Governance und Organhaftung
Rechtsstand: 10. September 2026 | Lesezeit: rund 12 Minuten | Basis: MaRisk in der Fassung vom 30.06.2026 und KWG in der ab 01.04.2026 geltenden Fassung
Zwei Rechtsänderungen des Jahres 2026 laufen in entgegengesetzte Richtungen: Das Aufsichtsrecht verschärft die Eignungsanforderungen unterhalb der Geschäftsleitung, während die MaRisk die formale Bestellungsanforderung für das Auslagerungsmanagement zurücknimmt. Für die Geschäftsleitung entsteht daraus keine Entlastung, sondern eine Beurteilungspflicht.
Fit & Proper als Auslagerungsbeauftragter ist 2026 keine Frage der Bestellungsurkunde mehr, sondern eine Frage der Eignungsbeurteilung durch die Geschäftsleitung. Mit dem Bankenrichtlinienumsetzungs- und Bürokratieentlastungsgesetz, das grundsätzlich zum 1. April 2026 in Kraft getreten ist, wurden die Eignungsanforderungen des KWG auf Inhaber von Schlüsselfunktionen erstreckt. § 25e Abs. 1 KWG verlangt von ihnen fachliche Eignung und Zuverlässigkeit.
Gegenläufig dazu die MaRisk: In der am 30. Juni 2026 veröffentlichten Fassung verlangt AT 9 Tz. 12 ein zentrales Auslagerungsmanagement mit vier benannten Aufgaben. Eine Person, die dafür zu bestellen wäre, nennt der Text dort nicht. Die Aufgabe bleibt, die Formalie fällt weg.
Damit verlagert sich die Frage. Sie lautet nicht mehr, ob eine Bestellung vorliegt, sondern ob die Geschäftsleitung begründen kann, wie sie die Funktion eingeordnet und ihre Eignung beurteilt hat. § 25c Abs. 4a Nr. 7 KWG verlangt dafür angemessene Verfahren und Konzepte sowie eine Bewertung vor Übernahme der Funktion, regelmäßig und bei Bedarf.
Hinzu kommt eine inhaltliche Verschiebung des Anforderungsprofils. Nach der Erläuterung zu AT 9 Tz. 1 fallen IKT-Dienstleistungen im Sinne von Art. 3 Nr. 21 DORA nicht mehr in den Anwendungsbereich des AT 9. Wer die Steuerung von Drittparteien verantwortet, arbeitet ab sofort in zwei getrennten Regelwerken – und muss beide beherrschen.
AT 9 Tz. 12 bindet die Einrichtung eines zentralen Auslagerungsmanagements an Art, Umfang und Komplexität der Auslagerungsaktivitäten. Die Aufgaben sind benannt: Implementierung und Weiterentwicklung des Auslagerungsmanagements samt Kontroll- und Überwachungsprozessen, Erstellung und Pflege der vollständigen Dokumentation einschließlich Weiterverlagerungen nach § 25b Abs. 1 Satz 4 KWG, Unterstützung der Fachbereiche sowie Koordination und Überprüfung der Risikoanalyse nach Tz. 2.
AT 9 Tz. 13 verlangt einen Bericht über die wesentlichen Auslagerungen an die Geschäftsleitung, in regelmäßigen Abständen sowie anlassbezogen. Der Bericht muss eine Aussage dazu treffen, ob die Leistungen den vertraglichen Vereinbarungen entsprechen, ob die ausgelagerten Aktivitäten angemessen gesteuert und überwacht werden können und ob weitere risikomindernde Maßnahmen angezeigt sind. Bei sehr kleinen Instituten genügt eine Berichterstattung im Rahmen einer Vorstandssitzung.
Ein Punkt wird in der Praxis oft übersehen: AT 9 Tz. 10 verlangt weiterhin ausdrücklich einen unabhängigen und sachkundigen Beauftragten – aber nur dann, wenn besondere Funktionen nach Maßgabe von Tz. 5 vollständig ausgelagert werden. Das ist eine andere Konstellation als das zentrale Auslagerungsmanagement und darf damit nicht vermengt werden.
Das KWG kennt seither eine eigene Kategorie unterhalb der Organebene. § 25e Abs. 1 KWG stellt klar, dass Inhaber von Schlüsselfunktionen fachlich geeignet und zuverlässig sein müssen. § 25e Abs. 2 KWG verpflichtet die Institute, die ordnungsgemäße Ausübung sicherzustellen und den Inhaber zu ersetzen, wenn die Voraussetzungen nicht erfüllt sind. Bei Inhabern besonderer Schlüsselfunktionen kann die BaFin nach § 25e Abs. 3 KWG verlangen, dass die Funktion nicht übertragen oder wieder entzogen wird.
Die Legaldefinition steht in § 1 Abs. 2b KWG und stellt auf einen wesentlichen Einfluss auf die Leitung ab, ohne dass die Person Geschäftsleiter oder Mitglied des Verwaltungs- oder Aufsichtsorgans ist. § 1 Abs. 2d KWG grenzt davon die Inhaber besonderer Schlüsselfunktionen ab und zählt dazu die Leiter der internen Kontrollfunktionen sowie den Leiter Finanzen, soweit sie nicht Geschäftsleiter sind. Das zentrale Auslagerungsmanagement ist dort nicht genannt.
Aus dieser Konstellation folgt die Governance-Frage, die kein Gesetzestext für dich beantwortet: Ordnest du die Leitung des zentralen Auslagerungsmanagements als Schlüsselfunktion ein oder nicht? Die Antwort hängt vom Auslagerungsprofil des Hauses ab – vom Anteil wesentlicher Auslagerungen, von der Nähe der Funktion zu Leitungsentscheidungen und vom Einfluss auf das Risikoprofil.
Beide Antworten sind vertretbar. Nicht vertretbar ist, die Frage nicht gestellt zu haben. AT 5 Tz. 3 lit. a MaRisk verlangt Regelungen zur Aufgabenzuweisung einschließlich der Übersicht über Aufgaben und individuelle Verantwortlichkeiten nach § 25c Abs. 4a Nr. 8 KWG. Die Erläuterung dazu bezieht die Inhaber von Schlüsselfunktionen ausdrücklich ein und verlangt personenspezifische individuelle Erklärungen. Wer in dieser Übersicht fehlt, ist im Zweifel auch nicht beurteilt worden.
Die folgende Übersicht trennt datierte Ereignisse von wiederkehrenden Pflichten. Ein fester Prüfturnus für die Eignungsbeurteilung ergibt sich aus dem Gesetzestext nicht; er ist eine Festlegung des Instituts.
| Zeitpunkt | Was zu tun ist | Norm |
|---|---|---|
| 1. April 2026 | Die KWG-Änderungen zur Umsetzung der CRD VI treten grundsätzlich in Kraft; Eignungsanforderungen gelten für Inhaber von Schlüsselfunktionen | § 25e KWG |
| 30. Juni 2026 | Veröffentlichung der überarbeiteten MaRisk mit neu gefasstem AT 9 | Rundschreiben 06/2026 (BA) |
| vor Übernahme der Funktion | Bewertung der Eignung, bevor die Funktion übertragen wird | § 25c Abs. 4a Nr. 7 KWG |
| regelmäßig und bei Bedarf | Wiederholte Bewertung; Turnus vom Institut risikoorientiert festzulegen und zu begründen | § 25c Abs. 4a Nr. 7 KWG |
| regelmäßig und anlassbezogen | Bericht des zentralen Auslagerungsmanagements über wesentliche Auslagerungen an die Geschäftsleitung | AT 9 Tz. 13 MaRisk |
| laufend | Kenntnisse und Erfahrungen der Mitarbeiter und ihrer Vertreter passend zu Aufgaben, Kompetenzen und Verantwortlichkeiten | AT 7.1 Tz. 2 MaRisk |
Die Zuständigkeiten laufen an mehreren Stellen zusammen. Wer welche Pflicht trägt, entscheidet darüber, wo eine Feststellung später landet.
Trägt die Gesamtverantwortung nach AT 3.1 Tz. 1 MaRisk. Entscheidet über die Einrichtung des zentralen Auslagerungsmanagements (AT 9 Tz. 12) und über die Einordnung als Schlüsselfunktion. Hält die Verfahren zur Eignungsbeurteilung nach § 25c Abs. 4a Nr. 7 KWG vor. Die Auslagerung führt nach AT 9 Tz. 4 nicht zu einer Delegation ihrer Verantwortung.
Nimmt seine Überwachungsfunktion auf Basis des Risikomanagements wahr (AT 3.2 Tz. 1). Wird mindestens vierteljährlich in Textform über Geschäftslage und Risikosituation informiert (AT 3.2 Tz. 2). Die Übersicht nach § 25c Abs. 4a Nr. 8 KWG erstreckt sich auch auf seine eigenen Aufgaben und Verantwortlichkeiten.
Verantwortet die vier Aufgaben aus AT 9 Tz. 12: Implementierung und Weiterentwicklung, Auslagerungsregister, Unterstützung der Fachbereiche sowie Koordination und Überprüfung der Risikoanalyse. Erstellt den Bericht nach AT 9 Tz. 13.
Aufgaben und Pflichten im DetailWird nur relevant, wenn besondere Funktionen nach AT 9 Tz. 5 vollständig ausgelagert werden. Dann benennt die Geschäftsleitung jeweils einen unabhängigen und sachkundigen Beauftragten. Für den Revisionsbeauftragten gelten zusätzliche Aufgaben und die unmittelbare Unterstellung unter die Geschäftsleitung.
Auslagerung der besonderen FunktionPrüft alle Aktivitäten und Prozesse einschließlich der ausgelagerten Tätigkeiten (AT 4.4.3 Tz. 5). Kann nach AT 9 Tz. 4 unter Voraussetzungen auf eigene Prüfungshandlungen verzichten, muss sich davon aber regelmäßig überzeugen.
Auslagerung der Internen RevisionArt. 5 Abs. 3 DORA verlangt eine Funktion zur Überwachung der Vereinbarungen mit IKT-Drittdienstleistern oder die Benennung eines Mitglieds der Geschäftsleitung. Art. 5 Abs. 4 DORA verpflichtet die Mitglieder des Leitungsorgans, ihre Kenntnisse durch regelmäßige spezielle Schulungen aktuell zu halten.
IKT-Drittanbieter und systemische RisikenDie folgenden Punkte tauchen in Prüfungen und Jahresabschlussprüfungen regelmäßig auf. Jeder ist mit der Norm hinterlegt, an der er sich messen lassen muss.
Eine Bestellungsurkunde liegt vor, eine dokumentierte Beurteilung von Kenntnissen und Erfahrungen nicht. Nach der Streichung der Bestellungsanforderung im AT 9 trägt die Urkunde allein gar nichts mehr.
Die Frage, ob die Funktion unter § 1 Abs. 2b KWG fällt, wurde nie gestellt oder nur mündlich beantwortet. Damit fehlt die Grundlage für das Verfahren nach § 25c Abs. 4a Nr. 7 KWG.
Teilnahmenachweise sind vorhanden, aber nicht auf das konkrete Aufgaben- und Kompetenzprofil bezogen. AT 7.1 Tz. 2 MaRisk stellt genau diesen Bezug her.
Jedes Dienstleistungsverhältnis muss daraufhin bewertet sein, ob eine IKT-Dienstleistung nach Art. 3 Nr. 21 DORA vorliegt. Fehlt diese Zuordnung, wird entweder doppelt oder gar nicht gesteuert.
Abgrenzung Auslagerung und FremdbezugAT 7.1 Tz. 2 MaRisk nennt Mitarbeiter und ihre Vertreter in einem Atemzug. In der Praxis ist die Vertretung häufig benannt, aber nicht qualifiziert – ein Key-Person-Risiko mit Normbezug.
AT 9 Tz. 13 verlangt drei konkrete Aussagen. Ein Bericht, der nur Verträge zählt, erfüllt das nicht. Ohne Kennzahlen fehlt die Grundlage für die Aussage zur Steuerbarkeit.
Unterschiede zwischen KPIs und KRIsSechs Fragen, die eine Geschäftsleitung ohne Vorbereitung beantworten können sollte. Wähle je Zeile den zutreffenden Zustand; die Empfehlung erscheint darunter. Die Auswahl wird nicht gespeichert und nicht übertragen.
Ist entschieden und dokumentiert, ob die Leitung des zentralen Auslagerungsmanagements eine Schlüsselfunktion ist?
§ 1 Abs. 2b KWG, § 25e Abs. 1 KWG
ErfülltDie Einordnung liegt schriftlich vor und ist begründet. Halte sie bei Änderungen des Auslagerungsprofils aktuell.
TeilweiseDie Einordnung existiert, ist aber nicht begründet oder nicht datiert. Ergänze die Begründung und ordne sie der Übersicht nach § 25c Abs. 4a Nr. 8 KWG zu.
OffenOhne Einordnung fehlt die Grundlage für das Eignungsverfahren. Setze die Entscheidung auf die nächste Sitzung der Geschäftsleitung.
Gibt es ein Verfahren zur Eignungsbeurteilung vor Übernahme der Funktion?
§ 25c Abs. 4a Nr. 7 KWG
ErfülltDas Verfahren ist beschrieben und wurde mindestens einmal angewendet. Prüfe, ob die Nachweise vollständig abgelegt sind.
TeilweiseEin Verfahren besteht informell. Überführe es in die Organisationsrichtlinien nach AT 5 Tz. 3 MaRisk.
OffenOhne Verfahren ist die Anforderung nicht erfüllt. Beginne mit einem Anforderungsprofil je Funktion, nicht mit einem Formular.
Ist der Turnus für die wiederkehrende Eignungsbewertung festgelegt und begründet?
§ 25c Abs. 4a Nr. 7 KWG
ErfülltTurnus und Anlassfälle sind definiert. Verknüpfe sie mit dem Berichtszyklus nach AT 9 Tz. 13.
TeilweiseEin Turnus ist gesetzt, aber nicht begründet. Dokumentiere die Risikoüberlegung, die zur gewählten Frequenz geführt hat.
OffenOhne Turnus bleibt die Bewertung anlasslos. Lege eine Frequenz fest und definiere die Ereignisse, die eine Zwischenbewertung auslösen.
Ist für jedes Dienstleistungsverhältnis entschieden, ob AT 9 MaRisk oder das IKT-Drittparteienrisikomanagement nach DORA greift?
Erläuterung zu AT 9 Tz. 1 MaRisk, Art. 3 Nr. 21 DORA
ErfülltDie Zuordnung ist je Vertrag dokumentiert. Prüfe sie bei jeder Vertragsänderung erneut.
TeilweiseDie Zuordnung besteht für Neuverträge, nicht für den Bestand. Plane einen Bestandsdurchlauf mit klarer Priorität nach Wesentlichkeit.
OffenOhne Zuordnung laufen beide Regime parallel oder keines greift sauber. Das ist der häufigste Befund seit der Neufassung des AT 9.
Sind Kenntnisse und Erfahrungen auch der Vertretung dokumentiert?
AT 7.1 Tz. 2 MaRisk
ErfülltVertretung ist benannt und qualifiziert. Nimm sie in denselben Beurteilungszyklus auf wie die Hauptfunktion.
TeilweiseEine Vertretung ist benannt, aber nicht beurteilt. Schließe die Lücke, bevor sie im Vertretungsfall auffällt.
OffenOhne qualifizierte Vertretung ist die Funktion bei Ausfall nicht handlungsfähig. Das ist zugleich ein operationelles Risiko.
Erfüllt der Bericht an die Geschäftsleitung die drei geforderten Aussagen?
AT 9 Tz. 13 MaRisk
ErfülltDer Bericht trifft Aussagen zu Vertragskonformität, Steuerbarkeit und weiteren Maßnahmen. Prüfe die Datenbasis der Aussagen.
TeilweiseDer Bericht enthält Kennzahlen, aber keine Bewertung. Ergänze die Schlussfolgerung – genau sie verlangt die Norm.
OffenEin reiner Vertragsüberblick genügt nicht. Baue den Bericht entlang der drei Aussagen neu auf.
Die folgenden Schritte sind unabhängig davon sinnvoll, wie du die Einordnungsfrage beantwortest. Sie kosten wenig und schließen die Lücken, die im Prüfungsfall zuerst auffallen.
Ob die BaFin die Leitung des zentralen Auslagerungsmanagements regelmäßig als Schlüsselfunktion ansehen wird, lässt sich derzeit nicht belegen. § 1 Abs. 2d KWG nennt sie nicht unter den besonderen Schlüsselfunktionen. Eine gefestigte Verwaltungspraxis zur Kategorie 1 liegt für diese Funktion noch nicht vor. Wer die Einordnung heute trifft, sollte sie deshalb revisionsfähig begründen und bei neuer Aufsichtspraxis nachziehen.
Fit & Proper als Auslagerungsbeauftragter beschreibt 2026 keinen Status, den eine Bestellung verleiht, sondern ein Beurteilungsergebnis, das die Geschäftsleitung verantwortet und belegen können muss.
Wer diese fünf Punkte sauber dokumentiert hat, kann die Frage nach dem Auslagerungsbeauftragten in jeder Prüfung ruhig beantworten – unabhängig davon, wie das Haus sich entschieden hat.
AT 9 Tz. 12 der MaRisk in der Fassung vom 30.06.2026 verlangt ein zentrales Auslagerungsmanagement, abhängig von Art, Umfang und Komplexität der Auslagerungsaktivitäten. Eine namentlich zu bestellende Person nennt der Text an dieser Stelle nicht. Die vier Aufgaben aus Tz. 12 und die Berichtspflicht aus Tz. 13 bestehen unverändert und müssen einer Verantwortung zugeordnet sein.
Nicht automatisch. § 25e Abs. 1 KWG verlangt fachliche Eignung und Zuverlässigkeit von Inhabern von Schlüsselfunktionen. Ob die Leitung des zentralen Auslagerungsmanagements dazu zählt, ergibt sich aus der Einordnung nach § 1 Abs. 2b KWG. Diese Einordnung trifft das Institut selbst und muss sie begründen können.
§ 25c Abs. 4a Nr. 7 KWG verlangt angemessene Verfahren und Konzepte, die sicherstellen, dass Inhaber von Schlüsselfunktionen die Anforderungen des § 25e Abs. 1 KWG jederzeit erfüllen. Die Eignung ist vor Übernahme der Funktion sowie regelmäßig und bei Bedarf zu bewerten. Nachweisbar ist damit das Verfahren, nicht nur das Ergebnis.
Nach der Erläuterung zu AT 9 Tz. 1 fallen ausgelagerte oder fremdbezogene IKT-Dienstleistungen im Sinne von Art. 3 Nr. 21 DORA, die dem IKT-Drittparteienrisikomanagement nach Art. 28 bis 30 DORA unterliegen, nicht in den Anwendungsbereich des AT 9. Wer beide Regime steuert, braucht Kenntnisse in beiden – und eine dokumentierte Zuordnung je Dienstleistungsverhältnis.
Das KWG nennt den Zeitpunkt vor Übernahme der Funktion sowie eine regelmäßige und bedarfsabhängige Bewertung. Einen festen Turnus gibt der Gesetzestext nicht vor. Das Institut legt ihn risikoorientiert fest und dokumentiert die Begründung. AT 7.1 Tz. 2 MaRisk verlangt ergänzend, dass auch Vertreter über die erforderlichen Kenntnisse und Erfahrungen verfügen.
Ein Zertifikat dokumentiert Teilnahme und gegebenenfalls eine Prüfungsleistung. Die aufsichtliche Anforderung richtet sich nach AT 7.1 Tz. 2 MaRisk auf Kenntnisse und Erfahrungen im Verhältnis zu Aufgaben, Kompetenzen und Verantwortlichkeiten. Ein Nachweis ist damit ein Baustein der Eignungsakte und ersetzt weder die Beurteilung durch die Geschäftsleitung noch deren Dokumentation.
Primärquellen zuerst. Je Eintrag ist angegeben, wofür die Quelle in diesem Beitrag einsteht.
Wer Fit & Proper als Auslagerungsbeauftragter belastbar aufsetzen will, findet in den folgenden Beiträgen die Einzelaspekte. Der Hub bündelt den gesamten Ordnungsrahmen.
Hinweis zur Unabhängigkeit: Dieser Beitrag beschreibt Anforderungen und Systemlandschaften neutral. Aussagen zu Produkten einzelner Anbieter werden bewusst nicht getroffen.
Du willst die Eignung im eigenen Haus aufbauen statt sie einzukaufen? Erst den Quick-Check machen, dann qualifizieren.
Wir verwenden Cookies und ähnliche Technologien, um Ihre Erfahrung auf unserer Website zu verbessern. Weitere Informationen in unserer Datenschutzerklärung.