Überblick
Die GDV-Musterbedingungen AVB Cyber sind modular aufgebaut: ein Basis-Baustein mit gemeinsamen Regeln, ein Service- und Kosten-Baustein, ein Drittschaden-Baustein für die Haftpflicht und ein Eigenschaden-Baustein für Betriebsunterbrechung und Datenwiederherstellung. Gemeinsamer Auslöser ist eine Informationssicherheitsverletzung, also eine Beeinträchtigung der Verfügbarkeit, Integrität oder Vertraulichkeit elektronischer Daten oder IT-Systeme des Unternehmens.
Wann kann es leisten?
Die Informationssicherheitsverletzung muss durch einen Angriff, einen unberechtigten Zugriff, einen Eingriff in die Systeme, Schadprogramme oder eine Verletzung datenschutzrechtlicher Vorschriften ausgelöst sein. Versicherungsfall ist nach den Mustern der erstmals nachprüfbar festgestellte Vermögensschaden während der Vertragslaufzeit.
Was versichert sein kann – und was typischerweise nicht
Kann versichert sein
- Kosten: IT-Forensik zur Analyse und Beweissicherung, rechtliche Beratung zu Informationspflichten, Krisenkommunikation.
- Drittschäden: Schadenersatzansprüche Dritter, etwa von Kunden wegen Datenmissbrauchs, sowie die Abwehr unberechtigter Ansprüche.
- Eigenschäden: Unterbrechungsschaden (Betriebsgewinn und fortlaufende Kosten) für die vereinbarte Haftzeit und Kosten der Wiederherstellung von Daten und Software.
Typischerweise nicht versichert
- Lösegeld- oder Erpressungszahlungen; die GDV-Muster schließen sie aus, einzelne Marktbedingungen können abweichen.
- Schäden aus Krieg und bestimmten staatlichen Angriffen sowie aus dem Ausfall öffentlicher Infrastruktur wie Strom oder Internet.
- Ausfälle externer Dienstleister, soweit sie nur die Verfügbarkeit beeinträchtigen, nach den Mustern.
- Schäden an Hardware als Sache; dafür kommt eine Elektronikversicherung in Betracht.
Allgemeine Beschreibung. Was ein Vertrag konkret enthält, regeln seine Versicherungsbedingungen.
Für wen das Thema relevant sein kann
Kann relevant sein für
- Freiberufler und kleine und mittlere Unternehmen, für die die GDV-Muster ausdrücklich entwickelt wurden.
- Betriebe, die ohne IT, Kassensystem, Onlineshop oder Kundendaten nicht arbeiten können.
- Unternehmen, die personenbezogene Daten von Kunden, Patienten oder Mandanten verarbeiten.
Vorher zu klären
- Welche IT-Sicherheitsmaßnahmen bereits bestehen; der Versicherer fragt sie meist mit einem Risikofragebogen ab.
- Welche Bausteine nötig sind: Kosten, Drittschaden, Betriebsunterbrechung, Datenwiederherstellung.
- Wie lange der Betrieb ohne IT auskäme, um eine passende Haftzeit zu wählen.
Überschneidungen mit anderem Schutz
- Die Betriebshaftpflicht deckt Datenschutz- und Datenrisiken nur eingeschränkt; der Drittschaden-Baustein der Cyberversicherung ist darauf ausgerichtet.
- Die klassische Betriebsunterbrechungsversicherung setzt einen Sachschaden voraus; eine Cyber-Betriebsunterbrechung nicht.
- Betrug durch eigene Beschäftigte oder Täuschung von außen kann zusätzlich die Vertrauensschadenversicherung betreffen.
Nicht verwechseln – verwandte Themen
- VertrauensschadenversicherungVersicherungsart
Die Vertrauensschadenversicherung ersetzt Vermögensschäden, die einem Unternehmen durch vorsätzliche unerlaubte Handlungen eigener Vertrauenspersonen entstehen, etwa Unterschlagung oder Betrug. Je nach Vertrag sind auch Taten externer Dritter eingeschlossen.
- BetriebshaftpflichtversicherungVersicherungsart
Die Betriebshaftpflicht prüft Schadenersatzansprüche, die Dritte wegen Personen- oder Sachschäden aus der betrieblichen Tätigkeit erheben, zahlt berechtigte Ansprüche und wehrt unberechtigte ab. Versichert ist das im Vertrag beschriebene Betriebsrisiko.
- Betriebsunterbrechungsversicherung nach SachschadenVersicherungsart
Die Betriebsunterbrechungsversicherung ersetzt den Ertragsausfall – fortlaufende Kosten und entgangenen Gewinn –, wenn ein versicherter Sachschaden den Betrieb lahmlegt. Ein Umsatzrückgang ohne versicherten Sachschaden ist nicht versichert.
- ElektronikversicherungVersicherungsart
Die Elektronikversicherung schützt betriebsfertige elektronische Anlagen und Geräte gegen unvorhergesehene Sachschäden und Diebstahl – auch bei Bedienfehlern, Überspannung oder Feuchtigkeit. Daten und Software sind keine Sachen und nur bei besonderer Vereinbarung erfasst.
Was ist wichtig?
Obliegenheiten zur IT-Sicherheit
Die Muster verlangen unter anderem individuelle Zugänge und getrennte Befugnisse, zusätzlichen Schutz für Server und Mobilgeräte, aktuellen Schutz gegen Schadsoftware, zeitnahes Einspielen von Sicherheitsupdates und mindestens wöchentliche Datensicherungen, die nicht gemeinsam mit den Originalen verändert werden können.
Haftzeit
Der Unterbrechungsschaden wird längstens für die vereinbarte Haftzeit ersetzt; sie beginnt mit der Betriebsunterbrechung.
Rückwärtsdeckung und Nachhaftung
Nach den Mustern können vorvertragliche, bei Abschluss nicht festgestellte Sicherheitsverletzungen und nach Vertragsende festgestellte Schäden aus der Laufzeit in vereinbartem Umfang einbezogen sein.
Assistance
Der GDV hat zusätzlich Musterbausteine für Cyber-Assistanceleistungen veröffentlicht, etwa Hotline und Soforthilfe.
Wartezeiten, Grenzen und Nachweise
- Verletzt der Versicherungsnehmer Obliegenheiten zur IT-Sicherheit, kann die Leistung je nach Verschulden gekürzt werden oder entfallen.
- Vereinbarte Selbstbeteiligungen mindern die Leistung; mehrere Fälle aus derselben Ursache können als ein Serienschaden zählen.
- Eigene Versicherungssummen oder Begrenzungen für einzelne Bausteine.
Fragen vor einer Entscheidung
- Erfülle ich die verlangten Sicherheitsmaßnahmen heute schon, insbesondere bei Updates und Datensicherung?
- Wie lange könnte mein Betrieb ohne IT arbeiten, und welche Haftzeit passt dazu?
- Sind Schäden durch IT-Dienstleister oder Cloud-Anbieter eingeschlossen?
- Welche Soforthilfe stellt der Versicherer im Ernstfall bereit?
Beispiel und Gegenbeispiel
Fiktives Beispiel mit Leistung
In einer Arztpraxis verschlüsselt Schadsoftware den Server, die Praxis kann zwei Tage keine Termine und Abrechnungen bearbeiten. Die Cyberversicherung übernimmt nach den Bedingungen die Forensik, die Wiederherstellung der Daten und den Unterbrechungsschaden für die Haftzeit, abzüglich Selbstbehalt.
Fiktives Gegenbeispiel ohne Leistung
Ein Betrieb hat entgegen den vereinbarten Obliegenheiten seit Monaten keine Datensicherung mehr erstellt und bekannte Sicherheitslücken nicht geschlossen. Nach einem Angriff kann der Versicherer die Leistung je nach Verschulden kürzen oder verweigern.
Beide Fälle sind erfunden und dienen nur der Veranschaulichung. Sie enthalten keine Beiträge.
Quellen und Stand
Quellenstand: 21.10.2026. Diese Seite erklärt allgemein und ersetzt keine Beratung im Einzelfall; maßgeblich sind immer die Versicherungsbedingungen und gesetzlichen Regelungen in ihrer jeweils gültigen Fassung.
Alle 4 Quellen mit Verwendungszweck anzeigen
- Allgemeine Versicherungsbedingungen für die Cyberrisiko-Versicherung (AVB Cyber), Musterbedingungen (öffnet in neuem Tab) – Gesamtverband der Versicherer (GDV), Stand: Februar 2024, abgerufen am 21.10.2026
Verwendet für: Bausteinstruktur, Informationssicherheitsverletzung, Versicherungsfall, Vermögensschaden und Daten als Nicht-Sachen, Nachhaftung, Rückwärtsdeckung, Obliegenheiten A1-16, Ausschlüsse Krieg, Infrastruktur, Lösegeld, Haftzeit
- Wie funktioniert die Cyberversicherung? Eckpunkte der unverbindlichen Musterbedingungen (öffnet in neuem Tab) – Gesamtverband der Versicherer (GDV), abgerufen am 21.10.2026
Verwendet für: Eigenschäden, Drittschäden, Service-Leistungen; Zielgruppe Freiberufler und KMU; Risikofragebogen
- GDV-Musterbedingungen (unverbindliche Musterbedingungen) (öffnet in neuem Tab) – Gesamtverband der Versicherer (GDV), abgerufen am 20.10.2026
Verwendet für: GDV-Musterbausteine Cyber-Assistanceleistungen und Risikofragebogen
- Versicherungsaufsichtsgesetz (VAG) einschließlich Anlage 1 (Sparten) (öffnet in neuem Tab) – Bundesministerium der Justiz / gesetze-im-internet.de, abgerufen am 20.10.2026
Verwendet für: Zuordnung zu den Sparten 13 (allgemeine Haftpflicht) und 16 (verschiedene finanzielle Verluste)