Wann handelt es sich um eine Auslagerung?
Der Katalog der Fälle, die nach den EBA-Leitlinien nicht als Auslagerung gelten.
S+P Governance
Abgrenzung von Auslagerungen und Fremdbezug nach MaRisk
Rechtsstand: September 2026 · Lesezeit: rund 12 Minuten
Die Abgrenzung von Auslagerungen und sonstigem Fremdbezug ist mit dem Rundschreiben 06/2026 (BA) keine Klassifizierungsaufgabe mehr, sondern eine begründungspflichtige Entscheidung. Was das für Geschäftsleitung und Aufsichtsorgan bedeutet.
Das Wichtigste in Kurzform
Die Abgrenzung von Auslagerungen und sonstigem Fremdbezug galt lange als Fleißarbeit im Auslagerungsmanagement. Mit dem Rundschreiben 06/2026 (BA) vom 30. Juni 2026 ist sie zu einer Frage der Aufbauorganisation geworden: An der Einordnung hängt, welches Regelwerk gilt, welche Vertragsinhalte zwingend sind und in welchem Register ein Sachverhalt geführt wird.
Der Grund ist eine neue Trennlinie. Nach der Erläuterung zu AT 9 Tz. 1 der neuen Fassung fallen ausgelagerte oder fremdbezogene IKT-Dienstleistungen im Sinne von Artikel 3 Nummer 21 DORA, die dem IKT-Drittparteienrisikomanagement nach den Artikeln 28 bis 30 DORA unterliegen, nicht in den Anwendungsbereich des AT 9. Aus der vertrauten Zweiteilung wird eine Dreiteilung.
An der Verantwortung ändert das nichts. Sie steht unverändert im Gesetz: Eine Auslagerung führt nach § 25b Absatz 2 KWG nicht zu einer Übertragung der Verantwortung der Geschäftsleiter, und das Institut bleibt für die Einhaltung der gesetzlichen Bestimmungen verantwortlich. Weil die MaRisk an mehreren Stellen Detailvorgaben streicht, tritt an ihre Stelle die eigene Herleitung.
Dieser Beitrag ordnet die Lage für die Entscheidungsebene ein: was sich geändert hat, was offen geblieben ist, welche Pflicht bei welcher Funktion liegt und welche Maßnahmen sich unabhängig vom Ausgang der noch laufenden europäischen Verfahren lohnen.
Inhalt
Abgrenzung von Auslagerungen: Was sich mit der 9. MaRisk-Novelle verschiebt
Drei Kategorien statt zwei
Bis zur 8. Novelle lief die Prüfung zweistufig: Liegt eine Auslagerung von Aktivitäten und Prozessen vor, oder handelt es sich um sonstigen Fremdbezug? Eine IKT-Dienstleistung konnte beides zugleich sein. In der Praxis führte das zu Verträgen mit doppelten Anhängen und zu doppelter Registerführung.
Die neue Fassung zieht die Grenze anders. Ein Sachverhalt fällt entweder unter AT 9 MaRisk, oder unter das IKT-Drittparteienrisikomanagement nach den Artikeln 28 bis 30 DORA, oder unter keines von beiden. Für die Entscheidungsebene ist das keine Feinheit: Die drei Kategorien haben unterschiedliche Vertragspflichten, unterschiedliche Register und unterschiedliche Adressaten in der Aufsicht.
Was das Gesetz weiterhin verlangt
§ 25b KWG ist unverändert. Absatz 1 Satz 1 verlangt angemessene Vorkehrungen abhängig von Art, Umfang, Komplexität und Risikogehalt einer wesentlichen Auslagerung. Absatz 1 Satz 4 verpflichtet zu einem Auslagerungsregister, das sämtliche wesentlichen und nicht wesentlichen Auslagerungen erfasst. Absatz 3 Satz 3 fordert eine schriftliche Vereinbarung, die die erforderlichen Rechte des Instituts einschließlich Weisungs- und Kündigungsrechten festlegt.
Damit besteht ein Spannungsverhältnis, das in der Fachliteratur offen benannt wird: Das Gesetz spricht weiterhin von Auslagerungen und wurde bisher durch die MaRisk konkretisiert. Wie sich eine MaRisk, die IKT-Dienstleistungen ausnimmt, dazu verhält, ist nicht abschließend geklärt. Für die Praxis folgt daraus eine schlichte Regel: Die Zuordnung nach MaRisk ersetzt nicht die Prüfung, ob der Sachverhalt gesetzlich eine Auslagerung ist.
Der europäische Rahmen bewegt sich ebenfalls
Die EBA hat im Juli 2025 einen Entwurf für Leitlinien zum Umgang mit Drittparteienrisiken zur Konsultation gestellt (EBA/CP/2025/12). Er soll die Auslagerungsleitlinien aus dem Jahr 2019 ablösen. Der Anknüpfungspunkt wechselt von der Auslagerung zum weiter gefassten Begriff der Vereinbarung mit Dritten, IKT-Dienstleistungen sollen ausgenommen werden. Die Konsultation endete im Oktober 2025.
Nach der zuletzt greifbaren fachlichen Einordnung von Anfang Juli 2026 lag die finale Fassung noch nicht vor. Wer heute ein Kategorienmodell aufsetzt, sollte es deshalb so bauen, dass ein Wechsel des Oberbegriffs keine Neuinventur auslöst.
Was bleibt: der Katalog der Nicht-Auslagerungen
Die Beispiele, an denen sich die Einordnung seit Jahren orientiert, bleiben brauchbar. Die EBA-Leitlinien zu Auslagerungen aus dem Jahr 2019 nennen unter anderem Abschlussprüfungen, Marktinformationsdienste, globale Netzinfrastrukturen, Clearing- und Abwicklungsvereinbarungen, Korrespondenzbankdienstleistungen sowie den Erwerb von Leistungen, die das Institut ohnehin nicht selbst erbringen würde.
Der Katalog ersetzt jedoch keine Prüfung. Er beschreibt Fälle, nicht Kriterien. Wo eine Leistung nicht im Katalog steht, bleibt die Frage nach dem funktionalen Zusammenhang zum eigenen Geschäft und danach, ob das Institut die Leistung selbst erbringen könnte.
Zeitpunkte und offene Verfahren
| Zeitpunkt | Ereignis | Bedeutung für die Entscheidungsebene |
|---|---|---|
| Januar 2025 | DORA ist anwendbar | Das IKT-Drittparteienrisiko wird eigenständig geregelt, das Informationsregister kommt hinzu. |
| Juli 2025 | EBA stellt den Entwurf zu Drittparteienrisiken zur Konsultation | Signal, dass der Oberbegriff europäisch breiter wird als die Auslagerung. |
| Oktober 2025 | Ende der EBA-Konsultation | Ab hier ist mit einer Endfassung zu rechnen. Planungen sollten sie vorsehen. |
| April 2026 | BaFin stellt die Konsultationsfassung der 9. MaRisk-Novelle vor | Erste belastbare Sicht auf die geplante DORA-Trennlinie in AT 9. |
| Mai 2026 | Ende der MaRisk-Konsultation | Zeitfenster für Stellungnahmen der Institute und Verbände. |
| 30. Juni 2026 | Veröffentlichung des Rundschreibens 06/2026 (BA) | Maßgebliche Fassung. Der Anpassungsbedarf im eigenen Haus ist ab hier zu bestimmen. |
| offen | Endfassung der EBA-Leitlinien zum Drittparteienrisiko | Zweite Anpassungswelle. Kategorienmodell und Register sollten darauf vorbereitet sein. |
Zu Übergangsregelungen der 9. MaRisk-Novelle finden sich in der Fachpresse widersprüchliche Angaben. Maßgeblich ist das Übersendungsschreiben der BaFin, es ist im Quellenverzeichnis verlinkt. Wir nennen hier bewusst keine Frist, die wir nicht am Originaltext geprüft haben.
Pflichten nach Funktion
Geschäftsleitung
Trägt die Gesamtverantwortung für die ordnungsgemäße Geschäftsorganisation und damit auch für die Einordnungslogik.
- Angemessene Verfahren und Konzepte für Auslagerungen vorhalten (§ 25c Absatz 4a Nummer 6 KWG).
- Die Verantwortung nicht auf das Auslagerungsunternehmen verlagern, sie ist nach § 25b Absatz 2 KWG nicht übertragbar.
- Eine Übersicht in Textform über Aufgaben und individuelle Verantwortlichkeiten führen (§ 25c Absatz 4a Nummer 8 KWG).
- Zweifelsfälle der Einordnung entscheiden oder die Entscheidung ausdrücklich delegieren.
Verwaltungs- oder Aufsichtsorgan
Überwacht die Geschäftsleitung nach § 25d KWG und sollte die Logik hinter der Liste kennen, nicht nur die Liste.
- Nach den Kriterien fragen, nach denen eingeordnet wird, und nach ihrer Herkunft.
- Klären lassen, wer Zweifelsfälle entscheidet und wie das dokumentiert wird.
- Den Turnus der Überprüfung und die Befassung im Gremium festhalten lassen.
- Sich den Abgleich zwischen Auslagerungsregister und Informationsregister zeigen lassen.
Risikocontrolling und Compliance
Bringen die Einordnung in das interne Kontrollsystem und prüfen ihre Konsistenz.
- Kriterienkatalog pflegen und Änderungen im Aufsichtsrecht nachziehen.
- Wesentlichkeit und Kritikalität getrennt von der Kategorienfrage bewerten.
- Konzentrationen über alle drei Kategorien hinweg sichtbar machen.
- Abweichungen zwischen Fachbereichsmeinung und Einordnung eskalieren.
Auslagerungsmanagement und Fachbereiche
Bereiten den Sachverhalt auf. Die Entscheidung über die Kategorie treffen sie nicht allein.
- Leistungsbeschreibung so erfassen, dass mehrteilige Leistungen erkennbar bleiben.
- Drittstaatenbezug früh melden. Bei wesentlichen Auslagerungen ist ein inländischer Zustellungsbevollmächtigter vertraglich sicherzustellen (§ 25b Absatz 3 Satz 4 KWG).
- Weiterverlagerungen des Dienstleisters mit erheben, nicht erst bei Vertragsverlängerung.
- Registerdaten pflegen und jeden Kategorienwechsel dokumentieren.
Interne Revision
Prüft nicht das Ergebnis, sondern die Nachvollziehbarkeit des Weges dorthin.
- Stichproben auf begründete Nein-Entscheidungen legen, nicht nur auf die Ja-Fälle.
- Prüfen, ob zwischen beiden Registern eine Lücke oder eine Doppelerfassung entsteht.
- Die Aktualität des Kriterienkatalogs gegen die geltende Fassung der MaRisk halten.
- Feststellungen an Geschäftsleitung und Aufsichtsorgan berichten.
Sechs Schwachstellen mit Normbezug
Das Regelwerk kennt weiter nur zwei Kategorien
Richtlinien, Formulare und Freigabepfad fragen nach Auslagerung ja oder nein. Die dritte Kategorie hat keinen Platz, also landen IKT-Dienstleistungen dort, wo sie am wenigsten stören.
AT 9 Tz. 1 MaRisk, Artikel 3 Nummer 21 DORA
Verträge mit Anhängen, die niemand mehr zuordnet
Verträge aus der Umstellungsphase enthalten MaRisk-Klauseln und DORA-Anhänge nebeneinander. Welche Klausel welchen Zweck erfüllt, ist nach zwei Jahren oft nicht mehr rekonstruierbar.
Artikel 30 DORA, § 25b Absatz 3 Satz 3 KWG
Lücke oder Doppelung zwischen den Registern
Wird ein Sachverhalt aus dem Auslagerungsregister genommen, ohne dass er im Informationsregister ankommt, entsteht ein blinder Fleck. Die umgekehrte Doppelerfassung kostet nur Aufwand.
§ 25b Absatz 1 Satz 4 KWG, Artikel 28 DORA
Einordnung ohne Begründung
Wo die MaRisk Detailvorgaben streicht, tritt die eigene Herleitung an ihre Stelle. Ein Häkchen ohne Text ist in der Prüfung kein Nachweis, sondern eine Feststellung.
AT 9 MaRisk, § 25c Absatz 4a Nummer 6 KWG
Verantwortlichkeiten sind nicht schriftlich zugeordnet
Wer entscheidet einen Zweifelsfall, wenn Fachbereich und Auslagerungsmanagement verschiedener Meinung sind? Ohne Antwort entscheidet der Zeitdruck.
§ 25c Absatz 4a Nummer 8 KWG
Drittstaatenbezug fällt zu spät auf
Der Sitz des Dienstleisters wird erfasst, der Ort der Leistungserbringung und die Kette der Weiterverlagerungen nicht. Die vertraglichen Folgen zeigen sich dann erst in der Prüfung.
§ 25b Absatz 3 Satz 4 KWG
Selbsteinschätzung für das Gremium
Fünf Fragen, die ein Gremium in einer Sitzung beantworten kann. Sie zielen nicht auf Vollständigkeit, sondern auf die Stellen, an denen die neue Trennlinie in der Organisation ankommt oder eben nicht. Die Auswahl bleibt im Browser und wird nicht übertragen.
Kategorienmodell
Unterscheidet unser Regelwerk drei Kategorien: Auslagerung, IKT-Dienstleistung nach DORA und sonstiger Fremdbezug?
Wähle eine Einschätzung, um die Empfehlung zu sehen.
Gute Ausgangslage. Prüfe als Nächstes, ob Formulare und Freigabepfad der Richtlinie folgen und nicht weiter zweistufig abfragen.
Das Modell steht, die Umsetzung hinkt hinterher. Setze eine Frist für die Anpassung von Formularen, Registerfeldern und Freigabepfad.
Vorrangig. Ohne dritte Kategorie ist jede Einordnung unscharf und jede Registerabstimmung Handarbeit.
Entscheidungsweg
Ist schriftlich festgelegt, wer Zweifelsfälle entscheidet und wer die Entscheidung dokumentiert?
Wähle eine Einschätzung, um die Empfehlung zu sehen.
Halte den Weg in der Übersicht der Verantwortlichkeiten fest, damit er auch bei Personalwechsel trägt.
Die Praxis ist eingespielt, aber nicht aufgeschrieben. Genau das fällt in Prüfungen auf.
Regele Zuständigkeit und Eskalation, bevor der nächste Grenzfall unter Zeitdruck entschieden wird.
Begründungstiefe
Liegt zu jeder Nein-Entscheidung eine nachvollziehbare Begründung vor, nicht nur ein Häkchen?
Wähle eine Einschätzung, um die Empfehlung zu sehen.
Prüfe stichprobenartig, ob die Begründungen die geltende Fassung der MaRisk zitieren.
Begründungen existieren für die großen Fälle und fehlen bei den kleinen. Genau dort sitzt das Risiko der Fehleinordnung.
Beginne mit den Sachverhalten, die zuletzt die Kategorie gewechselt haben. Dort ist der Nachweisbedarf am höchsten.
Registerabgleich
Sind Auslagerungsregister und Informationsregister aufeinander abgestimmt, ohne Lücke und ohne Doppelerfassung?
Wähle eine Einschätzung, um die Empfehlung zu sehen.
Verankere den Abgleich als wiederkehrende Kontrolle mit benanntem Verantwortlichen.
Der Abgleich findet statt, aber anlassbezogen. Ein fester Turnus macht ihn prüfbar.
Erstelle zuerst eine Differenzliste beider Register. Sie zeigt in einer Stunde, wie groß das Thema tatsächlich ist.
Turnus und Berichtsweg
Wird die Einordnung mindestens jährlich und anlassbezogen überprüft, und erfährt das Aufsichtsorgan davon?
Wähle eine Einschätzung, um die Empfehlung zu sehen.
Ergänze den Bericht um eine Seite zur Einordnungslogik, nicht nur zur Anzahl der Auslagerungen.
Der Turnus steht, der Berichtsweg endet bei der Geschäftsleitung. Das Aufsichtsorgan kann seine Überwachung so nur formal ausüben.
Setze den Turnus fest und benenne den Anlass, der eine außerplanmäßige Prüfung auslöst, etwa eine Änderung des Aufsichtsrechts.
No-Regret-Maßnahmen
01
Kategorienmodell dreispaltig verankern
Die Richtlinie erhält drei Kategorien mit je eigenem Kriterienkatalog. Formulare, Registerfelder und Freigabepfad folgen der Richtlinie. Der Aufwand ist einmalig, der Nutzen unabhängig davon, wie die EBA-Leitlinien am Ende ausfallen.
02
Entscheidungspfad und Eskalation festschreiben
Eine halbe Seite genügt: Wer bereitet vor, wer entscheidet, wer wird bei Dissens eingeschaltet, wo wird abgelegt. Diese Festlegung trägt auch dann, wenn sich die Begrifflichkeit europäisch noch einmal ändert.
03
Begründungsakte je Nein-Entscheidung
Zu jedem Sachverhalt, der nicht als Auslagerung eingeordnet wird, gehört ein kurzer Text mit Kriterium, Sachverhalt und Ergebnis. Drei Sätze reichen. Ohne sie ist die Einordnung in der Prüfung nicht verteidigungsfähig.
04
Registerabgleich als feste Kontrolle
Ein wiederkehrender Abgleich beider Register mit benanntem Verantwortlichen und dokumentiertem Ergebnis. Er deckt Lücken auf, bevor sie in einer Sonderprüfung auffallen, und ist unabhängig von der weiteren Rechtsentwicklung sinnvoll.
05
Übersicht der Verantwortlichkeiten mit dem Thema verknüpfen
Die nach § 25c Absatz 4a Nummer 8 KWG zu führende Übersicht ist der natürliche Ort, um die Zuständigkeit für Einordnungsentscheidungen abzubilden. Das spart ein zusätzliches Dokument.
06
Berichtsweg an das Aufsichtsorgan ergänzen
Der Bericht über wesentliche Auslagerungen wird um eine Seite zur Einordnungslogik erweitert: Kriterien, Zweifelsfälle des Zeitraums, Kategorienwechsel. Damit wird die Überwachung nach § 25d KWG inhaltlich statt formal.
Fazit: Abgrenzung von Auslagerungen als Führungsfrage
Die Abgrenzung von Auslagerungen ist nach der 9. MaRisk-Novelle eine Entscheidung mit Nachweispflicht. Vier Punkte bleiben:
Drei Kategorien, nicht zwei
Wer weiter zweistufig abfragt, produziert Fehleinordnungen und Registerlücken.
Die Verantwortung bleibt oben
§ 25b Absatz 2 KWG lässt keine Übertragung der Verantwortung der Geschäftsleiter zu. Die neue Trennlinie ändert daran nichts.
Begründung ersetzt Detailvorgabe
Wo die Aufsicht Aufzählungen streicht, wird die eigene Herleitung zum Prüfungsgegenstand.
Offene Punkte offen benennen
Das Verhältnis zu § 25b KWG und die Endfassung der EBA-Leitlinien sind nicht geklärt. Ein Modell, das beides verträgt, ist mehr wert als eine Lösung für den heutigen Stand.
Häufige Fragen
Warum ist die Abgrenzung von Auslagerungen Sache der Geschäftsleitung und nicht des Einkaufs?+−
Weil an der Einordnung Rechtsfolgen hängen, die das Organ treffen. § 25b Absatz 2 KWG stellt klar, dass eine Auslagerung nicht zu einer Übertragung der Verantwortung der Geschäftsleiter führt und das Institut für die Einhaltung der gesetzlichen Bestimmungen verantwortlich bleibt. § 25c Absatz 4a Nummer 6 KWG verlangt zudem angemessene Verfahren und Konzepte für Auslagerungen. Der Einkauf kann den Sachverhalt aufbereiten, die Verantwortung für die Einordnung bleibt oben.
Was ändert die 9. MaRisk-Novelle an der Abgrenzung konkret?+−
Die BaFin hat das Rundschreiben 06/2026 (BA) am 30. Juni 2026 veröffentlicht. Nach der Erläuterung zu AT 9 Tz. 1 fallen ausgelagerte oder fremdbezogene IKT-Dienstleistungen im Sinne von Artikel 3 Nummer 21 DORA, die dem IKT-Drittparteienrisikomanagement nach den Artikeln 28 bis 30 DORA unterliegen, nicht in den Anwendungsbereich des AT 9. Aus der bisherigen Zweiteilung in Auslagerung und sonstigen Fremdbezug wird damit eine Dreiteilung.
Ist die Herausnahme der IKT-Dienstleistungen eine Entlastung?+−
Für die Vertragsarbeit ja, für die Steuerung nur teilweise. Doppelte Klauselwerke aus MaRisk und DORA entfallen, die Anforderungen der Artikel 28 bis 30 DORA gelten unverändert weiter. Neu ist die Schnittstelle: Das Haus muss begründen können, welchem Regelwerk ein Sachverhalt zugeordnet ist, und darf zwischen beiden Rahmen keine Lücke entstehen lassen.
Wie passt § 25b KWG zu einer MaRisk, die IKT-Dienstleistungen ausnimmt?+−
Diese Frage ist offen. Das Gesetz spricht weiterhin von Auslagerungen und wurde bislang durch die MaRisk konkretisiert. Fachliche Kommentierungen weisen darauf hin, dass das Verhältnis beider Ebenen noch zu klären ist. Für die Praxis heißt das: Die Einordnung nach MaRisk entbindet nicht von der Prüfung, ob ein Sachverhalt gesetzlich eine Auslagerung darstellt.
Welche Rolle hat das Verwaltungs- oder Aufsichtsorgan bei diesem Thema?+−
Es überwacht die Geschäftsleitung nach § 25d KWG und sollte sich die Einordnungslogik erklären lassen, nicht nur die Ergebnisliste. Drei Fragen genügen als Einstieg: Nach welchen Kriterien wird eingeordnet, wer entscheidet Zweifelsfälle, und in welchem Turnus wird die Einordnung überprüft. Ohne Antworten darauf bleibt die Überwachung formal.
Was ist von den geplanten EBA-Leitlinien zum Drittparteienrisiko zu erwarten?+−
Die EBA hat mit dem Konsultationspapier EBA/CP/2025/12 einen Entwurf vorgelegt, der die Auslagerungsleitlinien aus dem Jahr 2019 ablösen soll. Der Anknüpfungspunkt wechselt von der Auslagerung zum weiter gefassten Begriff der Vereinbarung mit Dritten, IKT-Dienstleistungen sollen ausgenommen werden. Nach der zuletzt greifbaren fachlichen Einordnung von Anfang Juli 2026 lag die finale Fassung noch nicht vor.
Quellen
- BaFin, Rundschreiben 06/2026 (BA), Mindestanforderungen an das RisikomanagementMaßgebliche Fassung der MaRisk, veröffentlicht am 30. Juni 2026. Downloadseite mit PDF.
- BaFin, Übersendungsschreiben zur 9. MaRisk-NovelleAnschreiben der Aufsicht. Hier stehen Anwendungshinweise und etwaige Übergangsregelungen.
- BaFin, Vergleichsversion der 8. zur 9. MaRisk-NovelleZeigt Streichungen und Ergänzungen im Wortlaut, auch in AT 9.
- EUR-Lex, Verordnung (EU) 2022/2554 (DORA)Begriff der IKT-Dienstleistung in Artikel 3 Nummer 21, IKT-Drittparteienrisikomanagement in den Artikeln 28 bis 30.
- EBA, Leitlinien zu Auslagerungen (EBA/GL/2019/02), PDFEnthält den Katalog der Fälle, die nicht als Auslagerung einzustufen sind.
- § 25b KWG im Volltext (Rechtsdatenbank)Auslagerungsregister, Weisungs- und Kündigungsrechte, Zustellungsbevollmächtigter im Drittstaat.
- § 25c KWG im Volltext (Rechtsdatenbank)Absatz 4a Nummer 6 zu Auslagerungen und Nummer 8 zur Übersicht der Verantwortlichkeiten.
Verwandte Beiträge und Programme
Kritische oder wesentliche Funktionen
Die Wesentlichkeitsfrage, die sich erst nach der Kategorienentscheidung stellt.
Auslagerungsregister als Basis des Risikomanagements
Mindestangaben je Eintrag und die Schnittstelle zum Informationsregister.
Lehrgang Auslagerungsbeauftragter bei S+P Seminare
Die Qualifizierungsseite: Pre-Outsourcing-Analyse, Bewertung von IKT-Diensten, Kontrollplan.
Umsetzung und Prüfung mit S+P Compliance
Wenn die Einordnung steht und Kapazität für Umsetzung, Register oder Audit fehlt.
Einordnung ist Chefsache, Umsetzung nicht
Die Entscheidung über die Kategorie bleibt bei der Geschäftsleitung. Für die Arbeit danach, also Kriterienkatalog, Registerabgleich, Vertragsanpassung und Prüfung, gibt es Kapazität am Markt. S+P Compliance übernimmt die Umsetzung, S+P Seminare qualifiziert das eigene Team.
Du willst wissen, wo dein Haus steht? Die Selbsteinschätzung für das Gremium braucht fünf Minuten. Für die Umsetzung danach übernimmt S+P Compliance.