Sie beantragen oder verlängern eine Cyberversicherung oder müssen den IT-Sicherheitsteil ausfüllen, den immer mehr Berufshaftpflichtversicherer verlangen? Die Fragen sind technisch: Multifaktor-Authentifizierung, Backups, Endpoint-Schutz, Patching, Administratorkonten, E-Mail-Sicherheit, Reaktion auf Vorfälle. Cyber Insurance Express hilft Ihnen, jede Antwort auf Grundlage dessen vorzubereiten, was in Ihrem Microsoft-365-Mandanten tatsächlich konfiguriert ist, und sagt Ihnen klar, welche Fragen Microsoft 365 nicht beantworten kann.
Der Sicherheitsfragebogen ist zu einem zentralen Bestandteil beim Abschluss oder bei der Verlängerung einer Cyberversicherung geworden, und er lässt sich nur selten genau beantworten.
Ist die Multifaktor-Authentifizierung für jeden Fernzugriff und jeden Administrator erzwungen? Werden Backups offline oder unveränderbar aufbewahrt, und wurde eine Wiederherstellung getestet? Läuft auf allen Endgeräten ein EDR-Werkzeug (Endpoint Detection and Response)? Ist die Legacyauthentifizierung für E-Mail deaktiviert? Ein Geschäftsführer, eine Finanzleiterin oder selbst ein vielbeschäftigter IT-Generalist hat diese Antworten selten parat, und schon gar nicht belegt.
Der Fragebogen ist Teil dessen, wie der Versicherer das Risiko versteht, das er übernimmt. Eine Antwort, die sich als unzutreffend erweist, kann zum Streitpunkt mit dem Versicherer werden, besonders nach einem Vorfall. Die genauen Folgen hängen von Ihrem Vertrag und dem anwendbaren Recht ab: Klären Sie sie mit Ihrem Makler oder Versicherer. In Ihrer Hand liegt die Richtigkeit Ihrer Angaben.
Richtlinien für bedingten Zugriff, Zuweisungen von Administratorrollen, Postfachprotokolle, DNS-Einträge zur E-Mail-Authentifizierung, Geräte-Compliance und Protokollierung einzeln, Frage für Frage und in mehreren Admin Centern zu prüfen, dauert Stunden. In einem kleinen oder mittelgroßen Unternehmen konkurriert diese Arbeit mit allem anderen, was das IT-Team leisten muss.
Neuer Antrag, jährliche Verlängerung, Wechsel des Maklers oder Versicherers, Anfrage eines Großkunden nach Ihrem Versicherungsschutz: Dieselben Fragen kommen wieder, oft anders formuliert. Ohne eine strukturierte Nachweisakte beginnt jede Runde von vorn, und frühere Arbeit geht verloren.
Jeder Versicherer erstellt seinen eigenen Fragebogen, und der Wortlaut ändert sich von Formular zu Formular und von Jahr zu Jahr. Die folgenden Themen tauchen häufig auf. Sie werden hier als wiederkehrende Themen beschrieben, nicht als Zitat aus dem Formular eines bestimmten Versicherers.
Zu jedem Thema erklären wir, was die Frage in der Regel klären soll, was Ihr Microsoft-365-Mandant als Nachweis zeigen kann und was außerhalb von Microsoft 365 liegt und anders dokumentiert werden muss. Die Links verweisen auf die öffentliche Dokumentation von Microsoft zur jeweiligen Funktion.
Was meist gefragt wird: Ist MFA für E-Mail, Fernzugriff, Cloud-Anwendungen und jedes Administratorkonto vorgeschrieben, mit oder ohne Ausnahmen?
Was Microsoft 365 zeigen kann: ob Sicherheitsstandards aktiviert sind oder welche Richtlinien für bedingten Zugriff MFA verlangen, für wen sie gelten und wer ausgenommen ist; die von den Benutzern registrierten Authentifizierungsmethoden; ob Legacyauthentifizierungsprotokolle, die MFA nicht unterstützen, blockiert sind.
Außerhalb von M365: Ein VPN, ein Remote-Desktop-Gateway oder eine Geschäftsanwendung, die sich nicht über Microsoft Entra ID anmeldet, muss separat dokumentiert werden.
Was meist gefragt wird: Werden kritische Systeme und Daten gesichert, ist mindestens eine Kopie vom Netzwerk isoliert oder gegen Veränderung geschützt, wie oft geschieht das, und wann wurde die Wiederherstellung zuletzt getestet?
Was Microsoft 365 zeigen kann: wenig, das diese Frage beantwortet. Die Aufbewahrungseinstellungen in Microsoft 365 sind kein von Ihren eigenen Administratorkonten getrenntes Backup, und wir stellen sie auch nicht als solches dar.
Außerhalb von M365: Ihre Backup-Lösung, die Trennung ihrer Kopien vom Netzwerk und Ihre Berichte zu Wiederherstellungstests. Der geführte Workshop bittet Sie, sie zu beschreiben und Ihre eigenen Nachweise beizufügen; das Dokument kennzeichnet diese Antwort als erklärt, nicht als gemessen.
Was meist gefragt wird: Sind alle Arbeitsplätze und Server durch ein Werkzeug zur Endpoint Detection and Response geschützt, wird es überwacht, und sind die Geräte verschlüsselt?
Was Microsoft 365 zeigen kann: Wenn Geräte mit Microsoft Intune verwaltet und mit Microsoft Defender geschützt werden: das Geräteinventar, die Ergebnisse der Compliancerichtlinien für Geräte (zum Beispiel Verschlüsselung und Mindestversion des Betriebssystems) und die Sicherheitsempfehlungen im Microsoft Secure Score.
Außerhalb von M365: ein EDR-Produkt eines Drittanbieters, nicht verwaltete Geräte und lokale Server, die nicht in Microsoft-Werkzeuge eingebunden sind. Sie werden markiert, nicht geraten.
Was meist gefragt wird: Wie schnell werden Sicherheitsupdates eingespielt, werden noch nicht unterstützte Betriebssysteme genutzt, und werden kritische Schwachstellen bei öffentlich erreichbaren Systemen verfolgt?
Was Microsoft 365 zeigen kann: Bei mit Intune verwalteten Geräten Complianceregeln zu Mindestversionen des Betriebssystems und welche Geräte sie nicht erfüllen; wo lizenziert, Defender-Empfehlungen.
Außerhalb von M365: Netzwerkgeräte, Firewalls, Fachserver und -anwendungen sowie das Patch-Verfahren selbst. Der Workshop hilft, es in einfacher Sprache zu beschreiben.
Was meist gefragt wird: Wie viele Personen haben Administratorrechte, nutzen Administratoren getrennte Konten für die tägliche Arbeit, ist MFA für sie Pflicht, und ist privilegierter Zugriff zeitlich begrenzt oder genehmigt?
Was Microsoft 365 zeigen kann: wer welche Microsoft-Entra-Administratorrolle innehat, ob Rollen dauerhaft oder über Privileged Identity Management (wo lizenziert) als „berechtigt“ (eligible) zugewiesen sind und ob MFA für diese Rollen gilt.
Außerhalb von M365: lokale Administratorkonten auf Servern und Arbeitsplätzen, Domänenadministratoren in einem lokalen Active Directory und Administratorzugriff auf Systeme von Drittanbietern.
Was meist gefragt wird: Sind SPF, DKIM und DMARC eingerichtet, werden Phishing und schädliche Anhänge gefiltert, sind ältere Postfachprotokolle deaktiviert, und ist die automatische Weiterleitung an externe Adressen unter Kontrolle?
Was gezeigt werden kann: die veröffentlichten SPF- und DMARC-Einträge Ihrer Domains (öffentliche DNS-Daten), die DKIM-Signaturkonfiguration, Schutzrichtlinien von Exchange Online und Microsoft Defender für Office 365 sowie die für Postfächer zugelassenen Protokolle.
Außerhalb von M365: ein E-Mail-Gateway eines Drittanbieters vor Microsoft 365 und Sensibilisierungsschulungen der Mitarbeitenden, die Sie selbst dokumentieren.
Was meist gefragt wird: Gibt es einen schriftlichen Notfallplan, wen ruft man zuerst an, wurde der Ernstfall geübt, und werden Sicherheitsprotokolle lange genug aufbewahrt, um Vorfälle zu untersuchen?
Was Microsoft 365 zeigen kann: ob das einheitliche Überwachungsprotokoll aktiv und durchsuchbar ist, und die geltende Aufbewahrungsdauer. Laut Microsoft-Dokumentation ist die Überwachung (Standard) bei Organisationen mit passendem Abonnement standardmäßig aktiviert und bewahrt Einträge 180 Tage lang auf.
Außerhalb von M365: der Plan selbst. Der Workshop erstellt einen ersten Entwurf eines kurzen Reaktionsplans, einschließlich - für Organisationen in Frankreich - des Reflexes, innerhalb von 72 Stunden Anzeige zu erstatten (siehe unten).
Fragebögen fragen oft auch nach der Anzahl der Beschäftigten und der gespeicherten Datensätze, früheren Vorfällen, dem Einsatz von Dienstleistern mit Zugriff auf Ihre Systeme, Datenverschlüsselung und Sicherheitsschulungen. Einige davon sind Fakten, die nur Sie erklären können. Andere, etwa externe Freigabeeinstellungen oder Gastkonten in Microsoft 365, lassen sich messen.
Microsoft weist selbst darauf hin, dass der Secure Score kein absolutes Maß für die Wahrscheinlichkeit eines Einbruchs ist. Wir verwenden gemessene Einstellungen als Nachweis für bestimmte Antworten, nie als Garantie.
Woher jede Antwort stammt und wie sie in Ihrem Dokument gekennzeichnet wird.
| Thema | Woher der Nachweis stammt | Kennzeichnung in Ihrem Dokument |
|---|---|---|
| MFA | Microsoft Entra ID: Sicherheitsstandards, Richtlinien für bedingten Zugriff, registrierte Authentifizierungsmethoden, Status der Legacyauthentifizierung | Gemessen, Ausnahmen mit Namen der Richtlinie oder Gruppe aufgeführt |
| Backups | Ihr Backup-Werkzeug und Berichte zu Wiederherstellungstests | Von Ihnen erklärt, mit Ihren Anhängen |
| Endpoint-Schutz | Intune und Defender, sofern genutzt; sonst Ihre EDR-Konsole | Für verwaltete Geräte gemessen; für den Rest erklärt |
| Patching | Intune-Konformitätsergebnisse; Ihr Verfahren für Server und Netzwerkgeräte | Teilweise gemessen, teilweise erklärt |
| Privilegierte Konten | Zuweisungen von Microsoft-Entra-Rollen, Privileged Identity Management wo lizenziert | Für Microsoft 365 gemessen; für lokale Systeme erklärt |
| E-Mail-Sicherheit | Öffentliches DNS (SPF, DMARC), DKIM-Konfiguration, Richtlinien von Exchange Online und Microsoft Defender für Office 365 | Gemessen |
| Reaktion auf Vorfälle und Protokolle | Status des einheitlichen Überwachungsprotokolls; Ihr schriftlicher Plan | Protokolle gemessen; Plan im Workshop entworfen, von Ihnen geprüft |
Klare Regel: Nichts im Dokument wird als gemessen dargestellt, wenn es nicht gemessen wurde. Eine Frage, die Microsoft 365 nicht beantworten kann, bleibt sichtbar so gekennzeichnet, damit Sie und nicht ein Werkzeug entscheiden, was Sie Ihrem Versicherer erklären.
Ein Selbstbedienungsweg in vier Schritten. Sie behalten von der ersten Frage bis zum fertigen Dokument die Kontrolle.
Ein kurzer Online-Test: Beantragen Sie eine Cyberversicherung, verlängern Sie sie, oder beantworten Sie den IT-Sicherheitsabschnitt einer Berufshaftpflicht- oder anderen Police? Hat Ihr Unternehmen seinen Sitz in Frankreich, wo die 72-Stunden-Anzeigefrist gilt? Welche Teile Ihrer IT laufen über Microsoft 365? Das Ergebnis zeigt Ihnen, welche Themen für Sie gelten und was Sie zusammentragen müssen.
Ein Online-Workshop führt Sie durch jedes Thema. Sie antworten frei und in Ihrem eigenen Tempo, mit Erläuterungen, was jede Frage bedeutet und warum Versicherer sie stellen. Wo Microsoft 365 Nachweise liefern kann, wird das gemessene Ergebnis neben Ihre Antwort gestellt, sodass jede Abweichung zwischen dem, was Sie glauben, und dem, was konfiguriert ist, sichtbar wird, bevor Sie etwas erklären.
Sie erhalten ein strukturiertes Dokument im Namen Ihres Unternehmens: Antworten Thema für Thema, der Nachweis zu jeder Antwort, markierte Punkte außerhalb des Geltungsbereichs und ein erster Entwurf eines Blatts zur Reaktion auf Vorfälle. Es ist eine Arbeitsgrundlage, die Ihr eigener Berater, Makler oder Rechtsbeistand prüfen und freigeben muss, bevor sie verwendet wird.
Wenn Sie einen zweiten Blick wünschen, kann ein Partnerberater das Dokument mit Ihnen durchgehen, vor der Verlängerung helfen, Lücken zu schließen, oder bei der Dokumentation der Punkte außerhalb von Microsoft 365 helfen. Dieser Schritt ist optional; die ersten drei Schritte sind so gestaltet, dass Sie sie selbstständig abschließen können.
Wichtig: Das Dokument ist eine Arbeitsgrundlage und stellt keine Rechtsberatung dar. Es ersetzt nicht den Fragebogen Ihres Versicherers, den Sie selbst ausfüllen und unterschreiben, und es verpflichtet keinen Versicherer, Sie zu versichern. Die Richtigkeit Ihrer endgültigen Erklärung bleibt Ihre Verantwortung.
Eine Nachweisakte, ehrlich darüber, was gemessen wurde und was nicht, die Sie bei jeder Verlängerung wiederverwenden können.
Eine klare Antwort zu jedem wiederkehrenden Thema, bereit, in das eigene Formular Ihres Versicherers übertragen zu werden.
Die Einstellungen, die jede Antwort stützen, so wie sie am Messtag in Ihrem Mandanten vorgefunden wurden.
Wo Ihre Antwort und die gemessene Konfiguration nicht übereinstimmen, zeigt es sich hier zuerst.
Ein kurzer erster Entwurf, den Sie mit Ihren eigenen Kontakten vervollständigen und intern freigeben.
Jede rechtliche oder regulatorische Aussage im Dokument verweist auf ihre offizielle Quelle.
Im nächsten Jahr messen Sie erneut und vergleichen, statt von vorn zu beginnen.
Zwei Minuten, um eine gesetzliche Pflicht von guter Praxis zu trennen, jeweils mit der offiziellen Quelle.
Seit dem 24. April 2023 macht Artikel L12-10-1 des französischen Code des assurances jede Versicherungsleistung, die Schäden infolge eines Angriffs auf ein automatisiertes Datenverarbeitungssystem ausgleicht, davon abhängig, dass das Opfer spätestens 72 Stunden nach Kenntnisnahme des Angriffs Anzeige bei den zuständigen Behörden erstattet. Die Frist beginnt mit Ihrer Kenntnisnahme des Angriffs, nicht mit seinem Beginn.
Der Artikel wurde durch Artikel 5 des Gesetzes Nr. 2023-22 vom 24. Januar 2023 (bekannt als LOPMI) geschaffen. Er verpflichtet niemanden, eine Cyberversicherung abzuschließen: Er stellt eine Bedingung für die Auszahlung, wenn ein Vertrag Cyberangriffe bereits abdeckt.
Ein Informationsblatt des Innenministeriums, verbreitet über Cybermalveillance.gouv.fr, die französische Regierungsplattform für Cyberopfer, erinnert berufliche Opfer daran, dass das Gesetz von 2023 verlangt, Anzeige zu erstatten, um ihren Entschädigungsanspruch aus dem Versicherungsvertrag zu wahren, und zwar innerhalb von 72 Stunden nach Kenntnisnahme des Angriffs. Es nennt außerdem die Aktivierung des Versicherungsverfahrens unter den Gründen für eine Anzeige.
Die Agentur der Europäischen Union für Cybersicherheit (ENISA) veröffentlichte am 21. Februar 2024 „Cyber Insurance - Models and methods and the use of AI“. Ihr erklärtes Ziel ist es, Cyberrisiken und Cyberversicherung einzuführen, einen Überblick über bestehende Forschungs- und Modellierungsansätze zu geben und Lücken für künftige Forschung zu benennen. Sie liefert nützlichen Hintergrund dafür, warum Versicherer die Sicherheitslage der versicherten Unternehmen bewerten wollen.
Für Einrichtungen in seinem Anwendungsbereich nennt Artikel 21 der Richtlinie (EU) 2022/2555 (NIS2) Maßnahmen für das Management von Cybersicherheitsrisiken, darunter den Umgang mit Sicherheitsvorfällen, Geschäftskontinuität wie Backup-Management und Notfallwiederherstellung, grundlegende Cyberhygiene und Schulung, Zugangskontrolle sowie den Einsatz der Multi-Faktor-Authentifizierung. Auch außerhalb von NIS2 gilt: Weil sich diese Maßnahmen mit den Themen der Versicherer überschneiden, dienen die für das eine gesammelten Nachweise auch dem anderen.
Die ANSSI, die französische nationale Cybersicherheitsbehörde, und der AMRAE, der französische Verband der Risiko- und Versicherungsmanager, haben einen Leitfaden für Führungskräfte veröffentlicht, „Controlling the digital risk - the trust advantage“, verfügbar auf Englisch und Französisch. Er stellt das Management digitaler Risiken als schrittweisen Ansatz für Organisationen jeder Größe dar - genau der Rahmen, in dem der Fragebogen eines Versicherers gelesen werden sollte.
Artikel 32 DSGVO verlangt geeignete technische und organisatorische Maßnahmen, einschließlich gegebenenfalls der Fähigkeit, die Verfügbarkeit personenbezogener Daten nach einem Zwischenfall rechtzeitig wiederherzustellen, und eines Verfahrens zur regelmäßigen Überprüfung und Bewertung der Wirksamkeit dieser Maßnahmen. Backups, Wiederherstellungstests und Zugangskontrolle sind daher weit über Ihre Versicherungsakte hinaus von Bedeutung.
Außerhalb Frankreichs: Die oben genannte 72-Stunden-Anzeigefrist ist französisches Recht. Andere Länder haben eigene Regeln zu Versicherung und zur Meldung von Cyberkriminalität, und Ihr Vertrag kann eigene Meldefristen festlegen. Klären Sie diese mit Ihrem Makler, Ihrem Versicherer oder Ihrem Rechtsberater. Diese Seite ist Information, keine Rechtsberatung.
Was jede Option enthält. Verfügbarkeit und Bedingungen werden veröffentlicht, wenn der Dienst startet.
Sie beantragen eine Cyberversicherung oder beantworten zum ersten Mal einen IT-Sicherheitsabschnitt.
Der Fragebogen kommt mit Ihrer Verlängerung zurück, und Ihre IT hat sich seit dem Vorjahr verändert.
Ein neues Formular, anders formuliert, aber nach denselben Kontrollen fragend.
Kurze Antworten, mit der offiziellen Quelle, wo eine Regel betroffen ist.
Eingesehen am 13. Oktober 2026. Wo ein Text französisch ist, ist die Übersetzung auf dieser Seite unsere eigene und inoffiziell.
Microsoft, Microsoft 365, Microsoft Entra, Intune, Defender und Purview sind Marken von Microsoft. Sie werden nur genannt, um die Funktionen zu bezeichnen, aus denen Nachweise gelesen werden. SYAGA Consulting ist weder mit Microsoft noch mit der ENISA, der ANSSI oder einem Versicherer verbunden.
Der Selbstbedienungsweg ist in Vorbereitung. Fragen in der Zwischenzeit: contact@syaga.eu
Eine Arbeitsgrundlage, keine Rechtsberatung. Die endgültige Erklärung gegenüber Ihrem Versicherer und deren Richtigkeit bleiben Ihre Verantwortung.