In der Welt der Finanzaufsicht kennen viele die großen Namen: MaRisk, DORA, EBA-Guidelines. Doch eine Vorgabe steht oft im Schatten und wird dennoch für bestimmte Unternehmen immer wichtiger: MaGO – die Mindestanforderungen an die Geschäftsorganisation. Gerade Versicherungsunternehmen und Pensionskassen neigen dazu, MaGO als „weniger kritisch“ einzustufen, weil sie im Vergleich zu MaRisk oder DORA weniger öffentlich diskutiert wird. Das ist ein gefährlicher Trugschluss: MaGO greift tief in die Organisations-, Steuerungs- und Entscheidungsprozesse ein. Wer hier unvorbereitet ist, steht bei einer BaFin-Prüfung schnell im Erklärungsnotstand – selbst dann, wenn die operative Praxis „eigentlich funktioniert“.

Dieser Beitrag zeigt, warum MaGO oft unterschätzt wird, welche Pflichten und Nachweise sie konkret mit sich bringt, wie sie mit anderen Regelwerken zusammenspielt (MaRisk VA, VAIT, EIOPA-Leitlinien, DORA) und wie Sie MaGO effizient und prüfungssicher in Ihre Governance integrieren.

Was ist MaGO überhaupt?

Die MaGO ist ein BaFin-Rundschreiben, das die versicherungsaufsichtlichen Anforderungen an die Geschäftsorganisation nach § 23 VAG konkretisiert. Sie richtet sich primär an Erst- und Rückversicherer sowie Pensionskassen, strahlt aber auf verbundene Unternehmen und ausgelagerte Dienstleister aus, wenn deren Leistungen für die Erfüllung der Pflichten wesentlich sind.

Ihr Kern: MaGO legt fest, wie ein Unternehmen organisatorisch, personell und prozessual aufgestellt sein muss, um VAG und Solvency-II-Vorgaben zu erfüllen. Dazu gehören Governance-Struktur, Schlüsselfunktionen, Risikomanagement, interne Kontrollen, Auslagerungsmanagement, Berichtswege, BCM/Notfallmanagement und Überwachung durch Vorstand und Aufsichtsrat. Wichtig: MaGO ist prinzipienbasiert, aber in der Prüfungspraxis sehr konkret. Die BaFin erwartet gelebte Prozesse plus belastbare Dokumentation.

Warum MaGO unterschätzt wird – und wo das zum Problem wird

Wenig Presse, viel Substanz. MaGO erzeugt keine Schlagzeilen wie DSGVO-Bußgelder oder DORA-Meilensteine. In vielen Häusern entsteht der Eindruck: „Das meiste davon haben wir doch schon.“ In der Prüfung zeigt sich jedoch oft das Gegenteil:

Die Folge: Sonderprüfungen enden mit Auflagen, Nachbesserungsplänen oder engen Fristen – und plötzlich wird aus „haben wir doch“ ein kostenintensives Ad-hoc-Projekt.

Der Bauplan: Kernanforderungen der MaGO

Governance-System

Schlüsselfunktionen & Kontrollfunktionen

Risikomanagementsystem

Internes Kontrollsystem (IKS)

Auslagerungsmanagement

Berichtspflichten & Überwachung

MaGO im Ökosystem: Schnittstellen zu MaRisk VA, VAIT, EIOPA-Leitlinien, DORA

Typische Stolpersteine – und wie man sie elegant ausräumt

  1. Unklare Rollen & Verantwortlichkeiten
    Lösung: RACI-Matrix für Governance-Prozesse (Risikomanagement, Auslagerung, Incident, BCM). Funktionsbeschreibungen der Schlüsselfunktionen mit Unabhängigkeit und Reporting-Linien.
  2. Unzureichende Dokumentation
    Lösung: Policy-Set (Security, Risk, Compliance, Outsourcing, BCM, Data Governance), Standardarbeitsanweisungen, Prozesslandkarten, Vorlagen (Reports, Protokolle), Versionierung.
  3. Mangelnde Unabhängigkeit
    Lösung: Organisatorische Trennung (Linie vs. Funktion), Bericht an Vorstand/Aufsichtsrat, Konfliktregelung, Vertretungsregeln, kein „Doppelhut“ in kritischen Bereichen.
  4. Schwaches Auslagerungsmanagement
    Lösung: Register, Risikomethodik, Klausel-Playbook, Onboarding-Prüfungen, laufendes Monitoring, Exit-Szenarien getestet (Datenrückführung, Substitution).
  5. Fehlende Kontinuität
    Lösung: Jährliche Reviews, KPI/KRI-Datenhaushalt, Interne Audits, Management-Zielvereinbarungen mit Governance-KPIs.
  6. ICT-Risiken „im Blindflug“
    Lösung: ISMS nach VAIT, Schwachstellen-/Patch-Prozess mit SLAs, MFA/PAM, Logging/SIEM, EDR, Zero-Trust-Prinzipien, Backups/Restore-Tests, Notfallübungen.

Best Practices: So wird MaGO zum integrierten Governance-Framework

1) Proportional – aber vollständig

Skalieren Sie Tiefe und Frequenz nach Größe/Komplexität, aber vermeiden Sie Blankspots: Jede MaGO-Domäne braucht einen benannten Owner, Dokumente, Kontrollen und Nachweise.

2) Ein integriertes Policy-Set

3) ORSA als Taktgeber

Nutzen Sie ORSA als jährlichen Governance-„Herzschlag“: Planungs-Kickoff, Szenarien, Board-Workshops, Berichte, Maßnahmenplan. Verknüpfen Sie ORSA-Ergebnisse mit RAS-Anpassungen, Kapitalplanung und Underwriting/Rückversicherung.

4) Outsourcing end-to-end

Früh einbinden: Fachbereich + Einkauf + Recht + Security + Risikomanagement. Standardisierte Bewertungsbögen, Klausel-Bibliothek, Onboarding-Checklist, Service-KPIs, jährliche Assurance (z. B. ISO/SOC-Berichte), Trigger für Audits.

5) Metriken, die das Board versteht

6) Schulung & Kultur

Rollenspezifische Trainings (Vorstand, Führung, Linie, IT, Schlüsselfunktionen), Phishing-Simulationen, Tabletop-Übungen. Speak-up-Kultur: Whistleblowing-Kanal, Schutzregeln, Fehler als Lernimpuls.

Prüfungsfest: Ihre „Audit-Readiness-Box“

Alles auffindbar, konsistent, aktuell – und mit rotem Faden vom Risiko über die Maßnahme zum Nachweis.

Roadmap: In 6–9 Monaten zur belastbaren MaGO-Compliance

Monat 1–2 – Scoping & Gap
Scoping (Konzern/Einheit), Stakeholder, Gap-Analyse gegen MaGO/VAIT/MaRisk VA, Quick-Wins.

Monat 3–4 – Governance & Policies
Policy-Refresh, RACI, Gremienkalender, Reporting-Vorlagen, Outsourcing-Playbook.

Monat 5–6 – Controls & Evidenzen
IKS-Katalog, Testplan, Datenhaushalt für KPIs/KRIs, ISMS-Schwerpunkte (Patch, Access, Logging, Backup), Schulungen.

Monat 7–8 – ORSA & Übungen
ORSA-Zyklus, Board-Workshops, Tabletop-Übungen (Incident, BCM, Auslagerungsausfall), Lessons Learned in Policies rückführen.

Monat 9 – Mock-Audit & Feinschliff
Interne Revision/externes Pre-Assessment, Findings schließen, Management-Bestätigung, Plan zur kontinuierlichen Verbesserung.

Praxisbeispiel: Vom Nebenprojekt zum Audit-Erfolg

Ein mittelgroßer Kompositversicherer behandelte MaGO zunächst als Compliance-Nebenstrang. Als eine BaFin-Prüfung angekündigt wurde, zeigte sich: Prozesse liefen, aber Dokumentation, Auslagerungsverträge und IKS-Nachweise waren unvollständig. In sechs Monaten wurden Rollen geschärft, ein Outsourcing-Register samt Klausel-Playbook aufgebaut, IKS-Kontrollen definiert und getestet, Risikoberichte auf Vorstandsniveau gebracht und der ORSA-Prozess als Jahreszyklus verankert. Ergebnis: keine wesentlichen Feststellungen, klare Nachweiskette – und die Maßnahmen wurden in den Linienbetrieb überführt.

MaGO & Cloud: Besonderheiten, die häufig übersehen werden

ORSA richtig nutzen: Governance statt Pflichtübung

Kennzahlen & Indikatoren: Was wirklich trägt

Risikomanagement: Top-Risiken, RAS-Ampeln, Stresstest-Impact, ORSA-Outcomes.
IKS/IT: Kritische Schwachstellen > x Tage, Patch-SLA-Quote, MFA-Abdeckung, Restore-Erfolgsrate/-zeit, Change-Fehlerrate.
Incidents: MTTD/MTTR, Wiederholer, Root-Cause-Pattern, „near misses“.
Auslagerung: SLA-Breaches, Prüfpfad (Assurance-Berichte), Auditergebnisse, Remediation-Tempo.
Kultur: Schulungsquote, Phishing-Ergebnisse, Speak-up-Fälle (anonymisiert), Maßnahmenumsetzung.

Wichtig: Nicht 50 KPIs, sondern 15 gute, die Trends zeigen und Handlungen auslösen.

Häufige Mythen – kurz entzaubert

Quick-Check: 20 Fragen für Ihren MaGO-Selbsttest

  1. Gibt es eine aktuelle Governance-Policy mit Rollen/Gremien/Reporting?
  2. Sind Schlüsselfunktionen benannt, unabhängig und mit Mandaten versehen?
  3. Existiert ein Risk Appetite Statement mit operationalisierten Limits?
  4. Haben Sie eine Risikotaxonomie mit klaren Methoden und Aggregation?
  5. Ist ORSA als integrierter Jahresprozess mit Board-Einbindung verankert?
  6. Liegt ein IKS-Katalog mit risikobasierten Tests und Evidenzen vor?
  7. Werden Kontroll-Schwachstellen systematisch verfolgt (Owner, Frist, Status)?
  8. Besitzt die Interne Revision Unabhängigkeit, Prüfplan, Follow-up-Mechanik?
  9. Hat die Compliance-Funktion eine jährliche Risikoanalyse und einen Plan?
  10. Gibt es ein Auslagerungsregister mit Klassifizierung und Monitoring?
  11. Enthalten Verträge die Pflichtklauseln (Audit, Sub-Outsourcing, Exit)?
  12. Ist ein ISMS nach VAIT umgesetzt (CISO-Rolle, Policies, Prozesse, Kontrollen)?
  13. Werden Schwachstellen/Patches SLA-basiert gemanagt und berichtet?
  14. Laufen Backups/Restore-Tests mit messbaren Zielwerten?
  15. Ist BCM (BIA, RTO/RPO, Übungen) dokumentiert und geprüft?
  16. Gibt es Incident-Playbooks inkl. Meldewege (MaGO/VAIT/DORA/DSGVO)?
  17. Werden Board/Aufsichtsrat quartalsweise mit verständlichen KPIs informiert?
  18. Findet jährlich ein Governance-Review mit Maßnahmenplan statt?
  19. Sind Interessenkonflikte geregelt (Policy, Register, Schulung)?
  20. Existiert eine Schulungssystematik (rollenspezifisch, dokumentiert)?

16–20 „Ja“: Sehr gut.
12–15 „Ja“: Solides Fundament, gezielt ausbauen.
< 12 „Ja“: Handlungsbedarf, Roadmap priorisieren.

Fazit: MaGO strategisch integrieren – und Mehrwert heben

MaGO mag weniger medienwirksam sein als DORA oder DSGVO, ihre Wirkung in der Praxis ist jedoch enorm. Sie verzahnt Vorstand, Schlüsselfunktionen, IT/Operations und Lieferkette zu einem verantwortbaren, dokumentierten und wirksamen Steuerungsrahmen. Wer MaGO nur am Rande beachtet, riskiert teure Ad-hoc-Korrekturen bei Prüfungen. Wer MaGO proaktiv integriert, profitiert gleich mehrfach: klarere Zuständigkeiten, bessere Steuerungsfähigkeit, weniger Überraschungen im Betrieb – und eine stärkere Position gegenüber der Aufsicht.

Der Weg ist nicht mystisch: ein konsistentes Policy-Set, klare Rollen, ein belastbarer IKS- und ORSA-Prozess, reife Auslagerungssteuerung, VAIT-konformes ISMS, messbare KPIs und geübte Krisenabläufe. Setzen Sie das architektonisch auf – dann wird aus MaGO kein bürokratisches Pflichtprogramm, sondern ein Wirkungsrahmen, der den Unternehmenswert schützt und die Organisation spürbar robuster macht. Genau dafür ist MaGO gedacht – und genau deshalb gehört sie vom Schatten in den Mittelpunkt Ihrer Governance-Agenda.