Laut dem Gastbeitrag von Jan Wichmann (JWR Advisory) im IT Finanzmagazin vom 13.10.2026 verlangt DORA (Digital Operational Resilience Act, europäische Verordnung zur digitalen operationalen Resilienz) seit Januar 2025 dokumentierte Exit-Strategien für jede ausgelagerte kritische Funktion. Nach einer dort zitierten PPI-Studie haben nur 18 Prozent der Banken, die IT-Prozesse auslagern, eine solche Strategie verankert. Für Verträge mit Banking-as-a-Service-Partnern (BaaS, Bankdienstleistungen über Partnerplattformen) nennt der Autor vier Bausteine: Fristen und Kostenverteilung für den Ausstieg, Portabilität der Daten einschließlich der Legitimationsdaten (soweit das Geldwäschegesetz die Übernahme erlaubt), ein täglicher Abgleich zwischen Endkundensalden und Bankbestand mit Einsicht für die Plattform sowie ein Migrationsplan für IBANs und Kartennummern. Banken, die ihre Lizenz als Sponsor zur Verfügung stellen, brauchen nach Einschätzung des Autors eine eigene Echtzeitsicht auf jeden Endkundensaldo, eigenen Zugriff auf die Transaktionsdaten und eine eigene Geldwäscheprävention. Einordnung von Qvestcon: COO, CISO und Compliance können das Informationsregister der IKT-Drittanbieter (Informations- und Kommunikationstechnik) daraufhin prüfen, ob für jede kritische Funktion ein Ausstiegsplan mit Frist, Kostenverteilung und Datenübernahme vorliegt. Der Beitrag ist eine Autorenmeinung mit Faktenangaben und keine Primärquelle. Maßgeblich ist der Verordnungstext.