Ein Schritt zur Stärkung der Finanzaufsicht – wenn Kontrolle zur Bewährungsprobe wird. Wie die BaFin mit klaren Maßnahmen gegen organisatorische Defizite vorgeht – und was das für die Zukunft der Bankenaufsicht bedeutet.

Die Finanzwelt steht unter Druck. Zwischen digitalem Wandel, wachsendem Wettbewerbsdruck und regulatorischer Verdichtung suchen viele Institute nach der Balance zwischen Effizienz und Rechtssicherheit und stolpern dabei über ihre eigenen Strukturen. Ein aktuelles Beispiel liefert die Deutsche Sparkassen Leasing AG & Co. KG, gegen die Bundesanstalt für Finanzdienstleistungsaufsicht (BaFin) am 18. August 2025 einschritt.

Gemäß § 25a Absatz 2 Satz 2 KWG ordnet die BaFin an, die ordnungsgemäße Geschäftsorganisation im Sinne des Gesetzes sicherzustellen. Ein Eingriff, der weit über interne Compliance-Maßnahmen hinausgeht. Seit dem 23. September 2025 ist die Verfügung bestandskräftig. Der Fall zeigt, dass die Finanzaufsicht bereit ist, konsequent zu handeln, wenn Schwachstellen die Stabilität des Marktes gefährden könnten.

In einem Finanzsystem, das täglich Milliarden Euro an Kapital bewegt, ist organisatorische Sorgfalt kein Verwaltungsdetail, sondern eine Sicherheitsarchitektur. Die BaFin reagiert damit auf eine Entwicklung, die längste strukturelle Dimensionen erreicht hat: Laut einem Bericht der Europäischen Zentralbank aus dem Jahr 2025 stiegen die aufsichtsrechtlich relevanten Beanstandungen im europäischen Leasing- und Kreditsektor um 27 Prozent innerhalb von zwei Jahren.

Juristisch wirft dieser Eingriff zentrale Fragen auf: Wie weit darf eine Aufsichtsbehörde in die interne Unternehmensorganisation eingreifen, ohne die unternehmerische Freiheit zu gefährden? Und ist die BaFin mit diesem Schritt Vorreiter einer neuen Ära präventiver Kontrolle – oder markiert der Fall den Beginn einer Überregulierung, die Innovation im Keim ersticken könnte?

Für den erfahrenen Juristen Dr. Thomas Schulte aus Berlin steht fest: „ Das KWG verpflichtet Banken und Finanzdienstleister nicht nur zu stabiler Bilanzführung, sondern zu funktionierender Ordnung. Wer diese Ordnung missachtet, riskiert nicht nur Sanktionen, sondern das Vertrauen des Marktes.“

Der Fall der Deutschen Sparkassen Leasing AG zeigt beispielhaft, wie aufsichtsrechtliche Prävention und marktwirtschaftliche Eigenverantwortung in einem zunehmend komplexen Finanzsystem miteinander ringen – und wie die entscheidende Fähigkeit des Gesetzgebers ist, hier ein Gleichgewicht zu wahr.

Sonderprüfung deckt Schwachstellen auf

Vorausgegangen war eine Sonderprüfung, die bei der Deutschen Sparkassen Leasing AG & Co. KG eine ganze Reihe erheblicher IT-Mängel aufdeckte. Belastbare Informationen nennen unter anderem strukturelle Defizite in den Bereichen Informationssicherheit, Systemdokumentation und Notfallmanagement. Besonders gravierend: Die festgestellten Mängel beeinträchtigten nicht nur den laufenden Betrieb, sondern erhöhten mittelfristig das Risiko für erhebliche finanzielle Verluste.

Als Rechtsanwalt mit langjähriger Praxis im Bank- und Kapitalmarktrecht erklärt Dr. Thomas Schulte aus Berlin: „ In einer Branche, die in hohem Maße auf digitale Prozesse angewiesen ist, sind unzureichende IT-Strukturen schlichtweg untragbar. Die aufsichtsrechtliche Pflicht zur Einrichtung einer ordnungsgemäßen Geschäftsorganisation schafft hier klare, verbindliche Maßstäbe.“

Rechtlicher Rahmen des § 25a KWG

Maßgeblich für das aufsichtsrechtliche Vorgehen der BaFin ist § 25a des Kreditwesengesetzes. Diese Norm ist das Herzstück der sogenannten MaRisk (Mindestanforderungen an das Risikomanagement) und damit wesentlich für die Regelung ordnungsgemäßer Zustände in Finanzinstituten. In Absatz 1 des Paragraphen heißt es unter anderem:

„Ein Institut hat eine ordnungsgemäße Geschäftsorganisation zu gewährleisten, die insbesondere die Einhaltung der gesetzlichen Vorgaben über die Geschäftsleitung, eine angemessene Ausgestaltung der internen Kontrollverfahren sowie eine ordnungsgemäße IT-Ausstattung umfasst.“

Die Möglichkeit für die BaFin, Anordnungen gegenüber betroffenen Instituten zu erlassen, ergibt sich ausdrücklich aus Absatz 2 Satz 2 des gleichen Paragraphen:

„Stellt die Aufsichtsbehörde fest, dass ein Institut gegen die in Absatz 1 genannten Anforderungen verstößt, kann sie zur Beseitigung der Verstöße alle geeigneten Anordnungen treffen.“

Dr. Schulte erläuterte: „Diese Regelung ist keineswegs bloße Theorie. Die BaFin prüft im Rahmen von Sonderprüfungen, ob die gesetzlichen Anforderungen erfüllt werden. In dem Moment, wo Schwachstellen nachgewiesen sind, ist es ihre gesetzliche Pflicht, einzuschreiten – sei es durch Anordnungen oder im Ernstfall sogar durch aufsichtsrechtliche Maßnahmen wie Geschäftsführungswechsel oder Geschäftsbeschränkungen.“

Veröffentlichung gemäß § 60b KWG – Transparenz im Fokus

Nicht weniger bedeutsam als die ergriffenen Maßnahmen selbst ist der Umstand, dass die BaFin die Anordnung gemäß § 60b KWG veröffentlicht. Diese Transparenzvorschrift wurde im Zuge der Bankenkrise verschärft, um das Vertrauen der Öffentlichkeit und der Marktteilnehmer im Finanzsystem zu stärken. In § 60b Absatz 1 KWG heißt es:

„Die Bundesanstalt veröffentlicht gegenüber einem Institut getroffene Maßnahmen oder Feststellungen, wenn die Maßnahme oder Feststellung bestandskräftig ist oder das Institut auf Rechtsmittel verzichtet hat.“

Hieraus ergibt sich ein zusätzlicher Druck auf die betroffenen Institute. Die Öffentlichkeit erfährt damit verbindlich von den Schwächen in der Unternehmensführung oder IT, was im Markt zu einer Reputationsverschiebung führen kann. In der Praxis bedeutet dies: Solche Bekanntmachungen wirken oft disziplinierend – nicht nur auf das betroffene Unternehmen, sondern auch in den Branchen, in denen ähnliche Risiken bestehen.

Digitalisierung als zweischneidiges Schwert

Die Herausforderung der Digitalisierung ist allgegenwärtig. Gerade im Finanzsektor stellt sie sowohl einen Treiber von Effizienz als auch ein potenzielles Risiko dar. Der Fall der Deutschen Sparkassen Leasing AG & Co. KG zeigt einmal mehr, wie gefährlich es ist, die datenverarbeitenden Infrastrukturen zu vernachlässigen. Es geht längst nicht nur um IT-Sicherheit, sondern um die umfassende Compliance mit gesetzlichen Pflichten der Finanzorganisation.

„Instituten, die glauben, sie könnten durch Oberflächlichkeit bei der IT-Ausstattung punkten, sei gesagt: Die BaFin schaut heute eben nicht mehr nur auf die Eigenkapitalquote oder das Management, sondern sie prüft tief in die digitale Infrastruktur hinein“, betont Dr. Schulte.

Im digitalen Zeitalter entsteht damit eine neue Qualität der Aufsicht. Der Gesetzgeber hat erkannt, dass die Robustheit und Anpassungsfähigkeit der IT-Systeme eine entscheidende Voraussetzung für die Resilienz des gesamten Finanzplatzes darstellen.

Verantwortung der Geschäftsleitung – Pflicht zur Compliance

Zentral bei allen Überlegungen ist die Rolle der Geschäftsleitung. Diese trägt im Finanzwesen stets die Gesamtverantwortung für die Einhaltung der gesetzlichen Vorgaben. § 25c KWG verpflichtet die Geschäftsleiter insbesondere dazu, eine ordnungsgemäße Geschäftsorganisation zu gewährleisten, Risikostrukturen zu identifizieren und fortlaufend geeignete Maßnahmen zu implementieren.

Dr. Schulte warnt: „Wer diese Verpflichtung nicht ernst nimmt, dem droht nicht nur persönliche Haftung, sondern auch ein Entzug der Geschäftsleiterlaubnis nach § 36 KWG. Die nun öffentlich gewordene Anordnung der BaFin ist ein deutliches Signal an alle anderen Institute, ihre IT auf Herz und Nieren prüfen zu lassen.“

Was können Institute aus dem Fall lernen?

Der Fall Deutsche Sparkassen Leasing AG & Co. KG ist exemplarisch für ein Problem, das kein Einzelfall ist. Viele Finanzdienstleister, insbesondere im Leasing- und Factoringbereich, scheinen die Relevanz ihrer IT-Infrastruktur zu unterschätzen. Das kann teuer werden – im materiellen wie im reputativen Sinne.

Aus juristischer Sicht geht es darum, dass klare Governance-Strukturen eingeführt und laufend evaluiert werden. Die Implementierung eines modernen IT-Risikomanagements sollte keine Kür, sondern zwingende Pflicht sein. Ein professioneller Ausweg liegt in der Zusammenarbeit mit erfahrenen Compliance-Beratern und spezialisierten Rechtsanwälten, um die Anforderungen der MaRisk, der BAIT (Bankaufsichtliche Anforderungen an die IT) sowie der DSGVO aufeinander abzustimmen.

„Wir erleben in der Praxis täglich, wie schwierig es ist, verschiedene Regelwerke – von aufsichtsrechtlichen Bestimmungen über Datenschutzstandards bis hin zu internen Kontrollsystemen – zusammenzuführen“, berichtet Dr. Schulte. „Hier ist juristische und technische Expertise gefragt – und ein nachhaltig verankerter Transformationswille.“

Vertrauensverlust vermeiden – Prävention im Fokus

Juristisch betrachtet stellt jede BaFin-Anordnung ein Warnsignal dar. Institutionen, die wegen IT-Mängeln auffällig werden, geraten ins Visier von Investoren, Kunden und gegebenenfalls sogar kartellrechtlicher Aufsichtsbehörden, falls etwa Marktverzerrungen durch Missstände entstehen. Deshalb ist Prävention – und nicht bloße Reaktion – das Gebot der Stunde.

Gerade in Zeiten, in denen Cyberangriffe zunehmen und regulatorische Anforderungen stetig steigen, ist es unmöglich, auf gesetzgeberische Spielräume zu hoffen. Die aufsichtliche Auslegung des § 25a KWG ist eindeutig. Die Regelung erfordert nicht weniger als eine „vollumfängliche“ Steuerung, Kontrolle und Überwachung sämtlicher Risiken. Dazu gehört insbesondere die IT.

Fazit: Klare Regeln, entschlossene Aufsicht – und juristische Unterstützung

Die Entscheidung der BaFin, öffentlich gegen ein Finanzinstitut wegen gravierender IT-Mängel vorzugehen, zeigt die Entschlossenheit der deutschen Finanzaufsicht. Gleichzeitig bietet sie eine wertvolle Handlungsanleitung für alle Unternehmen des Finanzsektors. Die Anforderungen sind streng, gleichzeitig aber sachlich begründet und nachvollziehbar. Es gilt, Geschäftsorganisation und IT-Strukturen zu modernisieren, bevor es zu schmerzhaften Eingriffen kommt.

Dr. Thomas Schulte fasst zusammen: „Das Kreditwesengesetz skizziert keine theoretischen Ideale, sondern verlangt ganz praktisch eine stete Anpassung an den Stand der Technik. Nur mit einem fundierten juristischen und technologischen Fundament können Institute heute auf Dauer erfolgreich und regulatorisch unauffällig agieren.“

Wer Hilfe bei der Umsetzung der Regelungen benötigt oder präventiv tätig werden möchte, sollte keinen traumatischen, juristischen Beistand einholen. Die Vorschriften des KWG sind komplex – aber auch eine Chance für nachhaltige Stärkung der Compliance- und IT-Strukturen im eigenen Haus.