Versicherungen für IT-, Software- und ERP-Anbieter. Damit ein Projekt, das schiefgeht, nicht dein Unternehmen kostet.

Der Kunde wird zuerst bei dir anklopfen. Produktionsausfall, Mehrkosten und Umsatzverlust nach einem fehlerhaften Go-live sind reine Vermögensschäden, und genau dafür ist die IT-Haftpflicht (Vermögensschadenhaftpflicht) da: Sie prüft, ob die Forderung berechtigt ist, wehrt unberechtigte Ansprüche ab und zahlt berechtigte bis zur Deckungssumme. Wichtig: Der Schaden muss aus einem Fehler in deiner Leistung entstanden sein. Ein Stillstand, den der Kunde durch fehlende Mitwirkung selbst verursacht hat, ist eine Vertragsfrage, keine Versicherungsfrage. Deshalb zählen Pflichtenheft, Abnahmen je Meilenstein und dokumentierte Change Requests im Ernstfall genauso wie die Police.

Das sind zwei verschiedene Risiken. Ein Lizenzverstoß, etwa eine Copyleft-Lizenz in einem kommerziellen Produkt, ist eine Rechtsverletzung; ob deine IT-Haftpflicht Ansprüche wegen Verletzung von Urheber- oder Lizenzrechten mitversichert, hängt vom Tarif ab und ist ein Prüfpunkt. Eine Sicherheitslücke in einer eingebauten Komponente kann dagegen zum Produkthaftungsthema werden, wenn dadurch eine natürliche Person zu Schaden kommt, etwa durch eine Verletzung, eine beschädigte Sache, die nicht ausschließlich beruflich genutzt wird, oder zerstörte Daten, die nicht beruflich genutzt werden. Reine Vermögensschäden deiner Firmenkunden fallen nicht darunter. Für Produkte, die ab dem 9. Dezember 2026 in Verkehr kommen, gilt Software im neuen Produkthaftungsgesetz als Produkt, und wer Open-Source-Software im Rahmen einer Geschäftstätigkeit in sein Produkt integriert, haftet für deren Fehler wie für eigenen Code, soweit das Gesetz Ersatz vorsieht. Nicht erfasst ist freie und quelloffene Software, die außerhalb einer Geschäftstätigkeit entwickelt oder bereitgestellt wird. Als geschäftlich gilt Software nach Erwägungsgrund 14 der Richtlinie, wenn sie gegen einen Preis oder gegen personenbezogene Daten angeboten wird. Datenlecks sind nach den Erwägungsgründen der Richtlinie von der Vernichtung oder Beschädigung von Daten zu unterscheiden.

Für die IT-Haftpflicht, wenn der Datenverlust durch einen Fehler in deiner Leistung entstanden ist: Sie übernimmt in der Regel die Kosten der Datenwiederherstellung beim Kunden und dessen Vermögensschaden. Die Cyber-Versicherung greift, wenn der Datenverlust Folge eines Angriffs ist, bei dir oder über deine Systeme beim Kunden. In der Praxis überschneiden sich beide Fälle. Deshalb sollten die Policen aufeinander abgestimmt sein, damit im Ernstfall nicht jeder Versicherer auf den anderen zeigt, während dein Kunde auf die Wiederherstellung wartet.

Meist nur eingeschränkt. Reine Vertragsstrafen, die du freiwillig im Vertrag zugesagt hast, sind in der Haftpflicht in der Regel ausgeschlossen, weil sie keinen tatsächlichen Schaden voraussetzen. Versichert ist der tatsächliche Schaden, den der Kunde durch deinen Fehler erleidet. Einige IT-Tarife bieten Erweiterungen für bestimmte vertragliche Haftungserweiterungen an. Prüfe das vor der Unterschrift unter den Rahmenvertrag, nicht danach, und verhandle Haftungsobergrenzen, die zu deiner Deckungssumme passen.

Für die IT-Haftpflicht zählt in erster Linie, wo deine Kunden sitzen und welches Recht gilt, nicht, wo dein Team programmiert. Prüfpunkte sind der räumliche Geltungsbereich (weltweit oder nur Europa) und ob Kunden in den USA oder Kanada ausgeschlossen sind. Für Firmen-Laptops und mobile Geräte im Home-Office oder auf Reisen ist die Elektronikversicherung zuständig, für einen Angriff über den Heimarbeitsplatz die Cyber-Versicherung. Sozialversicherungs- und Steuerfragen bei Mitarbeitern im Ausland sind ein eigenes Thema für deinen Steuerberater.

Es gibt keine pauschale Zahl. Die Deckungssumme richtet sich nach dem größten realistischen Schaden bei deinem größten Kunden (ein Stillstand in einem Konzern kostet mehr als ein Ausfall bei einer kleinen Agentur) und nach dem, was deine Rahmenverträge als Mindestdeckung vorschreiben. Rechne rückwärts: Welche Projekte laufen, welche Summen stehen in den Verträgen, welche Branchen bedienst du, etwa Medizin, Industrie oder Finanzen? Daraus ergibt sich die Summe, nicht aus dem günstigsten Tarif.

Die klassische Betriebsunterbrechungsversicherung ersetzt deinen eigenen entgangenen Gewinn und die laufenden Fixkosten, wenn dein Betrieb nach einem Sachschaden wie Feuer, Wasser oder Einbruch stillsteht. Fällt deine Plattform durch einen Cyber-Angriff aus, kann die Cyber-Versicherung über einen Baustein für Betriebsunterbrechung leisten, sofern dein Tarif ihn enthält. Prüfe versicherte Ausfallursachen, Wartezeit und Haftzeit. Und die Ansprüche deiner Kunden wegen des Ausfalls landen bei der IT-Haftpflicht. Bei SaaS-Anbietern hängen die drei also direkt zusammen, ein Grund, sie nicht bei drei verschiedenen Anbietern unabgestimmt zu kaufen.

Weil die IT-Haftpflicht Ansprüche Dritter gegen dein Unternehmen deckt, die D&O-Versicherung dagegen Ansprüche gegen dich persönlich als Geschäftsführung: von Gesellschaftern, Investoren, einem Insolvenzverwalter oder der eigenen Gesellschaft, etwa wegen Organisationsverschulden nach einem Cyber-Vorfall. Fällt dein Unternehmen unter die NIS-2-Regeln, müssen die Geschäftsleitungen die Risikomanagementmaßnahmen umsetzen und ihre Umsetzung überwachen (§ 38 BSIG, seit 6. Dezember 2025 in Kraft). Verletzen sie diese Pflichten, haften sie der Einrichtung für einen schuldhaft verursachten Schaden. Die Einhaltung der Maßnahmen muss das Unternehmen dokumentieren (§ 30 BSIG). Investoren wollen deshalb wissen, dass dein Privatvermögen und ihre Beteiligung getrennt geschützt sind.