Glasbruch hat noch niemanden ruiniert.
Ein Cyberangriff schon.

Cyberangriffe beginnen selten spektakulär. Meist ist es eine E‑Mail, ein Login, ein kurzer Moment der Unachtsamkeit. Und dann steht plötzlich alles still: Produktion, Buchhaltung, Vertrieb, Kommunikation. Was früher als IT‑Problem abgetan wurde, ist heute ein unternehmerisches Risiko mit existenziellen Folgen, besonders für kleine und mittlere Unternehmen.

Enginsight hat darüber mit Markus Röttges, selbstständigem Unternehmer und Versicherungsexperten, gesprochen. Seit über 30 Jahren berät er KMU zu unternehmerischen Risiken. Seine Beobachtung: Digitale Risiken haben klassische Schadensszenarien längst überholt.

Sabine Kuch (Enginsight): Herr Röttges, Sie beraten seit Jahrzehnten Unternehmen. Warum ist Cyber heute ein anderes Risiko als klassische Versicherungsschäden?

Markus Röttges: „Ich kenne in über 30 Jahren Selbstständigkeit keinen einzigen Kunden, der wegen eines Glasschadens Insolvenz anmelden musste. Bei Cyberangriffen sehen wir das heute sehr wohl. Ein Glasschaden ist ärgerlich, aber beherrschbar. Ein Cyberangriff kann dagegen komplette Geschäftsprozesse lahmlegen. Und gerade im Mittelstand fehlen oft die Reserven, um längere Ausfälle aufzufangen.“

Sabine Kuch: Warum trifft es aus Ihrer Sicht gerade KMU so häufig?

Markus Röttges: „KMU sind heute hoch digitalisiert, oft genauso wie große Unternehmen. Der Unterschied liegt in der Ausfallsicherheit. Es gibt weniger Redundanzen, kleinere IT‑Teams und kaum Spielraum für Stillstand. Für Angreifer ist das attraktiv: Ein erfolgreicher Angriff entfaltet schneller Wirkung.“

Sabine Kuch: Cyberversicherungen galten lange als Randprodukt. Wie sehen Sie den Markt heute?

Markus Röttges: „Früher haben wir Policen über kleinere Summen abgeschlossen. Heute bewegen wir uns regelmäßig im Millionenbereich. Die Schadenshöhen sind gestiegen, und damit auch das Bewusstsein. Cyberversicherungen sind heute ein fester Bestandteil moderner Risikovorsorge. Sie decken längst nicht mehr nur IT‑Wiederherstellung ab, sondern auch Betriebsunterbrechung, Haftungsfragen, Krisenkommunikation und – unter klaren Voraussetzungen – Ransomware‑Erpressung. Wichtig ist aber: Eine Cyberversicherung ersetzt keine IT‑Sicherheit. Sie setzt sie voraus.“

Sabine Kuch: Viele Unternehmen sind unsicher, welche Versicherung sie eigentlich brauchen. Können Sie das einordnen?

Markus Röttges: „In der Praxis werden zwei Policen häufig verwechselt. Die Cyberversicherung greift bei technischen Angriffen von außen, etwa bei Ransomware oder Systemausfällen.
Die Versicherung gegen Internet‑ und Wirtschaftskriminalität deckt Betrugsszenarien ab, zum Beispiel CEO‑Fraud oder manipulierte Zahlungsanweisungen. Mir ist eine ganzheitliche Beratung wichtig. Eine Cyberversicherung allein reicht nicht aus. Die Absicherung gegen Internet‑ und Wirtschaftskriminalität ist für viele Unternehmen ebenso existenziell. Erst die Kombination beider Policen bildet das reale Risikoprofil ab.“

Sabine Kuch: Eine Frage, die uns bei Enginsight häufig begegnet: Wann zahlt eine Cyberversicherung eigentlich wirklich?

Markus Röttges: „Das ist der entscheidende Punkt. Viele Unternehmen glauben, eine Police zahlt automatisch. Das stimmt nicht.
Im Schadenfall verlangen Versicherer klare Nachweise: Welche Systeme waren betroffen? Wie war der Sicherheitszustand? Wann wurde der Angriff erkannt? Wie schnell wurde reagiert? Welche Maßnahmen wurden ergriffen? Fehlen diese Informationen oder sind sie nicht belastbar, kann es zu Kürzungen oder Ablehnungen kommen. Cyberversicherung ist kein „Vertrag ist abgeschlossen und dann vergessen“. Sie setzt nachweisbare Sorgfalt voraus.“

Sabine Kuch: Und genau hier kommt IT‑Sicherheit ins Spiel. Was bedeutet das aus Ihrer Sicht?

Markus Röttges: „Kein seriöser Anbieter behauptet, dass IT‑Sicherheit Angriffe vollständig verhindern kann. Aber sie entscheidet darüber, wie früh ein Angriff erkannt wird, wie groß der Schaden ist und ob ein Unternehmen handlungsfähig bleibt. Aus Versicherungssicht ist vor allem Transparenz wichtig. Was ist passiert? Wann? Und wie wurde reagiert?“

Cyberversicherung zahlt nur mit IT‑Sicherheit

Cyberrisiken haben für Markus Röttges eine neue Dimension erreicht: Kein klassischer Schadenfall bedroht Unternehmen so existenziell wie ein Cyberangriff. Besonders kleine und mittlere Unternehmen stehen im Fokus, weil sie hoch digitalisiert, aber weniger resilient sind.

Cyberversicherungen sind heute kein optionales Extra mehr, sondern unternehmerische Pflicht. Für KMU gilt besonders:

Ein Vertrag allein schützt nicht.
Unvorbereitete Unternehmen riskieren böse Überraschungen.
Transparenz, Dokumentation und Reaktionsfähigkeit entscheiden im Ernstfall.

Cyberrisiken lassen sich nicht wegversichern.
Aber sie lassen sich mit Cybersecurity-Lösungen beherrschbar machen.

Die Einordnung von Enginsight

Auch aus Sicht von Enginsight gilt: Cyberangriffe lassen sich nicht ausschließen. Was sich jedoch erreichen lässt, ist frühere Erkennung, schnellere Reaktion und saubere Dokumentation.

Moderne Cybersecurity‑Plattformen schaffen Transparenz über Systeme, Schwachstellen, Ereignisse und Reaktionszeiten. Genau diese Informationen sind im Schadenfall entscheidend – nicht nur technisch, sondern auch gegenüber Versicherern.

Eine Cybersecurity‑Plattform ersetzt keine Versicherung.
Eine Cyberversicherung ersetzt keine IT‑Sicherheit.

Erst das Zusammenspiel beider Seiten schafft die Grundlage dafür, dass Unternehmen im Ernstfall handlungsfähig bleiben – operativ, wirtschaftlich und rechtlich.

Wir danken Markus Röttges für das Gespräch.

Zur Person:
Markus Röttges ist selbstständiger Unternehmer und Versicherungsexperte bei der R+V Versicherung. Er betreut vor allem kleine und mittlere Unternehmen und berät sie ganzheitlich zu unternehmerischen Risiken – von klassischen Sach‑ und Haftpflichtversicherungen bis hin zu Cyber‑, Internet‑ und Wirtschaftskriminalitätsversicherungen.

Checkliste: Bin ich als KMU cyberversicherbar?

Cyberversicherungen zahlen nicht automatisch. Die folgende Checkliste zeigt, worauf Versicherer achten, und wo Enginsight Unternehmen konkret unterstützt.

Transparenz über die IT‑Landschaft
Versicherer erwarten Klarheit darüber, welche Systeme existieren, welche geschäftskritisch sind und welche extern erreichbar sind.

→ Enginsight schafft kontinuierliche Sichtbarkeit über IT‑Assets.

Kenntnis über Schwachstellen
Risiken müssen bekannt und adressiert sein – nicht perfekt, aber nachvollziehbar.

→ Enginsight erkennt Schwachstellen kontinuierlich und priorisiert sie.

Nachvollziehbare Sicherheitsereignisse
Im Schadenfall zählen Zeitpunkte, Abläufe und Reaktionszeiten.

→ Enginsight protokolliert sicherheitsrelevante Ereignisse strukturiert.

Reaktionsfähigkeit statt Perfektion
Versicherer prüfen, ob Unternehmen handlungsfähig waren.

→ Enginsight verkürzt Erkennungs‑ und Reaktionszeiten.

Belastbare Dokumentation
Nachweise zu Updates, Ereignissen und Maßnahmen sind entscheidend.

→ Enginsight liefert technische Artefakte für Forensik und Versicherungsprüfung.

Cybersecurity‑Kompetenz über Managed Service Provider auslagern

Viele KMU verfügen nicht über ausreichende interne Security‑Ressourcen. Versicherer bewerten positiv, wenn qualifizierte externe Fachleute die IT‑Sicherheit dauerhaft betreuen.

→ Enginsight kann als Managed Security Service betrieben werden.

Frühzeitig vorsorgen schafft Sicherheit.

Jetzt unverbindlich testen: Enginsight – Try&Buy Promotion