Am Montag verlangt der Rechner ein Lösegeld. Und die Buchungen dieser Woche?
Ein Cyberangriff in einem kleinen Betrieb hat nichts von einem Film. Es ist der Rechner an der Rezeption, der nicht mehr aufgeht, das Buchungsprogramm, das steht, und eine Woche Umsatz in der Luft. Allianz Cyber Plus zahlt die IT-Hilfe, die Rettung der Daten und den Verdienstausfall, solange der Betrieb still steht – und tritt für Forderungen Dritter ein. Wir sitzen in Adeje und gehen hier ans Telefon.
- Unbegrenzte IT-Hilfe aus der Ferne und IT-Gutachter
- Datenrettung, Wiederherstellung der Sicherungskopien und Anti-Erpressungsprogramm
- Verdienstausfall bei Betriebsunterbrechung und Haftpflicht gegenüber Dritten
Für wen das ist
Vier Situationen. Erkennst Du Dich in einer wieder, lohnen sich zehn Minuten.
- Du hast ein Buchungssystem, einen Webshop oder ein Kartenterminal – fällt das System aus, steht der Betrieb
- Du speicherst Kundendaten: Namen, DNI oder Pass, Telefonnummern, Zahlungsdaten, Karteien
- Ihr arbeitet von mehreren Orten aus, mit Laptops und Handys, die auch privat genutzt werden
- Du bist selbständig, und der Rechner ist nicht ein Werkzeug der Firma, sondern die Firma
Hier hängt fast jeder kleine Betrieb an einem einzigen System. Das Buchungsprogramm der Apartments, das Kartenterminal im Restaurant, der Terminkalender im Friseursalon, die Software einer Gestoría, die Tabelle mit den Kunden aus zwanzig Jahren. Blockiert das an einem Samstag im August, ist nicht der Rechner das Problem, sondern das ganze Wochenende und die Leute, die vor der Tür stehen. Und die Firma, die es Dir richtet, sitzt meistens auf dem Festland, manchmal in einer anderen Sprache und fast immer mit Warteschlange.
Was gedeckt ist
Das Produkt heisst Allianz Cyber Plus. Das sind die Deckungen und Leistungen, die die Allianz auf ihrer eigenen Webseite und in ihrer Pressemitteilung nennt – wir schreiben hier nichts hin, was wir nicht zeigen können.
- Verdienstausfall durch Betriebsunterbrechung – das Geld, das nicht hereinkommt, solange nichts läuft
- Forderungen wegen einer Datenschutzverletzung – die Haftpflicht gegenüber den betroffenen Dritten
- Bussgelder im Datenschutz (sanciones sobre protección de datos)
- Schäden aus Handlungen in den Medien
- Wiederherstellung von Konten und Daten und Rückspielen der Sicherungskopien
Dazu diese Leistungen, die bei einem Angriff vor jeder Deckung gebraucht werden:
- IT-Hilfe am Telefon und aus der Ferne, ohne Begrenzung der Fälle
- Sicherungskopien in der Cloud der IT-Systeme, unbegrenzt
- Anti-Erpressungsprogramm – gegen die Schadsoftware, die Dateien verschlüsselt und Lösegeld verlangt
- IT-Gutachter und ein forensisches Gutachten nach dem Schaden
- Rechtliche Beratung, Anpassung an die Vorschriften und Datenschutz-Anpassung
Das forensische Gutachten sieht nach einer Nebensache aus und ist das Gegenteil. Es ist das Papier, das erklärt, was passiert ist und wann: das, was die Datenschutzbehörde AEPD sehen will, wenn eine Datenschutzverletzung gemeldet werden muss, das, was ein Kunde verlangt, der Forderungen stellt, und das, was die Bank verlangt. Ohne dieses Papier ist ein Angriff eine Geschichte aus dem Gedächtnis.
Die Summen je Deckung, die Selbstbehalte und die Fristen sind die der Police und der nota informativa. Wir zeigen sie Dir vor der Unterschrift, auf Papier und mit der gewählten Variante.
Die vier Varianten, und für wen das Produkt gemacht ist
Die Allianz hat es selbst veröffentlicht, mit Namen und Zahl: vier Varianten mit denselben Deckungen und Leistungen, die sich nur in den Höchstsummen der Haftpflicht unterscheiden – je Schadenfall und je Jahr.
- Básico, Óptimo, Extra und Ampliado, mit Summen von 150.000 € bis 600.000 €.
- Gemacht ist es für Selbständige und kleine bis mittlere Firmen mit einem Umsatz bis 25 Millionen Euro und bis zu 150 Geräten im Einsatz – neben weiteren Kriterien.
Die Umsatzgrenze reicht für fast alles, was es im Süden Teneriffas gibt. Die Zahl, die man wirklich nachrechnen muss, ist die der Geräte: Rechner, Laptops, Diensthandys, das Kartenterminal, die Tablets für die Tische, die Kameras. Es kommt meistens mehr heraus, als man aus dem Kopf sagt.
Quelle: Pressemitteilung der Allianz Seguros vom 2. Juli 2024 zu Allianz Cyber Plus. Welche Aufnahmekriterien und Summen heute gelten, bestätigen wir Dir beim Angebot.
Die 72 Stunden der DSGVO, die von keiner Versicherung abhängen
Das ist der Teil, den fast niemand kennt, und der Geld kostet, auch wenn der Angriff klein war. Kommen die personenbezogenen Daten, die Du speicherst, in falsche Hände, läuft ab dem Moment eine Uhr.
- Artikel 33 der DSGVO (Verordnung EU 2016/679): eine Verletzung des Schutzes personenbezogener Daten ist der spanischen Datenschutzbehörde AEPD unverzüglich zu melden, spätestens aber binnen 72 Stunden nach dem Bekanntwerden – es sei denn, ein Risiko für die Betroffenen ist unwahrscheinlich.
- Artikel 34: besteht ein hohes Risiko für die Personen, müssen zusätzlich die Betroffenen selbst benachrichtigt werden.
- Artikel 83: die Bussgelder gehen bis 20 Millionen Euro oder 4 % des weltweiten Jahresumsatzes, je nachdem, was höher ist. Das ist die Obergrenze der Verordnung und keine Vorhersage für Dich: die Höhe setzt die AEPD nach der Schwere fest, danach, was Du zur Vermeidung getan hast, und danach, was Du danach getan hast.
Diese 72 Stunden sind der Grund, warum die Police auch in einem Betrieb mit zehn Leuten Sinn hat. Es ist nicht die Entschädigung, es ist jemand, den Du am ersten Tag anrufen kannst – mit einem Gutachter und einem Anwalt, der weiss, was gemeldet wird und was nicht.
Die Deckung Bussgelder im Datenschutz gibt es. Wie weit sie reicht – und welche Bussgelder nach dem Gesetz überhaupt versicherbar sind –, steht in der Police. Das lesen wir mit Dir vor der Unterschrift und nicht am Tag des Briefes. Wir versprechen hier nichts, was wir Dir nicht schriftlich zeigen können.
Und eine Sache, an der wir nichts verdienen und die Du Dir trotzdem aufschreibst: in Spanien gibt es eine kostenlose Hotline für Cybersicherheit, die 017 des INCIBE, auch für Firmen und Selbständige, 365 Tage im Jahr von 8:00 bis 23:00 Uhr. Am Tag des Angriffs ruf dort an – und ruf uns an. Die ersten Stunden entscheiden.
Was das hier nicht ist
Wir sagen es lieber jetzt als hinterher.
- Es ist kein IT-Wartungsvertrag. Die Police ersetzt nicht den, der Dir die Rechner betreut, und nimmt ihm auch nichts weg: bei einem Angriff arbeiten beide.
- Sie ersetzt keine Sicherungskopien, kein Virenprogramm und keine zweite Anmeldestufe. Eine Versicherung zahlt den Schaden; sie verhindert den Angriff nicht. Wer keine Kopien hat, bekommt von keiner Police die Daten von 2014 zurück.
- Es ist nicht die allgemeine Betriebshaftpflicht. Ein Kunde, der in Deinem Laden ausrutscht, läuft über die Gewerbepolice, nicht über diese.
- Sie deckt nicht, was schon passiert ist. Ein Angriff, der vor der Unterschrift begonnen hat, ist nicht dabei – und das ist kein Kleingedrucktes der Allianz: Artikel 4 der Ley 50/1980 über den Versicherungsvertrag erklärt den Vertrag für nichtig, wenn der Schaden bei der Unterschrift bereits eingetreten war.
- Es ist keine Beratung in Cybersicherheit. Wer Dir die Firewall einrichtet, die Netze trennt und die Sicherungen einstellt, ist ein Informatiker. Wir machen Versicherungen – und wir sagen es, damit Dir nicht das eine fehlt, weil Du glaubst, Du hättest es mit dem anderen.
- Der allgemeine Rechtsschutz läuft über einen anderen Weg. Frag uns, wir sagen Dir welchen, unverbindlich.
Ist es Pflicht?
Nein. Keine Vorschrift verlangt von einer Firma eine Cyberpolice. Pflicht ist etwas anderes, und das sollte man nicht verwechseln.
- Die DSGVO und das spanische Datenschutzgesetz Ley Orgánica 3/2018 (LOPDGDD) einhalten: angemessene Sicherheitsmassnahmen, das Verzeichnis der Verarbeitungstätigkeiten und die Meldung von Datenschutzverletzungen. Das verlangt das Gesetz, ob Du eine Police hast oder nicht.
- Manchmal verlangt sie ein grosser Kunde, eine Hotelkette oder ein Vertrag mit einer Behörde. Dann ist sie für Dich Pflicht aus dem Vertrag, nicht aus dem Gesetz. Wird sie von Dir verlangt, sag es uns: dann zählt die verlangte Summe, nicht nur die Police an sich.
Und der Grund, der von keiner Vorschrift abhängt: ein kleiner Betrieb verkraftet es, einen Rechner zu verlieren. Was er nicht verkraftet, ist, in der Saison zehn Tage Umsatz und gleichzeitig die Kundenliste zu verlieren.
Wie es läuft
- Du rufst an, schreibst per WhatsApp oder kommst ins Büro. Sag uns, welche Programme Ihr benutzt, wie viele Geräte es sind, ob Du Sicherungskopien hast und wo sie liegen, den ungefähren Umsatz und ob Du Zahlungsdaten von Kunden speicherst.
- Wir rechnen den Preis und geben Dir das Angebot schriftlich, mit Datum, mit der Variante und der Summe darin. Das kostet nichts und verpflichtet zu nichts.
- Sagst Du ja, wird unterschrieben, und Du hast zwei Nummern: die der IT-Hilfe und unsere. Am Tag des Angriffs ruf auch uns an.
Schreib die beiden Nummern ausserhalb des Rechners auf. Bei einer Verschlüsselung ist genau die Datei, in der die Telefonnummern stehen, die, die sich nicht mehr öffnet.
Warum bei uns
- Büro in San Eugenio Alto, Adeje. Montag bis Donnerstag, 10 bis 17 Uhr. Eine Adresse auf der Strasse, kein Formular.
- Wir arbeiten auf Spanisch, Deutsch und Englisch. Bei einem Angriff muss man schnell erklären, was passiert ist – in Deiner Sprache spart das Stunden.
- Wir sind Exklusiv-Agentur der Allianz. Den Schaden wickelst Du mit uns ab, nicht mit einer weit entfernten Nummer und nicht mit einem Postfach.
- 4,8 von 5 Sternen bei Google, aus 52 Kundenbewertungen (September 2026). Bewertungen ansehen (öffnet in einem neuen Fenster)
Häufige Fragen
Wir sind vier Leute und ein Friseursalon. Ist das nicht für grosse Firmen?
Im Gegenteil: das Produkt ist für Selbständige und kleine Firmen gemacht. Eine grosse Firma hat einen Informatiker angestellt; Du hast eine Handynummer von einem Bekannten. Der Unterschied zwischen beiden ist nicht der Angriff, sondern die erste Stunde danach.
Meine Sicherungskopien liegen auf einer Festplatte hinter der Theke.
Das ist besser als nichts und schlechter, als es aussieht. Ein Erpressungsprogramm verschlüsselt, was es angeschlossen findet, und eine Platte, die immer steckt, ist angeschlossen. Genau deshalb sind Sicherungskopien in der Cloud in der Police: das ist kein schöner Zusatz, das ist die Kopie, an die der Angriff nicht herankommt.
Und wenn der Angriff über das Handy eines Mitarbeiters kommt?
Das ist der häufigste Weg – und auch der, der vor der Unterschrift geklärt werden muss. Welche Geräte und welche Nutzung drin sind, steht in der Police. Sag uns, wie Ihr wirklich arbeitet: private Handys, WLAN, das die Gäste mitbenutzen, ein Laptop, den jemand nach Hause nimmt. Dann steht es vom ersten Tag an drin. Was vorher nicht gesagt wird, wird hinterher diskutiert.
Man hat mir in einer Rechnung per E-Mail die Kontonummer geändert, und ich habe bezahlt. Ist das drin?
Das ist der Betrug, den wir am häufigsten sehen, und wir versprechen Dir das nicht von einer Webseite herunter. Ob er drin ist, mit welcher Deckung und mit welcher Summe, hängt von der Police ab, die Du unterschreibst. Frag uns vor dem Abschluss, dann bekommst Du es schriftlich. Bis dahin hilft die Massnahme, die nichts kostet: wenn ein Lieferant per Mail die Kontonummer ändert, ruf ihn unter der alten Nummer an, bevor Du überweist.
Was mache ich in den ersten Stunden eines Angriffs?
Nimm das Gerät vom Netz und vom WLAN. Formatiere und installiere nichts neu: die IT-Gutachter brauchen das Gerät eventuell so, wie es ist, und ohne das gibt es kein forensisches Gutachten. Zahl kein Lösegeld, ohne mit jemandem gesprochen zu haben. Ruf uns an, und ruf die 017 an. Und schreib auf, wann Du was gemerkt hast: dieser Zettel ist Gold wert, wenn an die AEPD gemeldet werden muss.
Brauche ich einen Datenschutzbeauftragten?
Ziemlich sicher nicht. Die DSGVO verlangt ihn nur in bestimmten Fällen (Artikel 37), und die LOPDGDD erweitert die Liste der Verpflichteten (Artikel 34): Behörden, Verarbeitung in grossem Umfang, besonders sensible Daten. Ein Restaurant oder ein Friseursalon steht da normalerweise nicht. Wer das mit Sicherheit sagt, ist Dein Gestor oder ein Fachmann für Datenschutz, nicht wir: wir machen Versicherungen.
Ich habe schon eine Gewerbeversicherung. Ist das nicht dabei?
Bring uns die Police, die Du hast. Wir lesen sie und sagen Dir schriftlich, was gedeckt ist, was nicht und mit welchen Summen. Wir sind Exklusiv-Agentur der Allianz: anbieten können wir Dir eine Allianz-Police, keinen Marktvergleich. Bist Du mit dem, was Du hast, schon abgesichert, sagen wir Dir auch das – und an dem Tag verkaufen wir nichts.
Unverbindliche Information. Massgeblich sind Deckungen, Summen, Selbstbehalte und Ausschlüsse der Allianz-Police und der nota informativa. Wir nennen die Vorschriften beim Namen, damit Du sie nachprüfen kannst; es ist keine Rechtsberatung und keine Datenschutzberatung.