Dokumentation und Meldewesen
Rechtsstand: 10. September 2026 | Lesezeit: rund 12 Minuten | Erstveröffentlichung: 2. September 2021, vollständig überarbeitet
Wer heute nach den Anforderungen an das Auslagerungsregister sucht, bekommt in der Regel eine Liste von Datenfeldern. Die wichtigere Frage ist eine andere: In welches Register gehört ein Vertrag überhaupt? Seit 2025 führen viele Institute zwei – und die Abgrenzung entscheidet über Vollständigkeit und Meldepflicht.
AT 9 Tz. 12 lit. b der MaRisk in der Fassung vom 30. Juni 2026 macht die Erstellung und Pflege einer vollständigen Dokumentation der Auslagerungen einschließlich Weiterverlagerungen zur Aufgabe des zentralen Auslagerungsmanagements. Der Normtext verweist dafür auf § 25b Abs. 1 Satz 4 KWG und nennt das Ergebnis Auslagerungsregister.
Daneben steht seit 2025 das Informationsregister nach Art. 28 Abs. 3 DORA. Es erfasst vertragliche Vereinbarungen über die Nutzung von IKT-Dienstleistungen und ist der BaFin jährlich einzureichen. Beide Register haben unterschiedliche Rechtsgrundlagen, unterschiedliche Anwendungsbereiche und unterschiedliche Meldewege.
Seit der Erläuterung zu AT 9 Tz. 1 fallen IKT-Dienstleistungen nach Art. 3 Nr. 21 DORA aus dem Anwendungsbereich des AT 9 heraus. Damit ist die Zuordnung eines Vertrags zum richtigen Register keine Verwaltungsfrage mehr, sondern eine Rechtsfrage mit Folgen für die Vollständigkeit beider Bestände.
Für die Geschäftsleitung ist das Register kein Verwaltungsartefakt. Es ist die Datenbasis für die Risikoanalyse nach AT 9 Tz. 2, für den Bericht nach Tz. 13 und für die Prüfung durch die Interne Revision. Ein unvollständiges Register macht alles darüber angreifbar.
Die Gegenüberstellung zeigt, warum ein einziges Register beide Pflichten nicht erfüllen kann – und warum ein Vertrag trotzdem nicht in beiden stehen muss.
| Punkt | Auslagerungsregister | Informationsregister |
|---|---|---|
| Rechtsgrundlage | AT 9 Tz. 12 lit. b MaRisk, § 25b Abs. 1 Satz 4 KWG | Art. 28 Abs. 3 DORA |
| Bezeichnung | Auslagerungsregister | Informationsregister |
| Erfasst | Auslagerungen einschließlich Weiterverlagerungen | Vertragliche Vereinbarungen über die Nutzung von IKT-Dienstleistungen |
| Anwendungsbereich | Auslagerungen ohne IKT-Bezug im Sinne von Art. 3 Nr. 21 DORA | IKT-Dienstleistungen, unabhängig von der Kritikalität |
| Einreichung bei der Aufsicht | Keine turnusmäßige Einreichung; Vorlage auf Verlangen | Jährliche Einreichung über die Melde- und Veröffentlichungsplattform |
| Verantwortung | Zentrales Auslagerungsmanagement nach AT 9 Tz. 12 | Finanzunternehmen; Leitungsorgan nach Art. 5 DORA |
Praktisch heißt das: Der erste Arbeitsschritt ist nicht das Anlegen von Datenfeldern, sondern die Zuordnung jedes Dienstleistungsverhältnisses zum anwendbaren Regime. Wer damit beginnt, füllt anschließend zwei saubere Bestände. Wer damit endet, hat zwei unvollständige.
Der Normtext ist knapp. Aus ihm und den angrenzenden Textziffern ergeben sich sechs Anforderungen.
AT 9 Tz. 12 lit. b spricht von einer vollständigen Dokumentation der Auslagerungen. Eine Beschränkung auf wesentliche Auslagerungen enthält der Text nicht. Für Wertpapierinstitute stellt § 40 Abs. 1 WpIG ausdrücklich auf sämtliche wesentlichen und nicht wesentlichen Auslagerungen ab.
Anzeigepflicht bei WertpapierinstitutenSie sind im Klammerzusatz ausdrücklich genannt. Voraussetzung für ihre Erfassung ist die Informationspflicht des Auslagerungsunternehmens nach AT 9 Tz. 8 – ohne sie bleibt das Register lückenhaft.
Weiterverlagerung kritischer FunktionenDer Text verlangt Erstellung und Pflege. Ein Register, das nach der Ersterfassung nicht fortgeschrieben wird, erfüllt die Anforderung nicht.
Die Registerführung ist ausdrücklich Aufgabe des zentralen Auslagerungsmanagements. Sie lässt sich organisatorisch verteilen, die Verantwortung bleibt dort.
Pflichten der Funktion im DetailDie Wesentlichkeitsentscheidung aus der Risikoanalyse nach AT 9 Tz. 2 gehört nachvollziehbar ins Register – sonst lässt sich nicht erklären, warum welche Pflichten greifen.
Zwingend einzustufende FälleDer Bericht nach AT 9 Tz. 13 und die Prüfung durch die Interne Revision nach AT 4.4.3 Tz. 5 setzen auf dem Register auf. Es ist damit kein Selbstzweck, sondern Voraussetzung.
Aufgaben der Internen RevisionEine abschließende Feldliste enthält AT 9 nicht. Anhaltspunkte liefern die Vertragsinhalte, die AT 9 Tz. 7 für wesentliche Auslagerungen verlangt: Leistungsspezifikation, Beginn und gegebenenfalls Ende, geltendes Recht, Standorte der Leistungserbringung und Datenverarbeitung, vereinbarte Dienstleistungsgüte, Versicherungsnachweise, Notfallkonzepte, Informations- und Prüfungsrechte, Kündigungsrechte und Regelungen zur Weiterverlagerung.
Ergänzend bleiben die EBA-Leitlinien zu Auslagerungen der europäische Referenzrahmen; sie sind nach AT 1 in den MaRisk umgesetzt. Wer eine Feldliste braucht, findet dort den ausführlichsten Katalog.
Diese Seite beruhte bis heute auf der Nachlese zur 6. MaRisk-Novelle. Fünf Punkte sind seither überholt.
| Punkt | Stand 2021 | Fassung vom 30.06.2026 |
|---|---|---|
| Verweis auf die EBA-Leitlinien | AT 9 Tz. 14 verwies auf die Textziffern 54 und 55 der Leitlinien zu Auslagerungen | AT 9 Tz. 14 enthält die Erleichterungen für Gruppen und Finanzverbünde; ein Verweis auf einzelne Textziffern der Leitlinien steht dort nicht |
| Fundstelle der Registerpflicht | AT 9 Tz. 12 in Verbindung mit dem Verweis in Tz. 14 | AT 9 Tz. 12 lit. b mit unmittelbarem Verweis auf § 25b Abs. 1 Satz 4 KWG |
| Gruppen- und Verbundregister | Möglichkeit der Zentralisierung im Grundsatz eröffnet | AT 9 Tz. 14 lit. e mit ausdrücklicher Bedingung: individuelles Register ohne größere Verzögerung erhältlich |
| IKT-Dienstleistungen | Teil des Auslagerungsregisters | Nach der Erläuterung zu AT 9 Tz. 1 außerhalb des AT 9; eigenes Informationsregister nach Art. 28 Abs. 3 DORA |
| Rolle des Auslagerungsbeauftragten | Bestellung nach AT 9 Tz. 12 vorgesehen | Der Text verlangt ein zentrales Auslagerungsmanagement; eine namentlich zu bestellende Person nennt er dort nicht |
Zur ersten Zeile ein Hinweis zur Genauigkeit: Dass AT 9 Tz. 14 heute keinen Verweis auf einzelne Textziffern der EBA-Leitlinien mehr enthält, bedeutet nicht, dass diese Leitlinien gegenstandslos wären. AT 1 der MaRisk stellt klar, dass sie als vollständig umgesetzt gelten. Abschnitte sind aber nur dann zusätzlich zu beachten, wenn die MaRisk ausdrücklich auf sie verweisen.
Art. 28 Abs. 3 DORA verpflichtet Finanzunternehmen, ein Informationsregister über alle vertraglichen Vereinbarungen zur Nutzung von IKT-Dienstleistungen zu führen – auf Unternehmensebene sowie gegebenenfalls teilkonsolidiert und konsolidiert.
Anders als das Auslagerungsregister ist das Informationsregister der Aufsicht turnusmäßig vorzulegen. Die BaFin verlangt eine jährliche Einreichung nach Art. 28 Abs. 3 UAbs. 4 DORA über die Melde- und Veröffentlichungsplattform. Für den Zyklus 2026 nannte sie ein Fenster vom 9. bis 30. März 2026; maßgeblich war der Sachstand zum 31. Dezember 2025.
Das jeweilige Einreichungsfenster gibt die BaFin gesondert bekannt. Wer den Prozess aufsetzt, sollte den Stichtag zum Jahresende einplanen und die Datenqualität nicht erst im Einreichungsfenster prüfen.
Art. 28 Abs. 3 enthält über die Registerführung hinaus Anzeigepflichten. Finanzunternehmen unterrichten die zuständige Behörde zeitnah über jede geplante vertragliche Vereinbarung zur Nutzung von IKT-Dienstleistungen zur Unterstützung kritischer oder wichtiger Funktionen sowie in dem Fall, dass eine Funktion kritisch oder wichtig geworden ist.
Diese Pflicht trifft auf die sektoralen Anzeigepflichten zu Auslagerungen. Zur Vermeidung von Doppelmeldungen hat die BaFin Hinweise veröffentlicht; wer beide Meldewege bedient, sollte sie vor der nächsten Anzeige heranziehen.
AT 9 Tz. 14 fasst die Erleichterungen für Gruppen im Sinne von AT 2.1 Tz. 3 und für Finanzverbünde zusammen. Für die Registerführung ist Buchstabe e maßgeblich.
Wird gruppen- oder verbundintern ein zentrales Auslagerungsregister eingerichtet und geführt, ist das nach AT 9 Tz. 14 lit. e zulässig.
Es muss sichergestellt sein, dass das einzelne Institut und die zuständige Behörde das individuelle Auslagerungsregister bei Bedarf ohne größere Verzögerung erhalten. Das ist eine Anforderung an Technik und Prozess, nicht nur an die Absicht.
Nach Tz. 14 lit. b kann bei Auslagerungen mehrerer Institute einer Gruppe oder eines Verbundes an gemeinsame Auslagerungsunternehmen ein zentrales Auslagerungsmanagement auf Gruppen- oder Verbundebene eingerichtet werden, sofern es den Anforderungen des Moduls AT 9 genügt.
Nach Tz. 14 lit. c besteht bei Risikoberichterstattung von Auslagerungsunternehmen, die innerhalb einer Gruppe oder eines Verbundes genutzt werden, die Möglichkeit einer zentralen Vorauswertung.
Nach Tz. 14 lit. d kann bei gruppen- und verbundinternen Auslagerungen auf die Erstellung von Ausstiegsstrategien und Handlungsoptionen verzichtet werden.
Auslagerung AusstiegsstrategienDie Erleichterungen aus AT 9 Tz. 14 betreffen das Auslagerungsregister. Für das Informationsregister nach Art. 28 Abs. 3 DORA gelten sie nicht.
DORA und IKT-DrittanbieterDie ersten beiden betreffen jedes Haus, dessen Registerkonzept älter ist als 2025.
IKT-Verträge stehen im Auslagerungsregister, das Informationsregister wird daraus abgeleitet – oder umgekehrt. Beide Bestände haben unterschiedliche Anwendungsbereiche und lassen sich nicht ineinander überführen.
Abgrenzung Auslagerung und FremdbezugInterne Regelungen verweisen auf die Textziffern 54 und 55 der EBA-Leitlinien, weil AT 9 Tz. 14 das früher tat. Der aktuelle Normtext enthält diesen Verweis nicht mehr.
Die 9. MaRisk-Novelle im ÜberblickAT 9 Tz. 12 lit. b spricht von vollständiger Dokumentation und differenziert nicht. Für Wertpapierinstitute ist § 40 Abs. 1 WpIG sogar ausdrücklich.
Sie stehen im Klammerzusatz der Norm. Ohne vertraglich abgesicherte Informationspflicht nach AT 9 Tz. 8 erfährt das Institut nichts davon.
Mindestanforderungen an AuslagerungsvereinbarungenDie Wesentlichkeitsentscheidung steht als Häkchen im Register, die Begründung liegt woanders oder nirgends. Im Prüfungsfall ist das der erste Griff.
Typische PrüfungsfeststellungenEin Verbundregister ist eingerichtet, die Bedingung aus AT 9 Tz. 14 lit. e aber nicht getestet. Ob das Einzelinstitut sein Register ohne größere Verzögerung erhält, zeigt sich sonst erst in der Prüfung.
Sechs Fragen entlang der Registerführung. Wähle je Zeile den zutreffenden Zustand; die Empfehlung erscheint darunter. Die Auswahl wird nicht gespeichert und nicht übertragen.
Ist je Vertrag entschieden, in welches Register er gehört?
Erläuterung zu AT 9 Tz. 1 MaRisk, Art. 3 Nr. 21 und Art. 28 Abs. 3 DORA
ErfülltDie Zuordnung liegt vor und ist Pflichtfeld im Vertragsprozess. Prüfe sie bei jeder Vertragsänderung.
TeilweiseNeuverträge sind zugeordnet, der Bestand nicht. Plane einen Bestandsdurchlauf nach Kritikalität.
OffenOhne Zuordnung sind beide Register unvollständig. Das ist der erste Schritt, nicht die Feldliste.
Erfasst das Auslagerungsregister auch nicht wesentliche Auslagerungen?
AT 9 Tz. 12 lit. b MaRisk, § 40 Abs. 1 WpIG
ErfülltDas Register ist vollständig. Prüfe die Pflegeprozesse bei Neuverträgen.
TeilweiseNicht wesentliche Auslagerungen sind teilweise erfasst. Ergänze sie priorisiert nach Dienstleisterkonzentration.
OffenEine Beschränkung auf wesentliche Auslagerungen gibt der Normtext nicht her.
Sind Weiterverlagerungen erfasst und vertraglich abgesichert?
AT 9 Tz. 12 lit. b und Tz. 8 MaRisk
ErfülltWeiterverlagerungen sind im Register und die Informationspflicht ist vereinbart. Prüfe die Kettentiefe.
TeilweiseWeiterverlagerungen sind bekannt, die Informationspflicht ist nicht vertraglich verankert. Ohne sie veraltet der Bestand unbemerkt.
OffenDer Klammerzusatz der Norm nennt sie ausdrücklich. Beginne bei den wesentlichen Auslagerungen.
Steht die Begründung der Wesentlichkeitseinstufung im Register?
AT 9 Tz. 2 und Tz. 12 lit. b MaRisk
ErfülltEinstufung, Begründung und Datum sind erfasst. Prüfe stichprobenartig die Nachvollziehbarkeit.
TeilweiseDie Einstufung ist erfasst, die Begründung fehlt. Ergänze das Feld und fülle es für wesentliche Auslagerungen nach.
OffenOhne dokumentierte Begründung lässt sich die Auswahl der Pflichten nicht erklären.
Ist der Einreichungsprozess für das Informationsregister etabliert?
Art. 28 Abs. 3 UAbs. 4 DORA
ErfülltMelder, Format und Termin sind geklärt und ein Zyklus wurde erfolgreich durchlaufen.
TeilweiseDie Einreichung erfolgte, die Datenqualität wurde aber erst im Fenster geprüft. Ziehe die Prüfung auf den Stichtag vor.
OffenOhne etablierten Prozess wird das Einreichungsfenster zum Engpass. Setze ihn vor dem nächsten Stichtag auf.
Ist bei einem Verbundregister der Einzelabruf getestet?
AT 9 Tz. 14 lit. e MaRisk
ErfülltDer Abruf des individuellen Registers wurde getestet und dokumentiert.
TeilweiseDer Abruf ist technisch möglich, aber nie erprobt. Die Norm verlangt sicherzustellen, nicht ermöglichen.
OffenOhne getesteten Einzelabruf ist die Bedingung der Erleichterung nicht erfüllt.
Sechs Schritte, die unabhängig vom Registerwerkzeug tragen.
Eine abschließende, aufsichtlich verbindliche Feldliste für das Auslagerungsregister nach MaRisk gibt es nicht. AT 9 Tz. 12 lit. b nennt nur die Pflicht zur vollständigen Dokumentation. Wer eine Feldstruktur aufbaut, sollte sie aus den Vertragsinhalten nach AT 9 Tz. 7 und den EBA-Leitlinien ableiten und die Ableitung dokumentieren.
Wie die BaFin Doppelmeldungen zwischen dem DORA-Anzeigeweg und den sektoralen Auslagerungsanzeigen im Einzelnen behandelt wissen will, entwickelt sich weiter. Vor der nächsten Anzeige gehören die aktuellen Hinweise der BaFin zum Informationsregister herangezogen.
Die Anforderungen an das Auslagerungsregister sind normtextlich knapp – und praktisch anspruchsvoller geworden, weil ein zweites Register danebensteht.
Wer die Zuordnung je Vertrag sauber trifft, hat zwei vollständige Register. Wer sie überspringt, hat zwei unvollständige – und merkt es in der Prüfung.
In AT 9 Tz. 12 lit. b der MaRisk. Danach gehört zu den Aufgaben des zentralen Auslagerungsmanagements die Erstellung und Pflege einer vollständigen Dokumentation der Auslagerungen einschließlich Weiterverlagerungen gemäß § 25b Abs. 1 Satz 4 KWG. Der Klammerzusatz im Normtext lautet Auslagerungsregister.
Nein. Das Auslagerungsregister folgt aus AT 9 Tz. 12 lit. b MaRisk in Verbindung mit § 25b Abs. 1 Satz 4 KWG. Das Informationsregister folgt aus Art. 28 Abs. 3 DORA und erfasst vertragliche Vereinbarungen über die Nutzung von IKT-Dienstleistungen. Seit der Erläuterung zu AT 9 Tz. 1 laufen beide Regime getrennt.
AT 9 Tz. 12 lit. b spricht von einer vollständigen Dokumentation der Auslagerungen und differenziert nicht nach Wesentlichkeit. Für Wertpapierinstitute ist § 40 Abs. 1 WpIG ausdrücklich: Im Register sind sämtliche wesentlichen und nicht wesentlichen Auslagerungen zu erfassen.
Ja, ausdrücklich. AT 9 Tz. 12 lit. b nennt sie im Klammerzusatz. Ergänzend verlangt AT 9 Tz. 8 eine Informationspflicht des Auslagerungsunternehmens bei Weiterverlagerungen – ohne diese Information lässt sich das Register nicht vollständig führen.
Ja. Nach AT 9 Tz. 14 lit. e kann gruppen- oder verbundintern ein zentrales Auslagerungsregister eingerichtet und geführt werden. Voraussetzung ist, dass das einzelne Institut und die zuständige Behörde das individuelle Auslagerungsregister bei Bedarf ohne größere Verzögerung erhalten.
Die BaFin verlangt eine jährliche Einreichung nach Art. 28 Abs. 3 UAbs. 4 DORA über die Melde- und Veröffentlichungsplattform. Für den Zyklus 2026 nannte sie ein Einreichungsfenster vom 9. bis 30. März 2026 mit dem Sachstand zum 31. Dezember 2025. Das jeweilige Fenster gibt die BaFin gesondert bekannt.
Primärquellen zuerst. Je Eintrag ist angegeben, wofür die Quelle in diesem Beitrag einsteht.
Die Anforderungen an das Auslagerungsregister greifen in Abgrenzung, Einstufung und Meldewesen hinein. Hier die angrenzenden Themen.
Hinweis zur Unabhängigkeit: Dieser Beitrag beschreibt Anforderungen und Registerstrukturen neutral. Aussagen zu Softwareprodukten einzelner Anbieter werden bewusst nicht getroffen.
Zwei Register, ein Bestand — und die Zuordnung fehlt? Erst der Quick-Check, dann die Feldstruktur.
Achim Schulz kennt die Führungsebene aus eigener Verantwortung – langjährig als Vorstand bei Banken und Geschäftsführer sowie als Interim-Manager in Industrieunternehmen. Diese Doppelperspektive aus Finanzsektor und Realwirtschaft prägt seine Beiträge für CEO, COO und CFO. Er kennt das Zusammenspiel von Geschäftsleitung, Aufsichtsrat und Gesellschaftern aus der Praxis und übersetzt strategische wie aufsichtsrechtliche Anforderungen in umsetzbare, haftungssichere Führungsentscheidungen – praxisnah und auf Augenhöhe mit dem Management.
LinkedIn-Profil → · Redaktion & Experten →Wir verwenden Cookies und ähnliche Technologien, um Ihre Erfahrung auf unserer Website zu verbessern. Weitere Informationen in unserer Datenschutzerklärung.