Als ihr Versicherer den Cyberversicherungsvertrag zur Verlängerung zurückschickte, rechnete Dr. Anne P. mit einer reinen Unterschrift. Stattdessen fand sie einen Sicherheitsfragebogen: Ist die Zwei-Faktor-Authentifizierung für die Postfächer der Praxis aktiviert? Werden die Backups der Patientendaten getestet? Am Empfang gab Lucie F. zu, dass das nie jemand geprüft hatte. Bleibt eine unangenehme Frage: Würde die Versicherung am Tag eines Vorfalls tatsächlich zahlen?
Was die Cyberversicherung wirklich abdeckt (und was sie auslässt)
Eine Cyberversicherung ist ein Vertrag, der einen Teil der finanziellen Kosten eines IT-Vorfalls — eines Angriffs, eines Datenlecks, eines durch einen Angreifer verursachten Ausfalls — auf einen Versicherer überträgt. Sie ersetzt die Sicherheit nicht: Sie federt den Schlag ab, wenn trotz allem etwas durchkommt.
Konkret übernimmt eine gute Police in der Regel drei Kostenarten. Erstens das Krisenmanagement: kurzfristig Spezialisten beiziehen, um den Angriff zu verstehen, die Systeme zu bereinigen und die Daten wiederherzustellen. Für eine Arztpraxis kann das bedeuten, den Zugriff auf die Patientendaten nach einem Ransomware-Angriff wiederherzustellen — Schadsoftware, die Ihre Dateien verschlüsselt und ein Lösegeld fordert, um sie wieder lesbar zu machen. Zweitens der Betriebsunterbruch: der entgangene Umsatz, während die Praxis nur halb läuft und Termine wie Abrechnung stillstehen. Drittens die Nebenkosten: Benachrichtigung der Betroffenen, Rechtsberatung, Kommunikation und manchmal die Begleitung einer Anfrage einer Patientin oder einer Behörde.
Ein oft unterschätzter Posten verdient Aufmerksamkeit: die indirekten Folgen. Ein Leck von Gesundheitsdaten ist nicht nur eine Reparaturrechnung — es ist beschädigtes Vertrauen, zögernde Patientinnen und Patienten, ein wieder aufzubauender Ruf. Manche Policen decken einen Teil dieser Folgen (Kommunikationskosten, Begleitung), andere nicht. Das ist vor der Unterschrift zu klären, denn keine zwei Verträge sind gleich: Das Folgende beschreibt Markttendenzen, nicht Ihre konkrete Police. Für einen verbindlichen Entscheid bleibt Ihr Broker oder Ihr Versicherer die richtige Ansprechperson.
Doch ein Vertrag liest sich am besten von hinten, über seine Ausschlüsse — die Situationen, in denen der Versicherer nicht zahlt. Vier kehren fast immer wieder. Die vorsätzliche Handlung eines Mitarbeitenden, eine bewusste Sabotage, ist nicht gedeckt. Eine veraltete, ohne Updates belassene Infrastruktur ebenso wenig: Wurde eine seit Monaten bekannte Lücke nie geschlossen, kann der Versicherer schliessen, das Risiko sei nicht beherrscht gewesen. Kriegshandlungen und einem Staat zugeschriebene Angriffe sind grundsätzlich ausgeschlossen. Und vor allem — das ist der blinde Fleck der KMU — die Missachtung Ihrer eigenen Sicherheitszusagen.
Denn eine Cyberversicherung ist fast nie bedingungslos. Meist ist sie an eine Mindesthygiene geknüpft: Beim Abschluss erklären Sie eine Reihe von Massnahmen als vorhanden. Existierten diese Massnahmen am Tag des Vorfalls nicht wirklich, kann die Entschädigung gekürzt oder sogar verweigert werden. Genau das prüft der Fragebogen, den Dr. Anne P. erhalten hat: Der Versicherer verkauft kein blindes Sicherheitsnetz, er kontrolliert, dass Sie Ihres gespannt haben.
Dazu kommen die Zahlen, die man zu lesen vergisst. Zunächst die Deckungssumme: der Höchstbetrag, den der Versicherer erstattet. Dann der Selbstbehalt: der Anteil, der bei jedem Schaden bei Ihnen bleibt. Manchmal eine Wartefrist, bevor die Deckung greift. Eine auf einige zehntausend Franken begrenzte Police deckt keinen mehrwöchigen Stillstand einer Gruppenpraxis.
Der Unterschied entscheidet sich im Schadenfall. Nehmen Sie zwei Praxen, die am selben Montag von Ransomware getroffen werden. Die erste hatte Zwei-Faktor-Authentifizierung und getestete Backups erklärt — und wirklich vorhanden: Ihr Versicherer übernimmt den Noteinsatz, die verlorenen Betriebstage und die Anwaltskosten, und die Praxis startet mit Zuversicht neu. Die zweite hatte dieselben Kästchen auf dem Papier angekreuzt, doch die Authentifizierung war nur für einen Teil der Konten aktiv und das letzte Backup war Monate alt und nie getestet. Das Ergebnis: eine gekürzte Entschädigung, mühsame Gespräche und eine Rechnung, die weitgehend an ihr hängen bleibt. Gleicher Vertrag, gleicher Schaden — zwei gegensätzliche Ausgänge, entschieden lange vor dem Angriff.
Was Sie sich merken sollten
Drei Gedanken genügen, um den Blick auf das Thema zu ändern.
Die Cyberversicherung ist ein Stossdämpfer, kein Schild. Sie greift nach dem Vorfall, um den finanziellen Schaden zu begrenzen; sie verhindert den Angriff nicht und ersetzt keine Schutzmassnahme. Sie den Partnern als „wir sind gedeckt, also ist alles geregelt" zu präsentieren, ist der sicherste Weg, sich zu täuschen.
Sie muss man sich verdienen. Die meisten Verträge verlangen eine Basis an Cyberhygiene — Zwei-Faktor-Authentifizierung, getestete Backups, aktuelle Systeme, Zugriffsverwaltung — und können die Zahlung verweigern, wenn diese Basis fehlte. Anders gesagt: Die Schritte, die Sie versicherbar machen, sind genau jene, die das Risiko senken. Sie arbeiten nie umsonst.
Der Vertrag steckt im Detail. Deckungssummen, Selbstbehalte, Ausschlüsse, erklärte Pflichten: Diese Zeilen, nicht das Verkaufsargument, entscheiden, was Sie tatsächlich erhalten. In der Schweiz fällt ein Vorfall mit Gesundheitsdaten auch unter das revDSG, das eidgenössische Datenschutzgesetz, das dem Verantwortlichen — hier der Praxis — „angemessene" Massnahmen und die Meldung bestimmter Verletzungen an die Behörde vorschreibt. Keine Versicherung nimmt Ihnen diese Verantwortung ab.
Schritte für diese Woche
Sie brauchen weder Budget noch IT-Fachkraft, um voranzukommen. Drei konkrete Schritte, gut erreichbar für Dr. Anne P. und Lucie F.
1. Den Vertrag hervorholen und die Ausschlüsse lesen
Öffnen Sie die Police — oder verlangen Sie sie bei Ihrem Broker — und suchen Sie drei Dinge: die Deckungssumme, den Selbstbehalt und die Liste der Ausschlüsse und Bedingungen. Notieren Sie die Sätze, die mit „sofern" oder „vorbehältlich" beginnen: Das sind Ihre Pflichten. Verlangt eine Klausel Zwei-Faktor-Authentifizierung oder Backups, bindet sie Sie. Ein Broker ist nicht nur zum Verkaufen da: Er kann Ihnen ohne Fachjargon erklären, was Sie wirklich unterschrieben haben.
2. Die Grundvoraussetzungen abhaken
Nehmen Sie den Fragebogen des Versicherers als Checkliste. Aktivieren Sie die Zwei-Faktor-Authentifizierung (MFA) für die Postfächer und den Zugriff auf die Patientendaten: zusätzlich zum Passwort ein zweiter Nachweis, zum Beispiel ein Code auf dem Telefon. Prüfen Sie, ob ein aktuelles Backup existiert und ob jemand es wiederherstellen kann — ein nie getestetes Backup ist ein Backup, auf das man nur hofft. Installieren Sie die ausstehenden Updates auf den Rechnern am Empfang. Diese drei Schritte decken das Wesentliche dessen ab, was der Versicherer prüft.
3. Nachweise festhalten
Am Tag eines Schadens verlangt der Versicherer Belege: wer worauf Zugriff hatte, wann das Backup getestet wurde, wann ein bestimmter Patch eingespielt wurde. Öffnen Sie ein einfaches geteiltes Dokument und halten Sie laufend die vorhandenen Massnahmen und ihre Daten fest. Dieses schriftliche Gedächtnis ist im Schadenfall Gold wert — und es beruhigt auch eine Patientin oder eine Behörde, die Fragen stellt.
Wo stehen Sie wirklich?
Eine Cyberversicherung entscheidet man nicht im luftleeren Raum: Man verhandelt sie umso besser, je genauer man die eigene Ausgangslage kennt. Zu wissen, wo Ihre Praxis solide ist und wo sie auf Vertrauen beruht, ist genau das, was Ihnen erlaubt, den Fragebogen des Versicherers ehrlich zu beantworten — und eine bessere Deckung zum richtigen Preis zu erhalten.
Genau hier setzt die Cyber-Passport-Selbsteinschätzung an. Sie zertifiziert nichts und verkauft keine Police: Frage für Frage zeigt sie Ihnen den echten Stand Ihrer Massnahmen im Vergleich zu anerkannten guten Praktiken und den Erwartungen des revDSG. Damit gehen Sie Ihre nächste Verlängerung der Cyberversicherung mit offenen Augen an — ohne böse Überraschung an dem Tag, an dem es zählt.
