vom Schweizerischen Versicherungsverband wiedergegebene Maßnahmenliste nennt den Penetrationstest nicht. Fragen Sie Ihren Versicherer oder Makler vor dem Abschluss.
Auf welche Maßnahmen achtet ein Versicherer zuerst?
Der Schweizerische Versicherungsverband gibt sechs Maßnahmen wieder: Datensicherung, Schutz vor Schadsoftware, sichere Netzwerke und Fernzugänge, Updates, Rollen der Mitarbeitenden und Notfallprozesse. Jeder Versicherer hat darüber hinaus eigene Fragen.
Was riskiert man bei einer unzutreffenden Antwort im Fragebogen des Versicherers?
Die Versicherungsbedingungen, die wir gelesen haben (Baloise, Ausgabe 2025), verlangen wahrheitsgetreue und vollständige Antworten. Bei schuldhafter Pflichtverletzung kann der Versicherer den Vertrag kündigen und, wenn sie den Schaden beeinflusst, seine Leistung reduzieren oder verweigern. Prüfen Sie die Bedingungen Ihres Vertrags.
Genügt ein Testbericht anstelle von ISO 27001?
Das kann nur Ihr Kunde sagen. Ein aktueller Bericht mit Umfang und Behebungsplan ist ein konkreter Nachweis, den Sie anbieten können. Er ersetzt keine Zertifizierung, wenn der Vertrag sie verlangt.
Gilt der Gratis-Scan von Ryze Cyber als Nachweis für einen Versicherer?
Nein. Er ist eine unverbindliche Selbsteinschätzung, berechnet aus Ihren Antworten: An Ihren Systemen wird nichts getestet. Er hilft, Ihre Schwachpunkte zu erkennen, bevor Sie einen offiziellen Fragebogen ausfüllen.
Finden Sie Ihre «Nein» vor dem Fragebogen.
Der Gratis-Scan von Ryze Cyber ist ein Fragebogen mit 10 Fragen. Er dauert zwei Minuten, das Ergebnis erscheint sofort und an Ihren Systemen wird nichts getestet.
Weiterlesen
Quellen
- Schweizerischer Versicherungsverband (SVV), «KMU: In sechs Schritten zu mehr Cybersicherheit»
- Baloise, Cyber-Versicherung für KMU: Produktinformationen und Vertragsbedingungen, Ausgabe 2025 (abgerufen am 7. Oktober 2026)
- Richtlinie (EU) 2022/2555 (NIS2), Art. 21, EUR-Lex
- Schweiz, Bundesgesetz über den Datenschutz (DSG), Art. 9, Fedlex
Zuletzt aktualisiert: 7. Oktober 2026