Cyber-Versicherung: Welche Wartungsnachweise zählen

Ein Risiko-Fragebogen sieht aus wie ein Formular, funktioniert aber wie eine Beschreibung des Ist-Zustands. Angekreuzt wird dort, was zum Zeitpunkt des Antrags gilt und im Vertragsverlauf gelten soll: Werden Sicherheitsupdates innerhalb einer definierten Frist eingespielt? Existieren Backups nach dem 3-2-1-Prinzip? Ist Multi-Faktor-Authentifizierung für Fernzugriffe und administrative Konten aktiv? Gibt es ein Rollen- und Rechtekonzept? Jede dieser Fragen beschreibt keine Absicht, sondern eine Praxis — und jede Praxis hinterlässt Spuren im System oder eben nicht.

Der GDV hat die Obliegenheiten seiner Musterbedingungen bewusst als Katalog gut umsetzbarer Basismaßnahmen formuliert: regelmäßige Datensicherungen, starke Passwörter, individuelle Zugänge, Virenschutz, Firewalls und zügig installierte Sicherheitsupdates (GDV). Dass trotzdem nur rund ein Viertel der KMU sämtliche dieser Basisanforderungen erfüllt (GDV) und im Schnitt nur gut die Hälfte der grundlegenden IT-Sicherheitsanforderungen umgesetzt ist (GDV), zeigt die Größe des Deltas zwischen Formular und Realität.

Backup ist der zweite Klassiker — und die Stelle, an der die meisten Nachweise auf halber Strecke stehen bleiben. Ein grüner Job-Status belegt, dass ein Prozess durchgelaufen ist. Er belegt nicht, dass sich aus dem Ergebnis ein funktionierender Shop rekonstruieren lässt. Der Unterschied ist im Schadenfall erheblich: Bei Ransomware entscheidet die belegte Wiederherstellbarkeit darüber, ob überhaupt eine Alternative zur Zahlung besteht. 34 Prozent der Unternehmen waren zuletzt von Ransomware betroffen — fast dreimal so viele wie 2022 mit 12 Prozent (Bitkom, Wirtschaftsschutz 2025) —, und 15 Prozent der Betroffenen haben Lösegeld gezahlt (Bitkom, Wirtschaftsschutz 2025).

Wie oft ein Wiederherstellungstest sinnvoll ist und welche Zielwerte für Wiederanlaufzeit und Datenverlust dahinterstehen, gehört in die Backup-Strategie; der Beitrag zu Backup-Strategien für Online-Shops behandelt RPO und RTO ausführlich. Für die Nachweisfrage genügt eine schlichte Regel: Jeder Test, der stattgefunden hat, erzeugt eine Zeile mit Datum, Dauer und Ergebnis — und diese Zeilen ergeben über Monate hinweg die Kette, die ein Prüfer sehen möchte. Ein Backup-Service mit festen Testintervallen liefert diese Kette als Nebenprodukt des Betriebs.

Der Fragebogen fragt in der Regel nach gepflegter Software. Technisch heißt das: Es existiert eine Übersicht darüber, was überhaupt läuft — mit Version und Supportstatus. Ohne dieses Inventar ist die Aussage über gepflegte Software nicht belegbar, weil die Grundgesamtheit fehlt. In einem Shop umfasst sie den Core, jede Erweiterung, das Theme, die Bibliotheken der Abhängigkeitskette, die Laufzeitumgebung, Datenbank und Webserver sowie die eingebundenen Skripte auf den Seiten.

Diese Liste ist zugleich die Grundlage der Lieferkettenbetrachtung, die der Beitrag zu Supply-Chain-Angriffen über Shop-Abhängigkeiten vertieft — und sie ist die Voraussetzung dafür, dass ein Advisory überhaupt einer Installation zugeordnet werden kann. Wer nicht weiß, dass eine Bibliothek eingebunden ist, kann ihre Schwachstelle nicht fristgerecht schließen und dies folglich auch nicht nachweisen.

Der Supportstatus ist dabei der Punkt mit der größten Hebelwirkung, weil er Fristen erzeugt, bevor ein Vorfall sie erzwingt. Wie sich das für Laufzeiten planen lässt, zeigt der Beitrag zum PHP-End-of-Life-Management. Auch die Domain- und DNS-Ebene gehört in diese Bestandsaufnahme: Welche Absicherungen dort greifen und wie sie überwacht werden, behandelt der Beitrag zu DNSSEC, Registrar-Lock und DNS-Monitoring.

Die einzelnen Artefakte sind wenig wert, solange sie über Postfächer, Serverpfade und Köpfe verteilt liegen. Ihren Wert entfalten sie erst als geordnete Sammlung, die zu jedem Stichtag Auskunft gibt. In der Praxis hat sich eine schlichte Struktur bewährt, die den Fragebogen spiegelt: pro zugesicherter Maßnahme ein Abschnitt, darin die laufend erzeugten Belege in zeitlicher Ordnung.

Drei Eigenschaften entscheiden darüber, ob diese Mappe im Ernstfall trägt. Erstens die Lückenlosigkeit: Ein Monat ohne Einträge wirft die Frage auf, was in diesem Monat geschah. Zweitens die Unveränderbarkeit: Belege, die sich nachträglich anpassen lassen, verlieren gegenüber einem Dritten an Gewicht — Ticketverläufe, Repository-Historien und schreibgeschützte Ablagen sind deshalb stärker als eine gepflegte Tabelle. Drittens die Zuordenbarkeit: Jeder Beleg braucht ein System, ein Datum und eine verantwortliche Rolle, sonst lässt er sich dem Schadenzeitpunkt nicht zuordnen.

Der wirtschaftliche Rahmen macht den Aufwand überschaubar: Der durchschnittliche Cyberschaden in der Versicherungsstatistik liegt bei 45.370 Euro je gemeldetem Vorfall (GDV), rund 4.000 Hackerangriffe wurden den Versicherern zuletzt gemeldet (GDV), und nur etwa 3 Prozent der versicherten Unternehmen erleiden pro Jahr überhaupt einen Cyberschaden (GDV). Der Ernstfall ist also selten — aber teuer, und er kommt ohne Vorankündigung. Ein SLA-Wartungsvertrag verlagert die Nachweisführung genau deshalb vom Einzelfall in den Regelbetrieb: Monitoring erzeugt die Zeitachse, Sicherheitsupdates erzeugen die Patch-Historie, der Backup-Service erzeugt die Restore-Protokolle, und der Notfall-Support erzeugt die Vorfallsdokumentation. Einen Überblick über die Bausteine gibt die Seite Leistungen im Überblick.