Technische Nachweise für das Cyber-Underwriting
Der Versicherungsnehmer hat die Maßnahme angegeben. Im Schadenfall fehlte sie.
Zwischen der Selbstauskunft im Antrag und dem Gutachten im Schadenfall liegt eine Lücke, die heute niemand misst. Arandu testet jeden Versicherungsnehmer offensiv, in Infrastruktur und KI, und liefert je Maßnahme den Nachweis, auf den sich Prämie, Vertragsauflagen und Leistungsprüfung stützen.
Risikofragebogen zum AntragArandu-Nachweisauszug
| Maßnahme | Status |
|---|---|
| 01MFA für jeden privilegierten Zugang | JaVerifiziert |
| 02EDR auf allen Endpunkten aktiv | JaVerifiziert |
| 03API-Schlüssel nicht im Quellcode | JaExponiert |
| 04Scoring-Endpunkt mit Authentifizierung | JaOhne Authentifizierung |
| 05Chatbot von Kundendaten getrennt | JaDatenabfluss |
| 06Unveränderliches Backup, Restore getestet | JaNicht nachgewiesen |
6 von 6 Maßnahmen angegeben. Unterschrieben vom Versicherungsnehmer selbst.Von drei offenen Befunden hängt die Policierung ab. Zu jedem gibt es eine Behebung mit Frist.
Cyberversicherung in Brasilien · Jan.–Apr. 2026 gegenüber dem Vorjahreszeitraum
Gezahlte Schadenleistungen
+253,1 %
≈ R$ 30 Mio. in vier Monaten
Prämieneinnahmen
+71,1 %
R$ 134,6 Mio. Prämienvolumen
Die Schäden wachsen 3,5-mal so schnell wie die Prämien. Das Underwriting hält mit dem tatsächlichen Risiko nicht Schritt.
Quelle: CNseg, Jan.–Apr. 2026
Das Problem
Jede Cyberpolice beginnt mit einer Frage, die der Versicherungsnehmer allein beantwortet.
- 01
Selbstauskunft
Der Sicherheitsfragebogen erfasst, was der Versicherungsnehmer angibt. Was tatsächlich exponiert ist, bleibt außen vor, und nach der Policierung prüft es niemand erneut.
- 02
Missverhältnis
Die Schäden wachsen schneller als die Prämien: +253 % gegenüber +71 % in den ersten vier Monaten 2026.
- 03
Keine Überprüfung
Makler und Versicherer können die Angaben des Versicherungsnehmers technisch nicht überprüfen. Der Wille zur Prüfung ist da. Es fehlen die Daten.
- 04
Blinder Fleck KI
Chatbots, Scoring und KI-Agenten sind im Produktivbetrieb bereits Angriffsfläche. Kein marktüblicher Fragebogen fragt danach.
Arandu
Was Ihrem Underwriting fehlt, gemessen in der echten Umgebung des Versicherungsnehmers.
- 01
Technischer Nachweis bei Abschluss und Verlängerung
Echte Offensivtests gegen Infrastruktur, Anwendung und APIs des Versicherungsnehmers.
- 02
Laufendes Monitoring nach der Policierung
Regelmäßige Neubewertung über die gesamte Vertragslaufzeit. Ein Risiko, das im neunten Monat entsteht, wird im neunten Monat sichtbar.
- 03
KI fest im Prüfumfang
Chatbots, Kreditscoring und Agenten werden als Angriffsfläche getestet: Prompt-Injection, Datenabfluss über den Kontext, Missbrauch von Tools.
- 04
Jeder Befund mit Behebungsplan
Priorisierte Korrektur mit Frist. Schäden gehen zurück, sobald die Lücke geschlossen ist.
- 05
Siegel Arandu Verified
Versioniert und befristet. Der Versicherungsnehmer zeigt es vor, der Versicherer prüft es über die URL, und das Underwriting geht schneller.
- 06
Risikomodelle für die Segmente Ihres Bestands
PSTIs, Fintechs, Healthtechs, VC-finanzierte Start-ups, FIDCs und B2B-SaaS, jeweils mit eigener Gewichtung in der Note.
Vier Schritte vom Antrag bis zum Monitoring während der Laufzeit.
-
Tag 0
01Der Versicherungsnehmer durchläuft die Arandu-Diagnose bei Abschluss oder Verlängerung der Police.
-
48–72 h
02Technischer Nachweis je Maßnahme, übersetzt in eine Risikonote nach Segment.
-
Vor der Policierung
03Der Versicherer nutzt die Note für die Prämie, knüpft die Policierung an Bedingungen oder verlangt Korrekturen vor Abschluss.
-
Während der Laufzeit
04Regelmäßige Neubewertungen speisen das Risikomonitoring bis zum letzten Tag der Police.
Aus der Praxis
Ohne Zugangsdaten fanden wir innerhalb weniger Minuten exponierte API-Schlüssel in der Produktivumgebung, Endpunkte ohne Authentifizierung und keinen einzigen Security Header, auf einer Plattform, die bereits Kundendaten verarbeitete. Nach genau solchen Lücken fragt kein Underwriting-Fragebogen, und sie zeigen sich zuerst als Schadenfall.
Für wen
Vier Adressaten erhalten denselben Nachweis. Jeder trifft damit eine andere Entscheidung.
„Existiert wirklich, was der Versicherungsnehmer angegeben hat?“
„Wie lege ich dem Versicherer ein Risiko vor, das ich vertreten kann?“
„Wie hoch ist das Cyberrisiko beim Zielunternehmen, und lässt es den Deal platzen?“
„Wie weise ich nach, dass ich sicher bin?“
Was auf dem Tisch landet
Sechs Ergebnisse, von der Kurzfassung fürs Gremium bis zur Datei fürs Technikteam.
- 01
Score Card
Gesamtnote von A bis F und Teilnoten je Kategorie: KI, Infrastruktur, Daten, Cloud und Compliance.
PDF, 1 Seite + Web-Dashboard
- 02
Management Summary
Drei Seiten für das Gremium: K.-o.-Befunde, quantifiziertes Risiko und empfohlene Schritte.
PDF
- 03
Technische Befunde
Jede Schwachstelle mit Nachweis, Schweregrad, Ausnutzbarkeit und Auswirkung auf das Geschäft.
Web-Dashboard + JSON-API
- 04
Deal-Breaker-Bericht
Was die Policierung oder das Investment stoppen oder aufschieben sollte, mit dem Nachweis zu jedem Punkt.
PDF, 2 Seiten
- 05
Siegel Arandu Verified
Digitales Siegel mit Version und Ablaufdatum, über eine öffentliche URL prüfbar.
SVG + Verifizierungsseite
- 06
Behebungsleitfaden
Liste der Korrekturen nach Priorität, mit geschätztem Aufwand.
Markdown + PDF
Berichte auf Portugiesisch, Englisch, Spanisch, Deutsch, Französisch und Italienisch.
Abgrenzung
Reputationsscanner, KI-Governance-Plattform oder Arandu: drei verschiedene Antworten.
Zur Seite ziehen, um die ganze Tabelle zu sehen
| Kriterium | Externe ScannerBitSight, SecurityScorecard | KI-GovernanceCredo AI, OneTrust | AranduCOST + Agent SPM |
|---|---|---|---|
| Datenquelle | Öffentliche externe Signale: DNS, Zertifikate, Leaks | Erklärte Richtlinien und Dokumenteninventar | Offensivtest in der Umgebung des Versicherungsnehmers |
| Prüftiefe | Von außen sichtbare Oberfläche, ohne Ausnutzung | Dokumentenbasiert; das Produktivsystem bleibt ungetestet | Echte Ausnutzung von Infrastruktur, Anwendung und API |
| KI-Angriffsfläche | Nicht abgedeckt | Auf dem Papier: Konformität und Modell-Tracking | Chatbot, Scoring und Agenten im Produktivbetrieb getestet |
| Operatives Risiko | Reputationsnote ohne Behebungsplan | Verfolgt Konformität; die Exposition bleibt außen vor | Befund mit priorisierter Behebung und Frist |
| Tauglich fürs Underwriting | Indikativ; trägt keine Vertragsauflage | Behandelt weder Prämienkalkulation noch Schaden | Nachweis je Maßnahme, Note je Segment und Neubewertung während der Laufzeit |
Fragen
Fragen aus dem Underwriting.
01Wie fügt sich Arandu in unseren Underwriting-Prozess ein?
Die Bewertung ist ein technischer Schritt vor der Policierung. Der Versicherungsnehmer durchläuft die Diagnose, und der Versicherer erhält Note je Maßnahme und Nachweisbericht im selben Ablauf, in dem heute der Fragebogen eingeht. Die Ergebnisse kommen als Bericht, strukturierte Tabelle oder per API, ohne Änderungen an den Underwriting-Systemen.
02Ersetzt das den Sicherheitsfragebogen, den wir bereits nutzen?
Nein. Der Fragebogen hält weiterhin die Angaben des Versicherungsnehmers fest, samt der vorvertraglichen Anzeigepflicht, die daran hängt. Arandu prüft technisch, was angegeben wurde, und deckt ab, wonach das Formular nicht fragt, vor allem KI-Angriffsfläche, offengelegte Zugangsdaten und Endpunkte ohne Authentifizierung.
03Wie funktionieren Partnerschaft und Provision für Makler?
Der Makler vermittelt den Versicherungsnehmer an die Bewertung und erhält eine Vergütung je abgeschlossenem Vertrag mit Arandu-Nachweis. Für Tier-1-Makler, die die Bewertung im gesamten Bestand standardisieren, gibt es ein Volumenmodell mit Preis je Bewertung und bevorzugter Bearbeitung.
04Welche Segmente decken Sie heute ab?
PSTIs (IT-Dienstleister im brasilianischen Zahlungsverkehr), Fintechs und Zahlungsinstitute, Krankenhäuser und Healthtechs, VC-Fonds und M&A-Zielunternehmen, FIDCs und Verwalter digitaler Kreditportfolios, B2B-SaaS und Dienstleistungsunternehmen. Jedes Segment hat ein eigenes Risikomodell und eigene Gewichtungen in der Note.
05Wie läuft der KI-Sicherheitstest ab (Chatbot, Scoring, Agenten)?
Das Modell im Produktivbetrieb wird als Angriffsfläche behandelt: Prompt-Injection, Datenabfluss über den Kontext, Umgehung von Richtlinien, Manipulation des Kreditscorings und Missbrauch von Agenten mit Tool-Zugriff. Das Ergebnis geht als eigener Prüfpunkt in die Note ein, getrennt von der Infrastrukturbewertung.
06Wie lange dauert die Bewertung?
48 bis 72 Stunden für die Standardbewertung, ab Freigabe des Prüfumfangs. Komplexe Umgebungen, etwa mehrere Tochtergesellschaften, die Anbindung an ein Kernbankensystem oder Agenten mit Zugriff auf sensible Daten, brauchen 5 bis 10 Werktage.