Fachbeiträge & Kommentare zu Software

In den Fällen, in denen der Unternehmer seine Software-Produkte nicht (nur) eigenständig, sondern unter Nutzung eines Internetportals, Marktplatzes oder einer Schnittstelle zum Download anbietet, z. B. unter Nutzung eines "App Stores", wird im Regelfall eine Leistungskette zwischen dem Unternehmer als Anbieter der App und dem Plattformbetreiber sowie diesem und dem Endkunden... mehr

Wurden die Maßnahmen aus der Konzeptionierungsphase umgesetzt, so geht die Entwicklung in die dritte und letzte Phase. Hierbei wird die interne und externe Realisierung betrachtet. Interne Realisierung Intern sollen hierfür zu Beginn Workshops durchgeführt werden. Dabei sollen offene Punkte aus den vorherigen Phasen mithilfe der internen Verantwortlichen und Experten geklärt w... mehr

Scan4Chem Das erste Beispiel ist Scan4Chem (vgl. Abbildung 5), eine App-Anwendung, mit welcher Barcodes von Produkten gescannt werden können. Die Anwendung gibt nach Scannen Auskunft darüber, ob besonders besorgniserregende Stoffe in einem Produkt enthalten sind und unterstützt somit nicht nur den Verbraucher, sondern auch die Umwelt[1]. Abb. 5: Screenshot der App Scan4Chem al... mehr

Die Ortsverlagerung an den Ort des Leistungsempfängers tritt gem. § 3a Abs. 5 Satz 3 UStG ausnahmsweise nicht ein, wenn der leistende Unternehmer in nur einem EU-Mitgliedstaat ansässig ist und der Gesamtbetrag der Entgelte für elektronisch erbrachte Dienstleistungen an private Endverbraucher mit Wohnsitz oder Sitz in anderen Mitgliedstaaten, einschließlich der innergemeinsch... mehr

Das Angebot auf elektronischem Wege erbrachter Dienstleistungen hat nicht zuletzt durch eine erhöhte Akzeptanz und die digitale Disruption in den vergangenen Jahren erheblich zugenommen. Dabei geht es nicht mehr nur um Software, sei es in Form von Apps oder Computerspielen. Anbieter wie Spotify, Apple, Netflix oder Amazon haben die Musik- und Videobranche revolutioniert. Der... mehr

In der zweiten Phase der Umsetzung dreht sich alles um die Konzeptionierung. Ziel hierbei ist, festzustellen, ob das Unternehmen die Voraussetzungen erfüllt, um anhand der vorhandenen Daten und Systemarchitektur einen DPP zu erstellen, welcher den zu definierenden Zielbildern entspricht. Ist dies nicht der Fall sollen Maßnahmen eingeleitet werden, damit die Umsetzung realisi... mehr

Grundsätzlich ist es für die erste Umsetzung eines DPP sinnvoll ein Projektteam zu bilden, welches über die Bedeutung, den Inhalt, die Aufgaben und den geplanten Ablauf informiert ist. In diesem Team sollten Juristen und Finanz-Experten, IT- und Software-Spezialisten, Kommunikations- und Produktexperten und eine Projektleitung vertreten sein. Mit diesem Team sollte mit einem Pilo... mehr

mehr

Diskutiert wird seitens der Mitglieder des Fachgremiums, ob der Betrieb von Software in einer Cloud einen Auslagerungstatbestand darstellt. Der Betrieb von Software in einer Cloud ist immer dann als Auslagerung einzustufen, wenn die Cloud nicht vom Institut selbst erstellt worden ist, nicht unter eigener Kontrolle des Instituts steht sowie Software betrieben wird, die zur Du... mehr

Rz. 144 Im Zuge der fünften MaRisk-Novelle wurde die Abgrenzung zwischen einer Auslagerung und dem sonstigen Fremdbezug von Leistungen im Bereich der Software und der zugehörigen Unterstützungsleistungen neu geregelt. Die Aufsicht trägt damit der zunehmenden Bedeutung der Informationstechnik (IT) als Basisinfrastruktur für sämtliche fachlichen und nicht-fachlichen Prozesse i... mehr

Rz. 210 Eigenentwicklungen von Software sind schon vor einigen Jahren stärker in den Fokus aufsichtlicher Prüfungshandlungen geraten. Vor diesem Hintergrund hat die BaFin im "Gesprächskreis kleiner Institute" mithilfe von Beispielen aufgezeigt, ab wann sie von einer Softwareentwicklung ausgeht und insofern die Anwendung des vorgeschriebenen Regelprozesses inkl. einer Trennun... mehr

Rz. 196 Beim Bezug von Software sind die damit verbundenen Risiken angemessen zu bewerten. Der isolierte Bezug von Software ist i. d. R. als "sonstiger Fremdbezug von Leistungen" einzustufen. Allerdings sind mit dem Bezug von Software häufig auch Unterstützungsleistungen verbunden. Sofern die Software zur Identifizierung, Beurteilung, Steuerung, Überwachung und Kommunikation... mehr

Rz. 118 Der Einsatz von unzureichend getesteten und nicht abgenommenen IT-Systemen kann den gesamten IT-Betrieb erheblich beeinträchtigen. So können z. B. Fehler in der Software nicht erkannt werden, wenn diese nicht ausreichend getestet und freigegeben wird. Solche Fehler gefährden den produktiven Einsatz und die Informationssicherheit der neuen Software sowie unter Umständ... mehr

Rz. 150 Die EBA versteht unter dem "IKT-Änderungsrisiko" das Risiko, das sich aus der mangelnden Fähigkeit des Institutes ergibt, IKT-Systemänderungen zeitgerecht und kontrolliert zu steuern, insbesondere was umfangreiche und komplexe Änderungsprogramme angeht.[1] Das Management dieser Risikokategorie zielt auf die Fehlerbehebung oder notwendige Korrekturen der Daten (→ AT 7... mehr

Rz. 159 Gemäß Tz. 9.1 BAIT müssen auch Cloud-Dienstleistungen die Anforderungen nach AT 9 erfüllen. "Cloud-Dienstleistungen" sind demnach Auslagerungen von IT-Dienstleistungen, die dem Institut durch ein Dienstleistungsunternehmen über ein Netz bereitgestellt werden (z. B. Rechenleistung, Speicherplatz, Plattformen oder Software) und deren Angebot, Nutzung und Abrechnung dyn... mehr

Rz. 110 Der Gesetzeswortlaut des § 25b Abs. 1 Satz 1 KWG stellt auf die Auslagerung von Aktivitäten und Prozessen auf andere Unternehmen ab, ohne den Begriff "Auslagerung" zu definieren. Den Tatbestand der Auslagerung sinnvoll abzugrenzen, ist alles andere als einfach. Auf der einen Seite haben weit gefasste Definitionen den Nachteil, dass nahezu jede von Dritten bezogene Le... mehr

Rz. 10 Um einen angemessenen Umfang und eine hinreichende Qualität der technisch-organisatorischen Ausstattung sicherstellen zu können, muss zunächst einmal Klarheit über den Ist-Zustand herrschen ("Bestandsaufnahme").[1] Zu diesem Zweck hat der IT-Betrieb gemäß Tz. 8.2 BAIT die Komponenten der IT-Systeme (Hardware- und Software-Komponenten) sowie deren Beziehungen zueinande... mehr

Rz. 116 Die zuständigen Behörden sollten im Rahmen des SREP bewerten, ob das Institut über einen geeigneten Rahmen für die Ermittlung, das Verständnis, die Messung und die Minderung der IKT-Verfügbarkeits- und Kontinuitätsrisiken verfügt. Dabei sollten sie insbesondere berücksichtigen, ob auf dieser Basis die kritischen IKT-Prozesse und die unterstützenden IKT-Systeme als T... mehr

Rz. 129 Im Zuge der dritten MaRisk-Novelle wurde die Bedeutung von Tests und Freigabeverfahren nochmals besonders herausgestellt. Seither wird die Einrichtung eines "Regelprozesses" gefordert, der sich auf die Entwicklung, das Testen, die Freigabe sowie die Implementierung der IT-Systeme in die Produktionsprozesse erstreckt. Durch diesen Regelprozess soll vor allem sicherges... mehr

Rz. 22 Zu einem "Informationsverbund"[1] gehören z. B. geschäftsrelevante Informationen[2], Geschäfts-[3] und Unterstützungsprozesse[4], IT-Systeme[5] und die zugehörigen IT-Prozesse sowie Netz- und Gebäudeinfrastrukturen[6] (→ AT 7.2 Tz. 2, Erläuterung). Die Definition des Informationsverbundes stimmt mit dem Wortlaut in Tz. 3.3 BAIT überein. Auf viele der hier genannten Ko... mehr

Rz. 159 Das "Informations- und Kommunikationstechnologie-Risiko" (IKT-Risiko) wurde zunächst als Risiko von Verlusten aufgrund der Unzweckmäßigkeit oder des Versagens der Hard- und Software technischer Infrastrukturen verstanden, welche die Verfügbarkeit, Integrität, Zugänglichkeit und Sicherheit dieser Infrastrukturen oder der Daten beeinträchtigen können.[1] Neueren Defini... mehr

Rz. 1 IT-Dienstleistungen umfassen alle Ausprägungen des Bezugs von IT; dazu zählen insbesondere die Bereitstellung von IT-Systemen, Projekte/Gewerke oder Personalgestellung. Die Auslagerungen der IT-Dienstleistungen haben die Anforderungen nach AT 9 der MaRisk zu erfüllen. Dies gilt auch für Auslagerungen von IT-Dienstleistungen, die dem Institut durch ein Dienstleistungsun... mehr

Rz. 34 Ohne ausreichend qualifiziertes Personal ist kein Institut dauerhaft in der Lage, den Entwicklungen auf den Märkten standzuhalten. Eine hohe Qualifikation der Mitarbeiter stärkt somit die Position des Institutes gegenüber Wettbewerbern. Qualifiziertes Personal bietet zudem die Gewähr dafür, dass die Vorgaben der Geschäftsleitung korrekt nachvollzogen und somit effekt... mehr

Rz. 152 4 Für IT-Risiken sind angemessene Überwachungs- und Steuerungsprozesse einzurichten, die insbesondere die Festlegung von IT-Risikokriterien, die Identifikation von IT-Risiken, die Festlegung des Schutzbedarfs, daraus abgeleitete Schutzmaßnahmen für den IT-Betrieb sowie die Festlegung entsprechender Maßnahmen zur Risikobehandlung und -minderung umfassen. Beim Bezug vo... mehr

Rz. 90 Die zuständigen Behörden sollten im Rahmen des SREP bewerten, ob das Institut über einen wirksamen Rahmen für die Ermittlung, das Verständnis, die Messung und die Minderung des IKT-Sicherheitsrisikos verfügt. Damit sollten klar definierte Rollen und Verantwortlichkeiten in Bezug auf die Person(en) und/oder Ausschüsse festgelegt sein, die für das tägliche IKT-Sicherhei... mehr

Rn. 264 Stand: EL 191 – ET: 08/2026 Schuldet der Altenpfleger/Krankenpfleger eine einheitliche Hauswirtschaft umfassende Leistung oder wird er nicht bei allen Pflegebedürftigen eigenverantwortlich tätig (s Rn 249e), wird er insoweit gewerblich tätig; je nach Vertrag bzw Rechnungsstellung kommt Trennbarkeit in Betracht (BFH BStBl II 2004, 509; s Rn 236 "Altenpfleger" und s Rn ... mehr

Rz. 1 Die IT-Strategie hat die Anforderungen nach AT 4.2 der MaRisk zu erfüllen. Dies beinhaltet insbesondere, dass die Geschäftsleitung eine nachhaltige IT-Strategie festlegt, in der die Ziele, sowie die Maßnahmen zur Erreichung dieser Ziele dargestellt werden. Rz. 2 Die Geschäftsleitung hat eine mit der Geschäftsstrategie konsistente IT-Strategie festzulegen. Mindestinhalte... mehr

Rz. 282 Die Grundsätze des Baseler Ausschusses für Bankenaufsicht für die effektive Aggregation von Risikodaten und die Risikoberichterstattung[1] enthalten nicht nur Vorgaben für das Risikomanagement (→ Kapitel 2.6.1), sondern betreffen in einem hohen Maße auch die Informationstechnologie. Die IT-relevanten Vorgaben wurden erstmals im November 2017 als Konkretisierung der M... mehr

Rz. 149 An die Vorauswahl schließt sich die Testphase an. Für die als geeignet eingestuften Softwareprodukte sollten Testlizenzen besorgt werden, auf deren Grundlage eruiert werden kann, ob die Produkte tatsächlich dem Anforderungsprofil entsprechen. Für die Testphase schlägt das BSI folgenden Prozessablauf vor:[1] In der Phase der Testvorbereitung werden die Testmethoden für... mehr

Rz. 55 Eine weitere Voraussetzung für den Beginn des laufenden Handels ist das Vorhandensein geeigneter Risikosteuerungs- und -controllingprozesse. Diesbezüglich stellt sich die Frage, ab welcher Entwicklungsstufe diese Prozesse als "geeignet" angesehen werden können. Bei der Beantwortung dieser Frage sollte mit Augenmaß vorgegangen werden, um den kurzfristigen Abschluss bet... mehr

Rz. 21 2 Die IT-Systeme (Hardware- und Software-Komponenten), die zugehörigen IT-Prozesse und sonstige Bestandteile des Informationsverbundes müssen die Integrität, die Verfügbarkeit, die Authentizität sowie die Vertraulichkeit der Daten sicherstellen. Für diese Zwecke ist bei der Ausgestaltung der IT-Systeme und der zugehörigen IT-Prozesse grundsätzlich auf gängige Standard... mehr

Rz. 112 Aufgrund ihrer besonderen Bedeutung für das Funktionieren der Prozesse hat das Institut in Abhängigkeit von Art, Umfang, Komplexität und Risikogehalt der Geschäftsaktivitäten auch Aussagen zur zukünftig geplanten Ausgestaltung der IT-Systeme zu treffen (→ AT 4.2 Tz. 1, Erläuterung). Damit wird die in den letzten Jahren ständig gestiegene Bedeutung der Informationstec... mehr

Rz. 114 Die Eignung der IT-Systeme und der zugehörigen IT-Prozesse ist regelmäßig zu überprüfen. Ein fester Turnus wird von Seiten der BaFin nicht vorgegeben. Jedes Institut muss daher vor dem Hintergrund der institutsindividuellen Situation entscheiden, welcher Turnus angemessen ist. Insbesondere im Rahmen von geschäftspolitischen Neuausrichtungen oder bei innerbetrieblich... mehr

Wolff-Diepenbrock, Zur Begriffsbestimmung der Katalogberufe und der ihnen ähnlichen Berufe, DStZ/A 1981, 333; Rothaus, Abgrenzung zwischen freiberuflicher und gewerblicher Tätigkeit von Ingenieuren oder ähnlichen Berufen, INF 1982, 344; Graf, § 18 EStG und die Tätigkeit des EDV-Beraters, INF 1990, 49; Kempermann, "Ähnliche Berufe" iSd § 18 Abs 1 EStG – zur Problematik der Autod... mehr

Rz. 15 Im Einzelfall besteht die Möglichkeit, unter bestimmten Voraussetzungen vom Erfordernis marktgerechter Bedingungen abweichen zu können. Eine derartige Ausnahme, die sich jedoch nur auf die Prolongation von Devisentermin- oder -optionsgeschäften zum Kurs bzw. Basispreis des ursprünglichen Geschäftes bezog ("alte Kursbasis" oder "historical rate rollover"), sahen berei... mehr

Rz. 43 Die Erkenntnisse aus beiden Analysen dienen im nächsten Schritt dazu, das Notfallkonzept mit Leben zu füllen. Im "Notfallkonzept" sollen u. a. die Verantwortlichkeiten, Ziele und Maßnahmen zur Fortführung bzw. Wiederherstellung der zeitkritischen Aktivitäten und Prozesse bestimmt werden. Das Notfallkonzept muss zudem die Geschäftsfortführungs- und Wiederherstellungspl... mehr

Rn. 449 Stand: EL 191 – ET: 08/2026 Bei einer freiberuflichen PersGes gehört zum BV zunächst das Gesamthandsvermögen der PersGes (zur gemeinsam entwickelten Software BFH BFH/NV 2001, 1547), sofern es nicht wegen erkennbaren Fehlens von Nutzen ausnahmsweise zum notwendigen PV gehört (BFH BStBl II 1996, 642). In Betracht kommt auch gewillkürtes BV nach den Grundsätzen s Rn 441 ... mehr

Rn. 198 Stand: EL 191 – ET: 08/2026 Dem Ingenieur "ähnlich" ist danach nur, wer eine vergleichbare Ausbildung vorweisen kann und eine in den wesentlichen Punkten vergleichbare Tätigkeit ausübt (BFH BStBl II 1983, 677; BFH BStBl II 1985, 584; BFH BStBl II 1988, 497; BFH BStBl II 1989, 198; BFH BStBl II 1990, 73; BFH BStBl II 1990, 337; BFH BStBl II 1991, 20; BFH BStBl II 1991,... mehr

Rn. 108 Stand: EL 191 – ET: 08/2026 Der Begriff schriftstellerische Tätigkeit wird seit jeher entsprechend dem allg Sprachgebrauch weit ausgelegt (BFH BStBl III 1958, 316; BFH BStBl II 1976, 192): Schriftstellerisch tätig ist, wer eigene Gedanken mit den Mitteln der Sprache schriftlich für die Öffentlichkeit niederlegt (BFH BStBl II 2003, 27; BFH BStBl II 2015, 128; BFH BStBl... mehr

Rz. 13 Der Umfang und die Qualität der technisch-organisatorischen Ausstattung müssen allerdings auch mit der Entwicklung der Geschäftsaktivitäten eines Institutes und dem technischen Fortschritt mithalten können. Insofern genügt es nicht, die technisch-organisatorische Ausstattung einmal zu überprüfen und für angemessen zu befinden. So können sich die betriebsinternen Erfor... mehr

Rz. 164 Auch im Hinblick auf den sonstigen Fremdbezug von IT-Dienstleistungen haben die Institute zunächst die allgemeinen Anforderungen an die ordnungsgemäße Geschäftsorganisation gemäß § 25a Abs. 1 KWG zu beachten (→ AT 9 Tz. 1, Erläuterung). Darüber hinaus sind bei jedem Bezug von Software die damit verbundenen Risiken angemessen zu bewerten (→ AT 7.2 Tz. 4 Satz ;2). Wege... mehr

Rz. 1 Wesentliche Veränderungen in den IT-Systemen im Rahmen von IT-Projekten, deren Auswirkung auf die IT-Aufbau- und IT-Ablauforganisation sowie die dazugehörigen IT-Prozesse sind im Rahmen einer Auswirkungsanalyse zu bewerten (vgl. AT 8.2 Tz. 1 MaRisk). Im Hinblick auf den erstmaligen Einsatz sowie wesentliche Veränderungen von IT-Systemen sind die Anforderungen des AT 7.... mehr

Rz. 91 Damit die Bestandteile des Informationsverbundes ihre Schutzziele erfüllen, ist bei der Ausgestaltung der IT-Systeme und zugehörigen IT-Prozesse grundsätzlich auf gängige Standards abzustellen. Der Rückgriff auf gängige Standards hat vor allem den Vorteil, dass auf Methoden abgestellt werden kann, die sich bereits in der Praxis bewährt haben. Dadurch wird nicht nur ei... mehr

Rz. 87 Unmittelbar im Anschluss an die Veröffentlichung der fünften MaRisk-Novelle hat die deutsche Aufsicht im November 2017 die "Bankaufsichtlichen Anforderungen an die IT" (BAIT) vorgelegt.[1] Dieses Rundschreiben gibt auf der Grundlage des § 25a Abs. 1 KWG einen flexiblen und praxisnahen Rahmen für die technisch-organisatorische Ausstattung der Institute vor, insbesonder... mehr

In der Aufsichtspraxis sind bei Auslagerungsverhältnissen vielfach nicht nur Unklarheiten, sondern auch Mängel in der Anwendung des AT 9 sichtbar geworden, die mich dazu bewogen haben, Neuerungen, Konkretisierungen und Klarstellungen in diesem Modul vorzunehmen. An einigen Stellen wird die schon existierende aufsichtliche Verwaltungspraxis stärker betont, vor allem aber wird... mehr

Rz. 8 Bei wesentlichen Veränderungen in den IT-Systemen sind ergänzend die "Bankaufsichtlichen Anforderungen an die IT" (BAIT)[1] zu beachten, mit deren Hilfe die MaRisk in den relevanten Bereichen weiter konkretisiert werden. Die Aufsicht erläutert darin auch, was sie unter angemessenen Änderungsprozessen von IT-Systemen versteht (→ AT 7.2 Tz. 3). Die MaRisk und die BAIT si... mehr

Rz. 63 Die MaRisk-Novelle konkretisierte auch die Anforderungen an die Auslagerung von Prozessen und Aktivitäten. Die besonderen Funktionen Risikocontrolling, Compliance und Interne Revision stellen für die Geschäftsleitung wichtige Steuerungsinstrumente dar. Eine vollständige Auslagerung dieser Funktionen ist daher nur in bestimmten Ausnahmefällen möglich.[1] Die Institute ... mehr

Rz. 31 Im Rahmen der Prüfungsplanung muss sich die Interne Revision über die Art der eingesetzten Prüfungsmethoden im Klaren sein, die unterschiedlich aufwendig sein können. Konkrete Vorgaben werden hierzu nicht gemacht, so dass grundsätzlich Methodenfreiheit besteht. Die Entscheidung über das konkrete Vorgehen hängt im Wesentlichen vom jeweiligen Prüfungsobjekt ab. Die Inte... mehr

Rz. 25 Die IT-Systeme (Hardware- und Software-Komponenten), die zugehörigen IT-Prozesse und die sonstigen Bestandteile des Informationsverbundes müssen die "Integrität", die "Verfügbarkeit", die "Authentizität" sowie die "Vertraulichkeit" der Daten sicherstellen. Gemäß Tz. 4.7 BAIT handelt es sich dabei um die sogenannten "Schutzziele" bzw. im Sprachgebrauch des Bundesamtes... mehr

Rz. 7 Die technisch-organisatorische Ausstattung umfasst die Gesamtheit der Einrichtungen und Anlagen zur Leistungserstellung. Dazu zählen z. B. Grundstücke, Gebäude und das Büroinventar. Mit dem Ausbruch der COVID-19-Pandemie hat sich der Arbeitsmittelpunkt für verschiedene Tätigkeiten zunächst vorübergehend in das Homeoffice verschoben. Dass dieser Trend wieder vollständig... mehr