289,2 Milliarden Euro Schaden in einem Jahr, so lautet der Wert, den die Bitkom-Wirtschaftsstudie 2025 für die deutschen Unternehmen ausgewiesen hat. 87 Prozent der befragten Unternehmen waren in den vergangenen zwölf Monaten von Datendiebstahl, Industriespionage oder Sabotage betroffen. 59 Prozent fühlen sich durch Cyberattacken in ihrer Existenz bedroht.
Ich berate seit über 15 Jahren Unternehmen bei betrieblicher Absicherung und Cyberrisiken. Stadtwerke und kommunale Energieversorger behandeln dieses Thema noch immer zu oft als IT-Problem, nicht als Führungsaufgabe.
Das hat einen konkreten Grund: Viele sind sich gar nicht sicher, ob und wie sie sich überhaupt versichern können. Denn Stadtwerke sind in der Regel kommunale Unternehmen, keine privaten Mittelständler, und das verändert die Ausgangslage bei der Cyberversicherung grundlegend. Ein Standardprodukt aus dem Antragsmodell passt hier nicht. Eine Cyberversicherung für Stadtwerke muss individuell ausgeschrieben werden, mit einem Versicherungsmakler, der die Besonderheiten kommunaler Strukturen kennt.
Warum werden Stadtwerke zu einem bevorzugten Angriffsziel?
Über 900 Stadtwerke mit eigenständiger IT stehen vor dem Problem unterschiedlicher Security-Reifegrade, heterogener Systeme und knapper IT-Budgets. Sie versorgen nicht nur Strom und Gas, sondern betreiben Fernwärme, Wasserversorgung und Abwasserentsorgung. Diese Bündelung kritischer Versorgungsleistungen macht sie zu einem attraktiven Ziel, und das nicht nur im Cyberbereich.
Die jüngsten Ereignisse zeigen das deutlich. Im Jahr 2023 legte eine Ransomware-Attacke auf die Südwestfalen-IT Verwaltungsdienstleistungen in Nordrhein-Westfalen über Monate lahm. Im März 2025 wurden die Stadtwerke Schwerte Opfer eines Angriffs, die erbeuteten Daten tauchten im Darknet auf. Im November 2025 wurde die Vereinigte Stadtwerke GmbH infolge eines Sicherheitsvorfalls bei einem IT-Dienstleister Ziel einer Hacker-Attacke auf Teile ihrer IT-Infrastruktur. Diese Fälle sind keine Ausreißer, sie sind Muster.
Welche regulatorischen Pflichten entstehen durch NIS-2?
NIS-2 wurde durch das NIS-2-Umsetzungsgesetz seit dem 6. Dezember 2025 in deutsches Recht überführt. Über 1000 Energieversorger in Deutschland sind betroffen.
NIS-2 verlangt konkret:
- Dokumentiertes Risikomanagementsystem als gesetzliche Pflicht
- Verschärfte Meldepflichten bei Sicherheitsvorfällen gegenüber dem BSI
- Nachweispflichten über umgesetzte Sicherheitsmaßnahmen
- Einsatz von Angriffserkennungssystemen für Netzbetreiber und KRITIS-Betreiber
Eine Cyberversicherung ist dabei kein Ersatz für diese Maßnahmen. Sie ist das Instrument, das greift, wenn trotz aller Vorkehrungen ein Vorfall eintritt.
Wann zahlt die Police nicht?
Hier liegt eine der häufigsten Fallen, die in meiner Beratung vorkommen. Ein Stadtwerk führt Backups durch, aber niemand prüft, ob die Wiederherstellung tatsächlich funktioniert. Im Ernstfall sind die Sicherungen korrupt.
Die meisten Cyberversicherungsverträge enthalten IT-bezogene Obliegenheiten und verpflichten das Unternehmen, regelmäßig Backups durchzuführen. Verletzt das Unternehmen eine solche Obliegenheit grob fahrlässig, ist der Cyberversicherer zu einer quotalen Kürzung berechtigt. Eine vorsätzliche Obliegenheitsverletzung führt dazu, dass das Unternehmen den Versicherungsschutz vollständig verliert.
Nicht getestete Backups gelten in der Praxis schnell als Obliegenheitsverletzung. Das Backup-Thema ist deshalb keine IT-Frage, sondern eine Versicherungsfrage.
Typische Obliegenheitsverletzungen, die Versicherer in der Praxis geltend machen:
- Backups vorhanden, aber nie auf Wiederherstellbarkeit getestet
- Sicherungen dauerhaft mit dem Hauptnetz verbunden und daher vom Angriff miterfasst
- Fehlende Updates und ungepatchte Systeme als Einfallstor
- Zugriffskontrollen ohne Mehrfaktor-Authentifizierung für Remote-Zugänge
Warum wird CEO-Fraud immer häufiger zum Problem?
Ein Mitarbeiter in der Buchhaltung erhält eine täuschend echte E-Mail, die vorgibt, vom Geschäftsführer zu kommen. Er überweist 150.000 Euro auf ein fremdes Konto. Was früher als plumper Trick erkennbar war, weil Absenderadresse und Schreibweise den Betrug verrieten, wird durch KI-generierte Texte und manipulierte E-Mail-Domains immer schwerer zu identifizieren. Angreifer nutzen heute Adressen, die sich von der echten Firmenadresse nur durch einen einzigen Buchstaben unterscheiden, oder sie kompromittieren das echte Postfach des Geschäftsführers direkt.
Dieses Risiko wächst, aber der Versicherungsschutz hält damit nicht automatisch Schritt. Grundsätzlich besteht beim CEO-Fraud kein Versicherungsschutz über eine Cyberversicherung, weil nicht die Unternehmens-IT selbst angegriffen und beschädigt wird. Das Landgericht Hagen hat das 2024 bestätigt: Ein Unternehmen fiel auf eine BEC-Attacke herein, die Klage gegen die Cyberversicherung blieb erfolglos. Solche Zusatzbausteine für Social Engineering sind stark sublimitiert, bei einem Beispiel-Anbieter auf 15 Prozent der Versicherungssumme und maximal 100.000 Euro. Bei einer Police über zwei Millionen Euro bleiben für CEO-Fraud also nur 100.000 Euro. Wer dieses Risiko vollständig absichern will, braucht ergänzend eine Vertrauensschadenversicherung.
Wann wird ein Cyberangriff zur persönlichen Haftungsfrage?
Eine Cyberversicherung deckt mehr ab, als viele Geschäftsführer erwarten, aber auch weniger, als viele annehmen. Entscheidend ist dabei eine Frage, die im Kontext kommunaler Unternehmen oft nicht gestellt wird: Wer haftet persönlich, wenn ein Angriff auf eine mangelhafte Sicherheitsorganisation trifft?
Bei kommunalen Unternehmen in der Rechtsform einer GmbH gilt § 43 GmbHG, bei Betrieben in der Rechtsform der AG § 93 AktG. Geschäftsführer und Vorstände müssen die Sorgfalt eines ordentlichen Kaufmanns walten lassen und haften der Gesellschaft gegenüber persönlich, wenn sie Cyberrisiken strukturell vernachlässigt haben.
Wer kein dokumentiertes Risikomanagement hat, Sicherheitshinweise ignoriert und Zuständigkeiten unklar lässt, übernimmt damit ein persönliches Haftungsrisiko. Die D&O-Versicherung deckt solche Ansprüche gegen Organmitglieder ab, aber ob ein Regressanspruch wegen fehlender Cyber-Governance tatsächlich gedeckt ist, hängt vom individuellen Bedingungswerk ab und sollte nie pauschal vorausgesetzt werden.
Hinzu kommen drei Ausschlüsse, die für kommunale Versorger eine besondere Relevanz haben, weil sie strukturell genau dort ansetzen, wo Stadtwerke verwundbar sind:
- Kriegs- und Sabotageakte staatlicher Akteure sind in vielen Policen explizit ausgeschlossen. Für Stadtwerke als Kritis-Betreiber ist das eine Lücke, die beim Vertragsabschluss explizit geprüft werden muss
- Systeme, die im Risikoantrag nicht angegeben wurden, führen zur vollständigen Leistungsfreiheit. Das OLG Schleswig hat bestätigt: Veraltete Server, die im Antrag verschwiegen wurden, kosten die gesamte Deckung
- Interne Täter ohne explizite Innentäter-Klausel bleiben außen vor. Gerade in kommunalen Strukturen mit breiten Systemzugriffen und langen Betriebszugehörigkeiten ist das ein unterschätztes Risiko
Fazit: "Eine Police zu prüfen kostet nichts."
Für Stadtwerke und kommunale Energieversorger ist das Cyberrisiko durch NIS-2, durch die Vernetzung von IT und Betriebstechnik und durch ihre Rolle als kritische Infrastruktur besonders hoch. Wer heute seine Police nicht kennt, seine Backups nicht testet und seine Sicherheitslücken nicht dokumentiert, zahlt im Ernstfall selbst, und zwar auch dann, wenn er geglaubt hat, versichert zu sein.
