Cyber-Versicherung: Anforderungen der Versicherer mit Microsoft 365 belegen
Das Wichtigste in Kürze
- Die Risikofragebögen der Cyber-Versicherer fragen typischerweise nach MFA, EDR, Patch-Management, Backups, privilegierten Zugängen, Protokollierung und E-Mail-Schutz. Die genauen Anforderungen unterscheiden sich je nach Versicherer und Police.
- In einer Microsoft-Umgebung lässt sich jede dieser Angaben mit einem konkreten Bericht belegen, etwa aus Conditional Access, Defender for Endpoint, Intune, Privileged Identity Management oder Azure Backup.
- Die Angaben im Fragebogen sind vorvertragliche Anzeigen. Sie sollten so beantwortet werden, wie sie sich im Tenant tatsächlich nachweisen lassen, einschließlich aller Ausnahmen.
- Patch-Fristen wie „kritisch in 72 Stunden“ sind Beispiele aus einzelnen Fragebögen, keine allgemeine Regel. Maßgeblich ist, was in Ihrer Police steht.
Wer eine Cyber-Versicherung abschließt oder verlängert, füllt einen Risikofragebogen aus. Für die Geschäftsführung ist das mehr als eine Formalie: Die Antworten sind Grundlage des Vertrags, und eine Angabe, die sich im Schadenfall als unzutreffend herausstellt, kann den Versicherungsschutz gefährden. Für die IT stellt sich die Frage, mit welchem Bericht sich jede Antwort belegen lässt. In Microsoft 365 und Azure liegen diese Berichte meist schon vor, verteilt auf mehrere Portale.
Was fragen Cyber-Versicherer typischerweise ab, und wie belegen Sie es mit Microsoft?
Die Fragebögen unterscheiden sich, doch ein Kern an Themen kehrt wieder. Die folgende Übersicht ordnet jedem Thema die Microsoft-Umsetzung und den passenden Nachweis zu.
| Typische Anforderung | Microsoft-Umsetzung | Nachweis |
|---|---|---|
| MFA für alle Benutzer, externe Zugänge und Administratoren | Microsoft Entra Conditional Access, Blockieren der Legacy-Authentifizierung | Export der Richtlinien mit Ausnahmen, Bericht zu Authentifizierungsmethoden |
| EDR auf allen Endgeräten und Servern | Microsoft Defender for Endpoint | Geräteinventar mit Onboarding- und Sensorstatus |
| Patch-Management mit definierten Fristen | Microsoft Intune mit Update-Ringen, Microsoft Defender Vulnerability Management | Update-Ring-Berichte, offene Schwachstellen je Gerät mit Alter |
| Geschützte, getestete Backups | Microsoft 365 Backup, Azure Backup mit unveränderlichem Tresor | Sicherungsrichtlinien, Unveränderlichkeitsstatus, Protokolle der Wiederherstellungstests |
| Kontrolle privilegierter Zugänge | Microsoft Entra Privileged Identity Management (PIM) | Liste berechtigter Rollenzuweisungen, Aktivierungsverlauf, Zugriffsüberprüfungen |
| Protokollierung und Überwachung | Unified Audit Log in Microsoft Purview, Microsoft Sentinel | Aufbewahrungseinstellungen, aktive Datenconnectors und Analyseregeln |
| E-Mail-Schutz und Absenderauthentifizierung | Microsoft Defender for Office 365, SPF, DKIM und DMARC | Status der Schutzrichtlinien, DMARC-Eintrag mit Richtlinie |
| Incident-Response-Plan | Microsoft Defender XDR als zentrale Vorfallsansicht | Dokumentierter Plan, Protokoll der letzten Übung |
Welche Details sind bei den einzelnen Anforderungen wichtig?
MFA. Ein typischer Punkt ist, ob MFA ausnahmslos gilt. Die ehrliche Antwort steht in den Ausschlüssen Ihrer Conditional-Access-Richtlinien. Notfallkonten sind eine begründete Ausnahme, Dienstkonten mit interaktiver Anmeldung meist nicht. Welche Methoden tatsächlich genutzt werden, zeigt der Bericht zur Aktivität der Authentifizierungsmethoden im Entra Admin Center. Wie Sie Conditional Access einführen, ohne Benutzer auszusperren, beschreiben wir in einem eigenen Beitrag.
EDR. Gemeint ist eine Lösung, die Angriffe auf Endgeräten erkennt und eine Reaktion ermöglicht, also mehr als klassischer Virenschutz. Mit Defender for Endpoint ist der Nachweis die Abdeckung: Wie viele Geräte sind eingebunden, und bei welchen meldet der Sensor keinen gesunden Zustand?
Patches. Manche Fragebögen nennen konkrete Fristen, zum Beispiel kritische Patches innerhalb von 72 Stunden und übrige innerhalb von 30 Tagen. Das ist ein Beispiel, keine allgemeine Regel. Legen Sie Ihre Fristen schriftlich fest und belegen Sie sie mit den Berichten der Intune-Update-Ringe und den offenen Schwachstellen in Defender Vulnerability Management.
Backup. Gefragt wird in der Regel nach einer Kopie, die vor Ransomware geschützt ist. Microsoft 365 Backup speichert Sicherungen nur anfügbar innerhalb der Microsoft-365-Dienstgrenze; sie sind unveränderlich, solange sie nicht über das Offboarding bewusst gelöscht werden. Azure Backup legt Sicherungen in einem von Microsoft verwalteten Mandanten ab, getrennt von der Produktivumgebung, und lässt sich mit einem unveränderlichen Tresor und Mehrbenutzerautorisierung zusätzlich absichern. Ob das der Formulierung „offline“ oder „Air Gap“ in Ihrem Fragebogen entspricht, klären Sie am besten vorab mit dem Versicherer.
Privilegierte Zugänge. Mit PIM werden Administratorrechte nur bei Bedarf und zeitlich begrenzt aktiviert. PIM setzt Lizenzen für Entra ID P2 oder Entra ID Governance voraus.
Protokollierung. Audit (Standard) hält Ereignisse 180 Tage vor, Audit (Premium) für Entra ID, Exchange und SharePoint ein Jahr. Für längere Aufbewahrung und automatische Erkennung werden die Daten in Microsoft Sentinel übernommen.
E-Mail. Typisch sind Fragen nach Phishing-Schutz und Absenderauthentifizierung. Defender for Office 365 liefert Safe Links, Safe Attachments und Anti-Phishing-Richtlinien, DMARC mit einer Richtlinie „quarantine“ oder „reject“ schützt Ihre Domain vor Missbrauch. Die Grundlagen fassen wir in unserem Beitrag zu SPF, DKIM und DMARC zusammen.
Woran scheitern die Nachweise in der Praxis?
Selten an fehlender Technik, häufiger an Details: MFA ist aktiv, aber einzelne Konten sind ausgenommen. Backups laufen, wurden aber nie testweise wiederhergestellt. Ein Incident-Response-Plan existiert, ist den Beteiligten aber nicht bekannt. Für Entscheider, die ihrer IT oder ihrem Dienstleister die Fragen weitergeben, ist die Übersicht oben eine sachliche Prüfliste: Zu jeder Antwort im Fragebogen sollte der zugehörige Bericht vorliegen.
Wie gehen Sie pragmatisch vor?
Die Anforderungen der Versicherer und die Maßnahmen, die Ihre Sicherheit tatsächlich verbessern, überschneiden sich weitgehend. Nutzen Sie den Fragebogen deshalb als Arbeitsliste: Antwort für Antwort den Nachweis erzeugen, Lücken schließen und die Berichte zusammen mit dem Fragebogen ablegen. Planen Sie dafür ausreichend Zeit vor der nächsten Verlängerung ein.
Unser Gap Assessment prüft Ihre Microsoft-Umgebung zum Festpreis gegen die typischen Versicherungsanforderungen und liefert zu jedem Punkt den Ist-Stand mit Nachweis.
Häufig gestellte Fragen
Welche EDR-Lösung akzeptieren Cyber-Versicherer?
Versicherer verlangen in der Regel eine Lösung, die Bedrohungen auf Endgeräten erkennt und eine Reaktion ermöglicht. Microsoft Defender for Endpoint erfüllt diese Funktion. Entscheidend für den Nachweis ist, dass alle Geräte eingebunden sind und die Warnungen tatsächlich bearbeitet werden.
Was bedeutet „nachgewiesenes Patch-Management“?
Ein dokumentierter Prozess mit festgelegten Fristen und Berichten, die zeigen, dass die Fristen eingehalten werden. Welche Fristen gelten, bestimmt Ihre Police; Angaben wie 72 Stunden für kritische Patches sind Beispiele. In Microsoft-Umgebungen dienen die Berichte der Intune-Update-Ringe und von Defender Vulnerability Management als Nachweis.
Was passiert, wenn eine Angabe im Fragebogen nicht stimmt?
Die Fragen des Versicherers sind Teil der vorvertraglichen Anzeigepflicht nach § 19 Versicherungsvertragsgesetz. Unzutreffende Angaben können je nach Verschulden zu Rücktritt, Kündigung oder Vertragsanpassung führen. Beantworten Sie die Fragen deshalb so, wie sie sich belegen lassen, und nennen Sie bekannte Ausnahmen.
Prüfen Versicherer die Angaben technisch?
Das unterscheidet sich je nach Versicherer und Police. Fragen Sie vor Abschluss oder Verlängerung nach, ob und wie geprüft wird. Wer zu jeder Antwort den passenden Bericht aus dem Tenant vorlegen kann, ist in beiden Fällen gut vorbereitet.