Diverse IT-Mängel – auch schwerwiegende – hat die BaFin festgestellt, seit sie im Sommer 2018 ihre VAIT veröffentlich hat, ihre Versicherungsaufsichtlichen Anforderungen an die IT (siehe Infokasten). Geprüft hat die Aufsicht seither 16 Unternehmen: große und kleinere Erstversicherer sowie Pensionskassen und Rückversicherer. Keines dieser Unternehmen hatte zum jeweiligen Prüfzeitpunkt die VAIT vollständig erfüllt. Die gute Nachricht: Sie haben die IT-Prüfungen zum Anlass genommen, die VAIT weiter umzusetzen.

Schwerwiegende Feststellungen hat die BaFin bei den meisten geprüften Versicherungsunternehmen im Informationsrisiko- und Informationssicherheitsmanagement getroffen. Die Stufe „schwerwiegend“ ist die höchste des BaFin-Bewertungsschemas – nach „geringfügig“, „mittelschwer“ und „gewichtig“. Die BaFin fand in den Unternehmen zum Teil keine internen Prozesse vor, die ausreichten, um Informationsrisiken zu erkennen und zu bewerten. Hinzu kam: Wie schutzbedürftig bestimmte Informationen waren, legten die Unternehmen oft nicht genau genug fest. Es war ihnen daher nur eingeschränkt möglich, die Informationsrisiken risikoorientiert zu steuern.

IT-Sicherheitsvorfälle schneller erkennen

Im Informationssicherheitsmanagement mangelte es oft an Automatismen, die darauf ausgerichtet sind, IT-Sicherheitsvorfälle so schnell zu erkennen, dass noch rechtzeitig Gegenmaßnahmen eingeleitet werden können. So hat die BaFin beispielsweise festgestellt, dass Versicherungsunternehmen zwar die Betriebssysteme und Netzwerkaktivitäten automatisch überwachten, oft aber andere wichtige Softwareanwendungen und Hardwarekomponenten nicht einbezogen. Dadurch entstand ein Sicherheitsrisiko für die gesamte IT des Unternehmens.

Im Benutzerberechtigungsmanagement traf die BaFin bei mehr als der Hälfte der geprüften Unternehmen „gewichtige Feststellungen“. In zahlreichen Fällen existierten keine Vorgaben zur Berechtigungsvergabe, in anderen Fällen überprüften die Unternehmen die Benutzerrechte, die sie einst eingeräumt hatten, im Anschluss nicht regelmäßig. Diese Unternehmen konnten die Benutzer- und Zugriffsrechte für Softwareanwendungen, Datenbanken und Netzwerkzugriffe dadurch nicht angemessen überwachen und steuern. Sie liefen somit Gefahr, unberechtigte Zugriffe auf vertrauliche Informationen nicht verhindern oder zumindest nachrtäglich aufdecken zu können.

Externe IT-Dienstleister besser überwachen

Schwachstellen deckten die Prüfungen bei vielen Versicherungsunternehmen auf, als es darum ging, wie sie ihre externen IT-Dienstleister überwachten. Da Versicherer viele IT-Aufträge verschiedener Art an externe Dienstleister vergeben, müssen sie unbedingt die damit verbundenen Risiken kennen. Vor allem bei IT-Dienstleistungen, die nicht vom aufsichtsrechtlichen Ausgliederungsbegriff erfasst werden, etwa dem Bezug von Hard- und Software, verzichteten die Versicherer in zahlreichen Fällen auf eine vorhergehende Risikoanalyse und erfüllten damit nicht ihre Pflicht, die Risiken zu erkennen und zu steuern.

Die Prüfungen der BaFin haben aber auch gezeigt, dass bisher wenige Versicherungsunternehmen ihre Geschäftsprozesse umfangreich auf Cloud-Dienstleister übertragen haben. Gleichwohl besteht auch in der Versicherungsindustrie die klare Tendenz, Speicher- und Rechenleistungen vermehrt in eine Cloud auszugliedern. Die BaFin wird dies bei künftigen Prüfungen verstärkt in den Blick nehmen.

Die Unternehmen hat die BaFin aufgefordert, die Mängel zu beheben und IT-Sicherheitslücken zu schließen. Zudem erwartet die Aufsicht von allen Unternehmen, dass sie die Chance ergreifen, ihre IT-Sicherheit mit Hilfe der VAIT weiter zu verbessern. Ein von der BaFin ins Leben gerufenes Expertengremium – bestehend aus Vertretern der Aufsicht, der Unternehmen und deren Verbänden – bietet die Plattform für einen engen fachlichen Austausch. Das Gremium unterstützt die Branche bei Umsetzung der VAIT und adressiert relevante Themen auf dem Gebiet IT- und Cybersicherheit. Die nächsten IT-Prüfungen plant die BaFin für die Jahre 2021/2022.