Die Bundesanstalt für Finanzdienstleistungsaufsicht (BaFin) hat gegenüber der Deutsche Sparkassen Leasing AG & Co. KG eine aufsichtsrechtliche Maßnahme angeordnet. Das Unternehmen muss seine Geschäftsorganisation ordnungsgemäß ausgestalten, insbesondere im Bereich der Informationstechnologie (IT). Die Maßnahme ist seit dem 23. September 2025 bestandskräftig.
Hintergrund: Mängel bei IT-Risiken aufgedeckt
Auslöser war eine Sonderprüfung Ende 2024, bei der erhebliche Mängel im IT-Bereich festgestellt wurden. Besonders betroffen waren das Schwachstellenmanagement sowie das Identitäts- und Rechtemanagement. Beide Bereiche sind zentrale Bestandteile eines funktionierenden IT-Risikomanagements – und somit elementarer Bestandteil einer ordnungsgemäßen Geschäftsorganisation.
Damit verstieß das Institut gegen die Vorgaben des § 25a Absatz 1 Kreditwesengesetz (KWG). Dieser Paragraph verpflichtet alle Kredit- und Finanzdienstleistungsinstitute dazu, eine angemessene Geschäftsorganisation sicherzustellen, die sowohl die Einhaltung gesetzlicher Bestimmungen als auch eine betriebswirtschaftlich sinnvolle Unternehmensführung gewährleistet.
BaFin greift durch
Die BaFin machte von ihrem Recht nach § 25a Absatz 2 Satz 2 KWG Gebrauch und ordnete an, dass die festgestellten Mängel zu beseitigen sind. Die Entscheidung wurde gemäß § 60b Absatz 1 KWG veröffentlicht.
Die Anforderungen an die IT-Organisation sind durch das Rundschreiben 10/2017 (BA) – Bankaufsichtliche Anforderungen an die IT (BAIT) konkretisiert. Diese Anforderungen definieren unter anderem Standards für:
-
IT-Governance und IT-Strategie
-
Informationssicherheitsmanagement
-
Benutzerrechte- und Identitätsmanagement
-
Umgang mit Schwachstellen und IT-Risiken
Ziel: Schutz von Stabilität und Sicherheit
Mit der Maßnahme will die BaFin sicherstellen, dass potenzielle Risiken frühzeitig erkannt und effektiv gesteuert werden können. Eine mangelhafte IT-Struktur kann nicht nur die Sicherheit eines einzelnen Instituts gefährden, sondern auch systemische Risiken für den gesamten Finanzmarkt nach sich ziehen.
Die Deutsche Sparkassen Leasing AG & Co. KG ist nun verpflichtet, konkrete Verbesserungen umzusetzen, um die regulatorischen Anforderungen vollständig zu erfüllen. Die BaFin wird die Einhaltung der Anordnung weiterhin überwachen.
Hinweis für die Branche
Die BaFin macht mit diesem Fall deutlich, dass sie bei Mängeln in der Geschäftsorganisation – insbesondere im Bereich IT – konsequent durchgreift. Kredit- und Finanzdienstleistungsinstitute sind daher aufgerufen, ihre internen Strukturen und Prozesse regelmäßig zu überprüfen und an geltende aufsichtsrechtliche Standards anzupassen.
