Cyberversicherungen sind für viele Unternehmen längst Teil der IT-Risikostrategie, doch die Cyberversicherung Software Anforderungen an den eigenen Softwarebetrieb sind vielen Versicherten nur ungefähr bekannt. Eine Police ersetzt keine funktionierende IT-Sicherheit, sondern setzt sie in den Vertragsbedingungen als Obliegenheit voraus. Dieser Ratgeber zeigt anhand der gängigen Musterbedingungen, welche Anforderungen an Patch-Management und Softwarepflege gestellt werden und welche Rolle eine saubere Lizenz- und Herkunftsdokumentation im Schadenfall spielen kann.
Cyberversicherung Software Anforderungen laut den GDV-Musterbedingungen
Die Musterbedingungen des Gesamtverbands der Deutschen Versicherungswirtschaft (GDV) für die Cyberrisiko-Versicherung enthalten im Abschnitt zu den Obliegenheiten vor Eintritt des Versicherungsfalls konkrete Anforderungen an die IT-Sicherheit. Verlangt wird unter anderem ein Schutz gegen Schadsoftware, dessen Schutzniveau automatisch aktuell gehalten wird, sowie ein Patch-Management-Verfahren, das eine zeitnahe Installation relevanter Sicherheitsupdates sicherstellt. Wörtlich heißt es dort, Systeme und Anwendungen mit bekannten Sicherheitslücken dürften nicht ohne zusätzliche geeignete Absicherungsmaßnahmen eingesetzt werden. Wichtig für die Einordnung: Diese Musterbedingungen sind eine unverbindliche Bekanntgabe des GDV zur fakultativen Verwendung, abweichende Vertragsklauseln einzelner Versicherer sind möglich und in der Praxis auch üblich.
Was bei Verletzung dieser Obliegenheiten droht
Nach den Musterbedingungen ist der Versicherer bei vorsätzlicher Verletzung der IT-Sicherheits-Obliegenheit von der Leistungspflicht frei. Bei grob fahrlässiger Verletzung ist er berechtigt, die Leistung entsprechend der Schwere des Verschuldens zu kürzen. In der Praxis bedeutet das: Wer im Schadenfall nicht plausibel darlegen kann, dass ein funktionierendes Patch-Management-Verfahren bestand, riskiert Diskussionen über die Leistungspflicht des Versicherers, selbst wenn der eigentliche Angriff nicht unmittelbar auf eine einzelne veraltete Software zurückzuführen ist.
Wichtig für die Einordnung: Die GDV-Musterbedingungen sind eine unverbindliche Bekanntgabe des Verbands zur fakultativen Verwendung, keine gesetzliche Vorgabe und kein Nachweis, dass jeder am Markt tätige Cyberversicherer exakt diese Klausel in dieser Formulierung verwendet. Ergänzend betont der GDV in eigenen Pressemitteilungen, dass zeitnah installierte Sicherheitsupdates neben Datensicherungen, starken Passwörtern, individuellen Zugängen, Virenscannern und Firewalls zur Basis eines angemessenen IT-Sicherheitsniveaus gehören. Vor Vertragsabschluss lohnt sich deshalb ein Blick in die konkreten Obliegenheiten der jeweiligen Police, statt sich allein auf die Musterbedingungen zu verlassen.
Patch-Management und aktuelle Kaufversionen statt Alt-Software
Ein funktionierendes Patch-Management setzt voraus, dass die eingesetzte Software überhaupt noch mit Sicherheitsupdates versorgt wird. Läuft der reguläre Support einer Produktversion aus, gibt es planmäßig keine neuen Sicherheitsupdates mehr, unabhängig davon, wie sorgfältig das interne Patch-Management sonst organisiert ist. Wann der Support für welche Windows- und Office-Versionen endet, hat Lyzio im separaten Ratgeber zum Microsoft-Support-Ende 2026/2027 zusammengestellt. Für die Cyberversicherung Software Anforderungen relevant ist dabei weniger, ob eine Lizenz neu oder gebraucht erworben wurde, sondern ob die eingesetzte Produktversion noch aktiv unterstützt wird und sich patchen lässt. Aktuelle Kaufversionen, ob neu oder gebraucht beschafft, lassen sich ebenso mit Sicherheitsupdates versorgen wie neu lizenzierte Software, solange ihr Support-Zeitraum noch läuft.
Lizenz- und Herkunftsdokumentation als Pluspunkt im Schadenfall
Im Schadenfall verlangt der Versicherer typischerweise eine nachvollziehbare Darstellung der eingesetzten IT-Umgebung, inklusive Softwareversionen und angewendeter Sicherheitsmaßnahmen. Eine vollständige Dokumentation der Lizenz- und Softwareherkunft, wie sie bei einem geprüften Ankauf gebrauchter Volumenlizenzen anfällt, erleichtert genau diesen Nachweis: Welche Version war im Einsatz, seit wann, und über welchen Beschaffungsweg. Das ersetzt keine Sicherheitsmaßnahme, kann die Kommunikation mit dem Versicherer im Ernstfall aber deutlich beschleunigen. Eine erste Bestandsaufnahme Ihrer aktuellen Softwarelandschaft liefert unsere Lizenz-Bestandsanalyse.
Verbindung zu NIS-2: nicht die Herkunft, sondern die Version zählt
Ähnlich wie bei den Anforderungen aus der NIS-2-Umsetzung gilt auch für die Cyberversicherung Software Anforderungen: Risikorelevant ist die nicht mehr unterstützte Produktversion, nicht der Umstand, ob eine Lizenz neu oder gebraucht erworben wurde. Mehr zu den regulatorischen Pflichten für NIS-2-betroffene Unternehmen lesen Sie in unserem Ratgeber zur NIS-2-Software-Compliance. Einen Überblick über auslaufende Support-Zeiträume verschiedener Produkte bietet zudem unsere Übersichtsseite End-of-Life.
Fazit: Aktuelle Software als gemeinsame Basis
Cyberversicherer setzen kein bestimmtes Beschaffungsmodell voraus, sondern ein funktionierendes Patch-Management und aktuell gehaltene Schutzmaßnahmen laut den GDV-Musterbedingungen. Wer konsequent auf noch unterstützte Produktversionen setzt und deren Herkunft und Lizenzstatus lückenlos dokumentiert, erfüllt die Grundlage für beides und erleichtert sich im Schadenfall die Kommunikation mit dem Versicherer. Bei Lyzio erhalten Sie aktuelle Microsoft-Kaufversionen als geprüfte Gebrauchtlizenz mit vollständiger Dokumentation.