Warum gerade KMU?

Angreifer suchen nicht unbedingt die wertvollsten Ziele, sondern die verwundbarsten. Viele KMU arbeiten mit veralteter Software, haben keine systematische IT-Sicherheitsstrategie und verfügen weder über ein internes Security-Team noch über einen Notfallplan. Gleichzeitig haben sie etwas, das Angreifer brauchen: Kundendaten, Zahlungsinformationen, Geschäftsgeheimnisse – und eine Geschäftsleitung, die im Ernstfall unter Druck steht.

Die Kosten eines Vorfalls

Ein Cyberangriff ist kein reines IT-Problem. Er ist ein Geschäftsunterbruch. Die direkten Kosten – forensische Untersuchung, Datenwiederherstellung, allenfalls Lösegeldforderungen – sind nur ein Teil der Rechnung. Hinzu kommen:

• Betriebsunterbruch: Tage oder Wochen, in denen nicht oder nur eingeschränkt gearbeitet werden kann.
• Reputationsschaden: Kunden und Partner verlieren Vertrauen, wenn ihre Daten betroffen sind.
• Rechtliche Konsequenzen: Mit dem revidierten Datenschutzgesetz (revDSG) bestehen Meldepflichten und mögliche Sanktionen.
• Haftung der Geschäftsleitung: Verwaltungsräte und Geschäftsführer können persönlich haftbar werden, wenn nachweislich keine angemessenen Schutzmassnahmen getroffen wurden.

Wo die klassische IT-Sicherheit aufhört

Firewalls, Virenscanner und regelmässige Backups sind notwendig – aber sie sind kein vollständiger Schutz. Phishing-Mails, Social Engineering und Ransomware umgehen technische Barrieren gezielt über den Faktor Mensch. Selbst gut geschützte Unternehmen können betroffen sein. Die Frage ist nicht ob, sondern wann – und was dann passiert.

Was eine Cyberversicherung leistet – und was nicht

Eine Cyberversicherung ersetzt keine IT-Sicherheit. Sie greift dort, wo Prävention nicht ausreicht. Eine gute Police deckt typischerweise die Kosten für Krisenmanagement und forensische Analyse, die Wiederherstellung von Daten und Systemen, den Ertragsausfall während des Betriebsunterbruchs, die Haftpflicht gegenüber Dritten bei Datenverlust sowie Rechtsberatung und Kommunikation im Krisenfall.

Entscheidend ist, dass die Police zur tatsächlichen Risikolage des Unternehmens passt. Standardlösungen greifen oft zu kurz, weil sie branchenspezifische Risiken, die tatsächliche IT-Infrastruktur oder die Abhängigkeit von einzelnen Systemen nicht abbilden.

IT-Sicherheit und Versicherung zusammen denken

Der sinnvolle Weg beginnt mit einer ehrlichen Bestandesaufnahme: Wo stehen wir in Sachen IT-Sicherheit? Welche Risiken können wir technisch minimieren, welche bleiben als Restrisiko bestehen? Und für dieses Restrisiko: Wie lässt es sich wirtschaftlich tragbar absichern?

Für die Geschäftsleitung hat das noch einen weiteren Aspekt: Wer dokumentieren kann, dass Risiken identifiziert, bewertet und – wo sinnvoll – versichert wurden, erfüllt die Sorgfaltspflicht gegenüber dem Unternehmen, den Aktionären und den Mitarbeitenden. Das ist nicht nur gute Praxis, sondern im Schadenfall auch der beste Schutz vor persönlicher Haftung.

Das Obligatorium endet schneller als gedacht

Das BVG-Obligatorium versichert Einkommen bis zu einer Obergrenze von rund CHF 88’200 (Stand 2024). Wer deutlich mehr verdient – und das trifft auf die meisten Führungskräfte und Unternehmer zu –, ist nur für einen Teil des Einkommens obligatorisch versichert. Der Rest hängt davon ab, ob und wie der überobligatorische Bereich im Vorsorgeplan geregelt ist.

In der Praxis heisst das: Bei Invalidität oder im Todesfall erhalten Betroffene oder Hinterbliebene Leistungen, die weit unter dem gewohnten Lebensstandard liegen. Nicht weil das System versagt, sondern weil es für dieses Einkommenssegment schlicht nicht ausgelegt ist.

Die drei häufigsten Lücken

• Einkommensschutz bei Invalidität: Die IV-Rente und die BVG-Invalidenrente zusammen erreichen bei hohen Einkommen oft nur 40 bis 50 Prozent des bisherigen Einkommens. Für jemanden, der eine Familie versorgt, Hypotheken bedient und Verpflichtungen hat, kann das existenziell werden.
• Hinterlassenenleistungen: Die Witwen-/Witwerrente und Waisenrenten aus dem BVG sind prozentual an das versicherte Gehalt gekoppelt. Liegt ein grosser Teil des Einkommens im überobligatorischen Bereich und ist dieser nicht oder schlecht abgedeckt, entsteht eine Versorgungslücke für die Familie.
• Altersvorsorge: Das Kapital, das über die Pensionskasse angespart wird, reicht bei Unternehmern häufig nicht aus, um den gewohnten Lebensstandard im Alter zu halten – besonders wenn in den Aufbaujahren wenig einbezahlt wurde oder Einkäufe versäumt wurden.

Was Unternehmer besonders betrifft

Für Inhaber von Einzelfirmen und Gesellschafter von Personengesellschaften kommt ein zusätzliches Thema hinzu: Sie sind nicht obligatorisch BVG-versichert. Der Anschluss an eine Pensionskasse ist freiwillig. Wer das nicht aktiv regelt, steht im Leistungsfall ohne zweite Säule da – ein Risiko, das im Tagesgeschäft leicht untergeht.

Auch bei GmbH- und AG-Geschäftsführern, die gleichzeitig Gesellschafter sind, lohnt sich ein genauer Blick: Wie ist der Vorsorgeplan gestaltet? Stimmen die versicherten Lohnanteile? Gibt es Einkaufspotenzial? Sind Risikoleistungen ausreichend?

Keine Standardlösung, sondern eine individuelle Analyse

Die Lösung liegt nicht in einem bestimmten Produkt, sondern in einer sauberen Analyse. Welche Leistungen bestehen heute? Welche Lücken ergeben sich bei Invalidität, Tod und Pensionierung? Und wie lassen sich diese Lücken gezielt und steuerlich sinnvoll schliessen – ob über den Vorsorgeplan, über Säule 3a, über private Absicherungen oder über eine Kombination?

Wer diese Analyse einmal sauber macht, hat Klarheit. Und Klarheit ist die Voraussetzung für gute Entscheidungen – nicht nur für sich selbst, sondern auch für die Familie und das Unternehmen.

Das Problem ist nicht der einzelne Vertrag

In den meisten Fällen sind die einzelnen Policen für sich betrachtet in Ordnung. Die Prämien sind marktüblich, die Deckungen plausibel. Doch das eigentliche Risiko liegt zwischen den Verträgen – in den Schnittstellen, die niemand aktiv bewirtschaftet. Typische Befunde bei einer strukturierten Überprüfung:

• Deckungslücken, weil sich eine Betriebsänderung (z.B. neue Geschäftstätigkeit, zusätzliche Standorte) nicht in den bestehenden Policen widerspiegelt.
• Doppelversicherungen, bei denen derselbe Schaden theoretisch über zwei Verträge gedeckt wäre – was im Schadenfall eher zu Verzögerungen als zu doppelter Leistung führt.
• Veraltete Summen, die vor zehn Jahren gestimmt haben, aber das heutige Vermögen oder die aktuelle Lohnsumme nicht mehr abbilden.
• Unklare Zuständigkeiten zwischen privater und geschäftlicher Absicherung – besonders bei Unternehmern, die beides eng verknüpfen.

Warum fällt das intern selten auf?

Die Antwort ist menschlich: Versicherungen gehören zu den Themen, die man erledigt, ablegt und erst wieder hervorholt, wenn es brennt. Solange kein Schaden eintritt, gibt es keinen Anlass, das Gesamtbild zu hinterfragen. Hinzu kommt, dass viele bestehende Berater jeweils nur ihren eigenen Ausschnitt kennen – den Bereich, den sie betreuen. Ein übergreifender Blick ist nicht deren Aufgabe und oft auch nicht deren Anreiz.

Was ein strukturierter Aussenblick bringt

Eine unabhängige Überprüfung setzt nicht beim einzelnen Vertrag an, sondern bei der Person oder dem Unternehmen als Ganzes. Was sind die tatsächlichen Risiken? Was davon ist abgesichert, was bewusst getragen, was schlicht übersehen? Das Resultat ist keine Verkaufsliste, sondern eine dokumentierte Risikoübersicht mit klaren Handlungsempfehlungen – priorisiert nach Dringlichkeit und wirtschaftlicher Bedeutung.

Für Unternehmer hat das einen zusätzlichen Wert: Eine saubere Dokumentation der Risikostruktur ist nicht nur für die eigene Sicherheit relevant, sondern auch für Gespräche mit Banken, Investoren, Revisoren oder bei einer Nachfolgeregelung. Wer seine Risiken kennt und strukturiert darstellen kann, verhandelt aus einer stärkeren Position.

Der richtige Zeitpunkt

Es gibt Situationen, in denen eine Überprüfung besonders sinnvoll ist: nach einer Firmengründung oder -übernahme, bei einem Wachstumsschub, nach einem Immobilienkauf, bei einer Veränderung in der Familienkonstellation oder schlicht, wenn die letzte Gesamtbetrachtung mehr als drei Jahre zurückliegt. Der Aufwand ist überschaubar – der Erkenntnisgewinn in der Regel nicht.