Pentesting wird zentraler Faktor der Cyberrisiko-Bepreisung

Der Zusammenhang zwischen kontinuierlichen Penetrationstests und der Entwicklung von Cyberversicherungsprämien rückt zunehmend in den Fokus der IT- und Versicherungswirtschaft. Laut „Cyber Security Report DACH 2025“ des Sicherheitsanbieters Horizon3.ai gehen 69 Prozent der befragten Unternehmen davon aus, dass regelmäßige Pentesting-Nachweise direkten Einfluss auf die Höhe von Cyberpolicen haben. Für die Erhebung wurden 300 Führungskräfte überwiegend mittelständischer Organisationen befragt. Gut zwei Drittel der Firmen verfügen demnach über umfassenden Versicherungsschutz gegen Cyberangriffe, weitere 14 Prozent über teilweisen Schutz.

Die Einschätzung, dass kontinuierliche Sicherheitstests zu reduzierten Versicherungsprämien führen können, wird inzwischen von Teilen des Marktes empirisch bestätigt. Bereits 28 Prozent der Unternehmen berichten von durchgesetzten Prämienanpassungen infolge wiederkehrender technischer Sicherheitsüberprüfungen. Branchenanalysen verorten den Reduktionsrahmen in einer Spanne von zehn bis zwanzig Prozent, wobei die Höhe von Risikoprofil, Branche und Police abhängt.

Das Marktumfeld verändert sich parallel zu einer deutlich verschärften Bedrohungslage. Versicherer reagieren zunehmend sensibel auf fehlende technische Nachweise der Resilienz, da die Schadenssummen aus Cybervorfällen seit Jahren steigen und Rückversicherungsanforderungen strenger werden. Vor diesem Hintergrund bewerten fast die Hälfte der befragten Unternehmen den Einfluss von Pentests auf die Bepreisung als „hoch“ bis „extrem hoch“. 21 Prozent erkennen einen Einfluss, stufen jedoch andere Faktoren – etwa Branchenrisiko oder Compliance-Reifegrad – als dominanter ein.

Angesichts einer sich ständig verschärfenden Sicherheitslage geht es in vielen Fällen weniger um Prämienreduzierung als vielmehr darum, einen übermäßigen Anstieg zu verhindern. Und es ist wohl absehbar, dass Assekuranzen künftig immer weniger bereit sein werden, für Unternehmen ohne regelmäßige IT-Sicherheitsnachweise durch Penetrationstests überhaupt noch Cyberversicherungen anzubieten.“

Dennis Weyel, International Technical Director bei Horizon3.ai

70 Milliarden Euro Kostenersparnis p.a. durch Pentesting möglich

Aus Sicht der Sicherheitsforschung besteht zudem ein erheblicher finanzieller Hebel. Angesichts eines von Bitkom für 2024 kalkulierten Gesamtschadens von 178 Milliarden Euro durch Cyberkriminalität ergibt sich ein potenzielles Einsparvolumen von über 70 Milliarden Euro, sofern Schwachstellen identifiziert und systematisch behoben werden. Die Reduktionsannahme stützt sich auf die Beobachtung, dass wiederkehrende Pentests die durchschnittliche Schadenslast um bis zu 40 Prozent senken können.

Regulatorisch wird die Risikozunahme bereits adressiert. Die Bundesanstalt für Finanzdienstleistungsaufsicht (BaFin) fordert eine „umsichtige Tarifierung“ sowie eine angemessene Rückversicherung. Das Marktvolumen für Cyberpolicen im Stand-Alone-Segment verdoppelte sich in den Jahren 2020 bis 2022 auf rund 700 Millionen Euro. Auffällig ist, dass die Beitragseinnahmen stärker wuchsen als die Anzahl der abgeschlossenen Verträge, was auf signifikante Prämiensteigerungen insbesondere zwischen 2021 und 2022 schließen lässt. Die BaFin prognostiziert, dass die Grenze von einer Milliarde Euro im selbst abgeschlossenen Geschäft zeitnah überschritten wird, das übernommene Geschäft dürfte in Richtung zwei Milliarden Euro wachsen.

Die Struktur des deutschen Cyberversicherungsgeschäfts bleibt dabei eindeutig: Industrieunternehmen repräsentieren konstant über 80 Prozent des Beitragsvolumens. Kleine und mittlere Unternehmen bewegen sich in einem Segmentanteil von 15 bis 20 Prozent. Privatkunden spielen mit rund einem Prozent faktisch keine Rolle.

Deutlicher Reifegradunterschied innerhalb der Unternehmen

Mit dem wachsenden Druck auf Prämien, steigenden Schadenfrequenzen und der fortschreitenden Operationalisierung digitaler Angriffsflächen rückt nach Einschätzung von Marktakteuren die Frage nach der Pflicht zur technischen Nachweisführung in den Vordergrund. Als wahrscheinlich gilt, dass kontinuierliche, automatisierbare Pentesting-Prozesse zur Voraussetzung für Policenabschlüsse werden, insbesondere in kritischen Branchen oder bei hohen Versicherungssummen.

Der Bericht verweist auf einen deutlichen Reifegradunterschied innerhalb der Unternehmen: Während 70 Prozent der Befragten die ökonomische Dimension von Cyberschäden korrekt einordnen, unterschätzen knapp 30 Prozent weiterhin die volkswirtschaftliche Gesamtschadenslage. Für Versicherer bleibt damit entscheidend, wie präzise und belastbar technische Risikolagen dokumentiert werden können. Kontinuierliches Pentesting und die zeitnahe Behebung festgestellter Schwachstellen entwickeln sich innerhalb dieser Dynamik zu einem zentralen Instrument der Risikobemessung – sowohl aus Sicht der Assekuranz als auch der versicherten Organisationen.tw