MaRisk: Auslagerungsmanagement nach Maß
So setzt ihr die 10. MaRisk prüfungsfest um
+++ Betonung von Proportionalität als Leitprinzip +++
Mit der aktualisierten Fassung der Mindestanforderungen an das Risikomanagement (MaRisk) wird auch das Auslagerungsmanagement stärker prinzipienorientiert. Statt detaillierter Vorgaben zählt künftig eine nachvollziehbare Begründungslogik, die Klassifizierung, Risikoanalyse, Auslagerungsregister und Dienstleistersteuerung schlüssig verbindet.
Wir begleiten euch dabei, die novellierten Anforderungen passgenau auf eure bestehende Aufbau- und Ablauforganisation auszurichten. So gewinnt ihr nicht nur regulatorische Sicherheit, sondern seid auch besser auf Prüfungen vorbereitet. Jetzt Klarheit schaffen!
MaRisk-konformes Auslagerungsmanagement – unsere Beratungsleistungen
Die BaFin schafft mit den 10. MaRisk klare Verhältnisse: DORA-pflichtige IKT-Drittdienstleistungen steuert ihr über das DORA-Regime, klassische Non-IKT-Auslagerungen weiterhin über die MaRisk. Entscheidend ist, beide Register konsistent und belastbar miteinander zu verzahnen.
Wir setzen genau dort an, wo Umsetzung in der Praxis zählt: entlang der zentralen Bausteine eures institutseigenen Auslagerungsregimes. So werden eure Entscheidungen nachvollziehbar begründet und regulatorisch anschlussfähig dokumentiert.
Ableitung des konkreten Handlungsbedarfs
Ressourcenschonende Umsetzung
Euer Nutzen:
Ihr wisst genau, was die Novelle für euer Institut bedeutet – und investiert eure Ressourcen nur dort, wo wirklich Handlungsbedarf besteht.
Was wir für euch tun:
- Bewertung der Neuerungen der 10. MaRisk gezielt für euer Geschäftsmodell und Filtern der tatsächlichen Handlungsrelevanz
- Ableitung des konkreten Anpassungsbedarfs für das (zentrale) Auslagerungsmanagement
- Einordnung der Anforderungen in den Gesamtkontext angrenzender Vorgaben – insbesondere zu DORA
- Priorisierung der Maßnahmen nach Risiko und Aufwand, damit ihr die richtigen Schritte zuerst geht
Eure zentralen Teilergebnisse:
- Institutsindividuelle Gap-Analyse mit klarer Handlungsrelevanz
- Priorisierte Maßnahmen-Roadmap
- Belastbare Entscheidungsgrundlage für Management und Gremien
Abgleich der MaRisk- und DORA-Taxonomie
Eindeutige Sortierlogik für Drittparteieninventar
Euer Nutzen:
Ihr habt eine eindeutige Sortierlogik für all eure Drittbeziehungen – und beendet die Unsicherheit an der Schnittstelle zwischen MaRisk (Non-IKT) und DORA (IKT).
Was wir für euch tun:
- Saubere Strukturierung eueres Drittparteieninventars
- Trennscharfe Abgrenzung Non-IKT-Auslagerung, IKT-Drittdienstleistung und sonstigem Fremdbezug
- Verankerung der Abgrenzungslogik so dass sie für künftige Beziehungen wiederverwendbar ist
Eure zentralen Teilergebnisse:
- Konsistente Taxonomie für alle Drittbeziehungen
- Klare Zuordnung jeder Beziehung zu MaRisk oder DORA
- Wiederverwendbare Entscheidungslogik für Neueinstufungen
Harmonisierung von Auslagerungs- (MaRisk) und Informationsregister (DORA)
Konsistentes Gesamtbild für alle Drittbeziehungen
Euer Nutzen:
Auslagerungs- und Informationsregister stehen nicht mehr unverbunden nebeneinander – ihr habt ein konsistentes, prüfungsfestes Gesamtbild eurer Non-IKT-Auslagerungen und IKT-Drittdienstleistungen.
Was wir für euch tun:
- Verzahnung des Auslagerungsregister nach MaRisk und des Informationsregister nach DORA über eine gemeinsame Registerlogik
- Definition der Datenfelder, Pflegeprozesse und Verantwortlichkeiten
- Sicherstellung der Konsistenz zwischen Taxonomie, Risikoanalyse und Registereinträgen
- Prüfung und Einrichtung eines gruppenweiten zentralen Auslagerungsregisters nach AT 9 Tz. 14 e) für Institute in Gruppen- oder Verbundstrukturen – inkl. Definition interner SLAs für die Abrufbarkeit
Eure zentralen Teilergebnisse:
- Verzahntes Registermodell für MaRisk und DORA
- Klare Pflegeprozesse mit definierten Verantwortlichkeiten
- Auswertbare Register als aktive Steuerungsinstrumente
Optimierung der Risikoanalyse mit tragfähiger Begründungslogik
Prüfungsfeste Risikomethodik
Euer Nutzen:
Eure Risikoanalysen halten der Prüfung stand – weil eure Einstufungen nicht nur dokumentiert, sondern nachvollziehbar begründet sind.
Was wir für euch tun:
- Entwicklung einer risikoorientierten Methodik, die „alle relevanten Risiken im Zusammenhang mit der Auslagerung" abdeckt gemäß AT 9 Tz. 2.
- Entwicklung einer tragfähigen, replizier- und nachvollziehbaren Begründungslogik.
- Konsistente Verknüpfung der Risikoanalyse mit Klassifizierung, Register und Dienstleistersteuerung.
- Überprüfung und Erweiterung des Kreises der in die Risikoanalyse einzubeziehenden „maßgeblichen Organisationseinheiten“ gemäß AT 9 Tz. 2 einschließlich Compliance, Datenschutz und Interner Revision
- Integration der Geldwäschebeauftragten in Auslagerungsstrategie und Risikoanalyse-Prozesse als neuer Pflichtbestandteil gemäß AT 9 Tz. 1
Eure zentralen Teilergebnisse:
- Risikoorientierte Methodik für eure Risikoanalysen
- Prüfungsfeste, nachvollziehbare Begründungslogik
- Durchgängige Verknüpfung von Risikoanalyse, Register und Steuerung
Adjustierung der Steuerungs- und Kontrollhandlungen
Auch im Ernstfall handlungsfähig sein
Euer Nutzen:
Ihr steuert eure Dienstleister aktiv und konsistent – und seid auch im Ernstfall handlungsfähig, unabhängig davon, ob eine Beziehung unter MaRisk oder DORA fällt.
Was wir für euch tun:
- Ausrichtung der Dienstleister-Steuerung so dass Risikoanalyse, Kontrollhandlungen und Governance konsistent zusammenwirken
- Belastbare und praxistaugliche Gestaltung von Exit-Strategien sowie von Notfallkonzepten als eigenständiger Pflichtbestandteil des Auslagerungsvertrags gemäß AT 9 Tz. 6 und 7 lit. g
- Bei Auslagerungen ohne praktische Handlungsoptionen (z. B. Monopol- oder Cloud-Anbieter): Einbindung in das Notfallkonzept nach AT 7.3 als neue Mindestanforderung gemäß AT 9 Tz. 6
- Regimeübergreifende Absicherung der Prüfungs- und Informationsrechte gemäß AT 9 Tz. 7 lit. h,j
- Unterstützung bei der Nachverhandlung bestehender Auslagerungsverträge mit Weiterverlagerungserlaubnis hinsichtlich der neuen expliziten Berichtspflicht des Auslagerungsunternehmens gegenüber dem Institut gemäß AT 9 Tz. 8
- Definition der Steuerungs- und Eskalationsprozesse für die laufende Überwachung
Eure zentralen Teilergebnisse:
- Konsistentes Steuerungsmodell über MaRisk und DORA hinweg
- Belastbare Exit-Strategien und Notfallkonzepte
- Klare Kontroll-, Eskalations- und Überwachungsprozesse
Vorbereitung und Begleitung von Prüfungen
Souverän in jede Prüfung -
… mit belastbarer Argumentations- und Nachweislogik!
Euer Nutzen:
Ihr geht souverän in jede Prüfung, weil eure Einordnungen, Bewertungen und Maßnahmen nicht nur umgesetzt, sondern auch nachvollziehbar begründet sind – eine belastbare Grundlage für den Umgang mit Interner Revision, Jahresabschlussprüfern und Aufsicht.
Was wir für euch tun:
- Prüfungssichere Aufbereitung von Unterlagen, Nachweisen und Argumentationslinien zu Auslagerungsmanagement und MaRisk/DORA-Abgrenzung
- Herleitung einer belastbaren Argumentations- und Nachweislogik, die Klassifizierung, Risikoanalyse, Register und Dienstleistersteuerung schlüssig verbindet
- Vorbereitung typischer Prüfungsfragen entlang der zentralen Bausteine eures Auslagerungsregimes
- Gezieltes Einstellen der beteiligten Rollen auf Interviews, Nachfragen und Feststellungen
- Begleitung im Umgang mit Interner Revision, Jahresabschlussprüfern und Aufsicht – von der Vorbereitung bis zur Feststellungsbehandlung
Eure zentralen Teilergebnisse:
- Prüfungssicher aufbereitete Unterlagen und Nachweise mit klarer Argumentationslogik
- Vorbereitete Rollen und Antworten auf typische Prüfungsfragen
- Belastbare Grundlage für den souveränen Umgang mit Interner Revision, Prüfern und Aufsicht
MaRisk
Non-IKT-Auslagerungen begründen und dokumentieren
Lass uns euer Auslagerungsmanagement gemeinsam aufstellen!
Nutze ein unverbindliches Erstgespräch, um deine Ausgangssituation im Auslagerungsmanagement mit uns zu analysieren und konkrete Handlungsbedarfe im Kontext der 10. MaRisk sichtbar zu machen.
Im Gespräch klären wir:
- Status-Check: Welche Anforderungen nach MaRisk und DORA fordern und treiben euch aktuell?
- Maßnahmen: Welche Schritte sind jetzt wirklich notwendig – um die neuen Anforderungen aus den 10. MaRisk im Zusammenspiel mit DORA effizient, nachweisfähig und ressourcenschonend umzusetzen?
- Proportionalität: Welche Gestaltungsmöglichkeiten sind bei der Anwendung der Anforderungen nach Proportionalitätsprinzip praktikabel?
Auslagerungsmanagement nach Maß statt Standard von der Stange
Besonders sensibel ist die Schnittstelle zu DORA: ausgelagerte oder fremdbezogene IKT-Dienstleistungen im Sinne von Art. 3 Nr. 21 DORA, die dem IKT-Drittparteienrisikomanagement nach Art. 28 - 30 DORA unterliegen, fallen nicht mehr in den Anwendungsbereich des AT 9 Tz. 3. Das ist keine Deregulierung, sondern eine Regimeabgrenzung – mit der Folge, dass das Auslagerungsregister nach MaRisk und das Informationsregister nach DORA nicht unverbunden nebeneinanderstehen dürfen.
Bausteine des (zentralen) Auslagerungsmanagements
Taxonomie MaRisk vs. DORA
Entscheidungs- & Sortierlogik für Drittparteieninventar
Risikomethodik
Verknüpfung von Risikoanalyse, Register & Steuerung
Auslagerungs- & Informationsregister
Verzahnung der Registermodelle
Governance
Regimeübergreifende Steuerung & Kontrolle der Drittparteien
Proportionalität als Leitprinzip
Nutzung von Spielräumen (Begründungslogiken)
Statt einer Standardlösung von der Stange richten wir die novellierten Anforderungen passgenau auf eure bestehende Aufbau- und Ablauforganisation aus.
Daraus zieht ihr konkreten Nutzen:
- Konsistente Taxonomie mit sauberen Definitionen für Non-IKT-Auslagerungen, IKT-Drittdienstleistungen und sonstigem Fremdbezug, konsistenter Registerlogik und klaren Kontrollfunktionen über MaRisk und DORA hinweg
- Prüfungsfeste Entscheidungen, weil eure Einstufungen nachvollziehbar begründet und regulatorisch anschlussfähig dokumentiert sind
- Passgenaue Proportionalität, indem ihr die neuen Spielräume risikoadäquat, ohne eure Begründungspflichten zu vernachlässigen
Gerade für das zentrale Auslagerungsmanagement ist das entscheidend: Künftig reicht es noch weniger aus, nur mit Checklisten zu arbeiten. Gefragt ist eine konsistente Begründungslogik, die Klassifizierung, Risikoanalyse und Kontrollansatz nachvollziehbar verbindet.
Stellt euer Auslagerungsmanagement MaRisk-konform auf
Jetzt Kontakt aufnehmen!
Betonung von Proportionalität als Leitprinzip - neue Spielräume nutzen
Mit den 10. MaRisk erhalten die Institute nach Maßgabe von Größe, Komplexität und Geschäftsart mehr Spielraum bei der Anwendung der Anforderungen – und genau diesen Proportionalitätsspielraum machen wir für euch nutzbar.
Gemeinsam mit euch klären wir die Abgrenzungsfragen, die für euer Auslagerungsmanagement neu entstehen und deren Antworten plausibel und widerspruchsfrei aufeinander aufbauen müssen:
- Welche Anpassungen sind für euer Institut tatsächlich relevant?
- Wie wirken Risikoanalyse, Dienstleistersteuerung und Kontrollhandlungen zusammen?
- Und was folgt daraus konkret für euer Auslagerungsregister?
Wichtig zu wissen: Das allgemeine Proportionalitätsprinzip gilt weiterhin für alle Institute – auch für Großinstitute, die keine Größenklassenprivilegierungen in Anspruch nehmen können. Die Größenklassenregelungen gewähren zusätzliche, darüberhinausgehende Erleichterungen.
FAQ zum Auslagerungsmanagement im Kontext der 10. MaRisk
Die wichtigsten Fragen, die euch bei der Umsetzung begegnen – kurz, präzise und mit Fundstelle im AT 9.
Zitate und Fundstellen beziehen sich auf AT 9 (Auslagerung) der MaRisk, Rundschreiben 06/2026 (BA), Stand 30.06.2026.
Wann liegt überhaupt eine Auslagerung im Sinne der MaRisk vor und wann nur ein sonstiger Fremdbezug?
Eine Auslagerung liegt vor, wenn ihr ein anderes Unternehmen mit Aktivitäten und Prozessen beauftragt, „die ansonsten vom Institut selbst erbracht würden“ (AT 9 Tz. 1).
Einmaliger oder gelegentlicher Fremdbezug sowie Leistungen, die ihr dauerhaft gar nicht selbst erbringen könnt, zählen dagegen zum sonstigen Fremdbezug – auch hier müsst ihr aber die Ordnungsmäßigkeit der Geschäftsorganisation nach § 25a Abs. 1 KWG wahren (AT 9 Tz. 1).
Fallen unsere IKT-Dienstleistungen weiterhin unter AT 9 oder unter DORA?
Ausgelagerte oder fremdbezogene IKT-Dienstleistungen, die dem IKT-Drittparteienrisikomanagement nach Art. 28 - 30 DORA unterliegen, „fallen nicht in den Anwendungsbereich des AT 9“ (AT 9 Tz. 1). Das ist keine Deregulierung, sondern eine klare Regimeabgrenzung: IKT läuft über DORA, klassische Auslagerungen über AT 9. Beide Welten müsst ihr sauber trennen und konsistent zusammenführen.
Wie oft müssen wir unsere Risikoanalyse zu Auslagerungen überprüfen?
Die Risikoanalyse ist “regelmäßig, bei kleinen Instituten alle drei Jahre, zu überprüfen und bei wesentlichen Änderungen der Risikosituation anzupassen” (AT 9 Tz. 2). Berücksichtigt dabei alle für euch relevanten Aspekte. Die Intensität richtet sich nach Art, Umfang, Komplexität und Risikogehalt der ausgelagerten Aktivitäten (AT 9 Tz. 2).
Was bedeutet das Proportionalitätsprinzip konkret für unser Auslagerungsmanagement?
Ihr richtet Umfang und Tiefe eurer Anforderungen nach “Art, Umfang, Komplexität und Risikogehalt” der ausgelagerten Aktivitäten und Prozesse aus (AT 9 Tz. 2). Kleine Institute dürfen für die Risikoanalyse qualitative Ansätze heranziehen (AT 9 Tz. 2). Mehr Spielraum bedeutet aber zugleich mehr Begründungspflicht: Eure Einstufungen müsst ihr nachvollziehbar dokumentieren.
Was unterscheidet eine wesentliche von einer nicht wesentlichen Auslagerung?
Anhand der Risikoanalyse legt ihr fest, "welche Auslagerungen von Aktivitäten und Prozessen unter Risikogesichtspunkten wesentlich sind (wesentliche Auslagerungen)" (AT 9 Tz. 2). Für nicht wesentliche Auslagerungen gelten nur die allgemeinen Anforderungen an die Ordnungsmäßigkeit der Geschäftsorganisation nach § 25a Abs. 1 KWG (AT 9 Tz. 3). Die erweiterten Pflichten greifen erst bei Wesentlichkeit.
Welche Verantwortung dürfen wir überhaupt auslagern?
Grundsätzlich sind Auslagerungen zulässig, solange die Ordnungsmäßigkeit der Geschäftsorganisation gewahrt bleibt – "die Auslagerung führt nicht zu einer Delegation der Verantwortung der Geschäftsleitung", und Leitungsaufgaben dürfen nicht ausgelagert werden (AT 9 Tz. 4). Die Eigenverantwortung bleibt also vollständig bei euch. Ihr steuert und überwacht, auch wenn die Ausführung extern liegt.
Was muss unser Auslagerungsvertrag bei wesentlichen Auslagerungen zwingend regeln?
Der Auslagerungsvertrag ist "in Textform" zu dokumentieren und muss u. a. Leistungsspezifikation, Dienstleistungsgüte, Notfallkonzepte, Informations- und Prüfungsrechte, Kündigungsrechte sowie Regelungen zur Weiterverlagerung enthalten (AT 9 Tz. 7). Die Anforderungen orientieren sich an § 25b Abs. 3 S. 3 KWG. Ein lückenhafter Vertrag würde damit im Rahmen einer Prüfung zu einer unmittelbaren Feststellung führen.
Müssen wir eine Auslagerungsstrategie bzw. Ausstiegsstrategien vorhalten?
Bei wesentlichen Auslagerungen müsst ihr Vorkehrungen für Kontinuität und Qualität treffen und Handlungsoptionen inklusive Ausstiegsstrategien "auf ihre Durchführbarkeit prüfen und verabschieden" (AT 9 Tz. 6). Existieren keine Handlungsoptionen, ist "zumindest eine angemessene Berücksichtigung in der Notfallplanung erforderlich" (AT 9 Tz. 6). Die Optionen sind regelmäßig und anlassbezogen zu überprüfen.
Wie grenzen wir das Auslagerungsregister (MaRisk) vom Informationsregister (DORA) ab?
Das zentrale Auslagerungsmanagement muss eine "vollständige Dokumentation der Auslagerungen (einschließlich Weiterverlagerungen) gemäß § 25b Abs. 1 Satz 4 KWG (Auslagerungsregister)" führen (AT 9 Tz. 12).
Das MaRisk-Auslagerungsregister deckt Non-IKT-Auslagerungen ab, das DORA-Informationsregister die IKT-Drittparteien. Ihr braucht eine konsistente Taxonomie, damit beide Register widerspruchsfrei verzahnt sind.
Ab wann brauchen wir ein zentrales Auslagerungsmanagement und wann muss es berichten?
Ihr müsst "abhängig von Art, Umfang und Komplexität der Auslagerungsaktivitäten ein zentrales Auslagerungsmanagement einrichten", das u. a. das Auslagerungsregister pflegt und die Risikoanalysen koordiniert (AT 9 Tz. 12). Es erstellt "in regelmäßigen Abständen sowie anlassbezogen einen Bericht über die wesentlichen Auslagerungen" für die Geschäftsleitung. bei sehr kleinen Instituten genügt eine Berichterstattung in der Vorstandssitzung (AT 9 Tz. 13).
Fact Sheet für ein prüfungsfestes Auslagerungsmanagement
Erkennt sofort, wo für euer Institut Handlungsbedarf besteht: Unser kompaktes Fact Sheet fasst die wichtigsten Neuerungen und Handlungsfelder der 10. MaRisk im Kontext von Auslagerungen auf einen Blick zusammen.
Auch interessant für dich
DORA-Tool: CloudGate
Kennst du CloudGate, unser RegTech-Tool für Governance, Risk & Compliance? Hier erfährst du mehr und kannst es kostenlos testen.
Whitepaper: DORA-Informationsregister
Lest im kostenlosen Whitepaper, wie Finanzunternehmen ihre IKT-Drittdienstleister dokumentieren und überwachen sollten - inklusive Update 2025. Jetzt downloaden!
GRC-Seminare
Du willst mit deinem Team Innovationen vorantreiben, wenn es um GRC geht? Dann buche für euch eines unserer Seminare!
MaRisk
Stefan Wendt
Enabler und Partner
Du hast Fragen zur MaRisk-Novelle? Stefan Wendt hat die Antworten und freut sich über deine Kontaktaufnahme.
Tel +49 6172 177 630