Startseite Seminare News Welche Pflichten hat ein Auslagerungsbeauftragter? MaRisk und DORA

Fachbeitrag · S+P Seminare

Welche Pflichten hat ein Auslagerungsbeauftragter? MaRisk und DORA

Rechtsstand: Oktober 2026Lesezeit: ca. 9 MinutenAutor: Achim Schulz

Management Summary

Welche Pflichten hat ein Auslagerungsbeauftragter? Seit der 9. MaRisk-Novelle vom 30. Juni 2026 verlangt AT 9 Tz. 12 ein zentrales Auslagerungsmanagement, abhängig von Art, Umfang und Komplexität der Auslagerungsaktivitäten. Die Vorfassung der MaRisk hatte zusätzlich einen zentralen Auslagerungsbeauftragten vorgesehen.

Die Verantwortung bleibt bei der Geschäftsleitung. Nach § 25b Abs. 2 Satz 1 KWG darf eine Auslagerung nicht zu einer Übertragung der Verantwortung der Geschäftsleiter an das Auslagerungsunternehmen führen, und nach AT 9 dürfen Leitungsaufgaben der Geschäftsleitung nicht ausgelagert werden.

Das zentrale Auslagerungsmanagement berichtet der Geschäftsleitung nach Tz. 13 in regelmäßigen Abständen sowie anlassbezogen über die wesentlichen Auslagerungen. IKT-Dienstleistungen, die dem Drittparteienrisikomanagement nach DORA unterliegen, grenzen die MaRisk von AT 9 ab.

Der Beitrag ordnet Rolle und Pflichten nach der Neufassung, zeigt Zeitpunkte und typische Lücken und endet mit einem Quick-Check für dein zentrales Auslagerungsmanagement.

Dieser Beitrag dient der Information und ersetzt keine Rechtsberatung im Einzelfall.

Inhaltsverzeichnis

Welche Pflichten hat ein Auslagerungsbeauftragter? Der rechtliche Rahmen

Nach § 25b Abs. 1 KWG muss ein Institut bei Auslagerungen von Aktivitäten und Prozessen, die für die Durchführung von Bankgeschäften, Finanzdienstleistungen oder sonstigen institutstypischen Dienstleistungen wesentlich sind, angemessene Vorkehrungen treffen, um übermäßige zusätzliche Risiken zu vermeiden. Die Auslagerung darf weder die Ordnungsmäßigkeit dieser Geschäfte und Dienstleistungen noch die Geschäftsorganisation nach § 25a Abs. 1 KWG beeinträchtigen.

Absatz 2 Satz 1 stellt klar, dass die Auslagerung nicht zu einer Übertragung der Verantwortung der Geschäftsleiter führen darf. Für Zahlungsinstitute regelt § 26 Abs. 1 ZAG die Auslagerung einschließlich IKT-Systemen und verlangt, dass ein wirksames Risikomanagement gewährleistet bleibt.

Die MaRisk konkretisieren diese Vorgaben in AT 9. In der Fassung vom 30. Juni 2026 (Rundschreiben 06/2026 (BA)) muss das Institut nach Tz. 12 abhängig von Art, Umfang und Komplexität der Auslagerungsaktivitäten ein zentrales Auslagerungsmanagement einrichten. Die Vorfassung (Rundschreiben 05/2023) verlangte nach Tz. 12 zusätzlich einen zentralen Auslagerungsbeauftragten im Institut.

Ob dein Institut die Funktion weiterhin „Auslagerungsbeauftragter“ nennt, ist eine organisatorische Entscheidung. Maßgeblich sind die Aufgaben des zentralen Auslagerungsmanagements nach Tz. 12 und 13.

Für IKT-Dienstleistungen gilt daneben DORA mit den Art. 28 bis 30. Die Neufassung der MaRisk grenzt IKT-Dienstleistungen, die dem IKT-Drittparteienrisikomanagement nach DORA unterliegen, von AT 9 ab.

Pflichten nach Funktion

Die Übersicht zeigt, wer im Institut welche Pflicht trägt und woraus sie sich ergibt. Aufgaben der Vorfassung sind als solche gekennzeichnet.

Funktionen im Auslagerungsmanagement und ihre Grundlagen
FunktionPflicht oder AufgabeGrundlage
GeschäftsleitungTrägt die Verantwortung für ausgelagerte Aktivitäten. Leitungsaufgaben sind nicht auslagerbar. Erhält den Bericht über wesentliche Auslagerungen.§ 25b Abs. 2 Satz 1 KWG; AT 9; Tz. 13
Zentrales AuslagerungsmanagementWird abhängig von Art, Umfang und Komplexität der Auslagerungsaktivitäten eingerichtet. Erstellt in regelmäßigen Abständen sowie anlassbezogen den Bericht über die wesentlichen Auslagerungen.AT 9 Tz. 12 und 13 (Rundschreiben 06/2026 (BA))
Auslagerungsbeauftragter (Funktionsbezeichnung)Die Vorfassung verlangte einen zentralen Auslagerungsbeauftragten im Institut. Zu den Aufgaben zählte unter anderem die Koordination und Überprüfung der durch die zuständigen Bereiche durchgeführten Risikoanalyse.AT 9 Tz. 12 (Rundschreiben 05/2023, Vorfassung)
Zuständige FachbereicheFühren nach der Vorfassung die Risikoanalyse zur Auslagerung durch; das zentrale Auslagerungsmanagement koordiniert und überprüft sie.AT 9 Tz. 2 und 12 (Vorfassung)
ZahlungsinstituteAngemessene Vorkehrungen gegen übermäßige zusätzliche Risiken bei Auslagerungen einschließlich IKT-Systemen; die Verantwortung der Geschäftsleiter darf nicht delegiert werden.§ 26 Abs. 1 ZAG
IKT-DienstleistungenDrittparteienrisikomanagement nach DORA statt AT 9, soweit die Dienstleistung darunter fällt.Art. 28 bis 30 DORA

Die Spalte „Pflicht oder Aufgabe“ gibt den Gehalt der Norm verkürzt wieder. Maßgeblich ist der Wortlaut der Vorschrift, den du im Quellenverzeichnis findest.

Fristen und Zeitpunkte

Die Zeitpunkte sind monatsgenau angegeben. Prüfe vor jeder Entscheidung den aktuellen Stand; dieser Beitrag gibt den Rechtsstand Oktober 2026 wieder.

Zeitpunkte nach Regelwerk
RegelwerkZeitpunktHinweis
9. MaRisk-Novelle (Rundschreiben 06/2026 (BA))In Kraft seit Juni 2026Für zusätzliche Anforderungen im Einzelfall nennt das Übersendungsschreiben eine Übergangsfrist bis Januar 2027.
Bericht an die GeschäftsleitungRegelmäßig und anlassbezogenDie Vorfassung verlangte den Bericht mindestens jährlich.
DORAGeltung seit Januar 2025Unmittelbar anwendbare Verordnung für Finanzunternehmen.

Aufgaben im Auslagerungslebenszyklus

Die Aufgaben lassen sich entlang des Lebenszyklus einer Auslagerung ordnen.

Vor der Auslagerung

Das Institut stellt anhand einer Risikoanalyse fest, welche Auslagerungen wesentlich sind. Das zentrale Auslagerungsmanagement koordiniert und überprüft die Analyse der zuständigen Bereiche.

Norm: § 25b Abs. 1 KWG; AT 9

Vertrag

Für wesentliche Auslagerungen stellt AT 9 besondere Anforderungen an den Auslagerungsvertrag. Bei IKT-Dienstleistungen gelten die Vorgaben der DORA.

Norm: AT 9; Art. 30 DORA

Laufende Überwachung

Dokumentation, Steuerung und Überwachung wesentlicher Auslagerungen setzen klare Verantwortlichkeiten voraus. Die Überwachung gehört zu den Aufgaben des zentralen Auslagerungsmanagements.

Norm: AT 9

Bericht an die Geschäftsleitung

Das zentrale Auslagerungsmanagement berichtet über die wesentlichen Auslagerungen in regelmäßigen Abständen sowie anlassbezogen.

Norm: AT 9 Tz. 13

Beendigung und Notfall

Für wesentliche Auslagerungen gehören Vorsorge für das Ende der Auslagerung und ein Notfallkonzept zu den Pflichten des Instituts.

Norm: AT 9

Typische Lücken mit Normbezug

Vier Muster treten bei der Umstellung auf die Neufassung häufig auf. Jedes lässt sich auf eine konkrete Vorschrift zurückführen.

Rolle ohne Aufgabenbeschreibung

Die Funktionsbezeichnung steht in der Stellenbeschreibung, die Aufgaben nach Tz. 12 und 13 fehlen. Nach der Neufassung kommt es auf die Aufgaben des zentralen Auslagerungsmanagements an.

Norm: AT 9 Tz. 12 und 13

Berichtsrhythmus aus der Vorfassung

Viele Berichtsprozesse sind auf den jährlichen Bericht der Vorfassung ausgelegt. Tz. 13 nennt regelmäßige Abstände sowie anlassbezogene Berichte. Der Anlassfall braucht deshalb einen definierten Auslöser.

Norm: AT 9 Tz. 13

Verantwortung faktisch delegiert

Wenn die Geschäftsleitung Auslagerungsentscheidungen nur noch abzeichnet, droht der Eindruck, dass die Verantwortung beim Dienstleister liegt. § 25b Abs. 2 Satz 1 KWG schließt das aus.

Norm: § 25b Abs. 2 Satz 1 KWG; § 26 Abs. 1 ZAG

IKT-Dienstleistung falsch zugeordnet

Eine Dienstleistung wird nach AT 9 geprüft, obwohl DORA gilt, oder umgekehrt. Prüfe pro Dienstleistung, welches Regime greift, und halte die Zuordnung fest.

Norm: AT 9; Art. 28 bis 30 DORA

Quick-Check: Wie belastbar ist dein Auslagerungsmanagement?

Wähle den Zustand, der für dein Institut am ehesten zutrifft. Die Empfehlung erscheint darunter.

Sind Aufgaben, Berichtsrhythmus und Verantwortung deines zentralen Auslagerungsmanagements schriftlich auf die Neufassung der MaRisk ausgerichtet?

Noch keine Auswahl getroffen.

Zustand: Erfüllt

Halte den Stand fest: Fassung der Arbeitsanweisung, Datum der Genehmigung durch die Geschäftsleitung, Berichtsrhythmus und Auslöser für anlassbezogene Berichte. Plane eine Überprüfung, sobald sich Rundschreiben oder Übergangsfristen ändern.

Zustand: Teilweise

Prüfe die drei Kernpunkte: Aufgabenbeschreibung nach Tz. 12, Berichtsrhythmus und Auslöser nach Tz. 13, Zuordnung der IKT-Dienstleistungen zu DORA. Halte die offenen Punkte mit Verantwortlichem und Frist in einer Liste fest.

Zustand: Offen

Beginne mit einer Bestandsaufnahme: Welche Auslagerungen gibt es, welche sind wesentlich, wer berichtet an wen? Lege danach Aufgaben und Berichtsrhythmus schriftlich fest und lass sie von der Geschäftsleitung genehmigen.

Zertifikats-Lehrgang Auslagerungsbeauftragter ansehen

No-Regret-Maßnahmen für das Auslagerungsmanagement

Diese fünf Schritte lohnen sich unabhängig davon, wie dein Institut die Funktion benennt.

  1. 1

    Aufgaben schriftlich festlegen

    Beschreibe die Funktion anhand der Aufgaben des zentralen Auslagerungsmanagements nach Tz. 12 und 13, nicht allein über die Funktionsbezeichnung.

  2. 2

    Berichtswesen definieren

    Lege Rhythmus, Inhalt und Empfänger des Berichts fest und bestimme, welche Ereignisse einen anlassbezogenen Bericht auslösen.

  3. 3

    IKT-Dienstleistungen abgrenzen

    Ordne jede Dienstleistung dem passenden Regime zu (AT 9 oder DORA) und halte die Begründung im Register fest.

  4. 4

    Verantwortung der Geschäftsleitung belegen

    Dokumentiere, wann und wie sich die Geschäftsleitung mit den Berichten befasst und welche Entscheidungen sie trifft.

  5. 5

    Qualifikation sichern

    Plane die Weiterbildung der Verantwortlichen und halte Inhalt, Umfang und Datum fest.

Passende Programme nach Erfahrung

Fazit: Pflichten nach der Neufassung der MaRisk

Welche Pflichten hat ein Auslagerungsbeauftragter? Er unterstützt die Geschäftsleitung, deren Verantwortung bestehen bleibt. Nach der Neufassung der MaRisk kommt es auf die Aufgaben des zentralen Auslagerungsmanagements an: Einrichtung nach Art, Umfang und Komplexität und Bericht an die Geschäftsleitung.

Kernbotschaften

  • Die Verantwortung der Geschäftsleiter lässt sich nicht auf das Auslagerungsunternehmen übertragen (§ 25b Abs. 2 Satz 1 KWG).
  • AT 9 Tz. 12 verlangt ein zentrales Auslagerungsmanagement; die Vorfassung nannte zusätzlich einen Auslagerungsbeauftragten.
  • Der Bericht an die Geschäftsleitung erfolgt in regelmäßigen Abständen und anlassbezogen (Tz. 13).
  • IKT-Dienstleistungen ordnest du pro Dienstleistung AT 9 oder DORA zu.

Häufige Fragen

Ist ein Auslagerungsbeauftragter nach der 9. MaRisk-Novelle noch Pflicht?+–
AT 9 Tz. 12 in der Fassung vom 30. Juni 2026 verlangt ein zentrales Auslagerungsmanagement, abhängig von Art, Umfang und Komplexität der Auslagerungsaktivitäten. Die Vorfassung (Rundschreiben 05/2023) sah zusätzlich einen zentralen Auslagerungsbeauftragten vor. Wie dein Institut die Funktion benennt, ist eine organisatorische Entscheidung. Maßgeblich sind die Aufgaben nach Tz. 12 und 13.
Wem berichtet das zentrale Auslagerungsmanagement?+–
Nach AT 9 Tz. 13 erstellt das zentrale Auslagerungsmanagement in regelmäßigen Abständen sowie anlassbezogen einen Bericht über die wesentlichen Auslagerungen und stellt ihn der Geschäftsleitung zur Verfügung. Die Vorfassung verlangte den Bericht mindestens jährlich.
Kann die Geschäftsleitung ihre Verantwortung auf das Auslagerungsunternehmen übertragen?+–
Nein. Nach § 25b Abs. 2 Satz 1 KWG darf die Auslagerung nicht zu einer Übertragung der Verantwortung der Geschäftsleiter an das Auslagerungsunternehmen führen. AT 9 stellt zusätzlich klar, dass Leitungsaufgaben der Geschäftsleitung nicht ausgelagert werden dürfen. Für Zahlungsinstitute enthält § 26 Abs. 1 ZAG eine entsprechende Regelung.
Fallen IKT-Dienstleistungen unter AT 9 oder unter DORA?+–
Die Neufassung der MaRisk grenzt IKT-Dienstleistungen, die dem IKT-Drittparteienrisikomanagement nach DORA unterliegen, von AT 9 ab. Für sie gelten die Anforderungen der Art. 28 bis 30 DORA. Prüfe für jede Dienstleistung gesondert, welches Regime greift.
Welche Aufgaben nannte die Vorfassung der MaRisk für den Auslagerungsbeauftragten?+–
Die Vorfassung (Rundschreiben 05/2023, AT 9 Tz. 12) nannte als Aufgabe unter anderem die Koordination und Überprüfung der durch die zuständigen Bereiche durchgeführten Risikoanalyse. Der Bericht über die wesentlichen Auslagerungen war nach Tz. 13 mindestens jährlich zu erstellen.
Wie dokumentiere ich die Sachkunde für diese Funktion?+–
Eine Teilnahmebescheinigung dokumentiert, dass du dich mit einem Thema befasst hast. Die fachliche Eignung beurteilt im Einzelfall die zuständige Aufsicht. Halte deshalb Inhalt, Umfang und Datum jeder Schulung fest und ordne sie den Aufgaben der Funktion zu.

Quellenverzeichnis

Primärquellen: Gesetzestexte des Bundes, Rundschreiben der BaFin und Rechtsakte der EU.

Verwandte Leistungen und Programme

Lehrgang und Seminar

Weiterlesen

Verwandte Seminare

Fehlen intern die Kapazitäten, die Aufgaben des Auslagerungsmanagements laufend umzusetzen, kann S+P Compliance dich operativ unterstützen.

Welche Pflichten hat ein Auslagerungsbeauftragter
Achim Schulz
Über den Autor

Achim Schulz

Geschäftsführer S+P Compliance & S+P Unternehmerforum · langjährige Vorstands- & Geschäftsführungserfahrung

Achim Schulz kennt die Führungsebene aus eigener Verantwortung – langjährig als Vorstand bei Banken und Geschäftsführer sowie als Interim-Manager in Industrieunternehmen. Diese Doppelperspektive aus Finanzsektor und Realwirtschaft prägt seine Beiträge für CEO, COO und CFO. Er kennt das Zusammenspiel von Geschäftsleitung, Aufsichtsrat und Gesellschaftern aus der Praxis und übersetzt strategische wie aufsichtsrechtliche Anforderungen in umsetzbare, haftungssichere Führungsentscheidungen – praxisnah und auf Augenhöhe mit dem Management.

LinkedIn-Profil → · Redaktion & Experten →

Seminare & Lehrgänge

Plattform & Methodik

Über S+P

ISO9001
ecovadis

Service & Kontakt

Board & Management

Compliance & Aufsicht

Führung & Leadership

Finance & Performance

S&P Unternehmerforum GmbH 809 Bewertungen auf ProvenExpert.com