Cyber-Versicherung für Immobilienmakler

Welche Gesetze gelten — und wer haftet wofür?

Die Cyber-Sicherheit für Immobilienmakler steht auf mehreren Rechtsfundamenten gleichzeitig. Datenschutz, IT-Sicherheit, allgemeine Haftung und Strafrecht greifen ineinander — und genau aus dieser Überlagerung entsteht der Versicherungsbedarf, der mit einer reinen Vermögensschadenhaftpflicht nicht zu decken ist.

Datenschutz: DSGVO und BDSG

Die DSGVO bildet das Rückgrat. Art. 32 DSGVO verpflichtet jeden Verantwortlichen — und das ist der Immobilienmakler für die Daten der Eigentümer und Mieter — zu „angemessenen technischen und organisatorischen Maßnahmen“ (TOM). Was angemessen ist, bemisst sich am Stand der Technik, den Implementierungskosten, der Art und dem Umfang der Verarbeitung und der Eintrittswahrscheinlichkeit eines Risikos.

Art. 33 DSGVO verpflichtet zur Meldung an die zuständige Aufsichtsbehörde binnen 72 Stunden, sobald eine meldepflichtige Datenschutzverletzung bekannt wird. Art. 34 DSGVO verlangt zusätzlich die Information der Betroffenen, sobald ein hohes Risiko für deren Rechte und Freiheiten vorliegt — typisch bei abgeflossenen Eigentümerlisten mit IBAN und Hausgeldständen. Art. 83 DSGVO setzt den Bußgeldrahmen: bis zu 20 Mio. EUR oder 4 % vom weltweiten Jahresumsatz, je nachdem, welcher Betrag höher ist. Ergänzend gilt das BDSG mit deutschen Spezialregelungen, etwa § 26 BDSG für Beschäftigtendaten.

IT-Sicherheit: IT-SiG 2.0 und NIS2-Umsetzungsgesetz

Das IT-Sicherheitsgesetz 2.0 richtet sich an Betreiber kritischer Infrastrukturen und ist für eine durchschnittliche Maklerbüro nur mittelbar relevant — etwa über IT-Dienstleister oder bei der Verwaltung größerer Wohnbestände in regulierten Strukturen. Anders das NIS2-Umsetzungsgesetz: Es ist in Deutschland am 5. Dezember 2025 in Kraft getreten und gilt unmittelbar für „wichtige“ und „wesentliche“ Einrichtungen. Für die meisten Maklerbüros besteht keine direkte Pflichtanwendung, mittelbare Betroffenheit entsteht aber, wenn Sie IT-Prozesse für regulierte Geschäftspartner mitverwalten oder selbst die Größenschwellen erreichen. Im Zweifel ist eine rechtliche Prüfung sinnvoll.

Haftung gegenüber Auftraggebern und Dritten

§ 280 BGB begründet die zentrale vertragliche Schadensersatzhaftung — der Maklervertrag verpflichtet zu sorgfältiger Datenverarbeitung, eine schuldhafte Pflichtverletzung löst Ersatzansprüche aus. § 823 BGB ergänzt die deliktische Haftung gegenüber Dritten, etwa wenn Daten unbefugt offengelegt werden. § 27 WEG bindet den WEG-Verwalter zusätzlich als Treuhänder an die Vermögensinteressen der Gemeinschaft — Manipulationen am Hausgeldkonto sind damit auch zivilrechtlich relevant, nicht nur strafrechtlich.

Strafrecht: Wenn ein Innentäter oder CEO-Fraud im Raum steht

Cyber-Schäden bewegen sich oft im Vorfeld strafrechtlicher Tatbestände. §§ 202a–c StGB erfassen das Ausspähen, das Abfangen und das Vorbereiten von Daten-Straftaten. § 263a StGB stellt den Computerbetrug unter Strafe — typische Fallgruppe bei manipulierten Überweisungen aus Treuhandkonten. § 269 StGB erfasst die Fälschung beweiserheblicher Daten, etwa gefälschte E-Mail-Adressen beim sogenannten CEO-Fraud.

Wann greift die Police? Drei Auslösemodelle im Vergleich

Bei Cyber-Schäden vergeht häufig viel Zeit zwischen der Pflichtverletzung — etwa einer übersehenen Sicherheitslücke —, dem eigentlichen Angriff und der Schadensentdeckung. Welches Auslösemodell die Police nutzt, entscheidet im Streitfall darüber, ob ein Vorfall überhaupt gedeckt ist.

In der Praxis arbeiten die meisten deutschen Cyber-Versicherer mit dem Manifestationsprinzip — oft kombiniert mit einer Rückwärtsdeckung für nicht bekannte Vorvertragsumstände und einer Nachhaftung von mindestens drei Jahren. Bei der Bedingungsprüfung lohnt es sich, die genaue Wortwahl im Vertrag zu kennen: „Bekanntwerden“, „Geltendmachung“ und „Entdeckung“ sind drei unterschiedliche juristische Anker, die in der Praxis Streitpotenzial bergen.

Praxis-Empfehlung: Manifestationsprinzip mit Rückwärtsdeckung wählen, Mindest-Nachhaftung drei Jahre, idealerweise fünf. Sonst entstehen Lücken, wenn ein Schaden nach Vertragsende sichtbar wird.

Versicherungssumme, Maximierung und Sublimits

Die Hauptsumme ist nur die halbe Wahrheit. Cyber-Policen sind notorisch sublimit-lastig — viele Einzelleistungen sind innerhalb der Hauptsumme noch einmal gekappt, oft auf Beträge, die für einen ernsthaften Vorfall nicht reichen.

Empfehlung Hauptsumme

Für eine durchschnittliche Maklerbüro mit 5–20 Wohnungseigentümergemeinschaften reicht eine Hauptsumme von 1 Mio. EUR häufig nicht — schon ein Ransomware-Schaden mit Forensik, Notbetrieb und Drittschaden erreicht die Größenordnung. Mittlere Verwaltungen mit 20–80 Beständen sollten 2–3 Mio. EUR ansetzen, größere Bestände 3–5 Mio. EUR. Die Maximierung pro Jahr idealerweise zweifach, damit zwei Schäden in einem Jahr nicht aus derselben Topfgrenze müssen.

Sublimit-Fallen — auf diese Posten unbedingt achten

• Cyber-Erpressung: oft nur 100.000–250.000 EUR — bei klassischer Ransomware-Forderung schnell ausgereizt.
• Betriebsunterbrechung: häufig nur wenige Wochen abgedeckt — bei tiefen IT-Schäden zu kurz.
• DSGVO-Bußgelder: typisch bis 500.000 EUR; bei großen Datenpannen reicht das nicht aus.
• IT-Forensik: oft pauschalisiert auf 50.000–100.000 EUR — bei komplexen Vorfällen häufig zu niedrig.
• Krisenkommunikation: häufig fester Tagessatz mit Obergrenze — bei langwieriger Eigentümerkommunikation knapp.
• CEO-Fraud / Identitätsmissbrauch: wenn überhaupt eingeschlossen, dann mit oft niedrigen Sublimits.

Praxis-Punkt: Eine 5-Mio.-Police mit 100.000-EUR-Sublimit für Cyber-Erpressung hilft beim klassischen Ransomware-Fall nur sehr begrenzt. Wir prüfen jede Police nicht nur auf die Hauptsumme, sondern auf die für Immobilienmakler typischen Sublimit-Engpässe.

Sofortmaßnahmen und Krisendienst — die ersten 72 Stunden

Die ersten 72 Stunden nach einer Cyber-Attacke entscheiden, wie groß der Schaden am Ende wird. Drei Uhren laufen gleichzeitig — und sie laufen unabhängig voneinander.

Drei parallele Uhren

1. DSGVO-Meldeuhr (72 Stunden, Art. 33 DSGVO). Sobald eine meldepflichtige Datenschutzverletzung vorliegt, ist die zuständige Aufsichtsbehörde innerhalb von 72 Stunden nach Bekanntwerden zu informieren. Versäumnis dieser Frist ist eigener Bußgeldgrund.
2. Forensik-Uhr. Je früher die Spurensicherung anfängt, desto mehr Beweise sind verwertbar. Logdateien, RAM-Speicherzustände und Netzwerkverbindungen werden mit jeder Stunde unschärfer.
3. PR-Uhr. Sobald der Vorfall öffentlich wird — oder werden könnte —, beginnt die Krisenkommunikation. Eine ungeordnete Eigentümer- oder Medienkommunikation in den ersten Stunden ist oft schwerer zu reparieren als der eigentliche IT-Schaden.

Was der Krisendienst Ihrer Police leisten sollte

• 24/7-Hotline mit garantierten Reaktionszeiten — auch nachts, am Wochenende und an Feiertagen.
• IT-Forensiker werden direkt vom Versicherer organisiert und bezahlt — Sie müssen nicht selbst Anbieter suchen oder Vorkasse leisten.
• Datenschutz-Anwälte für die Behördenkommunikation — Erfahrung mit Aufsichtsbehörden ist hier mehr wert als allgemeines IT-Recht.
• Krisenkommunikations-Berater für Eigentümer- und Medienanfragen, sowohl schriftlich als auch in Telefon-Hotlines für Betroffene.
• Krisen-Pauschalen — manche Policen bieten feste Pauschalen für Sofortmaßnahmen (z. B. 50.000–100.000 EUR), die ohne langwierige Einzelfallprüfung sofort abrufbar sind.

Praxis-Punkt: Eine Krisen-Hotline, die nur werktags von 9 bis 17 Uhr erreichbar ist, ist bei Cyber wertlos. Angriffe passieren bevorzugt nachts und am Wochenende, weil dann weniger Personal aufpasst. Bestehen Sie auf echter 24/7-Erreichbarkeit mit Reaktionszeit-Zusage — und lassen Sie sich diese Zusage schriftlich geben, nicht als Werbeaussage in der Broschüre.

Was die Cyber-Versicherung nicht abdeckt — typische Ausschlüsse

Auch eine gut ausgehandelte Cyber-Police hat Grenzen. Die im Maklerbürospraxis relevanten Ausschlüsse:

• Grobe Fahrlässigkeit und Vorsatz. Bewusstes Übergehen bekannter Sicherheitswarnungen kann als grobe Fahrlässigkeit gewertet werden — die Police kürzt dann nach Verschuldensgrad oder lehnt vollständig ab.
• Nicht behobene Schwachstellen. Patches, die seit Monaten verfügbar sind, müssen eingespielt sein. Ein nicht aktualisiertes System ist ein gängiger Ausschlussgrund.
• Kriegerische Ereignisse und Cyber-War. Die sogenannten „war exclusions“ werden seit dem Ukraine-Krieg zum Streitpunkt, weil Versicherer zunehmend staatlich finanzierte Angriffe ausschließen wollen — die Formulierungen unterscheiden sich erheblich zwischen Anbietern.
• Bekannte Vorvertragsumstände. Schäden, deren Auslöser dem Versicherten bei Vertragsschluss bekannt waren — etwa eine schon laufende Untersuchung —, fallen nicht in die Rückwärtsdeckung.
• Behördenbußgelder, die rechtlich nicht versicherbar sind. Insbesondere Bußgelder aus vorsätzlichen Verstößen; Details siehe FAQ-Bereich.
• Sanktions-Verstöße. Lösegeldzahlungen an gelistete Organisationen sind klassisch ausgeschlossen.
• Bestechung und Strafvereitelung. Eigene Straftaten des Versicherungsnehmers sind nicht versicherbar.
• Patentrechts- und Urheberrechtsverletzungen. Häufig nur in spezialisierten Bausteinen mitversichert, nicht in der Standard-Cyber-Deckung.

Die genaue Formulierung der Ausschlussklauseln unterscheidet sich zwischen Anbietern erheblich. Wir prüfen nicht nur, dass Ausschlüsse vorhanden sind, sondern wie eng sie formuliert sind — eng formulierte Ausschlüsse bedeuten breitere Deckung.

Typische Schadenkonstellationen aus der Maklerbürospraxis

Drei stilisierte Fallbeispiele, die in der Beratungspraxis regelmäßig in dieser oder ähnlicher Form auftauchen. Personen und Beträge sind hypothetisch und dienen der Anschauung.

So arbeiten wir

Drei Schritte, ohne Vor-Ort-Termin, ohne Aktenwälzen.

Häufige Fragen