Der stille Ausschluss: Wenn die Police im Schadensfall nicht zahlt
Die Zeiten, in denen eine Cyber-Versicherung als reine Formsache galt, sind vorbei. Deutsche Versicherer wie Allianz, Munich Re oder Hiscox haben ihre Fragebögen und Bedingungen massiv verschärft. Wer heute einen Vertrag abschließt, erklärt verbindlich, dass regelmäßige Schwachstellenscans und Penetrationstests durchgeführt werden. Im Schadensfall – etwa nach einer Ransomware-Attacke – prüft der Versicherer genau diese Angaben. Fehlt ein aktueller Nachweis, droht die Leistungsverweigerung wegen grober Fahrlässigkeit. Für Geschäftsführer und Risikomanager bedeutet das: Cyberversicherung Voraussetzungen VAPT sind keine Marketingfloskel, sondern existenzielle Haftungsfrage.
NIS-2 und § 38 NIS2UmsuCG: Persönliche Haftung der Geschäftsleitung
Mit dem NIS-2-Umsetzungsgesetz (NIS2UmsuCG) wird die europäische Richtlinie in deutsches Recht überführt. Besonders brisant: § 38 NIS2UmsuCG sieht eine persönliche Haftung der Geschäftsleitung vor. Geschäftsführer müssen die Risikomanagementmaßnahmen aktiv überwachen und können bei Pflichtverletzungen mit Bußgeldern oder sogar Schadensersatzforderungen belangt werden. Das BSI fordert im Rahmen der NIS-2-Anforderungen explizit Schwachstellenmanagement und die Überprüfung der Netzsicherheit – also genau die Leistungen, die ein Vulnerability & Penetration Testing (VAPT) abdeckt. Ein jährlicher Pentest ist damit nicht nur versicherungsrelevant, sondern wird zur gesetzlichen Pflicht für viele Unternehmen.
Warum Antivirenprogramme nicht mehr ausreichen
Die Bedrohungslage hat sich fundamental verändert: Ransomware-as-a-Service, Zero-Day-Exploits und KI-gestützte Angriffe durchdringen klassische Signaturenscanner. Versicherer verlangen daher den Nachweis eines kontinuierlichen Sicherheitsprozesses. Ein einfacher Virenscanner dokumentiert keine Schwachstellen in Webanwendungen, exponierten APIs oder Fehlkonfigurationen in der Cloud. Penetration Testing im Mittelstand liefert genau die belastbaren Belege, die Versicherer und Aufsichtsbehörden erwarten – und schützt vor der gefürchteten Einstufung als „grob fahrlässig“.
Die verschärften Fragebögen der Versicherer im Detail
Die aktuellen Antragsstrecken der Cyber-Versicherer enthalten mittlerweile Fragen wie:
- Werden mindestens jährlich externe Penetrationstests durchgeführt?
- Wie oft werden Schwachstellenscans auf allen extern erreichbaren Systemen ausgeführt?
- Werden die Ergebnisse dokumentiert und innerhalb welcher Frist behoben?
- Existiert ein Patch-Management-Prozess mit definierten SLAs?
Bereits eine falsche Antwort kann zum Verlust des Versicherungsschutzes führen. Gleichzeitig verlangen Versicherer zunehmend BSI-konformes Risikomanagement als Grundlage. Wer hier nicht sauber dokumentiert, riskiert nicht nur die Deckung, sondern auch den Vorwurf der Organisationspflichtverletzung.
Automatisierte Sicherheitsprüfungen als Haftungsschutz
Die Lösung liegt in der Automatisierung: Kontinuierliche Schwachstellenscans, kombiniert mit jährlichen Pentests, schaffen eine lückenlose Nachweiskette. Moderne VAPT-Plattformen integrieren sich in CI/CD-Pipelines und liefern automatisch Berichte, die sowohl Versicherern als auch Prüfern vorgelegt werden können. So wird aus einer lästigen Pflicht ein strategischer Vorteil: Geschäftsführer sichern sich persönlich ab, indem sie die geforderten Maßnahmen nachweislich umsetzen. Unsere VAPT-Lösung bietet genau diesen automatisierten, auditfähigen Prozess – von der Schwachstellenerkennung bis zum Management-Reporting.
Praxisfall: Mittelständler verliert Versicherungsschutz nach Ransomware
Ein Maschinenbauer (450 Mitarbeiter) erlitt einen Ransomware-Angriff mit 1,2 Mio. Euro Schaden. Die Versicherung verweigerte die Zahlung, weil der letzte Pentest drei Jahre zurücklag und die im Antrag zugesicherten jährlichen Scans nicht durchgeführt wurden. Die Folge: Betriebsunterbrechung, Reputationsverlust und eine Klage der Gesellschafter gegen die Geschäftsführung wegen Pflichtverletzung. Solche Fälle häufen sich – und sie zeigen, wie eng NIS-2 Pentest Pflicht und Versicherungsschutz verzahnt sind.
Handlungsempfehlungen für Geschäftsführung und Risikomanager
- Prüfen Sie Ihre Police: Welche Nachweise werden im Schadensfall verlangt? Gibt es Klauseln zu regelmäßigen Audits?
- Etablieren Sie einen jährlichen Pentest-Zyklus mit dokumentierten Ergebnissen und Maßnahmenplänen.
- Automatisieren Sie Schwachstellenscans mindestens quartalsweise, besser kontinuierlich.
- Integrieren Sie BSI-Risikomanagement in Ihre Governance und berichten Sie regelmäßig an den Aufsichtsrat.
- Nutzen Sie unsere Readiness-Check, um Ihre NIS-2-Compliance und Versicherungsfähigkeit schnell zu bewerten.
Fazit: Ohne aktuellen VAPT-Nachweis gibt es keinen verlässlichen Versicherungsschutz – und die persönliche Haftung der Geschäftsführung wird zum realen Risiko. Handeln Sie jetzt, bevor der Schadensfall eintritt. Kontaktieren Sie uns für ein Erstgespräch und machen Sie Ihre Sicherheitsstrategie versicherungs- und NIS-2-konform.