Die Bundesanstalt für Finanzdienstleistungsaufsicht (BaFin) hat gegenüber der State Bank of India, Zweigniederlassung Frankfurt am Main, verbindlich angeordnet, die Ordnungsmäßigkeit ihrer Geschäftsorganisation sicherzustellen. Diese Maßnahme ist seit dem 4. August 2025 bestandskräftig.
Hintergrund der aufsichtsrechtlichen Anordnung ist eine im Jahr 2024 durchgeführte IT-Sonderprüfung, bei der erhebliche Mängel festgestellt wurden. Die Bank hatte in mehreren geprüften Bereichen die geltenden aufsichtlichen Anforderungen nicht erfüllt. Insbesondere wurde deutlich, dass sowohl die allgemeine Geschäftsorganisation als auch die Auslagerung wesentlicher Tätigkeiten den gesetzlichen Anforderungen nicht genügten. Damit verstieß das Institut gegen die Vorgaben des § 25a und § 25b des Kreditwesengesetzes (KWG).
Zusätzlich zu den IT-bezogenen Mängeln registrierte die BaFin auch mehrere Verstöße im Zusammenhang mit Großkrediten – ein besonders sensibles Aufsichtsthema, da es sich hierbei um mögliche Konzentrationsrisiken für das Kreditinstitut handelt. Diese Kombination von Beanstandungen veranlasste die BaFin, die umfassende Maßnahme zur Wiederherstellung einer ordnungsgemäßen Geschäftsorganisation anzuordnen.
Anforderungen an eine ordnungsgemäße Geschäftsorganisation
Gemäß § 25a Abs. 1 KWG sind Institute verpflichtet, ihre Geschäftsorganisation so aufzustellen, dass alle gesetzlichen, aufsichtsrechtlichen und betriebswirtschaftlichen Anforderungen eingehalten werden. Dazu zählen insbesondere:
-
Ein wirksames internes Kontrollsystem
-
Ein funktionierendes Risikomanagement
-
Eine klare Aufbau- und Ablauforganisation
-
Ein den Anforderungen entsprechendes Management der IT-Ressourcen
Die spezifischen Anforderungen an das IT-Risikomanagement sind seit Jahren im BaFin-Rundschreiben 10/2017 (BAIT) geregelt. Diese Regeln gelten bis Ende 2026 und werden schrittweise durch die neue EU-Verordnung DORA (Digital Operational Resilience Act) ersetzt, die seit dem 17. Januar 2025 gilt und erstmals europaweit einheitliche Standards zur digitalen Resilienz von Finanzinstituten einführt.
Großkreditregelung – Ein weiterer Aufsichtsverstoß
Zusätzlich zu den IT-Mängeln stellte die BaFin Verstöße gegen das Großkreditregime fest. Dieses soll verhindern, dass Institute zu stark von einzelnen Kreditnehmern oder verbundenen Gruppen abhängig sind. Ein Großkredit überschreitet mehr als 10 Prozent des Kernkapitals eines Instituts, darf aber grundsätzlich nicht über 25 Prozent hinausgehen. Solche Kredite müssen besonders sorgfältig überwacht und einstimmig von allen Geschäftsleitern genehmigt werden.
Konsequente Reaktion der Aufsicht
Die nun ergriffene Maßnahme der BaFin basiert auf § 25a Abs. 2 Satz 2 KWG. Die Behörde kann in Fällen festgestellter Mängel eingreifen und Maßnahmen zur Wiederherstellung der Ordnungsmäßigkeit anordnen – so auch im Fall der State Bank of India Frankfurt.
Die Veröffentlichung der Maßnahme erfolgt auf Grundlage des § 60b Abs. 1 KWG, der Transparenz in aufsichtsrechtlichen Eingriffen gewährleisten soll.
Fazit
Mit dieser Entscheidung sendet die BaFin ein klares Signal: Eine ordnungsgemäße Geschäftsorganisation, insbesondere im Bereich IT und Risikomanagement, ist nicht verhandelbar. Gerade vor dem Hintergrund zunehmender digitaler Risiken und internationaler Verflechtungen ist die Sicherstellung robuster Kontrollmechanismen in Banken von zentraler Bedeutung für die Stabilität des Finanzsystems.
