Cyberversicherung für Gemeinden und Kommunen

Warum Cyberversicherung bei Gemeinden anders betrachtet werden muss

Eine Gemeinde funktioniert nicht wie ein klassisches Unternehmen. Ein Cybervorfall kann gleichzeitig Verwaltung, Kommunikation, Meldewesen, Finanzprozesse, Bau- oder Sozialverfahren, externe Fachanwendungen und kommunale Betriebe treffen.

Deshalb sollte eine kommunale Cyberversicherung nicht nur nach Versicherungssumme und Prämie beurteilt werden. Wichtiger ist die Frage, ob das Konzept zu den tatsächlichen Abhängigkeiten der Kommune passt und im Ernstfall schnell nutzbare Incident-Response-, Forensik-, Wiederherstellungs- und Krisenleistungen bereitstellt.

Cyberversicherung ersetzt weder IT-Sicherheit noch Notfallplanung. Sie kann aber das verbleibende finanzielle Risiko und die Organisation professioneller Hilfe im Schadenfall ergänzen.

Welche Schäden können für eine Gemeinde relevant sein?

Der konkrete Versicherungsschutz hängt immer vom Versicherer und Bedingungswerk ab. Je nach Vertrag können insbesondere folgende Bereiche relevant sein:

• IT-Forensik und Incident Response
• Wiederherstellung von Daten, Systemen und Konfigurationen
• Mehrkosten für Notbetrieb, Ersatzlösungen und externe Spezialisten
• Betriebs- beziehungsweise Funktionsunterbrechung im Rahmen der vereinbarten Deckung
• Krisenkommunikation und spezialisierte Rechtsberatung
• versicherte Datenschutz- und Haftpflichtansprüche
• Cyber-Erpressung und damit verbundene versicherbare Krisenkosten
• Schäden durch den Ausfall bestimmter IT- oder Cloud-Dienstleister, wenn Rückwirkungsschäden mitversichert sind

Gerade im kommunalen Bereich muss geprüft werden, ob die Versicherungsbedingungen die tatsächlichen Strukturen einer Gemeinde ausreichend abbilden.

Versicherbarkeit: Was Kommunen vor der Ausschreibung klären sollten

Versicherer beurteilen auch kommunale Risiken anhand technischer und organisatorischer Sicherheitsmerkmale. Die konkreten Anforderungen unterscheiden sich nach Risikoprofil und Anbieter.

• Mehrfaktor-Authentifizierung für externe und privilegierte Zugänge
• belastbares Backup-Konzept mit getrennten oder unveränderbaren Sicherungen
• geregeltes Patch- und Schwachstellenmanagement
• Schutz und Überwachung von Endgeräten und Servern
• klare Administrator- und Berechtigungskonzepte
• Notfallkontakte und dokumentierte Wiederanlaufprozesse
• Transparenz über externe IT-Dienstleister und gemeinsam genutzte Systeme
• regelmäßige Prüfung, ob bekannte Schwachstellen oder Alt-Systeme ein wesentliches Risiko darstellen

Unser Cyber Readiness Ansatz kann die von außen erkennbare Angriffsfläche ergänzend einordnen. Er ersetzt keine vollständige interne Sicherheits- oder Rechtsprüfung.

Worauf Gemeinden beim Marktvergleich achten sollten

• Definition des versicherten Rechtsträgers und Einbeziehung kommunaler Unternehmen
• Versicherungssumme und Selbstbehalt passend zur Haushaltssumme und zum realistischen Schadenpotenzial
• Betriebs- oder Funktionsunterbrechung und zeitliche Selbstbehalte
• Mehrkosten für Notbetrieb und temporäre Ersatzlösungen
• Rückwirkungsschäden bei IT-, Cloud- und Fachverfahrensdienstleistern
• Daten- und Systemwiederherstellung
• Qualität und Verfügbarkeit der Incident-Response-Dienstleister
• Haftpflicht- und Datenschutzbausteine
• Sublimits, Ausschlüsse und vertragliche Sicherheitsanforderungen
• Vorgehen bei Erpressung, Krisenkommunikation und behördlichen Meldungen

Ein reiner Prämienvergleich reicht deshalb auch bei Gemeinden nicht aus. Entscheidend ist, ob die Deckung zur tatsächlichen kommunalen IT- und Organisationsstruktur passt.

Häufige Fragen zur Cyberversicherung für Gemeinden

Braucht eine kleine Gemeinde überhaupt eine Cyberversicherung?

Die Einwohnerzahl allein entscheidet nicht. Relevant ist, welche Folgen der Ausfall zentraler Systeme, Daten oder Dienstleister für die Verwaltung hätte und welche Kosten die Gemeinde selbst tragen könnte.

Wie wird die Versicherungssumme festgelegt, wenn eine Gemeinde keinen klassischen Umsatz hat?

Eine pauschale Umsatzlogik greift bei Kommunen zu kurz. Für die Beratung können unter anderem Haushaltssumme, IT-Abhängigkeit, Anzahl und Kritikalität der Fachverfahren, Wiederherstellungskosten, Dienstleisterstrukturen und mögliche Notbetriebskosten herangezogen werden.

Sind Stadtwerke oder kommunale Gesellschaften automatisch mitversichert?

Nein. Der versicherte Rechtsträger und der Kreis mitversicherter Unternehmen müssen im konkreten Vertrag geprüft und eindeutig definiert werden.

Ist der Ausfall eines externen Rechenzentrums automatisch versichert?

Nicht zwingend. Deckung für Rückwirkungsschäden hängt vom Bedingungswerk, der Art des Dienstleisters und möglichen Sublimits oder Wartezeiten ab.

Was bringt Incident Response im Versicherungsvertrag?

Ein vorbereiteter Zugang zu IT-Forensik, Rechtsberatung, Wiederherstellung und Krisenkommunikation kann im Schadenfall helfen, die Reaktion schneller zu strukturieren. Entscheidend ist, welche Dienstleister und Abläufe im Vertrag vorgesehen sind.

Ersetzt die Cyberversicherung den kommunalen Notfallplan?

Nein. Versicherung kann finanzielle Folgen und externe Krisenleistungen adressieren. Ein belastbarer Notbetrieb und Wiederanlauf müssen organisatorisch vorbereitet werden.

Sind Gemeinden nach dem österreichischen NISG 2026 als öffentliche Verwaltung erfasst?

Nein. § 24 Abs. 3 NISG 2026 nimmt Gemeinden und Gemeindeverbände ausdrücklich vom Sektor „öffentliche Verwaltung“ aus. Gesondert zu prüfen sind jedoch andere kommunale Tätigkeiten und Rechtsträger, wenn sie die Voraussetzungen eines anderen erfassten Sektors erfüllen.

Weiterführende Grundlagen

Für Österreich ist insbesondere § 24 NISG 2026 maßgeblich: Gemeinden und Gemeindeverbände sind dort im Sektor „öffentliche Verwaltung“ ausdrücklich ausgenommen. Die Erläuterungen zur Regierungsvorlage halten zusätzlich fest, dass Österreich die lokale Verwaltungsebene – innerstaatlich die Gemeinden – nicht in diesen Sektor einbezogen hat.

• § 24 NISG 2026 – wesentliche und wichtige Einrichtungen (RIS)
• NISG 2026 – gesamte Rechtsvorschrift (RIS)
• Erläuterungen zur Regierungsvorlage – NISG 2026 (Parlament)
• NIS2-Richtlinie (EU) 2022/2555 – EUR-Lex

Für allgemeine Grundlagen zur Deckung verweisen wir ergänzend auf den Leitfaden Cyberversicherung in Österreich.

Fachliche Verantwortung

Michael Samselnig beschäftigt sich als Versicherungsmakler mit Cyberversicherung, kommunalen Cyberrisiken, NIS2, Business Continuity, Notfallplanung und Incident Response.

Cyberverantwortung Kommunal verbindet aktuelle kommunale Cybervorfälle mit technischer Risikoeinschätzung und Versicherungsberatung. Die Inhalte dienen der fachlichen Orientierung und ersetzen keine Rechtsberatung.