Cyber-Versicherung für WEG-Verwalter
Cyber-Versicherung WEG-Verwalter – Wir prüfen Ihre bestehende Cyber-Police gegen das aktuelle Bedingungswerk: BECiBusiness E-Mail Compromise. Gefälschte Mails im Namen von Beiräten, Handwerkern oder Geschäftsführung, die zu Überweisungen an Angreifer-Konten verleiten. Größtes Cyber-Risiko in WEG-Verwaltungen.-SublimitiEine Teil-Versicherungssumme innerhalb der Hauptsumme. Beispiel: Hauptsumme 1 Mio. €, für BEC nur 100.000 € Sublimit. Im Schadenfall zählt das Sublimit, nicht die Hauptsumme., Treuhandkonten-Klausel, IT-Annahmekriterien. In 30 Minuten per Microsoft Teams.
WEG-Verwaltung bewegt Treuhandgeld, sensible Eigentümer-Daten und tägliche Zahlungen an Handwerker und Versorger. Diese Seite zeigt, was eine moderne Cyber-Police im WEG-Kontext leisten muss — wo Sublimits versteckt sind, welche IT-Maßnahmen Versicherer voraussetzen, und wann sich der Wechsel zu einem spezialisierten Tarif rechnet.
Bestehende Cyber-Police im WEG-Kontext durchleuchten
Drei Prüf-Schwerpunkte, die wir bei jeder bestehenden Cyber-Police für WEG-Verwalter durchgehen:
- Sublimit-Tiefe: Erpressung/Lösegeld, BEC/Fake-President, BetriebsunterbrechungiUmsatzausfall durch IT-Stillstand. Im Cyber-Vertrag in Tagessätzen vereinbart, oft 30–60 Tage. Tagessatz wird zum Verwalter-Umsatz passend kalkuliert. haben in vielen Tarifen eigene Sublimits weit unter der Hauptsumme. Im Vergleich zählt die wirkliche Deckung pro Risikoart, nicht die nominelle Versicherungssumme.
- Treuhandkonten-Klausel: Manche Tarife schließen Schäden an Treuhandkonten ausdrücklich aus oder limitieren sie. Für WEG-Verwalter ist diese Klausel zentral — sie entscheidet darüber, ob BEC-Verluste auf dem WEG-Konto reguliert werden.
- IT-Annahmekriterien: Der Versicherer setzt Mindestmaßnahmen voraus (MFA, Backup, kein End-of-Life-SystemiBetriebssysteme ohne Sicherheits-Updates vom Hersteller — z. B. Windows 7, Windows 8, Windows Server 2012. Im produktiven Einsatz oft nicht mehr versicherbar., kein offenes RDP). Wer einen Punkt nicht erfüllt, verliert im Schadenfall ggf. Deckung wegen ObliegenheitsverletzungiObliegenheit = vertragliche Pflicht des Versicherten (z. B. Vier-Augen-Prinzip, Backup, Phishing-Schulung). Bei Verstoß kann der Versicherer Leistung kürzen oder verweigern.. Wir prüfen vorab, ob die dokumentierte IT-Realität zur Police passt.
Ergebnis: schriftliche Empfehlung mit Vergleichsmatrix. Wer wechselt, wer nicht — beides ist ein gültiges Ergebnis.
Warum die WEG-Konstellation eigene Cyber-Klauseln verlangt
WEG-Verwaltungen unterscheiden sich durch Treuhandgeld dritter Personen (Hausgeld, Instandhaltungsrücklagen, Sonderumlagen) und durch regelmäßige Zahlungen an wechselnde Handwerker. Beide Faktoren erhöhen die Anfälligkeit für gezielte Social-Engineering-Angriffe — der Verwalter zahlt nicht eigenes Geld, sondern fremdes, und die Frequenz der Zahlungsanweisungen normalisiert routinemäßige IBAN-Wechsel.
Typische Angriffsmuster im WEG-Bereich:
- BEC / Fake-President: gefälschte Anweisungen aus dem Verwalter-Namen oder dem Beirats-Vorsitz an die Buchhaltung, oft mit gut nachgeahmtem Stil und Tipp-Druck.
- Zahlungsumleitung bei Handwerker-Rechnungen: manipulierte Rechnungs-PDFs mit getauschten IBANs, oft nach Wochen scheinbar normaler Korrespondenz.
- RansomwareiSchad-Software, die Daten verschlüsselt und nur gegen Lösegeld wieder freigibt. Standardvorgehen: kein Lösegeld zahlen, aus Backup wiederherstellen. in der Verwaltungssoftware: Verschlüsselung der lokalen oder gehosteten Datenbank. Bei Cloud-Lösungen ist der Hosting-Anbieter ein zusätzlicher Risikoknoten — bei On-Premise-Lösungen die eigene IT-Infrastruktur.
- Datenleck Eigentümer-Listen: personenbezogene Daten (Name, Adresse, Kontodaten, Telefon) — DSGVO-Meldepflicht nach Art. 33 DSGVO binnen 72 Stunden, falls ein meldepflichtiger Vorfall vorliegt.
- PhishingiGefälschte Mails oder Webseiten, die Zugangsdaten abgreifen — meist Mail-Passwörter. Erkennt man oft an Absender-Adresse, Tippfehlern oder ungewöhnlichem Tonfall. auf Beiräte: Beiräte als IT-schwächeres Glied — der Angriffsweg zielt zuerst auf den Beirats-Mail-Account, um dann auf den Verwalter zu eskalieren.
Eine eigene Cyber-Police ist keine gesetzliche Pflicht. Die DSGVO verlangt aber in Art. 32 „angemessene technische und organisatorische Maßnahmen“. Aus Risikomanagement-Sicht ist die Frage damit weniger „muss ich“ als „bei welchem Schadenpotenzial gehe ich offene Risiken ein“. Diese Einordnung trifft jede Verwaltung individuell — wir liefern die Entscheidungsgrundlage.
Was eine moderne Cyber-Police für WEG-Verwalter leistet
Cyber-Versicherungen kombinieren Eigenschadendeckung (am eigenen Betrieb), Drittschadendeckung (Haftpflicht gegenüber Geschädigten) und Service-Bausteine (IT-Forensik, Notfallhotline, PR-Krisenkommunikation).
Eigenschaden-Bausteine
- Ransomware-Lösegeld (oft sublimitiert auf 25–50 % der VS, in Hochrisikolagen geringer oder ganz ausgeschlossen)
- IT-Forensik und Wiederherstellung der Verwaltungssoftware und Daten
- Betriebsunterbrechung durch IT-Stillstand — Tagessätze werden je nach Verwalter-Umsatz vereinbart
- Datenwiederherstellung aus Backup oder über Spezialdienstleister
- Mehrkosten für Notbetrieb, Aushilfen, Mietsysteme
Drittschaden-Bausteine
- DSGVO-Bußgelder — in Deutschland nur eingeschränkt versicherbar, abhängig vom Verschuldensgrad
- Schäden geschädigter Eigentümer/Mieter durch Datenleck
- BEC-Folgeschäden in der WEG — Abgrenzung zur VertrauensschadenversicherungiVersicherung gegen Veruntreuung durch eigene Mitarbeiter (Innentäter). Eigene Sparte, läuft parallel zur Cyber-Police. Cyber deckt Außenangriffe, Vertrauensschaden deckt Innentaten. beachten
- Schadenersatz gegenüber Dritten aus IT-bedingten Pflichtverletzungen
Service-Bausteine
- 24/7-Notfallhotline mit IT-Forensik-Erstgespräch
- Krisen-PR bei Eigentümer- oder Medien-Anfragen
- DSGVO-Beratung zur Meldung an die Aufsichtsbehörde nach Art. 33 DSGVO
- Strafrechtliche Erstberatung für die Verwalter-Geschäftsführung
Welche Mindestmaßnahmen Versicherer 2026 voraussetzen
Cyber-Versicherer prüfen die IT-Sicherheit härter als jede andere Sparte. Einzelne Punkte sind KO-KriterieniWenn dieser Punkt nicht erfüllt ist, ist eine Annahme durch den Versicherer ausgeschlossen — unabhängig von Prämie oder Selbstbehalt. Erst Mangel beheben, dann Anfrage stellen. (Annahme nicht möglich), andere führen zu Zuschlägen oder höheren SelbstbehalteniDer Betrag, den Sie pro Schadenfall selbst tragen, bevor der Versicherer zahlt. Höherer Selbstbehalt = niedrigere Prämie. Üblich in der Cyber-Sparte: 1.000–10.000 €.. Stand 2026 verbreitet:
Die Fachbegriffe in der Tabelle sind mit einem „i“ markiert — Maus drüber (Desktop) oder antippen (Handy) öffnet die Erklärung.
| Maßnahme | Branchen-Standard | Folge bei Lücke |
|---|---|---|
| MFA für externe Zugriffe | VPNiVirtuelles Privates Netzwerk. Verschlüsselter Tunnel ins Firmennetz. Wer von außen auf Server zugreifen will, muss erst durch dieses VPN., RDP, WebmailiWebmail = Mail-Zugriff per Browser statt per installiertem Outlook. M365 = Microsoft 365, also Outlook, Word, Excel als Cloud-Variante., M365, Verwaltungssoftware-Cloud | häufig KO-Kriterium |
| Backup nach 3-2-1-Prinzip | 3 Kopien, 2 Medien, 1 offline/unveränderlichiEine Sicherung, die ein Angreifer nicht löschen oder verschlüsseln kann — weil sie physisch getrennt (Band-Laufwerk, abgezogene Festplatte) oder technisch schreibgeschützt (Immutable Storage) ist. | häufig KO-Kriterium |
| RDP direkt aus Internet | nicht ohne VPN+MFA | häufig KO bei Ja |
| End-of-Life-Systeme produktiv | z. B. Windows 7/8, Server 2012 ausgeschlossen | häufig KO bei Ja |
| EDR/XDRiModerne Schutz-Software, die Angriffe nicht nur erkennt, sondern automatisch reagiert (z. B. verdächtige Programme isoliert). Klassische Virenscanner reichen Versicherern nicht mehr aus. | moderner Endpoint-Schutz statt klassischem Virenscanner | oft Pflicht, sonst Zuschlag |
| Patch-ManagementiGeordnetes Einspielen von Sicherheits-Updates. Versicherer-Standard: kritische Lücken innerhalb 14 Tagen, sicherheitsrelevante innerhalb 30 Tagen. | kritisch ≤ 14 Tage, sicherheitsrelevant ≤ 30 Tage | Pflicht-Standard |
| E-Mail-Sicherheit | Spam-/Phishing-/Malware-Filter mit aktiver Konfiguration | Pflicht-Standard |
| Phishing-Schulung | mindestens 1× jährlich für alle Mitarbeiter | Pflicht-Standard |
| SPF/DKIM/DMARCiDrei technische Standards, die zusammen verhindern, dass jemand in Ihrem Namen Mails verschickt. Wird vom IT-Dienstleister einmalig auf der Mail-Domain eingerichtet. | für Mail-Domain konfiguriert | empfohlen |
| Vier-Augen-Prinzip bei Überweisungen | ab 5.000–10.000 € | im WEG-Kontext kritisch |
| Telefonische Rückbestätigung bei IBAN-Wechsel | bei Lieferanten und Handwerkern | direkter BEC-Schutz |
Wer einen KO-Punkt nicht erfüllt, sollte vor jeder Cyber-Anfrage den Mangel beheben. Eine vorzeitige Anfrage ohne Vorbereitung führt zur Ablehnung. Pragmatischer Weg: Vorab-Selbstcheck per Cyber-Check, Lücken benennen, gezielt nachrüsten, dann Anfrage stellen.
Verwaltungssoftware, Beirats-Risiko, Treuhandkonten
Verwaltungssoftware-Landschaft
Die genutzte Software hat direkten Einfluss auf die Annahmequalität:
- SaaS / Cloud-Hosting (z. B. etg24, casavi, Aareon RELion Cloud): Verantwortung beim Anbieter, eigenes Risiko reduziert. Vertragsprüfung: Wer trägt Schaden bei Anbieter-Ausfall? AVViAuftragsverarbeitungsvertrag nach Art. 28 DSGVO. Vertrag, mit dem Sie einen IT-Dienstleister oder Cloud-Anbieter datenschutz-konform beauftragen. Pflicht bei jeder externen Datenverarbeitung. nach Art. 28 DSGVO im Backoffice prüfen.
- On-Premise (z. B. Karthago, Wodis Yuneo lokal, iX-Haus): volle Verantwortung beim Verwalter, höhere IT-Anforderungen, höhere Prämie.
- Hybrid: Kombination kritisch — Risikoarten können kumulieren. Im Antrag wird die Software-Liste explizit abgefragt.
Beirats-Risiko
Beiräte nutzen häufig private Mail-Konten ohne MFA, Smartphones ohne unternehmensweite Schutz-Policy. Phishing-Angriffe zielen häufig zuerst auf den Beirat, um dann über die Beirats-Mail auf den Verwalter zu eskalieren. Die Police sollte ausdrücklich klären, ob Beirats-Korrespondenz im Schadenfall mitabgedeckt ist.
Treuhandkonten und Bankvollmachten
Vier-Augen-Prinzip ab 5.000–10.000 € bei Überweisungen ist nicht nur Underwriting-Anforderung, sondern direkter BEC-Schutz. Wer das nicht standardmäßig praktiziert, riskiert im Schadenfall Kürzung wegen Obliegenheitsverletzung — und ohne Police den Vollverlust.
Empfohlene Konditionen für WEG-Verwalter
| Verwaltungsgröße | VS empfohlen | Selbstbehalt |
|---|---|---|
| Bis 200 verwaltete Einheiten | 500.000 € – 1 Mio. € | 1.000–2.500 € |
| 200–500 Einheiten | 1–2 Mio. € | 2.500–5.000 € |
| 500–1.500 Einheiten | 2–5 Mio. € | 5.000–10.000 € |
| Über 1.500 Einheiten | 5 Mio. €+ | 10.000 €+ |
Faustregel: VS sollte das Treuhandvermögen am Spitzenstand plus 30–50 % Puffer für BU- und Forensik-Kosten abdecken. Achtung Sublimits: Erpressung/Lösegeld, BEC und Betriebsunterbrechung haben in vielen Tarifen eigene Sublimits weit unter der Hauptsumme. Bei Vergleich auf die echten Sublimits achten, nicht nur auf die nominelle VS.
Wie Cyber-Schäden in der WEG-Verwaltung ablaufen
Die folgenden Beispiele sind stilisiert und sollen die Funktionsweise verdeutlichen. Beträge sind hypothetisch.
- Hergang
- WEG-Verwaltung mit 850 verwalteten Einheiten erhält per E-Mail eine vermeintliche Anweisung des Beirats einer 32-WE-Gemeinschaft, eine Sonderumlage in Höhe von 47.500 € an eine „neue Handwerker-Bankverbindung“ zu überweisen. Mailadresse ist um einen Buchstaben verändert (Typo-SquattingiDomain, die der echten zum Verwechseln ähnlich sieht — z. B. ein vertauschter Buchstabe oder eine verdoppelte Endung. Wird für täuschende Mail-Absender benutzt.), Beirats-Stil sehr gut nachgeahmt. Buchhaltung führt aus.
- Klauseln-Lage
- Klassischer BEC-Angriff. Cyber-Police mit aktivem BEC-Baustein und Sublimit 100.000 € greift. Voraussetzung: telefonische Rückbestätigung als Obliegenheit war vertraglich definiert, wurde aber nicht eingehalten — Versicherer prüft Kürzung wegen Obliegenheitsverletzung.
- Ergebnis
- Versicherer reguliert 35.000 € (BEC-Sublimit 100.000 € minus Mitverschulden 25 % wegen fehlender Rückbestätigung). Verwalter trägt 12.500 € selbst. Konsequenz: Vier-Augen-Pflicht ab 5.000 € im Verwaltervertrag fixiert, Phishing-Schulung erneuert.
- Hergang
- Ransomware-Angriff über infiziertes E-Mail-Attachment verschlüsselt Verwaltungssoftware-Datenbank und Mailserver. Betrieb 11 Tage eingeschränkt. Lösegeldforderung 25.000 €. Verwalter zahlt nicht (auf Empfehlung des IT-Forensikers), stellt aus Backup wieder her.
- Klauseln-Lage
- Ransomware-Eigenschaden, gedeckt durch Cyber-Police. IT-Forensik, Wiederherstellung, Betriebsunterbrechung — alle Bausteine greifen. Voraussetzung 3-2-1-Backup war erfüllt.
- Ergebnis
- IT-Forensik 14.500 €, Wiederherstellung 22.000 €, BU-Tagessätze 11 × 2.500 € = 27.500 €, Krisen-PR 4.000 €. Selbstbehalt 5.000 €. Versicherer-Regulierung 63.000 €. Lösegeldzahlung wurde vermieden — die Entscheidung gegen Zahlung erfolgte in Abstimmung mit Versicherer und Forensik.
- Hergang
- Phishing-Angriff auf das Webmail des Verwalters. Eigentümer-Listen mit etwa 3.200 personenbezogenen Datensätzen (Name, Adresse, Bankverbindung, Telefon) werden abgegriffen. Datenleck wird 9 Tage später durch Eigentümer-Beschwerden bekannt. Meldung an Landesaufsicht und Information der Betroffenen nach Art. 33/34 DSGVO.
- Klauseln-Lage
- Datenleck-Drittschaden plus DSGVO-Bezug. Cyber-Police deckt DSGVO-Beratung, forensische Analyse, Krisen-PR, Schadenersatz-Forderungen einzelner Betroffener. DSGVO-Bußgeld nach Art. 83 DSGVO ist in DE nur eingeschränkt versicherbar — abhängig vom Verschuldensgrad.
- Ergebnis
- Forensik 22.000 €, DSGVO-Beratung 8.500 €, Krisen-PR 6.000 €, individuelle Schadenersatz-Vergleiche 18.000 €. Bußgeld der Aufsicht 12.000 € — nicht versicherbar, vom Verwalter selbst zu tragen. Konsequenz: externer Datenschutzbeauftragter bestellt, Phishing-Schulung verpflichtend für alle Mitarbeiter.
Worauf bei der Bedingungsprüfung zu achten ist
- BEC-Sublimit transparent ausgewiesen, idealerweise 100.000–250.000 €
- Treuhandkonten-Risiko explizit eingeschlossen (nicht nur Eigenmittel)
- Ransomware-Lösegeld mitversichert oder klare Begründung des Ausschlusses
- Betriebsunterbrechung mindestens 30 Tage mit Tagessatz angemessen zum Verwalter-Umsatz
- Datenleck-Drittschaden ohne unklare „Personenbezugs“-Definitionen
- DSGVO-Beratung als Service-Baustein mit Hotline
- Krisen-PR mit Sublimit 10.000–25.000 €
- Beirats-Korrespondenz in Deckung ausdrücklich benannt
- Verwaltungssoftware-Cloud-Vorfall mitversichert oder klar geregelt
- Vorvertragliche Anzeigepflichti§ 19 VVG: Bei Antrag müssen Sie alle gefährdungsrelevanten Tatsachen wahrheitsgemäß angeben (z. B. Vorschäden, IT-Stand). Bei Verstoß kann der Versicherer kündigen, anfechten oder Leistung verweigern. nach § 19 VVG: bei jeder Anfrage IT-Sicherheits-Fragebogen wahrheitsgemäß ausfüllen
- DifferenzdeckungiBeim Wechsel zum neuen Versicherer: Der neue Tarif übernimmt Schäden, die schlechtere Bedingungen des Altvertrags nicht gedeckt hätten. Schützt gegen Bedingungs-Lücken im Übergang. beim Versicherer-Wechsel
- InnovationsklauseliBessere künftige Bedingungen des Versicherers wirken automatisch auch auf den laufenden Bestandsvertrag — ohne neuen Abschluss.: bessere künftige Bedingungen wirken auf Bestandsvertrag
So arbeiten wir
Ungebundener Versicherungsmakler nach § 34d GewO. Strukturierte Beratung in drei Schritten, ausschließlich per Microsoft Teams, kostenfrei und unverbindlich.
- Cyber-Check (5 Minuten online)
Strukturierte IT-Sicherheits-Selbstauskunft. Sie sehen am Ende, welche Bausteine in Ihrer aktuellen Police kritisch sind und welche IT-Lücken vor einer Anfrage geschlossen werden sollten. Cyber-Check starten →
- 30-Minuten-Termin per Microsoft Teams
Wir besprechen das Check-Ergebnis, klären die Verwaltungssoftware-Landschaft, Vorschadenhistorie, Treuhandvermögen-Spitzenstand. Sie bekommen eine erste fachliche Einschätzung — ohne Vertriebsdruck.
- Schriftliche Empfehlung mit Vergleichsmatrix
Vergleich der für WEG-Verwalter geeigneten Cyber-Anbieter. Bedingungs-Matrix mit BEC-Sublimits, BU-Tagessätzen, Service-Bausteinen. Zur Vorlage in der Geschäftsführung. Wer wechselt, wer bleibt — beides ist ein gültiges Ergebnis.
Über Pohl Versicherungsmakler
Jan Pohl, InhaberPohl Versicherungsmakler e.K. mit Sitz in Aachen ist auf Versicherungen für die Immobilienwirtschaft spezialisiert. Jan Pohl arbeitet als ungebundener Versicherungsmakler nach § 34d GewO und vermittelt für Hausverwaltungen, WEG-Verwalter, Immobilienmakler und Bestandshalter.
Frühe unternehmerische Entscheidung: Studium der Rechtswissenschaften und Betriebswirtschaftslehre — bewusst zugunsten eigener Firmen unterbrochen. Seit 1999 in der Versicherungsbranche, eigene Maklerei in Aachen seit 2012. Über 25 Jahre Branchenerfahrung aus drei Perspektiven: als selbstständiger Versicherungsmakler, in der Vertriebsführung eines deutschen Versicherungskonzerns und in der Geschäftsleitung eines mittelständischen Versicherungs-IT-Unternehmens.
„Ich berate so, wie ich selbst beraten werden möchte: klar, strukturiert und ohne Verkaufsshow.“
Geboren 1978, verheiratet, zwei Kinder. Aachen-Richterich. Beratung strukturiert per Microsoft Teams.
Häufige Fragen zur Cyber-Versicherung für WEG-Verwalter
Ist Cyber-Versicherung Pflicht für WEG-Verwalter?
Welche Versicherungssumme ist sinnvoll?
Was ist BEC und warum ist es das größte Risiko?
Welche IT-Sicherheitsmaßnahmen sind Mindeststandard für die Annahme?
Was deckt die Cyber-Versicherung NICHT?
Wie ist die Abgrenzung zur Vertrauensschadenversicherung?
Was passiert bei einem Cyber-Vorfall?
Wie hoch sollte der Selbstbehalt sein?
Cyber-Check starten — in 5 Minuten online, kostenfrei.
IT-Sicherheits-Selbstauskunft, BEC-Sublimit-Vergleich, Treuhandkonten-Klausel. Ohne Vertriebsdruck. Ergebnis: schriftliche Empfehlung mit Vergleichsmatrix.
