Zertifiziert, aber sicher? Was ISO 27001 & TISAX für Versicherungs-IT-Dienstleister wirklich bedeuten

Zertifikate als Türöffner – aber wofür genau?

Wer als IT-Dienstleister im Versicherungsumfeld tätig ist, kommt an Sicherheitszertifizierungen kaum vorbei. Ausschreibungen verlangen sie, Auftraggeber setzen sie als Vertragsvoraussetzung, und Vorstände verweisen gerne auf sie als Beleg für "geprüfte Sicherheit". Doch in der Praxis herrscht häufig Unklarheit darüber, welches Zertifikat für welchen Zweck tatsächlich relevant ist – und was ein Zertifikat leisten kann, was es aber eben auch nicht kann. Besonders die Verwechslung von ISO 27001 und TISAX führt in der Versicherungsbranche regelmäßig zu Missverständnissen.

ISO 27001: Der branchenunabhängige Grundstein

ISO 27001 ist der international anerkannte Standard für ein Informationssicherheits-Managementsystem (ISMS). Die Norm definiert Anforderungen an Aufbau, Betrieb, Überwachung und kontinuierliche Verbesserung eines solchen Systems und ist branchenunabhängig einsetzbar – ob Finanzdienstleister, Gesundheitswesen oder IT-Dienstleister, der Standard funktioniert überall. Die aktuelle Fassung ISO/IEC 27001:2022 definiert 93 Controls in vier Kategorien: organisatorisch, personenbezogen, physisch und technologisch. Die Zertifizierung erfolgt durch akkreditierte Zertifizierungsstellen wie TÜV, DEKRA oder Bureau Veritas und wird weltweit anerkannt.

Für Versicherer und ihre IT-Dienstleister ist das aus mehreren Gründen relevant: Die aufsichtsrechtlichen Anforderungen der BaFin – früher das versicherungsspezifische Rundschreiben VAIT, inzwischen weitgehend in DORA aufgegangen – orientieren sich inhaltlich stark an ISO 27001. Ein ISMS nach ISO 27001 deckt damit große Teile der Anforderungen aus DORA und der DSGVO bereits ab, statt für jeden regulatorischen Standard separat von vorne zu beginnen.

TISAX: Ein Missverständnis, das sich hartnäckig hält

Anders als häufig angenommen, ist TISAX kein allgemeiner Sicherheitsstandard für regulierte Branchen, sondern ein Branchenlabel speziell für die Automobilindustrie. TISAX wurde 2017 vom Verband der Automobilindustrie (VDA) entwickelt und richtet sich an Zulieferer, Dienstleister und Partner, die mit sensiblen Daten von Automobilherstellern umgehen – etwa Entwicklungsinformationen oder Prototypen. Die Prüfung erfolgt nicht durch eine klassische Zertifizierungsstelle, sondern durch von der ENX Association akkreditierte Prüfdienstleister, und das Ergebnis ist streng genommen kein Zertifikat, sondern ein TISAX-Label mit einer Gültigkeitsdauer von drei Jahren.

Für IT-Dienstleister, die ausschließlich im Versicherungsumfeld tätig sind, ist TISAX in aller Regel schlicht nicht relevant – es sei denn, das Unternehmen bedient parallel auch Kunden aus der Automobilbranche. Wer TISAX dennoch als generellen "Sicherheitsnachweis" gegenüber Versicherern ins Feld führt, sollte sich bewusst sein, dass dies bei fachkundigen Auftraggebern eher Verwirrung stiftet als Vertrauen schafft.

Warum die Verwechslung trotzdem passiert

Die Unschärfe hat einen nachvollziehbaren Grund: TISAX basiert inhaltlich zu großen Teilen auf ISO 27001 und ISO 27002, sodass erhebliche Überschneidungen bestehen. Wer bereits ein ISMS nach ISO 27001 eingerichtet hat, hat damit den größten Teil der Vorarbeit für TISAX bereits geleistet. Der Prüfkatalog VDA ISA ergänzt die ISO-27001-Basis lediglich um automobilspezifische Zusatzanforderungen wie Prototypenschutz und ein eigenständiges DSGVO-Modul. Diese Nähe verleitet in der Kommunikation manchmal dazu, beide Zertifizierungen als weitgehend austauschbar darzustellen – fachlich ist das jedoch unpräzise.

Was für Versicherungs-IT-Dienstleister tatsächlich zählt

Für IT-Dienstleister, die im deutschen Versicherungsmarkt tätig sind oder tätig werden wollen, lassen sich die relevanten Nachweise klarer sortieren:

• ISO 27001 als Basisschicht. Ein zertifiziertes ISMS nach ISO 27001 ist der branchenübergreifend anerkannte Nachweis, den Versicherer und deren Auftraggeber in Ausschreibungen und Vertragsverhandlungen am häufigsten voraussetzen.
• DORA als sektorspezifische Ergänzung. Für Finanz- und Versicherungsdienstleister verpflichten EU-Vorgaben wie der Digital Operational Resilience Act (DORA) sowie die entsprechenden BaFin-Anforderungen Finanzinstitute und deren IT-Dienstleister zu hochgradig standardisierten Sicherheitskontrollen, die direkt auf ISO 27001 aufbauen. Ein ISO-27001-Zertifikat ersetzt DORA-Anforderungen nicht vollständig, bildet aber eine solide Grundlage dafür.
• TISAX nur bei tatsächlichem Automotive-Bezug. Relevant wird TISAX für Versicherungs-IT-Dienstleister ausschließlich dann, wenn parallel Aufträge aus der Automobilbranche bedient werden – etwa bei Dienstleistern, die sowohl Kfz-Versicherer als auch Automobilzulieferer betreuen.
• BSI IT-Grundschutz als deutschsprachige Alternative. Für Unternehmen mit engem Bezug zu deutschen Behörden oder kritischen Infrastrukturen kann der kostenlose, deutschsprachige BSI IT-Grundschutz als Einstieg oder Ergänzung sinnvoll sein, insbesondere da er auch als NIS2-Nachweis anerkannt wird.

Was ein Zertifikat leistet – und was nicht

Ein ISO-27001-Zertifikat ist ein wirksames Instrument, um wiederkehrende, individuelle Sicherheitsaudits durch Kunden zu vermeiden: Ohne Zertifikat verlangen Auftraggeber häufig eigene Sicherheitsprüfungen, die jeweils Wochen interner Vorbereitung kosten. Mit einem anerkannten Zertifikat entfallen viele dieser kundenspezifischen Prüfungen, weil der Standard als allgemein anerkannter Nachweis gilt.

Was ein Zertifikat jedoch nicht leistet, ist eine Garantie für tatsächliche Sicherheit im Alltag. Zertifizierung und Audit prüfen, ob ein Managementsystem den Normanforderungen entspricht und dokumentiert nachvollziehbar betrieben wird – sie sind ein Nachweis über Prozesse und Strukturen, kein Freibrief gegen Sicherheitsvorfälle. Auch regelmäßige Überwachungsaudits sichern lediglich, dass das ISMS grundsätzlich wirksam bleibt, ersetzen aber keine gelebte, tägliche Sicherheitskultur im Unternehmen.

Praktische Handlungsempfehlungen

• Zertifizierungsbedarf am tatsächlichen Kundenportfolio ausrichten. Bevor in ein zusätzliches Label wie TISAX investiert wird, sollte geprüft werden, ob überhaupt automobilnahe Aufträge vorliegen oder geplant sind.
• ISO 27001 konsequent als Basis für DORA-Compliance nutzen. Da die aufsichtsrechtlichen Anforderungen inhaltlich eng an ISO 27001 angelehnt sind, lohnt es sich, das ISMS von Beginn an so aufzubauen, dass es als Grundlage für weitere regulatorische Nachweise dient.
• Zertifikate in der Kommunikation präzise einordnen. Gegenüber Versicherern und deren Auftraggebern sollte klar kommuniziert werden, welches Zertifikat welchen konkreten Anwendungsbereich abdeckt – pauschale Verweise auf "Zertifizierungen" ohne Differenzierung wirken bei fachkundigen Ansprechpartnern eher unprofessionell.
• Zertifizierung als Ausgangspunkt, nicht als Ziel verstehen. Der eigentliche Mehrwert entsteht nicht durch das Zertifikat selbst, sondern durch das dahinterliegende, kontinuierlich gelebte Sicherheitsmanagement.

Fazit

ISO 27001 und TISAX lösen unterschiedliche Probleme für unterschiedliche Branchen – ihre inhaltliche Nähe verleitet zwar zur Verwechslung, rechtfertigt sie aber nicht. Für IT-Dienstleister in der deutschen Versicherungswirtschaft bleibt ISO 27001 der zentrale, branchenübergreifend relevante Nachweis, während TISAX nur bei echtem Automotive-Bezug eine Rolle spielt. Wer diese Unterscheidung sauber trifft, vermeidet nicht nur unnötige Zertifizierungskosten, sondern positioniert sich gegenüber Versicherern auch als fachlich kompetenter Partner.