NIS2-Sicherheitsfragebögen im Maklerbüro: Versicherer- und Großkundenanforderungen richtig beantworten

Montagmorgen, kurz vor Ablauf einer Courtagevereinbarung: Ein Versicherer, Pool oder Großkunde schickt einen IT-Sicherheitsfragebogen mit Fragen zu NIS2, Mehrfaktor-Authentifizierung, Backups und Notfallplänen. Die Frist ist knapp, einzelne Fragen wirken wie Rechtsfragen, andere wie ein technischer Audit. Wer jetzt aus Unsicherheit „ja“ ankreuzt oder die eigene NIS2-Betroffenheit pauschal bestätigt, schafft vermeidbare Risiken. Besser ist eine belastbare Antwortmappe, die den tatsächlichen Sicherheitsstand Ihres Maklerbüros belegt.

Dieser Beitrag ist ein praktischer Ratgeber und ersetzt keine individuelle Rechts- oder Datenschutzberatung. Bei kniffligen Fragen ziehen Sie Ihren Datenschutzbeauftragten oder die zuständige Aufsichtsbehörde hinzu.

Viele Versicherungs- und Immobilienmakler fallen nicht automatisch in den unmittelbaren Anwendungsbereich der NIS2-Vorgaben. Ob eine rechtliche Betroffenheit besteht, hängt nicht davon ab, ob ein Versicherer einen Fragebogen verwendet. Entscheidend sind unter anderem Tätigkeitsbereich, Größe, Einordnung und die jeweils geltende nationale Umsetzung. Ein Sicherheitsfragebogen kann deshalb eine vertragliche Anforderung, eine Lieferantenprüfung oder eine Risikoeinschätzung des Geschäftspartners sein. Er ist keine behördliche Feststellung Ihrer NIS2-Pflichten.

Sicherheitsfragebogen und NIS2-Einstufung sauber trennen

Die erste Regel lautet: Beantworten Sie Tatsachenfragen konkret, Rechtsfragen zurückhaltend und nur nach belastbarer Prüfung. Ein Versicherer darf wissen wollen, wie Sie Kunden- und Vertragsdaten schützen. Daraus folgt aber nicht, dass Sie sich selbst als „NIS2-pflichtig“ einordnen müssen.

Typische Fragen, die Sie faktisch beantworten können:

• Ist für Microsoft 365, das Maklerverwaltungsprogramm und Fernzugriffe MFA eingerichtet?
• Werden Datensicherungen regelmäßig erstellt, getrennt aufbewahrt und getestet?
• Gibt es ein Berechtigungskonzept für Mitarbeitende, externe Dienstleister und ehemalige Beschäftigte?
• Gibt es einen dokumentierten Ablauf für IT-Störungen und Sicherheitsvorfälle?
• Sind Auftragsverarbeiter und IT-Dienstleister dokumentiert und vertraglich geregelt?

Vorsicht ist dagegen bei Aussagen wie „Wir unterliegen NIS2“ oder „Wir erfüllen alle NIS2-Anforderungen“. Solche Aussagen sind regelmäßig zu weit. Besser sind präzise Formulierungen, etwa:

„Unser Maklerbüro beantwortet die nachfolgenden Sicherheitsfragen auf Grundlage der tatsächlich implementierten technischen und organisatorischen Maßnahmen. Eine rechtliche Einordnung zur unmittelbaren Anwendbarkeit von NIS2 wird damit nicht erklärt.“

Diese Formulierung ersetzt keine rechtliche Prüfung. Sie verhindert aber, dass eine technische Selbstauskunft versehentlich als umfassende Rechtszusage verstanden wird.

Vor dem Ausfüllen: Zuständigkeit und Nachweise festlegen

Ein Fragebogen sollte nicht allein von der Person beantwortet werden, die ihn zufällig erhalten hat. Im kleinen Maklerbüro ist das häufig die Geschäftsführung. Bei größeren Betrieben gehören IT-Verantwortliche, Datenschutzkoordination und gegebenenfalls externe IT-Dienstleister dazu.

Legen Sie vorab eine zentrale Antwortdatei an. Dort erfassen Sie jede Frage, Ihre Antwort, den Nachweis, die verantwortliche Person und das Datum der letzten Prüfung. Das spart bei Folgeanfragen erheblich Zeit.

Checkliste: Unterlagen für die Antwortmappe

• Aktuelle Übersicht der eingesetzten Systeme, etwa Maklerverwaltungsprogramm, E-Mail, Cloud-Speicher, Telefonie und Fernwartung
• Verzeichnis der Verarbeitungstätigkeiten mit den relevanten IT-gestützten Prozessen
• Dokumentation technischer und organisatorischer Maßnahmen
• Übersicht der Benutzerkonten und Berechtigungsrollen
• Nachweis über aktivierte MFA oder Passkeys bei kritischen Systemen
• Backup-Konzept einschließlich Sicherungsrhythmus, Speicherorten und Wiederherstellungstests
• Liste wichtiger IT-Dienstleister und Auftragsverarbeitungsverträge
• Notfallplan für IT-Ausfall, Ransomware, Phishing und Datenpannen
• Protokolle oder Bestätigungen zu Mitarbeiterschulungen
• Dokumentation offener Maßnahmen mit Verantwortlichkeit und Zieltermin

Die Grundlage für viele dieser Nachweise bildet eine gepflegte TOM-Dokumentation. Welche Maßnahmen dort sinnvoll beschrieben werden, erläutert die TOM-Checkliste für Maklerbüros. Wichtig ist: Dokumentieren Sie nicht nur, was geplant ist. Im Fragebogen zählt vor allem, was eingerichtet, geprüft und im Alltag umgesetzt wurde.

MFA: Nicht „vorhanden“, sondern konkret beschreiben

Die Frage „Nutzen Sie Mehrfaktor-Authentifizierung?“ klingt einfach, ist aber oft missverständlich. MFA ist nur dann ein überzeugender Nachweis, wenn sie für die besonders schutzwürdigen Zugänge verpflichtend aktiviert ist.

Dazu gehören in einem Maklerbüro in der Regel:

• E-Mail- und Kollaborationskonten
• Cloud-Speicher und Dokumentenmanagement
• Maklerverwaltungsprogramm, sofern technisch verfügbar
• Fernzugriffe, etwa VPN oder Remote-Desktop
• Administrationskonten für Microsoft 365, Firewall, Backup und Webseiten
• Portale von Versicherern, Pools und Zahlungsdienstleistern, soweit diese MFA anbieten

Eine gute Antwort benennt den Geltungsbereich und mögliche Ausnahmen. Schreiben Sie nicht „MFA ist vollständig umgesetzt“, wenn einzelne Altanwendungen, gemeinsam genutzte Funktionskonten oder Portale noch ohne zweiten Faktor laufen.

Beispiel:

„MFA ist für E-Mail, Cloud-Speicher, administrative Konten und Fernzugriffe verpflichtend aktiviert. Für externe Fachportale wird MFA genutzt, soweit der jeweilige Anbieter diese Funktion bereitstellt. Ausnahmen werden dokumentiert und risikobasiert überprüft.“

Für die konkrete Einführung und Pflege von sicheren Anmeldeverfahren hilft die Checkliste zu Passwörtern, 2FA und Homeoffice. Wenn Sie Passkeys einsetzen, sollten Sie zusätzlich dokumentieren, welche Geräte verwaltet werden und wie ein verlorenes Smartphone oder Sicherheitsschlüssel ersetzt wird.

Backups: Der Wiederherstellungstest ist der entscheidende Beleg

Ein Backup ist kein belastbarer Schutz, nur weil ein Häkchen in einer Software gesetzt wurde. Sicherheitsfragebögen fragen deshalb zunehmend nach getrennten Sicherungen, Verschlüsselung, Aufbewahrung und Wiederherstellbarkeit.

Ihr Nachweis sollte mindestens beantworten:

• Welche Systeme werden gesichert?
• Wie häufig laufen Sicherungen?
• Wo liegen die Sicherungen?
• Sind Sicherungen gegen unbefugtes Löschen oder Verschlüsseln geschützt?
• Wer darf Backup-Einstellungen ändern?
• Wann wurde zuletzt eine Wiederherstellung erfolgreich getestet?
• Wie lange dauert es ungefähr, einen wesentlichen Dienst wieder bereitzustellen?

Die bewährte 3-2-1-Regel kann dabei als Orientierung dienen: mehrere Kopien, unterschiedliche Speichermedien und mindestens eine räumlich oder logisch getrennte Kopie. Entscheidend bleibt jedoch Ihr tatsächliches Konzept. Die Details zur Dokumentation finden Sie im Beitrag Datensicherung für Makler: die 3-2-1-Regel.

Formulieren Sie ehrlich, wenn Sie noch keinen dokumentierten Restore-Test haben. Dann ist „Wiederherstellung wird quartalsweise getestet“ falsch. Besser ist: „Regelmäßige Sicherungen sind eingerichtet. Ein dokumentierter Wiederherstellungstest ist bis zum festgelegten internen Termin vorgesehen.“ Ergänzen Sie intern sofort eine verantwortliche Person und einen realistischen Umsetzungstermin.

Berechtigungen: Zugriff nur, solange er benötigt wird

Versicherer und Großkunden wollen nachvollziehen können, wer auf Kunden-, Vertrags- und Zahlungsdaten zugreifen darf. Besonders kritisch sind allgemeine E-Mail-Postfächer, gemeinsame Laufwerke, Cloud-Ordner und Administratorrechte.

Checkliste: Berechtigungen belastbar nachweisen

• Benutzerkonten sind einzelnen Personen zugeordnet.
• Gemeinsame Passwörter für Fachanwendungen werden vermieden oder technisch abgesichert.
• Administrative Rechte sind auf wenige benannte Personen beschränkt.
• Berechtigungen werden bei Eintritt, Rollenwechsel und Austritt überprüft.
• Externe IT-Dienstleister erhalten nur zeitlich und sachlich begrenzte Zugriffe.
• Nicht mehr benötigte Konten werden deaktiviert oder gelöscht.
• Regelmäßige Berechtigungsprüfungen sind dokumentiert.
• Funktionspostfächer und gemeinsame Ablagen haben benannte Verantwortliche.

Gerade beim Ausscheiden von Mitarbeitenden entstehen häufig offene Zugriffe auf E-Mail, Cloud-Speicher oder Versichererportale. Nutzen Sie dafür eine feste Checkliste für Mitarbeiter-Austritte im Maklerbüro, statt sich auf Erinnerungen einzelner Personen zu verlassen.

Dienstleister und Cloud-Anbieter nachvollziehbar erfassen

Ein Maklerbüro arbeitet typischerweise mit mehreren externen Stellen: Maklerverwaltungsprogramm, IT-Systemhaus, E-Mail- und Cloud-Anbieter, Backup-Dienstleister, Telefonie, Newsletter-Software oder Aktenvernichtung. Im Sicherheitsfragebogen genügt es nicht, pauschal „Dienstleister sind geprüft“ zu schreiben.

Erstellen Sie eine aktuelle Dienstleisterliste mit:

• Name und Leistung des Dienstleisters
• Art der verarbeiteten Daten
• Zugriffsart und Zugriffsberechtigung
• Vertragliche Grundlage, insbesondere Auftragsverarbeitung, soweit erforderlich
• Ansprechpartner und Eskalationsweg
• Bewertung kritischer Abhängigkeiten
• Datum der letzten Überprüfung

Ob ein Auftragsverarbeitungsvertrag erforderlich ist, richtet sich nach der konkreten Rolle des Dienstleisters. Eine strukturierte Einordnung bietet der Beitrag AV-Vertrag für Makler: Wer braucht wirklich einen?.

Notfallplan: Nicht nur für Ransomware

Ein Notfallplan muss nicht aus einem umfangreichen Handbuch bestehen. Er muss im Ernstfall funktionieren. Besonders wertvoll sind klar benannte Rollen, Telefonnummern und erste Maßnahmen für die ersten Stunden.

Ihr Plan sollte mindestens festhalten:

• Wer entscheidet bei einem Sicherheitsvorfall?
• Wer kontaktiert IT-Dienstleister, Versicherer, Pool oder Softwareanbieter?
• Wie werden betroffene Geräte vom Netz getrennt?
• Wo liegen Notfallkontakte, wenn E-Mail und Cloud nicht erreichbar sind?
• Wie wird die Geschäftsführung informiert?
• Wie werden Vorfall, Entscheidungen und Maßnahmen dokumentiert?
• Wann ist eine Datenschutzverletzung zu bewerten und gegebenenfalls zu melden?
• Wie erfolgt die Kommunikation mit Kunden und Geschäftspartnern?

Für Ransomware-Szenarien sollte die Reihenfolge der ersten Schritte vorab feststehen. Der Beitrag Ransomware im Maklerbüro: Notfallplan für die ersten 24 Stunden hilft bei der praktischen Vorbereitung. Bei einer möglichen Datenpanne dürfen Sie die datenschutzrechtliche Bewertung und Fristen nicht mit der technischen Wiederherstellung vermischen.

Antwortqualität: Belegbar, begrenzt und aktuell

Ein überzeugender Sicherheitsfragebogen ist keine Hochglanzbroschüre. Er zeigt, dass Sie Ihre Risiken kennen, Maßnahmen umgesetzt haben und offene Punkte steuern. Antworten Sie daher möglichst mit „ja, nachweisbar“, „teilweise, mit dokumentierter Einschränkung“ oder „noch nicht, Maßnahme geplant“. Ein unbelegtes „ja“ kann bei einem Vorfall schwerer wiegen als eine transparente Lücke.

Planen Sie außerdem eine jährliche Überprüfung Ihrer Antwortmappe sowie eine Aktualisierung nach Systemwechseln, neuen Dienstleistern oder Sicherheitsvorfällen. Wer das Thema systematisch lernen will, findet passende Seminare bei cmt.de.

So wird aus einer kurzfristigen Lieferantenanfrage ein wiederverwendbarer Sicherheitsnachweis. Das stärkt nicht nur Ihre Antworten gegenüber Versicherern, Pools und Großkunden, sondern verbessert auch die tatsächliche Sicherheit Ihres Maklerbüros.