Geschäftsleitung
Die Verantwortung bleibt bei der Geschäftsleitung (§ 25b Abs. 2 Satz 1 KWG); Leitungsaufgaben sind nicht auslagerbar (AT 9 Tz. 4 MaRisk). Sie empfängt die Berichterstattung des zentralen Auslagerungsmanagements (Tz. 13).
Fachbeitrag Auslagerungsmanagement
Wann liegt eine Auslagerung vor? Prüfschema nach KWG, MaRisk und DORA
§ 25b KWGAT 9 MaRiskDORAEBA/GL/2026/09
Management Summary
Wann liegt eine Auslagerung vor? Die Antwort entscheidet bei jedem Dienstleister darüber, ob Risikoanalyse, Vertragsinhalte, Registereintrag, Anzeigepflichten und Prüfungsrechte der Aufsicht greifen oder ob es bei den allgemeinen Anforderungen an die Geschäftsorganisation bleibt. Seit DORA tritt eine dritte Kategorie hinzu: IKT-Dienstleistungen unterliegen nicht mehr AT 9 MaRisk, sondern dem IKT-Drittparteienrisikomanagement nach Art. 28–30 DORA.
Die Grundlage bilden § 25b KWG und AT 9 Tz. 1 MaRisk. Eine Auslagerung setzt voraus, dass ein anderes Unternehmen Aktivitäten und Prozesse mit institutstypischem Bezug wahrnimmt, die das Institut sonst selbst erbringen würde. Zivilrechtliche Gestaltungen schließen das nicht von vornherein aus: Maßgeblich ist der wirtschaftliche Gehalt, nicht das Etikett des Vertrags.
Für die Praxis genügt ein Prüfschema in fünf Schritten. Es beginnt mit der IKT-Frage, führt über Unternehmensbezug, institutstypischen Bezug und Eigenerbringung zur Abgrenzung des sonstigen Fremdbezugs und endet bei einer Auslagerung mit Registereintrag und Risikoanalyse zur Wesentlichkeit.
Der Rechtsrahmen bewegt sich: Neue MaRisk-Anforderungen der 9. Novelle gelten nach Übergangsfrist ab 01.01.2027, die BAIT werden mit Ablauf des 31.12.2026 aufgehoben, und die EBA hat im September 2026 Leitlinien zum Drittparteirisiko (EBA/GL/2026/09) veröffentlicht, deren Anwendungsdatum noch offen ist.
Inhaltsverzeichnis
- Die gesetzliche Grundlage: § 25b KWG
- Die Definition in AT 9 Tz. 1 MaRisk
- Keine Auslagerung: sonstiger Fremdbezug
- Die neue Weiche: IKT-Dienstleistungen und DORA
- Das Prüfschema in fünf Schritten
- Wesentlich oder nicht wesentlich
- Geldwäsche-Funktionen: GwG und AMLR
- Ausblick: vom Outsourcing zum Drittparteirisiko
- Fristen und Zeitpunkte 2026/2027
- Pflichten nach Funktion
- Typische Schwachstellen bei der Einstufung
- Quick-Check: Wie belastbar ist Ihre Einstufung?
- No-Regret-Maßnahmen und Checkliste
- Fazit
- FAQ
- Quellenverzeichnis
Die gesetzliche Grundlage: § 25b KWG
Geltendes Recht § 25b Abs. 1 Satz 1 KWG verlangt angemessene Vorkehrungen, wenn ein Institut Aktivitäten und Prozesse auf ein anderes Unternehmen auslagert, „die für die Durchführung von Bankgeschäften, Finanzdienstleistungen oder sonstigen institutstypischen Dienstleistungen wesentlich sind“, um „übermäßige zusätzliche Risiken zu vermeiden“. Die Auslagerung darf weder die Ordnungsmäßigkeit der Geschäfte noch die Geschäftsorganisation nach § 25a Abs. 1 KWG beeinträchtigen (Satz 2). Nach Satz 4 führt das Institut ein Auslagerungsregister, in dem sämtliche wesentlichen und nicht wesentlichen Auslagerungen zu erfassen sind.
Zwei Grundsätze gelten ausnahmslos:
- Keine Übertragung der Verantwortung: Die Auslagerung darf nicht zu einer Übertragung der Verantwortung der Geschäftsleiter an das Auslagerungsunternehmen führen (§ 25b Abs. 2 Satz 1 KWG).
- Aufsicht bleibt handlungsfähig: Auskunfts- und Prüfungsrechte der BaFin müssen auch bei Auslagerungen in EWR- und Drittstaaten gewährleistet sein (§ 25b Abs. 3 Satz 1 KWG); eine schriftliche Vereinbarung mit Weisungs- und Kündigungsrechten ist Pflicht (§ 25b Abs. 3 Satz 3 KWG).
Für andere Sektoren gelten Parallelnormen: § 26 ZAG (Zahlungs- und E-Geld-Institute), § 36 KAGB (Kapitalverwaltungsgesellschaften) und § 32 VAG (Ausgliederung bei Versicherungsunternehmen).
Die Definition in AT 9 Tz. 1 MaRisk
Geltendes Recht Die MaRisk definieren in AT 9 Tz. 1:
„Eine Auslagerung liegt vor, wenn ein anderes Unternehmen mit der Wahrnehmung von Aktivitäten und Prozessen im Zusammenhang mit der Durchführung von Bankgeschäften, Finanzdienstleistungen oder sonstigen institutstypischen Dienstleistungen beauftragt wird, die ansonsten vom Institut selbst erbracht würden. Zivilrechtliche Gestaltungen und Vereinbarungen können dabei das Vorliegen einer Auslagerung nicht von vornherein ausschließen.“
Daraus ergeben sich drei Tatbestandsmerkmale:
- Anderes Unternehmen: auch Gruppengesellschaften und Verbundunternehmen.
- Institutstypischer Bezug: Die Tätigkeit steht im Zusammenhang mit Bankgeschäften, Finanzdienstleistungen oder sonstigen institutstypischen Dienstleistungen.
- Ersatz von Eigenleistung: Die Tätigkeit würde ansonsten vom Institut selbst erbracht.
Der Satz zu zivilrechtlichen Gestaltungen ist der Praxiskern: Ein Vertrag mit dem Etikett „Dienstleistungsvertrag“, „Kooperation“ oder „Lizenz“ schließt eine Auslagerung nicht aus. Maßgeblich ist der wirtschaftliche Gehalt.
Praxis-Tipp: Lassen Sie die Einstufung nicht vom Einkauf anhand der Vertragsbezeichnung treffen. Legen Sie fest, dass jede neue Dienstleisterbeziehung über ein kurzes Einstufungsformular beim zentralen Auslagerungsmanagement läuft (AT 9 Tz. 12 MaRisk).
Keine Auslagerung: sonstiger Fremdbezug
Geltendes Recht Nach den Erläuterungen zu AT 9 Tz. 1 MaRisk ist der sonstige Fremdbezug keine Auslagerung. Dazu zählen:
- der einmalige oder gelegentliche Fremdbezug von Gütern und Dienstleistungen,
- Leistungen, die typischerweise von einem beaufsichtigten Unternehmen bezogen werden und vom Institut weder zum Zeitpunkt des Bezugs noch künftig selbst erbracht werden können.
Auch beim sonstigen Fremdbezug bleiben die allgemeinen Anforderungen an eine ordnungsgemäße Geschäftsorganisation nach § 25a Abs. 1 KWG zu beachten. Fremdbezug ist also nicht „regelfrei“, sondern nur von den besonderen AT-9-Pflichten befreit.
Typische Einordnung (Beispiele, keine amtliche Liste)
| Leistung | Einordnung | Begründung |
|---|---|---|
| Einmaliges Rechtsgutachten zu einer Produktfrage | sonstiger Fremdbezug | einmalig |
| Reinigung, Kantine, Gebäudebewachung | kein Auslagerungstatbestand | kein institutstypischer Bezug |
| Dauerhafte Wahrnehmung der Internen Revision durch eine Prüfungsgesellschaft | Auslagerung, in der Regel wesentlich | besondere Funktion, AT 9 Tz. 5 und 10 MaRisk |
| Externer Geldwäschebeauftragter | Auslagerung, zusätzlich GwG-Anforderungen | Erläuterung zu AT 9 Tz. 1 MaRisk verweist auf GwG und AMLR |
| Telefonischer Kundenservice für Kreditkarteninhaber | in der Regel Auslagerung | würde sonst vom Institut selbst erbracht |
| Cloud-Hosting, Rechenzentrum, Kernbanksoftware als Service | IKT-Dienstleistung nach DORA | nicht AT 9, sondern Art. 28–30 DORA |
Die neue Weiche: IKT-Dienstleistungen und DORA
Geltendes Recht Die 9. MaRisk-Novelle hat die Abgrenzung ausdrücklich geregelt. In den Erläuterungen zu AT 9 Tz. 1 heißt es: „Ausgelagerte oder fremdbezogene IKT-Dienstleistungen gemäß Art. 3 Nr. 21 DORA, die dem IKT-Drittparteienrisikomanagement gemäß Art. 28-30 DORA unterliegen, fallen nicht in den Anwendungsbereich des AT 9.“
Für diese Leistungen gilt:
- Informationsregister nach Art. 28 Abs. 3 DORA über sämtliche Vereinbarungen zu IKT-Dienstleistungen. IKT-Auslagerungen sind davon nur eine Teilmenge.
- Jährliche Einreichung über die Melde- und Veröffentlichungsplattform (MVP) der BaFin mit Stichtag 31.12. des Vorjahres; 2026 lief die Einreichung im März.
- Bei IKT-Dienstleistungen für kritische oder wichtige Funktionen müssen Sie alle Unterauftragnehmer erfassen, die die Leistung wirksam unterstützen, und die BaFin zeitnah informieren, wenn Sie entsprechende Verträge planen.
Übergang Die BAIT gelten nicht für DORA-Institute und werden mit Ablauf des 31.12.2026 vollständig aufgehoben. VAIT, KAIT und ZAIT sind bereits seit Ablauf des 16.01.2025 aufgehoben. Verweise auf „BAIT, KAIT, VAIT, ZAIT“ als geltende Grundlage sind daher zu streichen.
Praxis-Tipp: Prüfen Sie die IKT-Frage zuerst. Ist die Leistung eine IKT-Dienstleistung nach Art. 3 Nr. 21 DORA, führen Sie sie im DORA-Informationsregister und nicht zusätzlich als AT-9-Auslagerung. Bei gemischten Leistungen, etwa einem Buchhaltungsservice mit eigener Software des Dienstleisters, dokumentieren Sie, welcher Leistungsanteil prägend ist.
Weiterführend: DORA, NIS-2 und CRA aus Sicht der Governance.
Wann liegt eine Auslagerung vor? Das Prüfschema in fünf Schritten
| Schritt | Prüffrage | Fundstelle | Ergebnis bei „Ja“ |
|---|---|---|---|
| 1 | Ist die Leistung eine IKT-Dienstleistung nach Art. 3 Nr. 21 DORA? | Erläuterung zu AT 9 Tz. 1 MaRisk; Art. 28–30 DORA | DORA-Pfad, Informationsregister |
| 2 | Wird ein anderes Unternehmen, auch innerhalb der Gruppe, beauftragt? | AT 9 Tz. 1 MaRisk | weiter mit Schritt 3 |
| 3 | Besteht ein Zusammenhang mit Bankgeschäften, Finanzdienstleistungen oder institutstypischen Dienstleistungen? | § 25b Abs. 1 Satz 1 KWG; AT 9 Tz. 1 MaRisk | weiter mit Schritt 4 |
| 4 | Würde das Institut die Tätigkeit sonst selbst erbringen? | AT 9 Tz. 1 MaRisk | weiter mit Schritt 5 |
| 5 | Liegt ein sonstiger Fremdbezug vor (einmalig oder gelegentlich; typischerweise von einem beaufsichtigten Unternehmen bezogen und nicht selbst erbringbar)? | Erläuterung zu AT 9 Tz. 1 MaRisk | kein AT 9, aber § 25a Abs. 1 KWG |
Lautet die Antwort in Schritt 5 „Nein“, liegt eine Auslagerung vor. Sie wird im Auslagerungsregister erfasst (§ 25b Abs. 1 Satz 4 KWG) und durchläuft die Risikoanalyse zur Wesentlichkeit.
Wesentlich oder nicht wesentlich: die Risikoanalyse
Geltendes Recht Nach AT 9 Tz. 2 MaRisk legt das Institut auf Grundlage einer Risikoanalyse eigenverantwortlich fest, welche Auslagerungen wesentlich sind. Die Analyse ist regelmäßig zu überprüfen, bei kleinen Instituten alle drei Jahre, und zusätzlich bei wesentlichen Änderungen. Soweit sinnvoll, sind Szenarioanalysen einzubeziehen; kleine Institute dürfen qualitativ vorgehen. Besonders intensiv zu prüfen sind Auslagerungen von Risikocontrolling, Compliance, Interner Revision und Kernbankbereichen.
Die Folgen der Einstufung
| Einstufung | Pflichten |
|---|---|
| Nicht wesentliche Auslagerung | Registereintrag; Anforderungen nach § 25a Abs. 1 KWG (AT 9 Tz. 3 MaRisk); sonstige Sicherheitsanforderungen auch vertraglich vereinbaren |
| Wesentliche Auslagerung | Vertragsinhalte nach AT 9 Tz. 7 a)–n) MaRisk; Exit- und Notfallvorkehrungen (Tz. 6); Steuerung anhand von KPIs und KRIs (Tz. 9); Berichterstattung an die Geschäftsleitung (Tz. 13); unverzügliche Anzeige von Absicht und Vollzug nach § 24 Abs. 1 Nr. 19 KWG |
Die Anzeigepflicht nach § 24 Abs. 1 Nr. 19 KWG umfasst auch „wesentliche Änderungen und schwerwiegende Vorfälle im Rahmen von bestehenden wesentlichen Auslagerungen, die einen wesentlichen Einfluss auf die Geschäftstätigkeit des Instituts haben können“. Die BaFin kann nach § 44 Abs. 1 KWG Prüfungen auch beim Auslagerungsunternehmen durchführen.
Grenzen: Leitungsaufgaben der Geschäftsleitung sind nicht auslagerbar; das Institut darf nicht zur „leeren Hülle“ werden (AT 9 Tz. 4 MaRisk). Eine Vollauslagerung von Risikocontrolling, Compliance oder Interner Revision ist nur in den Fällen von AT 9 Tz. 5 MaRisk zulässig; dann ist ein Beauftragter zu benennen (Tz. 10).
Weiterführend: Pflichten des Auslagerungsbeauftragten.
Geldwäsche-Funktionen: GwG heute, AMLR ab 10.07.2027
Geltendes Recht Die Erläuterungen zu AT 9 Tz. 1 MaRisk stellen klar, dass bei Auslagerungen von Geldwäsche-Aufgaben zusätzlich GwG und AMLR anzuwenden sind. Nach § 6 Abs. 7 GwG dürfen interne Sicherungsmaßnahmen durch Dritte durchgeführt werden, wenn dies vorher der Aufsichtsbehörde angezeigt wurde. Die Übertragung von Sorgfaltspflichten auf Dritte richtet sich nach § 17 GwG.
Künftiges Recht Ab dem 10.07.2027 regelt Art. 18 der Verordnung (EU) 2024/1624 (AMLR) die Auslagerung von AML-Aufgaben unmittelbar; die Verantwortung bleibt beim Verpflichteten.
Weiterführend: Seminare zur Geldwäscheprävention.
Ausblick: vom Outsourcing zum Drittparteirisiko
Künftiges Recht Die EBA hat im September 2026 die Leitlinien zum Management des Drittparteirisikos bei Nicht-IKT-Leistungen (EBA/GL/2026/09) veröffentlicht. Sie ersetzen ab ihrem Anwendungsdatum die Auslagerungsleitlinien EBA/GL/2019/02. Die wichtigsten Punkte nach dem Final Report:
- Neuer Oberbegriff: Erfasst ist jede „third-party arrangement“, also jede wiederkehrende oder laufende Leistungsbeziehung, auch gruppenintern. Die Auslagerung ist nur noch eine Teilmenge.
- Klare Trennung: IKT-Dienstleistungen nach Art. 3 Nr. 21 DORA sind ausgenommen.
- Fokus auf kritische oder wichtige Funktionen: Die strengeren Anforderungen gelten für Vereinbarungen, die solche Funktionen unterstützen.
- Register: Das Register für Nicht-IKT-Vereinbarungen kann mit dem DORA-Informationsregister kombiniert werden.
- Zeitplan: Die Leitlinien gelten für Vereinbarungen, die ab dem Anwendungsdatum geschlossen, überprüft oder geändert werden. Für bestehende Vereinbarungen zu kritischen oder wichtigen Funktionen ist nach derzeitigem Stand eine zweijährige Übergangsfrist vorgesehen; andere Vereinbarungen werden bei Verlängerung angepasst.
Das Anwendungsdatum ist noch offen; es wird nach Übersetzung in die Amtssprachen festgelegt. Ob und wie die BaFin AT 9 MaRisk daraufhin anpasst, ist ebenfalls noch offen.
Aufsichtsfokus: Die Bundesbank nennt die Konzentration von Auslagerungen auf Cloudanbieter als Schwerpunkt der Bankenaufsicht 2026 bis 2028; die BaFin führt die Konzentration bei IKT-Auslagerungen in „Risiken im Fokus 2026“ als Fokusrisiko.
Einordnung der ESMA-Grundsätze: Die von der ESMA im Juni 2025 veröffentlichten 14 Grundsätze zum Drittparteirisiko sind eine gemeinsame Aufsichtsgrundlage für die nationalen Behörden und die ESMA. Sie richten sich an die Aufsicht und begründen keine unmittelbaren Pflichten für Kreditinstitute.
Praxis-Tipp: Erweitern Sie Ihre Bestandsaufnahme schon jetzt vom Auslagerungsregister auf ein Drittparteiregister: Ordnen Sie jede Leistung einer unterstützten Funktion zu und markieren Sie, ob diese kritisch oder wichtig ist. So sind Sie für die EBA-Leitlinien vorbereitet, ohne Ihre AT-9-Einstufung zu verlieren.
Weiterführend: Seminare zum Auslagerungs-Controlling.
Fristen und Zeitpunkte 2026/2027
Trennung der Rechtsstände
| Rechtsstand | Inhalt |
|---|---|
| Geltend | § 25b KWG (Fassung FISG, seit 01.01.2022); Anzeige wesentlicher Auslagerungen nach § 24 Abs. 1 Nr. 19 KWG; AT 9 MaRisk in der Fassung der 9. Novelle (Rundschreiben 06/2026 (BA)); EBA/GL/2019/02; für IKT-Dienstleistungen Art. 28–30 DORA mit Informationsregister nach Art. 28 Abs. 3 DORA |
| Übergang | Neue MaRisk-Anforderungen der 9. Novelle: Übergangsfrist bis 01.01.2027; BAIT nur noch für Nicht-DORA-Institute, vollständige Aufhebung mit Ablauf des 31.12.2026; VAIT, KAIT und ZAIT seit Ablauf des 16.01.2025 aufgehoben |
| Künftig | EBA/GL/2026/09 (veröffentlicht im September 2026): ersetzt EBA/GL/2019/02 ab einem noch offenen Anwendungsdatum; nationale Umsetzung durch die BaFin noch offen |
Fahrplan
| Zeitpunkt | Maßnahme |
|---|---|
| Q4 2026 | Bestand prüfen: jede Leistung als IKT-Dienstleistung, Auslagerung oder sonstigen Fremdbezug einstufen; Verweise auf BAIT, VAIT, KAIT und ZAIT bereinigen |
| bis 31.12.2026 | Stichtag für das DORA-Informationsregister; Ablösung der BAIT abschließen |
| bis 01.01.2027 | zusätzliche Anforderungen der 9. MaRisk-Novelle umsetzen |
| 2027 | Einreichung des DORA-Informationsregisters nach Ankündigung der BaFin (2026: März) |
| ab 10.07.2027 | AMLR anwenden, auch Art. 18 bei Auslagerung von AML-Aufgaben |
| ab Anwendungsdatum EBA/GL/2026/09 | neue Leitlinien für neue und geänderte Vereinbarungen; Übergangsfrist für bestehende Vereinbarungen zu kritischen oder wichtigen Funktionen |
Pflichten nach Funktion
Die Einstufung berührt mehrere Rollen. Die folgende Übersicht ordnet die Normen aus diesem Beitrag der jeweils zuständigen Funktion zu.
Zentrales Auslagerungsmanagement und Auslagerungsbeauftragter
Steuerung anhand von KPIs und KRIs (Tz. 9), zentrales Auslagerungsmanagement (Tz. 12), Beauftragter bei Vollauslagerung besonderer Funktionen (Tz. 10), Auslagerungsregister (§ 25b Abs. 1 Satz 4 KWG).
Einkauf und Fachbereiche
Jede neue Dienstleisterbeziehung läuft über das Einstufungsformular. Die Vertragsbezeichnung ersetzt keine Einstufung (AT 9 Tz. 1 MaRisk).
IT und IKT-Verantwortliche
IKT-Dienstleistungen nach Art. 3 Nr. 21 DORA im Informationsregister führen (Art. 28 Abs. 3 DORA), Unterauftragnehmer bei kritischen oder wichtigen Funktionen erfassen.
Compliance und Geldwäscheprävention
Bei Auslagerungen von Geldwäsche-Aufgaben zusätzlich GwG und AMLR beachten, einschließlich vorheriger Anzeige nach § 6 Abs. 7 GwG und ab 10.07.2027 Art. 18 AMLR.
Interne Revision
Auslagerungen der Internen Revision sind besonders intensiv zu prüfen (AT 9 Tz. 2) und nur in den Fällen von AT 9 Tz. 5 MaRisk als Vollauslagerung zulässig.
Typische Schwachstellen bei der Einstufung
Einstufung nach dem Vertragsetikett
Ein Vertrag namens „Kooperation“ oder „Lizenz“ schließt eine Auslagerung nicht aus. Normbezug: AT 9 Tz. 1 Satz 2 MaRisk.
Doppelte Erfassung von IKT-Leistungen
IKT-Dienstleistungen gehören in das DORA-Informationsregister und nicht zusätzlich in die AT-9-Steuerung. Normbezug: Erläuterung zu AT 9 Tz. 1 MaRisk; Art. 28 Abs. 3 DORA.
Fremdbezug ohne Begründung
„Sonstiger Fremdbezug“ wird festgestellt, aber nicht dokumentiert. Auch dann gilt § 25a Abs. 1 KWG. Normbezug: Erläuterung zu AT 9 Tz. 1 MaRisk.
Lückenhaftes Register
Nur wesentliche Auslagerungen stehen im Register. Es umfasst jedoch auch nicht wesentliche. Normbezug: § 25b Abs. 1 Satz 4 KWG.
Gemischte Leistungen
Dienstleistungen mit IKT-Anteil werden pauschal einer Kategorie zugeordnet. Der prägende Leistungsanteil sollte dokumentiert werden; die Abgrenzung nach dem Final Report zu EBA/GL/2026/09 ist zu beobachten.
Veraltete Normverweise
BAIT, VAIT, KAIT und ZAIT erscheinen noch als geltende Grundlage. VAIT, KAIT und ZAIT sind seit Ablauf des 16.01.2025 aufgehoben, die BAIT entfallen mit Ablauf des 31.12.2026.
Quick-Check: Wie belastbar ist Ihre Einstufung?
Wählen Sie den Zustand, der Ihre heutige Einstufungspraxis am besten beschreibt. Die Auswertung erscheint darunter und kommt ohne JavaScript aus.
Noch keine Auswahl getroffen. Wählen Sie oben einen Zustand.
Empfehlung bei „Erfüllt“
Starten Sie eine Gap-Analyse zu EBA/GL/2026/09 und erweitern Sie das Auslagerungsregister schrittweise zu einem Drittparteiregister mit Zuordnung zu kritischen oder wichtigen Funktionen.
Empfehlung bei „Teilweise“
Stufen Sie den Bestand im vierten Quartal 2026 neu ein: IKT-Frage zuerst, dann die Merkmale aus AT 9 Tz. 1 MaRisk, Fremdbezug schriftlich begründen und veraltete Normverweise bereinigen.
Empfehlung bei „Offen“
Legen Sie zuerst die Zuständigkeit beim zentralen Auslagerungsmanagement fest (AT 9 Tz. 12 MaRisk) und führen Sie ein Einstufungsformular für jede neue Dienstleisterbeziehung ein. Danach folgt die Bestandseinstufung nach dem Prüfschema.
No-Regret-Maßnahmen und Checkliste
Die folgenden Maßnahmen zahlen unabhängig vom Anwendungsdatum der EBA-Leitlinien ein. Sie lassen sich als Checkliste abarbeiten:
- Einstufungsformular für jede neue Dienstleisterbeziehung eingeführt
- IKT-Frage nach Art. 3 Nr. 21 DORA als erster Prüfschritt dokumentiert
- Fremdbezug begründet (einmalig oder gelegentlich; beaufsichtigter Anbieter)
- alle wesentlichen und nicht wesentlichen Auslagerungen im Register (§ 25b Abs. 1 Satz 4 KWG)
- Risikoanalyse nach AT 9 Tz. 2 MaRisk mit Überprüfungsturnus
- Vertragsinhalte nach AT 9 Tz. 7 a)–n) MaRisk bei wesentlichen Auslagerungen
- Anzeigen nach § 24 Abs. 1 Nr. 19 KWG fristgerecht abgegeben
- Exit- und Notfallplanung nach AT 9 Tz. 6 MaRisk
- Bericht des zentralen Auslagerungsmanagements an die Geschäftsleitung (AT 9 Tz. 13 MaRisk)
- Gap-Analyse zu EBA/GL/2026/09 gestartet
Fazit
Wann liegt eine Auslagerung vor? Wenn ein anderes Unternehmen institutstypische Aktivitäten und Prozesse wahrnimmt, die das Institut sonst selbst erbringen würde, und kein sonstiger Fremdbezug und keine IKT-Dienstleistung nach DORA vorliegt. Die Vertragsbezeichnung entscheidet das nicht.
Kernbotschaften
- IKT-Frage zuerst: IKT-Dienstleistungen nach Art. 3 Nr. 21 DORA laufen über Art. 28–30 DORA, nicht über AT 9 MaRisk.
- Fremdbezug ist nicht regelfrei: § 25a Abs. 1 KWG bleibt anwendbar, die Begründung gehört in die Dokumentation.
- Das Auslagerungsregister umfasst wesentliche und nicht wesentliche Auslagerungen.
- Der Rechtsrahmen bewegt sich: Aufhebung der BAIT zum 31.12.2026, MaRisk-Übergang bis 01.01.2027, EBA/GL/2026/09 mit offenem Anwendungsdatum.
FAQ
Ist eine Auslagerung innerhalb der Gruppe auch eine Auslagerung?+–
Ja. AT 9 Tz. 1 MaRisk stellt auf ein „anderes Unternehmen“ ab. AT 9 Tz. 14 MaRisk sieht für Gruppen und Verbünde jedoch Erleichterungen vor, etwa bei der Risikoanalyse und beim zentralen Auslagerungsmanagement.
Muss ich nicht wesentliche Auslagerungen erfassen?+–
Ja. Das Auslagerungsregister umfasst nach § 25b Abs. 1 Satz 4 KWG sämtliche wesentlichen und nicht wesentlichen Auslagerungen.
Ist mein Cloud-Anbieter eine Auslagerung nach AT 9?+–
Nein, wenn es sich um eine IKT-Dienstleistung nach Art. 3 Nr. 21 DORA handelt. Dann gelten Art. 28–30 DORA und das DORA-Informationsregister.
Kann ein Vertrag die Auslagerung ausschließen?+–
Nein. Nach AT 9 Tz. 1 MaRisk schließen zivilrechtliche Gestaltungen eine Auslagerung nicht von vornherein aus. Maßgeblich ist der wirtschaftliche Gehalt der Leistung.
Wann muss ich die BaFin informieren?+–
Bei wesentlichen Auslagerungen unverzüglich über die Absicht und den Vollzug sowie über wesentliche Änderungen und schwerwiegende Vorfälle (§ 24 Abs. 1 Nr. 19 KWG). Bei IKT-Dienstleistungen für kritische oder wichtige Funktionen gilt der DORA-Pfad.
Gelten die neuen EBA-Leitlinien schon?+–
Nein. EBA/GL/2026/09 ist final, das Anwendungsdatum steht aber noch nicht fest. Bis dahin gelten die Auslagerungsleitlinien EBA/GL/2019/02.
Quellenverzeichnis
Primärquellen zuerst; je Eintrag eine Zeile zur Einordnung. PDF-Dateien sind gekennzeichnet.
EU-Rechtsakte
- Verordnung (EU) 2022/2554 (DORA) – Art. 28–30: IKT-Drittparteienrisikomanagement, Informationsregister nach Art. 28 Abs. 3.
- Verordnung (EU) 2024/1624 (AMLR) – Art. 18: Auslagerung von AML-Aufgaben, anwendbar ab 10.07.2027.
Gesetze des Bundes
- § 25b KWG – Auslagerung von Aktivitäten und Prozessen, Auslagerungsregister.
- § 24 KWG – Anzeigepflicht zu wesentlichen Auslagerungen (Abs. 1 Nr. 19).
- § 44 KWG – Prüfungen auch beim Auslagerungsunternehmen.
- § 6 GwG – Interne Sicherungsmaßnahmen durch Dritte nach vorheriger Anzeige (Abs. 7).
Aufsichtsbehörden
- BaFin: Rundschreiben 06/2026 (BA), MaRisk – AT 9 und Erläuterungen in der Fassung der 9. Novelle.
- BaFin: Meldung zur 9. MaRisk-Novelle – Veröffentlichung im Juni 2026 und Übergangsfrist bis 01.01.2027.
- BaFin: Register und Anzeigepflichten – Informationsregister nach DORA, Meldeweg über die MVP.
- BaFin: Workshop Einreichung der Informationsregister 2026 (PDF) – Einreichungszeitraum 2026 und Einordnung der IKT-Auslagerungen als Teilmenge.
- BaFin: Risiken im Fokus 2026 – Konzentration bei IKT-Auslagerungen als Fokusrisiko.
- Deutsche Bundesbank: BAIT und DORA – BAIT gelten nicht für DORA-Institute, Aufhebung zum Jahresende 2026.
- Deutsche Bundesbank: Schwerpunkte der Bankenaufsicht – Konzentration von Auslagerungen auf Cloudanbieter, 2026 bis 2028.
Europäische Aufsichtsbehörden
- EBA: Final Report zu EBA/GL/2026/09 (PDF) – Leitlinien zum Drittparteirisiko bei Nicht-IKT-Leistungen.
- EBA: Leitlinien zum Drittparteirisiko – Status der Leitlinien (final, Übersetzung ausstehend).
- EBA: Pressemitteilung zu den Leitlinien – Einordnung des Schwerpunkts auf kritische oder wichtige Funktionen.
- ESMA: Grundsätze zur Aufsicht über das Drittparteirisiko – Gemeinsame Aufsichtsgrundlage für nationale Behörden und ESMA, keine unmittelbaren Pflichten für Kreditinstitute.
Verwandte Leistungen und Programme
Pflichten des Auslagerungsbeauftragten
Aufgaben, Berichtswege und Abgrenzung zur Geschäftsleitung.
Zum FachbeitragLehrgang Auslagerungsbeauftragter
Qualifizierung für Einstufung, Steuerung und Berichterstattung.
Zum LehrgangAuslagerungs-Controlling-Seminare
Seminarübersicht zu Steuerung und Controlling von Auslagerungen.
Zur ÜbersichtDORA und NIS-2 Seminare
IKT-Drittparteienrisiko, Informationsregister und Governance.
Zu den SeminarenSeminare Geldwäsche
GwG und AMLR für Auslagerungen von Geldwäsche-Aufgaben.
Zu den SeminarenMaRisk- und WpHG-Compliance-Lehrgang
Aufsichtsrechtliche Grundlagen für Compliance-Funktionen.
Zum LehrgangFehlen intern die Kapazitäten, kann die operative Umsetzung extern unterstützt werden. Dazu finden Sie Informationen bei S+P Compliance.
Dieser Beitrag dient der Fachinformation und ersetzt keine Rechtsberatung.
Über den Autor
Achim Schulz
Geschäftsführer S+P Compliance & S+P Unternehmerforum · langjährige Vorstands- & Geschäftsführungserfahrung
Achim Schulz kennt die Führungsebene aus eigener Verantwortung – langjährig als Vorstand bei Banken und Geschäftsführer sowie als Interim-Manager in Industrieunternehmen. Diese Doppelperspektive aus Finanzsektor und Realwirtschaft prägt seine Beiträge für CEO, COO und CFO. Er kennt das Zusammenspiel von Geschäftsleitung, Aufsichtsrat und Gesellschaftern aus der Praxis und übersetzt strategische wie aufsichtsrechtliche Anforderungen in umsetzbare, haftungssichere Führungsentscheidungen – praxisnah und auf Augenhöhe mit dem Management.
LinkedIn-Profil → · Redaktion & Experten →Seminare & Lehrgänge
Plattform & Methodik
Über S+P
