Question 1

Welche IKT-Dienstleister gelten als kritisch und wer benennt sie?

Accepted Answer

Kritisch wird ein IKT-Dienstleister nicht durch die Einschätzung eines Hauses, sondern durch Benennung der Aufsicht. Die Europäischen Aufsichtsbehörden EBA, EIOPA und ESMA benennen die kritischen IKT-Drittdienstleister nach DORA und veröffentlichen die Liste. Nach Angaben der Aufsicht gelten IKT-Drittdienstleister im Sinne von DORA dann als kritisch, wenn ein bedeutender Teil des europäischen Finanzsektors von ihnen abhängig ist.

Die Benennung ändert die Verantwortung des Hauses nicht. Banken bleiben nach § 25b KWG für die Einhaltung der gesetzlichen Bestimmungen verantwortlich, Versicherer nach § 32 VAG für die Erfüllung aller aufsichtsrechtlichen Vorschriften und Anforderungen. Auch die Prüfung durch die Aufsicht entbindet nicht davon, den eigenen Dienstleister selbst zu prüfen, sofern die regulatorischen Anforderungen das verlangen.

Question 2

Darf ein Haus den Geldwäschebeauftragten auslagern und wer bleibt verantwortlich?

Accepted Answer

Ja, unter Bedingungen. Die BaFin schreibt: Laut GwG können Kreditinstitute grundsätzlich die Aufgaben eines Geldwäschebeauftragten an einen externen Dienstleister auslagern. Die Verpflichteten dürfen die internen Sicherungsmaßnahmen, zu denen die Bestellung eines Geldwäschebeauftragten und seines Stellvertreters zählt, im Rahmen von vertraglichen Vereinbarungen durch einen Dritten durchführen lassen, wenn sie dies vorher der Aufsichtsbehörde angezeigt haben. Die Aufsichtsbehörde kann die Übertragung untersagen, wenn der Dritte nicht die Gewähr für eine ordnungsgemäße Durchführung bietet, wenn die Steuerungsmöglichkeiten der Verpflichteten beeinträchtigt werden oder wenn ihre eigene Aufsicht beeinträchtigt wird. In der Anzeige ist darzulegen, dass diese Voraussetzungen nicht vorliegen. Für Kreditinstitute nennt § 25h KWG die Rückübertragung: Die Aufsicht kann sie verlangen, wenn der Dritte nicht die Gewähr für eine ordnungsgemäße Durchführung bietet oder die Steuerungsmöglichkeiten und die Kontrollmöglichkeiten der Aufsicht beeinträchtigt werden könnten.

Die Verantwortung bleibt beim Haus. Das GwG bestimmt: Die Verantwortung für die Erfüllung der Sicherungsmaßnahmen bleibt bei den Verpflichteten. Die Verantwortung der Leitungsebene bleibt unberührt. Die BaFin: „Die Letztverantwortung verbleibt in jedem Fall bei den Kreditinstituten bzw. Verpflichteten.“ Versicherer sind Verpflichtete nach § 2 Absatz 1 Nummer 7 GwG, soweit sie Lebensversicherungstätigkeiten, Unfallversicherungen mit Prämienrückgewähr, Darlehen oder Kapitalisierungsprodukte anbieten.

Eine Meldung der BaFin nennt einen Fall, dessen Bescheid seit dem 19. August 2026 rechtskräftig ist. Ein Kreditinstitut hatte die Funktion des Geldwäschebeauftragten auf einen externen Dienstleister ausgelagert, der mehrere Mandanten in dieser Form betreut. Die BaFin setzte Bußgelder von 210.000 Euro fest; Grund waren Mängel in der Geldwäscheprävention.

FAQ: Aufsicht, Haftung und Strafen

Aufsicht, Haftung und Strafen