{"id":24925,"date":"2025-12-02T11:41:36","date_gmt":"2025-12-02T10:41:36","guid":{"rendered":"https:\/\/www.d-velop.de\/blog\/?p=24925"},"modified":"2025-12-02T11:41:39","modified_gmt":"2025-12-02T10:41:39","slug":"marisk","status":"publish","type":"post","link":"https:\/\/www.d-velop.de\/blog\/compliance\/marisk\/","title":{"rendered":"MaRisk AT 9: Auslagerungsmanagement im \u00dcberblick am Beispiel der Fernsignatur"},"content":{"rendered":"\n

Finanzinstitute lagern zunehmend Prozesse wie bspw. den IT-Betrieb aus, um sich auf ihr Kerngesch\u00e4ft zu konzentrieren, Arbeits- und Geldressourcen zu sparen und externe Expertise zu nutzen. Um am Markt weiterhin erfolgreich zu agieren, m\u00fcssen Finanzinstitute ihre Risiken kennen und steuern \u2013 insbesondere beim Fremdbezug und Auslagerungsmanagement. Den Rahmen hierzu bilden die von der Bundesanstalt f\u00fcr Finanzdienstleistungsaufsicht (BaFin<\/a>) herausgegebenen MaRisk \u2013 die Mindestanforderungen an das Risikomanagement. Mit der 6. MaRisk-Novelle 2021<\/a> wurden die Anforderungen an das Auslagerungsmanagement deutlich erweitert.<\/p>\n\n\n\n

Was die MaRisk sind, wie sie das Auslagerungsmanagement reglementieren und wie dies am Beispiel der Fernsignatur aussieht, erf\u00e4hrst du in diesem Blogartikel.<\/p>\n\n\n\n

\n

<\/span>Definition: Was sind die MaRisk?<\/span><\/h2>\n\n\n\n

Die Mindestanforderungen an das Risikomanagement, abgek\u00fcrzt MaRisk<\/strong>, sind Verwaltungsanweisungen, die erstmals 2005 von der BaFin f\u00fcr die Ausgestaltung des Risikomanagements in deutschen Kreditinstituten ver\u00f6ffentlicht wurden. Sie konkretisieren die Regelungen einer ordnungsgem\u00e4\u00dfen Gesch\u00e4ftsorganisation (\u00a7 25a KWG) und sind die Umsetzung der qualitativen Anforderungen aus Basel II bzw. Basel III an das Risikocontrolling von Banken und die entsprechenden bankaufsichtlichen \u00dcberpr\u00fcfungsprozesse in deutsches Recht. Sie sollen der Aufsichtsbeh\u00f6rde eine gleichbleibende Anwendung gegen\u00fcber den Finanzinstituten erm\u00f6glichen und Rechts- sowie Planungssicherheit schaffen.<\/p>\n<\/div><\/div>\n\n\n\n

Wieso ist gutes Auslagerungsmanagement wichtig?<\/h3>\n\n\n\n

Im Bestreben, sich nur noch auf das Kerngesch\u00e4ft zu fokussieren, pr\u00fcfen viele Finanzinstitute, ob T\u00e4tigkeiten wie bspw. Wach-, Reinigungs-, oder IT-Dienste ausgelagert werden k\u00f6nnen. Die MaRisk beschreiben dabei, welche Bereiche unter welchen Voraussetzungen ausgelagert werden d\u00fcrfen. Sofern also eine T\u00e4tigkeit \u201everlagert\u201c werden soll, startet das Auslagerungsmanagement. Es gilt umfangreiche Pr\u00fcfungen zu vollziehen und auch nachgelagert das beauftragte Unternehmen und den Auslagerungsvertrag st\u00e4ndig zu monitoren und das daraus resultierende operative Risiko zu bewerten. Das Grundprinzip ist dabei, dass weder dem Unternehmen noch der Aufsicht Nachteile durch die Auslagerung entstehen d\u00fcrfen und volle Durchgriffs- und K\u00fcndigungsrechte bestehen m\u00fcssen, selbst wenn der Subunternehmer die Leistungen an weitere Subunternehmer vergibt.<\/p>\n\n\n\n

Wie sind die MaRisk aufgebaut?<\/h3>\n\n\n\n

Die MaRisk unterteilen sich in einen Allgemeinen Teil (AT)<\/strong> und einen Besonderen Teil (BT)<\/strong>, der sich wiederum in Unterkapital f\u00fcr einzelne Unternehmensbereiche der Finanzwirtschaft aufteilt, beispielsweise f\u00fcr das Kredit- oder Handelsgesch\u00e4ft, aber auch f\u00fcr das Risikomanagement und die Revision. Die Einhaltung der MaRisk zu pr\u00fcfen, ist eine Aufgabe der Wirtschaftspr\u00fcfer im Rahmen ihrer regul\u00e4ren Jahresabschlusspr\u00fcfung; dar\u00fcber hinaus ist sie Gegenstand von Sonderpr\u00fcfungen (\u201e44er-Pr\u00fcfungen\u201c). In den letzten Jahren wurden die MaRisk fortw\u00e4hrend \u00fcberarbeitet. Zuletzt brachte die 8. Novelle (MaRisk-Rundschreiben aus 2024<\/a>) beispielsweise neue Vorgaben insbesondere zu Kreditspreadrisiken im Anlagebuch (IRRBB) und sie passte die Anforderungen an das Risikomanagement f\u00fcr Institute an, die dem Zahlungsdiensteaufsichtsgesetz unterliegen. Auch Anforderungen an die IT-Sicherheit und das Nachhaltigkeitsmanagement (ESG) sowie interne Kontrollsysteme und Governance wurden hierin gest\u00e4rkt und verbessert.<\/p>\n\n\n\n

So konkretisiert die MaRisk Novelle 2021 Regelungen in Bezug auf das Auslagerungsmanagement<\/h3>\n\n\n\n

Da sich Finanzinstitute mehr und mehr f\u00fcr Ihren IT-Betrieb in fremden Rechenzentren (Hosting) entschieden und Cloudstrategien verfolgen, sah sich die BaFin im Jahr 2021 in der Verantwortung, die MaRisk hinsichtlich der Regelungen zum Auslagerungsmanagement zu konkretisieren (AT 9 MaRisk). Die Novelle schreibt dabei viele Sachverhalte fest, die ohnehin Gegenstand der Pr\u00fcfungspraxis waren. Sie wurden bereits in Publikationen wie dem \u201eMerkblatt der BaFin zu Auslagerungen an Cloud-Anbieter\u201c, den \u201eBankaufsichtliche Anforderungen an die IT\u201c (BAIT) oder den \u201eEBA Guidelines on Outsourcing Arrangements\u201c (\u201eEBA Leitlinien zu Auslagerungen\u201c \u2013 EBA\/GL\/2019\/02) ver\u00f6ffentlicht und \u2013 zumindest in Teilen \u2013 schon von den Finanzinstituten aus eigenem Interesse eingehalten.<\/p>\n\n\n\n

<\/span>Verst\u00e4rktes Berichtswesen und verbessertes Monitoring beim Auslagerungsmanagement<\/span><\/h2>\n\n\n\n

Die 6. MaRisk-Novelle konkretisiert zentrale Elemente des Auslagerungsmanagements, insbesondere die folgenden:<\/p>\n\n\n\n

Die Rolle des\/der Auslagerungsbeauftragten<\/h3>\n\n\n\n

Festgehalten ist, wonach ein:e zentrale:r Auslagerungsbeauftragte:r einzurichten ist, die\/der auch die \u00dcberwachung und Steuerung von Auslagerungen zu \u00fcbernehmen hat. Je nach Bedeutung und Gr\u00f6\u00dfe des Finanzinstituts ist der:die Auslagerungsbeauftragte durch ein weitergehendes Auslagerungsmanagement zu unterst\u00fctzen. Aufgabe des:der Auslagerungbeauftragte:n ist neben der Erstellung des j\u00e4hrlichen – sowie neu – anlassbezogenen Auslagerungsberichts auch, ihn\/sie bei der \u00dcberwachung und Steuerung von nicht wesentlichen Auslagerungen einzubinden. Der\/die Auslagerungsbeauftragte sollte mindestens einer Organisationseinheit angeh\u00f6ren, die direkt der Gesch\u00e4ftsleitung unterstellt ist. In kleineren Instituten kann diese Funktion auch direkt von einem Mitglied der Gesch\u00e4ftsleitung \u00fcbernommen werden und bei wenig komplexen Instituten gen\u00fcgt sogar eine Berichterstattung im Rahmen einer Vorstandssitzung.<\/p>\n\n\n\n

Durchf\u00fchrung einer Risikoanalyse<\/h3>\n\n\n\n

Schon vor der MaRisk-Novelle 2021 sahen die MaRisk vor, dass vor (und nat\u00fcrlich auch w\u00e4hrend) einer Auslagerung eine Risikoanalyse vorzunehmen ist. Hierbei ist u.a. festzustellen, ob es sich um eine wesentliche oder eine nicht wesentliche Auslagerung (f\u00fcr die dann die Regularien der MaRisk nicht bzw. nur abgemindert gelten) handelt. Bei der Risikoanalyse stellt die Aufsicht nun nochmals die Vollumf\u00e4nglichkeit klar: Im Sinne einer echten 360-Grad-Risikobetrachtung sind alle relevanten Punkte \u201eabzuklopfen\u201c, einschlie\u00dflich einer Szenarioanalyse. Auslagerungen sollen eben nicht zu einer Aush\u00f6hlung der Unternehmensh\u00fclle f\u00fchren, weswegen gewisse Unternehmensteile grunds\u00e4tzlich nicht auslagerbar sind. <\/p>\n\n\n\n

F\u00fchrung eines Auslagerungsregisters<\/h3>\n\n\n\n

Schlussendlich hat das Finanzinstitut neben dem schon beschriebenen Auslagerungsbericht ein Auslagerungsregister zu f\u00fchren, das alle Auslagerungstatbest\u00e4nde, inklusive der verbandsinternen Auslagerungen, ausweist. Die MaRisk-Novellierung verweist im Hinblick auf den Inhalt des Auslagerungsregisters auf die Textziffern 54 (f\u00fcr alle Auslagerungen) bzw. 55 (f\u00fcr wesentliche Auslagerungen) der EBA-Leitlinien zu Auslagerungen (EBA\/GL\/2019\/02). Allein schon f\u00fcr externe wie interne Pr\u00fcfungszwecke, wie auch der Vollst\u00e4ndigkeitspr\u00fcfung im Sinne der Risikoanalyse sollte ein derartiges Register sinnvoll sein, wenngleich es nun explizit gefordert wird. In der Praxis sollten Finanzinstitute zumindest eine professionelle Vertragsmanagementl\u00f6sung<\/a> einsetzen, die mit ein paar erg\u00e4nzenden Feldern den Anforderungen einer EBA-Leitlinien-konformen Datenhaltung gerecht werden kann.<\/p>\n\n\n\n

\n

Versicherungen im digitalen Wandel<\/strong>: Treiber, Hemmnisse, L\u00f6sungsans\u00e4tze & der Nutzen von KI<\/p>\n\n\n\n\t

\n\t\t
\n\t\t\tJetzt lesen<\/a>\t\t<\/div>\n\t<\/div>\n\n\t<\/div><\/div>\n\n\n\n

<\/span>Konkretere Anforderungen an den Auslagerungsvertrag und Schaffung eines Auslagerungsregisters<\/span><\/h2>\n\n\n\n

Zum Inhalt des Auslagerungsvertrages gibt es ebenfalls Konkretisierungen. Neben Selbstverst\u00e4ndlichkeiten wie der Dauer, der Textform oder dem anzuwendenden Recht des Vertrages erwartet die BaFin auch Vereinbarungen \u00fcber<\/p>\n\n\n\n

    \n
  1. den Standort, an dem Dienstleistungen erbracht oder Daten gespeichert und verarbeitet werden,<\/li>\n\n\n\n
  2. die Dienstleistungsg\u00fcte mit eindeutigen Leistungszielen,<\/li>\n\n\n\n
  3. die Angabe, ob f\u00fcr gewisse Risiken Versicherungen des Auslagerungsunternehmens vorliegen,<\/li>\n\n\n\n
  4. die vorliegenden Notfallkonzepte und<\/li>\n\n\n\n
  5. Regelungen, inwieweit die Verhaltenskodexe der Vertragsparteien im Einklang zueinanderstehen.<\/li>\n<\/ol>\n\n\n\n
      \n
    1. <\/li>\n<\/ol>\n\n\n\n

      Weiter wird in den Erl\u00e4uterungen des MaRisk-Rundschreibens von 2021<\/a> konkretisiert, dass Informations- und Pr\u00fcfungsrechte vorausschauend auch f\u00fcr nicht wesentliche Auslagerungen zu vereinbaren sind, sofern absehbar ist, dass sich diese in wesentliche Auslagerungen wandeln k\u00f6nnen. Diese Rechte m\u00fcssen dabei auch Zugangs- und Pr\u00fcfungsrechte bei den Auslagerungsunternehmen umfassen. Das hei\u00dft, wenn man hier einmal das Hosting- und Cloudgesch\u00e4ft betrachtet, dass zum Beispiel in den Rechenzentren der Software-Anbieter MaRisk-konforme Zugangsrechte gelten.<\/p>\n\n\n\n

      Und schlie\u00dflich m\u00fcssen einerseits das Auslagerungsunternehmen beim Fall einer Vertragsk\u00fcndigung bei der Re-Transformation unterst\u00fctzen und andererseits die ausgelagerten Daten auch im Falle einer Insolvenz oder einer Gesch\u00e4ftsbeendigung zur Verf\u00fcgung stehen.<\/p>\n\n\n\n

      Weiterverlagerungen von Auslagerungen \u2013 also \u201eSub-Subunternehmensverh\u00e4ltnisse\u201c \u2013 entbinden das urspr\u00fcngliche Auslagerungsunternehmen nicht von seinen Berichtspflichten. Dabei sind auch alle sonstigen eingegangenen Verpflichtungen auf den Subunternehmer zu \u00fcbertragen, damit durch derartige Vertragskonstruktionen keine Aush\u00f6hlung erfolgt. Aufgrund des umfangreichen Berichtswesens m\u00fcssen solche Vertragsketten transparent sein.<\/p>\n\n\n\n

      Im Rahmen des Risikomonitorings sind dabei \u00fcbrigens neben der Qualit\u00e4t der erbrachten Leistungen auch die durch das Auslagerungsunternehmen erbrachten Informationen zu bewerten. F\u00fcr Finanzverb\u00fcnde gelten dabei Erleichterungen, sofern auf Verbandsebene ein einheitliches Risiko\u2013 bzw. Auslagerungsmanagement betrieben und die Risiken auf Verbandsebene reduziert bzw. \u00fcbertragen werden.   <\/span><\/p>\n\n\n\n

      \n

      Digitales Dokumentenmanagement f\u00fcr Ihr Finanzunternehmen: so einfach geht’s<\/p>\n\n\n\n\t

      \n\t\t
      \n\t\t\tJetzt ansehen<\/a>\t\t<\/div>\n\t<\/div>\n\n\t<\/div><\/div>\n\n\n\n

      <\/span>Konkretisierung von nicht wesentlichen Auslagerungen und sonstigem Fremdbezug<\/span><\/h2>\n\n\n\n

      Hier konkretisieren die bankaufsichtlichen Erl\u00e4uterungen zum Rundschreiben 10\/2021<\/a>, dass ohnehin kaum als Auslagerung klassifizierte T\u00e4tigkeiten, wie die \u00dcbermittlung von Zahlungsverkehrsdaten oder die Nutzung von Marktinformationsdiensten, einen \u201esonstigen Fremdbezug\u201c darstellen, f\u00fcr den die Regelungen der MaRisk nicht gelten. Hier schafft die BaFin insofern mehr Klarheit und Erleichterungen, dass die beaufsichtigten Finanzinstitute sich auf die \u201ewesentlichen Auslagerungen\u201c fokussieren k\u00f6nnen. Dies bedeutet jedoch nicht, dass Finanzinstitute ihrer Verpflichtung, der Pr\u00fcfung derartiger Fremdbezugsleistungen und die vertraglichen Grundlagen verantwortungsvoll und im Sinne einer Risikominderungsstrategie zu pr\u00fcfen, nicht nachkommen m\u00fcssen. Als deutscher Anbieter liegen uns diese Anforderungen ebenfalls am Herzen.<\/p>\n\n\n\n

      Eine zentrale Frage im Auslagerungsmanagement: Liegt bei der Einf\u00fchrung neuer Softwarekomponenten eine Auslagerung vor?<\/strong><\/p>\n\n\n\n

      Eine wichtige Frage, die es bei der Einf\u00fchrung neuer, insbesondere cloudbasierter Softwarekomponenten zu pr\u00fcfen gilt, ist, ob hierbei eine Auslagerung vorliegt.<\/p>\n\n\n\n

      Die kurze Antwort: Es kommt drauf an<\/h3>\n\n\n\n

      Mit der eben genannten Konkretisierung, dass ein \u201esonstiger Fremdbezug von Leistungen\u201c keine Auslagerung im Sinne von AT 9 MaRisk darstellt, ist wichtig, dass der Bezug von Software, auch soweit sie an die Bed\u00fcrfnisse des Instituts angepasst wird, keine Auslagerung darstellt; dies gilt jedoch nicht f\u00fcr \u201eSoftware, die zur Identifizierung, Beurteilung, Steuerung, \u00dcberwachung und Kommunikation der Risiken eingesetzt wird oder die f\u00fcr die Durchf\u00fchrung von bankgesch\u00e4ftlichen Aufgaben von wesentlicher Bedeutung ist\u201c (Erl\u00e4uterungen zum Rundschreiben der BaFin<\/a>). Sprich: Hier ist weiter von einer Auslagerung auszugehen, auch soweit der Betrieb der Software durch einen externen Dritten erfolgt. Womit wir wieder beim Thema \u201eHosting\u201c bzw. \u201eCloud\u201c w\u00e4ren. Also ist eine Software \u2013 zumindest im Kontext der Nutzung als Archiv bzw. Dokumenten-\/Enterprise Contentmanagement und Workflowplattform \u2013 als wesentliche Auslagerung zu bewerten.<\/p>\n\n\n\n

      Die Fokussierung auf die \u201ebankgesch\u00e4ftlichen Aufgaben\u201c bedeutet im Umkehrschluss aber auch die Klarstellung, dass Softwarekomponenten, die f\u00fcr die Abwicklung des Bankgesch\u00e4fts oder des Risikomonitorings nicht notwendig bzw. nicht von wesentlicher Bedeutung sind, nicht unter die engen Regelungen des Auslagerungsmanagements fallen.<\/p>\n\n\n\n

      <\/span>Auslagerungsmanagement am Beispiel der Fernsignatur<\/span><\/h2>\n\n\n\n

      Eine im Finanz- und Versicherungsumfeld typische T\u00e4tigkeit, ist das Unterschreiben von Vertr\u00e4gen. Anders als in vielen anderen Branchen werden hier die Vertr\u00e4ge \u00fcblicherweise schriftlich geschlossen, auch wenn eine Schriftformerfordernis<\/a> meist nicht vorliegt. Die Aufsicht verlangt inzwischen zudem, dass Meldungen digital signiert eingereicht werden. Eine bequeme Art ist dabei die Nutzung einer cloudbasierten Fernsignatur<\/a>.<\/p>\n\n\n\n

      Wie funktioniert die Fernsignatur?<\/h3>\n\n\n\n

      Bei der Fernsignatur wird ein Dokument \u00fcber den Browser in eine Signaturl\u00f6sung hochgeladen. Dort wird die Signaturposition festgelegt und das Dokument an einen Signaturserver \u00fcbermittelt. Dieser erstellt einen Hashwert und sendet ihn an einen zertifizierten Vertrauensdiensteanbieter (z.\u202fB. d.trust). Nach erfolgreicher Authentifizierung wird das Signaturzertifikat erzeugt und mit dem Dokument verkn\u00fcpft. Das signierte Dokument steht anschlie\u00dfend zum Download bereit \u2013 der gesamte Vorgang erfolgt automatisiert und dauert nur wenige Sekunden.<\/p>\n\n\n\n

      Das Unterzeichnen geh\u00f6rt in der Finanzbranche zum Kerngesch\u00e4ft und es wird eine Cloudl\u00f6sung genutzt. Handelt es sich hierbei also um eine Auslagerung?<\/p>\n\n\n\n

      Gilt die Nutzung einer Fernsignatur als Auslagerung?<\/h3>\n\n\n\n

      Es ist demnach zu pr\u00fcfen, ob es sich um eine \u201einstitutionstypische\u201c T\u00e4tigkeit handelt. Hierunter k\u00f6nnen beispielsweise Analyset\u00e4tigkeiten im Rahmen von Kreditmarktfolget\u00e4tigkeiten fallen. Das Unterschreiben hingegen ist eine allgemeine T\u00e4tigkeit, die nicht typisch f\u00fcr ein Finanzinstitut ist, sodass die Nutzung der Fernsignatur eher nicht als wesentliche Auslagerung zu werten ist. Nichtsdestotrotz sollte es Finanzinstituten am Herzen liegen, ihre zu signierenden Dokumente nicht jedem anzuvertrauen, sondern den Partner sorgf\u00e4ltig auszuw\u00e4hlen und datenschutzrechtliche Fragen wie zum Beispiel zur Verschl\u00fcsselung oder zu Berichtigungsm\u00f6glichkeiten genauestens zu pr\u00fcfen.<\/p>\n\n\n\n

      \n