Warum Cloud-Ausfälle entstehen – und wer sie verursacht
Die Vorstellung vom Cloud-Ausfall ist meist von Hackern geprägt. Die Realität sieht nüchterner aus.
Der Großteil der Cloud-Ausfallzeiten geht auf menschliches Versagen zurück – häufig während planmäßiger Wartungsarbeiten. Erst weit dahinter folgen Hardwarefehler, und noch weiter unten stehen Cyberangriffe.
Das bedeutet: Die häufigste Ursache eines Cloud-Ausfalls ist genau die, für die eine klassische Cyberversicherung nicht konzipiert wurde.
Haftet der Cloud-Anbieter bei einem Ausfall?
Viele Unternehmen verlassen sich auf das Service Level Agreement ihres Cloud-Anbieters. Dort steht schließlich eine Verfügbarkeitsgarantie.
Der Blick ins Kleingedruckte ernüchtert: Anbieter stellen bei Ausfällen in der Regel Gutschriften aus – sie entschädigen ihre Kunden aber nicht für finanzielle Verluste.
Konkret bedeutet das: Wer drei Tage nicht produzieren, nicht ausliefern und nicht fakturieren kann, erhält im Zweifel eine anteilige Erstattung der Monatsgebühr. Der eigentliche Schaden bleibt im Unternehmen.
Zahlt die Cyberversicherung bei einem Cloud-Ausfall?
Hier liegt die entscheidende Lücke. Die klassische Cyberversicherung deckt Betriebsunterbrechungen nach einem eigenen Cybervorfall ab – etwa einem Hackerangriff oder Schadsoftware im eigenen System.
Fällt dagegen ein externer Cloud-Dienstleister ohne eigenes Verschulden aus – durch technische Störungen oder einen großflächigen Netzwerkausfall –, ist das nicht automatisch versichert.
Die Logik dahinter ist versicherungstechnisch konsequent: Ein Cloud-Ausfall ist ein Schaden beim Dienstleister, nicht beim Unternehmen.
Wie stark Betriebsunterbrechungen die Gesamtkosten eines IT-Vorfalls dominieren, zeigt sich auch bei klassischen Angriffen – nachzulesen in unserem Beitrag Ransomware-Angriff: 72 Stunden, die über Ihr Unternehmen entscheiden.
Abhängige Betriebsunterbrechung: Was die Deckungserweiterung leistet
Moderne Policen bieten eine Lösung an: die abhängige Betriebsunterbrechung, im Markt meist als „Dependent Business Interruption" bezeichnet. Sie erweitert den Schutz auf Ausfälle bei Dritten.
Doch der Teufel steckt im Detail:
• Greift oft nur bei versichertem Ereignis
• Sublimits statt voller Deckungssumme
• Wartezeiten zwischen 6 und 24 Stunden
• Sonderregeln für großflächige Ereignisse
Das bedeutet: Selbst mit Erweiterung bleibt der häufigste Ausfallgrund – technisches oder menschliches Versagen beim Anbieter – in vielen Verträgen außen vor.
Die Namensfalle: Wenn der Anbieterwechsel den Versicherungsschutz kostet
Ein besonders unterschätzter Punkt betrifft die Vertragsgestaltung. In spezialisierten Tarifen sind häufig nur namentlich genannte Provider versichert.
Wechselt ein Unternehmen den Cloud-Anbieter – aus Kostengründen, wegen besserer Konditionen oder aus Souveränitätsüberlegungen –, verliert es im Zweifel den Versicherungsschutz.
Wichtig zu wissen: Viele Policen verlangen zudem, dass der Versicherer vor der Beauftragung eines IT-Forensikers informiert wird. Wer im Krisenmoment zuerst den Dienstleister ruft, riskiert Leistungskürzungen.
Klumpenrisiko Hyperscaler: Warum ein Ausfall systemisch wirkt
Über 65 Prozent des europäischen Cloud-Markts liegen in der Hand der drei US-Anbieter Amazon, Microsoft und Google.
Fachleute warnen deshalb vor einer systemischen Schwachstelle: Der Ausfall eines großen Hyperscalers kann ganze Wertschöpfungsketten in Europa gleichzeitig lahmlegen.
Genau das macht die Absicherung anspruchsvoll. Rückwirkungsschäden sollten aus Sicht der Rückversicherer nicht standardmäßig gedeckt werden, sondern nur unter bestimmten Voraussetzungen – entscheidend ist, dass die Risikosituation der Zulieferer transparent ist und sich das Eintrittsrisiko einschätzen lässt.
Konkret bedeutet das: Wer eine belastbare Deckung will, muss seine Cloud-Abhängigkeiten offenlegen können. Wer sie nicht kennt, bekommt sie auch nicht versichert.
Parametrische Cloud-Ausfallversicherung: Wie sie funktioniert
Für Unternehmen, deren Geschäft unmittelbar von der Verfügbarkeit externer Dienste abhängt, hat sich ein eigener Lösungsansatz entwickelt: die parametrische Cloud-Ausfallversicherung.
Sie funktioniert grundlegend anders als die klassische Police:
• Auszahlung bei vordefiniertem Auslöser
• Kein Schadennachweis erforderlich
• Deutlich kürzere Wartezeit
• Auch menschliche Fehler abgedeckt
Ausgeschlossen bleiben in der Regel Dienstleistungsverschlechterungen, geplante Wartungsarbeiten sowie behördliche Maßnahmen und Krieg.
Das bedeutet: Für E-Commerce, Zahlungsplattformen, SaaS-Anbieter und Unternehmen mit eigenen SLA-Verpflichtungen gegenüber ihren Kunden kann dieser Ansatz die entscheidende Ergänzung sein.
Warum die Angaben im Antrag über den Schutz entscheiden
Ob eine Cyberpolice im Ernstfall trägt, entscheidet sich regelmäßig bei Vertragsabschluss. Das Landgericht Kiel (Az. 5 O 128/21) erklärte eine Cyberversicherung für nichtig, weil Risikofragen falsch beantwortet worden waren – rund 500.000 Euro Schaden blieben beim Unternehmen. Das Urteil wurde inzwischen vom OLG bestätigt.
Übertragen auf die Cloud heißt das: Wer eingesetzte Dienstleister unvollständig angibt, riskiert den Schutz für genau die Systeme, von denen der Betrieb abhängt.
Cloud-Ausfall absichern: Fünf Fragen zur eigenen Police
Für eine belastbare Einschätzung der eigenen Lage genügen wenige Punkte:
• Welche Cloud-Dienste sind geschäftskritisch?
• Ist die abhängige Betriebsunterbrechung eingeschlossen?
• Gilt sie auch bei technischem Versagen?
• Sind die Anbieter namentlich genannt?
• Wie lang ist die vereinbarte Wartezeit?
Hinzu kommt eine regulatorische Dimension: Seit Inkrafttreten des NIS2-Umsetzungsgesetzes gehört die Lieferkettensicherheit zu den ausdrücklichen Pflichten vieler Unternehmen. Die eingesetzten Cloud-Dienstleister sind Teil dieser Lieferkette – mehr dazu in unserem Beitrag NIS2 ist da – und plötzlich haftet der Geschäftsführer mit dem Privatvermögen.
Fazit: Die Abhängigkeit ist gewollt – die Deckungslücke nicht
Cloud-Nutzung ist keine Schwäche, sondern betriebswirtschaftlich sinnvoll. Skalierbarkeit, Verfügbarkeit und Wartungsaufwand sprechen klar dafür.
Problematisch wird es erst, wenn die Absicherung dieser Abhängigkeit nicht mitwächst. Zwischen dem Service Level Agreement des Anbieters und der eigenen Cyberpolice klafft bei vielen Unternehmen eine Lücke, die im Ernstfall exakt dort aufgeht, wo es am teuersten ist: beim Ertragsausfall.
Wer heute prüft, welche Dienste geschäftskritisch sind und wie der eigene Vertrag damit umgeht, verhandelt aus einer Position der Ruhe. Wer erst während des Ausfalls in die Bedingungen schaut, hat diese Möglichkeit nicht mehr.
👉 Sprechen Sie mit uns – wir analysieren Ihre Cloud-Abhängigkeiten, prüfen Ihre bestehende Cyberpolice auf abhängige Betriebsunterbrechung und schließen die Lücke zwischen Anbieterzusage und tatsächlichem Versicherungsschutz. Persönlich, unabhängig und vorausschauend.
