Cyberversicherung für EPU in Österreich: Was bei Phishing und Datenpanne wirklich zählt

Eine gefälschte Microsoft-365-Anmeldung, ein kompromittiertes E-Mail-Postfach oder ein verlorenes Notebook: Auch ein Ein-Personen-Unternehmen kann innerhalb weniger Stunden in einen Cybervorfall geraten. Gerade weil bei EPU Kundendaten, Rechnungen, Zugänge und die eigene Arbeitskraft oft an einem einzigen Arbeitsplatz zusammenlaufen, ist die Frage nach der richtigen Absicherung berechtigt. Dieser Beitrag erklärt, was eine Cyberversicherung leisten kann, wo typische Lücken liegen und welche Angaben beim Abschluss in Österreich entscheidend sind.

Warum Phishing für EPU nicht nur ein IT-Problem ist

Ein Link in einer scheinbar echten Nachricht genügt: Kriminelle übernehmen den E-Mail-Account, versenden Rechnungen mit geänderter IBAN oder lesen Kontakt- und Projektdaten mit. Kommt noch Schadsoftware hinzu, können Dateien verschlüsselt sein und der Betrieb steht still. Der unmittelbare finanzielle Schaden ist nur ein Teil des Problems. Dazu kommen Kosten für IT-Forensik, Wiederherstellung, Kundeninformation, rechtliche Prüfung und gegebenenfalls der Ersatz eines Verdienstausfalls.

Wichtig: Nicht jede Datenschutzverletzung löst automatisch denselben Pflichten- und Kostenrahmen aus. Wer personenbezogene Daten verarbeitet, sollte Vorfälle dokumentieren und rasch fachlich prüfen lassen. Eine Meldepflicht an die Datenschutzbehörde kann bei einem Risiko für die Rechte und Freiheiten betroffener Personen bestehen; bei hohem Risiko kann zusätzlich eine Benachrichtigung der Betroffenen erforderlich sein. Die konkrete Beurteilung hängt immer vom Einzelfall ab.

Was eine Cyberversicherung typischerweise abdeckt

Cyberpolizzen sind keine einheitlichen Produkte. Im vereinbarten Umfang bündeln sie häufig Serviceleistungen und Kostenbausteine rund um eigene Cybervorfälle. Der wichtigste Blick gilt daher nicht dem Produktnamen, sondern dem Bedingungswerk und den Sublimits.

Eigenschäden und Soforthilfe

• IT-Forensik und Incident Response: Spezialisten können den Angriff untersuchen, Systeme absichern und die Wiederherstellung koordinieren.
• Daten- und Systemwiederherstellung: Kosten für die Rekonstruktion von Daten oder die Wiederherstellung von Software können versichert sein.
• Krisenkommunikation: Je nach Tarif sind Unterstützung bei Kundenkommunikation, Callcenter oder PR-Maßnahmen vorgesehen.
• Betriebsunterbrechung: Entgangener Ertrag und fortlaufende Kosten sind meist nur nach klaren Regeln, Wartezeiten und mit vereinbarter Haftzeit versichert.

Haftpflicht und Datenschutz

Entstehen Dritten Schäden, etwa weil Daten offengelegt wurden oder ein Kunde wegen eines Sicherheitsvorfalls Ansprüche erhebt, kann eine Cyberhaftpflicht relevant sein. Sie prüft im vereinbarten Rahmen Ansprüche, wehrt unbegründete Forderungen ab und leistet bei berechtigten Forderungen bis zu den vereinbarten Summen. Reine Vermögensschäden, Vertragsstrafen, Bußgelder oder Schäden aus einer beruflichen Fehlberatung sind aber keineswegs automatisch eingeschlossen. Für beratende Berufe kann zusätzlich eine passende Betriebshaftpflicht für EPU oder Berufshaftpflicht nötig sein.

Die häufigsten Lücken: Darauf sollten EPU besonders achten

Die größte Enttäuschung nach einem Vorfall entsteht meist nicht wegen der Versicherungssumme, sondern weil das konkrete Szenario nicht vereinbart war. Prüfen Sie diese Punkte vor Abschluss schriftlich:

• Social Engineering und Zahlungsumleitung: Ist ein durch Täuschung ausgelöster Überweisungsfehler versichert? Welche Sicherheitsvorgaben gelten?
• Ransomware: Deckt der Tarif Erpressung, Beratung und Wiederherstellung? Lösegeldzahlungen sind rechtlich und sanktionsrechtlich heikel und nie einfach „automatisch“ zu erwarten.
• Cloud und externe Dienstleister: Microsoft 365, Buchhaltungstool, Webshop, Agentur oder Freelancer müssen zur Betriebsbeschreibung passen.
• Wartezeit, Haftzeit und Selbstbehalt: Bei Betriebsunterbrechung zählen Beginn der Leistung, Dauer und Berechnungsmethode.
• Ausland und Rechtswahl: Wer Kunden außerhalb Österreichs betreut, sollte Territorialumfang, Gerichtsstände und besondere Ausschlüsse prüfen.
• Obliegenheiten: Mehrfaktor-Authentifizierung, Updates, Backups und sichere Passwörter sind nicht nur sinnvoll, sondern können vertraglich gefordert sein.

Phishing passiert: Die ersten Stunden richtig nutzen

Nach einem Verdacht ist Geschwindigkeit wichtiger als Schuldzuweisungen. Trennen Sie betroffene Geräte nicht unüberlegt von allen Spuren, aber unterbrechen Sie bei akutem Missbrauch den Zugriff: Passwörter von einem sauberen Gerät ändern, Sitzungen abmelden, Mehrfaktor-Authentifizierung prüfen und den IT-Dienstleister einschalten. Informieren Sie Bank oder Zahlungsdienstleister sofort, wenn eine Überweisung manipuliert wurde. Sichern Sie E-Mails, Screenshots, Zeitpunkte und Logdaten.

Melden Sie den Fall danach unverzüglich dem Cyberversicherer beziehungsweise der Assistance-Hotline. Viele Verträge verlangen, dass bestimmte Dienstleister eingebunden oder Kosten vorab abgestimmt werden. Eigenmächtige Löschaktionen oder beauftragte Forensik ohne Rücksprache können die Aufklärung und die Kostenerstattung erschweren. Bei einem strafrechtlich relevanten Angriff kommt auch eine Anzeige in Betracht.

Checkliste: Cyberversicherung für ein österreichisches EPU vergleichen

1. Alle digitalen Abläufe notieren: E-Mail, Cloud, Kundendaten, Webshop, Zahlung, Fernwartung und externe IT.
2. Die Betriebsbeschreibung mit tatsächlichen Nebenleistungen und Auslandsbezug abgleichen.
3. Deckungssumme und Sublimits für Forensik, Datenwiederherstellung, Haftpflicht und Betriebsunterbrechung getrennt ansehen.
4. Social Engineering, Ransomware, Datenschutzkosten und externe Dienstleister ausdrücklich abfragen.
5. Wartezeit, Haftzeit, Selbstbehalt und Jahreshöchstleistung vergleichen.
6. Mindeststandards für MFA, Backup, Updates und Rechteverwaltung umsetzen und dokumentieren.
7. Notfallkontakte, Wiederanlaufplan und Meldeweg intern festlegen.

Cyberpolizze ist kein Ersatz für Prävention

Die beste Police verkürzt keinen Ausfall, wenn Backups fehlen oder ein einziger Zugang alle Systeme öffnet. EPU sollten deshalb mindestens Mehrfaktor-Authentifizierung für E-Mail und Cloud aktivieren, Backups getrennt vom Produktivsystem testen, Geräte verschlüsseln und Zahlungsdatenänderungen nie allein per E-Mail akzeptieren. Ein kurzer Rückruf über eine bekannte Nummer verhindert viele Rechnungsbetrugsfälle.

Auch die übrige Unternehmensabsicherung gehört in den Gesamtblick: Eine krankheitsbedingte Pause ist ein anderes Risiko als ein Cyberangriff. Lesen Sie dazu, wann eine Betriebsunterbrechung bei Krankheit eines EPU relevant werden kann. Für den Start oder das Nebengewerbe bietet der Überblick welche Versicherungen nebenberuflich Selbständige brauchen eine sinnvolle Ergänzung. Und wer bereits mit einer gefälschten Anlagewerbung konfrontiert war, findet beim Beitrag zu Deepfake-Investmentbetrug und Cyberversicherung weitere Hinweise zur Abgrenzung.

FAQ

Ist eine Cyberversicherung für EPU in Österreich Pflicht?

Eine allgemeine gesetzliche Pflicht für jedes EPU gibt es nicht. Vertragliche Anforderungen von Auftraggebern oder besondere berufsrechtliche Regeln können aber eine bestimmte Absicherung voraussetzen. Die Entscheidung sollte sich am tatsächlichen digitalen Risiko orientieren.

Zahlt die Cyberversicherung bei einer Phishing-Überweisung?

Das hängt vom Tarif ab. Zahlungsumleitung und Social Engineering müssen ausdrücklich versichert sein; zudem gelten häufig Sicherheitsanforderungen, Sublimits und Selbstbehalte. Die Bank sollte unabhängig davon sofort verständigt werden.

Reicht eine Betriebshaftpflicht gegen Datenpannen?

Oft nicht. Klassische Betriebshaftpflichten decken vor allem Personen-, Sach- und daraus folgende Vermögensschäden. Datenschutz-, Forensik- und Wiederherstellungskosten sind häufig ein eigenes Cyberthema. Bedingungswerk und Erweiterungen entscheiden.

Wie hoch sollte die Versicherungssumme sein?

Sie sollte sich an Datenmenge, Abhängigkeit von IT, möglichem Betriebsstillstand, Kundenstruktur und Auslandsgeschäft orientieren. Neben der Gesamtsumme sind die einzelnen Sublimits entscheidend. Eine individuelle Beratung kann hier sinnvoll sein.

Meta-Description-Vorschlag: Cyberversicherung für EPU in Österreich: Welche Kosten bei Phishing, Datenpanne und Betriebsunterbrechung gedeckt sein können – inklusive Checkliste.

Hinweis: Dieser Artikel bietet Orientierung und ersetzt keine Rechtsberatung oder Prüfung individueller Versicherungsbedingungen.