Die Bundesanstalt für Finanzdienstleistungsaufsicht (BaFin) hat der Deutsche Sparkassen Leasing AG & Co. KG die Auflage erteilt, ihre Geschäftsorganisation zu verbessern. Hintergrund ist eine Sonderprüfung Ende 2024, die gravierende Mängel im IT-Bereich des Unternehmens offengelegt hat.
Laut BaFin war insbesondere das Schwachstellenmanagement sowie das Identitäts- und Rechtemanagement nicht im Einklang mit den gesetzlichen Vorgaben. Damit verstieß das Institut gegen § 25a Absatz 1 des Kreditwesengesetzes (KWG), der eine ordnungsgemäße Geschäftsorganisation für Kredit- und Finanzdienstleistungsinstitute vorschreibt. Die Maßnahme der BaFin ist seit dem 23. September 2025 bestandskräftig.
Die Aufsicht begründet ihr Vorgehen mit der Pflicht, sicherzustellen, dass Institute über ein wirksames Risikomanagement und eine sichere IT-Struktur verfügen. Die entsprechenden Anforderungen sind in den Bankaufsichtlichen Anforderungen an die IT (BAIT) festgelegt. Diese Regeln sollen gewährleisten, dass Risiken durch Cyberangriffe, Systemausfälle oder interne Fehlberechtigungen frühzeitig erkannt und minimiert werden.
Im konkreten Fall ordnete die BaFin an, dass die Deutsche Sparkassen Leasing AG & Co. KG die festgestellten Defizite unverzüglich beseitigt und ihre IT-Sicherheitsprozesse entsprechend den regulatorischen Vorgaben anpasst.
Rechtliche Grundlage und Transparenzpflicht
Gemäß § 25a Absatz 2 Satz 2 KWG ist die BaFin berechtigt, bei organisatorischen Mängeln aufsichtsrechtliche Maßnahmen zu ergreifen. Die Veröffentlichung solcher Anordnungen erfolgt auf Basis von § 60b Absatz 1 KWG, um Transparenz über Aufsichtsmaßnahmen im Finanzsektor zu schaffen.
Einordnung:
Der Fall zeigt, dass die BaFin zunehmend ein Augenmerk auf IT-Sicherheit und Governance-Strukturen legt – insbesondere bei Instituten, die im Finanzverbund wie der Sparkassen-Finanzgruppe tätig sind. Gerade im Zeitalter der Digitalisierung wird erwartet, dass Kreditinstitute nicht nur wirtschaftlich stabil, sondern auch technologisch resilient sind.
Für Anleger, Partner und Kunden bedeutet die Maßnahme vor allem eines: Die Aufsicht will sicherstellen, dass IT-Sicherheitsrisiken im Finanzsektor ernst genommen und nachhaltig abgestellt werden.
