Warum Versicherer nach der Website fragen
Die gewerbliche Cyberversicherung wächst, aber von einem niedrigen Stand aus. 2025 ist die Zahl der Verträge um 15,7 Prozent auf rund 157.000 gestiegen (GDV). Zugleich sind nur rund 5 Prozent der Unternehmen gegen die Folgen eines Cyberangriffs versichert (GDV), also etwa eins von 20. Als einen Grund für die geringe Verbreitung nennt der Gesamtverband der Deutschen Versicherungswirtschaft, dass viele Unternehmen die grundlegenden Anforderungen an die IT-Sicherheit nicht erfüllen. Diese Anforderungen sind in der Regel Voraussetzung für den Abschluss einer Cyberversicherung (GDV).
Wie groß die Lücke ist, zeigen zwei weitere Angaben des Verbands. Nach Erkenntnissen der Versicherer verfügt nur rund ein Drittel der deutschen Unternehmen über hinreichende Schutzmaßnahmen; genannt werden unter anderem regelmäßige Sicherheitsupdates, verlässliche Backups, klare Zugriffsrechte und funktionierende Notfallpläne (GDV). In einer Forsa-Umfrage im Auftrag des GDV erfüllten 69 Prozent der befragten 300 Mittelständler nicht einmal alle Basisanforderungen, etwa weil Sicherheitskopien falsch aufbewahrt oder Systeme nur mit schwachen Passwörtern geschützt wurden (GDV, Forsa-Umfrage 2024). Bei Neuabschlüssen bestehen die Versicherer nach Angaben des Verbands auf wirksame Schutzmaßnahmen (GDV).
Für den Versicherer geht es dabei um Geld, nicht um Formalien. 2025 beliefen sich die Versicherungsschäden aus Cyberangriffen auf knapp 200 Millionen Euro, der Durchschnittsschaden stieg um 5,8 Prozent auf 43.186 Euro (GDV). Zugleich melden laut GDV-Statistik nur rund 3 Prozent der versicherten Unternehmen einen Cyber-Schaden (GDV). Dass kleine Betriebe dabei nicht außen vor sind, zeigt der Lagebericht des Bundesamts für Sicherheit in der Informationstechnik: Rund 80 Prozent der angezeigten Angriffe richteten sich gegen kleine und mittlere Unternehmen, bezogen auf den Berichtszeitraum 1. Juli 2024 bis 30. Juni 2025 (BSI).
Wenn elementarste Sicherheitsstandards nicht erfüllt sind, wird es auch mit dem Versicherungsschutz schwer.
— Jörg Asmussen, Hauptgeschäftsführer des GDV, Medieninformation vom 5. September 2024
Die Vertrags- und Schadenzahlen stammen aus der Statistik des Verbands und beschreiben den Markt, nicht einzelne Verträge. Welche Fragen ein bestimmter Versicherer stellt und wie er die Antworten bewertet, steht in dessen Antrag und dessen Bedingungen. Die Forsa-Zahl stammt aus einer Befragung von Mittelständlern, nicht aus einer technischen Prüfung ihrer Systeme. Für die Agentur folgt daraus nur eines sicher: Die Fragen zur IT-Sicherheit werden gestellt, und die Antworten haben Gewicht.
Was die Musterbedingungen verlangen
Der GDV veröffentlicht Musterbedingungen für die Cyberrisiko-Versicherung, die AVB Cyber. Das Deckblatt nennt sie eine unverbindliche Bekanntgabe zur fakultativen Verwendung, abweichende Vereinbarungen sind möglich; der hier zitierte Stand ist Februar 2024 (AVB Cyber). Jeder Versicherer formuliert seine Bedingungen selbst, maßgeblich ist der Vertrag des Kunden. Die Musterbedingungen zeigen aber, welche Pflichten verbreitet sind und in welcher Sprache sie gefasst werden. Die technischen Obliegenheiten vor Eintritt des Versicherungsfalls stehen in Abschnitt A1-16. Nach A1-16.1 gehört dazu insbesondere, dass die informationsverarbeitenden Systeme des Versicherungsnehmers
- a) Nutzer und Befugnisebenen unterscheiden - mit individuellen Zugängen für alle Nutzer; administrative Zugänge sind nur Administratoren und nur administrativen Tätigkeiten vorbehalten (AVB Cyber).
- b) zusätzlich gegen unberechtigten Zugriff geschützt sind, wenn sie einem erhöhten Risiko ausgesetzt sind - ein erhöhtes Risiko besteht ausdrücklich bei Geräten, die über das Internet erreichbar sind, also bei Servern; als Beispiele nennen die Bedingungen Firewall und 2-Faktor-Authentifizierung (AVB Cyber).
- c) über einen Schutz gegen Schadsoftware verfügen, dessen Schutzniveau automatisch auf dem aktuellen Stand gehalten wird (AVB Cyber).
- d) einem Patch-Management-Verfahren unterliegen, das eine zeitnahe Installation relevanter Sicherheitsupdates sicherstellt; Systeme und Anwendungen mit bekannten Sicherheitslücken dürfen nicht ohne zusätzliche geeignete Absicherung eingesetzt werden (AVB Cyber).
- e) einem mindestens wöchentlichen Sicherungsprozess unterliegen, und zwar so, dass kein System und keine Befugnisebene Schreibberechtigung auf Originale und Duplikate zugleich hat (AVB Cyber).
Zwei weitere Sätze sind für Agenturen besonders wichtig. Der Versicherungsnehmer hat die Funktion des Sicherungs- und Wiederherstellungsprozesses durch regelmäßige Prüfung nach einem festgelegten Turnus sicherzustellen; eine laufende Sicherung allein genügt dem Wortlaut also nicht (AVB Cyber). Und nach A1-16.2 sind alle gesetzlichen, behördlichen und vertraglich vereinbarten Sicherheitsvorschriften einzuhalten sowie besonders gefahrdrohende Umstände auf Verlangen des Versicherers innerhalb angemessener Frist zu beseitigen (AVB Cyber). Wird eine dieser Obliegenheiten verletzt, verweist A1-16.3 auf die Rechtsfolgen in B3-4, die weiter unten beschrieben sind (AVB Cyber).
Für die Website bedeutet das: Der Webserver ist ein Gerät, das über das Internet erreichbar ist, und gehört damit in die Gruppe mit erhöhtem Risiko. Das Redaktionssystem, seine Erweiterungen und die Serversoftware sind Anwendungen im Sinne des Patch-Managements, die Sicherung der Website ist Teil des Sicherungsprozesses. Betreut die Agentur diese Teile, liegen die Fakten, nach denen der Versicherer fragt, zu einem guten Teil bei ihr, auch wenn die Obliegenheit beim Kunden als Versicherungsnehmer bleibt. Verlangt der Versicherer die Beseitigung eines gefahrdrohenden Umstands, etwa einer veralteten Erweiterung mit bekannter Lücke, ist es in der Praxis meist die Agentur, die das umsetzt und die Umsetzung belegen muss.
Was sich an der Website von außen messen lässt
Ein Teil dieser Fakten ist von außen sichtbar, ohne Zugang zum Server: Jeder Besucher, jeder Suchdienst und jeder Angreifer sieht dieselben Antworten des Webservers. Genau diese Antworten lassen sich in festem Takt abfragen und mit Datum ablegen. Das ersetzt keine Prüfung des Servers, beantwortet aber die Frage, wie sich das aus dem Internet erreichbare System zu einem bestimmten Zeitpunkt nach außen dargestellt hat. Sechs Bereiche eignen sich dafür besonders:
Ablaufdatum, Zertifikatskette und angebotene Protokollversionen. Ein abgelaufenes Zertifikat oder ein veraltetes Protokoll ist ein datierbarer Befund, den Einzelstand zeigt der kostenlose SSL-Check.
HSTS, Content-Security-Policy und Frame-Schutz stehen in jeder Antwort. Was die einzelnen HTTP-Sicherheitsheader bewirken, lässt sich pro Kopfzeile belegen.
Versionsangaben in Kopfzeilen und Quelltext verraten veraltete Komponenten. Welche davon ohne Updates laufen, zeigt der Beitrag zum Supportende im Web-Stack.
Ein erreichbares .git-Verzeichnis, eine .env-Datei oder ein Sicherungsarchiv im Webroot ist ein klarer Befund. Der Beitrag zu exponierten Dateien wie .git und .env zeigt, wie man sie zuerst findet.
Ausfälle und Zeitreihen der Antwortzeit zeigen, ob ein Vorfall schleichend begann. Warum die Antwortzeit schon vor dem 502 kippt, ist oft der erste Hinweis.
Bildschirmfotos im Takt halten fest, wann sich eine Seite verändert hat. Ein automatisches Website-Changelog liefert den Zustand vor einem Vorfall.
Der Security-Scan von XICTRAQ fasst die meisten dieser Punkte in einem Lauf zusammen: Zertifikat und Kette, Sicherheitsheader, eingebundene Drittskripte, gemischte Inhalte, Cookies und offen liegende Pfade, je nach Tarif täglich oder wöchentlich. Entscheidend für die Versicherung ist weniger der einzelne Befund als die Reihe. Ein Scan vom Tag des Antrags sagt, wie die Website an diesem Tag aussah. Eine Reihe von Scans über das ganze Versicherungsjahr zeigt, ob ein Mangel nach dem Befund behoben wurde und wie lange das gedauert hat. Genau diese Frage stellt sich, wenn es um die zeitnahe Installation von Sicherheitsupdates geht.
Die Sicherung selbst ist von außen nicht sichtbar, ihr Lauf aber schon, wenn das Sicherungsskript sich meldet. Ein Heartbeat ist ein kurzer Aufruf am Ende jedes erfolgreichen Laufs; bleibt er aus, schlägt das Monitoring Alarm. Wie das eingerichtet wird, beschreibt der Beitrag zu Backup-Monitoring mit Heartbeats, die Funktion selbst heißt Heartbeat-Monitoring für Cronjobs und Sicherungen. Für den Nachweisordner ist das die Reihe, die zur Obliegenheit eines mindestens wöchentlichen Sicherungsprozesses passt (AVB Cyber): jeder Lauf mit Datum, jede Lücke mit Datum.
Der Heartbeat belegt, dass ein Sicherungslauf zu Ende gekommen ist. Er belegt nicht, dass sich aus der Sicherung eine funktionierende Website wiederherstellen lässt, und nicht, dass die Sicherung vor Schreibzugriff geschützt ist. Beides verlangen die Musterbedingungen gesondert. Den Wiederherstellungstest muss jemand tatsächlich durchführen und mit Datum, Umfang und Dauer protokollieren.
Was nur der Kunde selbst belegen kann
Der größere Teil der Obliegenheiten liegt hinter der Website. Ob Nutzer und Befugnisebenen getrennt sind, ob Administratorkonten nur für administrative Arbeit genutzt werden, ob die Arbeitsplatzrechner einen aktuellen Schutz gegen Schadsoftware haben und ob Sicherungen vor dem Zugriff der gesicherten Systeme geschützt sind, lässt sich von außen nicht messen (AVB Cyber). Wer so etwas aus der Außensicht ableitet, schreibt eine Vermutung in den Fragebogen.
Die Agentur kann für ihren Teil trotzdem Belege liefern, nur eben aus ihren eigenen Unterlagen statt aus einer Messung:
- Zugänge: eine Liste aller Konten, die die Agentur im Redaktionssystem, auf dem Server und beim Hoster hat, mit Rolle und Datum der letzten Durchsicht. Wie Rollen und ein Prüfprotokoll im Monitoring aussehen, zeigt der Beitrag zu Zugriffsrechten und Audit-Log im Team.
- Update-Protokoll: welche Komponente wann auf welche Version gebracht wurde, und bei zurückgestellten Updates der Grund und die Ersatzmaßnahme.
- Wiederherstellungsprotokoll: Datum, Umfang und Dauer des letzten Wiederherstellungstests, getrennt vom Sicherungslauf.
- Vorfallsliste: jede Störung mit Beginn, Ende, Ursache und Maßnahme, auch wenn kein Schaden entstanden ist.
Viele dieser Angaben liegen ohnehin vor, wenn die Agentur als Auftragsverarbeiterin arbeitet: Der Auftragsverarbeitungsvertrag nach Artikel 28 DSGVO verlangt in der Regel eine Beschreibung der technischen und organisatorischen Maßnahmen. Und wer Kunden aus dem Geltungsbereich von NIS2 betreut, kennt ähnliche Fragen schon aus der Prüfung der Lieferkette nach NIS2. Der Versicherer fragt ähnlich, aber mit anderer Folge: Hier geht es nicht um eine Aufsicht, sondern um den Versicherungsschutz. Die folgende Übersicht ordnet die Obliegenheiten aus den Musterbedingungen danach, was von außen messbar ist und wer den Nachweis führt.
| Anforderung aus den Musterbedingungen | Von außen messbar | Nachweis führt |
|---|---|---|
| Server mit zusätzlichem Schutz (A1-16.1 b) | teilweise: TLS, Header, offen liegende Pfade | Agentur mit Messreihe, Kunde oder Hoster für Firewall und 2FA |
| Patch-Management (A1-16.1 d) | teilweise: Versionsangaben, Supportende | Agentur mit Update-Protokoll |
| Bekannte Lücken nur mit Absicherung (A1-16.1 d) | teilweise: sichtbare Versionen | Agentur, Begründung je Ausnahme |
| Sicherung mindestens wöchentlich (A1-16.1 e) | Lauf per Heartbeat | Agentur oder Hoster, je nach Vertrag |
| Kein Schreibzugriff auf Original und Duplikat (A1-16.1 e) | nein | Hoster oder Kunde |
| Wiederherstellung im festen Turnus geprüft | nein | wer den Test durchführt |
| Nutzer und Befugnisebenen (A1-16.1 a) | nein | Kunde, Agentur für die eigenen Zugänge |
| Schutz gegen Schadsoftware (A1-16.1 c) | nur Folgen auf der Website | Kunde |
| Gefahrdrohende Umstände beseitigen (A1-16.2 b) | Befund und Behebung mit Datum | Agentur mit Messreihe |
| Sicherheitsvorschriften einhalten (A1-16.2 a) | nein | Kunde |
Der Fragebogen beim Antrag
Die Fragen vor Vertragsschluss sind keine Formalie. Nach B3-1.1 der Musterbedingungen hat der Versicherungsnehmer alle ihm bekannten Gefahrumstände anzuzeigen, nach denen der Versicherer in Textform gefragt hat (AVB Cyber). Verletzt er diese Anzeigepflicht, kann der Versicherer vom Vertrag zurücktreten, und im Fall des Rücktritts besteht auch für die Vergangenheit kein Versicherungsschutz. Kein Rücktrittsrecht besteht, wenn der Versicherungsnehmer nachweist, dass er die unrichtigen oder unvollständigen Angaben weder vorsätzlich noch grob fahrlässig gemacht hat; bei einfacher Fahrlässigkeit oder ohne Verschulden kann der Versicherer mit einer Frist von einem Monat kündigen (AVB Cyber).
Daraus folgt eine klare Arbeitsteilung: Den Fragebogen beantwortet und unterschreibt der Kunde, die Agentur liefert die Fakten zur Website, und zwar als Messwerte mit Datum statt als Einschätzung. Für den Fall, dass ein Vertreter den Vertrag schließt, regelt B3-1.1 ausdrücklich, dass sowohl Kenntnis und Arglist des Vertreters als auch die des Versicherungsnehmers zu berücksichtigen sind (AVB Cyber). Was die Agentur über die Website weiß, gehört deshalb vollständig in die Unterlagen, die der Kunde vor der Unterschrift bekommt, auch die unangenehmen Befunde. Ein offener Punkt, der im Antrag benannt und mit einem Termin für die Behebung versehen ist, ist eine andere Lage als ein Punkt, den niemand erwähnt hat.
Eine Frage wie „Werden Sicherheitsupdates zeitnah eingespielt?“ lässt sich mit Ja beantworten oder mit einer Liste: Komponente, Version, Datum der Veröffentlichung des Updates, Datum der Installation. Die Liste ist mühsamer, aber sie hält einer Nachfrage stand. Ein Ja, das sich später als falsch herausstellt, ist genau die unrichtige Angabe, um die es in B3-1 geht.
Was im Schadenfall zählt
Nach Eintritt eines Schadens gelten eigene Obliegenheiten. Der Versicherungsnehmer hat dem Versicherer den Schadeneintritt unverzüglich anzuzeigen, nachdem er davon Kenntnis erlangt hat, und Tatsachen, die eine Verantwortlichkeit gegenüber Dritten zur Folge haben könnten, innerhalb einer Woche (AVB Cyber). Außerdem hat er vom Versicherer angeforderte Belege beizubringen, deren Beschaffung ihm billigerweise zugemutet werden kann (AVB Cyber). Für die Agentur heißt das: Die Belege, die der Versicherer verlangt, müssen schnell greifbar sein, nicht erst nach einer Suche in Postfächern und alten Tickets.
Heikel ist eine Pflicht, die dem Reflex jeder Agentur widerspricht. Nach B3-3.4 hat der Versicherungsnehmer das Schadenbild so lange unverändert zu lassen, bis der Versicherer eine Veränderung gestattet; sind Veränderungen unumgänglich, ist das Schadenbild nachvollziehbar zu dokumentieren (AVB Cyber). Liefert eine kompromittierte Website etwa gefälschte CAPTCHAs mit Schadcode aus, will man sofort bereinigen, weil Besucher gefährdet sind. Dann gehören vor die Bereinigung ein Abbild und, wo es zeitlich geht, die Abstimmung mit dem Versicherer: Bildschirmfotos, der ausgelieferte Quelltext, Kopfzeilen, die geänderten Dateien mit Prüfsummen. Der Beitrag zu Defacement erkennen und melden beschreibt den Ablauf, das Screenshot-Changelog liefert den Zustand vor dem Vorfall.
Bei Obliegenheitsverletzungen unterscheiden die Musterbedingungen nach Verschulden. Bei vorsätzlicher Verletzung ist der Versicherer leistungsfrei, bei grob fahrlässiger Verletzung darf er seine Leistung im Verhältnis zur Schwere des Verschuldens kürzen (AVB Cyber). Er bleibt zur Leistung verpflichtet, wenn der Versicherungsnehmer nachweist, dass er nicht grob fahrlässig gehandelt hat oder dass die Verletzung für den Versicherungsfall und den Umfang der Leistung nicht ursächlich war (AVB Cyber). In beiden Fällen muss der Versicherungsnehmer den Nachweis führen. Eine datierte Messreihe kann dabei helfen, etwa wenn sie zeigt, dass ein Update kurz nach seiner Veröffentlichung eingespielt wurde oder dass der Angriff über einen Weg kam, der mit der verletzten Pflicht nichts zu tun hatte. Ob sie im Einzelfall genügt, entscheidet nicht die Agentur.
Der Nachweisordner für Antrag und Verlängerung
Aus alldem ergibt sich ein Ordner je Kunde und Versicherungsjahr. Er entsteht nicht im Schadenfall, sondern laufend, und wird zum Antrag, zur Verlängerung und bei jeder Nachfrage des Versicherers als Ganzes vorgelegt. Sinnvoll ist eine feste Gliederung, damit Kunde, Makler und Versicherer die Unterlagen jedes Jahr an derselben Stelle finden:
- Geltungsbereich: alle Domains und Subdomains des Kunden, Hoster, Redaktionssystem und die Zuständigkeiten zwischen Kunde, Agentur und Hoster.
- TLS und Security-Header: die Messreihe über das Jahr, jeder Befund mit dem Datum seiner Behebung.
- Versionen und Updates: Update-Protokoll, Befunde zu sichtbaren Versionen und Supportende, begründete Ausnahmen mit Ersatzmaßnahme.
- Sicherung und Wiederherstellung: die Heartbeat-Reihe der Sicherungsläufe und die Protokolle der Wiederherstellungstests mit ihrem Turnus.
- Änderungen und Vorfälle: Screenshot-Changelog, Vorfallsliste und die Abbilder, die vor Bereinigungen gezogen wurden.
- Zugänge der Agentur: Konten mit Rolle, Status der Zwei-Faktor-Anmeldung und Datum der letzten Durchsicht.
- Ablauf im Schadenfall: Ansprechpartner bei Kunde, Agentur, Hoster und Versicherer sowie die Reihenfolge von Meldung, Sicherung des Schadenbilds und Bereinigung.
Als Datei im Projektverzeichnis kann die Gliederung so aussehen. Die Adressen enden auf .invalid, weil es Beispieldaten sind:
kunde: Mandant A
versicherungsjahr: 2026-11-01 bis 2027-10-31
domains:
- www.kunde.example.invalid
- shop.kunde.example.invalid
zustaendig:
website: Agentur
server: Hoster laut Vertrag
arbeitsplaetze: Kunde
register:
01-geltungsbereich: domains-und-zustaendigkeiten.pdf
02-tls-header: scan-reihe-2026.pdf
03-versionen-updates: update-protokoll.csv
04-sicherung: heartbeat-reihe.pdf, wiederherstellung-2026-03.pdf
05-aenderungen-vorfaelle: changelog-export.pdf, vorfaelle.csv
06-zugaenge-agentur: zugaenge-2026-10.csv
07-ablauf-schadenfall: ablauf-und-kontakte.pdf
nicht_im_ordner:
- Firewall und Endgeräteschutz beim Kunden
- Nutzerverwaltung im Unternehmensnetz
Für eine Stichprobe am Antragstag genügen wenige Befehle. Sie zeigen die Sicherheitsheader, das Ablaufdatum des Zertifikats und die Prüfsumme eines gesicherten Abbilds:
Solche Einzelabfragen sind gut für eine Stichprobe, aber noch kein Ordner. Die Reihe entsteht erst, wenn Messungen automatisch laufen und als Bericht abgelegt werden. Wie Agenturen das für viele Kunden einrichten, beschreibt der Beitrag zu automatisierten Wochenberichten für Kunden. Mit XICTRAQ entstehen dafür PDF-Berichte wöchentlich oder monatlich, auf Wunsch im eigenen Erscheinungsbild, die direkt in das passende Register wandern.
Ein Ordner, der am Antragstag und am Verlängerungstag denselben Aufbau hat, macht Veränderungen sichtbar, auch für den Kunden selbst. Die Logik ist dieselbe wie beim Messprotokoll zur Website-Abnahme: Wer den Zustand zu einem Stichtag mit Messweg und Datum festhält, muss später nicht aus der Erinnerung argumentieren.
Rolle und Grenze der Agentur
Die Agentur ist in diesem Ablauf Nachweislieferant, nicht Versicherungsvermittler und nicht Rechtsberater. Sie beurteilt nicht, ob eine Klausel wirksam ist, welcher Tarif passt oder ob der Versicherer im Schadenfall leistet. Sie liefert Fakten zu dem Teil der IT, den sie betreut, und benennt ebenso deutlich, welche Teile sie nicht betreut. Diese Grenze gehört schriftlich in den Betreuungsvertrag, damit sich im Schadenfall niemand auf eine vermutete Zuständigkeit beruft.
Für Agenturen mit vielen Kunden ist der Nachweisordner eine Leistung, die sich beschreiben und abrechnen lässt: ein fester Umfang je Website, ein fester Termin vor der Verlängerung, eine Übergabe an den Kunden mit kurzer Erläuterung. Wie XICTRAQ Agenturen dabei mit Mandanten, Berichten und Rollen unterstützt, steht auf der Seite XICTRAQ für Agenturen.
Ob ein Versicherer Monitoring-Berichte als Nachweis anerkennt, entscheidet er selbst, und ob er im Schadenfall leistet, hängt vom Vertrag und vom Einzelfall ab. Formulierungen wie „mit diesem Ordner sind Sie abgesichert“ gehören weder in ein Angebot noch in eine E-Mail an den Kunden. Richtig ist: Der Ordner macht die Angaben zur Website überprüfbar.
Dieser Beitrag stützt sich auf: GDV, „Nur eins von 20 Unternehmen in Deutschland ist gegen Cyberangriffe versichert“ (Geschäftszahlen 2025); GDV, Medieninformation „Mehr Cyberschäden – Prävention wichtiger denn je“ vom 5. September 2024 mit Ergebnissen einer Forsa-Umfrage unter 300 Mittelständlern; GDV, Allgemeine Versicherungsbedingungen für die Cyberrisiko-Versicherung (AVB Cyber), Musterbedingungen mit Stand Februar 2024, Abschnitte A1-16, B3-1, B3-3 und B3-4, laut Deckblatt eine unverbindliche Bekanntgabe; BSI, Die Lage der IT-Sicherheit in Deutschland 2025, Kurzfassung. Der Beitrag ersetzt keine Rechts- oder Versicherungsberatung; maßgeblich sind die Bedingungen des jeweiligen Vertrags.