Nur eine SLA-Ampel
Der Dienstleisterbericht zeigt Verfügbarkeit und Bearbeitungszeit, Risiko- und Kontrollindikatoren fehlen. AT 9 Tz. 9 MaRisk 10.0 nennt ausdrücklich KPIs und KRIs.
Fachbeitrag Auslagerung
Leistungs- und Kontrollindikatoren bei Auslagerungen: KPIs und KRIs
Eine Auslagerung verlagert Arbeit, aber nicht die Verantwortung. Die Geschäftsleitung bleibt nach AT 9 Tz. 4 MaRisk 10.0 für die ausgelagerten Aktivitäten verantwortlich, und § 25b Abs. 1 KWG verlangt, dass das Risikomanagement des Instituts die ausgelagerten Prozesse einbezieht. Ob ein Dienstleister gut arbeitet, lässt sich nur belegen, wenn du vorher festgelegt hast, woran du das misst. Genau dafür sind Leistungs- und Kontrollindikatoren da: Sie machen Leistung, Risiko und Kontrollwirkung messbar.
Dieser Beitrag behandelt die laufende Überwachung mit Kennzahlen: Auswahl, Schwellenwerte, Datenquellen, Eskalation und Bericht. Vertragsklauseln, Prüfungsrechte, Ausstiegsstrategien und die Einstufung als kritisch oder wesentlich werden nur verlinkt. Der Beitrag ersetzt keine Rechtsberatung.
Management Summary
Leistungs- und Kontrollindikatoren sind das Instrument, mit dem du die laufende Überwachung einer Auslagerung nachweisbar machst. AT 9 Tz. 9 MaRisk 10.0 verlangt bei wesentlichen Auslagerungen die laufende Überwachung der Leistung „anhand vorzuhaltender Kriterien (z. B. Key Performance Indicators, Key Risk Indicators)“. Die Kriterien müssen also festgelegt und dokumentiert sein, eine reine SLA-Ampel genügt nicht.
Für IKT-Dienstleistungen gilt ein eigener Rahmen: AT 9 MaRisk ist darauf nicht anwendbar. Art. 30 DORA verlangt präzise Leistungsziele, und Art. 9 der Delegierten Verordnung (EU) 2024/1773 schreibt vor, dass die Schlüsselindikatoren bereits im Vertrag festgelegt werden.
Im September 2026 wurden die EBA-Leitlinien EBA/GL/2026/09 veröffentlicht; das Anwendungsdatum ist offen. Sie übertragen die Systematik aus Leistungs- und Kontrollindikatoren auf Nicht-IKT-Leistungen und ersetzen künftig EBA/GL/2019/02. Zum 01.01.2027 entfallen die BAIT, und DORA gilt auch für KWG-Institute außerhalb von Art. 2 DORA.
Du erfährst, welche Indikatoren du brauchst, wie du Schwellenwerte, Eskalationsstufen und den Bericht an die Geschäftsleitung aufbaust und welche Arbeitsschritte bis Ende 2026 anstehen. Alle Schwellenwerte im Katalog sind Beispiele und keine aufsichtliche Vorgabe.
Leistungs- und Kontrollindikatoren: Rechtsgrundlagen und Begriffe
KPI, KRI und KCI: drei Blickwinkel
| Indikator | Leitfrage | Beispiel | Fundstelle |
|---|---|---|---|
| Leistungsindikator (KPI) | Erbringt der Dienstleister die vereinbarte Leistung? | Verfügbarkeit, Bearbeitungszeit, Fehlerquote | AT 9 Tz. 9 MaRisk 10.0; Rn. 112 b EBA/GL/2026/09; Art. 9 Abs. 2 Delegierte Verordnung (EU) 2024/1773 |
| Risikoindikator (KRI) | Steigt das Risiko aus der Auslagerung? | Personalfluktuation beim Dienstleister, Rating-Abstufung, wachsende Abhängigkeit | AT 9 Tz. 9 MaRisk 10.0 |
| Kontrollindikator (KCI) | Wirken die Kontrollen beim Dienstleister und beim Institut? | offene Prüfungsfeststellungen, Fristüberschreitungen bei Abhilfe, Ergebnis von Notfalltests | Rn. 112 b EBA/GL/2026/09 („key control indicators“); Art. 9 Abs. 2 Delegierte Verordnung (EU) 2024/1773 („wesentliche Kontrollindikatoren“) |
Die MaRisk 10.0 nennen KPIs und KRIs als Beispiele („z. B.“); die Kriterien sind „vorzuhalten“, also festgelegt und dokumentiert. Die EBA-Leitlinien und die Delegierte Verordnung (EU) 2024/1773 sprechen von Leistungs- und Kontrollindikatoren.
Praxis-Tipp: Arbeite mit allen drei Indikatorarten. KPIs zeigen die Vergangenheit, KRIs und KCIs geben Frühwarnsignale. Eine reine SLA-Ampel erfüllt die Erwartung „KPIs und KRIs“ nicht. Die allgemeine Methodik außerhalb des Auslagerungskontexts findest du in Mit KPIs zum Erfolg, mit KRIs Risiken beherrschen.
Welche Rechtsstände gelten für welche Auslagerung?
| Rechtsstand | Nicht-IKT-Auslagerungen | IKT-Dienstleistungen |
|---|---|---|
| Geltend (Oktober 2026) | § 25b Abs. 1 KWG; AT 9 Tz. 2, 7 e) und n), 9, 12, 13 MaRisk 10.0 (Rundschreiben 06/2026 (BA)); EBA/GL/2019/02 Abschnitt 14 (Rn. 100 bis 104) | Art. 28, 29, 30 Abs. 3 a) und e) DORA; Art. 3 Abs. 5 und Art. 9 Delegierte Verordnung (EU) 2024/1773; AT 9 MaRisk ist auf IKT-Dienstleistungen nicht anwendbar |
| Übergang | EBA/GL/2026/09 im September 2026 veröffentlicht, Anwendungsdatum offen | BAIT entfallen mit Ablauf des 31.12.2026; DORA ab 01.01.2027 auch für KWG-Institute außerhalb von Art. 2 DORA (§ 1a KWG) |
| Künftig | EBA/GL/2026/09 Abschnitt 13 (Rn. 110 bis 113) ersetzt EBA/GL/2019/02; Exit-Indikatoren nach Rn. 116 e | Art. 18 AMLR ab 10.07.2027 für ausgelagerte GwG-Aufgaben |
Geltendes Recht bei Nicht-IKT-Auslagerungen
Geltendes Recht
AT 9 Tz. 9 MaRisk 10.0: „Das Institut muss die mit Auslagerungen verbundenen Risiken angemessen steuern und die Ausführung der ausgelagerten Aktivitäten und Prozesse ordnungsgemäß überwachen. Dies umfasst bei wesentlichen Auslagerungen auch die laufende Überwachung der Leistung des Auslagerungsunternehmens anhand vorzuhaltender Kriterien (z. B. Key Performance Indicators, Key Risk Indicators) und vertraglich vereinbarter Informationen des Auslagerungsunternehmens.“
AT 9 Tz. 7 e) und n): vertraglich vereinbarte Dienstleistungsgüte mit eindeutig festgelegten Leistungszielen und die Pflicht des Dienstleisters, über beeinträchtigende Entwicklungen zu informieren.
AT 9 Tz. 3: Nicht wesentliche Auslagerungen unterliegen den allgemeinen Anforderungen an eine ordnungsgemäße Geschäftsorganisation nach § 25a Abs. 1 KWG, also einer angemessenen, aber weniger intensiven Überwachung.
EBA/GL/2019/02 Rn. 100 bis 104: risikobasierte Überwachung aller Auslagerungen mit Schwerpunkt auf kritischen oder wesentlichen Funktionen; Instrumente sind Leistungs- und Kontrollindikatoren, Berichte, Selbstzertifizierungen und unabhängige Überprüfungen.
Geltendes Recht bei IKT-Dienstleistungen
Geltendes Recht
Art. 30 Abs. 3 a) DORA: präzise quantitative und qualitative Leistungsziele, um eine wirksame Überwachung und unverzügliche Korrekturmaßnahmen zu ermöglichen; Art. 30 Abs. 3 e): Recht, die Leistung fortlaufend zu überwachen.
Art. 9 Abs. 1 Delegierte Verordnung (EU) 2024/1773: In den Verträgen sind „die Maßnahmen und Schlüsselindikatoren festgelegt …, anhand deren die Leistungsfähigkeit der IKT-Drittdienstleister kontinuierlich überwacht wird“, einschließlich Vertraulichkeit, Verfügbarkeit, Integrität und Authentizität von Daten; außerdem Maßnahmen bei Nichteinhaltung, gegebenenfalls Vertragsstrafen.
Art. 9 Abs. 2: Bewertung der Leistung bei kritischen oder wichtigen Funktionen anhand von Berichten (regelmäßige Berichte, Vorfallberichte, Berichte zur Leistungserbringung, zur IKT-Sicherheit und zu Geschäftsfortführungstests), wesentlichen Leistungs- und Kontrollindikatoren, Audits, Selbstzertifizierungen und unabhängigen Überprüfungen.
Indikatoren gehören in den Vertrag
Nach Art. 9 Abs. 1 der Delegierten Verordnung (EU) 2024/1773 legst du die Schlüsselindikatoren in den vertraglichen Vereinbarungen fest. Nach AT 9 Tz. 9 MaRisk 10.0 stützt du die Überwachung auf „vertraglich vereinbarte Informationen“ des Dienstleisters. Die Erläuterung zu AT 9 Tz. 7 MaRisk 10.0 verlangt, dass du bereits bei der Vertragsanbahnung intern festlegst, welchen Grad an Schlechtleistung du akzeptierst.
Praxis-Tipp: Jede Kennzahl braucht im Vertrag oder SLA fünf Angaben: Definition und Berechnungsformel, Messzeitraum, Zielwert, Schwellenwert für die Eskalation und Lieferfrist des Berichts. Fehlt eine Angabe, wird die Kennzahl im Streitfall angreifbar. Zu Vertragsinhalten: Mindestanforderungen an Auslagerungsvereinbarungen.
Künftiges Recht: EBA/GL/2026/09
Künftiges Recht (Anwendungsdatum offen)
Rn. 110: risikobasierte Überwachung der Dienstleister; laufende Überwachung bei kritischen oder wichtigen Funktionen; regelmäßige Aktualisierung der Risikobewertung; regelmäßiger Bericht an das Leitungsorgan; Neubewertung der Kritikalität, wenn sich Risiko, Art oder Umfang einer Funktion wesentlich geändert haben.
Rn. 111: Überwachung und Steuerung interner Konzentrationsrisiken, auch mit Blick auf Subunternehmer.
Rn. 112: angemessene Leistungs- und Qualitätsstandards durch a) angemessene Berichte des Dienstleisters, b) Bewertung mit Leistungsindikatoren, Kontrollindikatoren, Berichten zur Leistungserbringung, Selbstzertifizierungen und unabhängigen Überprüfungen, c) Auswertung weiterer Informationen, einschließlich Berichten zu Geschäftsfortführung und Tests.
Rn. 113: geeignete Maßnahmen bei tatsächlichen oder potenziellen Mängeln: Korrektur- oder Abhilfemaßnahmen oder Kündigung. Rn. 116 e: Für Exit-Strategien sind Indikatoren festzulegen, darunter solche auf Basis inakzeptabler Service Levels.
Praxis-Tipp: Rn. 113 spricht ausdrücklich auch von „potenziellen“ Mängeln. Deine KRIs müssen deshalb so eingestellt sein, dass sie anschlagen, bevor ein SLA verletzt wird. Zur Einstufung: kritische oder wesentliche Funktionen.
Fristen und Zeitpunkte bis 2027
| Zeitpunkt | Was gilt | Bedeutung für die Indikatorik |
|---|---|---|
| seit 01.04.2026 | § 24 Abs. 1 Nr. 19 KWG: unverzügliche Anzeige unter anderem schwerwiegender Vorfälle bei wesentlichen Auslagerungen | Rote Indikatoren sollten immer eine Prüfung der Anzeigepflicht auslösen |
| 01.01.2027 | DORA gilt auch für bisher nicht erfasste KWG-Institute; die BAIT entfallen mit Ablauf des 31.12.2026 | Für IKT-Leistungen dieser Institute gelten Art. 30 DORA und Art. 9 Delegierte Verordnung (EU) 2024/1773 |
| 10.07.2027 | Art. 18 AMLR für ausgelagerte GwG-Aufgaben | Indikatoren auch für ausgelagerte GwG-Aufgaben vorsehen |
| Anwendungsdatum offen | EBA/GL/2026/09 Abschnitt 13 (Rn. 110 bis 113) und Exit-Indikatoren nach Rn. 116 e | Bericht und Indikatoren darauf ausrichten; Anwendung durch die BaFin beobachten |
Fahrplan bis Mitte 2027
| Zeitraum | Schritt |
|---|---|
| bis 31.12.2026 | Indikatorenkatalog je wesentlicher Auslagerung und je IKT-Vertrag zu kritischen oder wichtigen Funktionen festlegen |
| bis 31.12.2026 | Schwellenwerte aus Risikoanalyse und BIA ableiten; Eskalationsstufen in der Auslagerungsrichtlinie verankern |
| 1. Quartal 2027 | Indikatoren, Berichtsfristen und Vertragsstrafen in SLAs nachverhandeln |
| 1. Halbjahr 2027 | Bericht nach AT 9 Tz. 13 auf die neue Struktur umstellen; Exit-Indikatoren ergänzen |
| laufend | Kennzahlen stichprobenhaft gegen eigene Daten validieren; Ergebnisse in die Risikoanalyse übernehmen |
Pflichten nach Funktion
Die laufende Überwachung ist keine Aufgabe einer einzelnen Stelle. Die folgende Übersicht ordnet die Pflichten den Funktionen zu, die im Institut daran beteiligt sind.
| Funktion | Aufgabe bei den Indikatoren | Normbezug |
|---|---|---|
| Geschäftsleitung | trägt die Verantwortung für ausgelagerte Aktivitäten; nimmt den Bericht entgegen und entscheidet über Maßnahmen und Exit; bei IKT ist die zuständige Funktion oder das zuständige Mitglied in der Leitlinie festzulegen | AT 9 Tz. 4 MaRisk 10.0; Art. 3 Abs. 5 Delegierte Verordnung (EU) 2024/1773 |
| Zentrales Auslagerungsmanagement | implementiert Kontroll- und Überwachungsprozesse; erstellt regelmäßig und anlassbezogen den Bericht über wesentliche Auslagerungen | AT 9 Tz. 12 a) und Tz. 13 MaRisk 10.0 |
| Fachbereich und Dienstleistersteuerung | überwacht die Leistung laufend anhand der festgelegten Kriterien; fordert Abhilfepläne ein und überwacht ihre Umsetzung | AT 9 Tz. 9 MaRisk 10.0; Art. 9 Abs. 4 Delegierte Verordnung (EU) 2024/1773 |
| Risikocontrolling | überprüft die Risikoanalyse regelmäßig und anlassbezogen; steuert Konzentrationsrisiken | AT 9 Tz. 2 MaRisk 10.0; Rn. 111 EBA/GL/2026/09; Art. 29 DORA |
| Informationssicherheit | wertet Vorfall- und Sicherheitsberichte aus; achtet auf Vertraulichkeit, Verfügbarkeit, Integrität und Authentizität | Art. 9 Abs. 1 und 2 Delegierte Verordnung (EU) 2024/1773 |
| Interne Revision | stützt sich bei wesentlichen Auslagerungen nicht allein auf Zertifikate oder Auditberichte | Erläuterung zu AT 9 Tz. 4 MaRisk 10.0; Art. 8 Abs. 3 Delegierte Verordnung (EU) 2024/1773 |
Die Rolle des Auslagerungsbeauftragten im Detail beschreibt der Beitrag Pflichten eines Auslagerungsbeauftragten.
Pain Points bei der laufenden Überwachung
Kennzahlen ohne Vertragsdefinition
Formel, Messzeitraum oder Schwellenwert sind nicht vereinbart. Die Überwachung soll auf vertraglich vereinbarten Informationen beruhen (AT 9 Tz. 9); bei IKT gehören die Schlüsselindikatoren in den Vertrag (Art. 9 Abs. 1 Delegierte Verordnung (EU) 2024/1773).
Nur Selbstauskünfte
Die Bewertung stützt sich auf Zertifikate und Berichte des Dienstleisters. Die Erläuterung zu AT 9 Tz. 4 und Art. 8 Abs. 3 Delegierte Verordnung (EU) 2024/1773 verlangen, sich nicht allein darauf zu verlassen.
Schwellen schlagen zu spät an
Erst die SLA-Verletzung löst eine Reaktion aus. EBA/GL/2026/09 Rn. 113 verlangt Maßnahmen schon bei potenziellen Mängeln.
Messen ohne Maßnahmen
Gelbe und rote Werte bleiben ohne Abhilfeplan, Frist und Wirksamkeitskontrolle. Art. 9 Abs. 4 Delegierte Verordnung (EU) 2024/1773 verlangt Maßnahmen innerhalb eines festgelegten Zeitrahmens.
Keine Rückkopplung in die Risikoanalyse
Ergebnisse der Überwachung ändern die Risikobewertung nicht. Nach AT 9 Tz. 2 MaRisk 10.0 ist die Risikoanalyse bei wesentlichen Änderungen anzupassen, nach Art. 9 Abs. 3 Delegierte Verordnung (EU) 2024/1773 aktualisieren die Ergebnisse die Risikobewertung.
Quick-Check: Wie belastbar ist deine Indikatorik?
Gehe die Prüffelder für eine wesentliche Auslagerung durch. Jede Frage, die du nicht mit Ja beantwortest, zeigt Handlungsbedarf.
| Prüffeld | Prüffrage | Normbezug | Typischer Befund |
|---|---|---|---|
| Indikatorarten | Gibt es KPIs, KRIs und Kontrollindikatoren je wesentlicher Auslagerung? | AT 9 Tz. 9 MaRisk 10.0 | nur SLA-Kennzahlen |
| Vertrag | Sind Definition, Formel, Messzeitraum, Ziel- und Schwellenwert vereinbart? | AT 9 Tz. 7 e); Art. 9 Abs. 1 Delegierte Verordnung (EU) 2024/1773 | Kennzahlen nur in Anlagen ohne Formel |
| Toleranz | Ist der akzeptierte Grad an Schlechtleistung vor Vertragsschluss festgelegt? | Erläuterung zu AT 9 Tz. 7 | keine dokumentierte Toleranz |
| Datenquellen | Sind die Quellen benannt, und gibt es unabhängige Nachweise neben Selbstauskünften? | Erläuterung zu AT 9 Tz. 4; Art. 9 Abs. 2 Delegierte Verordnung (EU) 2024/1773 | nur Zertifikate des Dienstleisters |
| Eskalation | Gibt es Stufen mit Zuständigkeit und Frist? | Art. 9 Abs. 1 und 4 Delegierte Verordnung (EU) 2024/1773 | Ampel ohne Maßnahmenlogik |
| Risikoanalyse | Lösen definierte Werte eine anlassbezogene Neubewertung aus? | AT 9 Tz. 2 MaRisk 10.0 | Neubewertung nur im Turnus |
| Bericht | Enthält der Bericht Vertragserfüllung, Steuerbarkeit und Maßnahmenbedarf? | AT 9 Tz. 13 MaRisk 10.0 | Bericht ohne Aussage zur Steuerbarkeit |
| Anzeige | Wird bei roten Ereignissen die Anzeigepflicht geprüft? | § 24 Abs. 1 Nr. 19 KWG | Prüfung nicht dokumentiert |
Lösungsansätze: Kennzahlenkatalog, Eskalation und Bericht
Die folgenden Schritte sind No-Regret-Maßnahmen: Sie zahlen auf AT 9 MaRisk 10.0, DORA und die künftigen EBA-Leitlinien gleichermaßen ein.
Kennzahlenkatalog für die Praxis
| Dimension | Indikator (Beispiel) | Art | Schwellenwert gelb / rot (Beispiel) | Datenquelle | Rechtsbezug |
|---|---|---|---|---|---|
| Leistung | Verfügbarkeit des Dienstes | KPI | < 99,8 % / < 99,5 % je Monat | SLA-Bericht | Art. 30 Abs. 3 a) DORA; AT 9 Tz. 7 e) |
| Leistung | Bearbeitung innerhalb der Frist | KPI | < 95 % / < 90 % | Ticket- oder Vorgangsstatistik | AT 9 Tz. 9 |
| Qualität | Fehler- oder Nacharbeitsquote | KPI | > 2 % / > 5 % | Stichprobe des Fachbereichs | AT 9 Tz. 9 |
| Sicherheit | Sicherheitsvorfälle mit Bezug zum Institut | KRI | 1 / ≥ 2 je Quartal oder jeder schwerwiegende Vorfall | Vorfallbericht | Art. 9 Abs. 2 Delegierte Verordnung (EU) 2024/1773 |
| Sicherheit | Patch-Rückstand kritischer Schwachstellen | KCI | > 14 / > 30 Tage | Sicherheitsbericht | Art. 9 Abs. 1 und 2 Delegierte Verordnung (EU) 2024/1773 |
| Kontinuität | Notfalltest durchgeführt und bestanden | KCI | Test überfällig / Test nicht bestanden | BCM-Testbericht | AT 9 Tz. 7; Rn. 112 c |
| Kontrolle | offene Feststellungen aus Audits und Zertifikaten | KCI | > 3 offen / Frist überschritten | Auditbericht, ISAE-3402- oder SOC-Bericht | Art. 8 Abs. 3 Delegierte Verordnung (EU) 2024/1773; Rn. 104 EBA/GL/2019/02 |
| Kontrolle | Aktualität der Zertifikate | KCI | Ablauf < 90 Tage / abgelaufen | Zertifikatsregister | Erläuterung zu AT 9 Tz. 4 |
| Personal | Fluktuation im Betreuungsteam des Dienstleisters | KRI | > 15 % / > 25 % p. a. | Dienstleisterbericht | AT 9 Tz. 9 |
| Wirtschaftliche Lage | Bonitäts- oder Ratingveränderung | KRI | Abstufung / Abstufung unter Mindestniveau | Ratingdienst, Jahresabschluss | Rn. 110 EBA/GL/2026/09 |
| Weiterverlagerung | neue oder geänderte Subunternehmer ohne fristgerechte Mitteilung | KRI | jeder Fall | Mitteilungen, Register | AT 9 Tz. 8; Art. 5 Delegierte Verordnung (EU) 2025/532 |
| Konzentration | Anteil kritischer Funktionen bei einem Dienstleister oder in einer Region | KRI | institutsinterne Grenze | Auslagerungsregister | Rn. 111 EBA/GL/2026/09; Art. 29 DORA |
| Berichtswesen | verspätete oder unvollständige Dienstleisterberichte | KCI | 1 / ≥ 2 in Folge | Posteingang Auslagerungsmanagement | AT 9 Tz. 7 n) |
Die Schwellenwerte sind Beispiele. Leite deine Werte aus der Risikoanalyse nach AT 9 Tz. 2 und aus deiner Business Impact Analyse ab. Die Datenquelle für die Konzentration ist das Auslagerungsregister.
Praxis-Tipp: Beschränke dich je Auslagerung auf fünf bis acht Indikatoren, die das Risiko wirklich abbilden. Ein Bericht mit 40 grünen Kennzahlen verdeckt häufig das eine rote Signal.
Informationsquellen: Berichte, Selbstauskünfte und unabhängige Prüfungen
Art. 9 Abs. 2 der Delegierten Verordnung (EU) 2024/1773 nennt als Quellen regelmäßige Berichte, Vorfallberichte, Berichte zur Leistungserbringung, zur IKT-Sicherheit und zu Geschäftsfortführungstests, Audits, Selbstzertifizierungen und unabhängige Überprüfungen. Nach Art. 9 Abs. 3 ist die Bewertung zu dokumentieren, und ihre Ergebnisse fließen in die Risikobewertung ein.
Praxis-Tipp: Prüfe Dienstleisterkennzahlen stichprobenhaft gegen eigene Daten, etwa Störungsmeldungen deiner Mitarbeitenden oder Kundenbeschwerden. Weichen beide Quellen ab, ist das selbst ein Kontrollindikator. Zur Prüfung in der Praxis: internes Kontrollsystem bei Auslagerungen.
Ampel, Eskalation und Maßnahmen
Art. 9 Abs. 1 Unterabs. 2 der Delegierten Verordnung (EU) 2024/1773 verlangt Maßnahmen bei Nichteinhaltung von Dienstleistungsvereinbarungen, gegebenenfalls Vertragsstrafen. Nach Art. 9 Abs. 4 sind bei Mängeln geeignete Maßnahmen zu treffen und ihre Umsetzung innerhalb eines festgelegten Zeitrahmens zu überwachen. Art. 28 Abs. 7 b) DORA sieht eine Kündigungsmöglichkeit bei Umständen vor, die im Laufe der Überwachung festgestellt wurden. EBA/GL/2019/02 Rn. 104 nennt Korrektur- oder Abhilfemaßnahmen, gegebenenfalls die Kündigung mit sofortiger Wirkung.
| Stufe | Auslöser | Maßnahme | Zuständig | Frist |
|---|---|---|---|---|
| Grün | alle Indikatoren im Zielbereich | regulärer Monats- oder Quartalsbericht | Dienstleistersteuerung | laut Berichtsplan |
| Gelb | ein Schwellenwert überschritten | Klärungsgespräch, schriftlicher Abhilfeplan des Dienstleisters | Dienstleistersteuerung, Auslagerungsmanagement | Abhilfeplan binnen 10 Arbeitstagen (Beispiel) |
| Rot | rote Schwelle, wiederholtes Gelb oder schwerwiegender Vorfall | Eskalation an die Geschäftsleitung, Sonderprüfung, Vertragsstrafe, Prüfung einer Anzeige nach § 24 Abs. 1 Nr. 19 KWG | Auslagerungsbeauftragter, Geschäftsleitung | unverzüglich |
| Exit-Trigger | Abhilfe gescheitert oder Exit-Indikator erreicht | Aktivierung der Ausstiegsstrategie, Kündigung | Geschäftsleitung | laut Exit-Plan |
Praxis-Tipp: Dokumentiere jede gelbe und rote Phase mit Datum, Ursache, Maßnahme und Abschluss. Prüfer fragen nicht nur, ob du gemessen hast, sondern was du mit den Ergebnissen getan hast.
Neubewertung, Konzentrationsrisiko und Risikoanalyse
Nach AT 9 Tz. 2 MaRisk 10.0 ist die Risikoanalyse regelmäßig, bei kleinen Instituten alle drei Jahre, zu überprüfen und bei wesentlichen Änderungen der Risikosituation anzupassen. Art. 29 DORA verlangt die Bewertung des IKT-Konzentrationsrisikos, und EBA/GL/2026/09 Rn. 110 und 111 fordern die Neubewertung der Kritikalität bei wesentlicher Änderung sowie die Steuerung interner Konzentrationsrisiken einschließlich Subunternehmer.
Praxis-Tipp: Lege fest, welche Indikatorwerte eine anlassbezogene Neubewertung auslösen, etwa zwei rote Quartale in Folge, ein Wechsel eines wesentlichen Subunternehmers oder eine Rating-Abstufung. Zur Weiterverlagerung: Weiterverlagerung von kritischen oder wesentlichen Funktionen.
Bericht an die Geschäftsleitung
Nach AT 9 Tz. 13 MaRisk 10.0 erstellt das zentrale Auslagerungsmanagement regelmäßig und anlassbezogen einen Bericht über die wesentlichen Auslagerungen. Er enthält eine Aussage darüber, ob die Leistungen den vertraglichen Vereinbarungen entsprechen, ob die Auslagerungen angemessen gesteuert und überwacht werden können und ob weitere risikomindernde Maßnahmen ergriffen werden sollen. Bei sehr kleinen Instituten reicht eine Berichterstattung im Rahmen einer Vorstandssitzung. Art. 3 Abs. 5 der Delegierten Verordnung (EU) 2024/1773 verlangt, in der Leitlinie die zuständige Funktion oder das zuständige Geschäftsleitungsmitglied sowie Art, Dokumentation und Häufigkeit der Berichte festzulegen. EBA/GL/2026/09 Rn. 110 fordert künftig einen regelmäßigen Bericht an das Leitungsorgan über die Risiken der Vereinbarungen zu kritischen oder wichtigen Funktionen.
Praxis-Tipp: Gliedere den Bericht nach den drei Aussagen aus AT 9 Tz. 13: Vertragserfüllung, Steuerbarkeit, Maßnahmenbedarf. Vorne steht die Übersicht über rote und gelbe Auslagerungen mit beschlossenen Maßnahmen.
Checkliste
- ✓KPIs, KRIs und Kontrollindikatoren je wesentlicher bzw. kritischer Auslagerung festgelegt
- ✓Definition, Formel, Messzeitraum, Ziel- und Schwellenwert im Vertrag oder SLA
- ✓intern festgelegte Toleranz für Schlechtleistung dokumentiert
- ✓Datenquellen benannt; Selbstauskünfte durch unabhängige Nachweise ergänzt
- ✓Ampel mit Eskalationsstufen, Zuständigkeiten und Fristen
- ✓Maßnahmen bei Mängeln mit Zeitrahmen und Wirksamkeitskontrolle
- ✓Auslöser für eine anlassbezogene Neubewertung der Risikoanalyse
- ✓Konzentrationsindikatoren aus dem Auslagerungsregister
- ✓Exit-Indikatoren auf Basis inakzeptabler Service Levels
- ✓regelmäßiger und anlassbezogener Bericht an die Geschäftsleitung
- ✓Prüfung der Anzeigepflicht nach § 24 Abs. 1 Nr. 19 KWG bei roten Ereignissen
Fazit
Leistungs- und Kontrollindikatoren sind der Nachweis, dass du eine Auslagerung tatsächlich steuerst. Die wichtigsten Punkte:
- AT 9 Tz. 9 MaRisk 10.0 verlangt bei wesentlichen Auslagerungen vorzuhaltende Kriterien; KPIs und KRIs sind die genannten Beispiele, Kontrollindikatoren kommen aus DORA-Delegierter Verordnung und EBA-Leitlinien.
- Die Indikatoren gehören mit Definition, Formel, Messzeitraum und Schwellenwert in den Vertrag oder das SLA.
- Selbstauskünfte des Dienstleisters reichen nicht; ergänze sie durch eigene Daten und unabhängige Nachweise.
- Eskalationsstufen mit Zuständigkeit, Frist und Dokumentation machen aus Messwerten Steuerung.
- Der Bericht nach AT 9 Tz. 13 beantwortet drei Fragen: Vertragserfüllung, Steuerbarkeit, Maßnahmenbedarf.
- Stelle bis Ende 2026 den Katalog auf, denn ab 01.01.2027 gelten DORA und Art. 9 Delegierte Verordnung (EU) 2024/1773 auch für weitere KWG-Institute.
Häufige Fragen
Müssen auch nicht wesentliche Auslagerungen mit Kennzahlen überwacht werden?+–
Die Pflicht zu KPIs und KRIs nach AT 9 Tz. 9 MaRisk 10.0 gilt für wesentliche Auslagerungen. Für alle anderen gelten die allgemeinen Anforderungen an die Geschäftsorganisation nach § 25a Abs. 1 KWG (AT 9 Tz. 3). Die EBA verlangt eine risikobasierte Überwachung aller Dienstleister (EBA/GL/2026/09 Rn. 110). Einfache Indikatoren wie Berichtstreue und Vorfälle sind deshalb auch bei nicht wesentlichen Auslagerungen sinnvoll.
Reicht der SLA-Bericht des Dienstleisters aus?+–
Nein. Er ist eine Quelle unter mehreren. Art. 9 Abs. 2 der Delegierten Verordnung (EU) 2024/1773 und Rn. 112 EBA/GL/2026/09 verlangen zusätzlich Kontrollindikatoren, Selbstzertifizierungen und unabhängige Überprüfungen. Prüfe die Angaben des Dienstleisters stichprobenhaft gegen eigene Daten.
Wer legt die Schwellenwerte fest?+–
Der Fachbereich gemeinsam mit dem zentralen Auslagerungsmanagement, abgeleitet aus Risikoanalyse und Business Impact Analyse. Welchen Grad an Schlechtleistung du akzeptierst, legst du nach der Erläuterung zu AT 9 Tz. 7 MaRisk 10.0 bereits bei der Vertragsanbahnung fest.
Wie oft muss an die Geschäftsleitung berichtet werden?+–
AT 9 Tz. 13 MaRisk 10.0 verlangt einen Bericht in regelmäßigen Abständen sowie anlassbezogen, ohne eine feste Frequenz vorzugeben. Für IKT-Dienstleistungen legt deine Leitlinie nach Art. 3 Abs. 5 der Delegierten Verordnung (EU) 2024/1773 die Häufigkeit fest. In der Praxis sind jährliche Berichte das Minimum, für kritische Auslagerungen häufig quartalsweise.
Wann führt ein roter Indikator zur Kündigung?+–
Wenn Abhilfemaßnahmen scheitern oder ein vorab festgelegter Exit-Indikator erreicht ist. Art. 28 Abs. 7 b) DORA und EBA/GL/2026/09 Rn. 113 sehen die Kündigung als letzte Stufe vor. Die Kündigungsfrist richtet sich nach dem Vertrag und muss zur Ausstiegsstrategie passen.
Gilt AT 9 MaRisk auch für IKT-Dienstleistungen?+–
Nein. Nach der Erläuterung zu AT 9 Tz. 1 MaRisk 10.0 ist AT 9 auf IKT-Dienstleistungen nicht anwendbar; dafür gelten Art. 28 bis 30 DORA und die Delegierte Verordnung (EU) 2024/1773. Die BAIT entfallen mit Ablauf des 31.12.2026, DORA gilt ab dem 01.01.2027 auch für KWG-Institute außerhalb von Art. 2 DORA (§ 1a KWG).
Quellenverzeichnis
Primärquellen zuerst, dann Aufsichtsbehörden. Abgerufen im Oktober 2026. PDF-Dateien sind gekennzeichnet.
- Verordnung (EU) 2022/2554 (DORA), Art. 28 bis 30Vertragliche Mindestinhalte, Leistungsziele, fortlaufende Überwachung und Kündigungsrechte bei IKT-Dienstleistungen.
- Delegierte Verordnung (EU) 2024/1773Art. 3, 8 und 9: Zuständigkeit und Berichte an das Leitungsorgan, Schlüsselindikatoren im Vertrag, Bewertung der Leistung.
- Delegierte Verordnung (EU) 2025/532Art. 5: Mitteilung wesentlicher Änderungen bei der Untervergabe.
- Verordnung (EU) 2024/1624 (AMLR), Art. 18Ausgelagerte GwG-Aufgaben, Anwendung ab Juli 2027.
- § 25b KWG: Auslagerung von Aktivitäten und ProzessenAngemessene Vorkehrungen, Einbeziehung der Auslagerungen in das Risikomanagement.
- § 24 KWG: AnzeigenAbs. 1 Nr. 19: Anzeige schwerwiegender Vorfälle bei wesentlichen Auslagerungen.
- § 1a KWG: Anwendung der DORA auf InstituteDORA für KWG-Institute außerhalb von Art. 2 DORA ab 01.01.2027.
- BaFin: MaRisk 10.0, AT 9 AuslagerungRundschreiben 06/2026 (BA); laufende Überwachung, Bericht, Erläuterungen zu AT 9.
- EBA/GL/2026/09: Leitlinien zum Risikomanagement bei Drittparteien (PDF)Abschnitt 13, Rn. 110 bis 113 und Rn. 116 e: Überwachung, Konzentration, Indikatoren, Exit.
- EBA/GL/2019/02: Leitlinien zu Auslagerungen (PDF)Abschnitt 14, Rn. 100 bis 104: bisherige Vorgaben zur Überwachung.
- Deutsche Bundesbank: BAIT und DORAEnde der BAIT mit Ablauf des 31.12.2026.
Verwandte Leistungen und Programme
Wenn du Leistungs- und Kontrollindikatoren nicht nur festlegen, sondern im Team sicher anwenden willst, helfen diese Seminare und Beiträge:
Seminare Auslagerungscontrolling
Methoden und Praxis für die laufende Überwachung von Dienstleistern.
Lehrgang Auslagerungsbeauftragter
Sachkunde für die Rolle, die Indikatoren, Bericht und Eskalation verantwortet.
Mindestanforderungen an Auslagerungsvereinbarungen
Vertragsinhalte, in denen deine Kennzahlen verankert werden.
Anforderungen an das Auslagerungsregister
Datenbasis für Konzentrations- und Weiterverlagerungsindikatoren.
Kritische oder wesentliche Funktionen
Einstufung, die über den Umfang der Überwachung entscheidet.
Trends im Auslagerungscontrolling
Monitoring und Reporting im aktuellen Aufsichtsumfeld.
DORA, NIS-2 und CRA im Überblick
Der Rahmen für IKT-Dienstleistungen und ihre Governance.
Seminare Interne Revision
Prüfung von Auslagerungen und Dienstleistersteuerung.
Fehlen intern die Kapazitäten, Leistungs- und Kontrollindikatoren aufzubauen und laufend auszuwerten, übernimmt S+P Compliance diese Aufgaben als Dienstleister. Mehr dazu auf sp-compliance.com.
Zum Schluss: Leistungs- und Kontrollindikatoren nützen nur, wenn Messwerte zu Entscheidungen führen. Lege Katalog, Schwellen und Eskalation fest, bevor der nächste Dienstleisterbericht eintrifft.
Über den Autor
Achim Schulz
Geschäftsführer S+P Compliance & S+P Unternehmerforum · langjährige Vorstands- & Geschäftsführungserfahrung
Achim Schulz kennt die Führungsebene aus eigener Verantwortung – langjährig als Vorstand bei Banken und Geschäftsführer sowie als Interim-Manager in Industrieunternehmen. Diese Doppelperspektive aus Finanzsektor und Realwirtschaft prägt seine Beiträge für CEO, COO und CFO. Er kennt das Zusammenspiel von Geschäftsleitung, Aufsichtsrat und Gesellschaftern aus der Praxis und übersetzt strategische wie aufsichtsrechtliche Anforderungen in umsetzbare, haftungssichere Führungsentscheidungen – praxisnah und auf Augenhöhe mit dem Management.
LinkedIn-Profil → · Redaktion & Experten →Seminare & Lehrgänge
Plattform & Methodik
Über S+P
