Option ohne Substanz
„Wir suchen dann einen neuen Anbieter“ benennt weder Alternative noch Zeitbedarf.
Normbezug: AT 9 Tz. 6 MaRisk 10.0; EBA/GL/2026/09 Rn. 46 f)
Fachbeitrag · Auslagerungsmanagement
Auslagerung Ausstiegsstrategie: Handlungsoptionen, Plan und Test
Beim Thema Auslagerung Ausstiegsstrategie geht es um eine einfache Frage: Bist du handlungsfähig, wenn eine Auslagerung endet? Jede Auslagerung endet irgendwann – geplant durch Kündigung, ungeplant durch Insolvenz des Dienstleisters, einen Cyberangriff oder eine anhaltende Schlechtleistung. Die Aufsicht erwartet, dass dein Institut vorher weiß, wohin die Leistung wandert, wie lange das dauert und was es kostet.
Management Summary
AT 9 Tz. 6 MaRisk 10.0 verlangt bei wesentlichen Auslagerungen, dass dein Institut Handlungsoptionen prüft und verabschiedet und, soweit sinnvoll und möglich, Ausstiegsstrategien festlegt. Für IKT-Dienstleistungen zu kritischen oder wichtigen Funktionen geht Art. 28 Abs. 8 DORA weiter: Ausstiegsstrategien sind zwingend, die Ausstiegspläne müssen ausreichend getestet und regelmäßig überprüft werden. Art. 10 der Delegierten Verordnung (EU) 2024/1773 konkretisiert den Plan je Vertrag.
Die EBA-Leitlinien EBA/GL/2026/09 wurden im September 2026 veröffentlicht. Sie übertragen den Maßstab auf Leistungen zu kritischen oder wichtigen Funktionen insgesamt und ersetzen mit ihrer Anwendung die EBA/GL/2019/02. Ein Anwendungsdatum steht zum Rechtsstand Oktober 2026 noch nicht fest; maßgeblich wird sein, ab wann die Leitlinien in Deutschland angewendet werden.
Trenne in deiner Dokumentation drei Ebenen – Handlungsoption, Ausstiegsstrategie, Ausstiegsplan – und zwei Rechtsregime: Nicht-IKT-Auslagerungen nach MaRisk und EBA-Leitlinien, IKT-Dienstleistungen nach DORA. Die Gruppenerleichterung in AT 9 Tz. 14 d) MaRisk 10.0 gilt nur für Nicht-IKT-Auslagerungen.
Was jetzt zu tun ist: bis Ende November 2026 den Bestand prüfen, bis zum 31.12.2026 die Ausstiegspläne der IKT-Verträge neu einbezogener Institute erstellen, im ersten Halbjahr 2027 die ersten Tests durchführen und die Ergebnisse an die Geschäftsleitung berichten.
Inhaltsverzeichnis
Auslagerung Ausstiegsstrategie: Handlungsoption, Strategie und Plan
Die Vorgaben trennen drei Ebenen, die in der Praxis häufig vermischt werden. Jede beantwortet eine andere Frage und hat eine andere Fundstelle.
| Ebene | Inhalt | Fundstelle |
|---|---|---|
| Handlungsoption | Was tut dein Institut, wenn die Auslagerung unerwartet endet? Übertragung, Reintegration oder Einstellung der Tätigkeit | AT 9 Tz. 6 MaRisk 10.0; EBA/GL/2026/09 Rn. 46 f) |
| Ausstiegsstrategie | Ziele, Szenarien, Verantwortlichkeiten, Einklang mit Drittparteistrategie und Notfallplanung | Art. 28 Abs. 8 DORA; EBA/GL/2026/09 Rn. 114, 116 |
| Ausstiegsplan | Konkrete Schritte, Ressourcen, Zeitplan, Erfolgskriterien und Tests je Vertrag | Art. 10 Delegierte Verordnung (EU) 2024/1773; EBA/GL/2026/09 Rn. 115 a) |
Geltendes Recht
AT 9 Tz. 6 MaRisk 10.0: „Das Institut muss bei wesentlichen Auslagerungen Vorkehrungen treffen, um die Kontinuität und Qualität der ausgelagerten Aktivitäten und Prozesse auch nach Beendigung der Auslagerungsvereinbarung zu gewährleisten. Für Fälle unbeabsichtigter oder unerwarteter Beendigung dieser Auslagerungen, die mit einer erheblichen Beeinträchtigung der Geschäftstätigkeit verbunden sein können, muss das Institut etwaige Handlungsoptionen auf ihre Durchführbarkeit prüfen und verabschieden. Dies beinhaltet auch, soweit sinnvoll und möglich, die Festlegung entsprechender Ausstiegsstrategien. Die Handlungsoptionen sind regelmäßig und anlassbezogen zu überprüfen.“
Erläuterung zu AT 9 Tz. 6: „Existieren keine Handlungsoptionen, ist zumindest eine angemessene Berücksichtigung in der Notfallplanung erforderlich.“
Künftiges Recht
EBA/GL/2026/09 Rn. 46 f): Bei kritischen oder wichtigen Funktionen muss das Institut innerhalb eines angemessenen Zeitrahmens mindestens eine der folgenden Maßnahmen ergreifen können: i) Übertragung auf einen anderen Dienstleister, ii) Reintegration, iii) Einstellung der abhängigen Geschäftstätigkeit.
Praxis-Tipp
„Wir suchen dann einen neuen Anbieter“ ist keine Handlungsoption. Die Option muss geprüft und verabschiedet sein – mit dem Namen eines Alternativanbieters oder einer Reintegrationsskizze und einer realistischen Zeitschätzung. Welche Funktionen als kritisch oder wesentlich gelten, klärst du vorab in der Einstufung kritischer oder wesentlicher Funktionen.
Fristen und Zeitpunkte: Welcher Rechtsstand gilt wann
Für die Ausstiegsplanung brauchst du eine saubere Trennung der Rechtsstände. Die folgende Übersicht gilt für den Stand Oktober 2026.
| Rechtsstand | Nicht-IKT-Auslagerungen | IKT-Dienstleistungen |
|---|---|---|
| Geltend | AT 9 Tz. 6 MaRisk 10.0 (Rundschreiben 06/2026 (BA), Juni 2026) mit Erläuterung; AT 9 Tz. 7 l) mit Erläuterung; AT 9 Tz. 14 d) (Gruppenerleichterung); EBA/GL/2019/02 Rn. 106–108 | Art. 28 Abs. 7 und 8, Art. 30 Abs. 3 f) DORA; Art. 10 Delegierte Verordnung (EU) 2024/1773; AT 9 MaRisk ist auf IKT-Dienstleistungen nicht anwendbar |
| Übergang | EBA/GL/2026/09 im September 2026 veröffentlicht, Anwendungsdatum offen; Bestandsverträge zu kritischen oder wichtigen Funktionen binnen zwei Jahren überprüfen (Rn. 18–21) | BAIT entfallen mit Ablauf des 31.12.2026; DORA gilt ab 01.01.2027 auch für KWG-Institute außerhalb von Art. 2 DORA (§ 1a KWG) |
| Künftig | EBA/GL/2026/09 Rn. 46 f), 108–109 und Abschnitt 14 (Rn. 114–116) ersetzen EBA/GL/2019/02 | Für ausgelagerte GwG-Aufgaben zusätzlich Art. 18 AMLR ab 10.07.2027 |
Geltendes Recht
Für IKT-Dienstleistungen von Instituten nach Art. 2 DORA gelten Art. 28 Abs. 8 DORA und Art. 10 der Delegierten Verordnung (EU) 2024/1773 bereits.
Künftiges Recht
01.01.2027: DORA einschließlich der Exit-Pflichten gilt auch für bisher nicht erfasste KWG-Institute (§ 1a KWG). Die BAIT entfallen mit Ablauf des 31.12.2026.
10.07.2027: Art. 18 AMLR für ausgelagerte GwG-Aufgaben.
Ab Anwendung der EBA/GL/2026/09: Szenarien nach Rn. 114 einschließlich Konzentrationsrisiko und erheblichem Verstoß. Bestandsverträge zu kritischen oder wichtigen Funktionen sind binnen zwei Jahren zu überprüfen, sonst ist die Aufsicht über geplante Maßnahmen oder die Exit-Strategie zu informieren (Rn. 20).
Einen Überblick über die neuen Pflichten bietet der Beitrag zu DORA, NIS-2 und CRA aus Governance-Sicht.
Für welche Auslagerungen eine Ausstiegsstrategie Pflicht ist
Die Pflicht hängt vom Rechtsregime ab. Prüfe deshalb für jede Auslagerung zuerst, ob sie Nicht-IKT oder IKT ist.
Geltendes Recht – Nicht-IKT
Handlungsoptionen bei wesentlichen Auslagerungen (AT 9 Tz. 6 MaRisk 10.0); Ausstiegsstrategien „soweit sinnvoll und möglich“.
Gruppen und Verbünde: Bei gruppen- und verbundinternen Auslagerungen kann auf Ausstiegsstrategien und Handlungsoptionen verzichtet werden (AT 9 Tz. 14 d) MaRisk 10.0).
EBA/GL/2019/02 Rn. 106: dokumentierte Ausstiegsstrategie bei kritischen oder wesentlichen Funktionen.
Geltendes Recht – IKT
Für IKT-Dienstleistungen, die kritische oder wichtige Funktionen unterstützen, „richten Finanzunternehmen Ausstiegsstrategien ein“ (Art. 28 Abs. 8 DORA) – ohne die Einschränkung „soweit sinnvoll“ und ohne Gruppenerleichterung.
Künftiges Recht
EBA/GL/2026/09 Rn. 114: dokumentierte Ausstiegsstrategie bei Leistungen zu kritischen oder wichtigen Funktionen. Für sonstige Vereinbarungen verlangen die Leitlinien keine eigene Ausstiegsstrategie, wohl aber Kündigungsrechte (Rn. 108).
Praxis-Tipp
Die Gruppenerleichterung der MaRisk gilt nicht für IKT-Dienstleistungen nach DORA. Wer IT bei einer Gruppengesellschaft bezieht, braucht für kritische oder wichtige Funktionen trotzdem eine Ausstiegsstrategie – für neu einbezogene KWG-Institute ab 01.01.2027.
Welche Szenarien die Strategie abdecken muss
Die Szenarien unterscheiden sich je nach Fundstelle. Die Tabelle zeigt, welche Vorgabe welchen Fall nennt; „neu“ kennzeichnet Szenarien, die erst die EBA/GL/2026/09 ausdrücklich aufführt.
| Szenario | Art. 28 Abs. 8 DORA | Art. 10 Delegierte Verordnung (EU) 2024/1773 | EBA/GL/2019/02 Rn. 106 | EBA/GL/2026/09 Rn. 114 |
|---|---|---|---|---|
| Kündigung des Vertrags | ja (Umstände nach Abs. 7) | c) unerwartete Beendigung | a) | a) |
| Ausfall des Dienstleisters | ja („Fehler des IKT-Drittdienstleisters“) | a) unvorhergesehene und anhaltende Unterbrechung | b) | b) |
| Konzentrationsrisiko, schwieriger Ausstieg | – | – | – | c) neu |
| Qualitätsverschlechterung, Störungen | ja | b) mangelhafte oder nicht erfolgte Erbringung | c) | d) |
| Wesentliche Risiken für die fortlaufende Erbringung | ja | – | d) | e) |
| Erheblicher Verstoß des Dienstleisters | über Abs. 7 a) | – | – | f) neu |
Praxis-Tipp
Ergänze die Szenarien um die Abwicklung oder Umstrukturierung des eigenen Instituts. Art. 30 Abs. 3 f) i) DORA nennt die geordnete Abwicklung ausdrücklich als Zweck des Übergangszeitraums.
Was die Ausstiegsstrategie leisten muss
Geltendes Recht
Art. 28 Abs. 8 DORA: Finanzunternehmen stellen sicher, dass sie aus vertraglichen Vereinbarungen ausscheiden können, ohne a) die Geschäftstätigkeit zu unterbrechen, b) die Einhaltung regulatorischer Anforderungen einzuschränken und c) die Leistung und Qualität der Kundendienstleistungen zu beeinträchtigen.
Außerdem ermitteln Finanzunternehmen alternative Lösungen und entwickeln Übergangspläne, um Dienstleistungen und Daten sicher und vollständig auf alternative Anbieter zu übertragen oder in die eigenen Systeme zu überführen. Für die Zwischenzeit sind angemessene Notfallmaßnahmen vorzusehen.
Künftiges Recht
EBA/GL/2026/09 Rn. 114: Die Strategie steht im Einklang mit der Strategie zum Drittparteirisiko und den Geschäftsfortführungsplänen.
Rn. 116: Bei der Entwicklung sind a) die Ergebnisse der Analyse nach Rn. 73 zu berücksichtigen, b) Ziele festzulegen, c) Rollen, Zuständigkeiten und ausreichende Ressourcen zuzuweisen, d) Erfolgskriterien für den Übergang von Leistungen und Daten zu definieren und e) Indikatoren festzulegen, die den Ausstieg auslösen, einschließlich inakzeptabler Service Levels.
Praxis-Tipp
Formuliere Erfolgskriterien messbar, zum Beispiel „Datenbestand vollständig migriert und abgestimmt“, „Parallelbetrieb ohne Fehler über vier Wochen“ oder „Kundenbeschwerden nicht über Vormonatsniveau“. Exit-Indikatoren gehören zugleich zur laufenden Überwachung der Auslagerung; lege Schwellenwerte fest, bei deren Überschreiten der Ausstieg geprüft wird.
Der Ausstiegsplan je Vertrag
Geltendes Recht
Art. 10 Delegierte Verordnung (EU) 2024/1773: Die Leitlinie enthält Anforderungen an einen dokumentierten Ausstiegsplan für jede vertragliche Vereinbarung über IKT-Dienstleistungen zu kritischen oder wichtigen Funktionen und an dessen regelmäßige Überprüfung und Tests. Der Plan muss „realistisch und durchführbar sein, auf plausiblen Szenarien und vernünftigen Annahmen beruhen und einen Durchführungszeitplan enthalten, der mit den in den vertraglichen Vereinbarungen festgelegten Ausstiegs- und Beendigungsbedingungen vereinbar ist“.
Künftiges Recht
EBA/GL/2026/09 Rn. 115 a): Ausstiegspläne sind realistisch, durchführbar, umfassend, dokumentiert und gegebenenfalls ausreichend getestet, etwa durch eine Analyse der Kosten, Auswirkungen, Ressourcen und Zeit einer Übertragung. Rn. 115 b): alternative Lösungen und Übergangspläne unter Berücksichtigung des Datenstandorts.
Mustergliederung Ausstiegsplan
- Gegenstand: Vertrag, Funktion, Einstufung, Registernummer
- Auslöser: Szenarien und Exit-Indikatoren mit Schwellenwerten
- Zielbild: Alternativanbieter, Reintegration oder Einstellung, mit Begründung
- Ressourcen: Personal, Budget, Know-how, Lizenzen, Infrastruktur
- Zeitplan: Phasen mit Dauer, abgeglichen mit Kündigungsfrist und Übergangszeitraum
- Datenmigration: Datenumfang, Format, Rückgabe, Löschbestätigung, Datenstandort
- Übergangsbetrieb: Notfallmaßnahmen, Parallelbetrieb, Kundenkommunikation
- Erfolgskriterien und Abnahme
- Rollen und Eskalation: Verantwortliche, Lenkungskreis, Geschäftsleitung
- Abhängigkeiten: Subunternehmer, Schnittstellen, andere Auslagerungen beim selben Dienstleister
- Testnachweise und Überprüfungsdatum
Praxis-Tipp
Ein typischer Schwachpunkt ist ein Zeitplan, der länger ist als die vertragliche Kündigungsfrist plus Übergangszeitraum. Vergleiche beide Werte für jeden kritischen Vertrag.
Vertragliche Absicherung des Ausstiegs
Geltendes Recht
AT 9 Tz. 7 l) MaRisk 10.0: Kündigungsrechte und angemessene Kündigungsfristen; die Erläuterung nennt die Unterstützung bei der Übertragung auf einen anderen Dienstleister oder bei der Reintegration nach Kündigung.
Art. 30 Abs. 3 f) DORA: Ausstiegsstrategien mit einem verbindlichen angemessenen Übergangszeitraum, i) in dem der Dienstleister weiter leistet, um Störungen zu verringern oder eine geordnete Abwicklung und Umstrukturierung sicherzustellen, und ii) der den Wechsel zu einem anderen Anbieter oder auf eine Inhouse-Lösung ermöglicht.
Art. 30 Abs. 2 d) DORA: Zugang, Wiederherstellung und Rückgabe der Daten in einem leicht zugänglichen Format bei Insolvenz, Abwicklung, Einstellung oder Beendigung.
Art. 28 Abs. 7 DORA: Kündigungsgründe a) bis d).
Künftiges Recht
EBA/GL/2026/09 Rn. 109: Pflichten des bisherigen Dienstleisters bei Übertragung einschließlich Datenbehandlung, angemessener Übergangszeitraum und Unterstützungspflicht bei geordneter Übertragung.
Rn. 108: Kündigungsrechte unter anderem bei erheblichem Verstoß, bei wesentlichen Änderungen wie einem Subunternehmerwechsel und wenn die Aufsicht nicht mehr wirksam möglich ist.
Praxis-Tipp
Vereinbare die Vergütung der Exit-Unterstützung bereits bei Vertragsschluss. Im Konfliktfall ist sie sonst Verhandlungsmasse des Dienstleisters.
Testen, überprüfen, aktualisieren
Geltendes Recht
AT 9 Tz. 6 MaRisk 10.0: Handlungsoptionen sind regelmäßig und anlassbezogen zu überprüfen.
Art. 28 Abs. 8 DORA: Ausstiegspläne müssen ausreichend getestet sein und regelmäßig überprüft werden, im Einklang mit dem Verhältnismäßigkeitsgrundsatz nach Art. 4 Abs. 2 DORA.
Art. 10 Delegierte Verordnung (EU) 2024/1773: Anforderungen an regelmäßige Überprüfungen und Tests in der Leitlinie.
Künftiges Recht
EBA/GL/2026/09 Rn. 115 a): „gegebenenfalls ausreichend erprobt“.
Die Testform wählst du nach Tiefe der Abhängigkeit. Die folgende Übersicht ordnet fünf gängige Formen ein.
| Testform | Inhalt | Geeignet für |
|---|---|---|
| Schreibtischtest | Plan mit Verantwortlichen Schritt für Schritt durchgehen | alle Ausstiegspläne, mindestens jährlich |
| Marktabfrage | Verfügbarkeit, Preise und Vorlaufzeiten von Alternativanbietern aktualisieren | Auslagerungen mit externem Ersatz |
| Datenexport-Test | vollständiger Testexport im vereinbarten Format, Einlesbarkeit prüfen | IKT- und datenintensive Auslagerungen |
| Teilmigration | Übertragung eines abgegrenzten Teils (Mandant, Produkt, Region) | kritische Funktionen mit hoher Abhängigkeit |
| Reintegrationsübung | eigene Mitarbeitende übernehmen die Tätigkeit für einen begrenzten Zeitraum | Nicht-IKT-Funktionen wie Kreditbearbeitung oder Compliance |
Praxis-Tipp
Löse eine anlassbezogene Überprüfung aus bei Rating-Abstufung, Eigentümerwechsel oder Subunternehmerwechsel des Dienstleisters, bei roten Indikatoren und bei wesentlichen Vertragsänderungen.
Ausstiegsstrategie im Zusammenspiel mit BIA, Notfallmanagement und Register
Geltendes Recht
Erläuterung zu AT 9 Tz. 6 MaRisk 10.0: Ohne Handlungsoptionen ist die Auslagerung in der Notfallplanung zu berücksichtigen.
Art. 28 Abs. 8 DORA: angemessene Notfallmaßnahmen zur Fortführung der Geschäftstätigkeit.
Künftiges Recht
EBA/GL/2026/09 Rn. 114 und 115 a): Einklang mit den Geschäftsfortführungsplänen; Analyse von Kosten, Auswirkungen, Ressourcen und Zeit.
Praxis-Tipp
Nutze die Wiederanlaufzeiten aus deiner Business Impact Analyse (BIA) als Obergrenze für den Übergangsbetrieb. Kann der Ausstiegsplan die Wiederanlaufzeit nicht einhalten, muss die Notfallplanung die Lücke schließen. Verweise im Ausstiegsplan auf die Registernummer der Auslagerung, damit Register, BIA und Plan zusammenpassen.
Typische Schwachstellen mit Normbezug
Diese sechs Punkte führen in der Praxis am häufigsten zu Lücken zwischen Dokumentation und Anforderung.
Gruppenerleichterung auf IKT übertragen
Die Erleichterung der MaRisk gilt nicht für IKT-Dienstleistungen nach DORA.
Normbezug: AT 9 Tz. 14 d) MaRisk 10.0; Art. 28 Abs. 8 DORA
Zeitplan länger als Vertragsfrist
Der Plan dauert länger als Kündigungsfrist plus Übergangszeitraum.
Normbezug: Art. 10 Delegierte Verordnung (EU) 2024/1773; Art. 30 Abs. 3 f) DORA
Exit-Unterstützung ohne Preis
Die Vergütung der Unterstützung ist nicht vereinbart und wird im Konfliktfall verhandelt.
Normbezug: AT 9 Tz. 7 l) MaRisk 10.0 (Erläuterung); EBA/GL/2026/09 Rn. 109
Plan ohne Test
Der Plan liegt vor, wurde aber nie durchgespielt oder zumindest am Schreibtisch geprüft.
Normbezug: Art. 28 Abs. 8 DORA; EBA/GL/2026/09 Rn. 115 a)
Wiederanlaufzeit nicht erreichbar
Der Übergangsbetrieb ist länger als die Toleranz aus der BIA und die Notfallplanung kennt die Lücke nicht.
Normbezug: Erläuterung zu AT 9 Tz. 6 MaRisk 10.0; Art. 28 Abs. 8 DORA
Quick-Check: Wo steht dein Institut?
Gehe die Prüffelder für jede wesentliche bzw. kritische Auslagerung durch. Ein „Nein“ bei einer Prüffrage markiert Handlungsbedarf.
| Prüffeld | Prüffrage | Normbezug | Mögliche Lücke |
|---|---|---|---|
| Handlungsoptionen | Sind für jede wesentliche Auslagerung Handlungsoptionen geprüft und verabschiedet? | AT 9 Tz. 6 MaRisk 10.0 | Option nur behauptet, kein Alternativanbieter benannt |
| Strategie bei IKT | Gibt es für jede IKT-Dienstleistung zu kritischen oder wichtigen Funktionen eine Ausstiegsstrategie? | Art. 28 Abs. 8 DORA | Gruppenerleichterung irrtümlich auf IKT angewendet |
| Einklang | Ist der Einklang mit Drittparteistrategie und Notfallplanung dokumentiert? | EBA/GL/2026/09 Rn. 114; Erläuterung zu AT 9 Tz. 6 MaRisk 10.0 | Notfallkonzept verweist nicht auf die Auslagerung |
| Szenarien | Sind Kündigung, Ausfall, Konzentration, Qualitätsverschlechterung, wesentliche Risiken und erheblicher Verstoß abgedeckt? | Art. 10 Delegierte Verordnung (EU) 2024/1773; EBA/GL/2026/09 Rn. 114 | Nur Kündigung und Ausfall betrachtet |
| Ziele und Indikatoren | Sind Ziele, Rollen, Ressourcen, Erfolgskriterien und Exit-Indikatoren festgelegt? | EBA/GL/2026/09 Rn. 116 | Indikatoren ohne Schwellenwerte |
| Ausstiegsplan | Gibt es je Vertrag einen Plan, dessen Zeitplan zu Kündigungsfrist und Übergangszeitraum passt? | Art. 10 Delegierte Verordnung (EU) 2024/1773; EBA/GL/2026/09 Rn. 115 a) | Zeitplan länger als Vertragsfrist |
| Alternativen | Sind Alternativanbieter oder ein Reintegrationsweg benannt? | Art. 28 Abs. 8 DORA; EBA/GL/2026/09 Rn. 46 f) | Reintegration nie skizziert |
| Daten und Übergang | Sind Datenrückgabe, Format, Datenstandort, Löschung, Übergangszeitraum und Unterstützung vertraglich geregelt? | Art. 30 Abs. 2 d) und Abs. 3 f) DORA; EBA/GL/2026/09 Rn. 109 | Vergütung der Unterstützung offen |
| Test | Gibt es je Plan eine Testform, ein Testdatum und ein dokumentiertes Ergebnis? | Art. 28 Abs. 8 DORA; EBA/GL/2026/09 Rn. 115 a) | Plan ohne Testnachweis |
| Überprüfung | Sind jährliche und anlassbezogene Überprüfungen mit Auslösern definiert? | AT 9 Tz. 6 MaRisk 10.0 | Nur ein fester Kalendertermin, keine Auslöser |
| Gruppenerleichterung | Wird sie nur für Nicht-IKT genutzt und begründet? | AT 9 Tz. 14 d) MaRisk 10.0 | Verzicht ohne Begründung |
Lösungsansatz: No-Regret-Fahrplan bis 2027
Die folgenden Schritte lohnen sich unabhängig davon, wann die EBA/GL/2026/09 angewendet werden. Sie folgen den feststehenden Terminen des 01.01.2027 und der laufenden Überprüfung.
| Zeitraum | Schritt |
|---|---|
| bis 30.11.2026 | Bestand prüfen: Für welche wesentlichen bzw. kritischen Auslagerungen fehlen Handlungsoptionen, Strategie oder Plan? |
| bis 31.12.2026 | Ausstiegspläne für IKT-Verträge neu einbezogener Institute erstellen (Stichtag 01.01.2027) |
| 1. Quartal 2027 | Zeitpläne mit Kündigungsfristen und Übergangszeiträumen abgleichen; Verträge nachverhandeln |
| 1. Halbjahr 2027 | erste Tests durchführen, Ergebnisse an die Geschäftsleitung berichten |
| ab Anwendung EBA/GL/2026/09 | Szenarien Konzentrationsrisiko und erheblicher Verstoß ergänzen; Zwei-Jahres-Frist überwachen |
| laufend | jährliche und anlassbezogene Überprüfung |
Fazit: Kernbotschaften zur Auslagerung Ausstiegsstrategie
Beim Thema Auslagerung Ausstiegsstrategie zählt nicht das Dokument, sondern die belegte Handlungsfähigkeit. Fünf Punkte nimmst du mit:
- Trenne Handlungsoption, Ausstiegsstrategie und Ausstiegsplan – jede Ebene hat eine eigene Fundstelle und eine eigene Aufgabe.
- Trenne die Rechtsregime: AT 9 MaRisk 10.0 für Nicht-IKT, Art. 28 Abs. 8 DORA für IKT-Dienstleistungen zu kritischen oder wichtigen Funktionen.
- Die Gruppenerleichterung nach AT 9 Tz. 14 d) MaRisk 10.0 gilt nicht für IKT-Dienstleistungen.
- Pläne brauchen einen Zeitplan, der zu Kündigungsfrist und Übergangszeitraum passt, und einen dokumentierten Test.
- Die EBA/GL/2026/09 ergänzen Konzentrationsrisiko und erheblichen Verstoß als Szenarien; ein Anwendungsdatum steht zum Rechtsstand Oktober 2026 noch nicht fest.
FAQ: Häufige Fragen zu Ausstiegsstrategien
Brauche ich für jede Auslagerung eine Ausstiegsstrategie?
Nein. Nach MaRisk betrifft die Pflicht wesentliche Auslagerungen, nach DORA IKT-Dienstleistungen zu kritischen oder wichtigen Funktionen, nach EBA/GL/2026/09 Leistungen zu kritischen oder wichtigen Funktionen. Kündigungsrechte verlangen die neuen Leitlinien dennoch auch für sonstige Vereinbarungen (Rn. 108).
Was, wenn es keinen Alternativanbieter gibt?
Dann prüfst du Reintegration oder Einstellung der Tätigkeit (EBA/GL/2026/09 Rn. 46 f)). Gibt es gar keine Handlungsoption, ist die Auslagerung nach der Erläuterung zu AT 9 Tz. 6 MaRisk 10.0 zumindest in der Notfallplanung zu berücksichtigen. Dokumentiere zugleich das Konzentrationsrisiko.
Muss ein Ausstiegsplan wirklich getestet werden?
Für IKT-Dienstleistungen zu kritischen oder wichtigen Funktionen ja: Art. 28 Abs. 8 DORA verlangt ausreichend getestete Pläne. Die Testtiefe richtet sich nach dem Verhältnismäßigkeitsgrundsatz; ein dokumentierter Schreibtischtest ist die Untergrenze.
Gilt die Gruppenerleichterung auch für IT-Dienstleister im Verbund?
AT 9 Tz. 14 d) MaRisk 10.0 erlaubt den Verzicht bei gruppen- und verbundinternen Auslagerungen. Für IKT-Dienstleistungen gilt aber DORA, das keine solche Erleichterung kennt.
Wie oft muss ich die Strategie überprüfen?
MaRisk 10.0 verlangt eine regelmäßige und anlassbezogene Überprüfung, DORA eine regelmäßige Überprüfung, ohne eine Frequenz vorzugeben. In der Praxis bewährt sich mindestens eine jährliche Überprüfung sowie eine Überprüfung bei wesentlichen Änderungen.
Was unterscheidet Handlungsoption, Ausstiegsstrategie und Ausstiegsplan?
Die Handlungsoption beantwortet, was dein Institut bei einem unerwarteten Ende der Auslagerung tut: übertragen, reintegrieren oder die Tätigkeit einstellen. Die Ausstiegsstrategie legt Ziele, Szenarien, Verantwortlichkeiten und den Einklang mit Drittparteistrategie und Notfallplanung fest. Der Ausstiegsplan setzt das je Vertrag um, mit Schritten, Ressourcen, Zeitplan, Erfolgskriterien und Tests.
Quellenverzeichnis
Quellen geprüft im Oktober 2026. Dieser Beitrag ersetzt keine Rechtsberatung. Verlinkt sind ausschließlich amtliche Stellen.
- Verordnung (EU) 2022/2554 (DORA) – Art. 28 Abs. 7 und 8 (Kündigungsgründe, Ausstiegsstrategien), Art. 30 Abs. 2 d) und Abs. 3 f) (Datenrückgabe, Übergangszeitraum)
- Delegierte Verordnung (EU) 2024/1773 – Art. 10: dokumentierter Ausstiegsplan je Vereinbarung, Überprüfung und Tests
- Verordnung (EU) 2024/1624 (AMLR) – Art. 18: Auslagerung von GwG-Aufgaben ab 10.07.2027
- EBA/GL/2026/09, Abschlussbericht zu den Leitlinien zum Drittparteirisiko (PDF) – Rn. 18–22, 46 f), 108–109, 114–116: Übergang, Handlungsoptionen, Kündigung, Ausstieg
- EBA/GL/2019/02, Leitlinien zu Auslagerungen (PDF) – Rn. 106–108: bisherige Exit-Vorgaben
- BaFin: Rundschreiben 06/2026 (BA), MaRisk – AT 9 Tz. 6, 7 l) und 14 d) mit Erläuterungen
- Deutsche Bundesbank: BAIT und DORA – Ende der BAIT mit Ablauf des 31.12.2026
Verwandte Leistungen und Programme
Wenn dein Team die Methodik zu Ausstiegsplänen, Tests und Auslagerungssteuerung selbst aufbauen soll, findest du hier passende Qualifizierungsangebote und vertiefende Fachbeiträge.
Lehrgang Auslagerungsbeauftragter
Qualifizierung für die Steuerung und Überwachung von Auslagerungen.
Seminare Auslagerungscontrolling
Überblick über das Seminarangebot zum Auslagerungscontrolling.
Seminare DORA und NIS-2
Wissen zu DORA, damit du die IKT-Vorgaben für Ausstiegspläne sicher anwendest.
Kritische oder wesentliche Funktionen
Fachbeitrag zur Einstufung, die den Anwendungsbereich der Ausstiegsstrategie bestimmt.
DORA, NIS-2 und CRA
Fachbeitrag zu den Governance-Anforderungen der drei Regelwerke.
Seminartermine
Aktuelle Termine für Seminare und Lehrgänge.
Fehlen in deinem Haus die Kapazitäten, Ausstiegspläne zu erstellen und zu testen, kann dich S+P Compliance bei der Umsetzung unterstützen.
Über den Autor
Achim Schulz
Geschäftsführer S+P Compliance & S+P Unternehmerforum · langjährige Vorstands- & Geschäftsführungserfahrung
Achim Schulz kennt die Führungsebene aus eigener Verantwortung – langjährig als Vorstand bei Banken und Geschäftsführer sowie als Interim-Manager in Industrieunternehmen. Diese Doppelperspektive aus Finanzsektor und Realwirtschaft prägt seine Beiträge für CEO, COO und CFO. Er kennt das Zusammenspiel von Geschäftsleitung, Aufsichtsrat und Gesellschaftern aus der Praxis und übersetzt strategische wie aufsichtsrechtliche Anforderungen in umsetzbare, haftungssichere Führungsentscheidungen – praxisnah und auf Augenhöhe mit dem Management.
LinkedIn-Profil → · Redaktion & Experten →Seminare & Lehrgänge
Plattform & Methodik
Über S+P
