Das IT-Grundschutz-Profil für Versicherungsunternehmen aus einer Masterarbeit

Die Arbeit richtet sich an Verantwortliche für Informationssicherheit in Versicherungsunternehmen der Privatwirtschaft, abgekürzt VdP (Kap. 1.2). Gemeint sind Unternehmen, die Lebensversicherung, Kompositversicherung oder private Krankenversicherung anbieten; die Sparten sind mit Begriffen der BSI-Kritisverordnung benannt (Kap. 2.1). Für die gesetzliche Kranken- und Pflegeversicherung und die Träger der gesetzlichen Renten-, Unfall- und Arbeitslosenversicherung wurde die Anwendbarkeit ausdrücklich nicht geprüft, weil für sie andere Rechtsrahmen gelten.

Der Zuschnitt ist bewusst eng. Betrachtet werden nur die Prozesse, die einen Leistungsfall oder Schaden bearbeiten, „da in diesen finanziellen Transaktionen erfolgen“ (Kap. 2.3). Prozesse für Verkauf und Kundenservice berücksichtigt die Arbeit ausdrücklich nicht. Antrag, Bestandsführung, Inkasso und Vermittlerbetreuung kommen im Dokument nicht vor. Das Vertragsverwaltungssystem erscheint nur dort, wo der Leistungsfall es braucht: bei der Vertragsprüfung und bei der Information des Kunden.

Die Referenzarchitektur (Kap. 4) ordnet acht Prozessschritte den drei Systemen zu, die die Kritisverordnung für Versicherungsdienstleistungen nennt. Zum Leistungs- oder Schadensystem gehören Aufnahme des Leistungsfalls (P1), Prüfung des Leistungsfalls (P3), Regulierungsentscheidung (P4), Veranlassen der Auszahlung (P5) und Leistungsabrechnung (P7); zum Vertragsverwaltungssystem Vertragsprüfung (P2) und Kundeninformation (P8); zum Auszahlungssystem die Auszahlung selbst (P6). Darauf bauen sechs Anwendungen auf: ein Verwaltungssystem, das Vertrags-, Schaden- und Leistungssystem vereint (Beispiel Guidewire), ein Auszahlungssystem auf ERP-Basis (Beispiel SAP), Webanwendungen etwa für Wetterdatenabfragen bei der Schadenprüfung, Office-Anwendungen und E-Mail als Cloud-Lösung (Beispiel Microsoft Office 365), ein Kommunikationssystem (Beispiel Microsoft Teams) und Active Directory.

Bei den IT-Systemen fallen zwei Dinge auf: Großrechner („Mainframes“), auf denen viele Versicherer laut Arbeit noch Kernanwendungen betreiben, und mobile Endgeräte mit Mobile Device Management, die vor allem Dritte wie Gutachter bei der Leistungsfallprüfung nutzen (Tab. A-6). Dazu kommen sieben Netze von Client-, Server- und Management-Netz über ISP-Netz und DMZ bis zu Telefon- und Druckernetz, Router, Switches und Firewalls, Verkabelung, eine MPLS-Standleitung und WLAN, vier Raumarten einschließlich des mobilen Arbeitsplatzes und ein Gebäude. Insgesamt sind es 32 Zielobjekte (Anhang, Tab. A-130).

Ausgeklammert sind die Gebäude, in denen mobil gearbeitet wird, weil sie zu vielfältig sind (Kap. 3.2), und IoT-Geräte wie digitale Assistenten, die manche Versicherer bereits nutzen; die Arbeit empfiehlt, sie trotzdem zu berücksichtigen (Kap. 3.1). Der Netzplan zeigt eine generische Topologie; der Großrechner kann in der Praxis in einem eigenen Netz stehen (Kap. 4.3.4). Weicht der eigene Verbund ab, sind fehlende oder zusätzliche Objekte zu dokumentieren und passenden Bausteinen zuzuordnen (Kap. 4.6). Die Prüfliste weiter unten setzt dort an.

Authentizität als viertes Schutzziel: Neben Vertraulichkeit, Integrität und Verfügbarkeit bewertet die Arbeit durchgehend die Authentizität und begründet das mit den damaligen Anforderungen der VAIT und des BSI-Gesetzes (Kap. 2.2 und Abschnitt „3. Anwendungshinweise“). Konkret geht es um die Echtheit des Leistungsempfängers bei der Auszahlung (P5, P6) und um beteiligte Personen und Versicherungsnehmer bei allen anderen Schritten (Tab. A-20).

Schutzbedarf mit Versicherungsbezug: Die Kategorien sind auf Versicherer und Versicherungsnehmer übertragen (Tab. A-12 bis A-16). Gesundheitsdaten nach Art. 9 DSGVO führen zu hohem Schutzbedarf, Bankdaten der Auszahlung ebenso. Bei der Verfügbarkeit unterscheidet die Arbeit: Veranlassen und Ausführen der Auszahlung sind hoch, mit einer tolerierbaren Ausfallzeit zwischen einer und 24 Stunden; alle anderen Schritte sind normal, mit 24 bis 72 Stunden (Tab. A-19). Die Vertraulichkeit ist für alle acht Schritte hoch: bei P5 und P6 wegen der Bankdaten, bei allen anderen, weil medizinische Angaben enthalten sein können (Tab. A-17). Am Ende haben alle 32 Zielobjekte hohen Schutzbedarf, keines sehr hohen (Tab. A-130).

Gutachter und andere Dritte: Zu 26 Bausteinen ergänzt die Arbeit in den Anforderungstabellen den Hinweis, dass „ebenfalls externe Mitarbeiter und Dritte (wie zum Beispiel Gutachter)“ zu berücksichtigen sind (27 Tabellen, weil DER.3.1 zweimal steht), etwa bei Sensibilisierung, Berechtigungen, Datensicherung, Löschen, VPN und mobilem Arbeiten (Tab. A-60 bis A-128). Outsourcing ist relevant, sobald IT-Administration oder Leistungsfallprüfung ausgelagert werden (Tab. A-81).

Cloud statt Bürosoftware-Bausteine: Weil Office 365 in den meisten Häusern als Cloud-Lösung genutzt werde, schließt die Arbeit die Bausteine für Office-Produkte und E-Mail-Server und -Clients aus und ordnet stattdessen Cloud-Nutzung den Anwendungen A2 bis A4 zu (Tab. A-55, A-82). Ergänzend nennt sie den Anforderungskatalog C5 des BSI und weitere Cloud-Leitfäden (Abschnitt „4. Unterstützende Informationen“).

Bausteinauswahl und eine zusätzliche Anforderung: Geprüft werden 97 Bausteine der Edition 2021, 69 gelten als relevant, 28 sind begründet ausgeschlossen, darunter Industrielle IT, Android, macOS, Wechseldatenträger und die IS-Revision nach Leitfaden. Für die Firewall empfiehlt die Arbeit zusätzlich NET.3.2.A27, damit Angreifer „nicht dieselbe Sicherheitslücke mehr als einmal ausnutzen können“ (Tab. A-118). Für die Umsetzung gilt die Reihenfolge R1, R2, R3 (Abschnitt „3. Anwendungshinweise“).

Exemplarische Risikoanalyse: Weil alle Zielobjekte hohen Schutzbedarf haben, wäre für jedes eine Risikoanalyse nach BSI-Standard 200-3 nötig. Die Arbeit führt sie nur für das Auszahlungssystem durch und überlässt die übrigen 31 Zielobjekte den Anwendern. Von 47 elementaren Gefährdungen gelten 25 als relevant; Gefährdungen, die nur die Hardware betreffen, etwa Feuer oder Stromausfall, werden beim Auszahlungssystem als Software als nicht relevant bewertet (Anhang 1.1). Sie fallen bei Server, Großrechner und Rechenzentrum wieder an. Ohne zusätzliche Maßnahmen sind Verstoß gegen Gesetze, Missbrauch personenbezogener Daten und Schadprogramme „sehr hoch“; mit den genannten Maßnahmen, etwa Verschlüsselung, Mehr-Faktor-Authentisierung, Least Privilege und Redundanz, sinken alle Risiken auf „gering“ (Tab. A-181, A-182). Die Arbeit betont selbst, dass diese Bewertung theoretisch ist und vom tatsächlichen Stand des Unternehmens ausgehen muss (Abschnitt 2.1.4 der Restrisikobetrachtung).

An neun Stellen passen Gliederung, Text und Tabellen der Arbeit nicht zusammen; prüfen Sie sie, bevor Sie Tabellen übernehmen: Die Gliederung zählt Kapitel 4.1 doppelt, und nach 5.2 springt die Nummerierung auf „1.1. Relevanz der Anforderungen“ und „2. Restrisikobetrachtung“, während der Text diese Teile als Kapitel 5.3 und 6 zitiert. Kapitel 4.1 spricht einmal von P1 bis P7, die Tabellen führen P1 bis P8. Kapitel 5.2 nennt den Baustein „SYS.1.2 Windows Server 2012“, die Anforderungstabelle SYS.1.2.2. In Tab. A-26 fehlt der Großrechner S8. Das Druckernetz hat in Tab. A-31 normale, in Tab. A-130 hohe Verfügbarkeit. Abschnitt 2.1.4 der Restrisikobetrachtung zählt 13 mittlere, elf hohe und drei sehr hohe Risiken, also 27, die Bewertungstabelle A-181 enthält 25 Gefährdungen mit 12, 10 und 3. Tab. A-128 ist mit INF.8 überschrieben, enthält aber INF.9; DER.3.1 steht zweimal (Tab. A-87, A-88).

Die elf Fragen gehen die Stellen durch, an denen ein Versicherer vom Muster der Arbeit abweichen kann: Geltungsbereich, Konzern-IT, Bürosoftware aus der Cloud, Gutachter, Großrechner und Eingangskanäle. Jedes Ja ergibt einen Prozess, ein Objekt oder eine Schnittstelle, die Sie nach Kap. 4.6 der Arbeit dokumentieren. In der rechten Spalte steht, was daraus für das Anforderungspaket des Versicherers folgt: ein weiterer Geschäftsprozess (BSI-Standard 300-1 Kap. 2.5), ein Asset mit Zielobjektkategorie (Anhang 1), eine Schnittstelle, die Kap. 3.1 „organisatorisch, technisch sowie infrastrukturell“ dokumentiert sehen will, oder eine ergänzende Anforderung (Kap. 3.4.3).

Für einen Versicherer ändern sich beim Übertrag drei Dinge: Die acht Prozessschritte landen alle in der Kategorie hoch, aus der Vererbung des Schutzbedarfs auf 32 Zielobjekte wird eine Zuordnung von Assets, und von den gültigen Anforderungen der 69 Bausteine hat nur gut jede vierte einen Eintrag im Mapping-Entwurf. Eine Grundschutz++-Fassung der Arbeit, die auf BSI-Standard 200-2 und dem Kompendium 2021 beruht, haben wir am 02.11.2026 nicht gefunden.

Erstens der Schutzbedarf. Grundschutz++ stellt ihn für Geschäftsprozesse fest, für die Grundwerte Vertraulichkeit, Integrität und Verfügbarkeit, und kennt zwei Kategorien (300-1 Kap. 2.6). Die Kategorie hoch beschreibt 300-1 mit „die Auswirkungen können beträchtlich sein“, fast wortgleich mit der Beschreibung, die die Arbeit für ihr „hoch“ verwendet (Tab. A-12). Da jeder der acht Prozessschritte mindestens in einem Grundwert hoch ist, landen alle in der Kategorie hoch, und für Geschäftsprozesse mit hohem Schutzbedarf ist eine Risikobetrachtung erforderlich (Kap. 2.6, 2.11). Der Zuschnitt der Arbeit passt zu einer Empfehlung des Standards: „Der GS++ empfiehlt, bei erstmaliger Implementierung eines ISMS mit dem wichtigsten Geschäftsprozess aus der höchsten Schutzbedarfskategorie zu beginnen“ (Kap. 2.6). Die Authentizität ist kein Grundwert dieser Feststellung; wie Sie sie weiterführen, steht in Frage 8 der Prüfliste.

Zweitens die Vererbung. Die Tabellen A-21 bis A-49 vererben den Schutzbedarf von Prozessen auf Anwendungen, Systeme, Netze, Räume und Gebäude. In Grundschutz++ ordnen Sie stattdessen Assets den Prozessen und Zielobjektkategorien zu; der Schutzbedarf des Prozesses bestimmt, welches Sicherheitsniveau Sie für die Anforderungen wählen (300-1 Kap. 3.4.2). Die 32 Zielobjekte der Arbeit können Sie als Startliste der Assets verwenden.

Drittens die Bausteine. Für die 69 Bausteine, die die Arbeit als relevant markiert, haben wir den Mapping-Entwurf IT-Grundschutz 2023 → Grundschutz++ ausgezählt. Vorher mussten wir die Kennungen auf die Edition 2023 bringen: OPS.2.1 „Outsourcing für Kunden“ gibt es 2023 nicht mehr, wir zählen dafür OPS.2.3 „Nutzung von Outsourcing“ (unser Vorschlag); statt „SYS.1.2“ zählen wir SYS.1.2.2 „Windows Server 2012“, wie es die Anforderungstabelle der Arbeit nennt; SYS.2.2.3 heißt 2023 „Clients unter Windows“. Gezählt haben wir in der Mapping-Datei mit Status „draft“ vom 21.07.2026 und die Ziele im Anwenderkatalog Build 2026-10-29 nachgeschlagen. Das Ergebnis ist ein Entwurf und keine amtliche Zuordnung.

Die Arbeit stützt sich an mehreren Stellen auf die Versicherungsaufsichtlichen Anforderungen an die IT (VAIT), das Rundschreiben 10/2018 der BaFin; mit ihnen begründet sie unter anderem die Authentizität als Schutzziel. Diese Bezüge sind historisch. Die BaFin hat die VAIT nach ihrer Meldung vom 10.01.2025 „mit Ablauf des 16. Januar 2025“ aufgehoben; die Seite des Rundschreibens enthält den entsprechenden Vermerk. Seit dem 17. Januar 2025 gilt die Verordnung (EU) 2022/2554, kurz DORA (Art. 64); ihren Anwendungsbereich und die Ausnahmen, unter anderem für bestimmte Versicherungsunternehmen, regelt Art. 2. Ob DORA für Ihr Haus gilt, was sie von Ihrem Unternehmen verlangt und wie sich Grundschutz++ dazu verhält, legt diese Seite nicht aus.

Dasselbe gilt für die übrigen Rechtsverweise der Arbeit: BSI-Gesetz und BSI-Kritisverordnung, DSGVO, BDSG, Geldwäschegesetz und Telemediengesetz sind im Stand von 2021 zitiert; das Telemediengesetz ist am 14. Mai 2024 außer Kraft getreten, am selben Tag ist das Digitale-Dienste-Gesetz vom 6. Mai 2024 in Kraft getreten (BGBl. 2024 I Nr. 149, Art. 37). Ob und mit welchen Pflichten die übrigen Regelungen heute für Ihr Haus gelten, entscheidet diese Seite nicht. Auch die Aussage der Arbeit, für ihren Anwendungsbereich bestehe Kompatibilität zur ISO/IEC 27001 (Kap. 2.4), bewerten wir nicht.

Die Umsetzung der Arbeit ist kein Nachweis gegenüber einer Aufsicht und keine Zertifizierung. Die Arbeit versteht ihre Anforderungen als Umsetzungsempfehlung (Kap. 2.3); laut Anwendungshinweisen sind sie in das Gesamtsicherheitskonzept einer Institution zu integrieren. Dass das BSI die Arbeit in seiner Profilliste verlinkt, macht sie weder zu einer geprüften Vorlage noch zu einer Vorgabe für Ihr Unternehmen.