Der internationale Versicherer Chubb meldet gegenläufige Trends in der Cyberversicherung: Die Häufigkeit von Cyberschäden mittelständischer Unternehmen in Europa sank im Jahr 2025 auf ein Fünf-Jahres-Tief. Zugleich stieg der durchschnittliche Schadenwert zwischen 2020 und 2025 auf das Dreifache. Das geht aus Chubbs „Cyber Claims Report 2026“ hervor.
Die jüngste Analyse von Cyberschadenfällen zeigt demnach, dass sich Cybervorfälle zwar stabilisiert hätten. Die finanziellen Folgen von Angriffen auf mittelständische Unternehmen nähmen aber weiter stark zu. Der Report wertet historische Schadendaten von Chubb bis Dezember 2025 aus.
Ein zusätzlicher Punkt: künstliche Intelligenz (KI). Sie hilft Unternehmen zwar, Lücken in der Cybersicherheit besser aufzudecken. Zugleich nutzt auch die Gegenseite Technik immer geschickter. Chubb schreibt, dass KI das Tempo und das Ausmaß der Risikoexposition verstärken könne.
Jimaan Sane, Head of Growth, Global Cyber bei Chubb, sieht die eigene Lieferkette für kleine und mittelständische Unternehmen als Feld mit erhöhtem Risiko. Sie hingen stärker von Drittanbietern ab.
„Mittelständische Unternehmen sind zunehmend denselben Cyberstörungen ausgesetzt wie Großkonzerne, verfügen jedoch häufig nicht über die gleiche operative Widerstandsfähigkeit“, sagte Sane.
Was heißt das konkret? Wenn ein Dienstleister ausfällt, trifft das oft nicht nur dessen eigene Systeme. Händler, Hersteller oder Dienstleister, die auf Software, Plattformen oder Datenzugriff angewiesen sind, können selbst nicht mehr arbeiten. Chubb verweist daher auf die Betriebsunterbrechungsdeckung für Dritte, im Markt meist Contingent Business Interruption genannt. Sie soll einspringen, wenn ein fremder Anbieter ausfällt und das eigene Geschäft leidet.
Der Report nennt auch Zahlen aus dem World Economic Forum. Danach sehen zurzeit 65 Prozent der großen Unternehmen Schwachstellen bei Drittanbietern und in Lieferketten als größtes Cyberrisiko. 2025 waren es noch 54 Prozent. Chubb verknüpft das mit Fällen aus dem Jahr 2025, in denen Angriffe über Lieferketten mehrere Firmen zugleich trafen.
Für Deutschland verweist Chubb auf den Gesamtverband der Deutschen Versicherungswirtschaft (GDV). Demnach weist die IT-Sicherheit mittelständischer Unternehmen deutliche Lücken auf. Lediglich 31 Prozent der Unternehmen erfüllen den Basisschutz vollständig.
Chris Collier, Vizepräsident Schadenbearbeitung bei Chubb, nennt neben KI-gestützten Bedrohungen und Lieferketten weitere Risiken: Social Engineering, Datenschutzvorfälle und Angriffe mit Erpressersoftware (Ransomware). „Vorfälle dieser Art können verheerende Folgen haben, insbesondere für kleine und mittelständische Unternehmen, die nicht über einen angemessenen Cyberversicherungsschutz verfügen und keine Möglichkeit haben, sich von den unwiederbringlichen Verlusten zu erholen oder diese auszugleichen“, sagte Collier.
Chubb schildert mehrere Schadenfälle. Beim Social Engineering handelte ein neuer Mitarbeiter auf Basis einer E-Mail, die angeblich von einem Vertreter eines langjährigen Maschinenlieferanten kam. Er änderte Bankdaten für Zahlungen an diesen Lieferanten, ohne die Anweisung per Rückruf zu prüfen. Später stellte das Unternehmen fest, dass das Geld an Betrüger ging. Mehr als 100.000 Dollar. Eine Cyberpolice mit Cybercrime-Baustein habe den unwiederbringlichen Verlust ersetzt.
Ein weiterer Fall betrifft Datenschutz. Ein versichertes Unternehmen betrieb eine abonnementbasierte Website und mobile Anwendung. Tracking-Technologien, darunter Cookies und Pixel, übertrugen Daten an Dritte. Mehrere Kanzleien stellten tausende Forderungen wegen eines angeblichen Verstoßes gegen den „California Invasion of Privacy Act“. Chubb nennt als mögliches Risiko über 40 Millionen Dollar. Am Ende seien die Ansprüche für etwa 6,5 Millionen Dollar erledigt worden.
Bei einem Ransomware-Fall verhinderte ein Endpoint-Detection-and-Response-Tool den Verschlüsselungsversuch. Der Angreifer konnte jedoch Gesundheitsdaten und Sozialversicherungsdaten von mehr als 4 Millionen Menschen abziehen. Nach Prüfung meldete das Unternehmen den Vorfall. Chubb beziffert den erstatteten Gesamtaufwand auf 4,7 Millionen Dollar.
Und dann die Lieferkette: Ein versicherter Händler nutzte Software eines externen Technologieanbieters für den täglichen Betrieb. Nach einem Ransomware-Angriff auf diesen Anbieter fielen dessen Systeme aus. Der Händler konnte bestimmte Produkte nicht verkaufen, keine Bestände bestellen und keine Termine planen. Der Schaden belief sich laut Report auf 1,2 Millionen Dollar.
Chubb sieht Cyberrisiken im Jahr 2025 vor allem als Tempo-Frage: Angriffe laufen schneller, Datenschutzpflichten nehmen zu, und Ausfälle wandern entlang der Lieferkette. Für Vermittler heißt das: Cyberdeckungen dürften stärker über Betriebsunterbrechung, Dienstleisterabhängigkeit, Datenschutzkosten und Reaktionsfähigkeit verkauft werden müssen – nicht nur über den klassischen Blick auf eigene IT-Systeme.
