Wesentliche Sicherheitsmetriken für die Cyberversicherungs-Compliance 2026

Der Wandel der Risikoprüfung hin zu evidenzbasierten Kontrollen

Die Landschaft der Cyberversicherungs-Risikoprüfung hat sich in den letzten Jahren dramatisch verändert. Was einst ein einfacher Fragebogen mit Checkboxen zur Bestätigung grundlegender Sicherheitsmaßnahmen war, hat sich zu einer strengen, evidenzbasierten Prüfung entwickelt. Versicherer verlangen heute überprüfbare Nachweise — Screenshots, Scan-Ergebnisse, Konfigurationsexporte, signierte Bestätigungen —, dass bestimmte kritische Kontrollen nicht nur implementiert, sondern aktiv überwacht und verwaltet werden. Viele Underwriter führen vor dem Vertragsabschluss eigene externe Scans gegen den Perimeter des Antragstellers durch; die Zeiten selbst deklarierter, ungeprüfter Checkboxen sind weitgehend vorbei.

Für Organisationen, die 2026 eine Cyber-Haftpflichtversicherung anstreben, ist es keine Option mehr, diese Anforderungen zu verstehen — und zu wissen, welche Metriken zu erfassen und zu dokumentieren sind. Es ist eine Voraussetzung für den Versicherungsschutz und zunehmend auch für günstige Prämien.

1. Identitäts- und Zugriffsverwaltung

Die Kompromittierung von Identitäten gilt weithin als das Haupteinfallstor für erfolgreiche Cyberangriffe. Entsprechend sind identitätszentrierte Kontrollen zu einem Eckpfeiler der Versicherbarkeit geworden — und oft zum ersten Abschnitt jedes modernen Cyber-Antrags.

• Multi-Faktor-Authentifizierung (MFA): Abdeckung MFA ist heute bei praktisch allen Cyberversicherungs-Policen Pflicht. Versicherer verlangen Nachweise für die durchgängige Durchsetzung von MFA in E-Mail, VPNs, Cloud-Plattformen und allen Administrationskonten. Zunehmend unterscheiden Versicherer zwischen MFA-Typen: Push-Benachrichtigungen und SMS-Codes gelten als schwächere Kontrollen, während phishingresistente Verfahren wie FIDO2/WebAuthn-Passkeys ausdrücklich genannt — und für privilegierte und administrative Zugriffe teils verlangt — werden.
• Metrik Anteil der Benutzer- und Administrationskonten mit durchgesetzter MFA (Versicherer erwarten in der Regel 100 % bei privilegierten Konten, insgesamt 95 %+).
• Nachweis MFA-Registrierungsberichte Ihres Identitätsanbieters, aufgeschlüsselt nach Kontotyp.
• Privileged Access Management (PAM) und Just-in-Time-Zugriff Underwriter prüfen genau, wie Organisationen privilegierten Zugriff regeln. Früher bedeutete das, rollenbasierte Zugriffskontrollen (RBAC) und Sitzungsaufzeichnung für Administrationskonten nachzuweisen. Diese Messlatte liegt höher: Versicherer stufen dauerhaften privilegierten Zugriff — Konten mit ständig aktiven Admin-Rechten — zunehmend als eigenständigen Risikofaktor ein, unabhängig davon, ob eine PAM-Lösung vorhanden ist. Just-in-Time (JIT)-Zugriffsberechtigungen mit automatischem Ablauf werden bei manchen Anträgen zu einer ausdrücklich genannten Kontrolle und nicht nur zur Best Practice.
• Metriken Anzahl dauerhaft privilegierter Konten (Ziel: gegen null minimieren), durchschnittliche Dauer privilegierter Zugriffsberechtigungen, Anteil des Admin-Zugriffs über zeitgebundene/JIT-Workflows.
• Nachweis Zugriffsprotokolle mit Zeitstempeln für Erteilung/Widerruf, Audit-Trails der PAM- oder JIT-Plattform.
• Least-Privilege-Durchsetzung Organisationen müssen die praktische Anwendung des Least-Privilege-Prinzips über Systeme und Konten hinweg nachweisen, in der Regel durch periodische Zugriffsüberprüfungen und Deaktivierungsprotokolle.
• Metrik Zeit bis zur Deaktivierung nach Beendigung des Arbeitsverhältnisses oder Rollenwechsel (Ziel: unter 24 Stunden).

2. Endpoint Detection and Response (EDR)

Herkömmlicher Antivirus-Schutz reicht für den Versicherungsschutz nicht mehr aus. Versicherer erwarten heute robusten, aktiv verwalteten Endpoint-Schutz — und fragen zunehmend nicht nur, ob EDR eingesetzt wird, sondern wer die Alerts überwacht.

• Abdeckung der Bereitstellung Organisationen müssen EDR- oder XDR-Plattformen (Extended Detection and Response) auf allen Endpoints einschließlich Remote- und gegebenenfalls BYOD-Geräten einsetzen.
• Metrik Anteil der verwalteten Endpoints mit installierten und berichtenden EDR-Agenten (Ziel: 100 % der unternehmenseigenen Geräte).
• Überwachungsmodell: Self-Managed vs. MDR Diese Unterscheidung fragen viele Anträge heute direkt ab. Ein installierter EDR-Agent ist nicht dasselbe wie eine 24/7-Alert-Triage. Versicherer wollen wissen, ob die Erkennung nur während der Geschäftszeiten intern, durch ein internes SOC rund um die Uhr oder durch einen Managed Detection and Response (MDR)-Anbieter überwacht wird. Antragsteller, die kontinuierliche, mit Personal besetzte Überwachung nachweisen können — statt einer Tool-Landschaft, die Alerts generiert, die niemand prüft —, werden besser bewertet und erhalten oft günstigere Prämien.
• Metriken Mittlere Erkennungszeit (MTTD), mittlere Reaktionszeit (MTTR), Abdeckungszeitraum der Alerts (Geschäftszeiten vs. 24/7).
• Nachweis SOC/MDR-Vertrag oder Personalnachweise, beispielhafte Incident-Response-Zeitlinien.

3. Resilienz- und Recovery-Architektur

Der exponentielle Anstieg kostspieliger Ransomware-Schadensfälle hat die Backup- und Recovery-Architektur zu einem zentralen Fokus der Risikoprüfung gemacht — vermutlich gleich nach den Identitätskontrollen.

• Immutable und air-gapped Backups Backups müssen gegen Manipulation geschützt sein. Versicherer verlangen unveränderliche (immutable) oder air-gapped Backup-Lösungen, damit Backups während eines Ransomware-Angriffs nicht zusammen mit den Produktivsystemen verschlüsselt oder zerstört werden können.
• Metrik Anteil der kritischen Systeme mit Backups auf immutable/air-gapped Speicher (Ziel: 100 %).
• Backup-Sicherheit Externe Speicherung und starke Verschlüsselung der Backup-Daten — sowohl im Ruhezustand als auch während der Übertragung — sind Standardanforderungen.
• Wiederherstellungsturnus Backups allein genügen nicht. Versicherer verlangen dokumentierte Nachweise regelmäßiger Wiederherstellungstests, um zu bestätigen, dass die Recovery unter Druck tatsächlich funktioniert — und nicht nur, dass Backups erfolgreich abgeschlossen werden.
• Metrik Häufigkeit der Wiederherstellungstests (Branchenerwartung: mindestens vierteljährlich) und dokumentierter RTO-Wert (Recovery Time Objective), der im letzten Test erreicht wurde.

4. Schwachstellen- und Patch-Management

Nicht gepatchte Systeme bleiben eine der Hauptursachen für Sicherheitsvorfälle. Versicherer bewerten die Patch-Disziplin als Frühindikator für die allgemeine Sicherheitshygiene.

• Patch-SLAs Organisationen müssen formale Patch-Management-Richtlinien mit dokumentierten Service-Level-Agreements einführen, die Fristen für Updates nach Schweregrad festlegen.
• Metrik Einhaltungsquote der Patch-SLAs in definierten Zeitfenstern — üblicherweise 15 Tage für kritische, 30 Tage für hohe und 90 Tage für mittlere Schwachstellen (genaue Fenster variieren je nach Versicherer und Police).
• Schwachstellenscans Regelmäßige Schwachstellenbewertungen mit klarer Priorisierung der Behebung nach Schweregrad werden erwartet. Manche Versicherer führen vor dem Vertragsabschluss eigene externe Scans gegen den Perimeter des Antragstellers durch — häufig über Plattformen, wie sie auch in standardisierten Cyber-Anträgen (z. B. NetDiligence-basierten Bewertungen) zum Einsatz kommen —, sodass ungelöste, extern sichtbare Schwachstellen sowohl die Eignung als auch die Preisgestaltung beeinflussen können.
• Metrik Anzahl offener kritischer/hoher Schwachstellen, die das SLA überschreiten, sowie Zeit seit dem letzten externen Scan.

5. Incident-Response-Bereitschaft

Versicherer brauchen die Gewissheit, dass eine Organisation effektiv reagieren und Schäden begrenzen kann, wenn — nicht falls — ein Vorfall eintritt.

• Dokumentierter Incident-Response-Plan (IR-Plan) Ein formeller, schriftlicher IR-Plan ist unerlässlich. Er definiert kritische Systeme, Reaktionsrollen, Eskalationsverfahren sowie Protokolle für gesetzliche und regulatorische Meldungen.
• Tabletop-Übungen Versicherer verlangen Nachweise, dass der IR-Plan regelmäßig durch Tabletop-Übungen getestet wird, damit das Reaktionsteam den Plan unter realistischem Druck ausführen kann — und nicht nur auf dem Papier.
• Metrik Häufigkeit der Tabletop-Übungen (Branchenerwartung: mindestens jährlich) und Datum der letzten Übung.

6. E-Mail-Sicherheit und Sensibilisierung der Mitarbeiter

Menschliches Versagen und Phishing bleiben führende Einfallstore. Versicherer prüfen daher sowohl die technischen E-Mail-Abwehrmaßnahmen als auch die Schulung der Belegschaft.

• E-Mail-Sicherheitskonfiguration Zu den wesentlichen Kontrollen gehören SPF, DKIM und DMARC mit einer Reject- oder Quarantine-Policy (nicht nur Monitoring) sowie spezifische Schutzmaßnahmen gegen Business E-Mail Compromise (BEC).
• Security-Awareness-Training Messbare Abschlussquoten der Schulungsprogramme und Ergebnisse regelmäßiger Phishing-Simulationen sind standardmäßige Nachweispunkte.
• Metriken Abschlussquote der Schulungen (Ziel: 95 %+ jährlich), Klickrate bei Phishing-Simulationen (Branchen-Benchmark: unter 5–10 %, mit rückläufigem Trend).

7. Risikomanagement für Drittanbieter

Bei Organisationen, die sensible Daten verarbeiten — PHI, personenbezogene Daten (PII), Finanzunterlagen — bewerten Underwriter, wie das Drittanbieterrisiko gemanagt wird.

• Vendor-Risikomanagement Versicherer erwarten dokumentierte Bewertungen aller Drittanbieter mit Zugriff auf sensible Unternehmensdaten sowie Nachweise einer fortlaufenden (nicht nur beim Onboarding stattfindenden) Risikoüberprüfung.
• Metrik Anteil kritischer Anbieter mit abgeschlossener Risikobewertung, Überprüfungsturnus (in der Regel jährlich).

Zusammenfassung: Kontrollen, Metriken und Nachweise auf einen Blick

Weiterführende Lektüre

• Übersetzen Sie Versichererfragen in konkrete Identitäts-, Endpunkt-, Wiederherstellungs- und Überwachungskontrollen mit dem Explainer zu Cyberversicherungs-Endpoint- und Identity-Kontrollen.
• Ordnen Sie Identitäts- und Endpunktoperationen Kontrollzielen zu mit der SOC-2-Nachweiszuordnung.
• Weitere Ressourcen zu Underwriting und Nachweisen finden Sie im Compliance-Hub.

Vorbereitung auf Antrag oder Verlängerung

Die Vorbereitung auf einen Cyberversicherungs-Antrag oder dessen Verlängerung sollte lange vor der Frist beginnen.

Organisationen müssen sich von der bloßen Behauptung, dass Sicherheitskontrollen existieren, hin zur aktiven Pflege der Dokumentation, Metriken und kontinuierlichen Compliance-Nachweise bewegen, die zum Beleg notwendig sind. Versicherer belohnen Antragsteller, die diese Nachweise schnell und spezifisch vorlegen können — vage Zusicherungen verlangsamen die Risikoprüfung und können zu höheren Prämien, geringeren Sublimits oder Ausschlüssen genau für jene Risiken (etwa Ransomware) führen, die am wichtigsten sind.