Auslagerungsmanagement: Definition, aufsichtsrechtliche Anforderungen und Prüfung durch die Interne Revision

Dieser Beitrag erklärt den Begriff Auslagerungsmanagement, ordnet ihn aufsichtsrechtlich ein (§ 25b KWG, MaRisk AT 9, EBA-Leitlinien, DORA) und zeigt, worauf die Interne Revision bei der Prüfung achten sollte – definitorisch, mit exakten Normbezügen und verlinkten Originalquellen.

Was ist Auslagerungsmanagement? (Definition)

Auslagerungsmanagement bezeichnet die Gesamtheit der organisatorischen Regelungen, Prozesse und Kontrollen, mit denen ein Institut seine Auslagerungen von der Risikoanalyse über die Vertragsgestaltung bis zur laufenden Überwachung und Beendigung steuert. Der aufsichtsrechtliche Rahmen ergibt sich vor allem aus § 25b KWG (Auslagerung von Aktivitäten und Prozessen) und dem Modul AT 9 der MaRisk (Rundschreiben 06/2026 (BA) vom 30.06.2026).

Ziel ist, übermäßige zusätzliche Risiken aus Auslagerungen zu vermeiden und die Ordnungsmäßigkeit der Geschäftsorganisation nach § 25a Abs. 1 KWG zu wahren. Die Verantwortung der Geschäftsleitung kann dabei nicht ausgelagert werden (§ 25b Abs. 2 KWG).

Auslagerung, Fremdbezug und sonstiger Fremdbezug – die Abgrenzung (AT 9 Tz. 1)

Eine Auslagerung liegt nach AT 9 Tz. 1 vor, wenn ein anderes Unternehmen mit der Wahrnehmung von Aktivitäten und Prozessen im Zusammenhang mit Bankgeschäften, Finanzdienstleistungen oder sonstigen institutstypischen Dienstleistungen beauftragt wird, die ansonsten vom Institut selbst erbracht würden. Zivilrechtliche Gestaltungen können das Vorliegen einer Auslagerung nicht von vornherein ausschließen.

Davon abzugrenzen ist der sonstige Fremdbezug von Leistungen, der nicht als Auslagerung gilt. Dazu zählen insbesondere der einmalige oder gelegentliche Fremdbezug von Gütern und Dienstleistungen sowie Leistungen, die typischerweise von einem beaufsichtigten Unternehmen bezogen werden und regelmäßig nicht vom Institut selbst erbracht werden können. Auch beim sonstigen Fremdbezug muss die Ordnungsmäßigkeit der Geschäftsorganisation nach § 25a Abs. 1 KWG gewahrt bleiben.

Wesentliche und unwesentliche Auslagerung

Ob eine Auslagerung wesentlich ist, bestimmt das Institut anhand einer Risikoanalyse (AT 9 Tz. 2): Bewertet wird, welche Risiken mit einer Auslagerung verbunden sind; darauf aufbauend wird festgelegt, welche Auslagerungen unter Risikogesichtspunkten wesentlich sind. Die Risikoanalyse ist regelmäßig – bei kleinen Instituten alle drei Jahre – sowie bei wesentlichen Änderungen der Risikosituation zu überprüfen.

Bei unwesentlichen Auslagerungen gelten die allgemeinen Anforderungen an die Ordnungsmäßigkeit der Geschäftsorganisation nach § 25a Abs. 1 KWG (AT 9 Tz. 3). Unabhängig von der Wesentlichkeit sind jedoch sämtliche Auslagerungen – wesentliche wie nicht wesentliche – im Auslagerungsregister zu erfassen (§ 25b Abs. 1 KWG). Bei Auslagerungen von erheblicher Tragweite, etwa der Auslagerung der besonderen Funktionen (Risikocontrolling-Funktion, Compliance-Funktion, Interne Revision) oder von Kernbankbereichen, ist besonders intensiv zu prüfen, wie die Einbeziehung in das Risikomanagement sichergestellt wird.

Aufsichtsrechtlicher Rahmen: § 25b KWG und MaRisk AT 9 (RS 06/2026 (BA))

Zentrale gesetzliche Grundlage ist § 25b KWG: Ein Institut muss abhängig von Art, Umfang, Komplexität und Risikogehalt einer Auslagerung angemessene Vorkehrungen treffen, um übermäßige zusätzliche Risiken zu vermeiden (Abs. 1). Die Auslagerung darf nicht zu einer Übertragung der Verantwortung der Geschäftsleiter führen (Abs. 2), und die Auskunfts- und Prüfungsrechte der BaFin müssen gewahrt bleiben (Abs. 3). Zudem ist ein Auslagerungsregister über sämtliche Auslagerungen zu führen (Abs. 1).

Konkretisiert werden diese Vorgaben im Modul AT 9 der MaRisk (Rundschreiben 06/2026 (BA) vom 30.06.2026). AT 9 regelt insbesondere die Risikoanalyse, die Vertragsinhalte bei wesentlichen Auslagerungen (§ 25b Abs. 3 S. 3 KWG), Weiterverlagerungen, Ausstiegsstrategien, das Auslagerungsregister sowie das zentrale Auslagerungsmanagement. Für Wertpapierinstitute gelten die gesonderten WpI MaRisk.

EBA-Leitlinien zu Auslagerungen (EBA/GL/2019/02)

Auf europäischer Ebene prägen die EBA-Leitlinien zu Auslagerungen (EBA/GL/2019/02) den Rahmen. Sie wurden am 25. Februar 2019 veröffentlicht und gelten seit dem 30. September 2019; sie lösten die früheren CEBS-Leitlinien von 2006 sowie die EBA-Empfehlungen zur Auslagerung an Cloud-Anbieter ab.

Die Leitlinien harmonisieren die Auslagerungsanforderungen europaweit und richten sich unter anderem an CRR-Kreditinstitute, Wertpapierfirmen sowie Zahlungs- und E-Geld-Institute. Sie konkretisieren Governance, Risikobewertung, Vertragsinhalte, das Führen eines Auslagerungsregisters und die Überwachung von Dienstleistern. In den MaRisk sind die einschlägigen EBA-Leitlinien aufsichtlich umgesetzt.

Auslagerungsmanagement unter DORA (Art. 28–30)

Für IKT-Dienstleistungen gilt seit dem 17. Januar 2025 die Verordnung (EU) 2022/2554 (DORA) unmittelbar. Ihr IKT-Drittparteienrisikomanagement ist in den Artikeln 28 bis 30 geregelt: Art. 28 enthält die allgemeinen Prinzipien (die volle Verantwortung verbleibt beim Finanzunternehmen), Art. 29 adressiert das Konzentrationsrisiko und Art. 30 legt die verpflichtenden Vertragsinhalte fest.

Für die Abgrenzung ist entscheidend: Ausgelagerte oder fremdbezogene IKT-Dienstleistungen im Sinne von Art. 3 Nr. 21 DORA, die dem IKT-Drittparteienrisikomanagement nach Art. 28–30 DORA unterliegen, fallen ausdrücklich nicht in den Anwendungsbereich von AT 9 MaRisk. Für das Auslagerungsmanagement bedeutet das eine klare Zuordnung: MaRisk AT 9 für „klassische" Auslagerungen, DORA für IKT-Drittparteien – mit sorgfältiger Einzelfallabgrenzung.

Zentrales Auslagerungsmanagement und Auslagerungscontrolling

Institute müssen – abhängig von Art, Umfang und Komplexität ihrer Auslagerungsaktivitäten – ein zentrales Auslagerungsmanagement einrichten (AT 9). Zu dessen Aufgaben zählen insbesondere die Implementierung und Weiterentwicklung eines angemessenen Auslagerungsmanagements samt Kontroll- und Überwachungsprozessen sowie die Erstellung und Pflege einer vollständigen Dokumentation der Auslagerungen einschließlich Weiterverlagerungen.

In der Praxis umfasst das Auslagerungscontrolling die laufende Überwachung der Dienstleistungsqualität, die Pflege des Auslagerungsregisters, die Steuerung von Weiterverlagerungen sowie die regelmäßige Überprüfung der Ausstiegsstrategien. Das zentrale Auslagerungsmanagement ist damit die organisatorische Klammer, die einen konsistenten Überblick über alle Auslagerungen des Instituts sicherstellt.

Die Rolle der Internen Revision: Prüfung des Auslagerungsmanagements

Das Auslagerungsmanagement gehört zu den zentralen Prüffeldern der Internen Revision. Sie beurteilt risikoorientiert und prozessunabhängig, ob das Institut die Anforderungen aus § 25b KWG und AT 9 MaRisk wirksam umgesetzt hat, und bezieht ausgelagerte Aktivitäten in ihren Prüfungsumfang ein. Typische Prüfungsschwerpunkte sind:

• Vollständigkeit und Nachvollziehbarkeit der Risikoanalysen und der Wesentlichkeitseinstufung,
• Vollständigkeit und Aktualität des Auslagerungsregisters (§ 25b Abs. 1 KWG),
• Vertragsinhalte bei wesentlichen Auslagerungen inkl. Weisungs-, Informations- und Prüfungsrechten (§ 25b Abs. 3 S. 3 KWG),
• Wirksamkeit von zentralem Auslagerungsmanagement und Dienstleisterüberwachung,
• Steuerung von Weiterverlagerungen und tragfähige Ausstiegsstrategien,
• korrekte Abgrenzung zwischen AT 9 MaRisk und dem IKT-Drittparteienrisikomanagement nach DORA.

Vertiefende Hinweise zu Aufbau und Prüfung finden Sie auf unserer Themenseite zum Auslagerungsmanagement. Wird die Interne Revision selbst ganz oder teilweise ausgelagert oder im Co-Sourcing unterstützt, verbleiben Steuerung und Letztverantwortung im Institut.