BaFin-Erwartungen an Cloud-Outsourcing und DORA auf AWS, Azure und GCP

BaFin-Perspektive: Outsourcing, nicht nur „AWS nutzen“

BaFin behandelt materielles IT- und Cloud-Outsourcing seit Jahren als aufsichtsrechtliches Thema: Vorabanzeige oder -genehmigung bei materiellen Vereinbarungen, dokumentierte Risikoanalyse, Exit-Planung und Audit-Zugang sind wiederkehrende Motive in BaFin-Kommunikation und in den Bankaufsichtlichen Anforderungen an die IT (BAIT) für unter BaFin beaufsichtigte Institute.

Ein Hyperscaler ist nicht deshalb ausgenommen, weil der Anbieter groß ist. Entscheidend ist, ob die Vereinbarung eine für den ordnungsgemäßen Betrieb materielle Funktion oder Ressource auslagert - und ob Governance, Dokumentation und Kontrollen zur Materialität passen. Eine Produktions-Landing Zone auf AWS, Azure oder GCP mit kundenseitigen Zahlungsflüssen ist fast immer materiell; die Frage ist, wie Sie Aufsicht nachweisen, nicht ob Sie ein Formular abgeben.

DORA Artikel 28: Informationsregister

Artikel 28 Absatz 3 verlangt von Finanzunternehmen ein Informationsregister über alle vertraglichen Vereinbarungen mit IKT-Drittanbietern. Das Register muss Anbieter, unterstützte Funktionen, verarbeitete Daten, Standorte, relevante Unterauftragsketten und die Einordnung, ob die Funktion kritisch oder wichtig ist, abdecken - mit Inhalten, die in den delegierten Rechtsakten näher spezifiziert sind (Delegierte Verordnung (EU) 2024/1773).

Für Cloud-Teams ist das Register nur so gut wie das Inventar dahinter: jeder Produktions-Account, jede Subscription oder jedes Projekt, an eine regulierte Service-Linie gebunden, verknüpft mit Enterprise Agreement oder Bestellformular, mit einem Owner, der Update-Anfragen beantworten kann. Eine Tabelle mit einer Zeile „AWS“ ist kein Register; ein CSPM-Asset-Export ohne Vertragsmapping ebenfalls nicht.

Artikel 29-30: Konzentrationsrisiko und Vertragsklauseln

Artikel 29 verlangt die Beurteilung von Konzentrationsrisiko, wenn Abhängigkeit von einem oder wenigen IKT-Drittanbietern die Resilienz beeinträchtigen könnte. Single-Cloud ist eine legitime Strategie; undokumentierte Abhängigkeit von einer Region, einem Organisations-Root und einem Support-Plan ohne Exit-Narrativ ist es, was Aufsicht hinterfragt.

Artikel 30 listet Mindestvertragsinhalte für Vereinbarungen, die kritische oder wichtige Funktionen stützen: vollständige Leistungs- und SLA-Beschreibungen, Daten- und Verarbeitungsstandorte, Unterstützung bei Vorfällen und Audits, Teilnahme an Resilienztests, Kündigungs- und Exit-Rechte sowie Unterauftragnehmer mit Durchgriffspflichten. Hyperscaler publizieren Financial-Services-Addenda (z. B. AWS-ESA-Komponenten, Microsoft FS Addendum, Google Cloud Financial Services Terms), die viele Klauseln adressieren - sie müssen aber unterzeichnet, archiviert und im Register referenziert sein, nicht aus einem Standard-Online-Vertrag angenommen werden.

Was Cloud-Engineering vorlegen können muss

Aufsichts- und interne Audit-Reviews verlangen zunehmend Artefakte aus Engineering-Systemen, nicht nur aus Legal-Ordnern:

• ✓Architektur- und Datenflussdiagramme, die zur Produktion passen: Regionen, Verschlüsselung, Identity-Föderation, Logging-Ziele.
• ✓Nachweise, dass Audit- und Zugangsrechte aus Artikel 30 operationalisiert sind - wer CloudTrail, Activity Logs oder Azure-Monitor-Exporte für ein Prüffenster ziehen kann.
• ✓Incident- und Resilienztest-Aufzeichnungen, verknüpft mit kritischen Funktionen in der Cloud.
• ✓Exit-Mechanik auf technischer Ebene: Backups, IaC-Portabilität, RTO/RPO-Annahmen - auch wenn Multi-Cloud-Exit kein Geschäftsplan ist.

Rollen: rechtliche Freigabe vs. engineerierte Nachweise

Vertragsverhandlung, aufsichtsrechtliche Meldungen an die BaFin wo erforderlich und formale Einordnung von Funktionen als kritisch oder wichtig unter DORA gehören zu Legal, Compliance und dem Leitungsorgan - nicht allein zum Plattform-Team.

Stratoworks sitzt auf der Engineering-Seite dieser Grenze: Landing Zones, Guardrails, Logging, Backup/Restore-Tests, register-taugliche Inventarexporte und technische Anhänge, die Legal-Teams Outsourcing-Akten beifügen. Wir erteilen keine Rechtsberatung und signieren keine Meldungen; wir erschweren es, dass die technische Geschichte der regulatorischen widerspricht.

Ein sinnvoller 90-Tage-Engineering-Track (parallel zu Legal)

Während Legal Addenda und Meldungen vorantreibt, können Cloud-Teams Nachweise voranbringen, die BaFin-Outsourcing-Akten und DORA-Reviews stützen:

• ✓Wochen 1-3: IKT-Anbieter-Inventar (IaaS, PaaS, SaaS mit Produktionsbezug) vervollständigen, auf Geschäftsservices mappen, Register-Zeilen entwerfen.
• ✓Wochen 4-6: unterzeichnete Verträge gegen Artikel-30-Themen prüfen; fehlende FS-Addenda oder undefinierte Subprozessoren an Legal melden.
• ✓Wochen 7-9: Logging und Backup/Restore-Test-Nachweise für kritische Workloads zentralisieren; Regionen und Verschlüsselungs-Defaults dokumentieren.
• ✓Wochen 10-12: ein Tabletop durchführen, das ein Cloud-Ausfallszenario mit Meldepflichten (Artikel 17-23) verknüpft, und das Register bei Änderungen aktualisieren.

FAQ