IT-Sicherheit für Versicherungsmakler

Warum Versicherungsmakler besonders angegriffen werden

Versicherungsmakler verbinden Kunden, Versicherer und oft Banken. Ihre Kommunikation enthält Policen, Schadensmeldungen, Gesundheitsfragen und Zahlungsdetails. Kriminelle nutzen diese Kontexte für gezielte Phishing-Mails: gefälschte Portal-Updates bekannter Versicherer, dringende Anhänge zu Schadensnummern, Nachfragen zu angeblich fehlenden Unterlagen. Mitarbeitende im Backoffice und Außendienst sind unter Zeitdruck — ein Klick passiert schneller als die Prüfung des Absenders.

Erfolgreiche Angriffe zielen selten nur auf Passwörter. Angreifer übernehmen Postfächer, setzen unsichtbare Weiterleitungsregeln, lesen laufende Threads mit und greifen ein, wenn Geld fließen soll. Gefälschte IBAN in einer sonst authentisch wirkenden E-Mail-Kette haben bereits hohe Schäden verursacht. Gefälschte Deckungsbestätigungen oder Police-PDFs belasten Kundenverhältnis und Haftung. Makler ohne Security-Abteilung unterschätzen oft, dass ein einziges kompromittiertes Postfach das gesamte Büro lahmlegen kann.

Branchennähe allein schützt nicht — technische und organisatorische Maßnahmen müssen zusammenpassen. Der Phishing-Risiko-Check liefert Maklerbüros eine priorisierte Einschätzung ohne Wochen Audit.

Gerade kleine Maklerbüros ohne IT-Abteilung unterschätzen, wie schnell ein Angriff von einem Postfach auf CRM, Pool-Zugänge und Kundenkommunikation übergreift.

Typische Phishing- und Betrugsmuster im Makleralltag

Muster eins: Gefälschte Versicherer-Mail mit Link zum „Dokumentenupload“ — Login-Seite kopiert das Original, Credentials werden abgegriffen. Muster zwei: Kompromittiertes Kundenpostfach antwortet in bestehender Schadenmail und ändert die Bankverbindung für die Auszahlung. Muster drei: Anhang mit Makro oder HTML-Datei — beim Öffnen Malware oder Token-Diebstahl. Muster vier: CEO-Fraud intern — angebliche Dringlichkeit von Geschäftsführung per Mail für Überweisung.

Telefonbetrug ergänzt E-Mail: Anrufer gibt sich als Versicherer oder IT-Support aus und drängt auf Fernwartung oder Passwortangabe. Rückrufregel: bei jeder ungewöhnlichen Zahlungs- oder Zugangsanfrage über bekannte Nummer zurückrufen — Nummer aus Vertrag oder Webseite, nicht aus der Mail.

Maklerpools und Webportale der Versicherer sind zweites Einfallstor: gleiche Passwörter wie im Büro, keine MFA wo angeboten, Zugangsdaten auf gemeinsamem Zettel. Jeder Pool-Zugang einzeln schützen und bei Austritt sofort sperren.

Auch Anrufe unter Vorwand „Schadenbearbeitung“ oder „IT des Versicherers“ gehören zum Muster — niemals Passwörter am Telefon, keine Fernwartung ohne verifizierte Ticketnummer.

E-Mail-Authentifizierung: SPF, DKIM und DMARC

SPF definiert, welche Server Mail für Ihre Domain senden dürfen. DKIM signiert ausgehende Nachrichten kryptografisch. DMARC sagt Empfängern, was mit Mails passieren soll, die SPF oder DKIM nicht bestehen — bis hin zum Ablehnen. Ohne DMARC können Angreifer Ihre Domain für Fake-Mails nutzen; ohne korrektes SPF landen legitime Makler-Mails im Spam — beides schadet.

Microsoft 365 Admin Center und DNS-Provider beim Domain-Hoster müssen zusammenpassen. Nach Umstellungen E-Mail-Zustellung testen — an Gmail, web.de und Kundenadressen. Extern-Warnbanner in Outlook markieren Nachrichten von außerhalb des Büros — senkt Klickrate auf gefälschte „interne“ Mails.

Safe Links und Safe Attachments in Defender for Office 365 — wo Lizenz vorhanden — ergänzen technische Filter. Legacy-Authentifizierung deaktivieren: gestohlene Passwörter allein reichen dann nicht für Anmeldung.

DMARC-Berichte auswerten — sie zeigen, ob Fremde Ihre Domain zum Versenden nutzen. Das ist Frühwarnsystem, nicht nur Compliance-Checkbox.

Microsoft 365, MFA und Postfach-Hygiene

Jeder Nutzer — inklusive Geschäftsführung und Vertrieb — sollte MFA mit Authenticator-App nutzen. SMS nur als Fallback. Admins mit separaten Konten und stärkeren Anforderungen. Conditional Access: blockiert Anmeldungen von unmanaged Geräten oder riskanten Ländern, kann zusätzlichen Faktor für Admins erzwingen.

Postfach-Regeln regelmäßig prüfen: Angreifer legen Weiterleitungen an unauffällige Adressen an. Shared Mailboxes ohne persönliche Anmeldung nutzen, wo möglich. Keine Weiterleitung des gesamten Postfachs an private Gmail- oder web.de-Konten — weder für Komfort noch „Notfall“.

Teams und SharePoint strukturieren Kundendokumente statt endloser E-Mail-Ketten. Versionierung und Berechtigungen zentral. Gastzugänge mit Ablaufdatum für Kooperationspartner.

Vertrieb und Backoffice sollten unterschiedliche Berechtigungsstufen haben — nicht jeder Außendienstler braucht Zugriff auf alle Schadenakten des Büros.

Zahlungs- und Freigabeprozesse organisatorisch absichern

Jede geänderte Bankverbindung — egal ob Kunde, Versicherer oder Dienstleister — wird per Rückruf über bekannte Nummer verifiziert. Schriftliche Bestätigung auf separatem Kanal. Vier-Augen-Prinzip über definiertem Betrag. Keine Ausnahme „weil es dringend ist“ — Dringlichkeit ist Teil des Betrugs.

Schadensauszahlungen und Provisionsabrechnungen mit Checkliste: Absenderdomain, Thread-Kontext, PDF-Metadaten, telefonische Bestätigung. Interne Freigaben für Überweisungen nicht per E-Mail allein — Freigabetool oder signierte Freigabe im ERP.

Neue SaaS-Tools für Lead-Management oder Vergleichsrechner vor Freigabe prüfen: Speicherort, Verschlüsselung, AV-Vertrag, Export und Löschung. Schnittstellen zu Versicherern im Verarbeitungsverzeichnis dokumentieren.

Provisionszahlungen und Schadensregulierung sind die häufigsten Betrugsanker — dafür eignen sich feste Formulare und bekannte Ansprechpartner beim Versicherer, nicht nur freie E-Mail.

Schulung, Meldung und kontinuierliche Verbesserung

Mitarbeitende sollen verdächtige Mail melden können — ohne Angst vor Strafe. Einfacher Weg: Weiterleitung an definierte Adresse oder Button in Outlook. IT oder externer Partner prüft, ob Postfach betroffen ist, setzt Passwort zurück, prüft Regeln und Sessions. Bei Verdacht auf Datenabfluss Incident dokumentieren — relevant für DSGVO.

Monatlich fünf Minuten im Team: anonymisiertes echtes Phishing-Beispiel besprechen — woran erkennbar? Quartalsweise Simulation optional, wenn danach erklärt wird, nicht nur Statistik gemeldet wird.

Makler mit Außendienst: Mobilgeräte mit gleichen Schutzanforderungen wie Büro-PC — MFA, keine privaten Mail-Apps mit Kundendaten, Remote-Lösch bei Verlust.

Der Phishing-Risiko-Check ordnet Prioritäten für Büros mit fünf bis fünfzehn Mitarbeitenden: Authentifizierung, MFA, Prozesse, Schulung. Langfristig lohnt ein fester IT-Ansprechpartner, der Maklerprozesse kennt und Updates ohne Betriebsunterbrechung plant.

Makler, die nach einem Vorfall starten, berichten oft: Die teuerste Lektion war nicht der direkte Schaden, sondern der Vertrauensverlust bei Kunden und Versicherern — technische Härtung danach ist Pflicht, nicht Kür.

Incident-Response: was nach einem Klick passieren muss

Schritt eins: Betroffenes Postfach sofort sperren oder Passwort zurücksetzen und alle Sessions beenden. Schritt zwei: Postfach-Regeln und Weiterleitungen prüfen — Angreifer hinterlassen oft unsichtbare Leitungen. Schritt drei: Gerät vom Netz, Malware-Scan, ggf. Neuaufsetzen. Schritt vier: Prüfen, ob ausgehende Mails oder Zahlungsanweisungen versendet wurden.

Kommunikation intern: wer informiert Geschäftsführung, wer dokumentiert für DSGVO und ggf. Versicherer? Wenn Kundendaten betroffen sein könnten, rechtliche Einschätzung einholen — Fristen laufen.

Nachbereitung: warum hat der Klick funktioniert? Fehlende Warnung, ähnliche Domain, Stress im Schadenfall? Maßnahme anpassen — nicht nur „wieder nicht klicken“.

Ein externer Partner mit Makler-Erfahrung kann Forensik und Wiederherstellung parallel zur Geschäftsführung übernehmen — wichtig, wenn niemand intern Admin ist.

Prioritätenliste für Maklerbüros in 90 Tagen

Phase eins, Woche eins bis vier: SPF, DKIM, DMARC prüfen und korrigieren. MFA für alle Nutzer erzwingen. Legacy-Auth aus. Extern-Banner in Outlook aktivieren. Phase zwei: Zahlungs- und Rückrufprozesse schriftlich fixieren, im Team trainieren.

Phase drei: Postfach-Regeln-Audit aller Nutzer, CRM- und Pool-Zugänge inventarisieren, Offboarding-Checkliste an HR koppeln. Phase vier: Phishing-Risiko-Check oder externes Kurz-Audit, Backup-Restore testen, Incident-Runbook eine Seite.

Nicht alles parallel — Reihenfolge verhindert Überforderung. E-Mail und Identität zuerst, weil dort der häufigste Schaden entsteht.

Vertiefung in Cluster-Artikeln zu Phishing-Abwehr, E-Mail-Sicherheit und Passwort-Manager — technische Umsetzung Schritt für Schritt.

DSGVO und Kundendaten im Maklerbüro

Makler verarbeiten Namen, Kontaktdaten, Gesundheitsfragen in Anträgen und Schadenshistorie. Ein kompromittiertes Postfach kann bedeuten, dass personenbezogene Daten abfließen — Meldepflicht innerhalb von 72 Stunden prüfen, Dokumentation starten.

Verarbeitungsverzeichnis und AV-Verträge mit CRM, Vergleichsrechnern und Cloud-Speicher pflegen. Bei Austritt Mitarbeitender: CRM, E-Mail und Versicherer-Pools sofort sperren.

Technische Maßnahmen und Datenschutz zusammen denken — IT Security Expert Checks ersetzen keine Rechtsberatung, aber zeigen, wo IT-Lücken Datenschutz gefährden.

Kundenkommunikation nach Vorfall: vorbereitete Vorlage und Ansprechpartner — Vertrauen wiederherstellen ist Teil des Krisenplans.

Technische Details: Defender und Outlook-Schutz

Defender for Office 365 — mit passender Lizenz — bietet Safe Links, Safe Attachments und Anti-Phishing-Policies. Richtlinien schrittweise verschärfen, um False Positives zu vermeiden. Quarantäne-Review einmal wöchentlich durch benannten Mitarbeitenden oder MSP.

Outlook-Regeln: externe Absender markieren, Anhänge mit Makros blockieren, Warnung bei Lookalike-Domains. Kombination aus Technik und Zahlungsprozess stoppt den Großteil der Schäden — nicht 100 Prozent, aber deutlich weniger als reine Schulung.

Logs und Audit im Microsoft-365-Compliance-Center aktivieren, wo lizenziert — für Nachweis nach Incident und für Verbesserung der Regeln.

Maklerbüros mit weniger als zehn Postfächern profitieren besonders von zentraler Betreuung — ein Admin-Konto reicht oft, wenn es richtig geschützt ist.

Langfristige Pflege der Phishing-Abwehr

Quartalsweise: DMARC-Berichte prüfen, Postfach-Regeln stichprobenartig auditieren, neue Mitarbeitende in Meldeprozess einweisen. Halbjährlich: Zahlungsprozesse im Team durchsprechen, Pool-Zugänge gegen Personalliste abgleichen.

Jährlich: Phishing-Risiko-Check wiederholen oder externes Kurz-Review, Defender-Policies an aktuelle Lizenz anpassen, Incident-Runbook aktualisieren. Nach echtem Vorfall: Lessons Learned dokumentieren und in nächste Schulung einbauen.

Externer Partner lohnt, wenn niemand intern Zeit für Microsoft-365-Security hat — aber Geschäftsführung muss Zahlungs- und Meldeprozesse ownership behalten.

Der Phishing-Risiko-Check eignet sich als jährlicher Kompass — nicht um Schuldzuweisung, sondern um Budget und Reihenfolge der Maßnahmen zu schärfen.

Phishing bleibt die häufigste Eintrittstür — deshalb gehört E-Mail-Härtung an die Spitze jeder Makler-Roadmap.

Der Phishing-Risiko-Check ist der schnellste Einstieg.

Außendienst, Mobilgeräte und Schadenkommunikation unterwegs

Außendienstmitarbeitende lesen Schadenmail auf dem Handy, signieren PDFs unterwegs und nutzen manchmal private Mail-Apps für Dringlichkeit. Jedes Gerät mit Kundendaten braucht Bildschirmsperre, Verschlüsselung, aktuelle OS-Version und MFA für Firmenkonten. Remote-Lösch bei Verlust muss ohne Diskussion funktionieren — Ansprechpartner und Ablauf im Intranet, nicht nur in der IT-Dokumentation.

Schadenkommunikation mit Kunden per WhatsApp oder SMS ohne Regelwerk ist verbreitet und riskant: Screenshots mit Policennummern, weitergeleitete Gesundheitsfragen, keine Archivierung im CRM. Besser: definierte Kanäle — strukturierte Mail, Kundenportal des Versicherers, Teams-Kanal mit Berechtigung — und klares Verbot für Ad-hoc-Messenger mit vollständigen Unterlagen.

Der Phishing-Risiko-Check berücksichtigt auch organisatorische Lücken: fehlende Rückrufregeln, geteilte Pool-Passwörter, CRM-Exporte auf privaten Laptops. Technische Härtung ohne Mobile-Policy und Schaden-Ablauf bleibt halbherzig.

Maklerverbände veröffentlichen regelmäßig Warnungen vor Betrugsmustern — nutzen Sie diese als Gesprächsgrundlage im Team, statt nur intern weiterzuleiten. Ein kurzer monatlicher Abgleich mit Ihrer Checkliste schließt die Lücke zwischen Brancheninfo und Büroalltag.

Provisionsabrechnungen und Rückforderungen vom Versicherer sind zweites Betrugsziel neben Schadenzahlungen — dieselbe Rückrufregel gilt, auch wenn der Betrag kleiner wirkt.

Pool-Zugänge mit MFA des Versicherers aktivieren, sobald angeboten — viele Makler nutzen nur Passwort, obwohl der Anbieter stärkere Optionen bereitstellt.