Cyberversicherung für Stadtwerke: Wann der Schutz im Ernstfall greift

Eine Cyberversicherung für Stadtwerke kann die finanziellen und betrieblichen Folgen eines Cyberangriffs abfedern. Ob und in welchem Umfang sie im Ernstfall leistet, hängt von den vereinbarten Versicherungsbedingungen und den Umständen des Schadensfalls ab, etwa von der Einhaltung vertraglicher Sicherheitsobliegenheiten und korrekten Angaben bei Vertragsschluss. Seit dem 6. Dezember 2025 gilt zudem das NIS-2-Umsetzungsgesetz, das Geschäftsleitungen betroffener Einrichtungen zur Umsetzung und Überwachung des Risikomanagements verpflichtet.

Gemeint sind Policen, die die Folgen eines Cyberangriffs finanziell und betrieblich abfedern sollen. Obliegenheiten sind vertraglich vereinbarte Verhaltenspflichten des Versicherungsnehmers, zum Beispiel regelmäßige Datensicherungen oder zeitnahe Sicherheitsupdates. Davon zu unterscheiden ist die vorvertragliche Anzeigepflicht, die sich auf die Antworten im Risikofragebogen vor Vertragsschluss bezieht.

Warum stellt Cybersicherheit Stadtwerke vor besondere Anforderungen?

Laut der Studie „Wirtschaftsschutz 2025“ des Digitalverbands Bitkom entstand Unternehmen in Deutschland durch Diebstahl, Industriespionage und Sabotage ein Schaden von 289,2 Milliarden Euro. Rund 70 Prozent davon (202,4 Milliarden Euro) entfielen auf Cyberangriffe. 87 Prozent der befragten Unternehmen gaben an, in den zwölf Monaten vor der Befragung von Diebstahl, Industriespionage oder Sabotage betroffen gewesen zu sein (Stand: September 2025).

Stadtwerke haben aufgrund ihrer Versorgungsaufgaben besondere Anforderungen an die Cybersicherheit. Viele betreiben mehrere Sparten, von Strom und Gas über Fernwärme bis zu Wasser und Abwasser. Laut einem Gastbeitrag in der ZfK arbeiten über 900 Stadtwerke mit eigenständiger IT, mit unterschiedlichen Sicherheitsreifegraden, heterogenen Systemen und knappen IT-Budgets (Stand: Oktober 2026).

Zwei Fälle aus Nordrhein-Westfalen zeigen, wie unterschiedlich die Folgen ausfallen können. Bei den Stadtwerken Schwerte tauchten im Frühjahr 2025 personenbezogene Daten der Unternehmensgruppe und des Abwasserbetriebs im Darknet auf. Die Ver- und Entsorgung war laut Unternehmen nicht betroffen (ZfK, April 2025). Bei den Stadtwerken Detmold waren nach einem Angriff Mitte November 2025 Telefon und E-Mail mehrere Wochen gestört, die Versorgung mit Strom, Gas, Wasser und Fernwärme blieb unberührt (ZfK, Januar 2026).

Worauf es bei Cyberversicherungen ankommt

Laut dem Gesamtverband der Deutschen Versicherungswirtschaft (GDV) verfügen rund fünf Prozent der Unternehmen in Deutschland über eine Cyberversicherung. Nach Erkenntnissen der Versicherer hat nur rund ein Drittel der Unternehmen hinreichende Schutzmaßnahmen. Die Versicherungsschäden beliefen sich 2025 auf knapp 200 Millionen Euro, der Durchschnittsschaden je Versicherungsfall lag bei 43.186 Euro (Stand: September 2026).

Aufgrund ihrer oft komplexen Strukturen kann für Stadtwerke eine individuelle Prüfung des Versicherungsschutzes sinnvoll sein. Der Autor des ZfK-Gastbeitrags, selbst Versicherungsmakler, rät dazu, die Police individuell auszuschreiben.

Viele Verträge enthalten IT-Obliegenheiten, etwa zu regelmäßigen Backups. Ob eine Verletzung zu einer Kürzung oder zur Leistungsfreiheit führt, richtet sich nach den Vertragsbedingungen und dem Versicherungsvertragsgesetz (VVG). Nach § 28 VVG setzt das voraus, dass der Vertrag diese Rechtsfolge vorsieht. Bei Vorsatz kann der Versicherer dann leistungsfrei sein, bei grober Fahrlässigkeit kann er die Leistung entsprechend der Schwere des Verschuldens kürzen. War die Verletzung für den Schaden und seine Feststellung nicht ursächlich, bleibt er grundsätzlich zur Leistung verpflichtet, außer bei Arglist.

Als mögliche Risiken für den Versicherungsschutz nennt der Gastbeitrag unter anderem:

• • Backups, deren Wiederherstellung nie getestet wurde

  • Backups, die dauerhaft mit dem Hauptnetz verbunden sind

  • Systeme ohne aktuelle Sicherheitspatches

  • Fernzugänge ohne Multifaktor-Authentifizierung

Daneben lohnt ein genauer Blick auf Ausschlüsse und Grenzen im konkreten Vertrag. Ausschlüsse für Krieg, staatlich unterstützte Cyberoperationen oder bestimmte Sabotagehandlungen sollten ausdrücklich geprüft werden. Auch bei Schäden durch interne Täter sollte geklärt sein, ob und in welchem Umfang der Vertrag Deckung vorsieht.

Wie wichtig sorgfältige Angaben vor Vertragsschluss sind, zeigt ein Fall vor dem Oberlandesgericht Schleswig (Beschluss vom 9. Januar 2025, Az. 16 U 63/24). Ein mittelständischer Holzgroßhändler hatte Risikofragen zu Schutzsoftware und Updates bejaht, obwohl Altsysteme ohne Herstellerupdates im Einsatz waren. Das Gericht wertete die Antworten als Angaben „ins Blaue hinein“ und hielt die Anfechtung wegen arglistiger Täuschung für wirksam (beck-aktuell, März 2025). Der Fall betrifft objektiv falsche und arglistig gegebene Antworten. Er bedeutet nicht, dass jede unzutreffende Angabe automatisch den gesamten Versicherungsschutz beseitigt.

Was verlangt NIS-2 von betroffenen Einrichtungen?

Das Gesetz zur Umsetzung der NIS-2-Richtlinie kann unter bestimmten Voraussetzungen auch kommunale Unternehmen aus Energie, Trink- und Abwasser, Verkehr und Abfallwirtschaft erfassen. Entscheidend sind unter anderem die Tätigkeit und die Unternehmensgröße. Ob ein einzelnes Stadtwerk betroffen ist und ob es als besonders wichtige oder wichtige Einrichtung gilt, muss individuell geprüft werden. Bundesweit wird mit rund 30.000 betroffenen Unternehmen gerechnet (IHK Pfalz).

Betroffene Einrichtungen müssen sich beim Bundesamt für Sicherheit in der Informationstechnik (BSI) registrieren, und zwar spätestens drei Monate, nachdem sie erstmals oder erneut als besonders wichtige oder wichtige Einrichtung gelten (§ 33 BSI-Gesetz). Für die erste Welle lief diese Frist am 6. März 2026 ab, das BSI setzte eine Nachfrist bis zum 31. Juli 2026. Bis dahin hatten sich über 19.000 Einrichtungen registriert (ZfK, August 2026). Der Verband kommunaler Unternehmen (VKU) sieht die aufwendige Betroffenheitsanalyse von Mehrspartenunternehmen als Hauptgrund für die zurückhaltenden Registrierungen.

Für erhebliche Sicherheitsvorfälle gelten gestufte Meldepflichten nach § 32 BSI-Gesetz. Eine frühe Erstmeldung ist spätestens 24 Stunden nach Kenntnis fällig, eine Meldung mit erster Bewertung spätestens nach 72 Stunden. Die Abschlussmeldung ist spätestens einen Monat nach dieser Meldung fällig. Dauert der Vorfall dann noch an, ist zunächst eine Fortschrittsmeldung vorzulegen.

Für bestimmte Pflichtverstöße sieht § 65 BSI-Gesetz Bußgelder bis zu 10 Millionen Euro bei besonders wichtigen und bis zu 7 Millionen Euro bei wichtigen Einrichtungen vor. Bei einem Gesamtumsatz von mehr als 500 Millionen Euro können stattdessen bis zu 2 beziehungsweise 1,4 Prozent des Umsatzes gelten. Ein Verstoß gegen die Registrierungspflicht ist mit bis zu 500.000 Euro bewehrt. Das sind Höchststrafen und keine automatischen Strafen.

Für Geschäftsleitungen besonders wichtiger und wichtiger Einrichtungen ergeben sich aus § 38 BSI-Gesetz Umsetzungs-, Überwachungs- und Schulungspflichten. Sie müssen die Risikomanagementmaßnahmen umsetzen, deren Umsetzung überwachen und regelmäßig an Schulungen teilnehmen. Bei schuldhaften Pflichtverletzungen kann eine persönliche Haftung gegenüber der eigenen Einrichtung entstehen, und zwar nach den Regeln des jeweiligen Gesellschaftsrechts. Wie sehr Regulierung Stadtwerke ohnehin fordert, zeigt unser Beitrag zur Stadtwerkestudie 2025.

Was eine Police leisten kann & wo ihre Grenzen liegen

Eine Cyberversicherung ersetzt keine IT-Sicherheit. Der GDV beschreibt Prävention und Versicherungsschutz als Funktionen, die sich ergänzen: Die eine senkt das Risiko, die andere federt die Folgen ab.

Je nach Vertrag kann CEO‑Fraud nicht oder nur eingeschränkt gedeckt sein, etwa wenn Geld aufgrund einer gefälschten Chef-Mail überwiesen wird, ohne dass die IT angegriffen wurde. Eine ergänzende Vertrauensschadenversicherung kann je nach Deckungsumfang sinnvoll sein.

Aus unserer Sicht liegt der größte Hebel im Zusammenspiel. Die Angaben im Risikofragebogen und das Risikomanagement nach NIS-2 beschreiben dieselben Systeme und sollten deshalb gemeinsam gepflegt werden. Dazu gehört auch die Kommunikation: Sind wie in Detmold Telefon und E-Mail gestört, brauchen Kund:innen trotzdem verlässliche Informationen. Wie Stadtwerke das vorbereiten können, beschreibt unser Beitrag zur Krisenkommunikation bei Stadtwerken.

Zwei Grenzen gehören zur Einordnung. Die Zahlen von Bitkom und GDV beziehen sich auf die gesamte Wirtschaft und nicht speziell auf Stadtwerke. Einschätzungen zu Versicherungsbedingungen stammen aus dem Gastbeitrag eines Versicherungsmaklers, und Bedingungen unterscheiden sich von Versicherer zu Versicherer. Dieser Beitrag ersetzt keine Rechts- oder Versicherungsberatung.

Prüffragen für Stadtwerke

• Ist geklärt, ob und als welche Einrichtung Ihr Unternehmen unter NIS-2 fällt, und ist die Registrierung beim BSI erfolgt?
• Wann wurde die Wiederherstellung aus dem Backup zuletzt getestet, und ist der Test dokumentiert?
• Liegt mindestens eine Sicherungskopie getrennt vom Hauptnetz?
• Sind Fernzugänge, auch die von Dienstleistern, mit Multifaktor-Authentifizierung geschützt?
• Stimmen die Antworten im Risikofragebogen mit dem tatsächlichen Systembestand überein, einschließlich Altsystemen?
• Welche Obliegenheiten, Ausschlüsse und Sublimits enthält Ihr Vertrag, etwa für Social Engineering oder interne Täter?
• Kennt jede Sparte den Meldeweg, um erhebliche Sicherheitsvorfälle innerhalb von 24 Stunden zu melden?
• Hat die Geschäftsleitung an einer Schulung nach § 38 BSI-Gesetz teilgenommen?

Fazit: Police & IT-Sicherheit gemeinsam denken

Eine Cyberversicherung für Stadtwerke kann ein sinnvoller Baustein im Umgang mit Cyberrisiken sein. Wie viel sie im Ernstfall wert ist, hängt vom konkreten Vertrag und von gelebter IT-Sicherheit ab. Wer Police, IT-Realität und NIS-2-Pflichten nebeneinanderlegt, erkennt Lücken früh und kann sie gemeinsam mit Fachleuten für IT-Sicherheit und Versicherungsrecht schließen.