Cyberrisiken entstehen entlang des gesamten Releases
Für Softwareentwickler beginnt das Risiko bei Quellcodeverwaltung, Build-Systemen und Berechtigungen. Gelangt ein Angreifer in diese Umgebung, kann er nicht nur Daten stehlen, sondern möglicherweise auch ein Update verändern. App-Anbieter und Games-Studios haben zusätzlich Nutzerkonten, Zahlungswege und laufende Serverdienste zu berücksichtigen.
Eine Cyberanfrage sollte deshalb das Geschäftsmodell nennen: Individualentwicklung, Lizenzsoftware, SaaS, Mobile Apps oder Online-Games. Die Bezeichnung „IT-Unternehmen“ allein beschreibt weder den Kundenkreis noch die Verantwortung für einen dauerhaften Betrieb.
Eigene Cyberschäden und Fehler im Softwareprodukt trennen
Eine Cyberversicherung für Softwareunternehmen richtet sich auf vereinbarte IT- und Datenvorfälle. Die IT-Haftpflicht behandelt dagegen berufliche Ansprüche, etwa aus fehlerhafter Entwicklung oder mangelhafter Leistung. Bei einem manipulierten Update können beide Bereiche berührt sein.
Markel unterscheidet beispielsweise Pro IT als Haftpflichtlösung und Pro Cyber für Cyberrisiken. Auch bei verbundenen Lösungen sollten eigene Wiederherstellungskosten und Schäden der Kunden klar erkennbar bleiben.
| Vorgang | Wichtige Versicherungsfrage |
|---|---|
| Repository wird verschlüsselt | Welche Rekonstruktions- und Wiederherstellungskosten sind gedeckt? |
| Angreifer manipuliert ein ausgeliefertes Update | Wie greifen Cyber- und IT-Haftpflicht bei Kundenschäden? |
| Eigener Spieledienst fällt aus | Sind Ertragsausfall und der konkrete Betriebsdienst erfasst? |
| Cloudanbieter hat eine Störung | Welche externen Ausfälle und Wartezeiten gelten? |
| Quellcode wird veröffentlicht | Datenwiederherstellung ist vom Wert geistigen Eigentums zu unterscheiden. |
Beispiel: Gestohlener Zugang zur Veröffentlichungsplattform
Ein denkbares Szenario: Ein Entwicklerzugang wird über Phishing übernommen. Bevor der Vorfall erkannt wird, verändert der Angreifer einen Build und veröffentlicht eine neue Version. Das Unternehmen muss den Zugang sperren, Releases prüfen und betroffene Kunden informieren.
Die eigene technische Untersuchung ist dabei nur eine Kostenposition. Ausfall bei Kunden, vertragliche Servicezusagen und mögliche Rückabwicklungen können weitere Ansprüche auslösen. Im Angebot sollten Tätigkeiten und Absatzmärkte deshalb zu den Haftpflichtbedingungen passen.
Softwarehersteller und der Cyber Resilience Act
Der Cyber Resilience Act betrifft bestimmte auf dem EU-Markt bereitgestellte Produkte mit digitalen Elementen. Bei Softwareunternehmen ist die konkrete Produkt- und Bereitstellungsform zu prüfen; die Bezeichnung „SaaS“ oder „Open Source“ allein beantwortet den Anwendungsbereich nicht.
Die allgemeinen Anforderungen gelten im Wesentlichen ab dem 11. Dezember 2027. Bestimmte Meldungen zu aktiv ausgenutzten Schwachstellen und schwerwiegenden Sicherheitsvorfällen sind bereits seit dem 11. September 2026 vorgesehen. Versicherungsdeckung und Produktpflichten sind getrennt zu organisieren.
Angaben für ein Cyberangebot für Entwickler und Studios
Nennen Sie Produkte, Nutzergruppen, Vertriebsgebiete und die wichtigsten Entwicklungs- und Hostingdienste. Ergänzen Sie Freigaben für Releases, Rechteverwaltung, Sicherungen und den Umgang mit Sicherheitslücken. Für Online-Games oder SaaS sind Verfügbarkeit und mögliche Tagesausfälle wichtige Größen.
Wenn Ihr Schwerpunkt statt eigener Produkte auf der Administration fremder Systeme liegt, passt die Seite Cyberschutz für IT-Dienstleister. Die Abgrenzung zur IT-Haftpflicht vertieft den Schutz gegenüber Kunden.
Cyberversicherung für SaaS und Games: Verfügbarkeit vertraglich abstimmen
Ein Softwareanbieter kann nach einem Angriff gleichzeitig Nutzer verlieren, Systeme wiederherstellen und mit vertraglichen Forderungen konfrontiert werden. Für die Cyberversicherung sind eigener Ertragsausfall und Ansprüche der Kunden getrennt zu prüfen.
Besondere Bedeutung haben Service-Level-Zusagen, automatische Gutschriften und Vertragsstrafen. Nicht jede freiwillig übernommene Verpflichtung ist durch Haftpflichtdeckung abgesichert. Beschreiben Sie bei der Anfrage daher Produkt, Betriebsmodell und Vertriebsgebiete. Bei regelmäßig ausgelieferten Updates sind zusätzlich Freigabeprozesse und administrative Zugänge zur Veröffentlichungsumgebung wichtig.