Banken: Zittern beim Thema Outsourcing

IT-Partner sorgfältig überwachen

Die Deutsche Bankenaufsicht führt sicherheitstechnische Analysen von E-Banking-Plattformen durch. Dabei spielt auch Outsourcing eine tragende Rolle - und das Verhältnis zu Technologie-Partnern.

Das Bundesaufsichtsamt für das Kreditwesen und die Deutsche Bundesbank werden in Zusammenarbeit mit dem Bundesamt für Sicherheit in der Informationstechnik (BSI) die technischen Sicherheitsvorkehrungen der E-Banking-Plattformen verschiedener Kreditinstitute in einem langfristig angelegten Projekt untersuchen. In die Aktion sind zunächst insbesondere Institute einbezogen, die einen hohen Anteil ihrer Geschäftsvorfälle mit Privat- oder Firmenkunden über das Internet abwickeln.

Zusammen mit Fragen der IT-Sicherheitsinfrastruktur steht "Outsourcing" im Mittelpunkt. Operationale Risiken beim Auslagern von IT-bezogenen Dienstleistungen betreffen die Entwicklung von Software, das "Back Office" oder den Vertrieb von Finanzdienstleistungen.

Einerseits begrüßen die Banken die erhöhte Effizienz, die es auch kleineren Instituten mit entsprechend geringerem Budget für IT-Aufwendungen ermöglicht, leistungsfähige E-Banking-Anwendungen anzubieten. Andererseits entstehen Abhängigkeiten, etwa von Softwarehäusern, und das operationale Risiko kann steigen, bemerkt die Deutsche Bundesbank in den Monatsschriften von Dezember 2000. Ferner haben diese Partner der Banken zwar das nötige Fachwissen im Technologiebereich, möglicherweise aber nicht ausreichende Kenntnis der komplexen, bankspezifischen Risiken. Es sei somit nicht auszuschließen, dass Banken risikobehaftete Bereiche outsourcen, ohne dass die IT-Dienstleister sich der damit verbundenen Bankrisiken voll bewusst sind. Ferner erhöhe sich die Komplexität und damit das Outsourcing-Risiko dadurch, dass Banken zum Teil mit verschiedenen voneinander unabhängigen IT-Partnern zusammenarbeiten.

Für die Bankenaufsicht in Bonn ist auch die Tatsache von Bedeutung, dass durch verschiedene neue Formen der Kooperation von Banken mit Technologieanbietern völlig neue Unternehmensverbindungen aus Banken und Nichtbanken entstehen. Es ist daher wichtig, rät die Deutsche Bundesbank, dass die Banken ihre jeweiligen Partner sehr sorgfältig auswählen, überwachen und die Gesamtverantwortung für die bankspezifischen Risiken tragen, auch nachdem sie die Geschäfte ausgelagert haben.

Outsourcing ist kein unbekanntes Bankrisiko, resümiert die Deutsche Bundesbank, aber die Menge der ausgelagerten Aktivitäten sowie das Ausmaß der einzelnen Outsourcing-Vereinbarungen haben im Bereich des E-Banking eine neue Dimension erreicht. So birgt die Kommunikation zwischen Bank und Kunden über das "offene" Netzwerk des Internet die Gefahr, dass sensible Daten ausgespäht, verfälscht, zerstört oder missbraucht werden. Auch können Systemeinbrüche oder Virenangriffe beim E-Banking das Vertrauen der Bankkunden auf die sichere Abwicklung elektronischer Transaktionen nachhaltig beeinflussen.

Daher schaltet die deutsche Bankenaufsicht in Bonn einen Gang höher, um die Bemühungen der Kreditwirtschaft um eine Begrenzung operationaler Risiken und eine angemessene Ausgestaltung der Sicherheitsstandards im Bereich des E-Banking voranzutreiben. Zu diesem Zweck nimmt die Bonner Behörde die fachliche Unterstützung des BSI in Anspruch. Mit diesem Projekt will das Bundesaufsichtsamt "seinen Vorstellungen über die Umsetzung einer qualitativ orientierten Bankenaufsicht eine weitere Komponente hinzufügen."

Bedingungen Ein Rundschreiben des Aufsichtsrates für Kreditwesen (BAKred) nennt die wesentlichen Kriterien für ein aufsichtsrechtlich zulässiges Auslagern.

Den Bereich des aufsichtsrechtlich zulässigen Auslagerns stellt in einem Rundschreiben das Bundesaufsichtsamt für das Kreditwesen (BAKred) klar. Transparenz, Kontrolle und Datenschutz mit Blick auf Subunternehmer lauten die Maximen. Dann sind die Bedingungen gegeben, unter denen Auslagerungen von Tätigkeiten mit dem Gesetz über das Kreditwesen (KWG) vereinbar sind.

§ 25a Abs. 2 KWG trägt dem Anliegen der Kredit- und Finanzdienstleistungsinstitute Rechnung, zur Stärkung ihrer Wettbewerbsfähigkeit die Unternehmensfunktionen und -prozesse durch die Beauftragung externer Dienstleister zu optimieren. Zugleich soll die Vorschrift der Gefahr entgegenwirken, dass durch die Auslagerung von aufsichtlich sensiblen Bereichen auf Dritte die Steuerungs- und Kontrollmöglichkeiten der Geschäftsleitung und die aufsichtlichen Einwirkungsmöglichkeiten faktisch gelockert werden.

	Grundsätzlich ist die Auslagerung jedes Tätigkeitsbereichs eines Instituts möglich, sofern durch die Auslagerung weder die Ordnungsmäßigkeit der betriebenen Bankgeschäfte oder der erbrachten Finanzdienstleistungen, die Steuerungs- und Kontrollmöglichkeiten der Geschäftsleitung noch die Prüfungsrechte und Kontrollmöglichkeiten des Bundesaufsichtsamtes beeinträchtigt werden. Dabei ist es dem Grunde nach unerheblich, ob die Auslagerung auf ein Konzernunternehmen oder ein rechtlich und wirtschaftlich unabhängiges Unternehmen erfolgt.
	Weiterverlagerungen ausgelagerter Tätigkeiten auf Dritte (Subunternehmer) sind nur zulässig, wenn sichergestellt ist, dass die Weiterverlagerung nicht ohne Kenntnis und Zustimmung des auslagernden Instituts erfolgen darf und gewährleistet ist, dass der Subunternehmer den zwischen auslagerndem Institut und Auslagerungsunternehmen bestehenden Verpflichtungen ebenfalls nachkommt.
	Das Auslagerungsunternehmen ist dem Geschäftsgeheimnis des Instituts und, soweit ihm Kundendaten bekannt sind, dem Bankgeheimnis des auslagernden Instituts zu unterstellen. Das Auslagerungsunternehmen hat sich ausdrücklich zu verpflichten, die Vertraulichkeit der Kundendaten zu wahren.

Bietet das Auslagerungsunternehmen seine Dienstleistungen mehreren Instituten an, so ist durch besondere technische, personelle und organisatorische Maßnahmen sicherzustellen, dass die Vertraulichkeit der Daten nicht nur gegenüber Dritten, sondern auch zwischen den verschiedenen auslagernden Instituten gewahrt bleibt.