Auslagerungsbeauftragter: MaRisk AT 9, KWG & Register

Die Auslagerung von Aktivitäten und Prozessen auf externe Dienstleister ist in der Finanzbranche kein organisatorisches Detail, sondern ein zentraler Hebel der Betriebsführung. Der Gesetzgeber stellt in § 25b KWG klar: Die Verantwortung für die ordnungsgemäße Durchführung der ausgelagerten Aufgaben verbleibt unübertragbar bei der Geschäftsleitung des Instituts. Die Bundesanstalt für Finanzdienstleistungsaufsicht (BaFin) verlangt von Banken und Finanzdienstleistern eine lückenlose Steuerung aller Auslagerungsverhältnisse. Wer Dienstleistungen auslagert, ohne Risiken systematisch zu überwachen, verstößt gegen fundamentale Aufsichtspflichten.

Die Mindestanforderungen an das Risikomanagement (MaRisk) präzisieren § 25b KWG im Modul AT 9. Die aktuell gültige Fassung ist das am 30. Juni 2026 veröffentlichte BaFin-Rundschreiben 06/2026 (BA), die 9. MaRisk-Novelle. Institute müssen eine zentrale Stelle vorhalten, die das Auslagerungsmanagement im Finanzsektor koordiniert und überwacht. Diese Instanz, als Auslagerungsbeauftragte geführt, stellt sicher, dass Risikoanalysen eingehalten, Verträge rechtskonform gestaltet und Berichte an die Geschäftsleitung fristgerecht vorgelegt werden. Die BaFin duldet bei Sonderprüfungen nach § 44 KWG keine reinen Formalismus-Lösungen, sondern verlangt den Nachweis operativer Kontrolle.

Bei Versäumnissen im Auslagerungsmanagement drohen harte aufsichtsrechtliche Sanktionen sowie persönliche Haftungsrisiken für Organmitglieder. Nach § 130 Gesetz über Ordnungswidrigkeiten (OWiG) in Verbindung mit § 25a KWG stellt eine unzureichende Beaufsichtigung von Dienstleistern ein Organisationsverschulden dar. Die Aufsichtsbehörde prüft bei Zwischenfällen nicht, ob Verträge unterschrieben wurden, sondern ob operative Nachweisketten vorliegen.

Ein tragfähiges Mandat erfordert eine organisatorische Verankerung mit direkter Berichtslinie an die Geschäftsleitung. Nur wenn der zentrale Auslagerungsbeauftragte Zugriff auf sämtliche Verträge, Risikoanalysen und Auditergebnisse hat, bleibt das Institut jederzeit auditfest.

Mit dem Wirksamwerden der europäischen Verordnung über die digitale operationale Resilienz im Finanzsektor (DORA, Verordnung (EU) 2022/2554) stehen Finanzinstitute vor einer neu strukturierten Regulierungslandschaft. Bislang wurden IT-Dienstleistungen weitgehend über die Auslagerungstatbestände des MaRisk AT 9 abgebildet. Mit der 9. MaRisk-Novelle zieht die BaFin eine klare rechtliche Trennlinie: IKT-Dienstleistungen, die dem IKT-Drittparteienrisikomanagement der Artikel 28 bis 30 DORA unterliegen, fallen nicht mehr in den Anwendungsbereich des AT 9.

IKT-Dienstleistungen gemäß Art. 3 Nr. 21 DORA fallen, sofern sie dem IKT-Drittparteienrisikomanagement nach den Artikeln 28 bis 30 DORA unterliegen, ausdrücklich nicht mehr in den Anwendungsbereich von AT 9 MaRisk. Diese Entflechtung verhindert Doppelregulierungen und schafft Rechtsklarheit. Dennoch erfordert die operative Umsetzung eine präzise Zuordnung jedes Dienstleisters: Während Sachverständige, Reinigungsdienste oder traditionelle Beratungen unter MaRisk AT 9 fallen, werden Cloud-Provider, Software-as-a-Service-Anbieter und Rechenzentren nach den Regeln von DORA gesteuert.

Trotz der rechtlichen Trennung dürfen Institute keine isolierten Silos aufbauen. Das operative Notfallmanagement nach AT 7.3 MaRisk bildet die Klammer für alle betrieblichen Unterbrechungsrisiken. Ob ein Dienstleisterausfall auf eine physische Störung (MaRisk) oder einen Cyber-Vorfall (DORA) zurückzuführen ist: Business-Continuity-Pläne müssen verzahnt sein, um den Geschäftsbetrieb unterbrechungsfrei zu sichern.

Die Wesentlichkeitsanalyse bildet das normative Fundament jedes Auslagerungsmanagements. Bevor ein Vertrag unterschrieben wird, muss das Institut zwingend bewerten, ob der Ausfall oder eine fehlerhafte Leistungserbringung den Geschäftsbetrieb, die finanzielle Stabilität oder die Einhaltung regulatorischer Vorschriften substanziell gefährden kann.

Eine pauschale oder unbegründete Einstufung als unwesentlich scheitert in jeder BaFin-Prüfung. Die Risikoanalyse muss objektiv nachvollziehbar dokumentieren, welche Auswirkung eine Störung auf kritische Funktionen hat. Zu den harten Kriterien zählen die Abhängigkeit von der Dienstleistung, die Vertraulichkeit verarbeiteter Daten, die Substituierbarkeit des Anbieters sowie die Dauer, die für einen Wechsel erforderlich wäre.

Die Ergebnisse der Wesentlichkeitsanalyse müssen direkt in die Gesamtrisikosteuerung und die Risikotragfähigkeit des Instituts einfließen. MaRisk verlangt ausdrücklich, dass die Risikosteuerungs- und Controllingprozesse auch die wesentlichen Risiken aus ausgelagerten Aktivitäten und Prozessen frühzeitig erkennen, vollständig erfassen und in die Gesamtbanksteuerung einbinden. Wesentlichkeitsbewertungen dürfen daher nicht einmalig abgelegt, sondern müssen mindestens einmal jährlich sowie bei wesentlichen Veränderungen des Vertragsumfangs oder des Risikoprofils anlassbezogen aktualisiert werden.

Die Pflicht zur Führung eines vollständigen und hochaktuellen Auslagerungsregisters ist eine zentrale Vorgabe von KWG und MaRisk. In vielen Instituten dominiert jedoch nach wie vor eine Zersplitterung über dezentrale Excel-Tabellen, unvollständige Ordnerstrukturen und manuelle Pflegelisten. Diese Praxis stellt ein erhebliches Prüfungs- und Haftungsrisiko dar.

Aufsichtsbehörden erwarten eine klare Struktur. Das KWG-Auslagerungsregister nach MaRisk AT 9 muss sämtliche Auslagerungsverhältnisse umfassen, während das Informationsregister nach Art. 28 Abs. 3 Unterabs. 1 DORA alle Verträge mit Drittdienstleistern erfasst, die dem Finanzunternehmen IKT-Dienstleistungen bereitstellen. Bei IKT-Dienstleistungen, die kritische oder wichtige Funktionen unterstützen, sind zusätzlich die Unterauftragnehmer in der Dienstleisterkette aufzuführen. Wer hier auf manuelle Tabellen setzt, scheitert spätestens bei der Abfrage von Datenketten über Subdienstleister.

Die Aufsicht verlangt bei Sonderprüfungen eine Ad-hoc-Auskunftsfähigkeit. Ein prüfungsfestes Auslagerungsregister führt daher Vertragspartner und Dienstleistung, die Wesentlichkeitseinstufung, Laufzeiten und Kündigungsfristen, Unterauslagerungen, SLAs und Kontrollrechte sowie Risikobewertungen mit ihren Review-Frequenzen zusammen. Nach Art. 28 Abs. 3 DORA müssen Finanzunternehmen der zuständigen Behörde das vollständige Informationsregister auf Anfrage zur Verfügung stellen. Statische Tabellen bieten keinen verlässlichen Datendurchgriff und erfüllen die Anforderungen an ein modernes Risikomanagement nicht.

Eine der am schärfsten geprüften Anforderungen im MaRisk AT 9 ist das Vorhandensein belastbarer Exit-Strategien für alle wesentlichen Auslagerungen. Reine Absichtserklärungen oder pauschale Verweise auf vertragliche Kündigungsfristen werden von Bankprüfern unverzüglich als wesentlicher Mangel eingestuft.

Ein auditfester Ausstiegsplan definiert konkrete Auslöser (Trigger), bei deren Eintritt ein geordneter Rückzug eingeleitet werden muss. Für IKT-Dienstleistungen zur Unterstützung kritischer oder wichtiger Funktionen nennt Art. 28 Abs. 7 DORA die Kündigungsgründe ausdrücklich: erhebliche Verstöße des Dienstleisters gegen Gesetze oder Vertragsbedingungen, im Rahmen der Überwachung festgestellte Umstände, die die Leistungserbringung beeinträchtigen, nachweisliche Schwächen im IKT-Risikomanagement sowie eine nicht mehr wirksam mögliche Beaufsichtigung durch die zuständige Behörde. Das Dokument muss exakt festlegen, welche Schritte innerhalb welcher Zeitfenster eingeleitet werden, um den Geschäftsbetrieb ohne Unterbrechung fortzuführen.

Der Wechsel eines Kernanbieters scheitert in der Praxis selten am Willen, sondern an technischen Datenformaten und Schnittstellen. Exit-Pläne müssen daher umfassend, dokumentiert, ausreichend getestet und regelmäßig überprüft sein; zusätzlich sind alternative Lösungen zu ermitteln und Übergangspläne zu entwickeln. Auch MaRisk AT 9 verlangt eine regelmäßige Überprüfung der Praktikabilität dieser Pläne, während in der Prüfungspraxis häufig Exit-Pläne auffallen, die zwar vorliegen, aber nie auf ihre Umsetzbarkeit geprüft wurden. Wer Rückführungsoptionen nie testet, besitzt keinen funktionierenden Notfallplan.

Für mittelständische Institute, kleine Banken und Finanzdienstleister stellt die Besetzung sämtlicher geforderter Beauftragtenrollen eine erhebliche organisatorische Herausforderung dar. Die 9. MaRisk-Novelle ist stärker prinzipien- und proportionalitätsorientiert ausgestaltet und verlangt ein zentrales Auslagerungsmanagement abhängig von Art, Umfang und Komplexität der Auslagerungsaktivitäten. Dieser Spielraum erlaubt eine Bündelung von Aufgaben, solange keine Interessenkonflikte entstehen.

In der Praxis lässt sich die Funktion des zentralen Auslagerungsbeauftragten eng mit dem Informationssicherheitsbeauftragter oder dem allgemeinen Compliance-Beauftragten verzahnen. Das zentrale Auslagerungsmanagement ist ohnehin die Schnittstellenfunktion zu Einkauf, IT- und IKT-Sicherheit, Datenschutz und Fachbereichen. Da Sicherheitsfragen bei der Bewertung von Dienstleistern eine Schlüsselrolle spielen, entstehen durch integrierte Arbeitsprozesse wertvolle Synergien. Die Zusammenführung spart administrative Ressourcen, ohne die Kontrollqualität zu mindern.

Das Prinzip der Funktionstrennung setzt der Rollenkombination unverrückbare Grenzen. Die MaRisk verlangt, dass die Interne Revision ihre Prüfungstätigkeit unter Wahrung ihrer Unabhängigkeit und unter Vermeidung von Interessenkonflikten ausübt. Der Auslagerungsbeauftragte darf daher nicht zeitgleich Aufgaben der Internen Revision wahrnehmen, da die Revision die Wirksamkeit der Auslagerungssteuerung unabhängig prüfen muss. Ebenso dürfen operatives Projektmanagement auf Fachbereichsseite und die unabhängige Überwachung im Auslagerungsmanagement nicht in einer Person ohne klare Trennung vermischt werden.

Die steigende Komplexität aus KWG, MaRisk AT 9 und DORA lässt sich im Betriebsalltag nicht mehr mit isolierten Werkzeugen bewältigen. Gefragt ist eine integrierte Compliance-Architektur, die Software und operative Expertise nahtlos verbindet. Genau hier setzt die Plattform von CIVAC an: Sie wandelt regulatorische Vorgaben in ein strukturiertes, digitales Mandat um.

Mit dem CIVAC Workspace verwalten Institute all ihre Beauftragten-Rollen und Dienstleisterverhältnisse in einer zentralen Benutzeroberfläche. Die Software führt MaRisk-Auslagerungsregister und DORA-Informationsregister in einem übersichtlichen System zusammen, überwacht Prüffristen automatisch und stellt die lückenlose Historisierung aller Risikobewertungen sicher. Statt stundenlanger manueller Vorbereitung stehen prüfungsfertige Berichte für die BaFin sofort bereit.

Neben der technologischen Basis unterstützt CIVAC Finanzinstitute auch personell. Über CIVAC Externe Beauftragte erhalten Unternehmen qualifizierte, namentlich bestellte Experten, die Auslagerungsmandate rechtssicher und praxiserprobt übernehmen. Für interne Beauftragte stehen im Compliance-Software Workspace 905 einsatzbereite Audit-Vorlagen zur Verfügung, die den Prüfungsaufwand drastisch reduzieren.

Wir übernehmen Compliance. Sie führen Ihr Unternehmen. Mit CIVAC erfüllen Finanzinstitute ihre gesetzlichen Pflichten nach § 25b KWG und MaRisk AT 9 dauerhaft, transparent und jederzeit auditfest.

Der Auslagerungsbeauftragte überwacht und steuert die Dienstleister eines Finanzinstituts gemäß § 25b KWG und MaRisk AT 9. Er verantwortet die Führung des Auslagerungsregisters, führt Wesentlichkeitsanalysen durch und stellt sicher, dass belastbare Exit-Strategien für kritische Prozesse vorliegen.

Das BaFin-FAQ stellt gemäß Erwägungsgrund 29 DORA klar, dass beide Register parallel existieren. Während das DORA-Informationsregister ausschließlich IKT-Dienstleistungen erfasst, dokumentiert das KWG-Auslagerungsregister alle wesentlichen Auslagerungen eines Instituts, unabhängig vom IT-Bezug.

Eine Auslagerung gilt als wesentlich, wenn ihr Ausfall die Geschäftstätigkeit, die Risikosituation oder die Erfüllung regulatorischer Pflichten des Instituts stark beeinträchtigt. Die MaRisk AT 9 fordert hierfür eine harte, nachvollziehbare Wesentlichkeitsanalyse vor Vertragsschluss.

Für jede wesentliche Auslagerung fordert die BaFin konkrete, auditfeste Exit-Strategien. Diese müssen dokumentieren, wie das Institut den ausgelagerten Prozess bei einem Provider-Ausfall ohne Geschäftsunterbrechung wieder eingliedern oder an einen anderen Dienstleister übertragen kann.

Ja, unter Wahrung der strikten Funktionstrennung erlaubt das Proportionalitätsprinzip der MaRisk eine Bündelung. In kleineren Instituten kann der Auslagerungsbeauftragte beispielsweise auch Aufgaben der Informationssicherheit übernehmen, solange operativ keine Interessenkonflikte entstehen.