Produktion absichern: Büro-IT und Betriebstechnik unterscheiden
Die Cyberversicherung eines Produktionsbetriebs sollte sowohl kaufmännische Systeme als auch relevante Betriebstechnik erfassen. Büro-IT verarbeitet etwa Aufträge und Rechnungen. Betriebstechnik – häufig OT genannt – steuert oder überwacht industrielle Abläufe. Auch wenn eine Maschine lokal weiterlaufen kann, fehlen bei einem Ausfall möglicherweise Fertigungsaufträge oder Qualitätsfreigaben.
Maschinenbauer haben zusätzlich eine zweite Rolle: Sie betreiben eigene Fertigung und liefern vernetzte Produkte an Kunden. Der Schutz der eigenen IT ist deshalb von der Haftung für gelieferte Steuerungen oder Fernwartungsleistungen zu unterscheiden.
Wenn ERP und Fertigungsplanung verschlüsselt werden
Ein beispielhafter Angriff verschlüsselt die Auftragsdaten eines Zulieferers. Die Maschinen selbst sind unbeschädigt, aber Materialzuordnung und Fertigungsreihenfolge fehlen. Während die IT wiederhergestellt wird, entstehen Rückstände, Überstunden und möglicherweise Lieferprobleme.
Für die Cyber-Betriebsunterbrechung sind der vereinbarte Auslöser, die Wartezeit und der entschädigungsfähige Ertrag maßgeblich. Der Wiederanlauf endet nicht zwingend mit dem ersten erreichbaren Server: Freigaben, Testläufe und das Abarbeiten von Rückständen können länger dauern. Diese Abläufe gehören in die Bedarfsermittlung.
Welche Deckung braucht eine Smart Factory?
| Folge des Cybervorfalls | Im Angebot konkret prüfen |
|---|---|
| Daten und Systeme müssen neu aufgebaut werden | Wiederherstellung einschließlich relevanter Konfigurationen |
| Produktion steht oder läuft reduziert | Betriebsunterbrechung, Haftzeit und Mehrkosten |
| Maschine oder Werkstück wird physisch beschädigt | Abgrenzung zu Maschinen-, Sach- und Produkthaftpflichtversicherung |
| Fernwartungszugang schädigt Kundensysteme | IT-Haftpflicht und Cyberhaftpflicht auf Tätigkeit abstimmen |
| Cloud- oder Wartungspartner fällt aus | Mitversicherung externer Abhängigkeiten und Teilgrenzen |
Eine pauschale Zusage für sämtliche Folgeschäden einer vernetzten Anlage ist nicht sinnvoll. Personenschäden, Rückrufkosten und beschädigte Produkte benötigen eine eigene Prüfung. Ebenso können vertragliche Lieferstrafen außerhalb der üblichen Cyberdeckung liegen.
Cyber Resilience Act: Betreiberrolle und Herstellerpflichten
Der Cyber Resilience Act richtet sich auf Produkte mit digitalen Elementen und die dafür verantwortlichen Wirtschaftsakteure. Ein Maschinenbauer, der solche Produkte in Verkehr bringt, kann in seiner Herstellerrolle betroffen sein. Der bloße Einsatz einer vernetzten Maschine macht einen Produktionsbetrieb dagegen nicht automatisch zu ihrem Hersteller.
Die wesentlichen CRA-Anforderungen gelten ab dem 11. Dezember 2027; bestimmte Meldepflichten gelten bereits seit dem 11. September 2026. Produktkonformität, Schwachstellenmanagement und eine Cyberversicherung sind unterschiedliche Aufgaben. Ein Versicherungsvertrag ersetzt weder die technische Umsetzung noch die Prüfung, welche Vorschriften für das konkrete Produkt gelten.
Produktionsabläufe für ein Cyberangebot beschreiben
Hilfreich sind eine Übersicht der Werke, zentrale Fertigungssysteme und die längste vertretbare Stillstandszeit. Nennen Sie Fernwartungszugänge, ältere Steuerungen und Verfahren zur Rücksicherung von Maschinenkonfigurationen. Für jeden Standort sollte klar sein, ob der Ausfall einer Zentrale auch seine Produktion stoppt.
IT und OT zu trennen sowie Wartungszugänge zeitlich und personell zu begrenzen, kann die Ausbreitung eines Angriffs erschweren. Für die Auswahl einer Versicherungssumme finden Sie weitere Hinweise im Ratgeber zur Cyberdeckungssumme.
Kosten der Cyberversicherung für einen Maschinenbaubetrieb
Ein angenommener Maschinenbaubetrieb bis 10 Mio. € Jahresumsatz zahlt nach Markel Pro Cyber bei 2 Mio. € Deckung 3.518,83 € im Jahr inklusive 19 % Versicherungssteuer. Grundlage sind 2.957 € netto, 500 € Selbstbehalt, alle sieben Bausteine, ein Jahr Laufzeit und jährliche Zahlung.
Für das Beispiel müssen Tätigkeit und IT-Sicherheit die Annahmevoraussetzungen erfüllen. Erpressung und Vertrauensschäden sind bei dieser Summe jeweils auf 1 Mio. € begrenzt. Für Betriebsunterbrechung gelten acht Stunden zeitlicher Eigenanteil, mindestens der vereinbarte Geldbetrag.
Vernetzte Maschinen und Fernwartung benötigen eine genaue Beschreibung. Die Cyberversicherung ersetzt nicht automatisch körperliche Schäden an Maschinen; technische Versicherung und Cyberdeckung müssen aufeinander abgestimmt werden.