Cyberversicherungs-Markt 2026: Prämien sinken, jeder dritte Antrag scheitert

Zwei Nachrichten aus demselben Markt, die auf den ersten Blick nicht zusammenpassen. Erstens: Die Prämien für Cyberversicherungen sinken, weltweit und auch in Deutschland. Zweitens: Fast jeder dritte Antrag auf eine Cyberpolice wird abgelehnt. Beides ist belegt, beides gilt gleichzeitig. Und wer 2026 für sein Unternehmen Cyberschutz einkauft, sollte verstehen, warum.

Die Auflösung des scheinbaren Widerspruchs: Der Markt ist weicher geworden, aber nicht bequemer. Die Versicherer konkurrieren hart um gute Risiken und lassen schlechte Risiken liegen. Die Trennlinie verläuft entlang weniger technischer Basics: Multi-Faktor-Authentifizierung, getrennte Backups, Patch-Management. Wer sie erfüllt, verhandelt aus einer starken Position. Wer sie nicht erfüllt, bekommt oft gar kein Angebot.

Dieser Marktüberblick zur Cyberversicherung 2026 sortiert die Zahlen, die hinter dieser Einschätzung stehen: die GDV-Statistik zum deutschen Geschäft, die BaFin-Marktabfrage, die Ablehnungsquote aus dem MRTK Cyber-Monitor, die globalen Preisdaten von Marsh und die Prognosen der Munich Re. Und er übersetzt sie in das, was sie für Freiberufler und KMU beim Einkauf konkret bedeuten.

Der deutsche Markt in Zahlen: was GDV und BaFin melden

Die verlässlichste Zeitreihe zum deutschen Cybergeschäft liefert der Gesamtverband der Deutschen Versicherungswirtschaft. Nach den GDV-Zahlen bis 2022 und der GDV-Medieninformation zum Jahr 2023 hat sich das inländische Direktgeschäft so entwickelt:

Zwei Jahre stechen heraus. 2021 zahlte die Branche mit einer Schaden-Kosten-Quote von 123,7 Prozent erstmals deutlich drauf, das war der Auslöser für die harte Marktphase mit Prämiensprüngen und verschärften Annahmerichtlinien. Und 2023 lag die Quote laut GDV wieder bei 97 Prozent: rund 4.000 gemeldete Hackerangriffe auf versicherte Unternehmen, ein Durchschnittsschaden von 45.370 Euro, rund 261.000 Verträge im Bestand. Die Branche gab also fast jeden eingenommenen Beitragseuro wieder aus. Auskömmlich ist das Geschäft damit nur knapp, was erklärt, warum die Versicherer beim Underwriting diszipliniert bleiben, obwohl die Preise fallen.

Das Wachstum hat sich zugleich spürbar verlangsamt. Im GDV-Jahresausblick vom Februar 2025 heißt es: Nach früheren Zuwächsen von rund 50 Prozent pro Jahr dürften die Beitragseinnahmen der Cyber-Sparte 2024 nur noch einstellig zugelegt haben. Die Zahl der Verträge stieg 2024 laut den GDV-Fakten zur Versicherungswirtschaft 2025 noch um rund 15 Prozent, aber die Versicherungslücken bleiben nach Einschätzung des Verbands groß. Der GDV nennt auch einen Grund für die Zurückhaltung der Anbieter: die Sorge vor Kumulschäden, falls ein einzelner Angriff viele Versicherte gleichzeitig trifft.

Wichtig für die Einordnung: Die GDV-Zahlen bilden nur das Mitgliedsgeschäft ab. Die BaFin-Marktabfrage mit breiterer Erhebungsbasis, sie umfasst alle beaufsichtigten Erstversicherer inklusive der deutschen Niederlassungen ausländischer Anbieter, kam schon für 2022 auf gebuchte Bruttobeiträge von rund 700 Millionen Euro im Stand-alone-Cybergeschäft, ein Plus von 144 Prozent gegenüber 2020. Die BaFin erwartete das baldige Überschreiten der Milliardengrenze. Beide Zahlen widersprechen sich nicht, sie messen unterschiedliche Ausschnitte desselben Marktes.

Die aufschlussreichste BaFin-Zahl für diesen Artikel ist aber eine andere: Industrieunternehmen stellen laut derselben Marktabfrage über 80 Prozent der Beitragseinnahmen, kleine und mittlere Unternehmen nur 15 bis 20 Prozent, Privatkunden rund 1 Prozent. Der deutsche Cybermarkt ist bis heute ein Industriemarkt. Genau im KMU-Segment, wo laut Munich Re die meisten Vorfälle passieren, dazu unten mehr, ist die Durchdringung am geringsten.

Jeder dritte Antrag scheitert: die Ablehnungsquote von 31 Prozent

Die Zahl, die den Markt 2026 am besten charakterisiert, stammt aus dem MRTK Cyber-Monitor 2025: 31 Prozent der Anträge auf Cyberpolicen werden abgelehnt, ein deutlicher Anstieg gegenüber dem Vorjahr. Die Studie beruht laut Herausgeberangaben auf über 200 Tiefeninterviews mit Vermittlern, das Panel bildet mehr als 5.000 Vermittlerbetriebe ab. Als Gründe nennt die Studie das gestiegene Risikobewusstsein der Versicherer, strengere Underwriting-Richtlinien und unzureichende IT-Sicherheit bei den antragstellenden Unternehmen.

Der letzte Punkt ist der entscheidende, denn er liegt in der Hand des Antragstellers. Die häufigsten Stolpersteine, von fehlender Multi-Faktor-Authentifizierung bis zu ungetrennten Backups, habe ich im Artikel Cyberversicherung abgelehnt: die häufigsten Gründe im Detail durchgespielt. Die Kurzfassung: Abgelehnt wird selten wegen der Branche oder der Größe, sondern wegen handwerklicher Lücken in der IT-Sicherheit, die sich fast immer beheben lassen.

Der Cyber-Monitor dokumentiert noch eine zweite Entwicklung: Ein Drittel der befragten Vermittler spürte laut derselben Erhebung die Auswirkungen der Insolvenzen von Element und Cogitanda, in Form von Mehraufwand und Vertrauensverlusten. Für Einkäufer heißt das: Neben Preis und Bedingungen gehört 2026 auch die Stabilität des Risikoträgers auf die Prüfliste.

Prämien 2024 bis 2026: vom harten in den weichen Markt

Global ist die Preisrichtung eindeutig. Der Marsh Global Insurance Market Index meldete für das vierte Quartal 2025 um 4 Prozent gesunkene Gewerbeversicherungsraten, das sechste Quartal in Folge mit Rückgängen nach sieben Jahren steigender Raten. Cyber fiel dabei stärker als der Gesamtmarkt: global minus 7 Prozent, in den USA minus 3 Prozent. Als Treiber nennt Marsh reichlich verfügbare Kapazität und intensiven Wettbewerb.

Für Deutschland beschreibt Howden die gleiche Bewegung. Laut der Einschätzung von Peter Pillath, Director Cyber bei Howden Deutschland, in AssCompact herrschte 2025 ein Soft Market: sinkende Prämien im Renewal- und im Neugeschäft, getragen von einem schadenarmen Frühjahr und erweiterten Kapazitäten, und das trotz der weiterhin hohen Gefährdungslage, die das BSI beschreibt. Der Aon-Marktreport 2025 nennt als Richtwert Prämienreduktionen von 5 bis 10 Prozent plus erweiterte Deckungen für Unternehmen mit hohem IT-Sicherheitsniveau, laut Aon erhalten Mittelständler über automatisierte Prüfungen zudem leichter Versicherungssummen im zweistelligen Millionenbereich.

Zur Einordnung lohnt der Blick zurück: Die harte Marktphase ab 2021 war die direkte Folge des Verlustjahres mit der Schaden-Kosten-Quote von 123,7 Prozent. Die Versicherer haben seither ihre Bücher saniert, die Anforderungen hochgezogen und neue Kapazität angezogen. Das Ergebnis ist der heutige Zustand: auskömmliche Quoten, Wettbewerb über den Preis, Disziplin bei der Annahme. Was eine Police für ein konkretes Unternehmen kostet und welche Bausteine im Preis stecken, habe ich im Beitrag Was kostet eine Cyberversicherung aufgeschlüsselt.

Eine Warnung an dieser Stelle: In Blogs kursiert die Aussage, S&P prognostiziere für 2026 einen Prämienanstieg von 15 bis 20 Prozent. Diese Zahl stammt mutmaßlich aus einer älteren S&P-Projektion aus dem Jahr 2022 zum globalen Marktwachstum und beschreibt keine Preisprognose für 2026. Der aktuelle S&P-Ausblick spricht von solider Profitabilität und härterem Wettbewerb. Wer Ihnen 2026 mit angeblich bevorstehenden Preissprüngen Druck macht, argumentiert gegen die verfügbare Datenlage.

MFA und Backups als K.-o.-Kriterien: die Mindestanforderungen

Im Soft Market konkurrieren die Versicherer über den Preis, nicht über die Anforderungen. Die technische Eintrittsschwelle ist geblieben. Als Marktstandard haben sich laut der Howden-Einschätzung sechs Mindestanforderungen etabliert:

• Multi-Faktor-Authentifizierung für Remote-Zugänge, E-Mail-Konten und Administratorrechte
• Regelmäßige Backups, getrennt vom Produktivnetz und vor unberechtigtem Zugriff geschützt
• Patch-Management: Sicherheitsupdates zeitnah und nachweisbar einspielen
• EDR-Lösung (Endpoint Detection and Response) auf den Endgeräten
• Awareness-Schulungen für Mitarbeiter
• Notfallplan für den Ernstfall

Die ersten beiden Punkte wirken bei vielen Anbietern als K.-o.-Kriterium: Ohne MFA und getrennte Backups kommt häufig gar kein Vertrag zustande, gleich zu welchem Preis. Die übrigen Punkte beeinflussen Prämie, Selbstbehalt und Deckungsumfang. Wie ein brauchbarer Cyber-Notfallplan für KMU aussieht, steht in einem eigenen Beitrag.

Wie weit die Realität in deutschen Betrieben davon entfernt ist, zeigt eine Forsa-Umfrage im Auftrag des GDV vom September 2025 unter 300 KMU-Entscheidern: Über zwei Drittel der Unternehmen erfüllen nicht alle grundlegenden IT-Sicherheitskriterien. 52 Prozent schätzen ihre eigene IT-Sicherheitslage besser ein, als sie ist. 64 Prozent verzichten auf Mitarbeiterschulungen, 48 Prozent haben keinen Notfallplan. Und 68 Prozent der erfolgreichen Cyberangriffe starten mit Phishing-E-Mails, also genau über den Kanal, den Schulungen adressieren. Woran Sie Phishing-Angriffe erkennen, habe ich separat beschrieben.

Diese Lücke erklärt die Ablehnungsquote besser als jede Underwriting-Statistik: Fast ein Drittel der Anträge scheitert, weil mehr als zwei Drittel der Betriebe die Basics nicht vollständig umgesetzt haben. Wer wissen will, wo der eigene Betrieb steht, kann das mit unserem kostenlosen Risikocheck in acht Fragen prüfen, anonym und in zwei Minuten.

NIS2 gilt seit Dezember 2025: der Nachfrage-Effekt

Seit dem 6. Dezember 2025 ist das deutsche NIS2-Umsetzungsgesetz in Kraft, ohne Übergangsfrist. Nach der Übersicht von OpenKRITIS betrifft es rund 29.500 Unternehmen, die Registrierungsfrist beim BSI lief am 6. März 2026 ab. Das Gesetz schreibt zehn Risikomanagement-Pflichtbereiche vor, darunter Backup-Management, Multi-Faktor-Authentifizierung und Lieferkettensicherheit, dazu gestufte Meldepflichten: Frühwarnung nach 24 Stunden, Bericht nach 72 Stunden, Abschlussbericht nach einem Monat. Die Geschäftsleitung haftet für Verstöße persönlich. Wer prüfen will, ob der eigene Betrieb direkt oder als Zulieferer betroffen ist, findet die Kriterien im Beitrag zur NIS2-Richtlinie für KMU.

Für den Versicherungsmarkt wirkt NIS2 in zwei Richtungen. Erstens als Nachfragetreiber: Wer sein Risikomanagement ohnehin dokumentieren muss, stellt sich die Versicherungsfrage gleich mit. Zweitens als Gleichrichter der Anforderungen: Die NIS2-Pflichtbereiche und die Mindestanforderungen der Versicherer überschneiden sich stark. MFA und Backup-Management stehen auf beiden Listen. Ein Unternehmen, das NIS2 sauber umsetzt, hat den Weg zur Versicherbarkeit größtenteils schon zurückgelegt. Umgekehrt gilt genauso: Die Dokumentation, die der Versicherer im Antrag sehen will, ist im Kern dieselbe, die das BSI im Aufsichtsfall verlangt. Doppelter Nutzen für denselben Aufwand.

Parallel verändert sich das Produkt selbst. Marktbeobachter wie Howden beschreiben den Wandel vom reinen Kostenerstatter zur Kombination aus Prävention und Response: Attack-Surface-Scans, Schulungsangebote und 24/7-Incident-Response gehören bei immer mehr Tarifen zum Leistungsumfang. Beim Tarifvergleich 2026 gehören diese Assistance-Bausteine deshalb neben Prämie und Deckungssumme auf die Bewertungsliste.

Der Blick der Rückversicherer: Munich Re korrigiert nach unten

Wie sich die Erwartungen an den Markt verschoben haben, zeigt der Vergleich zweier Publikationen desselben Hauses. In Cyber Insurance: Risks and Trends 2025 bezifferte die Munich Re den globalen Cyber-Prämienmarkt 2024 auf 15,3 Milliarden US-Dollar, erwartete 16,3 Milliarden für 2025 und über 32 Milliarden bis 2030. Ein Jahr später, im Global Cyber Risk and Insurance Survey 2026, lag der Ist-Wert für 2025 bei knapp 15 Milliarden US-Dollar, das Wachstum hatte sich das dritte Jahr in Folge verlangsamt, und die Prognose für 2030 wurde auf rund 28 Milliarden gesenkt. Wenn der größte Rückversicherer der Welt seine eigene Markterwartung binnen eines Jahres so deutlich korrigiert, ist das der belastbarste Beleg für den weichen Markt auf globaler Ebene.

Am Risiko selbst liegt die Korrektur nicht. Die Munich-Re-Analyse zu den Trends 2026 nennt Ransomware, Datenabfluss, Business Email Compromise und DDoS als Haupttreiber versicherter Schäden, Eigenschäden dominieren mit 62 Prozent. Und: Die Mehrheit der Vorfälle und Schäden trifft Kleinstunternehmen und KMU, nicht die Großkonzerne. Der Coalition Cyber Claims Report 2026 ergänzt das Bild: Die Lösegeldforderungen stiegen 2025 um 47 Prozent, der durchschnittliche Ransomware-Schaden lag bei rund 269.000 US-Dollar, und 86 Prozent der betroffenen Unternehmen zahlten kein Lösegeld. Die Bedrohung wächst also weiter, während die Preise fallen. Genau diese Schere macht 2026 zu einem günstigen Einkaufsfenster.

Was das für KMU-Einkäufer 2026 konkret bedeutet

Aus den Marktdaten lassen sich fünf Handlungsempfehlungen ableiten, die ich in dieser Reihenfolge angehen würde:

1. Erst die Basics, dann der Antrag. MFA, getrennte Backups und Patch-Management sind die Eintrittskarte. Wer den Antrag stellt, bevor diese Punkte stehen, riskiert eine Ablehnung, und die nächste Anfrage beim selben Versicherer beginnt mit einer Hypothek. Der Risikocheck zeigt in zwei Minuten, wo Sie stehen.
2. Risikofragen ehrlich und geprüft beantworten. Der weiche Markt ändert nichts an der Deckungsprüfung im Schadenfall. Falsch beantwortete Antragsfragen können den Schutz rückwirkend kosten. Jede Frage gegen den tatsächlichen IT-Zustand prüfen, im Zweifel den IT-Dienstleister schriftlich bestätigen lassen.
3. Das Preisfenster nutzen, aber über Bedingungen verhandeln. Sinkende Raten lassen sich in eine niedrigere Prämie umsetzen, oft aber klüger in bessere Konditionen: höhere Deckungssumme, niedrigerer Selbstbehalt, kürzere Karenzzeit bei der Betriebsunterbrechung, großzügigere Sublimits. Im nächsten harten Markt sind gute Bedingungen mehr wert als der gesparte Zehner.
4. Assistance-Leistungen und Stabilität des Anbieters vergleichen. Incident-Response-Hotline, Forensik-Netzwerk und Präventionsleistungen entscheiden im Ernstfall über Stunden. Und die Insolvenzen von Element und Cogitanda haben gezeigt, dass die Auswahl des Risikoträgers selbst eine Risikoentscheidung ist.
5. Jährlich neu ausschreiben lassen. In einem Markt, der sich so schnell bewegt, veraltet ein zwei Jahre alter Vertrag in Preis und Bedingungen. Ein Versicherungsmakler kann das Renewal jedes Jahr gegen den Markt spiegeln, produktneutral und ohne Mehrkosten für Sie.

Die Gesamtlage lässt sich in einem Satz zusammenfassen: Wer die Mindestanforderungen erfüllt, bekommt 2026 eine Cyberversicherung zu Konditionen, die es in der harten Marktphase nicht gab. Wer sie nicht erfüllt, steht vor verschlossenen Türen, egal wie weich der Markt ist.

Häufige Fragen zum Cyberversicherungs-Markt 2026