Der „Cyber Security Report DACH 2025“ von Horizon3.ai zeigt: Ein Großteil der Unternehmen sieht in regelmäßigen Penetrationstests einen wirksamen Hebel, um Versicherungsprämien zu stabilisieren oder zu senken. Zugleich wächst der Markt für Cyberpolicen rasant, wobei steigende Schäden die Versicherungswirtschaft unter Druck setzen.
Foto: Horizon3.ai
Dennis Weyel, International Technical Director bei Horizon3.ai
Cyberangriffe verursachen zunehmend gravierende Schäden, während Unternehmen versuchen, sich über Cyberversicherungen gegen die finanziellen Folgen abzusichern. Laut dem aktuellen „Cyber Security Report DACH 2025“ von Horizon3.ai setzen viele Firmen dabei verstärkt auf kontinuierliches Pentesting als Nachweis ihrer Sicherheitsmaßnahmen. Die Untersuchung basiert auf der Befragung von 300 Führungskräften aus überwiegend mittelständischen Unternehmen in Deutschland, Österreich und der Schweiz.
Der Report zeichnet ein deutliches Bild: Gut zwei Drittel der befragten Unternehmen verfügen über einen umfassenden Cyberversicherungsschutz, weitere 14 Prozent zumindest teilweise. Welche Rolle spielt Pentesting dabei? Fast die Hälfte der Unternehmen sieht einen direkten Effekt auf die Prämiengestaltung: 48 Prozent bewerten den Einfluss von Pentests auf die Versicherungsprämien als „hoch“ (20 Prozent), „sehr hoch“ (17 Prozent) oder „extrem hoch“ (11 Prozent). Weitere 21 Prozent attestieren den Tests zumindest „einen gewissen Einfluss“.
Insgesamt ergibt sich somit die Einschätzung, dass 69 Prozent der Unternehmen Pentesting als Mittel zur Senkung ihrer Versicherungsprämien betrachten. Bereits 28 Prozent konnten laut eigenen Angaben eine tatsächliche Reduzierung durchsetzen. Branchenweit wird von Absenkungen zwischen 10 und 20 Prozent ausgegangen – abhängig von Versicherer und Risikoprofil.
Sicherheitsexperte Dennis Weyel, International Technical Director bei Horizon3.ai, betont jedoch, dass es längst nicht mehr nur um Kostensenkung gehe:
„Angesichts einer sich ständig verschärfenden Sicherheitslage geht es in vielen Fällen weniger um Prämienreduzierung als vielmehr darum, einen übermäßigen Anstieg zu verhindern. Und es ist wohl absehbar, dass Assekuranzen künftig immer weniger bereit sein werden, für Unternehmen ohne regelmäßige IT-Sicherheitsnachweise durch Penetrationstests überhaupt noch Cyberversicherungen anzubieten.“
Weyel verweist zudem auf Potenziale zur Schadensvermeidung. Regelmäßige Pentests und die schnelle Behebung gefundener Schwachstellen könnten die Schäden durch Cyberangriffe laut Schätzungen um bis zu 40 Prozent reduzieren. Bei einer vom Bitkom für 2024 geschätzten Schadenshöhe von 178 Milliarden Euro entspräche das einer jährlichen Kostenersparnis von über 71 Milliarden Euro.
Die Angaben der Unternehmen im Report decken sich weitgehend mit externen Marktschätzungen. 39 Prozent der Firmen bewerten den wirtschaftlichen Schaden durch Cyberkriminalität in Deutschland korrekt im Bereich 100 bis 200 Milliarden Euro. Ein Teil der Befragten liegt spürbar darunter, während 31 Prozent ein noch höheres Schadenvolumen annehmen.
Für Dennis Weyel zeigt das ein wachsendes Bewusstsein für die Risiken:
„70 Prozent der Unternehmen sind sich der immensen finanziellen Schäden und Folgekosten bewusst, die durch Cyberangriffe entstehen können, die Versicherungswirtschaft bereitet sich auf zunehmende Cyberschäden vor.“
Diese Einschätzungen verdeutlichen die Dynamik im Markt für Cyberversicherungen – und weshalb Sicherheitsnachweise wie Pentests zunehmend in den Fokus rücken.
Auch die Bundesanstalt für Finanzdienstleistungsaufsicht (BaFin) beobachtet eine deutliche Beschleunigung des Marktgeschehens. Zwischen 2020 und 2022 habe sich das Geschäft mit reinen Cyberpolicen (Stand-alone) im selbst abgeschlossenen Geschäft der Erstversicherer mehr als verdoppelt. Das Beitragsvolumen erreichte 2022 rund 700 Millionen Euro, ein Plus von 144 Prozent gegenüber 2020.
Bemerkenswert sei laut BaFin, dass die Beitragseinnahmen stärker stiegen als die Zahl der abgeschlossenen Verträge – ein Hinweis auf signifikante Prämienerhöhungen, insbesondere im Zeitraum 2021 bis 2022. Für die kommenden Jahre erwartet die Aufsicht weiteres Wachstum: Das selbst abgeschlossene Geschäft soll bald die Milliardengrenze überschreiten, während das übernommene Geschäft in Richtung zwei Milliarden Euro steuere.
Industrieunternehmen stellen mit etwas mehr als 80 Prozent die wichtigste Kundengruppe im deutschen Cyberversicherungsgeschäft. Kleine und mittlere Unternehmen liegen bei 15 bis 20 Prozent, Privatkund:innen spielen mit rund einem Prozent kaum eine Rolle.
Angesichts dieser Entwicklung richtet die BaFin eine klare Empfehlung an die Branche aus: Versicherer sollten auf „eine umsichtige Tarifierung und eine angemessene Rückversicherung“ achten, da steigende Schadensfälle die Wirtschaftlichkeit des Geschäfts belasten.
