MaRisk: Auslagerungsmanagement nach Maß

Die Novelle folgt einem klaren Leitgedanken: weg von starren Detailvorgaben, hin zu stärkerer Prinzipienorientierung und risikoadäquater Umsetzung. Das schafft Spielräume, erhöht aber zugleich die Anforderungen an Governance, Dokumentation und belastbare Entscheidungen.

Für die Institute sind im Kontext des Auslagerungsmanagements vor allem zwei Punkte entscheidend:

• DORA wird stärker in die MaRisk-Systematik eingebettet, ohne ein paralleles deutsches Ersatzregime zu schaffen.
• Auslagerungen müssen klarer abgegrenzt werden, insbesondere zwischen DORA-pflichtigen IKT-Drittdienstleistungen und klassischen (Non-IKT-) Auslagerungen nach MaRisk AT 9.
   

Für viele Institute entsteht daraus akuter Handlungsbedarf. Denn die Aufsicht wird insbesondere prüfen, wie sauber Institute DORA-Anforderungen, MaRisk-Vorgaben und interne Zuständigkeiten voneinander trennen und zugleich sinnvoll verzahnen.

Die Novelle stärkt den prinzipienorientierten Ansatz auch im Third Party Risk Management (TPRM). Detaillierte Mindestfaktoren treten zurück. Dafür steigt die Erwartung, dass Institute Risiken eigenständig, nachvollziehbar und konsistent bewerten.

Für das (zentrale) Auslagerungsmanagement bedeutet das:

• Klassifizierungen müssen fachlich belastbar sein
• Risikoanalysen müssen die tatsächliche Leistung abbilden
• Mischformen zwischen IKT, Fremdbezug und Auslagerung dürfen nicht schematisch behandelt werden
• Exit-Strategien, Notfallkonzepte sowie Prüfungs- und Informationsrechte müssen zur Einordnung passen

Die saubere Einordnung von IKT-Drittdienstleistungen, Non-IKT-Auslagerungen und sonstigem Fremdbezug ist mit den 10. MaRisk anspruchsvoller geworden. Gerade bei Mischleistungen und technologiegetriebenen Services ist oft nicht sofort klar, welches regulatorische Regime gilt und welche Anforderungen sich daraus konkret ergeben.

Wir unterstützen euch dabei, Leistungen regulatorisch belastbar einzuordnen, Abgrenzungen nachvollziehbar herzuleiten und die Folgen für Register, Risikoanalysen, Vertragsgestaltung, Kontrollen und Governance konkret abzuleiten. Dabei zeigen wir auch Spielräume in der Auslegung auf und überführen abstrakte Anforderungen in Klassifizierungslogiken, Entscheidungswege und Dokumentationsstandards.

Wir stimmen mit euch Registerlogiken, Datenfelder, Klassifizierungen und Prozesse so aufeinander ab, dass regulatorische Anforderungen konsistent erfüllt werden und gleichzeitig unnötige Doppelpflege vermieden wird.

Dabei überführen wir die vorgegebenen Templates in praxistaugliche Strukturen und berücksichtigen auch Anforderungen an Konzentrationsrisiken, Governance und Nachweisfähigkeit.

Im Zuge der aktuellen Novelle hebt die Bafin hervor, dass die MaRisk schon immer auf Proportionalität ausgelegt waren:

• Bisher gab es allgemeine Öffnungsklauseln, nach denen Anforderungen je nach Größe, Komplexität und Geschäftsmodell eines Instituts unterschiedlich streng angewendet werden konnten. In der Praxis wurden diese Spielräume jedoch zunehmend durch detaillierte Einzelvorgaben überlagert, so dass Institute ihren Verweis auf solche Klauseln oft aufwändig begründen mussten.
• Künftig legt die Bafin drei klar definierte Größenklassen für Banken fest, wobei für die meisten Institute vor allem die Bilanzsumme entscheidend ist. Unterschieden wird zwischen sehr kleinen Instituten mit bis zu einer Milliarde Euro Bilanzsumme, kleinen Instituten im Sinne der SNCIs sowie den übrigen weniger bedeutenden Instituten, den LSIs.
• Große Institute unter direkter Aufsicht der Europäischen Zentralbank fallen künftig vollständig aus dem deutschen MaRisk-Regime heraus. Nach Einschätzung der Bafin schaffe die neue Kategorisierung mehr Klarheit, weil Institute damit im Voraus erkennen können, welche Erleichterungen für sie gelten, ohne dies eigens begründen zu müssen

Quelle: Veröffentlichung der Bafin vom 25.06.2026