2026-07-19 · LEITFADEN · Das Team von Offensive Technology

Brauche ich einen Pentest für eine Cyber-Versicherung?

Kurzantwort: In der Regel nicht per Gesetz, und viele Policen verlangen keinen. Einige Versicherer fordern jedoch bei höheren Deckungssummen einen Penetrationstest oder den Nachweis regelmäßiger Tests. Das eigentliche Nadelöhr ist der Sicherheitsfragebogen des Versicherers (MFA, EDR, getestete Backups, ein Incident-Response-Plan). Beantworten Sie ihn ehrlich, denn eine wesentliche Falschangabe kann dazu führen, dass ein Versicherer einen Anspruch ablehnt oder die Police aufhebt.

Es kommt auf den Versicherer an. Wer Ihnen ein pauschales Ja oder Nein gibt, hat Ihren Antrag nicht gelesen. Es gibt kein Gesetz, das ein Unternehmen dazu verpflichtet, einen Penetrationstest durchzuführen, um eine Cyber-Versicherung abzuschließen. Stattdessen gibt es einen Markt von Versicherern, von denen jeder seinen eigenen Fragebogen, seine eigenen geforderten Controls und seine eigenen Schwellenwerte hat. Ob ein Pentest auf Ihrer Liste steht, hängt davon ab, an welchen Versicherer Sie sich wenden und wie viel Deckung Sie wünschen. So sollten Sie das Thema angehen.

Die eigentliche Anforderung ist der Antrag, nicht der Pentest

Moderne Cyber-Versicherungen basieren auf einem Sicherheitsfragebogen. Bevor ein Versicherer Ihnen ein Angebot macht, möchte er wissen, wie Sie sich schützen, da die Antworten Rückschlüsse darauf zulassen, wie wahrscheinlich ein Schadensfall ist. Marktweit konzentrieren sich die Fragen auf ein bekanntes Set von Sicherheitskontrollen:

Multi-Faktor-Authentifizierung, insbesondere für E-Mail, Fernzugriff und privilegierte Konten. Seit dem harten Markt der frühen 2020er-Jahre ist MFA bei den meisten Versicherern nahezu zur Mindestanforderung geworden. Ihr Fehlen allein kann bereits zur Ablehnung eines Antrags führen.
Endpoint Detection and Response auf Laptops und Servern.
Backups, die getestet wurden und offline oder anderweitig vor Ransomware geschützt aufbewahrt werden.
Ein schriftlicher Incident-Response-Plan.
Patch- und Schwachstellenmanagement.

Penetrationstests tauchen möglicherweise auf dieser Liste auf oder auch nicht. Einige Versicherer fragen, ob Sie regelmäßige Tests durchführen. Manche verlangen Nachweise, etwa eine Management-Zusammenfassung Ihres letzten Berichts. Andere fragen bei kleineren Deckungssummen gar nicht danach. Das allgemeine Muster zeigt, dass der Wunsch nach einem Pentest mit der Höhe der Versicherungssumme steigt: Je höher die gewünschte Deckung, desto wahrscheinlicher fordert der Versicherer einen Nachweis, dass eine qualifizierte Stelle versucht hat, einzubrechen.

Da dies so stark variiert, lautet die einzige verlässliche Antwort auf die Frage "Brauche ich einen?": Lesen Sie den konkreten Antrag vor Ihnen und fragen Sie Ihren Makler, was dieser Versicherer bei der gewünschten Deckungssumme erwartet. Das ist kein Ausweichen, sondern die tatsächliche Funktionsweise.

Warum ehrliche Antworten wichtiger sind, als den meisten Käufern bewusst ist

Hier kommt der Punkt, der eine bürokratische Übung in ein echtes Risiko verwandelt, und das ist der Grund, warum uns dieses Thema überhaupt am Herzen liegt.

Ein Versicherungsantrag ist eine rechtlich bindende Erklärung. Wenn Sie bestätigen, dass Sie überall MFA, getestete Backups und EDR im Einsatz haben, machen Sie Angaben, auf die sich der Versicherer bei der Preisgestaltung und Ausstellung der Police verlässt. Wenn diese Angaben falsch sind, selbst versehentlich, kann ein Versicherer einen Anspruch später anfechten oder ablehnen und in einigen Fällen die Police wegen wesentlicher Falschdarstellung rückwirkend aufheben. Das ist kein cyber-spezifischer Trick. Es ist allgemeines Versicherungsrecht, das hier mit voller Härte greift.

Genau hier zahlt sich ein Test aus, unabhängig davon, ob der Antrag ihn verlangt. Ein Fragebogen verlangt von Ihnen die Bestätigung, dass eine Maßnahme existiert. Er prüft nicht, ob die Maßnahme tatsächlich funktioniert. Sie können ehrlich glauben, dass MFA für jeden Fernzugriffspfad erzwungen wird, und trotzdem falsch liegen, weil ein vergessenes VPN, ein veralteter Login oder ein Dienstkonto durchgerutscht ist. Die Lücke zwischen "wir haben es konfiguriert" und "es hält tatsächlich stand" ist genau die Lücke, die ein Angreifer ausnutzt, und genau die Lücke, die aus einer bestätigten Maßnahme einen abgelehnten Leistungsfall macht.

Was ein Pentest tatsächlich für Ihre Position bei der Versicherung leistet

Ehrlich eingesetzt hilft das Testen auf drei konkrete Arten:

Es überprüft Ihre Angaben, bevor Sie diese unterschreiben. Wenn Sie im Begriff sind zu versichern, dass Ihr externer Zugang abgesichert ist, ist die Bestätigung durch jemanden aus der Perspektive eines Angreifers eine günstige Versicherung für Ihre Versicherung.
Es kann Reibung reduzieren und manchmal Kosten senken. Versicherer belohnen nachweisbare Sicherheit. Ein aktueller, glaubwürdiger Test kann das Underwriting erleichtern und bei einigen Versicherern die Konditionen verbessern. Wir versprechen keinen konkreten Rabatt, da dieser vollständig vom Versicherer abhängt und wir ihn nicht garantieren können.
Es verringert von vornherein die Wahrscheinlichkeit eines Schadensfalls. Das beste Ergebnis einer Cyber-Versicherung ist, sie nie in Anspruch nehmen zu müssen.

Was ein Pentest nicht leisten kann, ist, Sie absolut unfehlbar oder unumstößlich abzusichern. Es handelt sich um eine Momentaufnahme für den vereinbarten Scope. Er sagt nichts über Systeme aus, die Sie im nächsten Monat einführen, und er ersetzt keine operativen Schutzmaßnahmen wie MFA, Backups und Patching, die von Versicherern in der Praxis am stärksten gewichtet werden.

Der praktische Ablauf

Wenn eine Cyber-Versicherung der Anlass für diese Frage ist, gehen Sie in folgender Reihenfolge vor. Erstens: Holen Sie sich den konkreten Antrag von Ihrem Makler und lesen Sie, was dieser Versicherer bei Ihrer Ziel-Deckungssumme verlangt. Zweitens: Schließen Sie offensichtliche Sicherheitslücken bei MFA, Backups und EDR, da diese das Underwriting am stärksten beeinflussen. Drittens: Wenn der Antrag Tests verlangt oder Sie einfach wissen möchten, ob Ihre Angaben stimmen, bevor Sie unterschreiben, definieren Sie den Scope für einen passenden Test.

Bevor Sie ein vollständiges Projekt beauftragen, lohnt es sich zu sehen, was ein Angreifer bereits von außen sieht, damit Sie keine Maßnahmen bestätigen, die ein Fremder an einem Nachmittag widerlegen könnte. Das ersetzt keinen vollständigen Penetrationstest, falls Ihr Versicherer einen fordert, und das sagen wir Ihnen auch ganz deutlich.

Unser $100-Check ist genau dieser erste Blick: eine gezielte Überprüfung Ihrer externen Angriffsfläche, durchgeführt in einem von Ihnen nachweislich besessenen und schriftlich autorisierten Scope, geprüft von einem Senior Operator und geliefert mit einer 30-minütigen Besprechung. Er beendet das Raten darüber, was ein Angreifer sieht, und ist der ehrlichste Ausgangspunkt, bevor Sie einen Fragebogen unterschreiben.

Cyber-Versicherung und Penetrationstesting: Schnelle Antworten

Brauche ich einen Penetrationstest für eine Cyber-Versicherung?

Es kommt auf den Versicherer an. Kein Gesetz schreibt einen vor, und viele Policen verlangen keinen, aber einige Versicherer fordern ab höheren Deckungssummen einen Penetrationstest oder den Nachweis regelmäßiger Tests. Lesen Sie den konkreten Antrag vor Ihnen.

Was verlangen Anträge auf Cyber-Versicherungen?

Einen Sicherheitsfragebogen mit Schwerpunkt auf Sicherheitskontrollen: Multi-Faktor-Authentifizierung für E-Mail, Fernzugriff und privilegierte Konten, Endpoint Detection and Response, getestete und geschützte Backups, einen schriftlichen Incident-Response-Plan sowie Patch- und Schwachstellenmanagement.

Kann ein Penetrationstest meine Cyber-Versicherungsprämie senken?

Manchmal. Versicherer belohnen nachweisbare Sicherheit, und ein aktueller, glaubwürdiger Test kann das Underwriting erleichtern. Ein Rabatt hängt jedoch vom jeweiligen Versicherer ab und ist nicht garantiert.

Was passiert, wenn ich den Fragebogen der Versicherung falsch beantworte?

Ein Antrag ist eine rechtlich bindende Erklärung. Eine wesentliche Falschangabe kann dazu führen, dass der Versicherer einen Anspruch später anficht, ablehnt oder die Police aufhebt. Deshalb ist es wichtig, Ihre bestätigten Sicherheitskontrollen vor der Unterschrift zu überprüfen.