Fast kein Unternehmen betreibt seine gesamte IT noch selbst. Cloud-Plattformen, Managed Services und externe Softwareanbieter erledigen längst einen erheblichen Teil der täglichen Arbeit. Vom Hosting über die Datenverarbeitung bis zur Kundenkommunikation läuft vieles über Dritte. Das bringt Flexibilität mit, gleichzeitig aber auch Risiken. Denn wer auslagert, gibt Kontrolle ab – haftet am Ende aber trotzdem. Genau an diesem Punkt setzt das Auslagerungs-Controlling an.

Was steckt hinter dem Begriff Auslagerungs-Controlling?

Im Kern geht es darum, sämtliche ausgelagerten IT-Leistungen systematisch zu überwachen. Das betrifft die große Cloud-Infrastruktur genauso wie einzelne Softwaremodule oder spezialisierte Dienstleister. Im Fokus stehen Service-Level-Agreements, Datenschutzanforderungen und die tatsächliche Performance der externen Partner.

Ein Vertrag allein reicht dafür nicht. Er legt zwar Pflichten fest, sagt aber wenig darüber aus, wie Abweichungen erkannt oder nachverfolgt werden. Regulatorische Rahmenwerke wie der Digital Operational Resilience Act (DORA) verschärfen die Anforderungen zusätzlich und verlangen eine lückenlose Dokumentation über den gesamten Lebenszyklus einer Auslagerung.

Begriffe wie IT-Outsourcing, Dienstleistersteuerung oder Vendor Management überschneiden sich inhaltlich, setzen jedoch unterschiedliche Schwerpunkte. Vendor Management kümmert sich primär um die Anbieterbeziehung. Auslagerungs-Controlling dagegen zielt auf die messbare Überprüfung der erbrachten Leistung. Ohne diese Unterscheidung verschwimmen Zuständigkeiten schnell und relevante Prüfpunkte fallen durchs Raster.

Damit die notwendige Dokumentation im Alltag funktioniert, braucht das zuständige Personal fundiertes Wissen zu Vertragsgestaltung, Risikoanalyse und Berichtspflichten. Die Auslagerungs-Controlling Seminare liefern dafür praxisnahe Schulungsformate. S+P Seminare hat sich hierbei als Experten-Akademie für Auslagerungsmanagement auf genau solche Zertifikatslehrgänge spezialisiert.

Warum ist IT-Auslagerungscontrolling so wichtig?

Unternehmen haften für Fehler ihrer IT-Dienstleister, auch wenn die Ursache beim externen Partner liegt. Konsequentes Auslagerungscontrolling stellt sicher, dass Service-Level-Agreements eingehalten und Datenschutzvorgaben erfüllt werden. Ohne strukturierte Kontrolle drohen Compliance-Verstöße, Bußgelder und im schlimmsten Fall ein längerer IT-Ausfall.

Die Risiken reichen von Datenverlust über Verfügbarkeitsprobleme bis hin zu Mängeln, die erst bei einem Audit sichtbar werden. Besonders Organisationen, die sensible Kundendaten verarbeiten, geraten bei solchen Vorfällen schnell ins Visier der Aufsichtsbehörden. DORA verlangt deshalb von Unternehmen des Finanzsektors eine strenge Überwachung ihrer Drittanbieter über den gesamten Vertragszeitraum hinweg.

Auch außerhalb der Finanzbranche orientieren sich immer mehr Unternehmen an diesen Standards. Kunden, Versicherer und Geschäftspartner fordern zunehmend belastbare Nachweise über IT-Sicherheit und Dienstleisterprüfung. Ein dokumentiertes Controlling erleichtert zudem die Zusammenarbeit mit der internen Revision, weil sich Prüfschritte nachvollziehbar belegen lassen, statt bei Bedarf hektisch zusammengesucht zu werden.

Drei Bausteine, die dein Controlling tragen

In der Praxis lässt sich ein belastbares Auslagerungs-Controlling auf drei Elemente herunterbrechen, die zusammen ein tragfähiges Steuerungsgerüst bilden.

SLAs und KPIs von Anfang an festzurren

Ein durchdachtes Service-Level-Agreement regelt Reaktionszeiten, Verfügbarkeitsquoten und Eskalationswege. Kennzahlen wie Antwortzeiten, Ausfallraten oder die Dauer bis zur Problembehebung sollten messbar und regelmäßig auswertbar sein. Nur so lässt sich im Streitfall belegen, ob ein Dienstleister seine Zusagen tatsächlich eingehalten hat. Diese Kennzahlen bleiben allerdings Theorie, wenn niemand sie regelmäßig überprüft.

Audits nicht einmal machen, sondern regelmäßig

Ein Vertragscheck zu Beginn der Zusammenarbeit genügt nicht. Dienstleister ändern Infrastrukturen, tauschen Subunternehmer aus und passen Sicherheitskonzepte im laufenden Betrieb an. Quartalsweise oder zumindest jährliche Audits decken auf, ob SLAs noch eingehalten werden und ob neue Risiken entstanden sind. Wie aufwendig solche Nachweise sein können, zeigt der Beitrag zur Cloud-Souveränität im Banking auf netzpiloten.de. Dort wird deutlich, wie viel Dokumentationsaufwand entsteht, wenn Auslagerungen nicht von Beginn an auditfest aufgebaut werden.

• Lege einen festen Audit-Kalender an, selbst wenn du nur wenige Dienstleister steuerst
• Definiere im Vorfeld, welche Dokumente und Nachweise du vom Anbieter brauchst
• Halte die Ergebnisse schriftlich fest, damit sie bei späteren Prüfungen verfügbar sind

Risikomanagement und Exit-Pläne gehören dazu

Was passiert, wenn ein Cloud-Anbieter kurzfristig den Betrieb einstellt oder einen Vertrag kündigt? Ohne vorbereiteten Ausstiegsplan drohen Betriebsunterbrechungen, die sich über Wochen hinziehen. Für ausgelagerte Funktionen mit kritischer Bedeutung schreibt DORA deshalb eine dokumentierte Ausstiegsstrategie vor, wie die BaFin in ihrem Fachartikel DORA: Der Countdown läuft erläutert. Vor jedem Vertragsabschluss solltest du eine Risikoanalyse und eine Due-Diligence-Prüfung durchführen. Die Abhängigkeit von einzelnen Anbietern verdient dabei besondere Aufmerksamkeit.

Gemischte Verträge sauber aufteilen: Rahmenvertrag mit Leistungsscheinen

Viele IT-Provider liefern heute nicht nur Technik. Ein typisches Beispiel: Der Anbieter betreibt eine Cloud-Plattform, übernimmt darauf zugleich fachliche Aufgaben wie Dokumentenmanagement, Kundenservice oder Teile der Zahlungsabwicklung und setzt dafür ein KI-Modell ein. Rechtlich steckt darin mehr als ein Vertrag. Für Finanzunternehmen gelten für die IT-Leistung die Regeln zum IKT-Drittparteienrisiko nach DORA, für die fachliche Auslagerung § 25b KWG und AT 9 MaRisk, ab Anwendung ergänzt durch die EBA-Leitlinien zum Drittparteienrisiko (EBA/GL/2026/09), und für die KI-Komponente die KI-Verordnung. Seit der Neufassung der MaRisk (Rundschreiben 06/2026 (BA)) fallen IKT-Dienstleistungen, die unter DORA gesteuert werden, ausdrücklich nicht mehr unter AT 9.

Entscheidend ist nicht, wie der Vertrag heißt, sondern was tatsächlich geleistet wird. Bewährt hat sich deshalb ein modularer Aufbau:

• Rahmenvertrag: gemeinsame Regeln für alle Leistungsteile, also Rangfolge der Vertragsdokumente, eine Zuordnungsklausel (jeder Leistungsschein nennt sein Regelwerk, im Zweifel gilt die strengere Anforderung), Vertraulichkeit und Datenschutz, Informations-, Prüfungs- und Zugangsrechte für dich, deine Interne Revision, den Abschlussprüfer und die Aufsicht, Regeln zu Subunternehmern, Kündigungsrechte und Haftung. Änderungen laufen nur über geänderte Leistungsscheine und lösen eine Neubewertung aus.
• Leistungsschein A – Auslagerung ohne IKT-Bezug: die fachliche Leistung mit den Mindestinhalten nach § 25b Abs. 3 KWG und AT 9 Tz. 7 MaRisk: Leistungsbeschreibung, Weisungsrechte, Berichtspflichten, Kennzahlen zur Leistungsüberwachung, Notfallregelungen, Zustimmungsvorbehalt für Weiterverlagerungen und Unterstützung beim Ausstieg.
• Leistungsschein B – IKT-Dienstleistung nach DORA: Hosting, Plattformbetrieb, Wartung und Schnittstellen mit den Vertragsinhalten nach Art. 30 Abs. 2 DORA, darunter Standorte der Datenverarbeitung, Verfügbarkeit, Integrität und Vertraulichkeit der Daten, Datenrückgabe bei Vertragsende, Service-Level, Unterstützung bei IKT-Vorfällen und Kündigungsrechte. Unterstützt die Leistung kritische oder wichtige Funktionen, kommen die Anforderungen nach Art. 30 Abs. 3 DORA hinzu: präzise quantitative Service-Level, getestete Notfallpläne, uneingeschränkte Prüfungsrechte und eine Ausstiegsstrategie mit Übergangszeitraum.
• Anlage C – KI-Komponente: Einstufung nach KI-Verordnung, Rollen und Pflichten beider Seiten (mehr dazu weiter unten).

Der Vorteil für dein Controlling: Jeder Leistungsschein entspricht genau einem Registereintrag und hat eigene Kennzahlen. Prüfer finden für jeden Teil die passende Norm, und ändert der Anbieter nur die Plattform, bewertest du gezielt Leistungsschein B neu statt den gesamten Vertrag.

Schnittstelle zwischen Auslagerungsmanagement und DORA

In Finanzunternehmen treffen damit zwei Rollen aufeinander: das zentrale Auslagerungsmanagement nach AT 9 Tz. 12 MaRisk und die Funktion zur Überwachung der Verträge mit IKT-Drittdienstleistern nach Art. 5 Abs. 3 DORA. Damit weder Lücken noch Doppelarbeit entstehen, helfen fünf gemeinsame Regeln:

• Ein Eingang für alle neuen Dienstleister mit Erstklassifizierung: IKT-Dienstleistung, Auslagerung, sonstiger Fremdbezug oder KI-Komponente.
• Eine einheitliche Methodik für Wesentlichkeit (AT 9 Tz. 2) und für kritische oder wichtige Funktionen (Art. 3 Nr. 22 DORA), getrennt dokumentiert.
• Ein Registerkern: Die EBA-Leitlinien erlauben, das Register für Nicht-IKT-Vereinbarungen mit dem DORA-Informationsregister zusammenzuführen; eine gemeinsame Vertragskennung verbindet beide Einträge.
• Ein gemeinsamer Dienstleisterbericht an die Geschäftsleitung mit Kennzahlen, Prüfungsergebnissen und Vorfällen.
• Aufeinander abgestimmte und gemeinsam getestete Ausstiegspläne (AT 9 Tz. 6 MaRisk, Art. 28 Abs. 8 DORA).

KI-Komponente: Schnittstelle zur Hochrisiko-KI

Eine KI-Komponente ist regelmäßig Teil der IKT-Dienstleistung und gehört deshalb auch ins IKT-Risikomanagement; das hat die BaFin in ihrer Orientierungshilfe vom 18.12.2025 klargestellt. Zusätzlich gilt die KI-Verordnung (EU) 2024/1689, und zwar für Unternehmen aller Branchen. Vor Vertragsschluss solltest du zwei Fragen klären:

• Wer ist Anbieter, wer Betreiber? Setzt du das System des Providers ein, bist du in der Regel Betreiber. Bietest du ein Hochrisiko-System unter eigenem Namen an oder veränderst es wesentlich, wirst du selbst zum Anbieter (Art. 25 Abs. 1 KI-Verordnung).
• Ist das System hochriskant? Hochriskant sind unter anderem KI-Systeme zur Kreditwürdigkeitsprüfung natürlicher Personen (ausgenommen Betrugserkennung), zur Risiko- und Preisbewertung in der Lebens- und Krankenversicherung sowie in der Personalauswahl (Anhang III Nr. 4 und 5). Ein Chatbot im Kundenservice ist in der Regel nicht hochriskant, muss aber erkennbar machen, dass Kunden mit einer KI sprechen (Art. 50).

Ist die Komponente hochriskant, sollte Anlage C spätestens zum Geltungsbeginn am 02.12.2027 regeln:

• Zusagen des Anbieters: Konformitätsbewertung, CE-Kennzeichnung und Registrierung in der EU-Datenbank, Gebrauchsanweisung, automatische Protokollierung mit Zugriff für dich, Vorkehrungen für die menschliche Aufsicht sowie Information über Korrekturmaßnahmen und schwerwiegende Vorfälle.
• Deine Pflichten als Betreiber: Einsatz nach Gebrauchsanweisung, menschliche Aufsicht durch kompetente Personen, Kontrolle der Eingabedaten, Überwachung des Betriebs und Aufbewahrung der Protokolle für mindestens sechs Monate (Art. 26). Vor dem Einsatz bei Kreditwürdigkeits- oder Versicherungsentscheidungen ist eine Grundrechte-Folgenabschätzung durchzuführen (Art. 27).
• Änderungsmanagement: Modell-Updates kündigt der Anbieter vorab an, du bewertest sie vor der Freigabe. Ob der Anbieter deine Daten zum Training nutzen darf, regelst du ausdrücklich.
• Rückfallebene: Fällt die KI aus oder wird sie abgeschaltet, muss der Prozess ohne KI weiterlaufen. Diese Rückfallebene gehört in deinen Ausstiegs- und Notfallplan.

Für Unternehmen außerhalb des Finanzsektors gelten DORA und MaRisk nicht unmittelbar. Die Aufteilung in Rahmenvertrag und Leistungsscheine lohnt sich trotzdem, weil sie Pflichten, Kennzahlen und Verantwortlichkeiten für jeden Leistungsteil eindeutig macht. Die KI-Verordnung gilt ohnehin branchenübergreifend.

So verankerst du das Controlling im Arbeitsalltag

Viele Unternehmen siedeln das Auslagerungs-Controlling organisatorisch bei der IT-Abteilung an, binden aber Compliance und Einkauf eng ein. Eine gebündelte Übersicht aller Dienstleister mit Vertragslaufzeiten, Kontaktpersonen und Risikoeinstufung erleichtert spätere Prüfungen erheblich. Wiederkehrende Abstimmungen zwischen IT-Leitung, Datenschutzbeauftragtem und Fachbereich sorgen dafür, dass neue Auslagerungen frühzeitig erfasst und bewertet werden, bevor sie produktiv gehen.

Hilfreich ist außerdem ein fester Meldeweg für kleinere Störungen. Viele Teams setzen dafür ein simples Ticketsystem mit klaren Verantwortlichkeiten ein, damit jede Auffälligkeit bei einem Dienstleister dokumentiert und später ausgewertet werden kann. So bleibt die Steuerung von Cloud-Diensten und IT-Providern kein einmaliges Projekt, sondern entwickelt sich mit jeder neuen Partnerschaft weiter.

Rechtsstand: 20.10.2026. Rechtsgrundlagen: § 25b KWG; BaFin-Rundschreiben 06/2026 (BA) – MaRisk, AT 9; Verordnung (EU) 2022/2554 (DORA), Art. 3, 5, 28 und 30; EBA-Leitlinien EBA/GL/2026/09; Verordnung (EU) 2024/1689 (KI-Verordnung), Art. 25 bis 27, 50 und Anhang III; BaFin-Orientierungshilfe zu IKT-Risiken beim Einsatz von KI vom 18.12.2025.

---

Foto: Jakub Żerdzicki von Unsplash

Titelbild: KI-generiert

Artikel per E-Mail verschicken