Unternehmen lagern Prozesse aus, weil spezialisierte Dienstleister vieles schneller, skalierbarer oder schlicht besser erledigen können. Das gilt für Abrechnungsprozesse ebenso wie für Compliance-Aufgaben, Cloud-Dienste oder Teile des Risikomanagements.
Mit der Aufgabe verschwinden allerdings nicht die Risiken. Und schon gar nicht die Verantwortung. Sie bleibt bei der Geschäftsleitung und kommt spätestens dann wieder auf den Tisch, wenn der Dienstleister ausfällt, ein Vertrag Lücken hat oder die Aufsicht Fragen stellt.
Ein wirksames Auslagerungsmanagement sorgt deshalb dafür, dass externe Leistungen über ihren gesamten Lebenszyklus gesteuert werden: von der ersten Einordnung und Risikoanalyse über den Vertrag bis zur laufenden Überwachung und einem geordneten Ausstieg.
Auslagerungsmanagement ist die zentrale organisatorische Steuerung ausgelagerter Aktivitäten und Prozesse. Es verbindet Fachbereiche, Einkauf, Risikomanagement, Compliance, Informationssicherheit, Datenschutz, Interne Revision und Geschäftsleitung.
Seine Aufgabe besteht nicht darin, möglichst viele Formulare zwischen diesen Stellen zirkulieren zu lassen. Entscheidend ist vielmehr, dass das Unternehmen jederzeit belastbar beantworten kann:
Damit unterscheidet sich Auslagerungsmanagement vom klassischen Einkauf. Der Einkauf beschafft eine Leistung. Das Auslagerungsmanagement beurteilt und überwacht, welche Folgen diese Leistung für die Geschäftsorganisation und das Risikoprofil hat.
Besonders konkrete aufsichtsrechtliche Anforderungen gelten für Unternehmen des Finanzsektors. Dazu gehören abhängig vom jeweiligen Regelwerk unter anderem Kredit- und Finanzdienstleistungsinstitute, Zahlungs- und E-Geld-Institute, Wertpapierinstitute sowie Versicherungsunternehmen.
Die Rechtsgrundlagen unterscheiden sich nach Branche. Für Kreditinstitute sind insbesondere § 25b KWG und die MaRisk relevant. Zahlungsinstitute müssen unter anderem § 26 ZAG beachten, Versicherungsunternehmen die Vorgaben zur Ausgliederung nach § 32 VAG. Hinzu kommen europäische Anforderungen wie DORA für IKT-Drittdienstleistungen.
Nicht jede gewöhnliche GmbH benötigt deshalb automatisch ein aufsichtsrechtliches Auslagerungsmanagement. Auch außerhalb regulierter Branchen ist eine strukturierte Dienstleistersteuerung jedoch sinnvoll, sobald kritische Geschäftsprozesse, sensible Daten oder erhebliche betriebliche Abhängigkeiten betroffen sind.
Seit dem 30. Juni 2026 gilt für die betroffenen Institute das BaFin-Rundschreiben 06/2026 (BA) und damit die 9. MaRisk-Novelle.
Die neue Fassung ist stärker prinzipien- und proportionalitätsorientiert. Weniger Detailtext bedeutet allerdings nicht, dass Auslagerungen nun sich selbst beaufsichtigen dürften.
AT 9 MaRisk verlangt weiterhin eine risikobasierte Einordnung der Auslagerungen. Bei wesentlichen Auslagerungen gehören dazu insbesondere angemessene Vertragsregelungen, laufende Leistungskontrollen, die Betrachtung von Weiterverlagerungen sowie realistische Handlungsoptionen für eine Beendigung.
Abhängig von Art, Umfang und Komplexität der Auslagerungsaktivitäten muss ein zentrales Auslagerungsmanagement eingerichtet werden. Zu dessen Aufgaben zählen insbesondere:
Bemerkenswert ist eine Änderung gegenüber der vorherigen MaRisk-Fassung: Die ausdrückliche Vorgabe, einen zentralen Auslagerungsbeauftragten im Institut einzurichten, findet sich in AT 9 der neuen Fassung nicht mehr. Das zentrale Auslagerungsmanagement bleibt jedoch vorgeschrieben, soweit Art, Umfang und Komplexität der Auslagerungen dies erfordern.
Die organisatorische Gestaltung wird damit flexibler. Die Verantwortung wird nicht kleiner. Sie bekommt nur etwas mehr Bewegungsfreiheit und damit leider auch weniger Möglichkeiten, sich hinter einer Textziffer zu verstecken.
Eine weitere wichtige Änderung betrifft IKT-Dienstleistungen. Die MaRisk 2026 stellt ausdrücklich klar, dass ausgelagerte oder fremdbezogene IKT-Dienstleistungen, die dem Drittparteienrisikomanagement nach den Artikeln 28 bis 30 DORA unterliegen, nicht in den Anwendungsbereich von AT 9 MaRisk fallen.
Für solche Leistungen gilt das eigenständige IKT-Drittparteienrisikomanagement der DORA. Dessen Anwendungsbereich ist breiter als der klassische Auslagerungsbegriff. Er kann beispielsweise auch IKT-Leistungen erfassen, die zuvor als sonstiger Fremdbezug behandelt wurden.
DORA verlangt unter anderem eine vorgelagerte Risikobewertung und Due Diligence, definierte Vertragsinhalte, ein Informationsregister, die laufende Überwachung von IKT-Dienstleistern sowie Exit-Strategien. Für IKT-Dienstleistungen, die kritische oder wichtige Funktionen unterstützen, konkretisiert die Delegierte Verordnung (EU) 2024/1773 den gesamten Vertragslebenszyklus.
In der Praxis sollten MaRisk-Auslagerungsmanagement und DORA-Drittparteienmanagement deshalb nicht als zwei voneinander unberührte Ablagen organisiert werden. Die rechtliche Zuordnung muss sauber getrennt sein. Inventare, Verantwortlichkeiten, Risikoanalysen und Berichtswege sollten dennoch zusammenpassen.
Wer zum DORA-Umfeld tiefer einsteigen möchte, findet im K11-Beitrag „DORA im Finanzsektor: Warum digitale Resilienz mehr als IT-Security ist“ eine weiterführende Einordnung.
Ein belastbares Auslagerungsmanagement begleitet nicht nur den Vertragsschluss, sondern den gesamten Lebenszyklus der Fremdleistung.
1. Bestand erfassen und einordnen
Zunächst müssen sämtliche relevanten Fremdleistungen erfasst werden. Anschließend ist zu prüfen, ob eine aufsichtsrechtliche Auslagerung, ein sonstiger Fremdbezug oder eine IKT-Dienstleistung nach DORA vorliegt.
2. Risiken und Wesentlichkeit bewerten
Die Risikoanalyse betrachtet unter anderem betriebliche Abhängigkeiten, Konzentrationsrisiken, Datenschutz und Informationssicherheit, Standorte der Leistungserbringung, Subdienstleister sowie die Auswirkungen eines Ausfalls.
3. Dienstleister sorgfältig auswählen
Vor der Beauftragung sollten fachliche Eignung, wirtschaftliche Stabilität, personelle und technische Ressourcen, Kontrollsysteme sowie Notfallvorsorge des Anbieters geprüft werden. Eine ansprechende Präsentation ist hilfreich. Ein Kontrollsystem ersetzt sie trotzdem nicht.
4. Vertrag angemessen ausgestalten
Leistungsbeschreibung, Service Levels, Informations- und Prüfungsrechte, Datenschutz, Sicherheitsanforderungen, Weiterverlagerungen, Kündigungsrechte und Unterstützungsleistungen beim Ausstieg müssen zur konkreten Risikosituation passen.
5. Leistung und Risiken laufend überwachen
Nach der Unterschrift beginnt die eigentliche Steuerung. Dazu gehören geeignete Leistungs- und Risikoindikatoren, regelmäßige Reviews, die Bearbeitung von Abweichungen sowie festgelegte Eskalationswege.
6. Ausstieg vorbereiten
Bei wesentlichen Auslagerungen müssen Institute prüfen, wie die Leistung auf einen anderen Anbieter übertragen oder wieder intern erbracht werden kann. Eine Exit-Strategie, die lediglich feststellt, man werde im Notfall eine Lösung finden, ist eher ein Wunschzettel.
Probleme entstehen häufig nicht durch das völlige Fehlen von Unterlagen, sondern durch fehlende Verbindungen zwischen ihnen. Der Einkauf führt eine Dienstleisterliste, Compliance ein Auslagerungsregister und die IT ein DORA-Informationsregister. Alle drei sind ordentlich gepflegt und kennen einander nur vom Hörensagen.
Weitere typische Schwachstellen sind:
Gutes Auslagerungsmanagement schafft deshalb einen einheitlichen Prozess mit klaren Auslösern, Zuständigkeiten und Eskalationswegen.
Nicht jedes Institut kann dauerhaft ein großes Spezialteam für das Auslagerungsmanagement vorhalten. Externe Unterstützung kann beim Aufbau der Governance, bei Risikoanalysen, der Registerpflege, der Dienstleisterüberwachung, dem Management-Reporting oder der Vorbereitung auf Prüfungen entlasten.
K11 Consulting unterstützt Unternehmen beim Aufbau, bei der Weiterentwicklung und bei der operativen Durchführung des Auslagerungsmanagements. Dabei können bestehende Strukturen übernommen, Lücken identifiziert und Prozesse zwischen Fachbereichen, Kontrollfunktionen und Geschäftsleitung zusammengeführt werden.
Die Verantwortung der Geschäftsleitung bleibt selbstverständlich im Unternehmen. Externe Unterstützung soll sie nicht verdecken, sondern dafür sorgen, dass sie praktisch wahrgenommen werden kann.
Auslagerungsmanagement beginnt vor dem Vertrag und endet nicht mit seiner Ablage. Es verbindet rechtliche Einordnung, Risikomanagement, Vertragsgestaltung, Dienstleistersteuerung und Management-Reporting zu einem fortlaufenden Prozess.
Die 9. MaRisk-Novelle eröffnet mehr proportionalen Gestaltungsspielraum und trennt klassische Auslagerungen deutlicher vom IKT-Drittparteienrisikomanagement nach DORA. Gerade deshalb müssen Unternehmen ihre Prozesse bewusst gestalten. Aufgaben dürfen das Haus verlassen. Der Überblick sollte es nicht.