Im 1. Teil erfahren wir, wie es der Helvetia im Vorjahr gegangen ist und wie man sich auf DORA vorbereitet hat und was das für die Zusammenarbeit zwischen Vermittler und Versicherer bedeutet. Braucht es etwa neue Agenturverträge? Auch der Einsatz von Künstlicher Intelligenz kam zur Sprache.

Ein Gespräch mit Werner Panhauser über Künstliche Intelligenz, DORA und die Rolle der Vermittler: „KI ist ein Werkzeug – kein Ersatz für den Menschen“.

IVVA: Herr Panhauser, seit Monaten scheint Künstliche Intelligenz, also KI in aller Munde zu sein. Laut einer aktuellen Studie des MIT, dem Massachusetts Institute of Technology, immerhin eine der renommiertesten technischen Hochschulen der Welt, sind KI-Systeme in der Lage, Menschen zu täuschen, selbst wenn sie auf Ehrlichkeit trainiert wurden. Sie „halluzinieren“ Fakten, die oft täuschend echt wirken. Ist es angesichts solcher Risiken wirklich sinnvoll, KI im sensiblen Versicherungsbereich einzusetzen, wo es um die Absicherung gegen existentielle Risiken geht?

Werner Panhauser: Das sogenannte „Halluzinieren“ ist ein bekanntes Phänomen, dessen wir uns sehr bewusst sind. Mit der dritten KI-Welle – den sogenannten „Agents“ – ist es mittlerweile möglich, KI-Antworten so zu steuern, dass sie in den allermeisten Fällen korrekt sind oder im Zweifel an einen Menschen weiterleiten. Wir sehen KI daher primär als Unterstützungstool für fachkundige Vermittler – nicht als direkten Ansprechpartner für Kundinnen und Kunden. Unser Zugang ist: Offen sein für neue Technologien, aber mit Verantwortung.

IVVA: Seit Januar 2025 ist die EU-Verordnung DORA (Digital Operational Resilience Act) anzuwenden. Wie bereitete sich Ihr Haus darauf vor?

Panhauser: Wir arbeiten seit über eineinhalb Jahren an einem strategischen DORA-Umsetzungsprojekt, das direkt beim Vorstand angesiedelt ist. Unser Ziel ist es, noch widerstandsfähiger gegenüber Technik-Störungen und Angriffen von außen zu werden und gleichzeitig die regulatorischen Anforderungen zu erfüllen. Wir haben unter anderem eine umfassende Gap-Analyse durchgeführt, viele Maßnahmen gesetzt, inklusive eines erfolgreichen Live-Tests im Mai 2025.

IVVA: Darf ich zur besseren Klarheit nachfragen, was genau eine Gap-Analyse ist?

Panhauser: Bei „Gap“ werden viele Menschen an die Durchsagen in der Londoner U-Bahn erinnert werden: „Mind the gap“, also die Warnung aufzupassen, weil ein Spalt zwischen U-Bahn-Zug und Bahnsteig ist, in den man nicht reinfallen soll. Bei einer Gap-Analyse versucht man festzustellen, ob es eine Lücke gibt, zwischen dem aktuellen Zustand und dem gewünschten Zielzustand zu identifizieren. Sie hilft dabei, Lücken („Gaps“) in Prozessen, Fähigkeiten, Ressourcen oder Leistungen zu erkennen.

IVVA: Mit welchem Ergebnis?
Panhauser: Wir haben neue Prozesse zur Überwachung und Meldung von IKT-Risiken eingeführt, die ITK-Risiko-Kontrollfunktion besetzt, unsere internen Richtlinien überarbeitet. Außerdem wurden unsere Notfall- und Wiederherstellungspläne sowie Testpläne aktualisiert. Parallel dazu haben wir unsere Verträge mit IKT-Dienstleistern überprüft und angepasst. Ein weiterer Schwerpunkt lag auf der Sensibilisierung und Schulung unserer Mitarbeitenden – insbesondere in den Bereichen IT, Compliance und Risikomanagement. Denn DORA ist nicht nur eine technische, sondern auch eine kulturelle Herausforderung. Wir sehen DORA nicht als reine Regulierung, sondern als Chance, unsere digitale Widerstandsfähigkeit nachhaltig zu stärken.

IVVA: Wir beim IVVA sind überzeugt, dass DORA auch Vermittler betreffen wird – etwa durch neue Anforderungen der Produktgeber. Wie sehen Sie das?

Panhauser: Absolut richtig. Auch wenn Versicherungsvermittler nicht direkt unter die DORA fallen, sind sie Teil unseres erweiterten digitalen Ökosystems, das DORA adressiert. Deshalb haben wir sie aktiv in unsere Vorbereitungen eingebunden. Denn wir bei Helvetia haben erkannt: Die digitale Resilienz, also Widerstandsfähigkeit, endet nicht an der Unternehmensgrenze.

IVVA: Und wie planen Sie die Vermittler einzubinden?

Panhauser: Wir haben unsere Vermittler bereits in unsere DORA-Vorbereitungen eingebunden, konkret in mehreren Bereichen: Wir haben technische und organisatorische Maßnahmen zur Absicherung der Kommunikation eingeführt, um die Datenübertragung zwischen Vermittler und unserem Haus abzusichern. Weiters werden unsere Vermittler gezielt zu Themen wie Cyberhygiene, Phishing-Prävention und Datenschutz (samt sicherem Umgang mit Kundendaten) geschult. Denn menschliches Fehlverhalten ist nach wie vor auf der ganzen Welt eine der größten Schwachstellen der digitalen Resilienz.

IVVA: Wird es auch neue Agenturverträge geben, die hinsichtlich DORA adaptiert werden?

Panhauser: Ja, unsere neuen Kooperationsverträge enthalten DORA-relevante Anforderungen, etwa zur Meldepflicht bei IKT-Störungen. Oder zur Nutzung bestimmter IT-Systeme, die DORA-konforme Sicherheitsstandards erfüllen müssen. Und die Vermittler profitieren ganz besonders, wenn sie unsere Vertriebsportale nutzen, weil wir hier DORA-konforme Sicherheitsstandards importiert haben.

IVVA: Was müssen Vermittler konkret tun, um weiterhin mit Ihnen zusammenarbeiten zu können?

Panhauser: Es gibt vier zentrale Anforderungen. Erstens müssen Vermittler ihre eigenen IKT-Systeme so absichern, dass sie keine Schwachstelle in unserem digitalen Ökosystem darstellen. Dazu gehören aktuelle Antiviren-Software, Firewalls, regelmäßige Updates, sichere Passwörter und gegebenenfalls Zwei-Faktor-Authentifizierung. Zweitens muss der Austausch sensibler Daten über verschlüsselte Kanäle erfolgen – idealerweise über unsere Plattformen. Drittens müssen sie uns IT-Störungen oder Cybervorfälle zeitnah gemeldet werden. Diese Pflicht wird vertraglich geregelt. Und viertens werden unsere Kooperationsverträge DORA-konform angepasst – das ist Voraussetzung für die weitere Zusammenarbeit.

Nächste Woche erfahren wir mehr über neue Produkte und Dienstleistungen. U.a. erfahren wir, dass auch moderne Risiken abgedeckt werden können. Und wie man HORA nutzen kann, um Risiken zu identifizieren. Die gesetzliche Weiterbildungspflicht kam ebenso zur Sprache wie auch NATKAT.