Auslagerungsmanagement nach § 25b KWG und MaRisk AT 9: Anforderungen, DORA-Abgrenzung und Prüfung durch die Interne Revision

Das Auslagerungsmanagement gehört zu den wesentlichen Bestandteilen einer ordnungsgemäßen Geschäftsorganisation von Instituten. Maßgebliche nationale Grundlagen sind insbesondere § 25b KWG und AT 9 der MaRisk. Für ausgelagerte oder fremdbezogene IKT-Dienstleistungen ist daneben die Abgrenzung zum unmittelbar geltenden Digital Operational Resilience Act (DORA) von besonderer Bedeutung.

Mit der 9. MaRisk-Novelle hat die BaFin am 30. Juni 2026 eine neue Fassung der MaRisk veröffentlicht; sie ist seit diesem Tag in Kraft. Soweit sich aus der Neufassung im Einzelfall zusätzliche Anforderungen ergeben, gewährt die Aufsicht ausweislich des BaFin-Übersendungsschreibens vom 30. Juni 2026 eine Übergangsfrist bis zum 1. Januar 2027.

Was ist Auslagerungsmanagement?

Der Begriff Auslagerungsmanagement bezeichnet in der Praxis die organisatorischen Regelungen, Prozesse und Kontrollen, mit denen ein Institut seine Auslagerungen identifiziert, bewertet, steuert und überwacht. Dazu gehören insbesondere die Risikoanalyse, die Vertragsgestaltung, die laufende Überwachung, der Umgang mit Weiterverlagerungen und die Vorbereitung auf mögliche Beendigungsszenarien.

Die zentrale gesetzliche Grundlage bildet § 25b KWG. Danach muss ein Institut bei Auslagerungen von Aktivitäten und Prozessen, die für die Durchführung von Bankgeschäften, Finanzdienstleistungen oder sonstigen institutstypischen Dienstleistungen wesentlich sind, abhängig von Art, Umfang, Komplexität und Risikogehalt angemessene Vorkehrungen treffen, um übermäßige zusätzliche Risiken zu vermeiden.

Unabhängig davon darf eine Auslagerung weder die Ordnungsmäßigkeit der Geschäfte und Dienstleistungen noch die Geschäftsorganisation nach § 25a Abs. 1 KWG beeinträchtigen. Ein angemessenes und wirksames Risikomanagement muss gewährleistet bleiben und die ausgelagerten Aktivitäten und Prozesse einbeziehen.

Auslagerung und sonstiger Fremdbezug: die Abgrenzung nach AT 9

Nach AT 9 Tz. 1 MaRisk liegt eine Auslagerung vor, wenn ein anderes Unternehmen mit Aktivitäten und Prozessen im Zusammenhang mit Bankgeschäften, Finanzdienstleistungen oder sonstigen institutstypischen Dienstleistungen beauftragt wird, die ansonsten vom Institut selbst erbracht würden. Die zivilrechtliche Gestaltung des Vertragsverhältnisses kann das Vorliegen einer Auslagerung nicht von vornherein ausschließen.

Davon unterscheidet AT 9 den sonstigen Fremdbezug von Leistungen. Hierzu gehören zunächst der einmalige oder gelegentliche Fremdbezug von Gütern und Dienstleistungen. Ebenfalls erfasst werden Leistungen, die typischerweise von einem beaufsichtigten Unternehmen bezogen werden und aufgrund tatsächlicher Gegebenheiten oder rechtlicher Vorgaben regelmäßig weder zum Zeitpunkt des Fremdbezugs noch künftig vom Institut selbst erbracht werden können.

Auch ein sonstiger Fremdbezug ist allerdings nicht aufsichtsrechtlich irrelevant: Das Institut muss weiterhin darauf achten, dass die Ordnungsmäßigkeit der Geschäftsorganisation nach § 25a Abs. 1 KWG nicht beeinträchtigt wird.

Wann ist eine Auslagerung wesentlich?

Die Wesentlichkeit einer Auslagerung bestimmt das Institut nach AT 9 Tz. 2 anhand einer Risikoanalyse. Es muss zunächst bewerten, welche Risiken mit der Auslagerung verbunden sind, und auf dieser Grundlage festlegen, welche Auslagerungen unter Risikogesichtspunkten wesentlich sind.

Die Risikoanalyse ist regelmäßig zu überprüfen und bei wesentlichen Änderungen der Risikosituation anzupassen. Für kleine Institute sieht AT 9 einen Überprüfungsturnus von drei Jahren vor. Die maßgeblichen Organisationseinheiten sind bei der Erstellung der Risikoanalyse einzubeziehen.

Bei der Risikoanalyse sind alle für das Institut relevanten Aspekte im Zusammenhang mit der Auslagerung zu berücksichtigen. Ihre Intensität richtet sich nach Art, Umfang, Komplexität und Risikogehalt der ausgelagerten Aktivitäten und Prozesse. Soweit sinnvoll und verhältnismäßig, ist die Risikoanalyse durch eine Szenarioanalyse zu ergänzen. Kleine Institute können qualitative Ansätze verwenden.

Besondere Aufmerksamkeit verlangt AT 9 bei Auslagerungen von erheblicher Tragweite. Als Beispiele nennt die MaRisk die vollständige oder teilweise Auslagerung der besonderen Funktionen Risikocontrolling, Compliance und Interne Revision sowie die Auslagerung von Kernbankbereichen. In solchen Fällen ist entsprechend intensiv zu prüfen, ob und wie die ausgelagerten Aktivitäten und Prozesse in das Risikomanagement des Instituts einbezogen werden können.

Für Auslagerungen, die unter Risikogesichtspunkten nicht wesentlich sind, gelten nach AT 9 Tz. 3 die allgemeinen Anforderungen an die Ordnungsmäßigkeit der Geschäftsorganisation gemäß § 25a Abs. 1 KWG.

Auslagerungsregister nach § 25b KWG

§ 25b Abs. 1 KWG verpflichtet Institute, im Rahmen ihres Risikomanagements ein Auslagerungsregister zu führen. Darin sind ausdrücklich sämtliche wesentlichen und nicht wesentlichen Auslagerungen zu erfassen.

AT 9 ordnet die Erstellung und Pflege der vollständigen Dokumentation der Auslagerungen einschließlich der Weiterverlagerungen dem zentralen Auslagerungsmanagement zu. Damit ist das Register nicht nur eine Dokumentationspflicht, sondern zugleich ein wesentliches Instrument für die institutsweite Steuerung und Überwachung der Auslagerungsrisiken.

Verantwortung der Geschäftsleitung bleibt beim Institut

Eine Auslagerung führt nicht zu einer Übertragung der aufsichtsrechtlichen Verantwortung auf das Auslagerungsunternehmen. Nach § 25b Abs. 2 KWG darf die Verantwortung der Geschäftsleiter nicht auf das Auslagerungsunternehmen übertragen werden. Das Institut bleibt auch bei einer Auslagerung für die Einhaltung der für das Institut geltenden gesetzlichen Bestimmungen verantwortlich. AT 9 stellt ergänzend klar, dass Leitungsaufgaben der Geschäftsleitung nicht ausgelagert werden dürfen.

Die Auslagerung darf außerdem die BaFin nicht bei der Wahrnehmung ihrer Aufgaben beeinträchtigen. Ihre Auskunfts- und Prüfungsrechte sowie ihre Kontrollmöglichkeiten müssen auch in Bezug auf ausgelagerte Aktivitäten und Prozesse gewährleistet bleiben. Entsprechendes gilt für die Prüfer des Instituts.

Vertragsanforderungen bei Auslagerungen

§ 25b Abs. 3 KWG verlangt für Auslagerungen eine schriftliche Vereinbarung, in der die zur Einhaltung der aufsichtsrechtlichen Voraussetzungen erforderlichen Rechte des Instituts und die korrespondierenden Pflichten des Auslagerungsunternehmens geregelt werden.

Für wesentliche Auslagerungen konkretisiert AT 9 Tz. 7 die Anforderungen an den in Textform dokumentierten Auslagerungsvertrag. Zu regeln sind insbesondere Gegenstand und Abgrenzung der Leistung, Beginn und gegebenenfalls Ende der Vereinbarung, Leistungsstandorte und relevante Datenstandorte, die vereinbarte Dienstleistungsgüte, Anforderungen an Notfallkonzepte, angemessene Informations- und Prüfungsrechte, die Kontrollmöglichkeiten der zuständigen Behörden, soweit erforderlich Weisungsrechte, Kündigungsrechte sowie Regelungen für Weiterverlagerungen.

Wichtig ist eine Differenzierung bei Weisungsrechten: Die MaRisk stellt ausdrücklich klar, dass Weisungsrechte zugunsten des Instituts nicht zwingend ausdrücklich vereinbart werden müssen, wenn die vom Auslagerungsunternehmen zu erbringende Leistung im Vertrag hinreichend klar spezifiziert ist.

Laufende Steuerung und Überwachung

Nach AT 9 Tz. 9 muss das Institut die mit Auslagerungen verbundenen Risiken angemessen steuern und die Ausführung der ausgelagerten Aktivitäten und Prozesse ordnungsgemäß überwachen. Bei wesentlichen Auslagerungen umfasst dies auch eine laufende Überwachung der Leistung des Auslagerungsunternehmens anhand geeigneter Kriterien. Die MaRisk nennt beispielhaft Key Performance Indicators (KPI) und Key Risk Indicators (KRI) sowie vertraglich vereinbarte Informationen des Auslagerungsunternehmens.

Damit genügt es aufsichtsrechtlich nicht, einen Auslagerungsvertrag abzuschließen und die Leistung anschließend nur anlassbezogen zu betrachten. Wesentliche Auslagerungen erfordern eine nachvollziehbare laufende Steuerung und Überwachung.

Beendigung einer wesentlichen Auslagerung und Ausstiegsstrategien

Bei diesem Thema ist eine genaue Terminologie wichtig. Nach AT 9 Tz. 6 muss das Institut bei wesentlichen Auslagerungen Vorkehrungen treffen, um Kontinuität und Qualität der ausgelagerten Aktivitäten und Prozesse auch nach Beendigung der Auslagerungsvereinbarung zu gewährleisten.

Für Fälle einer unbeabsichtigten oder unerwarteten Beendigung, die zu einer erheblichen Beeinträchtigung der Geschäftstätigkeit führen können, muss das Institut mögliche Handlungsoptionen auf ihre Durchführbarkeit prüfen und verabschieden. Dies beinhaltet – soweit sinnvoll und möglich – auch die Festlegung entsprechender Ausstiegsstrategien. Die Handlungsoptionen sind regelmäßig und anlassbezogen zu überprüfen. Existieren keine Handlungsoptionen, verlangt die MaRisk zumindest eine angemessene Berücksichtigung in der Notfallplanung.

Ausstiegsstrategien sind damit nicht undifferenziert für jede Auslagerung vorgeschrieben. Hinzu kommt eine ausdrückliche Erleichterung für bestimmte gruppen- und verbundinterne Auslagerungen: Nach AT 9 Tz. 14 kann dort auf die Erstellung von Ausstiegsstrategien und Handlungsoptionen verzichtet werden.

Weiterverlagerungen

Die aufsichtsrechtlichen Anforderungen an Auslagerungen sind nach AT 9 Tz. 11 auch bei der Weiterverlagerung ausgelagerter Aktivitäten und Prozesse zu beachten. Die erweiterten Anforderungen für wesentliche Auslagerungen gelten dabei nur für Weiterverlagerungen, die selbst unter Risikogesichtspunkten wesentlich sind.

Das Institut muss außerdem berücksichtigen, dass lange und komplexe Auslagerungsketten seine Fähigkeit zur wirksamen Überwachung der ausgelagerten Aktivitäten und Prozesse beeinträchtigen können.

DORA und MaRisk AT 9: Wo verläuft die Grenze?

DORA – die Verordnung (EU) 2022/2554 über die digitale operationale Resilienz im Finanzsektor gilt seit dem 17. Januar 2025. Kapitel V der Verordnung enthält Anforderungen an das Management des IKT-Drittparteienrisikos. Nach Art. 28 bleiben Finanzunternehmen trotz der Nutzung externer IKT-Dienstleistungen jederzeit in vollem Umfang für die Einhaltung ihrer Pflichten nach DORA und dem anwendbaren Finanzdienstleistungsrecht verantwortlich. Art. 29 behandelt insbesondere das IKT-Konzentrationsrisiko, Art. 30 enthält Anforderungen an vertragliche Vereinbarungen über die Nutzung von IKT-Dienstleistungen.

Die aktuelle MaRisk enthält hierzu in AT 9 Tz. 1 eine ausdrückliche Abgrenzungsregel: Ausgelagerte oder fremdbezogene IKT-Dienstleistungen gemäß Art. 3 Nr. 21 DORA, die dem IKT-Drittparteienrisikomanagement gemäß Art. 28 bis 30 DORA unterliegen, fallen nicht in den Anwendungsbereich von AT 9.

Für die Praxis bedeutet dies, dass zunächst sorgfältig zu bestimmen ist, welchem aufsichtsrechtlichen Regime eine konkrete Drittbeziehung unterliegt. Die vereinfachende Formel „IKT gleich DORA, alles andere gleich AT 9" sollte vermieden werden; maßgeblich sind die jeweiligen gesetzlichen Anwendungsbereiche.

Bedeutung der EBA-Leitlinien zu Auslagerungen

Die EBA-Leitlinien zu Auslagerungen (EBA/GL/2019/02) sind seit dem 30. September 2019 anwendbar und werden von der EBA weiterhin als „Applicable" geführt. Sie verfolgen das Ziel, die Anforderungen an Auslagerungsvereinbarungen innerhalb ihres Anwendungsbereichs europaweit zu harmonisieren.

Für die Anwendung in Deutschland ist die Einordnung in den MaRisk besonders relevant. Die MaRisk 06/2026 nennen EBA/GL/2019/02 ausdrücklich als eine der in den MaRisk umgesetzten EBA-Leitlinien. Gleichzeitig stellt die BaFin klar: Abschnitte der genannten EBA-Leitlinien sind nur dann zusätzlich zu den MaRisk-Anforderungen zu beachten, wenn die MaRisk auf diese Abschnitte verweisen. Im Übrigen gelten die genannten Leitlinien in dem Umfang, in dem die BaFin Compliance erklärt hat, als in den MaRisk umgesetzt.

Für die praktische Prüfung deutscher Institute sollte deshalb nicht der Eindruck entstehen, EBA/GL/2019/02 seien neben AT 9 pauschal als vollständig eigenständige zusätzliche Anforderungsschicht anzuwenden.

Zentrales Auslagerungsmanagement

Nach AT 9 Tz. 12 muss ein Institut abhängig von Art, Umfang und Komplexität seiner Auslagerungsaktivitäten ein zentrales Auslagerungsmanagement einrichten. Zu dessen ausdrücklich genannten Aufgaben gehören die Implementierung und Weiterentwicklung eines angemessenen Auslagerungsmanagements einschließlich der Kontroll- und Überwachungsprozesse, die Erstellung und Pflege der vollständigen Dokumentation einschließlich Weiterverlagerungen (Auslagerungsregister gemäß § 25b Abs. 1 Satz 4 KWG), die Unterstützung der Fachbereiche bei institutsinternen und gesetzlichen Anforderungen sowie die Koordination und Überprüfung der von den zuständigen Bereichen vorgenommenen Risikoanalysen.

Darüber hinaus verlangt AT 9 Tz. 13, dass das zentrale Auslagerungsmanagement regelmäßig und anlassbezogen einen Bericht über die wesentlichen Auslagerungen erstellt und der Geschäftsleitung zur Verfügung stellt. Der Bericht muss insbesondere beurteilen, ob die erbrachten Dienstleistungen den vertraglichen Vereinbarungen entsprechen, ob die ausgelagerten Aktivitäten und Prozesse angemessen gesteuert und überwacht werden können und ob weitere risikomindernde Maßnahmen erforderlich sind. Für sehr kleine Institute lässt AT 9 eine Berichterstattung im Rahmen einer Vorstandssitzung ausreichen.

Was prüft die Interne Revision beim Auslagerungsmanagement?

Für die Interne Revision ist das Auslagerungsmanagement ein wesentliches Prüfungsfeld (Themenseite: Auslagerungsmanagement für Banken). Risikoorientiert sollte sie insbesondere beurteilen, ob Auslagerungen vollständig identifiziert und korrekt abgegrenzt werden, die Risikoanalysen nachvollziehbar sind, das Auslagerungsregister vollständig und aktuell ist, die erhöhten Anforderungen an wesentliche Auslagerungen eingehalten werden, die vertraglichen Anforderungen umgesetzt sind, Weiterverlagerungen angemessen gesteuert werden und die laufende Dienstleisterüberwachung wirksam ausgestaltet ist.

Ein weiterer Prüfungsschwerpunkt liegt auf den Handlungsoptionen für Beendigungsszenarien und – soweit sinnvoll und möglich – den daraus abgeleiteten Ausstiegsstrategien. Bei IKT-Dienstleistungen ist zusätzlich zu prüfen, ob die Abgrenzung zwischen AT 9 und dem DORA-Regime nachvollziehbar vorgenommen wurde.

Dabei bedeutet die Einbeziehung ausgelagerter Aktivitäten in die Revisionstätigkeit nicht zwingend, dass die Interne Revision des auslagernden Instituts immer selbst beim Dienstleister prüfen muss. Nach AT 9 Tz. 4 kann sie auf eigene Prüfungshandlungen verzichten, wenn anderweitig eine Revisionstätigkeit durchgeführt wird, die den aufsichtsrechtlichen Anforderungen genügt, und die relevanten Prüfungsergebnisse an das Institut weitergegeben werden. Die Interne Revision des auslagernden Instituts muss sich regelmäßig davon überzeugen, dass diese Voraussetzungen weiterhin erfüllt sind. Bei wesentlichen Auslagerungen darf sich das Institut zudem nicht allein auf Nachweise oder Zertifikate auf Basis gängiger Standards stützen.

Was gilt bei einer Auslagerung der Internen Revision?

Für die vollständige oder teilweise Auslagerung besonderer Funktionen gelten besondere Anforderungen nach AT 9 Tz. 5. Eine vollständige Auslagerung der Internen Revision ist daher nicht ohne Weiteres bei jedem Institut zulässig, sondern nur unter den dort geregelten Voraussetzungen.

Soweit eine besondere Funktion nach Maßgabe von AT 9 Tz. 5 vollständig ausgelagert wird, muss die Geschäftsleitung nach AT 9 Tz. 10 einen unabhängigen und sachkundigen Beauftragten benennen, der die ordnungsgemäße Durchführung der jeweiligen Aufgaben gewährleistet. Für einen ausgelagerten Revisionsbereich enthält AT 9 zusätzliche Vorgaben für den Revisionsbeauftragten, unter anderem hinsichtlich Prüfungsplanung, Berichterstattung und Mängelnachverfolgung. Die Verantwortung der Geschäftsleitung verbleibt auch in diesem Fall beim Institut. Für Institute, die keine vollständige Auslagerung benötigen, kann ein Co-Sourcing-Modell eine Alternative darstellen.

Hinweis für Wertpapierinstitute

Für kleine und mittlere Wertpapierinstitute hat die BaFin am 24. August 2026 die WpI MaRisk – Rundschreiben 09/2026 (WA) veröffentlicht. Sie treten am 1. Januar 2027 in Kraft. Große Wertpapierinstitute wenden nach Angaben der Deutschen Bundesbank weiterhin die MaRisk für Kredit- und Finanzdienstleistungsinstitute in ihrer jeweils gültigen Fassung an. Die Aussage „Für Wertpapierinstitute gelten die WpI MaRisk" wäre deshalb ohne diese Differenzierung zu weit.

Fazit

Ein wirksames Auslagerungsmanagement beginnt mit der zutreffenden Abgrenzung zwischen Auslagerung, sonstigem Fremdbezug und DORA-relevanten IKT-Dienstleistungen. Darauf bauen Risikoanalyse und Wesentlichkeitsbeurteilung, Vertragsgestaltung, Registerführung, laufende Überwachung, Weiterverlagerungsmanagement und Vorkehrungen für mögliche Beendigungsszenarien auf.

Die Verantwortung für eine ordnungsgemäße Geschäftsorganisation verbleibt auch bei einer Auslagerung beim Institut. Für die Interne Revision ergibt sich daraus die Aufgabe, nicht nur einzelne Auslagerungsverträge zu prüfen, sondern die Wirksamkeit des gesamten Governance- und Steuerungsprozesses rund um Auslagerungen risikoorientiert zu beurteilen.