Abgrenzung und Zuordnung
Auslagerung oder sonstiger Fremdbezug nach AT 9 Tz. 1 – und die vorgelagerte Frage, ob überhaupt AT 9 gilt oder das IKT-Drittparteienrisikomanagement nach Art. 28 bis 30 DORA.
Abgrenzung Auslagerung und FremdbezugQualifikation und Nachweisführung
Wie werde ich zertifizierter Auslagerungsbeauftragter?
Rechtsstand: 10. September 2026 | Lesezeit: rund 12 Minuten | Erstveröffentlichung: 29. Juli 2020, vollständig überarbeitet
Die ehrliche Antwort beginnt mit einer Einschränkung: Einen geschützten Titel gibt es nicht, und keine Norm schreibt eine bestimmte Zertifizierung vor. Was das Aufsichtsrecht verlangt, ist etwas anderes – und in mancher Hinsicht anspruchsvoller als eine Prüfung.
Management Summary
Wer zertifizierter Auslagerungsbeauftragter werden will, sucht meist nach einem Nachweis, den er im Haus und gegenüber Prüfern vorlegen kann. Diese Erwartung ist berechtigt, trifft aber auf eine Normlage, die keinen Titel kennt.
AT 7.1 Tz. 2 der MaRisk verlangt, dass Mitarbeiter und deren Vertreter abhängig von ihren Aufgaben, Kompetenzen und Verantwortlichkeiten über die erforderlichen Kenntnisse und Erfahrungen verfügen. Das ist der Maßstab – kein Zertifikat, sondern ein Verhältnis zwischen Aufgabe und Können.
Zwei Stellen benennen Sachkunde ausdrücklich. AT 9 Tz. 10 verlangt bei vollständiger Auslagerung besonderer Funktionen einen unabhängigen und sachkundigen Beauftragten. Und § 25e Abs. 1 KWG verlangt seit dem 1. April 2026 fachliche Eignung und Zuverlässigkeit von Inhabern von Schlüsselfunktionen – sofern das Institut die Funktion so einordnet.
Praktisch heißt das: Ein Zertifikat ist ein Baustein, nicht das Ziel. Es belegt Teilnahme und Prüfungsleistung zu einem Stichtag. Die Eignung belegt die Geschäftsleitung – mit einem Anforderungsprofil, einer Beurteilung und einer Wiedervorlage.
Zertifizierter Auslagerungsbeauftragter: die Rechtslage
Fünf Fundstellen entscheiden darüber, was von einer Person in dieser Funktion verlangt wird. Keine davon nennt ein Zertifikat.
| Fundstelle | Anforderung | Einordnung |
|---|---|---|
| AT 7.1 Tz. 2 MaRisk | Kenntnisse und Erfahrungen abhängig von Aufgaben, Kompetenzen und Verantwortlichkeiten – für Mitarbeiter und deren Vertreter | Der allgemeine Maßstab; gilt für jede Funktion im Institut |
| AT 9 Tz. 12 MaRisk | Zentrales Auslagerungsmanagement, abhängig von Art, Umfang und Komplexität der Auslagerungsaktivitäten | Nennt keine zu bestellende Person und keine Qualifikationsanforderung |
| AT 9 Tz. 10 MaRisk | Unabhängiger und sachkundiger Beauftragter bei vollständiger Auslagerung besonderer Funktionen nach Tz. 5 | Hier steht Sachkunde ausdrücklich im Normtext |
| § 25e Abs. 1 KWG | Fachliche Eignung und Zuverlässigkeit von Inhabern von Schlüsselfunktionen | Greift nur, wenn das Institut die Funktion so einordnet |
| § 25c Abs. 4a Nr. 7 KWG | Verfahren und Konzepte zur Bewertung der Eignung vor Übernahme der Funktion sowie regelmäßig und bei Bedarf | Pflicht der Geschäftsleitung, nicht der Person |
Warum die Bestellung 2026 weggefallen ist
Bis zur Fassung vom 30. Juni 2026 war die Bestellung eines Auslagerungsbeauftragten in AT 9 Tz. 12 verankert. Der aktuelle Text verlangt ein zentrales Auslagerungsmanagement und benennt vier Aufgaben. Eine Person, die dafür zu bestellen wäre, nennt er nicht mehr.
Für die Qualifikationsfrage ändert das die Richtung, nicht das Ergebnis. Die Aufgaben bleiben und brauchen eine Verantwortung. Nur hängt die Anforderung jetzt an der Aufgabe statt am Titel – und damit an AT 7.1 Tz. 2.
Der Begriff Auslagerungsbeauftragter bleibt in der Praxis und in Stellenausschreibungen üblich. Er ist seit dem 30. Juni 2026 aber keine Vorgabe des Rundschreibens mehr, sondern eine institutsinterne Bezeichnung.
Was ein Zertifikat leistet und was nicht
Die Tabelle trennt, was ein Nachweis abdeckt, von dem, was daneben erforderlich bleibt. Sie ist kein Argument gegen Fortbildung – sondern gegen die Annahme, damit sei die Nachweisfrage erledigt.
| Gegenstand | Vom Zertifikat abgedeckt | Begründung | Was daneben gilt |
|---|---|---|---|
| Teilnahme an einer strukturierten Fortbildung | Ja | Beleg für Datum, Umfang und Inhalte | Gehört in die Eignungsakte |
| Prüfungsleistung zu einem Stichtag | Ja, sofern eine Prüfung Bestandteil war | Beleg über abgefragtes Wissen zum Prüfungszeitpunkt | Aktualität ist mitzudenken |
| Einschlägige Erfahrung | Nein | Erfahrung entsteht in der Funktion, nicht im Kurs | AT 7.1 Tz. 2 nennt Kenntnisse und Erfahrungen |
| Passung zum konkreten Aufgabenprofil | Nein | Der Zuschnitt der Funktion im Haus ist individuell | Anforderungsprofil je Funktion erforderlich |
| Beurteilung durch die Geschäftsleitung | Nein | Die Beurteilung ist eine eigene Handlung | § 25c Abs. 4a Nr. 7 KWG |
| Rechtlich geschützter Titel | Nein | Weder MaRisk noch KWG kennen einen solchen Titel | Anbieterbezeichnungen sind keine Rechtsbegriffe |
Der Unterschied zur Eignungsbeurteilung
Die Eignungsbeurteilung ist eine Handlung der Geschäftsleitung. Sie vergleicht ein Anforderungsprofil mit dem, was eine Person mitbringt, und kommt zu einem dokumentierten Ergebnis. Ein Zertifikat ist einer der Belege, die dabei herangezogen werden – neben Werdegang, einschlägiger Erfahrung und weiteren Fortbildungen.
Wer die Beurteilung mit dem Nachweis verwechselt, hat im Prüfungsfall eine Urkunde und keine Akte. Wie die Beurteilung aufgebaut wird, behandelt der Beitrag zur Eignung im Detail.
Das Anforderungsprofil 2026
Aus den Aufgaben ergeben sich die Kenntnisse. Diese sechs Felder deckt ein belastbares Profil ab – jeweils mit der Norm, aus der sich der Bedarf ableitet.
Risikoanalyse und Einstufung
AT 9 Tz. 2 verlangt eine Risikoanalyse, aus der sich die Wesentlichkeit ergibt. Seit dem 30. Juni 2026 ohne Aspektliste – die Auswahl der relevanten Aspekte ist zu begründen.
Zwingend einzustufende FälleVertragsgestaltung
AT 9 Tz. 7 führt die bei wesentlichen Auslagerungen nach § 25b Abs. 3 Satz 3 KWG zu vereinbarenden Punkte auf – von der Leistungsspezifikation bis zu Kündigungsrechten und Weiterverlagerung.
Steuerung mit Kennzahlen
AT 9 Tz. 9 verlangt bei wesentlichen Auslagerungen die laufende Überwachung anhand vorzuhaltender Kriterien; Key Performance Indicators und Key Risk Indicators sind ausdrücklich genannt.
KPI und KRI im VergleichRegister und Bericht
AT 9 Tz. 12 lit. b verlangt die vollständige Dokumentation einschließlich Weiterverlagerungen, Tz. 13 den Bericht an die Geschäftsleitung mit drei Pflichtaussagen.
Anforderungen an das RegisterInstitutsspezifische Sonderwege
Für Wertpapierinstitute gelten § 40 WpIG und die Anzeigepflicht nach § 64 Abs. 1 Nr. 13 WpIG; ab 1. Januar 2027 kommt für kleine und mittlere Institute die WpI MaRisk hinzu.
Anzeigepflicht bei WertpapierinstitutenEin Profil, das diese sechs Felder abdeckt, ist zugleich die Messlatte für jedes Fortbildungsangebot: Deckt es die Felder ab, die im eigenen Haus tatsächlich anfallen?
Der Weg in die Funktion
Fünf Schritte, in dieser Reihenfolge. Der Fortbildungsschritt steht bewusst nicht am Anfang.
Schritt 1: Aufgabenzuschnitt klären
Welche der vier Aufgaben aus AT 9 Tz. 12 liegen bei der Funktion, und welche bei den Fachbereichen? Ohne diese Klärung lässt sich kein Anforderungsprofil schreiben.
Pflichten der Funktion im DetailSchritt 2: Einordnung entscheiden
Ist die Leitung des zentralen Auslagerungsmanagements eine Schlüsselfunktion nach § 1 Abs. 2b KWG? Die Antwort entscheidet darüber, ob § 25e KWG greift. Beide Ergebnisse sind vertretbar, keines darf ungeprüft bleiben.
Eignungsbeurteilung durch die GeschäftsleitungSchritt 3: Anforderungsprofil schreiben
Aufgaben, Kompetenzen und Verantwortlichkeiten auf der einen Seite, daraus abgeleitete Kenntnisse auf der anderen. Das ist die Struktur, die AT 7.1 Tz. 2 vorgibt.
Schritt 4: Lücken schließen
Erst jetzt stellt sich die Frage nach Fortbildung. Sie richtet sich nach den Feldern, die das Profil offenlässt – nicht nach dem Angebot am Markt.
Schritt 5: Beurteilen und ablegen
Die Geschäftsleitung beurteilt die Eignung, dokumentiert das Ergebnis mit Datum und Begründung und legt eine Wiedervorlage. § 25c Abs. 4a Nr. 7 KWG verlangt die Bewertung vor Übernahme der Funktion sowie regelmäßig und bei Bedarf.
Und die Vertretung?
AT 7.1 Tz. 2 nennt Mitarbeiter und deren Vertreter in einem Atemzug. Wer die Funktion aufbaut und die Vertretung vergisst, hat die Anforderung zur Hälfte erfüllt.
Sechs typische Schwachstellen
Diese Punkte entstehen, wenn die Nachweisfrage als Fortbildungsfrage behandelt wird.
Zertifikat statt Eignungsakte
Die Urkunde liegt vor, eine Beurteilung durch die Geschäftsleitung nicht. § 25c Abs. 4a Nr. 7 KWG verlangt das Verfahren, nicht den Nachweis.
Eignung nachweisenKein Anforderungsprofil
Ohne beschriebene Aufgaben, Kompetenzen und Verantwortlichkeiten lässt sich nicht sagen, welche Kenntnisse erforderlich sind. AT 7.1 Tz. 2 stellt genau diesen Bezug her.
Fortbildung ohne Bezug zur Lücke
Teilnahmenachweise häufen sich, decken aber nicht die Felder ab, die im Haus tatsächlich anfallen. Sichtbar wird das erst, wenn das Profil existiert.
Titel für Rechtsbegriff gehalten
Anbieterbezeichnungen mit dem Zusatz zertifiziert sind keine aufsichtsrechtlichen Kategorien. Weder MaRisk noch KWG kennen einen geschützten Titel für diese Funktion.
Sachkunde falsch verortet
Ausdrücklich verlangt wird Sachkunde in AT 9 Tz. 10 – beim Beauftragten für eine vollständig ausgelagerte besondere Funktion. Das ist eine andere Rolle als das zentrale Auslagerungsmanagement.
Auslagerung der besonderen FunktionDORA-Kompetenz fehlt im Profil
Seit der Erläuterung zu AT 9 Tz. 1 fallen IKT-Dienstleistungen nach Art. 3 Nr. 21 DORA aus AT 9 heraus. Wer beide Regime steuert, braucht Kenntnisse in beiden.
DORA und IKT-DrittanbieterQuick-Check zur Selbsteinschätzung
Sechs Fragen entlang des Nachweiswegs. Wähle je Zeile den zutreffenden Zustand; die Empfehlung erscheint darunter. Die Auswahl wird nicht gespeichert und nicht übertragen.
Liegt ein schriftliches Anforderungsprofil für die Funktion vor?
AT 7.1 Tz. 2 MaRisk
ErfülltAufgaben, Kompetenzen, Verantwortlichkeiten und die daraus abgeleiteten Kenntnisse stehen schriftlich fest.
TeilweiseEine Stellenbeschreibung existiert, die Ableitung der Kenntnisse fehlt. Ergänze sie – das ist der Teil, den die Norm verlangt.
OffenOhne Profil lässt sich weder Fortbildung planen noch Eignung beurteilen. Das ist der erste Schritt.
Ist entschieden, ob die Funktion eine Schlüsselfunktion ist?
§ 1 Abs. 2b, § 25e Abs. 1 KWG
ErfülltDie Einordnung liegt begründet und datiert vor.
TeilweiseDie Frage wurde besprochen, aber nicht dokumentiert. Halte das Ergebnis mit Begründung fest.
OffenOhne Einordnung ist offen, ob § 25e KWG greift. Setze die Entscheidung auf die nächste Sitzung der Geschäftsleitung.
Gibt es eine Eignungsakte mit Beurteilung durch die Geschäftsleitung?
§ 25c Abs. 4a Nr. 7 KWG
ErfülltWerdegang, Erfahrung, Fortbildungen und eine datierte Beurteilung sind abgelegt.
TeilweiseNachweise sind gesammelt, die Beurteilung fehlt. Sie ist eine eigene Handlung, kein Nebenprodukt.
OffenEine Sammlung von Urkunden ist keine Eignungsakte. Beginne mit dem Abgleich gegen das Anforderungsprofil.
Deckt die Fortbildung die Felder ab, die im Haus tatsächlich anfallen?
AT 7.1 Tz. 2 MaRisk
ErfülltDie Inhalte sind gegen das Profil abgeglichen. Wiederhole den Abgleich bei Änderungen des Auslagerungsprofils.
TeilweiseFortbildung findet statt, ein Abgleich mit dem Profil nicht. Hole ihn nach – er zeigt meist eine konkrete Lücke.
OffenOhne Abgleich bleibt offen, ob die Fortbildung die richtige war. Das ist eine Frage von einer Stunde.
Ist die Vertretung qualifiziert und beurteilt?
AT 7.1 Tz. 2 MaRisk
ErfülltVertretung ist benannt, qualifiziert und im selben Zyklus beurteilt.
TeilweiseEine Vertretung ist benannt, aber nicht beurteilt. Schließe die Lücke, bevor sie im Vertretungsfall auffällt.
OffenOhne qualifizierte Vertretung ist die Funktion bei Ausfall nicht handlungsfähig – zugleich ein operationelles Risiko.
Ist DORA im Kompetenzprofil abgebildet?
Erläuterung zu AT 9 Tz. 1 MaRisk, Art. 3 Nr. 21 DORA
ErfülltBeide Regime sind im Profil abgebildet und in der Fortbildung abgedeckt.
TeilweiseMaRisk ist abgedeckt, DORA nur am Rand. Ergänze das Feld – die Trennlinie gilt seit dem 30. Juni 2026.
OffenOhne DORA-Kompetenz lässt sich die Zuordnungsentscheidung je Vertrag nicht treffen. Das ist heute Kernaufgabe.
No-Regret-Maßnahmen
Sechs Schritte, die unabhängig von Institutsgröße und Fortbildungsbudget tragen.
- Anforderungsprofil je Funktion schreiben: Aufgaben, Kompetenzen, Verantwortlichkeiten und die daraus abgeleiteten Kenntnisse.
- Einordnungsentscheidung zur Schlüsselfunktion mit Datum und Begründung ablegen – auch ein begründetes Nein ist ein Ergebnis.
- Eignungsakte anlegen und vorhandene Nachweise dort bündeln, statt sie in Personalakten und Postfächern zu verteilen.
- Fortbildungsinhalte gegen das Profil abgleichen und die verbleibende Lücke benennen, bevor eine Maßnahme gebucht wird.
- Vertretung mitqualifizieren und in denselben Beurteilungszyklus aufnehmen.
- Wiedervorlage setzen: vor Übernahme der Funktion, danach regelmäßig und bei Bedarf nach § 25c Abs. 4a Nr. 7 KWG.
Was bewusst offen bleibt
Welche Nachweise die Aufsicht bei Inhabern von Schlüsselfunktionen erwartet und wie sie die Eignung prüft, lässt sich aus den hier ausgewerteten Quellen nicht ableiten. Eine gefestigte Verwaltungspraxis zu § 25e KWG liegt zum Rechtsstand dieses Beitrags nicht vor. Wer die Eignungsakte jetzt aufbaut, sollte sie erweiterbar anlegen und bei neuer Aufsichtspraxis nachziehen.
Fazit
Wie werde ich zertifizierter Auslagerungsbeauftragter? Die Frage lässt sich beantworten, aber nicht so, wie sie gestellt ist.
- Einen geschützten Titel und eine vorgeschriebene Zertifizierung gibt es nach MaRisk und KWG nicht.
- Maßgeblich ist AT 7.1 Tz. 2: Kenntnisse und Erfahrungen im Verhältnis zu Aufgaben, Kompetenzen und Verantwortlichkeiten.
- Sachkunde steht ausdrücklich in AT 9 Tz. 10 – für den Beauftragten einer vollständig ausgelagerten besonderen Funktion.
- Ordnet das Institut die Funktion als Schlüsselfunktion ein, gilt § 25e Abs. 1 KWG.
- Ein Zertifikat ist ein Baustein der Eignungsakte, nicht ihr Ersatz.
Wer diese fünf Punkte kennt, kauft Fortbildung gezielt ein – und kann im Prüfungsfall erklären, warum sie die richtige war.
Häufige Fragen
Gibt es eine gesetzlich vorgeschriebene Zertifizierung zum Auslagerungsbeauftragten?+–
Nein. Weder AT 9 noch AT 7.1 der MaRisk in der Fassung vom 30. Juni 2026 noch das KWG verlangen ein bestimmtes Zertifikat oder einen geschützten Titel. Maßgeblich ist nach AT 7.1 Tz. 2, dass Mitarbeiter und ihre Vertreter abhängig von Aufgaben, Kompetenzen und Verantwortlichkeiten über die erforderlichen Kenntnisse und Erfahrungen verfügen.
Muss überhaupt jemand als Auslagerungsbeauftragter bestellt werden?+–
AT 9 Tz. 12 verlangt ein zentrales Auslagerungsmanagement, abhängig von Art, Umfang und Komplexität der Auslagerungsaktivitäten. Eine namentlich zu bestellende Person nennt der Text seit dem 30. Juni 2026 an dieser Stelle nicht mehr. Die vier Aufgaben aus Tz. 12 und die Berichtspflicht aus Tz. 13 bleiben und brauchen eine benannte Verantwortung.
Was leistet ein Zertifikat dann?+–
Es dokumentiert Teilnahme und gegebenenfalls eine Prüfungsleistung zu einem bestimmten Stichtag. Damit ist es ein Baustein der Eignungsakte und ein Beleg für strukturierte Fortbildung. Es ersetzt weder die Beurteilung durch die Geschäftsleitung noch den Nachweis einschlägiger Erfahrung.
Wo steht Sachkunde ausdrücklich im Normtext?+–
In AT 9 Tz. 10. Werden besondere Funktionen nach Maßgabe von Tz. 5 vollständig ausgelagert, muss die Geschäftsleitung jeweils einen unabhängigen und sachkundigen Beauftragten benennen. Für das zentrale Auslagerungsmanagement nach Tz. 12 verwendet der Text den Begriff nicht.
Welche Themen muss ein Anforderungsprofil 2026 abdecken?+–
Mindestens die Abgrenzung von Auslagerung und sonstigem Fremdbezug nach AT 9 Tz. 1, die Risikoanalyse nach Tz. 2, die Vertragsinhalte nach Tz. 7, die Leistungsüberwachung mit Kennzahlen nach Tz. 9, Register und Bericht nach Tz. 12 und 13 sowie die Trennlinie zu DORA nach Art. 3 Nr. 21. Für Wertpapierinstitute kommen § 40 und § 64 WpIG hinzu.
Was passiert, wenn die Funktion als Schlüsselfunktion eingeordnet wird?+–
Dann gelten die Anforderungen des § 25e Abs. 1 KWG: fachliche Eignung und Zuverlässigkeit. Das Institut muss die ordnungsgemäße Ausübung sicherstellen und den Inhaber ersetzen, wenn die Voraussetzungen nicht erfüllt sind. Die Geschäftsleitung hält dafür Verfahren nach § 25c Abs. 4a Nr. 7 KWG vor.
Quellen
Primärquellen zuerst. Je Eintrag ist angegeben, wofür die Quelle in diesem Beitrag einsteht.
- BaFin, Rundschreiben 06/2026 (BA) – Mindestanforderungen an das Risikomanagement (MaRisk)Maßgebliche Fassung von AT 7.1 und AT 9 einschließlich der Erläuterungen.
- BaFin, Meldung vom 30.06.2026: MaRisk-Novelle – Mehr ProportionalitätBeleg für Veröffentlichungsdatum und Zielrichtung der Novelle.
- Deutsche Bundesbank, Themenseite MaRiskFundstelle für Rundschreiben und Änderungsübersichten.
- Deutsche Bundesbank, Monatsbericht April 2026: Das Bankenrichtlinienumsetzungs- und BürokratieentlastungsgesetzBeleg für das Inkrafttreten der KWG-Änderungen zum 1. April 2026.
- § 25e KWG – Anforderungen bei Inhabern von SchlüsselfunktionenFachliche Eignung und Zuverlässigkeit unterhalb der Organebene.
- § 25c KWG – GeschäftsleiterGrundlage für die Eignungsverfahren nach Absatz 4a Nummer 7.
- Kreditwesengesetz, GesamtfassungFundstelle für die Begriffsbestimmungen in § 1 sowie für § 25b.
- Verordnung (EU) 2022/2554 (DORA)Grundlage für Art. 3 Nr. 21 und das IKT-Drittparteienrisikomanagement nach Art. 28 bis 30.
Verwandte Beiträge und Programme
Wer zertifizierter Auslagerungsbeauftragter werden möchte, findet hier die inhaltlichen Felder und die Nachweisseite.
- Governance im Auslagerungsmanagement – HubEinstieg in den gesamten Ordnungsrahmen.
- Fit & Proper als AuslagerungsbeauftragterDie Eignungsbeurteilung aus Sicht der Geschäftsleitung.
- Welche Pflichten hat ein AuslagerungsbeauftragterDer Aufgabenkatalog, aus dem sich das Profil ableitet.
- Auslagerung der besonderen FunktionWo Sachkunde ausdrücklich im Normtext steht.
- Zwingend als kritisch/wesentlich einzustufenEinstufung als zentrales Kompetenzfeld.
- Abgrenzung von Auslagerungen und Fremdbezug nach MaRiskDie Grundlage jeder Zuordnungsentscheidung.
- Anforderungen an das AuslagerungsregisterDokumentationspflicht nach AT 9 Tz. 12 lit. b.
- DORA: IKT-Drittanbieter und systemische RisikenDas zweite Regime im Kompetenzprofil.
- Welche Aufgaben hat die Interne RevisionDie Funktion, die das Ergebnis prüft.
- Die 9. MaRisk-Novelle im ÜberblickWas sich über AT 9 hinaus geändert hat.
- S+P Zertifikats-Lehrgang AuslagerungsbeauftragterQualifizierungsangebot von S+P Seminare zu MaRisk AT 9 und DORA.
Hinweis zur Unabhängigkeit: Dieser Beitrag beschreibt Anforderungen und Nachweisformen neutral. Eine Bewertung einzelner Zertifizierungsangebote am Markt wird bewusst nicht vorgenommen.
Erst die Lücke bestimmen, dann die Maßnahme: Quick-Check zum Nachweisweg.
