Ein mittelgroßer Versicherer führt heute schnell 80 bis 150 Dienstleisterbeziehungen im Auslagerungsregister – vom Cloud-Anbieter über den Assisteur bis zur extern vergebenen Schadenbearbeitung. Jede einzelne verlangt Risikoanalyse, Vertragsprüfung, laufendes Monitoring und Berichtswesen. Parallel produziert das Namens-Screening in der Geldwäscheprävention täglich Treffer, die ein Mensch bewerten muss. Das Ergebnis kennen viele Entscheider aus dem eigenen Haus: Hochqualifizierte Fachkräfte verbringen ihre Zeit mit standardisierter Kontrolldokumentation statt mit der Steuerung echter Risiken. Dieser Beitrag zeigt, warum der regulatorische Druck im Auslagerungsmanagement weiter steigt – und wie regulierte Unternehmen die operative Last über 1st Line Services abgeben, ohne die Entscheidungshoheit zu verlieren.
Der regulatorische Rahmen wächst schneller als die Fachabteilungen
Die Bundesanstalt für Finanzdienstleistungsaufsicht (BaFin) hat ihre Vorgaben für Auslagerungen in den letzten Jahren deutlich verschärft. Für Versicherungsunternehmen bilden das Versicherungsaufsichtsgesetz (VAG) und die Mindestanforderungen an die Geschäftsorganisation von Versicherungsunternehmen (MaGo) den Kern. Banken und andere Finanzinstitute kennen dasselbe Pflichtenprogramm aus den Mindestanforderungen an das Risikomanagement der deutschen Kreditinstitute (MaRisk) und, auf europäischer Ebene, aus den EBA-Guidelines zum Outsourcing. Dazu kommen das Geldwäschegesetz (GwG) und seit Januar 2025 der Digital Operational Resilience Act (DORA): In dieser EU-Verordnung sind die VAIT – die versicherungsaufsichtlichen Anforderungen an die IT – ebenso aufgegangen wie ihr Banken-Pendant, die Anforderungen der BAIT.
| Regelwerk | Adressaten | Kernpflichten im Überblick |
|---|---|---|
| § 32 VAG + MaGo | Versicherer | Risikoanalyse, Auslagerungsvertrag, laufende Überwachung wesentlicher Auslagerungen |
| MaRisk AT 9 / EBA-Guidelines | Banken, Finanzinstitute | Auslagerungsregister, Exit-Strategien, Steuerung sonstigen Fremdbezugs |
| GwG | alle Verpflichteten | Risikomanagement, Kundenscreening, Verdachtsmeldungen an die FIU |
| DORA (löst VAIT und BAIT ab) | gesamter Finanzsektor | Informationsregister für IT-Dienstleister, Meldung schwerwiegender Vorfälle |
Bereits seit 2022 erfolgt darüber hinaus die Anzeige von Absicht, Vollzug und wesentlichen Änderungen einer Auslagerung über die Melde- und Veröffentlichungsplattform (MVP) der Aufsicht. Wie ernst die BaFin das Thema nimmt, zeigt ihr eigener Befund: In ihrem Fachartikel zu Auslagerungen im Finanzsektor wertet sie die gemeldeten Auslagerungsverhältnisse systematisch aus und leitet daraus Konzentrationsrisiken für den gesamten Markt ab. Wer lückenhaft dokumentiert, fällt auf.
Auslagerungscontrolling: Das Register ist nie fertig
In der Versicherungswelt heißt die Auslagerung formal Ausgliederung – gemeint ist dasselbe: Ein Dienstleister übernimmt Dienstleistungen, die sonst im eigenen Haus erbracht würden. Die zentrale Frage lautet dabei oft schon: Liegt überhaupt eine Ausgliederung vor – etwa bei der Einführung neuer Software oder Cloud-Anwendungen? Und wenn ja, ist sie wesentlich? Wesentliche Auslagerungen, zum Beispiel von Schlüsselfunktionen oder der Bestandsverwaltung, unterliegen strengeren Anforderungen als sonstiger Fremdbezug wie Marktinformationsdienste. Diese Einstufung ist keine einmalige Übung, sondern bei jeder Änderung der bestehenden Verträge neu zu treffen.
Was das operativ bedeutet, unterschätzen viele:
- Registerpflege: Jede neue Auslagerung, jede Änderung, jede Beendigung muss zeitnah und revisionssicher ins Auslagerungsregister – seit DORA zusätzlich ins Informationsregister für IT-Dienstleister, inklusive der Frage, wo Daten gespeichert und verarbeitet werden.
- Risikoanalyse: Vor der Beauftragung und danach turnusmäßig ist jedes Auslagerungsunternehmen auf Ausfallrisiken, Konzentrationen und Compliance-Verstöße zu prüfen.
- Laufendes Monitoring: Service-Level, Zertifikate, Subdienstleister und Vorfallsmeldungen wollen kontinuierlich ausgewertet werden – inklusive Eskalation, wenn Schwellenwerte reißen.
- Berichtswesen: Vorstand, Auslagerungsbeauftragte und Aufsicht erwarten belastbare, jederzeit prüffähige Reports.
Genau diese Daueraufgaben binden Kapazitäten, die in der Risikosteuerung fehlen. Viele Versicherer und Finanzinstitute übertragen die standardisierte Registerpflege und das Dienstleister-Monitoring deshalb an einen spezialisierten Outsourcing Operations Desk, der die operative Erstbearbeitung übernimmt, während Einschätzung und Entscheidung im Haus bleiben. Der Effekt: Das Register bleibt tagesaktuell, ohne dass die Fachabteilung im Klein-Klein der Dokumentation versinkt.
Warum bindet die Geldwäscheprävention so viele Ressourcen?
Noch personalintensiver ist die zweite Großbaustelle: die Geldwäscheprävention. Lebensversicherer und andere Verpflichtete nach dem GwG müssen Kunden identifizieren, Bestände laufend gegen Sanktions- und PEP-Listen screenen und Verdachtsfälle nach § 43 GwG an die Financial Intelligence Unit melden. Das Screening selbst erledigt Software – doch jeder Treffer, jeder sogenannte Alert, verlangt eine dokumentierte menschliche Bewertung. Bei unscharfen Namenstreffern liegt die Falsch-Positiv-Quote regelmäßig weit über 90 Prozent. Die Fachabteilung arbeitet also überwiegend Fälle ab, die sich als harmlos erweisen – abarbeiten muss sie sie trotzdem, denn jeder offene Alert ist ein Prüfungsfeststellungsrisiko.
Digitale Werkzeuge lindern das Problem, lösen es aber nicht: Auch künstliche Intelligenz im Versicherungsbetrieb verbessert nur die Vorfilterung, nicht die Pflicht zur Einzelfallentscheidung. Und je gründlicher Data Science die Bestandsdaten durchleuchtet, desto mehr prüfwürdige Konstellationen fördert sie zutage. Der Engpass bleibt der Mensch, der bewertet und dokumentiert.
Was leisten 1st Line Services im Tagesgeschäft?
Für beide Baustellen hat sich ein Modell etabliert, das die Aufsicht ausdrücklich zulässt: die operative Übertragung standardisierter Kontrollprozesse an externe Spezialisten – sogenannte 1st Line Services. Ein Outsourcing Operations Desk übernimmt die Pflege von Registern, die Auswertung von Dienstleisterberichten und die Vorbereitung der Risikoprüfung; ein AML Operations Desk bearbeitet Screening-Alerts, dokumentiert die Erstbewertung und eskaliert nur begründete Verdachtsfälle an die interne Geldwäschebeauftragte. Das GwG erlaubt diese Konstruktion ausdrücklich: § 6 Abs. 7 GwG lässt die vertragliche Übertragung interner Sicherungsmaßnahmen auf Dritte zu – die Verantwortung verbleibt beim verpflichteten Unternehmen.
Der Zuschnitt folgt dem Prinzip der drei Verteidigungslinien: Extern erledigt wird die erste Linie, also die massenhafte, regelbasierte Erstbearbeitung. Die zweite Linie – Compliance-Funktion, Risikocontrolling, Geldwäschebeauftragte – bleibt vollständig intern und behält jede Entscheidung mit Ermessensspielraum. Für die Prüfung durch Aufsicht oder Wirtschaftsprüfer entsteht dabei ein oft unterschätzter Nebeneffekt: Spezialisierte Desks arbeiten nach dokumentierten Standardprozessen mit lückenlosem Audit-Trail, was die Prüfungskonformität gegenüber gewachsenen Insellösungen meist erhöht.
Wie bleibt die Entscheidungshoheit trotzdem im Haus?
Wichtig für die saubere Umsetzung: Der externe Desk ist selbst eine Auslagerung – und gehört damit ins eigene Auslagerungsmanagement, mit Risikoanalyse, Vertrag, Weisungs- und Prüfungsrechten gegenüber dem Auslagerungsunternehmen sowie einem Exit-Szenario. Seriöse Anbieter liefern die dafür nötigen Nachweise proaktiv mit. Im Betrieb steuert das Versicherungsunternehmen den Dienstleister über klar definierte Service-Level, Stichproben und regelmäßige Qualitätsberichte; die Kontrolle folgt denselben Regeln wie bei jeder anderen wesentlichen Auslagerung.
Richtig aufgesetzt, fügt sich das Modell in eine moderne Steuerungslandschaft ein, wie sie der Beitrag zum Risikomanagement 2.0 in Unternehmen beschreibt – und ergänzt den ganzheitlichen Unternehmensschutz um die organisatorische Dimension: Nicht jedes Risiko lässt sich versichern, manche muss man wegorganisieren.
Kernaussagen für Entscheider
- Der Aufsichtsdruck aus VAG, MaGo, GwG und DORA steigt weiter – die Zahl der Auslagerungen und der zu bearbeitenden Alerts wächst schneller als die Fachabteilungen.
- Registerpflege, Risikoanalyse, Monitoring und Alert-Bearbeitung sind standardisierbare Daueraufgaben – und damit die natürlichen Kandidaten für 1st Line Services.
- Die Übertragung der ersten Linie ist aufsichtsrechtlich zulässig (§ 6 Abs. 7 GwG, § 32 VAG), wenn Steuerung, Weisungsrechte und Prüfungsrechte vertraglich gesichert sind.
- Entscheidungshoheit und Verantwortung bleiben immer beim Institut – ausgelagert wird die Bearbeitung, nie das Ermessen.
- Der externe Desk gehört als eigene Auslagerung ins Register – wer das von Anfang an mitdenkt, gewinnt Prüfungssicherheit statt neuer Baustellen.
Wer das eigene Auslagerungsmanagement ehrlich bilanziert, findet die Antwort meist schnell: Die knappe Ressource ist nicht Fachwissen, sondern Bearbeitungszeit. Genau die lässt sich einkaufen – die Kontrolle darüber nicht, und das ist auch gut so.