Cyberangriff Hausverwaltung — das ist das Titelthema der aktuellen Ausgabe 6/2026 des Haufe „Verwalter-Brief“. Die Fachpresse rückt damit ein unbequemes Thema nach vorn: was ein Cyberangriff für Hausverwaltungen wirklich bedeutet. Das ist kein Zufall, denn Verwaltungen vereinen vieles, was Angreifer suchen: laufenden Zahlungsverkehr, fremde Gelder und große Datenbestände. Fast zeitgleich ist mit der NIS-2-UmsetzungiEU-Richtlinie zur Netz- und Informationssicherheit, in Deutschland seit Dezember 2025 umgesetzt. Verpflichtet bestimmte Unternehmen zu Risikomanagement, Meldewegen und einer Registrierung beim BSI. ein neuer gesetzlicher Pflichten-Rahmen in Kraft getreten — die erste Frist ist bereits abgelaufen. Wir ordnen ein, was beides für Ihren Versicherungsschutz bedeutet.
Worum es geht
Hausverwaltungen sind für Kriminelle ein lohnendes Ziel — nicht trotz, sondern wegen ihres Alltagsgeschäfts. Über die Konten einer Verwaltung laufen Hausgelder, Mieten und Handwerkerrechnungen, oft für Dutzende Gemeinschaften gleichzeitig. In den Systemen liegen Bankverbindungen und persönliche Daten von Eigentümern, Mietern und Dienstleistern. Und der E-Mail-Verkehr mit Hunderten Kontakten bietet ideale Ansatzpunkte für BECiBusiness E-Mail Compromise: Kriminelle kapern oder fälschen geschäftliche E-Mail-Konten, um Zahlungen umzuleiten — zum Beispiel die Kaufpreis-Überweisung an ein falsches Konto.: Wer es schafft, eine einzige Rechnung im Zahlungslauf umzuleiten, greift fremdes Geld ab, das die Verwaltung treuhänderisch verantwortet.
Wie real die Lage ist, zeigt der aktuelle Lagebericht des Bundesamts für Sicherheit in der Informationstechnik (BSI): Im Berichtszeitraum wurden 950 RansomwareiSchadprogramm, das Daten verschlüsselt und erst gegen Lösegeld wieder freigeben soll — zum Beispiel die komplette Objekt- und Buchhaltungsdatenbank einer Verwaltung.-Angriffe angezeigt, rund 80 Prozent davon trafen kleine und mittlere Unternehmen. Dieselben Unternehmen erfüllen laut BSI im Schnitt nur etwa 56 Prozent der Basisanforderungen an die IT-Sicherheit — und überschätzen ihr Schutzniveau häufig.
Einordnung: NIS-2 in Deutschland — der Stand im Juni 2026
Das deutsche NIS-2-Umsetzungsgesetz ist am 6. Dezember 2025 in Kraft getreten. Betroffene Einrichtungen mussten sich bis zum 6. März 2026 beim BSI registrieren — diese Frist ist abgelaufen. Bis dahin hatten sich nur rund 11.500 von geschätzt 29.500 betroffenen Einrichtungen gemeldet; eine Nachregistrierung ist weiterhin möglich und sinnvoll. Die Wohnungs- und Verwaltungsbranche ist kein eigener NIS-2-Sektor. Betroffen sein kann ein Wohnungsunternehmen oder eine Verwaltung aber zum Beispiel dann, wenn sie in nennenswertem Umfang Strom aus Photovoltaikanlagen einspeist, öffentlich zugängliche Ladepunkte betreibt oder Fernwärme liefert — und zugleich die Größenschwellen erreicht (in der Regel ab 50 Mitarbeitenden oder 10 Millionen Euro Jahresumsatz). Ist eine solche Tätigkeit im Verhältnis zum Gesamtgeschäft vernachlässigbar, greift die Pflicht regelmäßig nicht. Ob ein Unternehmen erfasst ist, lässt sich nur im Einzelfall klären. Wichtig für Geschäftsführer: Das neue BSI-Gesetz nimmt die Geschäftsleitung ausdrücklich in die Pflicht — sie muss die Risikomaßnahmen billigen und deren Umsetzung überwachen (§ 38 BSIG); bei Verstößen kommt eine persönliche Haftung in Betracht.
Der Trugschluss: zu klein, um Ziel zu sein
„Uns kennt doch niemand“ — dieser Satz fällt in Beratungsgesprächen mit Verwaltungen regelmäßig. Er beruhigt, trägt aber nicht. Angriffe laufen heute weitgehend automatisiert: Gesucht wird nicht der bekannte Name, sondern der offene Zugang — das ungepatchte System, das Postfach ohne zweiten Anmeldefaktor, die Datensicherung, die seit Monaten niemand geprüft hat. Eine Verwaltung mit zwölf Mitarbeitenden verantwortet dabei schnell fremde Gelder in Millionenhöhe und Tausende Datensätze. Genau diese Kombination aus geringer Absicherung und hohem Schadenpotenzial macht die Branche attraktiv. Die Folgen reichen von der umgeleiteten Handwerkerrechnung über die verschlüsselte Buchhaltung kurz vor dem Abrechnungslauf bis zu wochenlangem Stillstand — dazu kommen Melde- und Informationspflichten nach dem Datenschutzrecht, wenn personenbezogene Daten betroffen sind.
Was das für Ihre Versicherung bedeutet
Eine Cyber-Police ersetzt keine IT-Sicherheit — aber sie fängt das auf, was trotz aller Vorsicht passiert. Drei Punkte sollten Sie jetzt prüfen:
1. Deckt die Police alle vier Schadendimensionen ab? Eine tragfähige Absicherung umfasst regelmäßig den Eigenschaden (Wiederherstellung von Daten und Systemen, IT-Forensik), den Drittschaden (Ansprüche von Eigentümern, Mietern oder Geschäftspartnern, etwa nach einem Datenabfluss), die BetriebsunterbrechungiStillstand des Geschäftsbetriebs nach einem Schadenereignis. Die Versicherung ersetzt dann laufende Kosten und entgangenen Gewinn für die vereinbarte Haftzeit. sowie den Zugriff auf KrisendienstleisteriSpezialisierte IT-Forensiker, Anwälte und Kommunikationsfachleute, die der Versicherer im Ernstfall stellt — oft über eine 24-Stunden-Notfallnummer. rund um die Uhr. Welche Bausteine dabei für Verwaltungen wichtig sind, haben wir auf unserer Seite zur Cyberversicherung für Hausverwalter ausführlich zusammengestellt.
2. Erfüllen Sie die ObliegenheiteniVertragliche Verhaltenspflicht des Versicherungsnehmers, etwa regelmäßige Datensicherungen. Wird sie verletzt, kann der Versicherer die Leistung kürzen oder versagen. Ihrer Police tatsächlich? Die meisten Cyber-Verträge setzen Mindeststandards voraus: MFAiMulti-Faktor-Authentifizierung: Anmeldung erst nach zweitem Nachweis, etwa Code aufs Handy. Schützt Konten auch dann, wenn das Passwort gestohlen wurde. für Postfächer und Fernzugänge, regelmäßige und getrennt aufbewahrte Datensicherungen, zeitnahe Sicherheitsaktualisierungen. Wer solche Angaben im Antrag bestätigt, sie im Alltag aber nicht lebt, riskiert den Schutz genau dann, wenn er gebraucht wird: Bei einer Obliegenheitsverletzung kann der Versicherer die Leistung grundsätzlich kürzen oder im Einzelfall ganz versagen (§ 28 VVG).
3. Passt die Police zu Ihrer Pflichtenlage? Wer als Unternehmen unter die NIS-2-Pflichten fällt oder Anlagen wie Photovoltaik und Ladepunkte betreibt, sollte prüfen, ob die Police Unterstützung bei gesetzlichen Meldepflichten vorsieht und ob die Versicherungssumme zum gewachsenen Risiko passt. Bußgelder sind dagegen regelmäßig nicht versicherbar — hier hilft nur Vorbeugung. Eine erste Standortbestimmung, wo Ihre Verwaltung bei Technik, Organisation und Versicherungsschutz steht, liefert unser Cyber-Check für Verwaltungen.
Unser Fazit
Dass die Fachpresse Cyberangriffe zum Titelthema macht, kommt zur richtigen Zeit: Die Bedrohung trifft gerade die Betriebe, die sich am wenigsten damit beschäftigen — und der Gesetzgeber hat mit NIS-2 nachgelegt. Cybersicherheit ist damit endgültig ein Thema der Geschäftsleitung, nicht der IT-Abteilung allein. Sinnvoll ist ein Dreiklang: Technik und Organisation auf die Mindeststandards bringen, die eigene NIS-2-Betroffenheit im Einzelfall klären lassen und die Cyber-Police daraufhin prüfen, ob Deckungsumfang und Obliegenheiten zur gelebten Praxis passen. Als ungebundener Versicherungsmakler mit Schwerpunkt Immobilienwirtschaft unterstützen wir Sie bei der dritten Aufgabe — nüchtern, ohne Alarmismus und mit Blick auf das, was im Schadenfall wirklich zählt.
Quellen: Haufe, Der Verwalter-Brief 6/2026 — „Was ein Cyberangriff für Hausverwaltungen bedeutet“ (haufe.de) · BSI, Pressemitteilung vom 05.12.2025 zum Inkrafttreten des NIS-2-Umsetzungsgesetzes (bsi.bund.de) · BSI, Die Lage der IT-Sicherheit in Deutschland 2025 (bsi.bund.de) · Security-Insider, „NIS-2: Nur 38,5 % der Unternehmen im BSI-Portal registriert“ (security-insider.de) · VdW Bayern, Hinweise zur NIS-2-Registrierungspflicht für Wohnungsunternehmen (vdwbayern.de)
Wie gut ist Ihre Verwaltung auf einen Cyberangriff vorbereitet?
Unser digitaler Cyber-Check zeigt Ihnen in wenigen Minuten, wo Ihre Verwaltung bei Technik, Organisation und Versicherungsschutz steht — kostenfrei und ohne IT-Vorkenntnisse.
Jan Pohl
Pohl Versicherungsmakler e.K. · Ungebundener Versicherungsmakler mit Schwerpunkt Immobilienwirtschaft
VSH-Register: D-6LQ8-VHMG3-85 · Aufsicht: IHK Aachen · HRA 10268, AG Aachen
Die digitalen Checks liefern eine strukturierte Ersteinschätzung auf Basis Ihrer Angaben. Sie ersetzen keine individuelle Versicherungsberatung. Eine verbindliche Prüfung erfolgt erst nach fachlicher Auswertung durch einen Versicherungsmakler.
