DORA für Versicherungsmakler: Gilt die IKT-Pflicht auch für kleine Maklerbüros?

Seit dem 17. Januar 2025 gilt der Digital Operational Resilience Act, kurz DORA, unmittelbar in allen EU-Mitgliedstaaten. Im Maklerbüro stellt sich daher eine sehr konkrete Frage: Muss auch ein Betrieb mit wenigen Mitarbeitenden ein vollständiges IKT-Risikomanagement, Dienstleisterregister und regelmäßige Notfalltests nach DORA aufbauen? Für viele Versicherungsmakler lautet die Antwort zunächst: nein. Entscheidend ist aber nicht das Bauchgefühl, sondern die rechtlich sauber dokumentierte Unternehmensgröße.

Dieser Beitrag ist ein praktischer Ratgeber und ersetzt keine individuelle Rechts- oder Datenschutzberatung. Bei kniffligen Fragen ziehen Sie Ihren Datenschutzbeauftragten oder die zuständige Aufsichtsbehörde hinzu.

DORA betrifft nicht nur Versicherungsunternehmen und Banken. Auch Versicherungsvermittler können grundsätzlich in den Anwendungsbereich fallen. Die Verordnung enthält jedoch eine wichtige Ausnahme für Mikro- und Kleinunternehmen. Wer sich darauf beruft, sollte seine Einordnung nachvollziehbar festhalten. Denn bei einer Prüfung reicht die Aussage „Wir sind ein kleines Büro“ nicht aus.

Für welche Versicherungsmakler gilt DORA?

DORA ist eine EU-Verordnung zur digitalen operationellen Resilienz im Finanzsektor. Sie legt Anforderungen an den sicheren Umgang mit Informations- und Kommunikationstechnologie, kurz IKT, fest. Dazu gehören etwa Maklerverwaltungsprogramme, Cloud-Speicher, E-Mail-Systeme, Vergleichsrechner, Kundenportale, Telefonie, Backup-Lösungen und externe IT-Betreuung.

Versicherungsvermittler fallen grundsätzlich in den persönlichen Anwendungsbereich von DORA. Dazu zählen regelmäßig auch Versicherungsmakler, die nach § 34d GewO tätig sind. Ausgenommen sind jedoch Versicherungsvermittler, Rückversicherungsvermittler und Versicherungsvertreter im Nebenerwerb, wenn sie Mikro- oder Kleinunternehmen sind.

Die Ausnahme ist für viele klassische Maklerbüros relevant. Sie gilt allerdings nicht automatisch für jede kleine Organisation. Maßgeblich sind die DORA-Definitionen.

Unternehmensgröße	Beschäftigte	Umsatz oder Bilanzsumme
Kleinstunternehmen	weniger als 10 Personen	höchstens 2 Millionen Euro
Kleinunternehmen	weniger als 50 Personen	höchstens 10 Millionen Euro

Bei Umsatz und Bilanzsumme genügt es, wenn einer der beiden Grenzwerte eingehalten wird. Die Beschäftigtenzahl muss zugleich unter dem jeweiligen Schwellenwert liegen.

Wichtig: Die Einordnung kann komplexer werden, wenn Beteiligungen, verbundene Unternehmen oder Partnerunternehmen bestehen. Wer etwa Teil einer Maklergruppe ist oder zentrale IT über eine gemeinsame Gesellschaft nutzt, sollte die Größenklassifizierung nicht vorschnell nur anhand der eigenen Lohnliste vornehmen. Im Zweifel ist rechtlicher Rat sinnvoll.

Die Ausnahme befreit nicht von IT-Sicherheit und DSGVO

Ein Mikro- oder Kleinunternehmen muss die detaillierten DORA-Vorgaben nicht unmittelbar erfüllen. Das bedeutet jedoch keineswegs, dass keine Sicherheits- und Datenschutzpflichten bestehen.

Unabhängig von DORA gelten insbesondere:

• die DSGVO und die Pflicht zu angemessenen technischen und organisatorischen Maßnahmen
• berufsrechtliche und zivilrechtliche Sorgfaltspflichten
• Anforderungen aus Verträgen mit Versicherern, Pools oder Maklerverwaltungsprogrammen
• Aufbewahrungs- und Dokumentationspflichten
• die Verantwortung für eine funktionsfähige Kundenberatung und Bestandsbetreuung

Ein erfolgreicher Ransomware-Angriff oder ein Ausfall des Maklerverwaltungsprogramms kann auch in einem ausgenommenen Büro Beratungen, Schadenmeldungen und Fristen gefährden. Die TOM-Checkliste für Maklerbüros hilft dabei, Datenschutzmaßnahmen strukturiert zu prüfen. Für belastbare Wiederanlauffähigkeit gehört außerdem ein getestetes Sicherungskonzept dazu. Die praktische Grundlage erläutert unser Beitrag zur 3-2-1-Regel für die Datensicherung.

Schritt 1: DORA-Anwendungsbereich schriftlich feststellen

Jedes Versicherungsmaklerbüro sollte jetzt eine kurze Entscheidungsvorlage zur eigenen DORA-Einordnung erstellen. Das Dokument gehört zur Geschäftsleitungsakte und sollte bei wesentlichen Änderungen aktualisiert werden, etwa bei Wachstum, Zusammenschlüssen oder neuen Beteiligungsstrukturen.

Checkliste zur DORA-Einordnung

• Prüfen Sie, ob Ihr Unternehmen als Versicherungsvermittler tätig ist.
• Erfassen Sie die durchschnittliche Beschäftigtenzahl nach der einschlägigen Unternehmensdefinition.
• Halten Sie Jahresumsatz und Bilanzsumme anhand des letzten abgeschlossenen Geschäftsjahres fest.
• Prüfen Sie Beteiligungen, verbundene Unternehmen und Partnerunternehmen.
• Dokumentieren Sie eindeutig, ob Sie Kleinstunternehmen, Kleinunternehmen oder ein größeres Unternehmen sind.
• Halten Sie die Rechtsgrundlage für eine Ausnahme vom DORA-Anwendungsbereich fest.
• Benennen Sie die Person, die die Einordnung jährlich überprüft.
• Legen Sie den Nachweis gemeinsam mit Organisationsunterlagen und Datenschutzdokumentation ab.

Für ausgenommene Büros ist diese Dokumentation oft der wichtigste DORA-Nachweis. Sie müssen nicht sämtliche DORA-Prozesse eines großen Finanzunternehmens nachbauen. Sie sollten aber zeigen können, warum die Ausnahme greift und wie sie ihre allgemeinen Sicherheitsrisiken dennoch steuern.

Was größere Maklerbetriebe nach DORA vorhalten müssen

Ist ein Maklerunternehmen weder Kleinst- noch Kleinunternehmen, greift DORA grundsätzlich. Die Umsetzung muss verhältnismäßig sein. Ein größerer Maklerbetrieb braucht also nicht dieselbe Organisationsstruktur wie ein internationaler Versicherer. Dennoch müssen Verantwortlichkeiten, Risiken, Dienstleister und Notfallmaßnahmen belastbar geregelt und dokumentiert sein.

Im Mittelpunkt stehen fünf Bereiche:

• IKT-Risikomanagement
• Umgang mit IKT-Vorfällen
• Tests der digitalen Widerstandsfähigkeit
• Steuerung externer IKT-Dienstleister
• Informationsaustausch zu Cyberbedrohungen, soweit angemessen

Die Geschäftsleitung bleibt verantwortlich. Sie darf Aufgaben an IT-Dienstleister, Datenschutzbeauftragte oder Mitarbeitende delegieren, nicht aber die Verantwortung für ein funktionierendes Kontrollsystem.

Nachweise zum IKT-Risikomanagement

Ein DORA-pflichtiges Maklerunternehmen braucht einen nachvollziehbaren Rahmen für IKT-Risiken. Es genügt nicht, einzelne Sicherheitsmaßnahmen umzusetzen, wenn nicht erkennbar ist, welches Risiko damit adressiert wird.

Die Dokumentation sollte mindestens abbilden:

• welche IKT-Systeme für die Kundenbetreuung wesentlich sind
• welche Daten und Geschäftsprozesse betroffen sind
• wer für Systeme, Berechtigungen und Freigaben verantwortlich ist
• welche Risiken bestehen, etwa Datenverlust, Phishing, Systemausfall oder unberechtigte Zugriffe
• welche Schutzmaßnahmen eingesetzt werden
• wie Sicherheitslücken, Updates und Berechtigungen kontrolliert werden
• wie und wann das Management informiert wird

Besonders wichtig sind Zugriffskontrollen. Für E-Mail, Cloud-Speicher, Maklerverwaltungsprogramm, Versichererportale und Administrationskonten sollten Mehrfaktor-Authentifizierung und ein klares Berechtigungskonzept Standard sein. Praktische Schritte dazu finden Sie in der Checkliste zu Passwörtern, 2FA und Homeoffice.

IKT-Dienstleister vollständig erfassen und bewerten

DORA rückt externe IKT-Dienstleister in den Mittelpunkt. Gemeint sind nicht nur der klassische IT-Systemhausvertrag. Relevant können auch Cloud-Anbieter, Software-as-a-Service-Lösungen, Telefonieanbieter, Hosting, E-Mail-Dienste, digitale Signaturlösungen, Backup-Anbieter und externe Cybersecurity-Dienste sein.

DORA-pflichtige Unternehmen müssen ein Informationsregister zu ihren vertraglichen Vereinbarungen über IKT-Dienstleistungen führen. Dieses Register soll der Aufsicht auf Anfrage verfügbar gemacht werden. Es reicht deshalb nicht, Verträge ungeordnet in verschiedenen Postfächern oder Ordnern zu speichern.

Mindestinhalte einer Dienstleisterübersicht

• Name und Sitz des Dienstleisters
• eingesetzte Leistung und betroffene Systeme
• Vertrag, Laufzeit und Kündigungsregelung
• Datenarten und Verarbeitungsorte
• unterstützte Geschäftsprozesse
• Einordnung, ob eine kritische oder wichtige Funktion betroffen sein kann
• vereinbarte Sicherheits- und Meldepflichten
• Regelungen zu Unterauftragnehmern
• Exit- und Übergabemöglichkeiten bei Anbieterwechsel oder Ausfall
• zuständige interne Ansprechperson

Datenschutzrechtlich ist zusätzlich zu prüfen, ob ein Auftragsverarbeitungsvertrag erforderlich ist. Die Frage hängt von der tatsächlichen Rolle des Dienstleisters ab, nicht von der Produktbezeichnung. Orientierung bietet der Beitrag „AV-Vertrag für Makler: Wer braucht wirklich einen?“.

Notfallpläne und Tests müssen praktisch funktionieren

DORA verlangt keine Notfallordner, die nie geöffnet werden. Größere Maklerbetriebe müssen ihre digitale Widerstandsfähigkeit regelmäßig testen. Dazu gehören Tests von Backups, Wiederanlaufverfahren, Kommunikationswegen und Reaktionsabläufen bei Sicherheitsvorfällen.

Ein angemessener Test kann beispielsweise simulieren, dass das Maklerverwaltungsprogramm nicht erreichbar ist. Dann sollte klar sein:

• Wer entscheidet über den Krisenmodus?
• Wie werden Kundenanfragen und Fristen weiterbearbeitet?
• Welche Ersatzkommunikation ist zulässig und sicher?
• Wo liegen aktuelle Kontaktdaten und Notfalldokumente?
• Wie wird der IT-Dienstleister erreicht?
• Wann ist ein Datenschutzvorfall zu prüfen?
• Welche Erkenntnisse werden nach dem Test dokumentiert und umgesetzt?

Bei einem echten Sicherheitsvorfall zählt Zeit. Der Notfallplan für die ersten 24 Stunden bei Ransomware zeigt, welche Sofortmaßnahmen organisatorisch vorbereitet sein sollten. Ersetzt wird dadurch keine individuelle Meldeprüfung, aber das Büro gewinnt wertvolle Handlungsfähigkeit.

Wer die rechtlichen Grundlagen und praktischen Anforderungen systematisch vertiefen möchte, findet passende Seminare bei cmt.de.

Fazit: Erst Größe prüfen, dann passend umsetzen

Für die meisten kleinen Versicherungsmaklerbüros ist die DORA-Ausnahme eine erhebliche Entlastung. Sie befreit jedoch nicht von DSGVO, IT-Sicherheit und einer nachvollziehbaren Notfallvorsorge. Der erste sinnvolle Schritt ist daher eine schriftliche Größenprüfung.

Größere Maklerbetriebe sollten DORA nicht als reines IT-Projekt behandeln. Gefordert sind steuerbare Prozesse, klare Verantwortlichkeiten und aussagekräftige Nachweise zu Risiken, Dienstleistern und Tests. Wer diese Unterlagen jetzt geordnet aufbaut, verbessert zugleich Datenschutz, Betriebsfähigkeit und Kundenvertrauen.