Autor: Jakub Novák

Cybersicherheit im Homeoffice beginnt nicht mit der Firewall – sie beginnt mit der Entscheidung, die ein IT-Mitarbeiter im Median in 21 Sekunden trifft: klicken oder nicht (Verizon DBIR 2024). 28 Minuten vergehen im Median zwischen dem ersten Klick auf einen Phishing-Link und der Meldung an das Sicherheitsteam (Verizon DBIR 2025). In dieser halben Stunde kann ein Angreifer Zugangsdaten nutzen, sich lateral im Netzwerk bewegen und Daten exfiltrieren – und in der Versicherungsbranche läuft ab diesem Moment eine regulatorische Uhr: Frühwarnung innerhalb von 24 Stunden, Erstbewertung innerhalb von 72 Stunden, persönliche Haftung der Geschäftsführung inklusive.
68 Prozent aller Datenpannen entstehen nicht durch technische Lücken, sondern durch menschliche Entscheidungen unter Zeitdruck (Verizon DBIR 2024). IT-Fachkräfte mit privilegiertem Systemzugang sind dabei kein zufälliges Ziel – sie erhalten laut Barracuda (2021) im Schnitt 40 gezielte Phishing-Angriffe pro Jahr. Wer remote arbeitet, verliert dabei genau den informellen Schutz, der im Büro selbstverständlich ist: den Kollegen, den man kurz fragen kann.

Was bedeutet Cybersicherheit im Homeoffice für IT-Fachkräfte?

Firmengerät, VPN, MDM – die technische Infrastruktur liegt in den Händen des Arbeitgebers. Trotzdem sind 68 Prozent aller Datenpannen auf einen menschlichen Faktor zurückzuführen, nicht auf technische Lücken (Verizon DBIR 2024). Für IT-Fachkräfte ist das keine abstrakte Statistik: Privilegierter Systemzugang macht sie zum primären Ziel gezielter Angriffe. Laut einer Barracuda-Studie aus dem Jahr 2021 erhalten IT-Mitarbeiter im Schnitt 40 gezielte Phishing-Angriffe pro Jahr – eine Zahl, die angesichts des seither stark gestiegenen Einsatzes von KI in Phishing-Kampagnen heute eher als Untergrenze zu verstehen ist.

Cybersicherheit im Homeoffice ist deshalb keine Frage der Konfiguration, sondern der Entscheidungen unter Zeitdruck: Ist diese Anfrage legitim? Kommt diese E-Mail wirklich vom Kollegen? Warum fragt der IT-Support gerade nach meinen Zugangsdaten?

In der Versicherungsbranche verschärft ein regulatorischer Doppelrahmen die Lage: DSGVO verpflichtet zum Datenschutz und zur Meldung von Datenpannen innerhalb von 72 Stunden. NIS2 geht weiter – mit einer dreistufigen Meldepflicht: Frühwarnung innerhalb von 24 Stunden, Erstbewertung innerhalb von 72 Stunden, Abschlussbericht innerhalb eines Monats. Hinzu kommt die persönliche Haftung der Geschäftsführung für nachweisbare Sicherheitsmaßnahmen. Ein kompromittiertes Konto ist hier kein isolierter Vorfall – es ist ein Compliance-Ereignis mit konkreten Fristen, die ab dem Moment der Erkennung laufen.

Digitalisierung11 min.

21. 4. 2026

Was ist Cybersecurity? Definition, Bedrohungen und wirksame Schutzmaßnahmen

Cybersicherheit ist mehr als Technologie. Was Unternehmen wirklich schützt – und wo die größten Lücken entstehen.

Die drei Säulen der Cybersicherheit: Das CIA-Modell

Confidentiality, Integrity, Availability – das Sicherheits-Dreieck kennt jeder aus der IT-Grundausbildung. Unter NIS2 verändert sich seine Funktion: Es ist nicht mehr nur ein Ordnungsschema für Risiken, sondern ein Klassifikationswerkzeug mit konkreten Rechtsfolgen. Welche der drei Säulen bei einem Vorfall verletzt wurde, bestimmt, wie der Vorfall gemeldet wird, welche Systeme priorisiert isoliert werden müssen und welche regulatorischen Rahmen parallel greifen.

Für IT-Fachkräfte in der Versicherungsbranche bedeutet das: Die Einschätzung „was wurde kompromittiert?“ ist keine akademische Übung nach dem Vorfall. Sie ist eine der ersten operativen Entscheidungen – und sie läuft gegen die 24-Stunden-Frühwarnfrist des BSI.

Jeder erhebliche Vorfall – unabhängig davon, welche Säule betroffen ist – kann zudem die persönliche Haftung der Geschäftsleitung nach § 38 BSIG auslösen, wenn die Risikomanagementpflichten nach § 30 BSIG schuldhaft verletzt wurden. Ein Haftungsverzicht ist gesetzlich ausgeschlossen.

Im Homeoffice ist Confidentiality die am stärksten exponierte Säule für verhaltensbedingte Risiken – nicht durch Angriffe auf die Infrastruktur, sondern durch den Kontext des Arbeitens selbst: ein ungesperrter Bildschirm während einer kurzen Pause, ein Call über Kundendaten in einer Wohnumgebung, eine versehentliche Weiterleitung an den falschen Empfänger. Technische Kontrollen helfen hier nur bedingt. Die Grenze liegt dort, wo Verhalten beginnt – und genau dort setzen auch die häufigsten Angriffe an.

Warum schwächt Homeoffice die Cybersicherheit?

Die Antwort liegt nicht in der Technik. Die Endpoint-Konfiguration – VPN, MDM, zentral verwaltete Geräte – ist im Homeoffice dieselbe wie im Büro. Was sich ändert, ist das Netzwerkumfeld: Ein Firmengerät im Heimnetzwerk operiert außerhalb der kontrollierten Unternehmensperimeter, ohne netzwerkseitiges Monitoring. Der entscheidende Risikofaktor ist jedoch keiner davon – es ist der Kontext, in dem Entscheidungen getroffen werden. Die strukturelle Antwort darauf ist Zero Trust: jeder Zugriff wird unabhängig vom Standort verifiziert.

Isoliertes Arbeiten erhöht die Reaktionszeit bei Incidents. Im Büro ist die Hemmschwelle niedrig, einen Kollegen zu fragen: „Hast du diese E-Mail auch bekommen?“ Im Homeoffice fehlt dieser informelle Sicherheitscheck. Vorfälle werden später erkannt, später gemeldet und je später ein Incident gemeldet wird, desto größer der potenzielle Schaden. Eine unbekannte E-Mail, ein verdächtiger Link – im Büro dreht man sich kurz zum Kollegen um. Im Homeoffice bleibt die Frage ungestellt. Der Zweifel löst sich nicht auf, er wird ignoriert.

Fehlende Kontexthinweise erschweren die Verifikation. Im Büro lässt sich eine ungewöhnliche Anfrage durch physische Präsenz überprüfen. Im Homeoffice existiert diese Möglichkeit nicht. Ob eine E-Mail, ein Anruf oder eine Nachricht legitim ist, lässt sich nur aktiv klären – über einen zweiten, unabhängigen Kanal. Ein Schritt, den viele unter Zeitdruck überspringen. Eine Nachricht vom „CTO“ bittet um dringende Freigabe eines Transfers. Im Büro wäre ein kurzer Blick ins Nachbarbüro möglich. Im Homeoffice bleibt nur die Nachricht – und der Zeitdruck.

Nachlassende Aufmerksamkeit in vertrauter Umgebung. Das häusliche Umfeld senkt die kognitive Wachsamkeit. Routinen werden unterbrochen, Ablenkungen erhöhen die Fehlerquote. Laut Verizon DBIR 2024 vergehen im Median nur 21 Sekunden, bis ein Nutzer auf einen Phishing-Link klickt und unter 60 Sekunden, bis auch die Zugangsdaten eingegeben sind. Von der geöffneten E-Mail bis zum vollständigen Kompromiss vergeht weniger als eine Minute.

Angriffe dieser Art folgen einem dokumentierten Muster: Der Angreifer gibt sich als IT-Security-Mitarbeiter aus, kennt interne Begriffe und erzeugt Zeitdruck – ein dringendes Audit, ein laufender Incident. Mit Deepfake-Technologie lassen sich solche Szenarien inzwischen auch per Stimme oder Video überzeugend vortäuschen. Wer gerade mitten in einem Deployment-Tag steckt, verifiziert seltener über einen zweiten Kanal. Genau das ist das Ziel.

IT-Fachkräfte sind das primäre Ziel. Social-Engineering-Angriffe sind keine Zufallstreffer. Laut Unit 42 Incident Response Report 2025 zielten 66 Prozent der beobachteten Social-Engineering-Angriffe auf privilegierte Accounts, 45 Prozent der Angreifer gaben sich als interner Mitarbeiter aus.

Die häufigsten Angriffe im IT-Alltag: Social Engineering im Homeoffice erkennen

Angreifer, die auf IT-Fachkräfte abzielen, umgehen die technische Infrastruktur – sie greifen den Menschen dahinter an. Die folgende Übersicht zeigt die sechs relevantesten Angriffsvektoren im Homeoffice-Kontext und was konkret dagegen hilft.

Alle sechs Vektoren setzen unterhalb der technischen Kontrollschicht an – dort, wo Entscheidungen unter Zeitdruck getroffen werden. Technische Abwehrmaßnahmen allein reichen hier nicht aus. Verhaltensbasierte schon – aber nur als geübte Routine, nicht als Reaktion im Ernstfall.

7 Maßnahmen, die jeder IT-Mitarbeiter kennen sollte

Endpoint Protection, Festplattenverschlüsselung, Patch-Management, Malware-Erkennung – diese technischen Maßnahmen verantwortet in der Regel der Arbeitgeber. Trotzdem enthält laut Verizon DBIR 2024 der menschliche Faktor 68 Prozent aller Datenpannen. IT-Sicherheit im Home-Office steht und fällt nicht mit der Endpoint-Konfiguration, sondern mit Entscheidungen unter Zeitdruck. Die folgende Liste konzentriert sich deshalb auf Verhaltensmaßnahmen, die du selbst kontrollierst – unabhängig davon, welche Schutzlösungen auf deinem Firmenlaptop laufen.

1. Phishing-Indikatoren aktiv prüfen. Auch eine E-Mail mit dem richtigen Namen, dem korrekten Logo und einer plausiblen Begründung kann gefälscht sein. Entscheidend sind Abweichungen in der Absenderadresse, ungewöhnliche Dringlichkeit und Anfragen außerhalb normaler Prozesse. Im Zweifel: Absender direkt kontaktieren – per Telefon oder Chat, nicht per Antwort auf dieselbe E-Mail.
2. MFA-Anfragen nie ohne eigene Initiative bestätigen. Eine MFA-Benachrichtigung, die ohne vorherigen Login-Versuch erscheint, signalisiert einen laufenden Angriff. Nicht bestätigen – sofort dem IT-Sicherheitsteam melden.
3. Unerwartete Kontaktaufnahmen über einen zweiten Kanal verifizieren. Gilt für E-Mails, Anrufe und Nachrichten – unabhängig davon, wer angeblich kontaktiert. Ein Angreifer, der den Namen eines Kollegen kennt, kann diesen überzeugend imitieren. Ruf zurück über eine Nummer aus dem internen Verzeichnis, oder schreib über einen anderen Kanal – nicht über denselben, auf dem die Anfrage kam.
4. Incidents sofort melden – auch wenn man sich nicht sicher ist. Die häufigste Reaktion nach einem versehentlichen Klick ist Abwarten: vielleicht passiert nichts, vielleicht löst es sich von selbst. Diese Logik ist verständlich und kostspielig. Laut Verizon DBIR 2025 vergehen im Median 28 Minuten zwischen dem Klick auf einen Phishing-Link und der Meldung an das Sicherheitsteam. 28 Minuten, in denen ein Angreifer Zugangsdaten nutzen, sich lateral im Netzwerk bewegen und Daten exfiltrieren kann. Regelmäßig geschulte Mitarbeiter melden Phishing viermal häufiger als ungeschulte (21 % vs. 5 %, Verizon DBIR 2025). Der Unterschied ist kein Zufall – er ist Trainingssache.
5. Physische Sicherheit konsequent umsetzen. Bildschirmsperre bei jeder Abwesenheit, auch kurzen. Keine sensiblen Gespräche in unkontrollierten Umgebungen. Privacy-Filter bei Arbeit außerhalb des Homeoffice.
6. Passwort-Hygiene ohne Ausnahmen. Einzigartiges Passwort pro System, verwaltet durch einen Passwort-Manager. Keine Weitergabe von Credentials – auch nicht an Kollegen oder vermeintlichen IT-Support.
7. Heimnetzwerk segmentieren – optional, aber wirkungsvoll. Firmengerät und private Geräte im selben Heimnetzwerk bedeutet: Ein kompromittiertes privates Gerät kann theoretisch als Ausgangspunkt für weitere Angriffe dienen. Ein separates WLAN für Arbeitsgeräte ist keine Unternehmensanforderung – aber eine Maßnahme, die IT-Fachkräfte mit Netzwerkverständnis in wenigen Minuten umsetzen können. Weitere grundlegende Verhaltensregeln zur Internet-Sicherheit haben wir separat zusammengefasst.

Tipp:

Was verrät die Cybersicherheitsstrategie eines Arbeitgebers über seine IT-Kultur? Frag im Vorstellungsgespräch nach dem letzten Sicherheits-Audit und der Incident-Response-Zeit. Ein Unternehmen, das konkrete Zahlen und Prozesse nennt, hat Sicherheit institutionalisiert. Eines, das ausweicht, ist ein Warnsignal.

Sonderfall Nearshoring: Wenn dein Homeoffice in einem anderen Land liegt

Viele IT-Fachkräfte in der Versicherungsbranche arbeiten nicht nur remote – sie arbeiten aus einem anderen EU-Land für einen deutschen Arbeitgeber. Das verändert das Risikoprofil. Laut Verizon DBIR 2025 entstehen 30 Prozent aller bestätigten Sicherheitsvorfälle über Drittparteien – eine Verdopplung gegenüber dem Vorjahr. IT-Dienstleister gelten unter DORA regulatorisch als ICT-Drittpartei ihres Auftraggebers. Das bedeutet konkret: Ein Sicherheitsvorfall auf deinem Rechner in Bratislava kann direkt die Angriffsfläche des deutschen Versicherers erweitern – über gemeinsame Zugänge, geteilte Systeme oder kompromittierte Deployment-Pipelines. Du bist nicht nur Ziel von Angriffen. Du bist Teil der Angriffsfläche deines Kunden – und das ist regulatorisch dokumentiert.

Drei regulatorische Rahmen greifen hier gleichzeitig. NIS2 verpflichtet Unternehmen in kritischen Sektoren zu Risikomanagement und Meldepflichten — und erstreckt sich über Supply-Chain-Anforderungen auf deren IT-Dienstleister. Die Slowakei hat NIS2 bereits am 1. Januar 2025 umgesetzt, elf Monate vor Deutschland (6. Dezember 2025). DORA, seit Januar 2025 anwendbar, verpflichtet Versicherer, ihre ICT-Dienstleister vertraglich auf Sicherheitsstandards, Audit-Rechte und Exit-Strategien festzulegen – unabhängig davon, in welchem EU-Land der Dienstleister sitzt. Und die BaFin-VAIT fordert von Versicherern eine dokumentierte Risikoanalyse vor jeder Auslagerung von IT-Funktionen, einschließlich laufender Überwachung und Notfallplänen.

Was das für dich konkret bedeutet: Der Sicherheitsvorfall auf deinem Rechner in Bratislava löst dieselben Meldepflichten aus wie einer in München — mit denselben Fristen (24 Stunden Frühwarnung, 72 Stunden Erstbewertung). Dein Arbeitgeber muss nachweisen können, dass du nach denselben Standards arbeitest wie ein Kollege im deutschen Büro. Und wenn du an Systemen arbeitest, die Policen- oder Schadendaten verarbeiten, bist du Teil einer digitalen Lieferkette, die unter DORA-Aufsicht steht.

Wie dein Arbeitgeber das Thema Cybersicherheit bewertet

NIS2 und DSGVO verpflichten Unternehmen zu nachweisbaren Sicherheitsmaßnahmen aber die Konsequenzen eines Sicherheitsvorfalls treffen nicht nur die Führungsebene. Als IT-Fachkraft arbeitest du täglich mit den Systemen, die im Angriffsfall kompromittiert werden. Wie ein Arbeitgeber mit Cybersicherheit umgeht, ist deshalb nicht nur eine Frage der Unternehmenskultur – es ist ein direkter Indikator dafür, in welchem Sicherheitsumfeld du operierst. Für IT-Fachkräfte, die einen Job in der Versicherungsbranche anstreben, ist Cybersicherheit im Homeoffice damit auch ein Karriere-Kriterium nicht nur ein technisches.

Die meisten Unternehmen kommunizieren Sicherheit als Priorität. Ob das Bekenntnis zur Sicherheit substanziell ist, lässt sich im Vorstellungsgespräch konkret überprüfen – mit Fragen, die keine allgemeinen Bekenntnisse zulassen, sondern messbare Antworten erfordern. Nutze diesen Cybersicherheit-Fragebogen als Orientierung für dein nächstes Vorstellungsgespräch in der IT.

Du suchst einen Arbeitgeber, der auf diese Fragen konkrete Antworten hat? msg life Slovakia sucht aktuell IT-Profis – von Java-Entwicklung bis Testing.

Seit DORA im Januar 2025 gilt, reicht es nicht mehr, gute Software zu liefern – Cybersecurity muss von Anfang an nachgewiesen werden. Bei msg life Slovakia, wo wir Lebensversicherungssoftware für namhafte europäische Versicherungsunternehmen entwickeln, ist das Alltag. Für viele Unternehmen in der Lieferkette regulierter Branchen jedoch noch nicht.
Laut BSI Lagebericht 2025 treffen 80 Prozent der dokumentierten Ransomware-Angriffe kleine und mittlere Unternehmen (KMU). Ob Büro-PC, Homeoffice-Laptop oder Smartphone auf Reisen: digitale Geräte sind die Hauptangriffspunkte für Cyberkriminelle. Die Einstiegswege sind bekannt: Phishing, schwache Passwörter, ungepatchte Systeme. Die größte Lücke liegt aber woanders – in falschen Annahmen darüber, wie gut man geschützt ist.

Fünf falsche Annahmen, die Unternehmen verwundbar machen

Viele Unternehmen investieren in Sicherheitsmaßnahmen und glauben dennoch, ausreichend geschützt zu sein. Die Lücke zwischen wahrgenommenem und tatsächlichem Schutz entsteht oft nicht durch mangelndes Budget, sondern durch falsche Annahmen. Fünf Missverständnisse, die wir in der Praxis immer wieder sehen.

Mythos 1: „Wir haben eine Firewall – also sind wir geschützt.“

Eine Firewall ist ein notwendiger Bestandteil jeder Sicherheitsarchitektur, aber kein Allheilmittel. Sie überwacht den Netzwerkverkehr und blockiert bekannte Bedrohungen – sie kann jedoch nicht verhindern, dass ein Mitarbeitender auf einen Phishing-Link klickt oder Zugangsdaten preisgibt. Laut ENISA Threat Landscape Report 2025 war Phishing in rund 60 Prozent aller beobachteten Fälle der primäre Einstiegsvektor. Kein technisches System schützt gegen einen Angriff, der den Menschen als Schwachstelle nutzt – nicht die Firewall.

Wirksamer Schutz kombiniert Technik mit Schulungen und klaren Meldeprozessen.

Mythos 2: „Als KMU sind wir zu klein, um NIS2-pflichtig zu sein.“

Diese Annahme ist verbreitet – und in vielen Fällen falsch. NIS2 verpflichtet nicht nur Großunternehmen in kritischen Sektoren direkt, sondern greift auch indirekt: Wer als Zulieferer oder Dienstleister für eine NIS2-pflichtige Organisation tätig ist, muss nachweislich Mindeststandards erfüllen. Supply-Chain-Sicherheit ist ein expliziter Bestandteil der Richtlinie.

Ein typisches Beispiel aus der Praxis: Ein IT-Dienstleister, der Softwarelösungen für Versicherungsunternehmen entwickelt oder betreibt, ist Teil der digitalen Lieferkette eines regulierten Unternehmens. Der Versicherer selbst fällt unter NIS2 und ist verpflichtet, sicherzustellen, dass seine Dienstleister angemessene Sicherheitsstandards einhalten. Wer diese Anforderungen nicht erfüllt, riskiert den Verlust von Aufträgen, noch bevor eine Behörde aktiv wird.

In Deutschland ist das NIS-2-Umsetzungsgesetz seit 6. Dezember 2025 in Kraft – ohne Übergangsfrist. Wer die eigene NIS2-Betroffenheit noch nicht geprüft hat, sollte das nachholen, bevor es ein Auftraggeber oder eine Behörde tut.

Mythos 3: „Einen Cyberangriff würden wir sofort bemerken.“

Das Gegenteil ist die Regel. Angreifer sind darauf ausgerichtet, möglichst lange unentdeckt zu bleiben. Sie kartieren das Netzwerk, eskalieren Berechtigungen und exfiltrieren Daten – oft über Wochen, bevor der eigentliche Angriff sichtbar wird. Laut IBM Cost of a Data Breach Report 2025 vergingen im Durchschnitt 158 Tage, bis ein Sicherheitsvorfall erkannt wurde – und weitere 83 Tage bis zur vollständigen Eindämmung (241 Tage insgesamt, der niedrigste Wert seit neun Jahren). Ransomware verschlüsselt die Daten erst am Ende dieses Prozesses.

Für Versicherungsunternehmen ist das besonders heikel. Wer Kundendaten, Policen oder Schadendaten verarbeitet, hat nach DSGVO Art. 33 nur 72 Stunden Zeit, einen erkannten Vorfall zu melden. Je länger ein Angriff unentdeckt bleibt, desto größer ist das Zeitfenster, in dem bereits Daten abgeflossen sein können, und desto schwieriger wird es, die Meldepflicht fristgerecht zu erfüllen. Hinzu kommt: Ein Betriebsausfall in einem Kernsystem wie der Schadenabwicklung löst nicht nur interne Kosten aus, sondern verletzt direkt SLA-Verpflichtungen gegenüber Versicherungsnehmern.

Laut NBÚ Jahresbericht 2024 stieg die Zahl der gemeldeten Vorfälle im slowakischen Gesundheitswesen von 26 auf 61. Ein Sektor, der wie das Versicherungswesen hochsensible personenbezogene Daten verarbeitet und dessen Digitalisierung schneller voranschreitet als seine Erkennungsfähigkeiten mitwachsen.

Mythos 4: „Unsere Daten liegen in der Cloud – das ist Sache des Anbieters.“

Cloud-Anbieter übernehmen Verantwortung für die Sicherheit ihrer Infrastruktur: physische Rechenzentren, Netzwerkverfügbarkeit, Basishärtung. Was innerhalb dieser Infrastruktur passiert – Zugriffsrechte, Datenverschlüsselung, Konfiguration, Nutzerkonten – liegt in der Verantwortung des Kunden. Dieses Prinzip heißt Shared Responsibility Model und ist in den Nutzungsbedingungen aller großen Cloud-Anbieter explizit verankert.

Fehlkonfigurierte Cloud-Umgebungen gehören laut BSI Lagebericht 2025 zu den häufigsten Ursachen für Datenlecks. Der Cloud-Anbieter haftet nicht für einen S3-Bucket, den ein Unternehmen versehentlich öffentlich zugänglich gemacht hat.

Mythos 5: „Nach einem Angriff sind wir sicher – Kriminelle greifen dasselbe Ziel nicht zweimal an.“

Kompromittierte Systeme werden auf kriminellen Marktplätzen gehandelt. Zugangsdaten, Netzwerkpläne und erbeutete Informationen landen nach einem erfolgreichen Angriff häufig im Darknet und werden von anderen Gruppen weitergenutzt. Ein Unternehmen, das einmal Opfer wurde, ist nicht weniger attraktiv als vorher. Im Gegenteil: Ein bekannt kompromittiertes System signalisiert, dass die Abwehr überwindbar war.

Laut BSI Lagebericht 2025 wurden im Berichtszeitraum 950 Ransomware-Angriffe dokumentiert, davon 80 Prozent gegen KMU. Das Bundeskriminalamt weist darauf hin, dass die Dunkelziffer erheblich höher liegt – viele Angriffe werden nicht gemeldet, weil betroffene Unternehmen Reputationsschäden fürchten. Wer einen Angriff übersteht, ohne die Einstiegspunkte zu schließen und Credentials zu rotieren, bereitet den nächsten vor.

Was ist Cybersicherheit?

Cybersicherheit (auch: Cybersecurity oder IT-Sicherheit) bezeichnet den Schutz von Computersystemen, Netzwerken, Programmen und Daten vor unbefugtem Zugriff, Cyberangriffen und Datenverlust. Für Unternehmen jeder Größe umfasst sie technische, organisatorische und personelle Maßnahmen, um digitale Infrastrukturen zuverlässig zu schützen. Wirksamer Schutz entsteht aus dem Zusammenspiel aller drei Ebenen.

Die Bedrohungslandschaft wächst dabei schneller als die Schutzmaßnahmen vieler Organisationen: Angriffe werden ausgefeilter, automatisierter und gezielter. Damit Cybersicherheit wirksam ist, muss sie drei Bereiche gleichzeitig abdecken:

• Menschen – jede Person in der Organisation muss grundlegende Sicherheitsprinzipien kennen: starke Passwörter verwenden, keine verdächtigen Anhänge öffnen, Bedrohungen frühzeitig erkennen.
• Prozesse – kein Unternehmen sollte ohne einen klaren Reaktionsplan für den Ernstfall dastehen, der auch regelt, wie mit gestohlenen oder geleakten Daten umzugehen ist.
• Technologie – aktuelle Schutzlösungen wie Antivirenprogramme, Firewalls und VPN-Lösungen für Remote-Arbeit sind die technische Grundlage jeder Sicherheitsstrategie.

Was ist der Unterschied zwischen Cybersicherheit und Informationssicherheit?

Die Begriffe werden oft synonym verwendet, meinen aber nicht dasselbe. Cybersicherheit konzentriert sich auf den Schutz digitaler Systeme, Netzwerke und Anwendungen vor Angriffen. Informationssicherheit ist weiter gefasst: Sie schützt Informationen unabhängig davon, ob sie digital, physisch oder mündlich vorliegen.

Kurz gesagt: Cybersicherheit ist ein Teilbereich der Informationssicherheit. Unternehmen brauchen beide Perspektiven, weil technische Schutzmaßnahmen allein Informationsrisiken nicht vollständig abdecken.

Aktuelle Bedrohungslage: Cyber Security in Europa und der Slowakei

Cyberangriffe nehmen europaweit zu, sowohl in Häufigkeit als auch in ihrer Komplexität. Der ENISA Threat Landscape Report 2025 analysiert knapp 4.900 Sicherheitsvorfälle aus dem Zeitraum Juli 2024 bis Juni 2025. DDoS-Angriffe dominieren die Vorfallsstatistik mit 81,4 Prozent, während Ransomware aufgrund ihrer finanziellen Folgen besonders relevant bleibt. Am stärksten betroffen ist der öffentliche Sektor mit 38,2 Prozent aller Vorfälle, gefolgt von Transportsektor (7,5 Prozent) und digitaler Infrastruktur sowie digitalen Diensten (4,8 Prozent).

Deutschland

Das BSI kommt in seinem Lagebericht 2025 zu einer klaren Einschätzung: Die IT-Sicherheitslage bleibt angespannt. Täglich werden durchschnittlich 119 neue Sicherheitslücken bekannt – ein Anstieg von 24 Prozent gegenüber dem Vorjahr. Im selben Zeitraum wurden zahlreiche Ransomware-Vorfälle dokumentiert, von denen besonders häufig kleine und mittlere Unternehmen betroffen waren.

Österreich

Auch in Österreich zeigt sich eine anhaltend hohe Bedrohungslage. Laut dem Bericht Cybersicherheit für das Jahr 2024 des Bundesministeriums für Inneres waren Ransomware (33,9 Prozent), Phishing (29,7 Prozent) und CEO-Fraud (12,7 Prozent) die häufigsten Angriffsarten.

2024 brachte zudem eine Zunahme geopolitisch motivierter Angriffe: Im Zuge länger andauernder Kampagnen gegen österreichische Ziele kamen DDoS-Angriffe zum Einsatz, auch im Zusammenhang mit dem Ukraine-Krieg. Besonders im Fokus der Angreifer stehen dabei häufig KMU, die aufgrund begrenzter Ressourcen oft unzureichend auf Cyberangriffe vorbereitet sind.

Slowakei

Laut dem Jahresbericht der Nationalen Sicherheitsbehörde der Slowakischen Republik (NBÚ) für 2024 war die öffentliche Verwaltung mit 703 gemeldeten Vorfällen am stärksten betroffen. Im Gesundheitswesen stieg die Zahl der Vorfälle von 26 auf 61. Als aktivste Bedrohungsgruppen wurden LockBit und RANSOMHUB identifiziert. Zusätzlich führten hacktivistische Gruppen wie NoName057(16) DDoS-Angriffe gegen slowakische Ziele im Kontext des Ukraine-Kriegs durch.

Der Finanz- und Versicherungssektor ist zwar in den NBÚ-Zahlen nicht als meistbetroffene Branche ausgewiesen, gehört aber aufgrund sensibler Finanz- und Gesundheitsdaten sowie regulatorischer Anforderungen zu den besonders sensiblen Zielbereichen. Versicherungsunternehmen verwalten neben Finanzdaten häufig auch Gesundheitsdaten ihrer Versicherungsnehmer – eine Kombination, die Cybervorfälle in diesem Bereich besonders kritisch macht.

Globaler Kontext

Zusätzliche internationale Berichte deuten ebenfalls auf einen anhaltenden Anstieg der Angriffsaktivität hin. Laut Check Point Cyber Security Report 2026 stieg die Zahl der wöchentlichen Angriffsversuche pro Organisation in Europa im Jahr 2025 um 20 Prozent gegenüber dem Vorjahr. Global verzeichnete der Report für 2025 durchschnittlich 1.968 Angriffsversuche pro Woche und Organisation, ein Plus von 70 Prozent seit 2023.

Was die Bedrohungslandschaft für Unternehmen in Mitteleuropa bedeutet

BSI, ENISA und NBÚ beleuchten die Bedrohungslage aus unterschiedlichen Perspektiven, und ihre Unterschiede sind aufschlussreicher als ihre Gemeinsamkeiten.

Das BSI schaut auf Deutschland und sieht vor allem eine technische Lücke: Schwachstellen in Systemen werden zu langsam geschlossen, Angriffsflächen unnötig groß gehalten. Die Empfehlung ist konsequentes Patch-Management und Angriffsflächenreduktion.

Das ENISA betrachtet die gesamte EU und sieht ein anderes Muster: Der Großteil der gemeldeten Vorfälle (81,4 Prozent) sind DDoS-Angriffe durch hacktivistische Gruppen mit geopolitischen Motiven. Also Angriffe, die politisch getrieben sind und wenig mit der Sicherheitsreife eines Unternehmens zu tun haben.

Der NBÚ-Bericht legt nahe, dass in einzelnen Sektoren die Digitalisierung schneller voranschreitet als der Ausbau von Sicherheitsmaßnahmen. Der starke Anstieg im Gesundheitswesen deutet auf einen Sektor hin, der die Digitalisierung schneller vorantreibt als seine Sicherheitsmaßnahmen mitwachsen.

Was bedeutet das konkret? Wer in Mitteleuropa operiert, besonders in regulierten Sektoren wie Versicherung, Gesundheitswesen oder öffentlicher Verwaltung – muss gleichzeitig drei Ebenen adressieren: technische Hygiene (BSI-Perspektive), Resilienz gegen externe geopolitische Störungen (ENISA-Perspektive) und organisatorische Grundlagen, die oft hinter dem technischen Ausbau zurückbleiben (NBÚ-Perspektive). Kein einzelner Report gibt das vollständige Bild.

Die drei Säulen der IT-Sicherheit: das CIA-Prinzip

Jede wirksame Sicherheitsstrategie baut auf drei Grundprinzipien auf, die unter dem Akronym CIA zusammengefasst werden.

Diese drei Prinzipien helfen Unternehmen, Sicherheitsmaßnahmen gezielter zu priorisieren. Denn nicht jede Maßnahme schützt alle drei Dimensionen in gleichem Maß.

Welche Cyberangriffe gibt es? Die häufigsten Bedrohungen im Überblick

Das Wissen über konkrete Angriffsformen ist der erste Schritt zur Prävention. Laut ENISA Threat Landscape Report 2025, der knapp 4.900 Sicherheitsvorfälle in der EU analysiert, dominieren DDoS-Angriffe mit 81,4 Prozent aller gemeldeten Vorfälle das Bild, auch wenn ihr operativer Schaden meist begrenzt bleibt. Ransomware ist zwar seltener, gilt aber nach wie vor als die finanziell folgenreichste Bedrohung.

Social Engineering

Social Engineering ist der Oberbegriff für Angriffe, bei denen nicht Technik, sondern der Mensch selbst das Ziel ist. Angreifer nutzen psychologische Manipulationstechniken wie Vertrauen, Zeitdruck, Autorität oder Hilfsbereitschaft, um Mitarbeitende dazu zu bringen, vertrauliche Informationen preiszugeben, Zahlungen freizugeben oder Schadsoftware zu installieren. Die Angriffe erfolgen über viele Kanäle: Telefon (Vishing), gefälschte physische Szenarien (Pretexting) oder direkte Manipulation im persönlichen Kontakt. Nicht alle Bedrohungen kommen dabei von außen: Insider Threats – ob durch Fahrlässigkeit oder böswillige Absicht – gehören laut ENISA zu den am schwierigsten zu erkennenden Risiken, gerade in Branchen mit privilegiertem Zugriff auf sensible Daten. Technische Gegenmaßnahmen umfassen rollenbasierte Zugriffskontrollen, Protokollierung privilegierter Aktivitäten und das Vier-Augen-Prinzip bei kritischen Transaktionen.

Phishing

Phishing ist die verbreitetste Form des Social Engineerings. Laut ENISA Threat Landscape 2025 war Phishing mit rund 60 Prozent der beobachteten Initialzugriffe der häufigste Einstiegsvektor. Bei Phishing geben sich Angreifer per E-Mail als vertrauenswürdige Personen oder Institutionen aus, um Zugangsdaten zu stehlen, Zahlungen zu veranlassen oder Empfänger dazu zu bringen, schädliche Anhänge zu öffnen. Varianten wie Spear-Phishing (gezielt auf bestimmte Personen) oder Whaling (gerichtet an Führungskräfte) erhöhen die Trefferquote erheblich.

Mit KI-generierten, personalisierten Nachrichten wird die Erkennbarkeit zunehmend schwieriger, da klassische Merkmale wie schlechte Grammatik oder unpersönliche Anrede wegfallen. Nach Angaben von ENISA nutzten bis Anfang 2025 bereits über 80 Prozent der beobachteten Social-Engineering-Kampagnen weltweit KI-Unterstützung.

Malware

Auf den ersten Blick wirkt Malware oft wie ein vertrauenswürdiges Programm, eine harmlose Datei oder ein unauffälliger E-Mail-Anhang. Nach der Ausführung kann sie Daten ausspähen, Systeme kompromittieren oder sich im gesamten Netzwerk ausbreiten. Bekannte Formen sind Trojaner, Würmer und Spyware. In Unternehmen gelangt Malware häufig über Phishing, infizierte Anhänge oder ungepatchte Schwachstellen in die IT-Umgebung.

Ransomware

Eine besonders gefährliche Form von Malware, die nach dem Prinzip der Erpressung funktioniert: Der Angreifer verschlüsselt Dateien oder droht, diese zu veröffentlichen, bis ein Lösegeld bezahlt wird. Laut BSI Lagebericht 2025 wurden im Berichtszeitraum 950 Ransomware-Angriffe dokumentiert, davon 80 Prozent gegen kleine und mittlere Unternehmen. Das Bundeskriminalamt weist jedoch darauf hin, dass die Dunkelziffer erheblich höher liegt.

DDoS (Distributed Denial of Service)

Mehrere infizierte Systeme überfluten einen Server oder Dienst mit Anfragen, bis er zusammenbricht. DDoS-Angriffe sind laut ENISA die häufigste Angriffsform in der EU – angetrieben vor allem durch hacktivistische Gruppen mit geopolitischen Motiven. Ihr operativer Schaden bleibt meist begrenzt, sie können jedoch kritische Dienste stunden- oder tagelang lahmlegen. Besonders E-Commerce-Unternehmen und öffentliche Einrichtungen sind häufig betroffen.

Botnets

Infizierte Computer, die von einem Angreifer ferngesteuert werden und ohne Wissen ihrer Besitzer für bösartige Aktivitäten missbraucht werden, etwa für DDoS-Angriffe oder den Massenversand von Spam.

XSS (Cross-Site Scripting)

Ein Angriff auf Webanwendungen, bei dem bösartige Skripts direkt in eine Webseite eingefügt werden, um Nutzerdaten abzugreifen oder Inhalte zu manipulieren.

Typischer Ablauf eines Cyberangriffs

Diese Angriffsformen folgen in der Praxis oft einem ähnlichen Ablauf:

• Initialer Zugriff: Ein Mitarbeitender erhält eine täuschend echte Phishing-E-Mail und klickt auf einen Link oder öffnet einen Anhang.
• Kompromittierung: Schadsoftware wird installiert und verschafft dem Angreifer Zugriff auf das System.
• Ausbreitung im Netzwerk: Der Angreifer bewegt sich unbemerkt im Unternehmen weiter und greift weitere Systeme an.
• Zielphase: Daten werden exfiltriert oder verschlüsselt (z. B. durch Ransomware).
• Erpressung oder Schaden: Das Unternehmen wird mit Lösegeldforderungen konfrontiert oder erleidet Betriebsunterbrechungen.

KI als Angriffs- und Verteidigungswerkzeug

Künstliche Intelligenz verändert die Bedrohungslage auf beiden Seiten – als Werkzeug der Angreifer und als Schutzinstrument der Verteidiger. Für Unternehmen bedeutet das: Die Bedrohungslage entwickelt sich schneller als je zuvor, aber auch die Möglichkeiten zur Abwehr wachsen.

KI als Angriffswaffe

Angreifer nutzen KI, um Phishing-Nachrichten überzeugend zu personalisieren, Angriffe zu automatisieren und Schwachstellen in Systemen schneller zu identifizieren. Besonders kritisch: Deepfake-Technologie ermöglicht gefälschte Audio- oder Videoanrufe, mit denen Mitarbeitende zur Freigabe sensibler Informationen gebracht werden.

Auch KI-gestützte Passwortangriffe werden zunehmend zur realen Bedrohung für Unternehmen.

Digitalisierung18 min.

25. 2. 2025

Deepfake – was es ist und wie man es vom Original unterscheiden kann

Was ist Deepfake? Finde heraus, wie es entstanden ist und wie man gefälschte Videos, Audioaufnahmen und Fotos erkennen kann, die durch künstliche Intelligenz verändert wurden.

KI als Verteidigungswerkzeug

Gleichzeitig sind KI-gestützte Sicherheitslösungen heute ein zentrales Werkzeug in der Verteidigung: Sie erkennen Anomalien im Netzwerkverkehr in Echtzeit, identifizieren unbekannte Malware-Muster und unterstützen Security-Teams bei der Priorisierung von Vorfällen. Laut IBM Cost of a Data Breach Report 2025 sparten Organisationen mit umfassendem KI-Einsatz in der Security durchschnittlich 1,9 Millionen US-Dollar (rund 1,65 Mio. Euro) bei Sicherheitsvorfällen gegenüber Unternehmen ohne solche Lösungen.

Für Unternehmen bedeutet das konkret: Mitarbeiterschulungen müssen KI-gestützte Angriffsmethoden einschließen, und die eigene Sicherheitsinfrastruktur sollte schrittweise auf KI-gestützte Erkennungssysteme umgestellt werden.

Die wichtigsten Bereiche der Cybersicherheit

Cybersicherheit ist kein einheitliches Konzept, sondern umfasst verschiedene spezialisierte Bereiche, die unterschiedliche Teile der digitalen Infrastruktur schützen.

Netzwerksicherheit

Schutz der internen und externen Netzwerkinfrastruktur vor unbefugtem Zugriff und Angriffen. Für KMU besonders relevant: Firewall-Konfiguration, Netzwerksegmentierung und die Absicherung von Homeoffice-Verbindungen per VPN.

Cloud Security

Mit der Verlagerung von Daten und Anwendungen in die Cloud entstehen neue Angriffsflächen. Zugriffskontrollen, Verschlüsselung und klare Verantwortlichkeiten für Cloud-Umgebungen sind auch für kleinere Unternehmen unverzichtbar. Für Versicherungsunternehmen gilt das in besonderem Maß: Kernsysteme wie Policenverwaltung und Schadenabwicklung werden zunehmend cloud-basiert betrieben — mit hochsensiblen Kundendaten, die dem Shared Responsibility Model unterliegen.

Endpunktsicherheit

Jedes Endgerät im Unternehmen, ob Laptop, Smartphone oder Tablet, ist ein potenzieller Einstiegspunkt für Angreifer. Aktueller Virenschutz, regelmäßige Updates und Geräteverwaltung sind die Grundlage. Ein Überblick über Antivirenprogramme im Vergleich hilft bei der Auswahl geeigneter Lösungen.

Anwendungssicherheit

Sicherheitsmaßnahmen, die bei der Nutzung und Pflege von Software greifen: regelmäßige Patches, sichere Konfigurationen und die Vermeidung veralteter Anwendungen mit bekannten Schwachstellen.

Informationssicherheit

Schutz sensibler Daten unabhängig vom Format, ob digital, physisch oder mündlich. Zugriffsrechte, Datensicherungsstrategien und der Umgang mit vertraulichen Dokumenten gehören hier dazu.

Zero Trust: Vertrauen muss verdient werden

Das traditionelle Sicherheitsmodell geht davon aus, dass alles innerhalb des Unternehmensnetzwerks vertrauenswürdig ist. Zero Trust kehrt diese Annahme um: Kein Nutzer, kein Gerät und kein System erhält automatisch Vertrauen – weder von außen noch von innen.

Das Prinzip lässt sich in drei Grundregeln zusammenfassen:

• Niemals vertrauen, immer verifizieren – jede Zugriffsanfrage wird authentifiziert und autorisiert, unabhängig davon, ob sie aus dem internen Netzwerk oder von außen kommt.
• Minimale Berechtigung (Least Privilege) – Nutzer und Systeme erhalten nur die Zugriffsrechte, die sie für ihre konkrete Aufgabe benötigen, nicht mehr.
• Annahme einer Kompromittierung – das System ist so konzipiert, als könnte ein Angreifer bereits im Netzwerk sein. Lateral Movement – die unkontrollierte Ausbreitung im Netzwerk – wird durch Segmentierung eingeschränkt.

Für KMU bedeutet Zero Trust in der Praxis keine komplette Infrastrukturumstellung, sondern einen Denkwechsel: Zwei-Faktor-Authentifizierung für alle Systeme, konsequente Rechtevergabe und Netzwerksegmentierung – einschließlich Mikrosegmentierung, die viele Cloud-Plattformen heute standardmäßig unterstützen – sind konkrete erste Schritte in Richtung eines Zero-Trust-Ansatzes.

Cybersicherheit für Unternehmen: Warum eine Strategie entscheidend ist

Cybersicherheit geht weit über den Schutz einzelner Geräte hinaus – sie umfasst die gesamte digitale Infrastruktur, von internen Netzwerken über Cloud-Systeme bis zu Endgeräten im Homeoffice. Ohne dokumentierte Cybersicherheitsstrategie fehlt der Rahmen, an dem sich Technik, Prozesse und Schulungen orientieren.

Wie schütze ich mein Unternehmen vor Cyberangriffen?

Schutzmaßnahmen lassen sich in drei Kategorien einteilen. Keine davon reicht allein – wirksamer Schutz entsteht erst aus ihrem Zusammenspiel.

Technische Schutzmaßnahmen

• Regelmäßige Software-Updates und Patch-Management für alle Systeme
• Starke Passwörter in Kombination mit Zwei-Faktor-Authentifizierung
• Firewall und Endpoint Protection
• Verschlüsselung sensibler Daten bei Übertragung und Speicherung
• Datensicherung nach der 3-2-1-Regel: 3 Kopien, 2 verschiedene Medien, 1 externer Speicherort
• VPN für Remote-Arbeit und Homeoffice
• Zugriffsrechte nach dem Prinzip der minimalen Berechtigung vergeben (Least Privilege)

Organisatorische Maßnahmen

• Dokumentierter Notfallplan mit klaren Zuständigkeiten
• Risikomanagement als fester Bestandteil der Unternehmensstrategie
• Richtlinien für den Umgang mit sensiblen Daten und mobilen Geräten
• Regelmäßige Sicherheitsaudits und Penetrationstests
• Regelmäßige Überprüfung der Sicherheitsstrategie und Anpassung an neue Bedrohungen

Menschliche Faktoren

Technik schützt nur so weit, wie das Team dahinter mitspielt. Schulungen sind keine optionale Ergänzung, sondern Fundament jeder Sicherheitsstrategie:

• Mitarbeiterschulungen zur Erkennung von Phishing, Social Engineering und KI-generierten Angriffen
• Sicherheitsbewusstsein als Teil der Unternehmenskultur verankern, nicht als einmalige Pflichtschulung
• Klare Meldewege für verdächtige E-Mails und Sicherheitsvorfälle

Eine Übersicht der grundlegenden Verhaltensregeln im Netz hilft dabei, das Bewusstsein im Team zu schärfen.

Was tun im Falle eines Cyberangriffs?

Prävention ist das Ziel – aber kein Schutz ist hundertprozentig. Wer im Ernstfall keinen Plan hat, verliert wertvolle Zeit. Die ersten Stunden nach der Entdeckung eines Angriffs entscheiden oft darüber, wie groß der Schaden wird.

Sofortmaßnahmen: Die ersten Stunden

• Ruhe bewahren und isolieren – Betroffene Systeme sofort vom Netzwerk trennen, aber nicht ausschalten. Ein laufendes System enthält im Arbeitsspeicher forensisch wertvolle Spuren, die beim Abschalten verloren gehen.
• Interne Meldekette aktivieren – Der dokumentierte Notfallplan tritt in Kraft. Wer ist verantwortlich? Wer wird informiert? Geschäftsführung, IT, ggf. externer Dienstleister – alle müssen gleichzeitig informiert werden, nicht nacheinander.
• Beweise sichern – Logs, Screenshots, betroffene Dateien: nichts löschen, nichts verändern. Forensische Untersuchungen sind nur möglich, wenn der Zustand zum Zeitpunkt der Entdeckung dokumentiert ist.
• Externe Hilfe hinzuziehen – Bei ernsthaften Vorfällen ist externe forensische Unterstützung meist unumgänglich. IT-Forensiker können Einstiegspunkt, Ausbreitung und Schadensumfang rekonstruieren.

Meldepflichten: Was rechtlich verpflichtend ist

Ein Cyberangriff ist nicht nur ein technisches Problem – er löst rechtliche Pflichten aus:

• DSGVO Art. 33: Datenpannen mit Risiko für betroffene Personen müssen innerhalb von 72 Stunden der zuständigen Datenschutzbehörde gemeldet werden.
• NIS2: Betroffene Unternehmen in kritischen Sektoren müssen erhebliche Sicherheitsvorfälle innerhalb von 24 Stunden (erste Meldung) und 72 Stunden (detaillierter Bericht) melden.
• BKA / CERT: Eine freiwillige Meldung beim Bundeskriminalamt oder beim nationalen CERT (in der Slowakei: SK-CERT / NBÚ) hilft nicht nur der Strafverfolgung, sondern auch anderen Unternehmen.

Nach dem Angriff: Wiederherstellen und lernen

Systemwiederherstellung ist nicht das Ende des Prozesses, sondern der Beginn der Nachbereitung:

• Einstiegspunkt identifizieren und schließen
• Alle Zugangsdaten und Passwörter rotieren
• Betroffene Systeme neu aufsetzen, nicht nur bereinigen
• Sicherheitslücken dokumentieren und Strategie anpassen
• Mitarbeitende über den Vorfall informieren – intern, sachlich, ohne Schuldzuweisungen

Ein dokumentierter Disaster-Recovery-Plan und ein Business-Continuity-Konzept stellen sicher, dass der Betrieb auch bei einem schwerwiegenden Vorfall aufrechterhalten oder schnell wiederaufgenommen werden kann – gerade für Versicherer, deren Schadenabwicklung und Kundenkommunikation keinen mehrtägigen Ausfall tolerieren. Zentrale Kennzahlen dabei sind Recovery Time Objective (RTO) und Recovery Point Objective (RPO) – sie definieren, wie schnell Systeme wiederhergestellt sein müssen und wie viel Datenverlust tolerierbar ist.

Cyberversicherung: Sinnvoller Zusatzschutz?

Selbst eine durchdachte Sicherheitsstrategie schließt ein Restrisiko nicht aus. Cyberversicherungen sind darauf ausgerichtet, die finanziellen Folgen eines erfolgreichen Angriffs abzufedern – sie ersetzen keine Prävention, ergänzen sie aber sinnvoll.

Was deckt eine Cyberversicherung ab?

Typische Leistungen umfassen:

• Betriebsunterbrechung – Umsatzausfall während eines Systemausfalls nach einem Angriff
• Datenwiederherstellung – Kosten für IT-Forensik und Datenrettung
• Rechts- und Beratungskosten – Anwaltshonorare, Kosten für Krisenkommunikation und PR
• Haftpflicht gegenüber Dritten – wenn durch ein Datenleck Kunden oder Partner geschädigt werden
• Bußgelder – teilweise Übernahme von Bußgeldern bei DSGVO-Verstößen infolge eines Angriffs

Für wen ist sie relevant?

Eine Cyberversicherung ist besonders sinnvoll für Unternehmen, die sensible Kundendaten verarbeiten, auf digitale Systeme für den laufenden Betrieb angewiesen sind oder unter NIS2 oder andere Compliance-Vorgaben fallen. Für Unternehmen im Versicherungs-, Gesundheits- oder Finanzsektor – also genau jene Branchen, die laut NBÚ und ENISA 2025 am stärksten von Angriffen betroffen sind – ist die Frage nicht, ob, sondern wann ein Vorfall eintritt.

Was Versicherer voraussetzen

Cyberversicherungen sind kein Auffangnetz für Unternehmen ohne Basisschutz. Versicherer verlangen in der Regel den Nachweis grundlegender Maßnahmen: Firewall, regelmäßige Backups, Zwei-Faktor-Authentifizierung, dokumentierte Sicherheitsrichtlinien und ein Patch-Management-Prozess. Fehlen diese, kann der Versicherungsschutz im Schadensfall verweigert werden.

Das bedeutet auch: Wer eine Cyberversicherung abschließen will, muss zuerst die Grundlagen der Cybersicherheit umgesetzt haben. Die Versicherung ist der letzte, nicht der erste Schritt.

Rechtliche Rahmenbedingungen und Standards

Unternehmen in der EU sind nicht nur aus eigenem Interesse zur Cybersicherheit verpflichtet. Europäische und nationale Vorgaben definieren Mindestanforderungen an Risikomanagement, Schutzmaßnahmen und den Umgang mit Sicherheitsvorfällen. Welche Regeln im Einzelfall gelten, hängt jedoch von Branche, Unternehmensgröße und Rolle in der Lieferkette ab.

NIS2-Richtlinie

Die NIS2-Richtlinie wurde 2022 verabschiedet und verpflichtet Unternehmen und Organisationen in kritischen Sektoren zu Risikomanagement, Meldepflichten und Mindestschutzmaßnahmen. Betroffene Sektoren umfassen Energie, Transport, Gesundheitswesen, digitale Infrastruktur, Finanzwesen, öffentliche Verwaltung sowie weitere kritische und wichtige Einrichtungen.

Für Unternehmen ist dabei wichtig: NIS2 betrifft nicht nur klassische Betreiber kritischer Infrastruktur (in Deutschland als KRITIS-Betreiber eingestuft). Je nach Größe, Tätigkeit und Einbindung in Lieferketten können auch weitere Organisationen von den Anforderungen erfasst oder faktisch zu vergleichbaren Sicherheitsstandards gedrängt werden.

In der Slowakei wurde die Richtlinie durch eine Novelle des Cybersicherheitsgesetzes (Gesetz Nr. 69/2018 Slg.) umgesetzt. In Deutschland erfolgte die Umsetzung durch das NIS2-Umsetzungs- und Cybersicherheitsstärkungsgesetz, das am 6. Dezember 2025 in Kraft getreten ist.

Je nach Einstufung und Schwere des Verstoßes können erhebliche Bußgelder drohen; die NIS2-Richtlinie sieht dafür teils sehr hohe Sanktionsrahmen vor.

DORA (Digital Operational Resilience Act)

Für Finanzunternehmen ist DORA der zentrale regulatorische Rahmen für den Umgang mit ICT-Risiken und digitaler operativer Resilienz. DORA gilt seit dem 17. Januar 2025 und ist für Versicherungsunternehmen der maßgeblichere Rahmen für ICT-Risikomanagement und digitale operative Resilienz.

DORA verpflichtet Finanzunternehmen zu:

• ICT-Risikomanagement – dokumentierte Strategien für alle Systeme, die Kernprozesse unterstützen: Policenverwaltung, Schadenabwicklung, Kundendatenhaltung
• Meldung von ICT-Vorfällen – erhebliche ICT-Vorfälle sind so früh wie möglich zu melden; die Erstmeldung hat spätestens innerhalb von vier Stunden nach der Einstufung als schwerwiegender Vorfall zu erfolgen
• Resilienztests – regelmäßige Tests der digitalen Widerstandsfähigkeit, einschließlich Penetrationstests für kritische Systeme. Für systemisch wichtige Finanzinstitute schreibt DORA darüber hinaus Threat-Led Penetration Testing (TLPT) vor – realitätsnahe Angriffssimulationen auf Basis aktueller Bedrohungsinformationen
• Drittparteien-Risikomanagement – vertragliche Mindeststandards für alle ICT-Lieferanten, die kritische oder wichtige Funktionen übernehmen

Der letzte Punkt hat unmittelbare Folgen für die Lieferkette: Auch externe IT-Dienstleister und Softwarepartner geraten stärker in den regulatorischen Fokus, wenn sie kritische oder wichtige Funktionen eines Versicherers unterstützen. Für Versicherungsunternehmen bedeutet das: DORA-Konformität lässt sich nicht allein intern sicherstellen. Sie hängt auch davon ab, ob die eingebundenen IT-Dienstleister die relevanten Anforderungen erfüllen.

Ein zunehmend gefordertes Instrument in diesem Kontext ist die Software Bill of Materials (SBOM) – ein maschinenlesbares Verzeichnis aller Softwarekomponenten eines Produkts. SBOM ermöglicht es Versicherern und Aufsichtsbehörden, die Transparenz in der digitalen Lieferkette zu erhöhen und bekannte Schwachstellen in eingesetzten Komponenten schneller zu identifizieren.

Cyber Resilience Act (CRA)

Der Cyber Resilience Act (CRA) der EU stellt zusätzliche Anforderungen an die Sicherheit von Produkten mit digitalen Komponenten – von der Konzeption bis zum Ende des Lebenszyklus. Für Unternehmen, die Software entwickeln oder einsetzen, bedeutet das: Sicherheitsanforderungen werden künftig nicht nur im Betrieb, sondern bereits im Entwicklungsprozess regulatorisch verankert.

DSGVO

Die Datenschutz-Grundverordnung verpflichtet Unternehmen, personenbezogene Daten durch angemessene technische und organisatorische Maßnahmen zu schützen. Für die Cybersicherheit sind drei Artikel besonders relevant:

• 32 – Sicherheit der Verarbeitung: Unternehmen müssen geeignete Maßnahmen umsetzen, darunter Verschlüsselung, Pseudonymisierung und die Fähigkeit, Vertraulichkeit und Integrität der Systeme dauerhaft sicherzustellen.
• 33 – Meldepflicht bei Datenpannen: Sicherheitsvorfälle mit Risiko für betroffene Personen müssen innerhalb von 72 Stunden der zuständigen Datenschutzbehörde gemeldet werden.
• 34 – Benachrichtigung betroffener Personen: Bei hohem Risiko müssen auch die betroffenen Personen direkt informiert werden.

Sicherheitsvorfälle sind deshalb nicht nur ein technisches Problem. Sobald personenbezogene Daten betroffen sind, entstehen zusätzlich rechtliche Pflichten gegenüber Aufsichtsbehörden und unter Umständen auch gegenüber betroffenen Personen.

ISO 27001

Der internationale Standard für Informationssicherheits-Managementsysteme (ISMS) gibt Unternehmen einen strukturierten Rahmen für Aufbau, Umsetzung und kontinuierliche Verbesserung ihrer Informationssicherheit. Eine ISO-27001-Zertifizierung signalisiert Kunden und Partnern nachweisbare Sicherheitsstandards und ist bei Ausschreibungen in regulierten Branchen zunehmend eine Voraussetzung und keine Option mehr.Für Versicherungsunternehmen hat die Zertifizierung einen zusätzlichen praktischen Nutzen: Sie erleichtert den Nachweis der DORA-Anforderungen an das ICT-Risikomanagement, da sich viele DORA-Pflichten mit den Kontrollen der ISO 27001 überschneiden.

BSI IT-Grundschutz

Das Rahmenwerk des Bundesamts für Sicherheit in der Informationstechnik bietet praktische Leitlinien für den systematischen Aufbau eines Sicherheitskonzepts. Besonders relevant ist es für Unternehmen, die mit deutschen Behörden zusammenarbeiten oder in regulierten Branchen tätig sind.

International gilt das NIST Cybersecurity Framework als de facto Standard für die Strukturierung von Sicherheitsprogrammen. Seine fünf Säulen – Identify, Protect, Detect, Respond, Recover – finden sich auch in europäischen Regelwerken wieder und bieten einen praxisnahen Rahmen für Unternehmen jeder Größe.

Was kostet ein Cyberangriff Unternehmen?

Die finanziellen Folgen eines Cyberangriffs reichen weit über die unmittelbare technische Schadensbehebung hinaus.

Laut dem IBM Cost of a Data Breach Report 2025 liegt der durchschnittliche globale Schaden eines Datenlecks bei 4,44 Millionen US-Dollar (rund 4,1 Millionen Euro) – der erste Rückgang seit fünf Jahren, getrieben durch schnellere Erkennung und Eindämmung dank KI-gestützter Sicherheitslösungen. Für KMU fallen die absoluten Summen zwar oft niedriger aus, die wirtschaftlichen Folgen können jedoch besonders gravierend sein, weil schon kurze Ausfälle, Vertrauensverlust oder ungeplante Zusatzkosten den laufenden Betrieb erheblich belasten.

Die tatsächlichen Kosten setzen sich aus zwei Komponenten zusammen: aus direkten Ausgaben (Systemwiederherstellung, forensischer Untersuchung, Rechtsberatung sowie gegebenenfalls Krisen- und Wiederherstellungskosten) und aus indirekten Kosten (Produktionsausfällen, Kundenverlust, Reputationsschäden und Bußgeldern infolge von Compliance-Verstößen).

Für regulierte Branchen wie die Versicherungswirtschaft kommen zusätzliche Anforderungen hinzu: mögliche Meldungen an Aufsichtsbehörden, Benachrichtigungen betroffener Personen sowie ein besonders hoher Vertrauensverlust in einem stark beziehungs- und datenbasierten Geschäft. Gerade dort zeigt sich, dass ein Cyberangriff nicht nur ein IT-Vorfall ist, sondern zugleich ein operatives, regulatorisches und wirtschaftliches Risiko.