Fachbeiträge & Kommentare zu IT

Rz. 1 IT-Dienstleistungen umfassen alle Ausprägungen des Bezugs von IT; dazu zählen insbesondere die Bereitstellung von IT-Systemen, Projekte/Gewerke oder Personalgestellung. Die Auslagerungen der IT-Dienstleistungen haben die Anforderungen nach AT 9 der MaRisk zu erfüllen. Dies gilt auch für Auslagerungen von IT-Dienstleistungen, die dem Institut durch ein Dienstleistungsun... mehr

Rz. 112 Aufgrund ihrer besonderen Bedeutung für das Funktionieren der Prozesse hat das Institut in Abhängigkeit von Art, Umfang, Komplexität und Risikogehalt der Geschäftsaktivitäten auch Aussagen zur zukünftig geplanten Ausgestaltung der IT-Systeme zu treffen (→ AT 4.2 Tz. 1, Erläuterung). Damit wird die in den letzten Jahren ständig gestiegene Bedeutung der Informationstec... mehr

[…] Vertreterinnen und Vertreter meines Bereiches und auch der Deutschen Bundesbank wurden in den letzten Jahren seitens der Kreditwirtschaft verstärkt daraufhin angesprochen, dass die Anforderungen, die der § 25a Abs. 1 Kreditwesengesetz (KWG) an die ordnungsgemäße Geschäftsorganisation stellt – hier insbesondere bezogen auf die Informationstechnologie – aus Sicht der Indust... mehr

Rz. 152 4 Für IT-Risiken sind angemessene Überwachungs- und Steuerungsprozesse einzurichten, die insbesondere die Festlegung von IT-Risikokriterien, die Identifikation von IT-Risiken, die Festlegung des Schutzbedarfs, daraus abgeleitete Schutzmaßnahmen für den IT-Betrieb sowie die Festlegung entsprechender Maßnahmen zur Risikobehandlung und -minderung umfassen. Beim Bezug vo... mehr

Rz. 282 Die Grundsätze des Baseler Ausschusses für Bankenaufsicht für die effektive Aggregation von Risikodaten und die Risikoberichterstattung[1] enthalten nicht nur Vorgaben für das Risikomanagement (→ Kapitel 2.6.1), sondern betreffen in einem hohen Maße auch die Informationstechnologie. Die IT-relevanten Vorgaben wurden erstmals im November 2017 als Konkretisierung der M... mehr

Rz. 1 Der IT-Betrieb hat die Anforderungen, die sich aus der Umsetzung der Geschäftsstrategie sowie aus den IT-unterstützten Geschäftsprozessen ergeben, zu erfüllen (vgl. AT 7.2 Tz. 1 und Tz. 2 MaRisk). Rz. 2 Die Komponenten der IT-Systeme und deren Beziehungen zueinander sind in geeigneter Weise zu verwalten und die hierzu erfassten Bestandsangaben regelmäßig sowie anlassbez... mehr

Rz. 10 Um einen angemessenen Umfang und eine hinreichende Qualität der technisch-organisatorischen Ausstattung sicherstellen zu können, muss zunächst einmal Klarheit über den Ist-Zustand herrschen ("Bestandsaufnahme").[1] Zu diesem Zweck hat der IT-Betrieb gemäß Tz. 8.2 BAIT die Komponenten der IT-Systeme (Hardware- und Software-Komponenten) sowie deren Beziehungen zueinande... mehr

Rz. 153 Mit der Anforderung, IT-Risiken angemessen zu überwachen und zu steuern, behandelt die deutsche Aufsicht IT-Risiken als eigene Risikokategorie, die im Risikomanagement entsprechend zu berücksichtigen ist. Hierfür sind angemessene Prozesse einzurichten. Der Begriff "IT-Risiko" wird in den MaRisk nicht definiert. Die BaFin zählt IT-Risiken zu den operationellen Risiken... mehr

Rz. 158 Die von der deutschen Aufsicht erstmals im November 2017 vorgelegten "Bankaufsichtlichen Anforderungen an die IT" (BAIT)[1] enthalten Anforderungen an Auslagerungen und den sonstigen Fremdbezug von IT-Dienstleistungen, welche die MaRisk konkretisieren. Die Vorgaben an den sonstigen Fremdbezug von IT-Dienstleistungen wurden im Zuge der ersten BAIT-Novelle aus dem Jahr... mehr

Rz. 164 Auch im Hinblick auf den sonstigen Fremdbezug von IT-Dienstleistungen haben die Institute zunächst die allgemeinen Anforderungen an die ordnungsgemäße Geschäftsorganisation gemäß § 25a Abs. 1 KWG zu beachten (→ AT 9 Tz. 1, Erläuterung). Darüber hinaus sind bei jedem Bezug von Software die damit verbundenen Risiken angemessen zu bewerten (→ AT 7.2 Tz. 4 Satz ;2). Wege... mehr

Rz. 194 Damit das Informationsrisikomanagement und das Informationssicherheitsmanagement (→ AT 7.2 Tz. 2) überhaupt greifen können, muss die Geschäftsleitung die IT-Organisation auch insgesamt angemessen steuern. Voraussetzung hierfür ist eine IT-Strategie, die dem Geschäftsmodell angemessen ist und in der IT-Organisation umgesetzt wird.[1] Die Geschäftsleitung hat daher nac... mehr

Rz. 13 Der Umfang und die Qualität der technisch-organisatorischen Ausstattung müssen allerdings auch mit der Entwicklung der Geschäftsaktivitäten eines Institutes und dem technischen Fortschritt mithalten können. Insofern genügt es nicht, die technisch-organisatorische Ausstattung einmal zu überprüfen und für angemessen zu befinden. So können sich die betriebsinternen Erfor... mehr

Rz. 87 Unmittelbar im Anschluss an die Veröffentlichung der fünften MaRisk-Novelle hat die deutsche Aufsicht im November 2017 die "Bankaufsichtlichen Anforderungen an die IT" (BAIT) vorgelegt.[1] Dieses Rundschreiben gibt auf der Grundlage des § 25a Abs. 1 KWG einen flexiblen und praxisnahen Rahmen für die technisch-organisatorische Ausstattung der Institute vor, insbesonder... mehr

Rz. 48 Aufgrund der mit der Digitalisierung einhergehenden besonderen Bedeutung der Informationstechnik als Schlüsseltechnologie für neue Wertschöpfungsketten und deren zunehmendem Einfluss auf die Risikosituation von Kreditinstituten hat die BaFin ihre Verwaltungspraxis in Bezug auf die erforderlichen praktischen Erfahrungen von Geschäftsleitern angepasst. Damit soll die Be... mehr

Rz. 93 Den Anforderungen des Moduls 3 der BAIT zufolge sollen die Institute beim IT-Risikomanagement vor allem auf den Schutzbedarf für die Bestandteile ihres festgelegten Informationsverbundes abstellen. Dabei sollten deren Abhängigkeiten und Schnittstellen einbezogen werden, um die Vernetzung des Informationsverbundes mit Dritten zu berücksichtigen. Auf dieser Basis müssen... mehr

Rz. 76 Die Beauftragung neuer Produkte durch die Markteinheiten sollte aus Effizienzgründen IT-gestützt erfolgen, wenngleich die Aufsicht das nicht vorschreibt. Eine wirkungsvolle IT-Unterstützung mit Wiedervorlage- und Benachrichtigungsfunktion kann für den Workflow den administrativen Aufwand deutlich reduzieren. Neben der Arbeitserleichterung und der damit verbundenen Zei... mehr

Rz. 2 Die technisch-organisatorische Ausstattung umfasst die Gesamtheit der Einrichtungen und Anlagen zur Leistungserstellung eines Institutes. Hierzu zählen z. B. Grundstücke, Gebäude, Büromaterial oder Aufbewahrungsmöglichkeiten. Es ist evident, dass sich z. B. hinsichtlich der Gebäude bei einem Institut mit weit verzweigtem Filialnetz andere Fragen ergeben als bei einem I... mehr

Rz. 1 Wesentliche Veränderungen in den IT-Systemen im Rahmen von IT-Projekten, deren Auswirkung auf die IT-Aufbau- und IT-Ablauforganisation sowie die dazugehörigen IT-Prozesse sind im Rahmen einer Auswirkungsanalyse zu bewerten (vgl. AT 8.2 Tz. 1 MaRisk). Im Hinblick auf den erstmaligen Einsatz sowie wesentliche Veränderungen von IT-Systemen sind die Anforderungen des AT 7.... mehr

Rz. 8 Bei wesentlichen Veränderungen in den IT-Systemen sind ergänzend die "Bankaufsichtlichen Anforderungen an die IT" (BAIT)[1] zu beachten, mit deren Hilfe die MaRisk in den relevanten Bereichen weiter konkretisiert werden. Die Aufsicht erläutert darin auch, was sie unter angemessenen Änderungsprozessen von IT-Systemen versteht (→ AT 7.2 Tz. 3). Die MaRisk und die BAIT si... mehr

Rz. 59 Die Senior Supervisors Group hat in ihrem Bericht aus dem Jahr 2010 eine wichtige Forderung aufgestellt: Die IT-Strategie muss essenzieller Teil der Geschäftsstrategie sein.[1] Die deutsche Aufsicht erwartet somit, dass die notwendigen Anforderungen an die digitale Transformation auf geschäftspolitischen Grundlagen basieren und strategisch verankert werden.[2] Um eine... mehr

Rz. 125 Die Weiterentwicklung der IT-Systeme ist oftmals ein komplexes Unterfangen und erfordert nicht selten eine gut funktionierende Projektstruktur. Die BaFin erwartet daher laut Tz. 7.2 BAIT, dass die organisatorischen Grundlagen für "IT-Projekte" und die Kriterien für deren Anwendung geregelt werden. Dabei sind u. a. folgende Aspekte zu berücksichtigen: Einbindung betrof... mehr

Rz. 78 Die maßgeblichen Abschlussdaten können vom Händler entweder manuell oder auf Basis von IT-gestützten Systemen erfasst werden (→ BTO 2.2.1 Tz. 5). Bei hochkomplexen Geschäften werden die Händler teilweise von einer dem Handel zugeordneten Support-Funktion der ersten Verteidigungslinie bei der Datenerfassung unterstützt. Dies geschieht auf Basis des "Händlertickets" und... mehr

Rz. 98 Von den Instituten sind Prozesse für eine angemessene "IT-Berechtigungsvergabe" einzurichten, die sicherstellen, dass jeder Mitarbeiter nur über jene Rechte verfügt, die er für seine Tätigkeit benötigt. Die eingerichteten Berechtigungen dürfen insbesondere nicht im Widerspruch zur organisatorischen Zuordnung von Mitarbeitern stehen (→ AT 7.2 Tz. 2, Erläuterung). Beide... mehr

Rz. 89 Die IT-Infrastruktur stellt eine wesentliche Voraussetzung für die effektive Risikodatenaggregation und Risikoberichterstattung dar. Aufgrund von historisch gewachsenen Systemlandschaften ist die IT-Infrastruktur in Banken sehr stark fragmentiert und stellt eine der größten Herausforderungen für die Umsetzung von BCBS 239 dar. Aus diesem Grund erfordern die Umsetzungs... mehr

Rz. 129 Im Zuge der dritten MaRisk-Novelle wurde die Bedeutung von Tests und Freigabeverfahren nochmals besonders herausgestellt. Seither wird die Einrichtung eines "Regelprozesses" gefordert, der sich auf die Entwicklung, das Testen, die Freigabe sowie die Implementierung der IT-Systeme in die Produktionsprozesse erstreckt. Durch diesen Regelprozess soll vor allem sicherges... mehr

I. Vorbemerkung Rz. 1 Der Anwenderkreis dieses Rundschreibens ergibt sich aus AT 2.1 MaRisk entsprechend. Rz. 2 Der Einsatz von Informationstechnik (IT) in den Instituten, auch unter Einbeziehung von IT-Services, die durch IT-Dienstleister bereitgestellt werden, hat eine zentrale Bedeutung für die Finanzwirtschaft und wird weiter an Bedeutung gewinnen. Dieses Rundschreiben gib... mehr

Rz. 67 Die Institute sollten mit den Geschäftsfortführungsplänen sicherstellen, dass sie auf potenzielle Ausfallszenarien angemessen reagieren können und in der Lage sind, den Betrieb ihrer kritischen Geschäftstätigkeiten nach Störungen (bzw. bei Untersuchung von "Störungsszenarien") innerhalb einer vorgegebenen "Wiederanlaufzeit" ("Recovery Time Objective", RTO)[1] und zu e... mehr

Diskutiert wird seitens der Mitglieder des Fachgremiums, ob der Betrieb von Software in einer Cloud einen Auslagerungstatbestand darstellt. Der Betrieb von Software in einer Cloud ist immer dann als Auslagerung einzustufen, wenn die Cloud nicht vom Institut selbst erstellt worden ist, nicht unter eigener Kontrolle des Instituts steht sowie Software betrieben wird, die zur Du... mehr

Rz. 91 Damit die Bestandteile des Informationsverbundes ihre Schutzziele erfüllen, ist bei der Ausgestaltung der IT-Systeme und zugehörigen IT-Prozesse grundsätzlich auf gängige Standards abzustellen. Der Rückgriff auf gängige Standards hat vor allem den Vorteil, dass auf Methoden abgestellt werden kann, die sich bereits in der Praxis bewährt haben. Dadurch wird nicht nur ei... mehr

Rz. 63 Gemäß Tz. 2.2 BAIT ist die Geschäftsleitung dafür verantwortlich, dass auf Basis der IT-Strategie die Regelungen zur IT-Aufbau- und IT-Ablauforganisation festgelegt und bei Veränderungen der Aktivitäten und Prozesse zeitnah angepasst werden. Es ist sicherzustellen, dass diese Regelungen wirksam umgesetzt werden. Rz. 64 Laut Tz. 4.4 BAIT hat die Geschäftsleitung die Fun... mehr

Rz. 22 Zu einem "Informationsverbund"[1] gehören z. B. geschäftsrelevante Informationen[2], Geschäfts-[3] und Unterstützungsprozesse[4], IT-Systeme[5] und die zugehörigen IT-Prozesse sowie Netz- und Gebäudeinfrastrukturen[6] (→ AT 7.2 Tz. 2, Erläuterung). Die Definition des Informationsverbundes stimmt mit dem Wortlaut in Tz. 3.3 BAIT überein. Auf viele der hier genannten Ko... mehr

Hinweis zur Benutzung des Literaturverzeichnisses: Sofern es sich bei den Autoren bzw. Herausgebern um Organisationen handelt, sind die aufgeführten Werke i. d. R. auf der Internetseite der jeweiligen Organisation verfügbar. Achtelik, Olaf, in: Herzog, Felix (Hrsg.), Geldwäschegesetz, 5. Auflage, München, 2023, § 24c KWG, § 25h KWG und § 6 GwG. ACI Deutschland e. V. – Arbeitsg... mehr

Rz. 77 Der "IT-Betrieb" hat laut Tz. 8.1 BAIT jene Anforderungen umzusetzen, die sich aus der Geschäftsstrategie und den IT-unterstützten Geschäftsprozessen ergeben. Für die Umsetzung der Anforderungen des Informationssicherheitsmanagements ist nach Tz. 5.1 BAIT hingegen die "operative Informationssicherheit" zuständig. Insofern entspricht die Tätigkeit der operativen Inform... mehr

[…] die Informationstechnik ist – und deshalb steht sie auch zunehmend im Fokus von Angriffen – die Basisinfrastruktur für sämtliche bankfachlichen, aber auch alle nichtbankfachlichen Prozesse in den Instituten. In einer globalisierten Finanzwelt, in der immer mehr Menschen digital bezahlen bzw. Geld transferieren und in der viele Anleger ihre Geldanlage online bestreiten, sin... mehr

Rz. 118 Der Einsatz von unzureichend getesteten und nicht abgenommenen IT-Systemen kann den gesamten IT-Betrieb erheblich beeinträchtigen. So können z. B. Fehler in der Software nicht erkannt werden, wenn diese nicht ausreichend getestet und freigegeben wird. Solche Fehler gefährden den produktiven Einsatz und die Informationssicherheit der neuen Software sowie unter Umständ... mehr

Rz. 171 Auf Basis der festgelegten "Risikokriterien" ist eine "Risikoanalyse" durchzuführen. Diese Risiko­analyse umfasst neben dem Soll-Ist-Vergleich die Analyse der möglichen Bedrohungen, das ­Schadenspotenzial, die Schadenshäufigkeit sowie den Risikoappetit des Institutes. Sonstige risiko­reduzierende Maßnahmen können auch in die Risikoanalyse einfließen. Laut Tz. 3.9 BAI... mehr

Rz. 51 Für die Vorgaben zur Informationssicherheit[1], die Definition der zugehörigen Prozesse und die Steuerung von deren Umsetzung ist laut Tz. 4.1 BAIT das "Informationssicherheitsmanagement" (ISM) zuständig. Der zugrunde liegende Prozess umfasst die Phasen Planung, Umsetzung, Erfolgskontrolle sowie Optimierung und Verbesserung der Informationssicherheit.[2] Rz. 52 Die Ec... mehr

Rz. 1 Die operative Informationssicherheit setzt die Anforderungen des Informationssicherheitsma­nagements um. IT-Systeme, die zugehörigen IT-Prozesse und sonstigen Bestandteile des Informationsverbundes müssen die Integrität, die Verfügbarkeit, die Authentizität sowie die Vertraulichkeit der Daten sicherstellen. Für diese Zwecke ist bei der Ausgestaltung der IT-Systeme und ... mehr

Rz. 156 Die Erwartungshaltung der deutschen Aufsicht an ein angemessenes IT-Risikomanagement hat sie in den bisher geltenden BAIT näher ausgeführt. Die BAIT haben jedoch auch bisher keinen vollständigen Anforderungskatalog dargestellt. Sie sollen vielmehr einen verständlichen und flexiblen Rahmen für das Management der IT-Ressourcen, des Informationsrisikos und der Informati... mehr

Rz. 11 Bei der Umsetzung dieser Anforderungen sind zumindest bis zum 17. Januar 2025 die "Bankaufsichtlichen Anforderungen an die IT" (BAIT)[1] zu beachten, mit deren Hilfe die MaRisk in den relevanten Bereichen weiter konkretisiert werden. Mithilfe der BAIT wird den Instituten die Erwartungshaltung der deutschen Aufsicht zur sicheren Ausgestaltung der IT-Systeme und zugehör... mehr

Rz. 196 Beim Bezug von Software sind die damit verbundenen Risiken angemessen zu bewerten. Der isolierte Bezug von Software ist i. d. R. als "sonstiger Fremdbezug von Leistungen" einzustufen. Allerdings sind mit dem Bezug von Software häufig auch Unterstützungsleistungen verbunden. Sofern die Software zur Identifizierung, Beurteilung, Steuerung, Überwachung und Kommunikation... mehr

Rz. 41 Die Vergabe von Berechtigungen und Kompetenzen beinhaltet seit der vierten MaRisk-Novelle auch die regelmäßige und anlassbezogene Überprüfung von IT-Berechtigungen, Zeichnungsberechtigungen und sonstigen eingeräumten Kompetenzen. Rz. 42 Die regelmäßige Überprüfung muss innerhalb angemessener Fristen erfolgen. Diese Fristen sollen sich an der Bedeutung der Prozesse und,... mehr

Rz. 163 Für die Bestandteile des definierten Informationsverbundes hat das Institut gemäß Tz. 3.4 BAIT regelmäßig und anlassbezogen den "Schutzbedarf" zu ermitteln. Das gilt insbesondere im Hinblick auf die Schutzziele Integrität, Verfügbarkeit, Vertraulichkeit und Authentizität. Die Eckpunkte dafür müssen in einer Informationssicherheitsleitlinie festgelegt werden (→ AT 7.... mehr

Rz. 94 Zahlreiche Unternehmen haben Notfallkonzepte entwickelt. Die Bereitschaft, diese Konzepte regelmäßig zu testen, war aber zumindest in der Vergangenheit offenbar weniger ausgeprägt.[1] Die Sicherstellung der Handlungsfähigkeit durch Notfallkonzepte ist jedoch kein einmaliger Vorgang, sondern ein laufender Prozess. Das Notfallkonzept kann seinen Sinn nur dann erfüllen, ... mehr

Rz. 31 Das "IKT-Risiko" bezeichnet gemäß Art. 4 Abs. 1 Nr. 52c CRR die Gefahr von Verlusten in Verbindung mit jedem vernünftigerweise identifizierbaren Umstand im Zusammenhang mit der Nutzung von Netzwerk- und Informationssystemen, die bei Eintritt – durch die damit einhergehenden nachteiligen Auswirkungen im digitalen oder physischen Umfeld – die Sicherheit der Netzwerk- un... mehr

Rz. 7 Die technisch-organisatorische Ausstattung umfasst die Gesamtheit der Einrichtungen und Anlagen zur Leistungserstellung. Dazu zählen z. B. Grundstücke, Gebäude und das Büroinventar. Mit dem Ausbruch der COVID-19-Pandemie hat sich der Arbeitsmittelpunkt für verschiedene Tätigkeiten zunächst vorübergehend in das Homeoffice verschoben. Dass dieser Trend wieder vollständig... mehr

Rz. 30 Zeitkritisch sind grundsätzlich jene Aktivitäten und Prozesse, bei deren Beeinträchtigung für "definierte Zeiträume" ein "nicht mehr akzeptabler Schaden" für das Institut zu erwarten ist (→ AT 7.3 Tz. 1, Erläuterung). Insofern geht es für ein Institut darum, jene Aktivitäten und Prozesse zu ermitteln, bei denen eine Beeinträchtigung schon kurzfristig zu einem graviere... mehr

Rz. 36 Die Bankaufsichtlichen Anforderungen an die IT (BAIT) konkretisieren u. a. die Vorgaben der MaRisk an Berechtigungen und Kompetenzen (→ AT 7.2 Tz. 2).[1] Berechtigungen können, je nach Art, laut Tz. 6.2 BAIT für personalisierte sowie für nicht personalisierte Benutzer, inklusive der technischen Benutzer[2], vorliegen. Die Zugriffe auf Daten und die Zugänge zu IT-Syste... mehr

Rz. 1 Adam Smith demonstrierte vor über zweihundert Jahren, dass sich die Produktion von Stecknadeln erheblich steigern lässt, wenn der gesamte Herstellungsprozess in einzelne Abschnitte unterteilt wird und diese Abschnitte spezialisierten Arbeitern zugewiesen werden.[1] Das viel beschworene Stecknadelbeispiel von Smith hat später berühmte Nachahmer gefunden (z. B. bei der F... mehr

Rz. 1 Der Anwenderkreis dieses Rundschreibens ergibt sich aus AT 2.1 MaRisk entsprechend. Rz. 2 Der Einsatz von Informationstechnik (IT) in den Instituten, auch unter Einbeziehung von IT-Services, die durch IT-Dienstleister bereitgestellt werden, hat eine zentrale Bedeutung für die Finanzwirtschaft und wird weiter an Bedeutung gewinnen. Dieses Rundschreiben gibt auf der Grund... mehr