IT-Outsourcing-Rahmenvertrag: Prüfung und Gestaltung aus Auftraggeber-Sicht

Ein IT-Outsourcing-Rahmenvertrag, der vor drei Jahren noch solide aussah, ist 2026 oft nicht mehr regulierungsfest. DORA greift seit dem 17. Januar 2025 voll und hat VAIT und KAIT abgelöst.

Die BAIT wurde Ende 2024 novelliert. Wer heute einen MSA aus 2021 oder 2022 in der Schublade hat, sitzt häufig auf einem Vertrag, der weder den neuen Pflichtinhalt noch die verschärften Audit- und Exit-Anforderungen abbildet. Unsere IT-Recht-Beratung bündelt diese Vertrags- und Regulatorikthemen.

Ein schwacher Rahmenvertrag verbrennt in dieser Konstellation nicht nur Geld, sondern auch die Enthaftung des Vorstands.

Dieser Leitfaden beantwortet drei Fragen:

• Welche zwölf Punkte muss ein belastbarer IT-Outsourcing-Rahmenvertrag heute aus Auftraggeber-Sicht enthalten?
• Wie greifen DORA, NIS2 und BAIT/MaRisk konkret in Ihren MSA ein - und wo fließt das in Klauseln um?
• Warum ist der Exit-Teil der wichtigste Hebel, und wie sieht ein Reversibility-Plan aus, der im Ernstfall trägt?

Was ist ein IT-Outsourcing-Rahmenvertrag?

Ein IT-Outsourcing-Rahmenvertrag - international auch Master Service Agreement (MSA), in regulierten Branchen als Auslagerungsvertrag bezeichnet - regelt den laufenden Bezug von IT-Dienstleistungen aus einer Hand. Dazu gehören Managed Services für Rechenzentrum, Arbeitsplatz, Netz und Security, Application-Management-Services, Cloud-Betrieb und häufig auch Support und Second-Level-Entwicklung. Der Rahmenvertrag legt die grundlegenden Spielregeln fest: Leistungsstandards, Pflichten, Haftung, Datenschutz, Informationssicherheit, Exit. Die konkrete Leistung pro Service Tower oder Projekt steht dann in einem nachgelagerten Leistungsschein, der in der Praxis auch als Statement of Work oder SOW bezeichnet wird.

Diese Zweistufigkeit unterscheidet Managed-Services-Verträge strukturell von einem SaaS-Vertrag, bei dem nur eine fertige Cloud-Software lizenziert wird, und von einem klassischen Softwarekauf oder Entwicklungsvertrag, bei dem eine einmalige Lieferung geschuldet ist. Wer seinen kompletten IT-Betrieb auslagert oder wesentliche Teile davon über mehrere Jahre an einen externen Provider gibt, braucht einen Rahmenvertrag, der laufenden Betrieb steuert - nicht eine Lizenz und nicht ein Projekt. Wie Verfügbarkeit, Reaktionszeiten und Service Credits sauber definiert werden, zeigt unser Ratgeber zu Service Level Agreements.

Fehlt eine dieser Anlagen oder ist sie schwach ausgestaltet, entsteht die Lücke im Schadensfall genau dort. Für die Lieferketten- und Sicherheitsanforderungen bietet unsere NIS2-Compliance-Beratung eine eigene Vertiefung.

Dienstvertrag, Werkvertrag oder Mischform? Die rechtliche Einordnung

Bei einmaligen Liefer- oder Entwicklungsleistungen sollte man daneben den Softwarevertrag prüfen lassen.

Wer in seinem MSA nur einen einzigen Vertragstyp deklariert, zwingt die Gerichte später zur Auslegung - mit allen Unsicherheiten bei Abnahme, Gewährleistung und Haftung.

Konkret bedeutet das für Einkauf und Rechtsabteilung: Der Vertrag muss pro Leistungsart klar benennen, was dem Werkvertragsrecht, was dem Dienstvertragsrecht unterliegt, welche Liefergegenstände eine Abnahme nach § 640 BGB durchlaufen und wo Dauerleistungen ohne Abnahme fortlaufen.

Warum Alt-MSAs 2026 nicht mehr tragen

2025 und 2026 haben die regulatorische Oberfläche von IT-Outsourcing grundlegend verschoben. Wer in dieser Zeit keinen strukturierten MSA-Review durchlaufen hat, arbeitet mit einem Vertrag, der juristisch hinter den Aufsichtsstandards zurückbleibt.

DORA hat VAIT und KAIT weitgehend abgelöst

Konkret bedeutet das für die betroffenen Häuser: Jeder Outsourcing-Vertrag, der nicht den vollständigen DORA-Pflichtenkatalog enthält, ist regulatorisch nachverhandlungsbedürftig.

NIS2 verpflichtet Tausende Unternehmen zur Lieferketten-Kaskadierung

Der Kreis der betroffenen Unternehmen reicht weit über klassische KRITIS-Betreiber hinaus.

Gleichzeitig verweist § 38 BSIG in der Fassung des NIS2-Umsetzungsgesetzes auf die allgemeinen Sorgfaltspflichten der Geschäftsleitung nach § 43 GmbHG und § 93 AktG. Das heißt: Ein schwacher Outsourcing-Vertrag wird zum persönlichen Haftungsrisiko des Geschäftsführers oder Vorstands.

BAIT gilt weiter für alle Institute außerhalb des DORA-Radius

Wer in diesem Segment unterwegs ist, muss prüfen, ob der bestehende MSA an die novellierte BAIT angepasst ist - insbesondere an die verschärften Anforderungen an Informationssicherheit und Dienstleistersteuerung.

MaRisk und § 25b KWG definieren die wesentliche Auslagerung

Genau deshalb überprüfen wir Alt-MSAs systematisch auf DORA-, BAIT- und NIS2-Fit, bevor unsere Mandanten in die nächste Vertragsperiode gehen.

Die zwölf Säulen eines belastbaren MSA aus Auftraggeber-Sicht

Bevor ein Rahmenvertrag unterschrieben wird, sollten zwölf Themen aus Kundensicht geklärt sein. Fehlt eine Säule, kippt häufig nicht der Vertrag insgesamt, sondern die Verhandlungsposition im Ernstfall.

Die Reihenfolge ist bewusst: Wer bei Säule 1 und 2 schon schwach aufgestellt ist, braucht über Säule 10 kaum noch zu verhandeln.

SLAs, Service Credits und die Grenze des Haftungs-Caps

Service Credits sind das Standard-Instrument, um Pflichtverletzungen des Providers in Geld zu übersetzen. Juristisch sind sie dabei nicht eindeutig: Sie können als pauschalierter Schadensersatz, als Vertragsstrafe oder als reine Preisminderung ausgestaltet sein. Die Einordnung entscheidet darüber, ob der Auftraggeber daneben noch den tatsächlich erlittenen Schaden geltend machen kann.

Konkret bedeutet das für die MSA-Verhandlung: Service-Credit-Modelle, die allein oder in Kombination mit Malus-Regelungen mehr als fünf Prozent der monatlichen oder jährlichen Vergütungssumme als Sanktion vorsehen, stehen juristisch auf dünnen Beinen, wenn sie formularmäßig eingesetzt werden. Wer als Auftraggeber auf schärfere Sanktionsmechanismen angewiesen ist, muss entweder auf ausgehandelte Individualabreden gehen oder auf andere Hebel setzen - etwa außerordentliche Kündigungsrechte, verschärfte Benchmark-Überprüfungen oder Step-in-Rechte.

Für die Haftungs-Cap-Klausel heißt das: Ein pauschaler Ausschluss jeglicher Haftung für grobe Fahrlässigkeit oder Vorsatz, eine Deckelung der Haftung für Kardinalpflichten auf Bagatellbeträge oder ein völlig unverhältnismäßig niedriger Cap für Datenverlust sind regelmäßig unwirksam. Gleichzeitig muss der Cap zur Versicherungsdeckung des Providers passen. Ein Haftungs-Cap von zehn Millionen Euro ist wertlos, wenn die Cyber-Police des Providers nur bei drei Millionen endet.

DSGVO, Subprozessoren und Drittlandstransfer

Ein Outsourcing-Vertrag ohne belastbare Auftragsverarbeitungs-Anlage nach Art. 28 DSGVO ist im Schadensfall eine offene Flanke. Entscheidend sind drei Punkte: die vollständige Subprozessor-Liste mit Zustimmungsvorbehalt, die konkrete Regelung von Drittlandstransfers nach Schrems II und belastbare Audit-Rechte.

Wer IT-Services über Hyperscaler oder Subprozessoren in Drittländern bezieht, muss im MSA vertragliche Mechanismen für diese Prüfung haben: ein Transfer-Impact-Assessment, technische Zusatzmaßnahmen wie Verschlüsselung und kundenseitiges Key-Management, vertragliche Zusicherungen zu Behördenzugriffen und die Möglichkeit, bei Änderungen der Rechtslage kurzfristig zu reagieren. Die aktualisierten Standardvertragsklauseln der EU-Kommission aus 2021 sind dabei Mindeststandard, aber kein Freibrief.

Für Subunternehmer-Ketten kommt ein zweiter Aspekt hinzu: Die einschlägige Leitlinie des Europäischen Datenschutzausschusses zur Abgrenzung von Verantwortlichem und Auftragsverarbeiter verlangt, dass Audit-Rechte nach Art. 28 Absatz 3 Buchstabe h DSGVO bis zum letzten Subprozessor durchgreifen. Wer das in seinem MSA nicht ausdrücklich kaskadiert, verliert die Audit-Fähigkeit am ersten Schnittpunkt.

Welche Dimension das inzwischen annehmen kann, zeigt der Fall Vodafone: Der Bundesbeauftragte für den Datenschutz und die Informationsfreiheit hat am 3. Juni 2025 ein DSGVO-Bußgeld in Höhe von insgesamt 45 Millionen Euro festgesetzt, davon allein 15 Millionen Euro wegen unzureichender Kontrolle und Überwachung von Auftragsverarbeitern. Das ist aktuell das höchste DSGVO-Bußgeld in Deutschland und macht deutlich, dass eine AVV-Anlage auf dem Papier nicht ausreicht. Aufsichtsbehörden erwarten dokumentierte, turnusmäßige Dienstleistersteuerung - und genau das muss der MSA vertraglich ermöglichen.

Informationssicherheit und das C5-Testat

Ein MSA ohne klare Referenz auf einen anerkannten Sicherheitsstandard ist angreifbar. ISO 27001 ist die breite Basis, das BSI-Grundschutz-Kompendium der nationale Maßstab für viele Behörden- und KRITIS-nahen Kontexte.

Für Cloud- oder cloud-nahe Outsourcing-Deals ist ein gültiges C5-Testat nach Typ 1 oder Typ 2 die praktische Durchsetzungsstufe. Fehlt es, muss der Auftraggeber entweder eine vertragliche Pflicht zur zeitnahen Erreichung vereinbaren oder durch eigene Audits kompensieren - mit entsprechendem Aufwand und ohne Gewähr, dass im Krisenfall die Unabhängigkeit des Prüfurteils gesichert ist.

Subunternehmer, Audit-Rechte und die NIS2-Kaskade

Die Lieferkette ist der Punkt, an dem die meisten Alt-MSAs reißen. § 30 Absatz 2 Nummer 4 BSIG in der Fassung des NIS2-Umsetzungsgesetzes verlangt, dass der Auftraggeber die Sicherheit seiner Lieferanten bewertet und vertraglich absichert. Das ist mehr als eine Subunternehmer-Liste mit Zustimmungsvorbehalt.

Im MSA müssen drei Ebenen geregelt sein: erstens die formelle Genehmigung jedes Subprozessors mit ausreichender Vorlauffrist, damit der Auftraggeber prüfen und ablehnen kann. Zweitens der Gleichlauf aller Sicherheits-, Datenschutz- und Meldepflichten in der gesamten Kette, ohne dass sich der Provider hinter einem Subprozessor verstecken kann. Drittens konkrete Audit-Rechte, die bis zum Subprozessor reichen, inklusive der Möglichkeit, unabhängige Dritt-Auditoren einzusetzen, wenn Vor-Ort-Audits faktisch nicht möglich sind.

Personal-Übergang nach § 613a BGB

Bei Transformations-Outsourcing oder späterem Re-Insourcing wird § 613a BGB schnell relevant, auch wenn das zu Vertragsbeginn niemand auf der Agenda hat.

Der Vertrag muss aber die Governance für diesen Fall vorbereiten - wer übernimmt welche Betriebsmittel, welche Mitarbeiter sollen übergehen, welche Unterrichtungspflichten gegenüber der Belegschaft werden ausgelöst, welche Widerspruchsrechte können entstehen. Wer beide Seiten nicht durchdacht hat, erbt das Personalrisiko, ohne es zu wollen.

Exit und Reversibility - der wichtigste Hebel im Vertrag

Wenn eine einzige Säule darüber entscheidet, ob ein MSA im Krisenfall trägt, dann ist es die Exit-Regelung. In der Wettbewerbs-SERP ist dieser Abschnitt typischerweise dünn. In unserer Prüfung ist er der Kern.

Was eine Exit-Klausel leisten muss

Ein belastbarer Exit-Plan hat sechs Bausteine: eine saubere Beschreibung der Daten- und Dokumentenmigration mit Formaten und Schnittstellen, einen Parallelbetrieb mit klaren Rollen und Dauer, einen Know-how-Transfer mit vorbereiteten Dokumenten und Schulungen, eine Regelung zu Source-Code- oder Konfigurations-Hinterlegung bei erfolgskritischen Eigenentwicklungen, einen verbindlichen Stufenplan mit Meilensteinen und Abnahmekriterien sowie eine Kostenlogik für die Transition, die bereits im MSA festgeschrieben ist.

Wer ihn weglässt oder nur als vage Formel einer angemessenen Unterstützung im üblichen Rahmen formuliert, erzeugt ein Finding in der nächsten BaFin-Prüfung.

Typische Exit-Verhandlungsfehler

In unserer Praxis sehen wir immer wieder die gleichen Schwachstellen: Formulierungen wie “der Provider unterstützt den Kunden bei einer Transition in angemessenem Umfang” sind rechtlich ein Reizwort, weil “angemessen” am Ende vor Gericht entschieden wird, nicht in der Migration. Ebenso kritisch sind fehlende Festpreise oder Time-and-Material-Sätze für Transition-Leistungen: Der Provider kennt im Exit-Szenario seinen Preis, der Kunde nicht. Und die Verpflichtung zur laufenden Aktualisierung der Betriebsdokumentation fehlt häufig komplett, sodass im Exit-Moment nur veraltete Unterlagen verfügbar sind.

Change-of-Control und Provider-Insolvenz

Zwei Krisenfälle gehören in jeden MSA: der Wechsel der Eigentümerstruktur beim Provider und dessen Insolvenz.

Ohne solche Klausel findet sich der Auftraggeber unter Umständen ungewollt im Arm eines neuen Konzerns wieder.

Bei Insolvenz liegt der Schutz in Step-in-Rechten und in der Hinterlegung aller erfolgskritischen Zugänge. § 119 InsO beschränkt zwar die Wirksamkeit mancher insolvenzbedingter Kündigungsklauseln, aber kombinierbare Instrumente wie eine Quellcode-Hinterlegung bei einem Escrow-Agent, Live-Kopien zentraler Konfigurationen beim Kunden und vertraglich verankerte Datenherausgabe-Rechte halten in der Regel auch der insolvenzrechtlichen Prüfung stand. Genau hier liegen die Fehler, die in unseren Reviews am häufigsten auffallen.

Folgen eines schwachen MSA - konkret, operativ, persönlich

Ein schwacher Rahmenvertrag wirkt selten im ersten Jahr. Er zeigt seine Schwächen erst dann, wenn ein Incident, ein Regulator oder ein Eigentümerwechsel die Papierform testet. An diesem Punkt sind die typischen Folgen in der Regel kumulativ.

Der MSA ist damit kein reines Einkaufs- oder Rechtsthema mehr, sondern ein zentrales Instrument der Cyber-Resilienz.

Vendor-Lock-in auf drei Ebenen

Lock-in ist nicht nur ein Preisproblem, sondern ein strukturelles Problem. Technisch durch proprietäre Schnittstellen und Formate. Datentechnisch durch Formate, die nur mit Aufwand in andere Systeme übernommen werden können. Wissensbasiert durch Betriebs-Know-how, das ausschließlich beim Provider liegt. Wer bei der MSA-Verhandlung alle drei Ebenen nicht adressiert hat, verliert im nächsten Renewal-Gespräch sichtbar an Verhandlungsposition.

Das ist Lock-in in Zahlen.

Haftungs-Cap erschöpft nach einem Incident

Wenn der Haftungs-Cap auf eine Jahresvergütungssumme begrenzt ist und ein größerer Datenschutzvorfall eintritt, ist der gesamte Cap mit diesem einen Vorfall aufgebraucht. Alle nachfolgenden Pflichtverletzungen laufen gegen einen auf null reduzierten Anspruch - oder nur gegen das, was im Wiederaufbau der Versicherungsperiode neu zur Verfügung steht. Wer nicht mit kumulativen und vorfallsbezogenen Haftungs-Caps arbeitet, trägt im Ernstfall das Folgerisiko selbst.

Regulatorische Findings und persönliche Vorstands-Haftung

Ein BaFin-Finding auf Stufe F4, ein aufsichtsbehördliches Bußgeld oder ein NIS2-Verstoß wirkt unmittelbar gegen das Unternehmen und zunehmend auch persönlich gegen die Geschäftsleitung.

Für die betroffenen Institute bedeutet das typischerweise Nachbesserungsauflagen in kurzen Fristen, Reporting-Pflichten an die Aufsicht und ein höheres Haftungs- und Reputationsrisiko bei der nächsten Prüfung. Die persönliche Haftung aus § 43 GmbHG oder § 93 AktG in Verbindung mit der NIS2-Legalitätspflicht ist dabei nicht über die gewöhnliche D&O-Police abbildbar, weil behördliche Bußgelder regelmäßig vom Versicherungsschutz ausgenommen sind.

Reputationsrisiko und Druck aus dem Board

Kundenvertrauen, Partner-Due-Diligence und Rating-Prozesse reagieren auf öffentliche IT-Incidents. Ein Lieferketten-Vorfall, der sich auf einen schwachen MSA zurückführen lässt, wird im Audit-Bericht erwähnt, in der nächsten M&A-Prüfung zitiert und im Vorstandsgespräch nachgefragt. Wer hier keine belastbare Vertragsdokumentation vorlegen kann, verliert Vertrauen auf einer Ebene, die schwerer wieder aufzubauen ist als jede Service Credit.

Wie wir den MSA-Review strukturieren

Unser IT-Outsourcing-Review ist darauf ausgelegt, binnen zehn Werktagen einen belastbaren Risikoreport und eine priorisierte Verhandlungsstrategie zu liefern. Wir arbeiten dabei streng aus Auftraggeber-Perspektive und priorisieren nach regulatorischem Risiko, Haftungs-Risiko und operativer Bruchstelle.

Warum Eigenversuche im Haus häufig scheitern

IT-Outsourcing-Verträge sitzen an einer ungewöhnlichen Schnittstelle: Einkauf kennt die kaufmännische Hebelwirkung, aber häufig nicht die regulatorische Tiefe. Die interne Rechtsabteilung beherrscht Vertragsrecht, aber nicht immer die Eigenheiten von SLAs, Service Credits oder Subprozessor-Kaskaden. Der CIO kennt die Technik, aber nicht die AGB-Rechtsprechung des Bundesgerichtshofs. In der Kombination dieser drei Perspektiven entsteht der belastbare MSA - und genau diese Kombination liefern wir als externe Spezialisten mit IT-Fokus.

Die Ersteinschätzung ist bei uns kostenfrei. Auf Basis Ihrer Unterlagen sagen wir Ihnen offen, welcher Aufwand realistisch ist, welche Punkte harte Pflicht sind und welche Verhandlungshebel Sie noch haben. Anschließend unterbreiten wir Ihnen ein transparentes Angebot, damit Sie volle Kostenkontrolle vor Mandatierung behalten.

Nächste Schritte

Ein belastbarer Outsourcing-Rahmenvertrag ist kein Papierwerk, sondern der Risiko- und Governance-Schutz über die gesamte Laufzeit der Auslagerung. Er entscheidet darüber, ob Ihr Haus im Audit, im Incident oder im Providerwechsel handlungsfähig bleibt oder nicht. Die europäische Regulierung hat 2025 und 2026 den Rahmen deutlich verschärft, und die aktuelle Rechtsprechung hat die Grenzen zulässiger Haftungs- und Sanktionsklauseln enger gezogen als noch vor wenigen Jahren.

Wenn Sie aktuell einen Rahmenvertrag verhandeln, einen bestehenden MSA an die neue Regulatorik anpassen oder einen Providerwechsel vorbereiten, lohnt sich ein strukturierter Blick von außen. Senden Sie uns den MSA-Entwurf, den bestehenden Vertrag oder Ihre Ausschreibungsunterlagen. Wir melden uns innerhalb von 24 Stunden mit einer ehrlichen Einschätzung der Risikolage und einem Vorschlag für die nächsten Schritte zurück.