Cyberversicherung für Pflegedienste: Was Versicherer 2026 tatsächlich verlangen
Eine Cyberversicherung klingt nach einem beruhigenden Sicherheitsnetz für den Ernstfall. Tatsächlich zahlen Versicherer aber immer öfter nicht – weil technische Mindestanforderungen im Schadensfall nicht erfüllt waren. Was Pflegedienste und Sozialstationen vor Vertragsabschluss wissen sollten.
Was eine Cyberversicherung abdeckt
Im Kern übernimmt eine Cyberversicherung typischerweise mehrere Schadensarten: die Kosten für die Wiederherstellung verschlüsselter oder verlorener Daten, Entschädigung für Einkommensverluste durch IT-Ausfälle, den Umgang mit Lösegeldforderungen bei Ransomware-Angriffen, Haftungsansprüche bei Datenschutzverletzungen sowie Unterstützung bei Krisenkommunikation und Rechtsverteidigung. Für eine Sozialstation, deren Dokumentation, Dienstplanung und Abrechnung heute digital laufen, ist das ein nachvollziehbarer Baustein der Risikovorsorge – gerade weil ein längerer Ausfall der Dienstplan- oder Dokumentationssoftware nicht nur ein IT-Problem ist, sondern direkt den Pflegebetrieb betrifft.
Anbieter mit Fokus auf die Pflegebranche kalkulieren dabei mit Beispieltarifen wie rund 330 Euro pro Jahr für 50.000 Euro Deckungssumme bei 500.000 Euro Jahresumsatz, beziehungsweise rund 800 Euro pro Jahr für 250.000 Euro Deckungssumme bei 2,5 Millionen Euro Umsatz – jeweils mit 1.000 Euro Selbstbehalt. Die tatsächlichen Konditionen hängen naturgemäß vom individuellen Risiko und Umsatz der Einrichtung ab.
Die Mindestanforderungen, die Versicherer 2026 stellen
Der Preis ist aber nur die halbe Geschichte. Versicherer verlangen zunehmend konkrete technische und organisatorische Nachweise, bevor sie überhaupt einen Vertrag anbieten oder im Schadensfall zahlen. Diese Anforderungen sind in den letzten Jahren spürbar gestiegen: Was vor einigen Jahren noch als „ausreichend abgesichert“ galt, reicht heute oft nicht mehr für einen Vertragsabschluss zu vernünftigen Konditionen. Zu den gängigen Anforderungen zählen:
- Multi-Faktor-Authentifizierung für E-Mail-Konten, VPN-Zugänge und Admin-Accounts – klassische SMS-Codes gelten dabei zunehmend als nicht mehr ausreichend, phishing-resistente Verfahren wie FIDO2 werden bevorzugt.
- Dokumentiertes Patch-Management: kritische Sicherheitsupdates innerhalb von 14 Tagen, weitere Updates innerhalb von 30 Tagen, dazu ein aktuelles Asset-Inventar.
- Moderne Endpoint-Erkennung (EDR/XDR) mit laufender Überwachung statt rein signaturbasiertem Virenschutz.
- Backups nach der 3-2-1-1-0-Regel: drei Kopien, zwei Medien, eine externe Kopie, eine unveränderbare (Immutable-)Kopie, null Fehler bei regelmäßigen Wiederherstellungstests.
- Getrennte, abgesicherte Admin-Zugänge statt geteilter oder dauerhaft privilegierter Konten.
- Regelmäßige, dokumentierte Mitarbeiterschulungen inklusive Phishing-Simulationen.
- Ein schriftlicher Notfallplan, der mindestens einmal jährlich in einer Übung durchgespielt wird.
Warum jeder zweite Schadensfall Ärger bringt
Nach Branchendaten wird rund 40 Prozent aller gemeldeten Cyber-Schadensfälle die Leistung verweigert – meist wegen fehlerhafter Angaben im Versicherungsfragebogen oder weil die zugesicherten Sicherheitsmaßnahmen im Ernstfall gar nicht vorhanden waren. Nach einem Vorfall prüft der Versicherer forensisch, ob die im Fragebogen gemachten Angaben stimmten. Stellt sich dabei heraus, dass etwa keine funktionierenden Backups existierten oder MFA nur auf dem Papier stand, drohen vollständige Leistungsverweigerung oder erhebliche Kürzungen – ausgerechnet dann, wenn das Geld am dringendsten gebraucht wird.
Für eine Sozialstation bedeutet das: Der Fragebogen zur Cyberversicherung ist kein bürokratischer Formalakt, sondern im Grunde eine Selbstauskunft, die im Schadensfall wortwörtlich Geld wert ist. Wird beim Ausfüllen „großzügig“ geschätzt, statt den tatsächlichen Stand zu dokumentieren, verschiebt sich das Risiko am Ende nur – von der Versicherung zurück auf die eigene Einrichtung, und zwar genau in dem Moment, in dem sie am wenigsten Spielraum dafür hat.
Was das für Pflegeeinrichtungen bedeutet
Eine Cyberversicherung ersetzt keine funktionierende IT-Sicherheit, sie setzt sie voraus. Wer den Fragebogen des Versicherers ehrlich beantworten will, sollte vorher wissen, wo die eigene Einrichtung tatsächlich steht – nicht erst nach einem Vorfall. Das betrifft nicht nur große Träger mit eigener IT-Abteilung: Auch kleinere Pflegedienste, die IT-Sicherheit bislang nebenbei mitverwalten, sollten sich vor Vertragsabschluss oder vor der jährlichen Verlängerung einen realistischen Überblick verschaffen, welche der gängigen Anforderungen bereits erfüllt sind und wo noch Lücken bestehen.
Wir von bitman helfen Sozialstationen, Pflegediensten und Trägern dabei, den eigenen IT-Sicherheitsstand realistisch einzuschätzen und dort nachzuschärfen, wo es zählt, damit eine Cyberversicherung im Ernstfall auch tatsächlich zahlt – undramatisch, ohne Verkaufsdruck, aber mit klarer Bestandsaufnahme. Sprechen Sie uns an unter 07141 141 6789 oder help@bitman.de.