Cyber-Versicherung 2026: Was sie trägt, wenn dein Büro stillsteht – und wo deine Berufshaftpflicht aufhört

Markus führt seit elf Jahren ein Einzelbüro mit 38 Betreuungen. An einem Dienstag im Februar fährt sein Rechner hoch, aber die Ordnerstruktur ist weg. Stattdessen liegt eine Textdatei auf dem Desktop: Seine Daten seien verschlüsselt, eine Zahlung bringe die Freigabe. Betroffen sind die Betreuungsakten, die Vermögensübersichten, der Mailverkehr mit vier Betreuungsgerichten. Ein Backup läuft täglich. Ob es sich zurückspielen lässt, hat Markus nie ausprobiert.

Was er in diesem Moment noch nicht weiß: Die nächsten zwei Wochen kosten ihn Geld aus fünf verschiedenen Richtungen gleichzeitig. Seine Berufshaftpflichtversicherung, die er jedes Jahr pflichtgemäß nachweist, trägt davon so gut wie nichts – was kein Versäumnis seines Versicherers ist, sondern schlicht daran liegt, wofür diese Police gemacht wurde.

Dieser Beitrag sortiert, welche Kosten nach einem Cybervorfall in einem Kleinstbüro tatsächlich anfallen, welche Versicherung wofür zuständig ist, was eine Cyber-Versicherung nach den Musterbedingungen der Branche leistet und wo sie ausdrücklich nicht zahlt. Am Ende steht eine Prüfliste für den Angebotsvergleich.

Fünf Kostenrichtungen, die gleichzeitig aufgehen

Die erste Rechnung kommt meist von einer IT-Fachkraft. Jemand muss feststellen, wie die Schadsoftware ins System kam, ob sie noch aktiv ist und ob Daten abgeflossen sind. Diese Frage ist nicht akademisch: Von ihrer Antwort hängt ab, ob eine Meldung an die Datenschutzaufsicht nötig ist und ob betroffene Personen benachrichtigt werden müssen.

Die zweite Richtung ist die Wiederherstellung. Systeme neu aufsetzen, Software neu lizenzieren, Daten aus dem Backup zurückholen. Genau hier zeigt sich bei Markus, was ein ungetestetes Backup wert ist: Seit einem Softwareupdate im Oktober sicherte das Programm nur noch einen Teilordner. Vier Monate Aktenpflege sind weg und müssen aus Papierunterlagen und Gerichtspost rekonstruiert werden.

Dann der Ausfall. Markus arbeitet in diesen zwei Wochen stark eingeschränkt. Er kann keine Vermögensübersicht erstellen, keinen Jahresbericht abschließen, keine Anträge stellen. Vier Fristen gegenüber Betreuungsgerichten laufen in dieser Zeit ab. Seine Einnahmen brechen nicht sofort ein, weil die Fallpauschalen unabhängig vom Tagesgeschäft weiterlaufen – die Arbeit staut sich trotzdem, und der Rückstand kostet ihn später Wochenenden oder eine Aushilfe.

Die vierte Richtung ist die Rechtspflicht. Nach Artikel 33 der Datenschutz-Grundverordnung muss eine Verletzung des Schutzes personenbezogener Daten unverzüglich und möglichst binnen 72 Stunden an die zuständige Aufsichtsbehörde gemeldet werden, sofern ein Risiko für die Betroffenen besteht. Bei hohem Risiko kommt nach Artikel 34 die Benachrichtigung der betroffenen Personen hinzu. Beides muss jemand prüfen, formulieren und verschicken.

Die fünfte Richtung meldet sich später – manchmal Monate danach. Betroffene können nach Artikel 82 der Datenschutz-Grundverordnung Schadensersatz verlangen. In einem Betreuungsbüro sind das potenziell alle Klient:innen, deren Gesundheits-, Vermögens- oder Ausweisdaten betroffen waren. Wie solche Ansprüche im Einzelnen bewertet werden, entwickelt die Rechtsprechung derzeit fort.

Vier dieser fünf Richtungen sind Kosten, die in deinem eigenen Betrieb entstehen. Nur die letzte ist ein Anspruch, den jemand von außen gegen dich richtet. Diese Unterscheidung entscheidet über die gesamte Versicherungsfrage.

Warum die Pflichtversicherung genau das Falsche abdeckt

Der Nachweis einer Berufshaftpflichtversicherung gehört zu den Voraussetzungen der Registrierung. Grundlage ist § 23 Absatz 1 Nummer 3 des Betreuungsorganisationsgesetzes (BtOG) in Verbindung mit § 10 der Betreuerregistrierungsverordnung (BtRegV). Am Markt läuft diese Police meist unter der Bezeichnung Vermögensschaden-Haftpflichtversicherung (VSH).

In § 10 BtRegV steht der Satz, um den es hier geht: Die Versicherung muss die Haftpflichtgefahren decken, die sich aus der Berufstätigkeit für Vermögensschäden ergeben – mit einer Mindestversicherungssumme von 250.000 Euro je Versicherungsfall und einer Million Euro für alle Fälle eines Versicherungsjahres. Ein Selbstbehalt bis zu einem Prozent der Mindestversicherungssumme ist zulässig. Der Versicherer muss außerdem die für dich zuständige Stammbehörde informieren, wenn der Vertrag endet oder sich so ändert, dass der vorgeschriebene Schutz leidet.

Zwei Wörter in diesem Satz entscheiden alles: Haftpflichtgefahren und Vermögensschäden. Haftpflicht heißt: Jemand anderes macht einen Anspruch gegen dich geltend. Vermögensschaden heißt: ein Schaden, der weder Personen- noch Sachschaden ist. Die Police springt also ein, wenn du bei einer betreuten Person durch einen beruflichen Fehler einen finanziellen Schaden verursachst und diese Person – oder das Betreuungsgericht, oder eine Erbengemeinschaft – Ersatz von dir verlangt.

Von den fünf Kostenrichtungen bei Markus fällt darunter genau eine: die Ansprüche Betroffener. Und auch die nicht ohne Weiteres, denn ob eine konkrete VSH datenschutzrechtliche Ansprüche einschließt, hängt vom jeweiligen Bedingungswerk ab – eine Frage, die du deinem Versicherer schriftlich stellen solltest. Forensik, Wiederherstellung, Ausfall und Meldeaufwand fallen dagegen als eigene Kosten bei dir an. Für solche Eigenschäden ist eine Vermögensschaden-Haftpflicht nicht gebaut.

In einem Satz: Deine Pflichtversicherung schützt fremdes Vermögen vor deinen Fehlern, nicht dein Büro vor fremden Angriffen. Wie sich Vermögensschaden-Haftpflicht und Berufsrechtsschutz zueinander verhalten, ordnet der Beitrag Schild und Schwert ein.

Die vier Bausteine einer Cyber-Police

Für die Cyberrisiko-Versicherung gibt es unverbindliche Musterbedingungen des Gesamtverbands der Deutschen Versicherungswirtschaft: die Allgemeinen Versicherungsbedingungen für die Cyberrisiko-Versicherung (AVB Cyber), aktueller Stand Februar 2024. Kein Versicherer muss sie verwenden, und jedes Angebot kann abweichen. Für einen Vergleich sind sie trotzdem die brauchbarste Referenz, weil sie anbieterneutral und öffentlich zugänglich sind. Alle Fundstellen in diesem Abschnitt beziehen sich auf diese Fassung. Zugeschnitten sind die Bedingungen auf Betriebe bis 50 Millionen Euro Umsatz und 250 Beschäftigte – ein Einzelbüro liegt weit innerhalb der Zielgruppe.

Ausgangspunkt der Bedingungen ist die Informationssicherheitsverletzung (A1-2): eine Beeinträchtigung der Verfügbarkeit, Integrität oder Vertraulichkeit elektronischer Daten oder der Systeme, die du beruflich nutzt. Ob die Daten bei dir liegen oder bei einem Dienstleister, spielt für die Definition zunächst keine Rolle. Auslöser können Angriffe, unberechtigte Zugriffe, Eingriffe in Systeme, Schadprogramme oder auch eine Handlung sein, die zu einem Datenschutzverstoß führt.

Darauf setzen vier Abschnitte auf:

Gleicht man das mit den fünf Kostenrichtungen ab, liegen die Lücken deiner Pflichtversicherung vor allem in A2 und A4, teilweise auch in A3.

Beim Eigenschaden-Baustein lohnt für Berufsbetreuer:innen allerdings ein genauer Blick, und hier wird es unbequem. Der Unterbrechungsschaden ist nach A4-1.1.2 definiert als Betriebsgewinn und fortlaufende Kosten, die während der Unterbrechung nicht erwirtschaftet werden können. Wenn deine Fallpauschalen unabhängig davon weiterlaufen, ob dein Rechner läuft, ist ein solcher Ertragsausfall schwerer darzustellen als bei einem Handwerksbetrieb mit stehenden Maschinen. Der Baustein zur Datenwiederherstellung (A4-2) greift dagegen unabhängig davon. Wer ein Angebot prüft, sollte deshalb ausdrücklich fragen, woran der Tagessatz anknüpft und wie der Versicherer einen Unterbrechungsschaden bei einer pauschalierten Vergütung bewertet. Aus den Musterbedingungen allein lässt sich diese Frage nicht beantworten.

Ein zweites Detail betrifft die Reihenfolge im Ernstfall. Die Kosten in A2 sind nur nach vorheriger Abstimmung mit dem Versicherer gedeckt. Wer im ersten Schock die eigene IT-Firma beauftragt und drei Tage später den Versicherer anruft, kann auf den Rechnungen sitzen bleiben. Erst der Versicherer, dann der Dienstleister.

Wo die Police aufhört

Was ein Bedingungswerk wirklich taugt, steht in seinen Ausschlüssen. Sechs davon sind für ein Betreuungsbüro praktisch bedeutsam.

Lösegeld ist nicht versichert (A1-17.6). Die Zahlung von Löse- oder Erpressungsgeldern und die Erfüllung von Erpressungsforderungen sind ausdrücklich ausgeschlossen. Wer hofft, die Police werde das Problem im Zweifel freikaufen, irrt. Gedeckt sind die Kosten, mit denen du ohne Zahlung wieder arbeitsfähig wirst: Forensik, Wiederherstellung, Ausfall.

Bußgelder sind nicht versichert (A1-17.10). Strafen und Bußgelder gegen dich sind ausgeschlossen, sofern nichts anderes vereinbart ist. Ein Bußgeld der Datenschutzaufsicht trägst du selbst. Die Kosten, die dir durch die Prüfung und Erfüllung der Melde- und Informationspflichten entstehen, sind dagegen gedeckt (A2-2.1). Zwei verschiedene Posten, die im Beratungsgespräch leicht durcheinandergeraten.

Der Ausfall externer Dienstleister ist eine Lücke (A1-2.2). Bedienst du dich eines externen Dienstleisters, besteht kein Versicherungsschutz für Schäden, die durch Ausfall, Unterbrechung oder Störung dieser Dienstleistung entstehen, soweit sie die Verfügbarkeit deiner Daten oder Systeme beeinträchtigen. Wenn deine Betreuungssoftware in der Cloud liegt und der Anbieter für vier Tage offline ist, greift die Police nach dieser Klausel nicht. Für ein Büro, das vollständig auf gehostete Software setzt, ist das der wichtigste Prüfpunkt im ganzen Vertrag.

Infrastrukturausfälle sind ausgeschlossen (A1-17.5). Fallen Strom, Telefon- oder Internetnetze großflächig aus, greift der Schutz nicht. Auch das trifft ein Homeoffice-Büro anders als einen Konzern mit Notstromversorgung.

Mehrere Vorfälle können ein Versicherungsfall sein (A1-15). Versicherungsfälle, die auf derselben Ursache beruhen oder auf gleichen Ursachen mit innerem Zusammenhang, gelten als ein einziger Fall – Serienschaden. Selbstbeteiligung und Versicherungssumme greifen dann nur einmal. Bei einer Angriffswelle, die dich über drei Wochen zweimal trifft, wird das schnell teuer.

Vorsatz und wissentliche Pflichtverletzung sind ausgeschlossen (A1-17.9) – wie in jeder Haftpflichtsparte. Aufschlussreich ist die Gegenrichtung: Verletzt du eine Obliegenheit grob fahrlässig, darf der Versicherer seine Leistung nach B3-4.2 nur in dem Verhältnis kürzen, das der Schwere des Verschuldens entspricht. Du kannst außerdem nachweisen, dass die Verletzung für den Schaden nicht ursächlich war. Ein vergessenes Update führt also nicht automatisch zu null Euro.

Dazu kommen die Größen, die kein Ausschluss sind, aber die Leistung begrenzen: Selbstbeteiligung je Fall, Versicherungssumme, Jahreshöchstentschädigung, Sublimits für einzelne Bausteine, bei der Betriebsunterbrechung zusätzlich ein Tagessatz, eine Haftzeit und eine zeitliche Selbstbeteiligung (A4-1.3.3). Diese letzte Größe steht selten im Angebotsvergleich: Für die ersten vereinbarten Tage gibt es keinen Tagessatz, egal wie hoch der Schaden ist.

Und ein Zeitfaktor, der bei der Liquiditätsplanung zählt: Bei Eigenschäden und Kosten kannst du nach A1-13.2 frühestens einen Monat nach Schadenmeldung eine Abschlagszahlung in der Höhe verlangen, die nach Lage der Dinge mindestens zu zahlen ist. Den Wiederaufbau finanzierst du bis dahin vor.

Was der Vertrag von dir verlangt, bevor er trägt

Eine Cyber-Police setzt technischen Basisschutz voraus. Die Musterbedingungen listen die Mindestanforderungen unter A1-16 als Obliegenheiten vor Eintritt des Versicherungsfalls auf – als vertragliche Pflichten also, nicht als gut gemeinte Empfehlungen. Verlangt werden im Kern: individuelle Zugänge für alle Nutzerinnen und Nutzer mit technisch erzwungenen Passwort-Mindestanforderungen, administrative Zugänge ausschließlich für administrative Tätigkeiten, zusätzlicher Schutz für Geräte mit erhöhtem Risiko wie Server und Mobilgeräte, ein automatisch aktuell gehaltener Schutz gegen Schadsoftware, ein Patch-Management, das Sicherheitsupdates zeitnah einspielt, und ein mindestens wöchentlicher Sicherungsprozess.

Beim Backup wird es konkret. Kein System und keine Befugnisebene darf Schreibrechte auf Original und Duplikat zugleich haben – sonst verschlüsselt die Schadsoftware die Sicherung gleich mit. Und die Bedingungen verlangen, dass du die ordnungsgemäße Funktion des Sicherungs- und Wiederherstellungsprozesses durch regelmäßige Prüfung nach einem festgelegten Turnus sicherstellst. Genau daran scheitert Markus: Die Sicherung lief täglich, aber niemand hat je überprüft, was dabei herauskommt.

Das klingt nach Aufwand, deckt sich aber weitgehend mit dem, was das Bundesamt für Sicherheit in der Informationstechnik im IT-Grundschutz ohnehin als Basisniveau beschreibt. Der Vertrag macht daraus etwas Verbindliches.

Wie weit der Mittelstand davon entfernt ist, zeigt die Forsa-Umfrage im Auftrag des Gesamtverbands der Deutschen Versicherungswirtschaft vom September 2025: 77 Prozent der 300 Befragten halten ihr Unternehmen für ausreichend gewappnet, mehr als zwei Drittel erfüllen aber nicht einmal alle Basiskriterien. 48 Prozent haben keinen Notfallplan. Und 68 Prozent der erfolgreichen Angriffe begannen mit einer Phishing-Mail oder einer Mail mit Schadsoftware – weshalb sich der Blick auf gefälschte E-Mails mindestens so sehr lohnt wie der auf das Bedingungswerk.

Deine Rolle: Bürorisiko, nicht Aufgabenkreis

Eine Abgrenzung, die im Alltag für Verwirrung sorgt: Der Schutz deiner Büro-IT ist deine unternehmerische Angelegenheit und nicht Teil der Vermögenssorge. Die Beiträge trägst du als Betriebsausgabe deines Büros. Sie werden weder aus dem Vermögen betreuter Personen bezahlt noch über die Vergütung gesondert abgerechnet.

Datenschutzrechtlich stehst du dagegen in der Rolle des Verantwortlichen: Die Klient:innendaten in deinem System sind deine Verarbeitung, und die Melde- sowie Benachrichtigungspflichten treffen dich persönlich. Eine Versicherung kann die Kosten dieser Pflichten übernehmen; erfüllen musst du sie selbst.

Über den Abschluss, die Bausteine und die Selbstbeteiligung entscheidest du. Die Bewertung eines konkreten Bedingungswerks im Detail solltest du dir dagegen von Versicherungsmakler:innen holen, die nicht an einen einzelnen Anbieter gebunden sind. Je nach Einzelfall kann zusätzlich anwaltlicher Rat sinnvoll sein, etwa wenn nach einem Vorfall Ansprüche im Raum stehen.

Ein Punkt, der leicht untergeht: Die Cyber-Police ist keine Registrierungsvoraussetzung. Nach § 10 BtRegV ist es dein Versicherer, der die Stammbehörde informieren muss, wenn deine Berufshaftpflicht endet oder sich der vorgeschriebene Schutz verschlechtert – für die Cyber-Police gilt das nicht. Wer beide Verträge im Kopf zusammenwirft, kündigt im Zweifel den falschen.

Was du dokumentieren solltest – vor und nach dem Vorfall

Vor einem Vorfall geht es um Nachweisbarkeit. Die Obliegenheiten aus dem Vertrag musst du im Schadenfall belegen können, und ein Screenshot vom Backup-Programm reicht dafür selten. Führe eine schlichte Datei mit: welche Systeme du nutzt, wer administrative Zugänge hat, wann zuletzt Updates eingespielt wurden, wann du zuletzt eine Wiederherstellung getestet hast und mit welchem Ergebnis. Wenn ein IT-Dienstleister für dich arbeitet, lass dir diese Punkte schriftlich bestätigen – seine Leistung ist im Ernstfall dein Nachweis.

Nach einem Vorfall verschiebt sich der Fokus. Nach B3-3.4 der Musterbedingungen musst du das Schadenbild unverändert lassen, bis der Versicherer eine Veränderung gestattet; sind Veränderungen unumgänglich, ist es nachvollziehbar zu dokumentieren. Wer sofort alles plattmacht und neu aufsetzt, vernichtet die Spuren, die Forensik und Versicherer brauchen. Das widerspricht dem ersten Impuls, deshalb gehört dieser Punkt in den Notfallzettel und nicht ins Gedächtnis.

Halte fest, sobald du kannst: Zeitpunkt der Entdeckung, was genau du gesehen hast, Fotos oder Screenshots der Bildschirmmeldung, wen du wann informiert hast, welche Systeme betroffen waren und welche nicht. Den Schadeneintritt musst du dem Versicherer nach B3-3.2 unverzüglich anzeigen; macht ein Dritter Ansprüche gegen dich geltend, gilt eine Frist von einer Woche. Dieselben Notizen brauchst du parallel für die Meldung an die Aufsichtsbehörde. Wie diese Meldung Schritt für Schritt abläuft, steht im 72-Stunden-Fahrplan zur Datenpanne.

Sieben Fragen an jedes Angebot

Wenn du Angebote vergleichst, führen Prämie und Deckungssumme allein in die Irre. Diese sieben Fragen bringen mehr: