Anmelden
Versicherungen · VAG 2016 · DORA

Schaden-Posteingang.Maklerkommunikation.Versicherung E-Mail-Sicherheit nach VAG 2016.

MailGuard plus SecureMail für Erst- und Rückversicherer unter FMA-Aufsicht, mit Bezug zum VAG 2016, zu Solvency II und zu DORA. Schadensakten verschlüsseln, Maklerkommunikation absichern, prüfungsfest gegenüber der FMA. EU-Hosting, Stand 2026.

Demo anfragenMailGuard im Detail
Auf einen BlickStand 2026

Schaden, Vertrieb, Makler und Rückversicherer in einer Plattform.

  • Phishing und CEO-Fraud in Schaden-Sammelpostfächern, gefälschte Polizei- oder Werkstatt-Mails an SchadenstellenMehrstufige BEC- und URL-Reputations-Schicht, DMARC-Auswertung und IBAN-Wechsel-Heuristik im Posteingang
  • Maklerpost und Anwaltskorrespondenz als manueller Risikoschritt, Excel-mit-Passwort-per-SMS-WorkaroundSecureMail-Default mit S/MIME oder Web-Reader-Fallback direkt aus Outlook Classic, New oder Web
  • Aufsichts- und DORA-Prüfung ohne dokumentiertes Maßnahmen-Mapping, Prüfer fragen nach NachweisenEIOPA-Leitlinien zur IKT-Sicherheit und DORA Art. 6 bis 15 prüffähig als technische Maßnahme im internen Kontrollsystem hinterlegt
MailGuard für Schaden- und Vertriebs-Posteingänge gegen CEO-Fraud bei Schadensauszahlungen, SecureMail für Anwalts-, Sachverständigen- und Maklerpost mit S/MIME-Default direkt aus Outlook, SecureFiles für Schadensakten und Rückversicherungs-Bordereaux, Disclaimer für Pflichtangaben pro Sparte. Bezug zum VAG 2016 und zu DORA auf der Maßnahmenebene, prüffähig gegenüber der FMA dokumentiert und an den EIOPA-Leitlinien zur IKT-Sicherheit und -Governance ausgerichtet.
Geeignet für Sie wenn:Erst- und RückversichererFMA-AufsichtVAG 2016 · Solvency II · DORA
100 %
EU-Hosting
EIOPA + DORA
Bezug
VAG 2016
Geschäftsorganisation
30 Min.
Setup je Postfach

Compliance-Anker

EIOPA-Leitlinien zur IKT-Sicherheit und -GovernanceDORA Art. 6 bis 15 IKT-RisikomanagementVAG 2016 – Anforderungen an die Geschäftsorganisation und an die AusgliederungDSGVO und DSG, Aufsicht durch die Datenschutzbehörde

Conbool unterstützt die Anforderungen aus dem VAG 2016, aus Solvency II und aus DORA auf der Ebene technischer Maßnahmen im Mail- und Datentransport. Aufsichtspflichten, das interne Kontrollsystem und die Verantwortung des Vorstands verbleiben beim Versicherungsunternehmen.

Vier Bausteine für den Versicherer.

MailGuard für Schaden- und Vertriebspost, SecureMail für Anwalts-, Makler- und Sonderpost, SecureFiles für Bordereaux und Schadensakten, Disclaimer für VVG-Pflichtangaben pro Sparte und Vertriebskanal.

MailGuard

MailGuard

BEC-, Phishing- und Anhang-Schutz für Schaden-, Vertriebs-, Makler- und Innendienst-Posteingänge. Besonders relevant für Sammelpostfächer mit Schadens-Meldungen aus dem Maklernetz und für Auszahlungs-Anweisungen, die das klassische Ziel von CEO-Fraud sind. Mehrstufiger Anhangsfilter mit CDR für Anhänge wie Polizei- oder Werkstatt-PDFs, IBAN-Wechsel-Heuristik in Mail-Threads, Lookalike-Domain-Erkennung pro Sparte.

MailGuard im Detail
SecureMail

SecureMail

Verschlüsselte Korrespondenz an Rechtsanwälte, medizinische Gutachter, KFZ-Sachverständige und Versicherungsnehmer. S/MIME-Default oder Web-Reader-Fallback ohne Zertifikat-Pflicht beim Empfänger, direkt aus dem gewohnten Outlook-Add-in in Classic, New oder Web. Policy pro Sparte, automatische Klassifizierung anhand des Empfängers, kein Medienbruch zu Mandantenportalen oder externen Plattformen.

SecureMail im Detail
DMARC

SecureFiles

Sicherer Transfer für Bordereaux, Schadensakten, Heilbehandlungs-Unterlagen und Rückversicherungs-Verträge. Audit-Log pro Zugriff, Aufbewahrung pro Schadenfall, Empfänger-Authentifizierung statt offener Download-Links. Getrennte Postkörbe pro Maklerpool, automatische Löschfristen entsprechend den versicherungsrechtlichen Aufbewahrungsfristen.

SecureFiles im Detail
Disclaimer

Disclaimer

Pflichtangaben pro Sparte und Vertriebskanal serverseitig. Vorstand, Sitz, Firmenbuchnummer, FMA-Konzession und der Hinweis auf die Eintragung des Vermittlers im GISA nach den Bestimmungen der Gewerbeordnung, jeweils zentral aus Entra ID, Active Directory oder LDAP gepflegt. Eine Änderung im Vorstand oder bei der Konzession wird einmal zentral gepflegt und ist sofort konzernweit konsistent.

Disclaimer im Detail
Typische Workflows

Vier Szenarien aus dem Versicherer.

Vom Schaden über den Makler bis zur Rückversicherung.

1

Schaden-Sammelpostfach gegen Phishing und CEO-Fraud schützen

Gefälschte Schadensmeldungen im Sammelpostfach, die Sachbearbeiter zum Klick auf vermeintliche Polizei- oder Werkstattbelege verleiten, blockiert MailGuard auf SPF-, DKIM- und DMARC-Ebene plus Anhangsfilter mit CDR. Auszahlungs-Anweisungen mit gefälschtem Vorstands-Absender und plausibler Schaden-Nummer werden über das BEC-Modul erkannt, bevor sie an die Buchhaltung weitergeleitet werden. Auffällige IBAN-Wechsel im Mail-Thread lösen eine Warnung im Posteingang aus.

2

Schadensakten an Anwalt und Sachverständige verschlüsselt versenden

Streitfälle, Klage-Akten und Heilbehandlungs-Belege gehen aus Outlook an die Kanzlei, den medizinischen Gutachter oder den KFZ-Sachverständigen mit S/MIME oder Web-Reader. Keine separate Plattform, kein Medienbruch, kein Excel-mit-Passwort-per-SMS-Workaround mehr. Die Klassifizierung erfolgt automatisch anhand der Empfänger-Domain oder einer Sparten-Policy, der Sachbearbeiter muss nichts manuell entscheiden.

3

Maklerkommunikation und Bordereaux absichern

Tagesbordereaux, Schadenreservierungen und Vermittlerprovisionen tauschen Sie mit dem Vertriebs- und Maklernetz über SecureFiles aus. Empfänger-Authentifizierung statt offener Link, getrennte Postkörbe pro Maklerpool oder Generalagentur, Audit-Log für das interne Kontrollsystem und die interne Revision. Maßgebend ist eine prüffähige Linie für die Maklerkommunikation, wie sie die FMA im Rahmen der Geschäftsorganisation nach dem VAG 2016 erwartet.

4

Audit-Trail für FMA und DORA bereitstellen

Das Audit-Log nach DSGVO Art. 30 mit Empfangs-, Lese-, Lösch- und Entschlüsselungs-Events liefert der internen Revision und dem FMA-Prüfer den Nachweis der technischen Maßnahmen sowie der DORA-Resilienz-Tests auf der Mail-Ebene. Bei einer Vor-Ort-Prüfung der FMA dient das Log als technischer Nachweis, im DORA-Threat-Led-Penetration-Test nach Art. 26 als Logging-Quelle für die Detektion, im Solvency-II-Säule-2-Reporting als Bestandteil der Governance-Dokumentation.

Architektur

Conbool als unabhängige Schicht vor M365 und Bestandssystem.

Conbool sitzt als Mail-Gateway vor Microsoft 365 oder Exchange. Bestandsführungs-, Schadens-, Lebens- und Kompositsysteme bleiben unverändert, das Outlook-Add-in funktioniert in Classic, New und Web parallel, ohne Workflow-Bruch im Schaden-Sachbearbeiter-Frontend.

MX-Switch

Eingehender SMTP läuft über Conbool, Microsoft 365 bleibt das E-Mail-Backend, kein Eingriff in den Mail-Flow der Bestandssysteme der Sparten Leben, Komposit und Kraftfahrt.

Sicherheits- und DORA-Schicht

Konfiguration als technische Maßnahme im Maßnahmenplan und im DORA-IKT-Risikoregister hinterlegbar, Versionsstand pro Policy nachvollziehbar für den FMA-Prüfer.

SIEM-Anschluss

Audit-Log per Syslog- oder REST-Connector ans Versicherer-SIEM, Korrelation mit Defender, Sentinel oder Splunk in der Konzern-Cyber-Defense und im SOC.

Coexistence Bestand und Schaden

Conbool koexistiert mit gängigen Bestandsführungs- und Schadensystemen über Outlook und SMTP, der Workflow im Schaden-Sachbearbeiter-Frontend bleibt identisch, keine API-Eingriffe in das Kernsystem nötig.

Compliance-Mapping

VAG 2016, Solvency II und DORA technisch umgesetzt.

Das VAG 2016 setzt die Anforderungen an die Geschäftsorganisation, Art. 41 der Solvency-II-Richtlinie und Art. 258 der Delegierten Verordnung (EU) 2015/35 konkretisieren das Governance-System, Art. 274 derselben Verordnung regelt die Ausgliederung, und DORA gilt seit dem 17.01.2025 unmittelbar für die digitale operationale Resilienz. Conbool deckt Maßnahmen auf der Mail- und Datenebene und liefert sie prüffähig dokumentiert.

Informationssicherheit nach den EIOPA-Leitlinien

Verschlüsselung, Integritätssicherung und Verfügbarkeitsmaßnahmen auf der Mail-Ebene, dokumentiert als technische Maßnahme im Maßnahmenplan.

Ausgliederung nach Art. 274 der Delegierten Verordnung

DPA nach Art. 28 DSGVO, Sub-Prozessor-Liste, Audit-Recht und Exit-Klausel für Conbool als IKT-Drittdienstleister, abgestimmt mit den EIOPA-Leitlinien zur Auslagerung an Cloud-Anbieter.

DORA Art. 28 bis 30 Drittdienstleister

Conbool führt das DORA-Register-Format mit, einschließlich Kritikalitätsbewertung, Konzentrationsrisiko-Hinweis und Exit-Strategie pro Konzern-Tochter.

Geschäftsorganisation nach VAG 2016

Conbool als technische Komponente der Geschäftsorganisation gegenüber dem FMA-Prüfer dokumentierbar, inklusive Verantwortlichkeiten im Governance-System, Anbindung an das interne Kontrollsystem und Solvency-II-Säule-2-Bezug.

Migration

Pilot in einer Sparte, dann Konzern-Rollout.

Pilot in einer Sparte, Tochter oder Region, dann gestaffelter Konzern-Rollout über das Microsoft-Admin-Center. Parallelbetrieb zur bestehenden SEG-Lösung in einer kontrollierten Auslaufphase, kein Big-Bang im Kerngeschäft.

Pilot je Sparte

Eine Sparte, etwa Kraftfahrt, Sach oder Leben, oder eine Auslandsgesellschaft startet, der Rest des Konzerns bleibt im Status quo.

Konzern-Rollout per AD

Outlook-Add-in über das Microsoft-Admin-Center und Active Directory ausrollen, Policies pro Sparte aus dem AD-Group-Membership ableitbar.

Defense-in-Depth

Conbool als unabhängige Schicht, optional in Kombination mit Microsoft Defender for Office 365 oder Sophos, kein Single-Vendor-Konzentrationsrisiko im Sinne von DORA Art. 29.

Auslauf der Altlösung

Bestehende SEG, Filter- oder Verschlüsselungs-Plattform läuft parallel aus, Auslaufphase je Sparte sauber dokumentierbar für die Innenrevision und die externe Prüfung, Migration der Archiv- und Audit-Log-Bestände in das neue System inklusive.

Häufige Fragen

Wie passt Conbool zu den Anforderungen der FMA und ist DORA bereits abgedeckt?
Die FMA erwartet von Versicherungsunternehmen eine Geschäftsorganisation nach dem VAG 2016, die IKT-Risiken einschließt; Maßstab dafür sind die EIOPA-Leitlinien zur IKT-Sicherheit und -Governance. Conbool liefert Maßnahmen zur Informationssicherheit, zum Identitäts- und Rechtemanagement und zur Ausgliederung auf der Mail- und Datenebene. DORA gilt seit 17.01.2025 auch für Versicherungsunternehmen; die einschlägigen Anforderungen aus Art. 6 bis 15 IKT-Risikomanagement und Art. 28 bis 30 Drittdienstleister sind in der DPA und im DORA-Register-Format adressiert, inklusive Kritikalitätsbewertung und Konzentrationsrisiko-Hinweis für den Vorstand. Der Übergang in die Solvency-II-Säule-2-Governance ist in der Dokumentation berücksichtigt.
Wie sieht die Ausgliederung nach Art. 274 der Delegierten Verordnung und DORA Art. 28 aus?
Conbool ist IKT-Drittdienstleister im Sinne von DORA und Dienstleister einer Ausgliederung im Sinne von Art. 274 der Delegierten Verordnung (EU) 2015/35. Wir liefern DPA nach Art. 28 DSGVO, Sub-Prozessor-Liste, Audit-Recht, Exit-Klausel und das DORA-Register-Format mit Kritikalitätsbewertung. Die EIOPA-Leitlinien zur Auslagerung an Cloud-Anbieter sind berücksichtigt, ebenso die Anforderungen an die Wesentlichkeitsbeurteilung und an die Anzeige einer wichtigen Ausgliederung an die FMA.
Wie unterstützt Conbool die Maklerkommunikation Versicherung und die Bordereaux-Abwicklung?
Tagesbordereaux, Schadensreservierungen, Provisionsabrechnungen und Vertragsdaten gehen über SecureFiles mit Empfänger-Authentifizierung statt offener Download-Links oder einfacher Excel-Anhänge mit Passwort. Pro Maklerpool, Generalagentur oder Vermittler mit Gewerbeberechtigung nach der Gewerbeordnung lassen sich getrennte Postkörbe mit eigener Policy aufsetzen, die Aufbewahrung pro Vertragsfall ist konfigurierbar. Das Audit-Log dokumentiert jeden Zugriff für das interne Kontrollsystem, die interne Revision und eine Vor-Ort-Prüfung der FMA, auch bei der Beendigung von Vermittler-Verträgen mit nachvollziehbarem Sperr- und Lösch-Workflow.
Wir haben Konzern-Sparten und Auslandsgesellschaften. Lässt sich das sauber trennen?
Ja. Conbool unterstützt Multi-Tenant-Setups mit getrennten Policies pro Sparte Leben, Komposit, Kfz oder Industrie, pro Konzern-Tochter oder pro Auslandsgesellschaft. Alternativ läuft ein zentraler Tenant mit AD-Group-basierter Steuerung. Die technischen Maßnahmen sind pro Mandant separat dokumentierbar, das DORA-Register kann pro Rechtseinheit geführt werden, ohne dass der Konzern den Überblick verliert.
Wie schützt Conbool gegen CEO-Fraud bei Schadens-Auszahlungen und Rückversicherer-Zahlungen?
Auszahlungs-Anweisungen mit gefälschtem Vorstands- oder Schaden-Absender werden über das BEC-Modul auf SPF-, DKIM-, DMARC- und Display-Name-Ebene erkannt. Lookalike-Domains, Reply-To-Manipulationen und auffällige IBAN-Wechsel in Mail-Threads führen zu Warnungen im Posteingang der Schaden-Sachbearbeiter und der Buchhaltung. Bei Rückversicherer-Zahlungen ergänzt eine Heuristik für untypische Empfänger-Banken aus Drittstaaten den Schutz, ohne legitime Cross-Border-Zahlungen, etwa an die Lloyd's-Syndikate oder an Münchner und Schweizer Rückversicherer, zu blockieren. Im Zusammenspiel mit der Vier-Augen-Pflicht der Buchhaltung schließt das die typische CEO-Fraud-Lücke der Versicherungswirtschaft.
Wie sieht das Vorgehen bei FMA-Prüfungen und DORA-Resilienztests konkret aus?
Conbool führt ein Audit-Log nach DSGVO Art. 30 mit Empfangs-, Lese-, Lösch- und Entschlüsselungs-Events sowie Policy-Hits aus dem MailGuard-Regelwerk. Bei einer Vor-Ort-Prüfung der FMA und im DORA-Threat-Led-Penetration-Test nach Art. 26 dient es als Nachweis der technischen Maßnahmen und der Resilienz-Tests auf der Mail-Ebene. Die Aufbewahrung ist konfigurierbar, typisch sieben Jahre für geschäftsrelevante Kommunikation nach § 132 BAO und § 212 UGB, mit getrennter Aufbewahrungs-Policy für Lebens- und Krankenversicherung, wo Ansprüche über deutlich längere Zeiträume laufen. Die Schnittstelle zur internen Revision und zum FMA-Prüfer ist als Export-Funktion ausgeführt.
Wie steht Conbool zum Datenschutz und zur spartenspezifischen Aufbewahrung?
Für österreichische Versicherer gelten die DSGVO und das Datenschutzgesetz unmittelbar, mit der Datenschutzbehörde als Aufsicht. Conbool unterstützt die geforderten Schutzmaßnahmen mit Transportverschlüsselung, S/MIME-Default, EU-Hosting und einem prüffähigen Audit-Log. Der Auftragsverarbeitungsvertrag nach Art. 28 DSGVO und die TOM-Dokumentation nach Art. 32 sind enthalten. Aufbewahrungsfristen sind pro Sparte konfigurierbar, von sieben Jahren nach § 132 BAO für die abgabenrechtlich relevante Kommunikation bis zu längeren Zeiträumen in der Lebens- und Krankenversicherung, wo Ansprüche und Nachweispflichten über Jahrzehnte reichen. Der Umgang mit besonderen Kategorien personenbezogener Daten nach Art. 9 DSGVO, etwa Gesundheitsdaten im Schaden- und Krankenversicherungsbereich, ist in der Klassifizierungs-Policy berücksichtigt.

Verwandte Lösungen

Hornetsecurity-Alternative

Deutsche MailGuard-Alternative nach der Proofpoint-Übernahme.

Barracuda-Alternative

Module je Postfach statt Planstufen, deutscher Vertragspartner.

Phishing-Schutz

BEC, Spear-Phishing und QR-Code-Phishing erkennen und entfernen.

Phishing-Simulation

Was durch den Filter kommt, mit dem Team üben statt hoffen.

Ransomware-Schutz E-Mail

Mehrstufige Anhang-Filter und URL-Reputation gegen Ransomware-Kampagnen.

Spam-Filter Unternehmen

Spam und unerwünschte Massenmail mit DACH-Heuristiken filtern.

CEO-Fraud-Schutz

BEC und CEO-Fraud-Attacken über Authentifizierungs-Layer abwehren.

DANE und TLSA

Manipulationssichere Transportverschlüsselung nach BSI TR-03108, gegen Downgrade und MITM.

Directory-Harvesting-Schutz

Abwehr von Adress-Sammlern, bevor gültige Postfächer in Spam-Datenbanken landen.

Verwandte Branchen

Conbool ist in benachbarten Branchen mit ähnlichem Compliance-Profil im Einsatz.

Banken & Sparkassen

BaFin-Schwester mit BAIT, MaRisk AT 7.2 und DORA — gleicher Aufsichtsmaßstab.

Automotive & Zulieferer

KFZ-Schadenregulierung, Produkthaftung und OEM-Korrespondenz.

Anwaltskanzlei

Rechtsschutzversicherung, Berufshaftpflicht und tägliche Anwaltskorrespondenz.

VAG-2016- und DORA-fähiger Stack für den österreichischen Versicherer.

Demo in 30 Minuten. Pilot in einer Sparte oder Auslandsgesellschaft. Modular pro Funktion und pro Postfach, mit Konzern-Volumenrabatten und Multi-Tenant-Steuerung pro Rechtseinheit.

Demo anfragenMailGuard im Detail

Quellen und Stand

Aussagen zum VAG 2016 basieren auf dem österreichischen Versicherungsaufsichtsgesetz 2016 in der geltenden Fassung. Aussagen zu Solvency II basieren auf der Richtlinie 2009/138/EG, insbesondere Art. 41 Governance-System, und auf der Delegierten Verordnung (EU) 2015/35, insbesondere Art. 258 und Art. 274. Aussagen zu DORA basieren auf der Verordnung (EU) 2022/2554 über die digitale operationale Resilienz im Finanzsektor, anwendbar seit 17.01.2025, einschließlich der einschlägigen technischen Regulierungsstandards. Aussagen zu EIOPA-Leitlinien basieren auf den Veröffentlichungen der Europäischen Aufsichtsbehörde für das Versicherungswesen und die betriebliche Altersversorgung, insbesondere den Leitlinien zur IKT-Sicherheit und -Governance und zur Auslagerung an Cloud-Anbieter. Aussagen zur DSGVO basieren auf der Verordnung (EU) 2016/679, insbesondere Art. 9, Art. 28, Art. 30 und Art. 32, ergänzt durch das österreichische Datenschutzgesetz. Aussagen zur Aufbewahrung beziehen sich auf § 132 BAO und § 212 UGB. Stand 2026.

FMA und EIOPA sind Bezeichnungen der jeweiligen Aufsichtsbehörden. Microsoft, Microsoft 365, Defender und Outlook sind Marken der Microsoft Corporation. Sophos, Splunk und Sentinel sind Marken der jeweiligen Inhaber. Conbool ist eine Marke der Conbool GmbH.