In meinen Gesprächen mit Kunden und Maklern stelle ich immer wieder fest, dass die allermeisten Unternehmen die Bedrohung durch Cyber-Vorfälle heute sehr ernstnehmen. Es wird erheblich in die Modernisierung der IT-Sicherheitssysteme und in die Sensibilisierung von Mitarbeitenden investiert.
Doch wie schlägt sich diese positive Entwicklung in der konkreten Vorbereitung auf den Krisenfall nieder? Hier zeigt sich eine Lücke: Laut der Bitkom-Studie „Wirtschaftsschutz 2025“ betrug der durchschnittliche Anteil des IT-Sicherheitsbudgets der befragten Unternehmen am gesamten IT-Budget im Jahr 2025 bereits 18 Prozent gegenüber neun Prozent im Jahr 2022. Im Rahmen dieser Studie zeigte sich jedoch auch, dass nur sechs von zehn Unternehmen über ein Notfallmanagement für den Fall von Datendiebstahl, Sabotage oder Industriespionage verfügen. Im Umkehrschluss sind also vier von zehn Unternehmen nicht ausreichend für den Fall vorbereitet, dass sie trotz aller Vorkehrungen Opfer eines Cyber-Vorfalls werden.
Diese Zahlen bringen die entscheidende Herausforderung auf den Punkt: Die Investitionen in den Cyber-Schutz sind hoch, doch was passiert, wenn dieser Schutz einmal versagt? Genau hier beginnt Cyber-Resilienz – in der geplanten, strukturierten Reaktion auf den erfolgreichen Angriff. Es ist die Fähigkeit, nach einem Treffer schnell wieder handlungsfähig zu werden. Und darin liegt der oft unterschätzte, aber entscheidende Unterschied.
Das größte unterschätzte Risiko ist organisatorischer Natur
Die gestiegenen Investitionen in den Cyber-Schutz sind eine notwendige Reaktion auf eine Bedrohungslage, die sich rasant entwickelt. Das Bundesamt für Sicherheit in der Informationstechnik (BSI) beschreibt die IT-Sicherheitslage in Deutschland als weiterhin angespannt und benennt einen zentralen Grund: Zu viele Angriffsflächen sind noch immer zu schlecht geschützt. Allerdings geht es aus meiner Sicht längst nicht mehr nur um ungesicherte technische Schnittstellen und dergleichen. Die eigentliche Verwundbarkeit ist die organisatorische Lücke: das Fehlen eines erprobten Plans für den Moment, in dem der technische Schutz überwunden ist. Denn ein Unternehmen, das nach einem Angriff wochenlang handlungsunfähig ist, erleidet einen deutlich größeren Schaden als eines, das seine Systeme binnen Stunden wiederherstellen kann.
Diese organisatorische Unvorbereitetheit ist mit Blick auf wirkliche Resilienz von größter Wichtigkeit.
Die Wahrnehmungslücke: Warum Vorbereitung unsichtbar bleibt
Doch warum klafft diese organisatorische Lücke trotz hoher Investitionen? Die Antwort könnte sehr menschlich sein. Moderne Sicherheitsmaßnahmen sind zumeist sichtbar. Sie lassen sich in Budgets ausweisen und in Präsentationen zeigen. Organisatorische Resilienz ist das nicht. Notfallpläne, klare Verantwortlichkeiten und getestete Wiederherstellungsprozesse bleiben oft im Hintergrund und ihr Fehlen zeigt sich erst im Schadenfall.
Diese Asymmetrie führt zu einem trügerischen Sicherheitsgefühl. Ein Unternehmen, das erheblich in Technologie investiert hat, fühlt sich gut aufgestellt. Aber echte Cyber-Resilienz entsteht erst im Zusammenspiel aus Technologie, Prozessen und einer gelebten Sicherheitskultur. Ein dokumentierter Cyber Incident Response Plan ist ein hervorragender Anfang, doch entscheidend ist, ob die Prozesse auch praktisch erprobt wurden – etwa in realitätsnahen Krisensimulationen. Denn wenn Fragen wie „Welche Systeme müssen zuerst wiederhergestellt werden?“ oder „Wie kommunizieren wir mit Kunden und Behörden?“ bei Eintritt eines Vorfalls erstmals gestellt werden, ist die Krise vorprogrammiert.
Die wirtschaftlichen Folgen der vorprogrammierten Krise
Was diese vorprogrammierte Krise wirtschaftlich bedeutet, belegen die aktuellen Zahlen eindrücklich. Laut der bereits zitierten Bitkom-Studie waren 87 Prozent der deutschen Unternehmen im vergangenen Jahr von Angriffen betroffen oder vermuten dies. Der daraus resultierende wirtschaftliche Gesamtschaden hat mit rund 289 Milliarden Euro jährlich einen neuen Höchststand erreicht.
Die Ursache für diese gewaltige Summe liegt jedoch nicht, wie oft vermutet, in den Lösegeldzahlungen. Im Gegenteil: Laut dem Bundeslagebild Cybercrime 2025 des Bundeskriminalamts zahlen nur 7 Prozent der von Ransomware betroffenen Unternehmen überhaupt Lösegeld. Hier zeigt sich, dass die wahren Kosten nicht im Lösegeld liegen, sondern in den Folgen der organisatorischen Lücke: wochenlange Betriebsunterbrechungen, Kosten für den Wiederanlauf, Reputationsschäden und rechtliche Auseinandersetzungen.
Resilienz als strategische Führungsaufgabe
Die Erkenntnis, dass wirkliche Cyberresilienz weit über technische Schutzmaßnahmen und Schulungen für Mitarbeitende hinausgeht, rückt dieses Thema ins Zentrum der Unternehmensführung. Sie wird damit von einer operativen IT-Aufgabe zu einer strategischen Notwendigkeit, deren Leitplanken die Geschäftsleitung definieren muss: Welches Risiko ist für das Geschäft akzeptabel und wie wird mit Restrisiken umgegangen?
Dieser strategische Anspruch wurde durch die Umsetzung der NIS2-Richtlinie auch regulatorisch untermauert. Sicherheitsmaßnahmen müssen nicht nur vorhanden sein, sondern nachvollziehbar dokumentiert und regelmäßig überprüft werden. Cyberresilienz wird damit zu einem messbaren Bestandteil guter Unternehmensführung.
Die strategische Verantwortung endet dabei nicht an der eigenen Unternehmensgrenze. Die Lieferkette rückt zwingend in den Fokus, da Angriffe auf Zulieferer direkte Auswirkungen auf das eigene Unternehmen haben können. Ein systematisches Risikomanagement für die digitale Wertschöpfungskette ist daher keine Option mehr, sondern eine Notwendigkeit. Und dieser Punkt ist gerade mit Blick auf den Versicherungsschutz von entscheidender Bedeutung. Denn nur ein hohes Maß an Transparenz und Steuerung der eigenen Wertschöpfungskette macht die damit verbundenen Risiken kalkulierbar – und damit auch im Rahmen einer Cyber-Police effektiv versicherbar.
Vom Risikoträger zum Resilienz-Partner
Diese strategische Sichtweise auf Resilienz verändert auch die Rolle der Cyber-Versicherung fundamental. Sie entwickelt sich vom reinen Risikoträger hin zu einem aktiven Partner der Unternehmensführung.
Im Ernstfall sichert diese Partnerschaft vor allem die Handlungsfähigkeit, beispielsweise durch den sofortigen Zugang zu einem eingespielten Ökosystem aus IT-Forensikern, Krisenkommunikatoren und spezialisierten Rechtsberatern.
Für uns von AXA XL setzt Cyber-Partnerschaft jedoch schon viel früher an: im strategischen Dialog. Die Erfassung technischer Maßnahmen ist ein wichtiger Aspekt im Underwriting, aber nur einer von vielen, wenn es darum geht, das Gesamtniveau der Cyberresilienz zu verstehen und zu optimieren. Dazu gehört die Bewertung des Cyber-Reifegrades (Cyber Maturity Assessment), die Analyse von Backup-Strategien inklusive Testläufen (Backup Resiliency Assessments) sowie die Überprüfung von Awareness-Trainings und praktisch erprobten Krisenplänen. Entscheidend ist dabei, wie systematisch sich der Kunde mit seinen Risiken auseinandersetzt. Unternehmen, die diesen Prozess ernst nehmen, sind nicht nur besser versicherbar – sie sind schlicht widerstandsfähiger.
Resilienz lässt sich aufbauen
Absolute Sicherheit wird es angesichts der Dynamik der Bedrohungslage nicht geben, Widerstandsfähigkeit hingegen lässt sich gezielt entwickeln. Die entscheidende Frage lautet deshalb nicht, ob ein Unternehmen völlig verhindern kann, Ziel eines Cyberangriffs zu werden. Sie lautet: Wie gut ist es auf diesen Moment vorbereitet und was muss noch verbessert werden?
Die Antwort auf diese Fragen müssen Unternehmen nicht allein finden. Spezialisierte Versicherungspartner bringen ihre Erfahrung aus unzähligen Schadenfällen ein, um die organisatorische Reaktion gemeinsam mit dem Kunden zu stärken. Mit erprobten Methoden – von Krisenübungen bis zur Analyse von Backup-Strategien – wird die Vorbereitung auf den Ernstfall praktisch erprobt und kontinuierlich verbessert. Eine hohe Resilienz liegt dabei im gemeinsamen Interesse: Sie schützt das Unternehmen vor existenziellen Schäden und macht es zu einem kalkulierbaren und damit versicherbaren Risiko.
Der eigentliche Maßstab für Cybersicherheit geht über das Abwehren von Angriffen hinaus. Er besteht darin Sorge zu tragen, dass eine Widerstandsfähigkeit besteht und eine schnelle Erholung möglich ist, sollte ein Angriff doch erfolgreich sein.
