Das Wichtigste in Kürze
- Härtere Zeichnungsrichtlinien: Versicherer lehnen Anträge ohne flächendeckende Mehrfaktor-Authentifizierung (MFA) und getrennte Backups inzwischen kategorisch ab.
- Regelmässige Sicherheitsaudits: Für Deckungssummen ab CHF 1 Mio. fordern die meisten Assekuranzen regelmässige externe Schwachstellen- oder Penetrationstests.
- Obliegenheitsverletzungen: Wer im Fragebogen angibt, regelmässig zu patchen oder zu prüfen, dies im Ernstfall aber nicht belegen kann, verliert seinen Versicherungsschutz.
- Prämienrabatte: Ein aktuelles Sicherheitszertifikat (wie das Suisse Guard Zertifikat nach ISO 27001) erleichtert den Abschluss und führt oft zu spürbaren Rabatten auf die Jahresprämie.
1. Warum die Cyberversicherer die Zügel angezogen haben
Zwischen 2018 und 2023 war der Schweizer Markt für Cyberpolicen von Verdrängungswettbewerb geprägt. Policen wurden mit geringen Risikoabfragen verkauft. Die verheerenden Ransomware-Wellen ab 2023 (u. a. Angriffe auf Swissport, Xplain, Comparis, Medienhäuser und diverse Spitäler) führten bei den Versicherern zu drastischen Verlusten. Die Schaden-Kosten-Quote («Combined Ratio») explodierte.
Die Konsequenz für 2026: Versicherer agieren heute wie strenge Auditoren. Die Risikofragebögen umfassen oft 40 bis 80 Einzelfragen zu technischen Kontrollen.
2. Die K.O.-Kriterien der Schweizer Assekuranzen
Wenn eine Organisation eines der folgenden Kriterien nicht erfüllt, wird der Antrag in der Regel direkt abgelehnt oder Ransomware-Schäden werden explizit aus der Deckung ausgeschlossen:
1. Mehrfaktor-Authentifizierung (MFA) ohne Ausnahme
MFA muss für alle Fernzugriffe (VPN, Citrix, RDP), Webmail, Microsoft 365 sowie für alle Konten mit administrativen Rechten zwingend aktiviert sein. SMS-basierte Codes werden von anspruchsvollen Policen bereits kritisch hinterfragt; gefordert werden App-basierte Token (TOTP) oder FIDO2-Sicherheitsschlüssel.
2. Unveränderbare und getrennte Backups (Immutable Backups)
Das Backup-System muss physisch oder kryptografisch vom operativen Netzwerk getrennt sein (Air-Gap oder WORM-Speicher). Wenn ein Angreifer mit Domain-Admin-Rechten in der Lage ist, die Backups zu löschen oder zu verschlüsseln, gilt das Backup als ungenügend.
3. Fristgerechtes Patch-Management für exponierte Systeme
Kritische Sicherheitslücken (CVSS ≥ 9.0) an Systemen mit direktem Internetkontakt müssen nachweislich innert 7 bis 14 Tagen geschlossen werden. Genau diesen Nachweis liefert eine kontinuierliche Aussenflächen-Überwachung.
4. Externe Sicherheitsüberprüfung
Versicherer verlangen zunehmend einen Nachweis darüber, dass die Aussenfläche mindestens einmal jährlich durch einen unabhängigen Dritten auditiert wurde.
| Anforderung im Versicherungsfragebogen | Typische Fragestellung | Wie Suisse Guard den Nachweis erbringt |
|---|---|---|
| Prüfung der Internet-Aussenfläche | «Werden Ihre extern erreichbaren Systeme regelmässig auf Schwachstellen geprüft?» | Dossier der Bedrohungsanalyse mit vollständigem Host- und Portinventar aller 12 Prüfbereiche. |
| Nachprüfung von Schwachstellen | «Werden gefundene Schwachstellen verifiziert und behoben?» | Protokoll der Nachprüfung (Re-Test) belegt die Schliessung aller kritischen Einstiege. |
| Offizieller Prüfnachweis | «Liegt ein Zertifikat oder Auditbericht eines qualifizierten Anbieters vor?» | Offizielles Sicherheitszertifikat der Suisse IT GmbH (ISO/IEC 27001:2022 zertifiziert durch Swiss Safety Center). |
3. Die Falle der Falschangaben (Obliegenheiten)
Im Schadenfall schickt jede Versicherung spezialisierte Forensiker (Incident Response Teams) ins Unternehmen. Diese ermitteln den exakten Einbruchsweg. Stellt sich heraus, dass der Kunde im Antragsformular angegeben hat: «Alle Fernzugänge sind mit MFA gesichert», der Angreifer jedoch über ein vergessenes Support-VPN ohne MFA eingedrungen ist, verweigert der Versicherer die Schadensübernahme wegen grobfahrlässiger Falschdeklaration.
Mit der Bedrohungsanalyse von Suisse Guard schützen Sie sich vor genau dieser Haftungsfalle: Wir decken solche Lücken auf, bevor der Versicherungsantrag unterschrieben wird.
Erfüllen Sie die Anforderungen Ihrer Cyberversicherung?
Lassen Sie Ihre Angriffsfläche vor dem Versicherungsabschluss oder der Erneuerung prüfen und sichern Sie sich den vollen Deckungsschutz.
