MaRisk in Sparkassen: Steuerungsrahmen und 9. Novelle in der Praxis

Die Mindestanforderungen an das Risikomanagement sind in deutschen Banken meist erstaunlich gut umgesetzt — und entfalten dennoch nicht die Wirkung, die ihnen zugedacht ist. Wer die MaRisk als Steuerungsrahmen liest statt als Pflichtenheft, sieht eine andere Architektur: aufsichtliche Mindeststandards und eine implizite Steuerungsphilosophie, die organisatorisches Verhalten formen soll. Mit der 9. Novelle, deren finale Fassung am 30.06.2026 als Rundschreiben 06/2026 veröffentlicht wurde, schärft die BaFin diese Architektur in mehreren Bereichen nach. Dieser Beitrag ordnet die Fassung 06/2024 wirkungslogisch ein, beschreibt die Neuerungen der 9. Novelle, zeigt Proportionalität als Steuerungshebel und macht in einer Mini-Fallstudie sichtbar, was zwischen regulatorischer Pflicht und organisatorischer Wirkung liegt.

Warum MaRisk mehr ist als Compliance

Die typische Beobachtung in der Sparkassen-Praxis ist nicht das Nicht-Erfüllen der MaRisk, sondern eine merkwürdige Diskrepanz: Anforderungen sind dokumentiert, Prozesse sind vorhanden, Berichte werden erstellt — und trotzdem entsteht keine spürbar bessere Steuerung. Die formale Einhaltung wird zur Antwort auf eine Frage, die niemand mehr stellt: Was eigentlich gesteuert werden soll. Wer die MaRisk auf Compliance reduziert, verschenkt die zweite Hälfte ihres Wertes.

Die MaRisk haben einen Doppelcharakter, der in der Praxis oft übersehen wird. Auf der einen Seite sind sie aufsichtliche Mindeststandards — verbindlich, prüfbar, sanktioniert. Auf der anderen Seite formulieren sie eine implizite Steuerungsphilosophie: Risiken sollen nicht nur identifiziert und gemeldet, sondern verstanden und gesteuert werden; Verantwortung soll nicht nur formal zugewiesen, sondern operativ wirksam sein; Entscheidungen sollen auf belastbarer Informationsbasis stehen. Diese zweite Lesart der MaRisk wird in der Praxis oft hinter der ersten zurückgestellt — mit der Folge, dass Compliance bestätigt, aber nicht gesteuert wird.

Das Beispiel der Risikotragfähigkeit illustriert das Spannungsfeld. AT 4.1 verlangt, dass das Risikomanagement Verfahren zur Sicherstellung der Risikotragfähigkeit vorhält; Tz. 2 fordert, dass diese Verfahren sowohl auf die Fortführung des Instituts als auch auf den Schutz der Gläubiger zielen. Die heute oft selbstverständlich angenommene Trennung in eine normative und eine ökonomische Perspektive steht jedoch nicht in den MaRisk selbst, sondern wird im RTF-Leitfaden der Aufsicht (Leitfaden zur aufsichtlichen Beurteilung bankinterner Risikotragfähigkeitskonzepte) ausgeführt. Wer in einer Sparkasse sagt „die MaRisk fordern die zwei Perspektiven“, verkürzt: Die MaRisk legen die Grundlage, der RTF-Leitfaden gibt die Form. Wer beide Texte zusammendenkt, kommt zur Wirkungsidee des dualen Steuerungsverständnisses, die im Beitrag zur normativen und ökonomischen Perspektive vertieft wird.

Die eigentliche Herausforderung liegt nicht in der formalen Umsetzung der MaRisk, sondern in der organisatorischen Übersetzung in wirksame Steuerung.

Genau diese Übersetzung ist das Thema dieses Beitrags. Wer Steuerung versteht, nutzt die MaRisk anders als eine Checkliste: Anforderungen werden zu Anlässen, Strukturen zu Architektur, Berichte zu Entscheidungsgrundlagen. Die folgenden Abschnitte arbeiten heraus, welche Wirkungslogik in der Fassung 06/2024 angelegt ist, welche Bewegungen die 9. Novelle hinzufügt — und wo Proportionalität nicht als Erleichterung, sondern als Steuerungshebel verstanden werden muss.

Wirkungslogik der Fassung 06/2024

Die MaRisk in der Fassung 06/2024 (8. Novelle) sind die Grundlage, die das Rundschreiben 06/2026 in weiten Teilen fortführt. Die folgenden Wirkungsachsen — nicht die formalen Module — beschreiben, wofür die Anforderungen tatsächlich da sind und warum sie auch nach der 9. Novelle in Kraft bleiben.

Die Risikotragfähigkeit nach AT 4.1 ist keine periodische Compliance-Übung, sondern eine laufende Steuerungsgröße. Sie verlangt, die Fortführung des Instituts und den Schutz der Gläubiger in Beziehung zu setzen — die zwei Ziele, die der RTF-Leitfaden als normative und ökonomische Perspektive ausformt — und zu entscheiden, wo welche dominiert. Wenn beide Perspektiven gleichzeitig in der Steuerung gelebt werden, entsteht ein permanenter Abgleich zwischen bilanziell-regulatorischer Sicht und ökonomischem Risikodeckungspotenzial. Operativ wird daraus der ICAAP-Prozess, der seine Wirkung verliert, sobald Risikotragfähigkeit zur Quartalskennzahl ohne Konsequenzen herabsinkt. Analog wirkt der ILAAP auf die Liquiditätsseite.

Das interne Kontrollsystem (AT 4.3) ist im Kern ein Wirkmechanismus. Funktionstrennung, Vier-Augen-Prinzip, Berechtigungssystematik, Limit-Strukturen — diese Bausteine verhindern Konzentrationen von Macht und Information nicht aus Selbstzweck, sondern weil ohne sie unangemessene Risiken entstehen. Die Wirkungslogik ist organisatorisch: Das IKS soll verhindern, dass eine einzelne Stelle systemisch falsche Entscheidungen treffen kann, ohne dass das Institut es bemerkt. Wer das IKS rein als Prüfungsobjekt versteht, verliert seinen eigentlichen Hebel.

Die Berichtsverantwortung nach BT 2 ist mehr als Lieferpflicht. Berichte sind die Brücke zwischen Risikoerfassung und Entscheidung. Wo Berichte zu lang, zu spät oder zu generisch sind, entstehen Verantwortungslücken — der Vorstand entscheidet ohne belastbare Grundlage, der Aufsichtsrat fragt nicht nach, was er nicht sieht. BT 2 zielt darauf, diese Lücken zu schließen, indem Berichtsinhalte und -frequenzen an die tatsächliche Entscheidungslogik des Instituts geknüpft werden.

Zwei thematische Bewegungen prägen die Fassung 06/2024 zusätzlich. ESG-Risiken sind als Querschnittsthema verankert: Sie wirken als Treiber auf bestehende Risikoarten — vor allem Adressenausfall-, Markt- und operationelle Risiken — und müssen entsprechend in Risikoinventur, Strategie und Berichterstattung mitgeführt werden. Es handelt sich methodisch nicht um eine eigenständige Risikoart, sondern um eine Querschnittswirkung; die 9. Novelle hat diese Verankerung mit einer eigenen Definition in AT 2.2 Tz. 3 weiter strukturiert, ohne das Grundprinzip zu verändern. Parallel hat die 06/2024-Fassung mit BTR 5 die Kreditspreadrisiken im Anlagebuch (CSRBB) als eigenständige Risikoart anerkannt. Organisatorisch bedeutet das: separater Ausweis, eigene Messlogik, eigene Limitstruktur. Wer CSRBB nicht eigenständig steuert, riskiert eine fortgesetzte Vermischung mit dem allgemeinen Zinsänderungsrisiko, bei der beide Risikoarten falsch bewertet werden.

Die Anforderungen an IT und Auslagerungen — historisch zentral in AT 7.2 und AT 9 — wirken in der 06/2024-Fassung bereits als Vorboten der DORA-Verzahnung, die mit der 9. Novelle final umgesetzt wird (Details im nächsten Abschnitt). Was bleibt: Auslagerungsmanagement ist Steuerung, nicht Vertragsverwaltung; IT-Risiken sind Bestandteil des operationellen Risikomanagements, kein abgekapselter Spezialbereich.

Was über die 9. Novelle hinaus dauerhaft bleibt, ist die zentrale Wirkungsachse: Risikotragfähigkeit als laufender Maßstab, internes Kontrollsystem als organisatorischer Hebel, Berichterstattung als Entscheidungsgrundlage. Was sich verschiebt — Institutskategorien und Proportionalitäts-Ausgestaltung, ESG-Strukturierung, DORA-Verzahnung, Modelle und KI — ist Thema des nächsten Abschnitts.

Die 9. Novelle (RS 06/2026) — was die Neufassung bringt

Drei strukturelle Leitmotive prägen die 9. Novelle: eine stärkere Prinzipienorientierung statt Detailvorgabe, eine spürbar reduzierte Komplexität — vor allem durch proportionale Erleichterungen — und eine höhere Lesbarkeit „aus sich heraus“, die Querverweise auf andere Aufsichtstexte reduziert. Wer auf einen Detail-Verschärfungs-Katalog wartet, wird enttäuscht; wer organisatorische Spielräume sucht, findet sie — gegen prüfbare Begründungspflicht.

Proportionalität und Größenklassen. Der wohl wirkungsstärkste Schritt ist die formale Verankerung einer Größenklassen-Systematik für weniger bedeutende Institute (LSI), die sich an der europäischen SNCI-Logik orientiert. Die in der Aufsichtsmitteilung vom 26.11.2024 skizzierten Erleichterungen für kleine und sehr kleine Institute haben ihren temporären Charakter verloren und sind Bestandteil der MaRisk selbst geworden — im Konsultationsentwurf rund 25 größenabhängige Proportionalitätsklauseln, die die finale Fassung im Kern bestätigt. Die Wesentlichkeit der zu inventarisierenden Risiken richtet sich nach der allgemeinen 5-%-Schwelle der ökonomischen Risikoinventur (AT 2.2 Tz. 1); diese gilt institutsübergreifend und ist weder ESG-spezifisch noch eine ausschließlich auf kleine Institute beschränkte Regel. Die Steuerungslogik dieser Erleichterungen ist nicht „weniger Anforderung“, sondern „andere Form“: Wo Muss-Vorgaben entfallen, treten Begründungspflichten an ihre Stelle. Die Beweislast für die Angemessenheit der gewählten Umsetzung verlagert sich erkennbar in das Institut. Die finale Fassung stellt in AT 1 Tz. 3 zudem ausdrücklich klar: Das Proportionalitätsprinzip gilt für alle Institute; die Größenklassen gewähren darüber hinaus konkrete weitere Erleichterungen.

ESG-Konkretisierung. ESG ist als Thema nicht neu — neu sind Definition und Substanz. Mit AT 2.2 Tz. 3 liefert die Novelle erstmals eine eigene Definition der ESG-Risiken als Risikotreiber auf bestehende Risikoarten. Den aufsichtlichen Rahmen geben § 26c KWG (in Kraft seit 01.04.2026) sowie die EBA-Leitlinien EBA/GL/2025/01 (Management von ESG-Risiken) und EBA/GL/2025/04 (Umwelt-Szenarioanalyse) vor; die MaRisk übersetzen diesen Rahmen in nationale Steuerungsanforderungen. Die Konsultationsfassung verlangte hierfür einen Zeithorizont von mindestens zehn Jahren; die finale Fassung spricht in AT 4.3.3 Tz. 7 nur noch von einem langen Zeithorizont und lässt vereinfachte Methoden zu — kleine Institute dürfen qualitative Ansätze nutzen. Mehr Ermessensspielraum, im Gegenzug Begründungspflicht. Die Wirkungslogik bleibt die Querschnittswirkung — eine eigenständige Risikoart wird ESG damit nicht.

Modelle und KI: das neue AT 4.3.4. Mit AT 4.3.4 bündelt die Novelle die Anforderungen an die Verwendung von Modellen in einem eigenen Modul. Eine Modell-Governance besteht bereits seit der 7. Novelle (zuvor AT 4.3.5); die eigentliche Neuerung ist die ausdrückliche Erfassung von KI-Systemen und automatisierten Verfahren sowie eine geschärfte Erklärbarkeitsanforderung. AT 4.3.4 Tz. 6 fordert Erklärbarkeit: Wirkungszusammenhänge zwischen Eingangs- und Ausgangsgrößen müssen aufgezeigt werden können — ein Anspruch, der bei klassischen statistischen Modellen oft erfüllbar, bei tieferen KI-Systemen aber strukturelle Konsequenzen für Architekturwahl und Validierung hat. Umfang und Tiefe der Anforderungen richten sich proportional nach Komplexität, Bedeutung und Risiko des jeweiligen Modells. Für die Banksteuerung bedeutet das einen scharf geschnittenen Anlass, das Modell-Inventar, die Validierungslogik und die Angemessenheitsprüfung — auch für Verbund- und Konzernmodelle — neu aufzustellen.

DORA-Verzahnung. Die Auflösung der Doppelregulierung zwischen DORA und MaRisk ist eine der saubersten Strukturentscheidungen der Neufassung. IKT-Drittparteienrisiko unterliegt nun exklusiv den DORA-Artikeln 28 bis 30 und fällt nicht mehr in den Anwendungsbereich des MaRisk-AT 9; AT 7.2 wird entsprechend gestrafft, soweit DORA-Regeln greifen. Die Wirkung ist organisatorisch: ein Regime statt zweier, dafür durchgängige DORA-Logik bei IKT-Auslagerungen und IT-Risikomanagement.

Interne Governance. Strukturell verschiebt die 9. Novelle Anforderungen zur internen Governance in den Allgemeinen Teil und behandelt sie als durchgängigen Rahmen — statt sie wie bisher über mehrere besondere Teile zu verteilen. Die Wirkungslogik dieser Verschiebung ist eindeutig: Governance soll nicht punktuell, sondern als Architekturmerkmal des Risikomanagements sichtbar werden. Welche Textziffern die finale Fassung hier zuweist, ist mit RS 06/2026 im Detail nachlesbar — die Stoßrichtung war bereits im Entwurf gesetzt.

Was fortgeschrieben wird, nicht neu ist. Die 9. Novelle ist eine Vollfassung, kein Änderungs-Delta — vieles darin stammt aus der 8. Novelle (06/2024) und wird nur weitergeführt. Das gilt insbesondere für CSRBB als eigenständige Risikoart in BTR 5 und für die Einlagenmodellierung in BTR 2.3 (Tz. 5 und 6) — maximal fünf Jahre gewichtete durchschnittliche Zinsbindung für Nicht-Finanzkunden, maximal zehn Jahre für die Stützstellen. Beide Punkte sind 8.-Novelle-Substanz und gehören nicht in den Neuerungs-Katalog der 9. Novelle. Was sich hingegen tatsächlich verändert — die proportionale Ausgestaltung, die ESG-Konkretisierung, das Modell-/KI-Modul, die DORA-Verzahnung, die Governance-Verschiebung — wird im nächsten Abschnitt darauf abgeklopft, wie es als Steuerungshebel statt als reine Erleichterung gelesen werden kann.

Proportionalität als Steuerungshebel

Die proportionalen Erleichterungen lassen sich auf zwei Arten lesen: als Entlastung — weniger Pflicht, weniger Aufwand — oder als Steuerungshebel. Die zweite Lesart ist die anspruchsvollere und die wirksamere. Sie verlangt, Proportionalität nicht passiv hinzunehmen, sondern als bewusste Entscheidung über den Einsatz knapper Steuerungskapazität zu begreifen. Drei Hebel machen daraus konkrete Steuerungspraxis.

Erster Hebel: Ressourcenfokus. Wo Anforderungen vereinfacht werden, entsteht Steuerungskapazität — und genau diese Kapazität ist die eigentliche Dividende der Proportionalität. Ein Institut, das eine Erleichterung bloß verbucht und seine Personal- und Aufmerksamkeitsressourcen unverändert lässt, hat den Hebel nicht gezogen. Wer ihn nutzt, lenkt die freiwerdende Kapazität gezielt dorthin, wo das tatsächliche Risikoprofil sie braucht: tiefere Stresstests im Konzentrationsrisiko, bessere Datenqualität in der Vermögensrechnung, ausführlichere Backtesting-Auswertungen im Zinsbuch. Der Gewinn ist nicht „weniger tun“, sondern „das Richtige intensiver tun“.

Zweiter Hebel: Begründungsdisziplin. Die Verschiebung von Muss-Vorgabe zu Begründungspflicht — der eigentliche Mechanismus der 9. Novelle — wirkt nur dann steuerungsfördernd, wenn die Begründung auf einer tragfähigen Risikoanalyse ruht. Wo das gelingt, hebt die Begründungspflicht die Steuerungsqualität: Sie zwingt zur expliziten Auseinandersetzung mit der eigenen Risikolage, statt vorgefertigte Antworten zu übernehmen. Wo es misslingt, entstehen lange Begründungsdokumente, die niemand liest und die nichts steuern. Die Beweislast im Institut ist kein Nachteil, sondern eine Aufforderung zur Selbstvergewisserung — und ein wirksamer Schutz vor blinder Übernahme externer Vorgaben.

Dritter Hebel: Bewusste Skalierung. Umfang und Tiefe der Umsetzung sind eine aktive Entscheidung. Welches Stresstest-Tableau angemessen ist, wie tief die Risikoinventur reicht, in welchem Detailgrad eine Risikostrategie ausformuliert wird — all das lässt sich begründbar wählen, sobald der Maßstab nicht mehr starr vorgeschrieben ist. Ein Institut, das diese Wahl bewusst trifft und gegenüber sich selbst und der Aufsicht plausibilisiert, steuert. Eines, das die Erleichterungen passiv hinnimmt oder gewohnheitsmäßig die vorherige Tiefe beibehält, verwaltet.

Drei Fragen helfen, die Hebel konkret anzuwenden:

• Was dürfen wir weglassen — und nutzen wir das wirklich?
• Was müssen wir begründen — und steht die Begründung auf belastbarer Risikoanalyse?
• Was lohnt sich trotz Erleichterung — wo wäre Verzicht teurer als der Aufwand?

Die häufigste Fehlnutzung ist nicht das Unterschreiten, sondern das vorsorgliche Überschreiten: Institute regulieren sich aus Gewohnheit, Prüfungs-Vorsicht oder Unsicherheit über das proportionale Maß hinaus selbst und binden Kapazität an Nicht-Wesentliches — und verschenken damit genau den Hebel, den die Novelle bietet. Wichtig zur Klarstellung: Es geht um Fehlallokation von Steuerungskapazität, nicht um das Weglassen erforderlicher Anforderungen.

Welche Erleichterungen ein Institut bewusst nutzt und wo es bewusst über das proportionale Maß hinaus arbeitet, ist am Ende eine organisatorische Frage — wie Steuerung im Haus zusammenspielt, wer entscheidet, wer trägt, wer überprüft. Genau dort setzt der nächste Abschnitt an.

MaRisk und integrierte Steuerung — wo Triangulation greift

Die Grafik darüber ordnet zentrale MaRisk-Module drei Ecken zu — Führung, Team, Organisation. Diese Verteilung ist keine grafische Spielerei, sondern der Kern einer Idee: Integrierte Steuerung ist keine Abteilung und kein Modul, sondern das Zusammenspiel dreier Verantwortungsträger. Führung entscheidet und gibt Richtung, Team führt aus und betreibt, Organisation gibt Struktur und Rahmen. Triangulation benennt diese Verteilung — und macht damit sichtbar, was sonst in Modulauflistungen verschwindet: dass MaRisk-Anforderungen nicht in einer Ecke liegen, sondern über die drei Träger verteilt wirksam werden.

Die eigentliche Wirksamkeit der MaRisk-Anforderungen liegt nicht in den einzelnen Modulkästen, sondern an den Übergängen zwischen den Ecken. Ein Risikobericht nach BT 2 entfaltet keine Wirkung, wenn er die Führung nicht erreicht oder dort nicht in eine Entscheidung mündet — Berichtswirkung ohne Entscheidungslogik ist leerer Reporting-Aufwand. Eine Kontrolle aus dem Internen Kontrollsystem (AT 4.3) trägt nur, wenn die Organisation die Struktur stellt, die sie dauerhaft hält: Funktionstrennung, klare Zuständigkeiten, belastbare Eskalationswege. Die Risikotragfähigkeit nach AT 4.1 ist eine Führungsverantwortung, speist sich aber zwingend aus der vom Team getragenen Risikoinventur und der strukturellen Verankerung in der Organisation. Selbst das Modell- und KI-Modul nach AT 4.3.4 lebt vom Übergang: Das Team baut und validiert, die Führung verantwortet die Angemessenheit, die Organisation stellt Governance und Modell-Inventar. Die Pointe ist überall dieselbe: MaRisk gelingt oder scheitert an den Schnittstellen. Führungsklarheit über diese Übergänge — wer entscheidet wann, wer trägt was, wer überprüft welches — ist der eigentliche Hebel, nicht die formale Modulerfüllung.

Manche Anforderungen lassen sich keiner einzelnen Ecke zuordnen. ESG ist das klarste Beispiel — und sitzt deshalb in der Grafik als Querschnittsknoten in der Mitte, nicht an einer Ecke. Als Querschnittstreiber verlangt ESG zugleich eine Entscheidung der Führung (Strategie, Risikoappetit), operative Umsetzung im Team (Risikoinventur, Szenarien, Modellanpassung) und strukturelle Verankerung in der Organisation (Prozesse, Datenhaushalt, Berichtskaskaden). Genau an solchen Querschnitts-Anforderungen wird „integrierte Steuerung“ vom Schlagwort zur konkreten Aufgabe: Sie zwingt die drei Träger zur abgestimmten Aktion, statt nebeneinander zu agieren. Was bei klassisch verteilten Anforderungen optional bleibt, wird bei Querschnitten unausweichlich.

Wie diese Verteilung in einem realen Haus aussieht — wer welche Anforderung trägt, wo die Übergänge in der Praxis klemmen und welche Konstellationen den Hebel der Triangulation tatsächlich nutzen — zeigt der nächste Abschnitt am Beispiel einer typischen Sparkasse.

Mini-Fallstudie — Sparkasse Beispielstadt

Die Sparkasse Beispielstadt steht stellvertretend für ein regional verwurzeltes Haus mit rund 3 Mrd. € Bilanzsumme — typischerweise als kleines, nicht-komplexes Institut (SNCI) eingeordnet, ohne dass dies hier formal geprüft würde. Der Befund vieler Häuser dieser Größenordnung lautet: MaRisk-Anforderungen sind durchgängig erfüllt, aber selten als Steuerungsrahmen genutzt. Berichte werden geschrieben, Stresstests gerechnet, Auslagerungen verwaltet, ESG dokumentiert — und doch bleibt der Eindruck eines abgearbeiteten Pflichtenhefts, das die Vorstandsentscheidungen kaum noch erreicht. Die folgende Gegenüberstellung liest dieselben Module organisatorisch: links die compliance-erfüllende Lese-Art, rechts dieselbe Anforderung als Hebel im Sinne einer integriert gesteuerten Bank — Triangulation als Verteilung über Führung, Team und Organisation, Proportionalität als bewusst gesetzter Fokus statt schematisch reduzierter Aufwand.

Sparkasse Beispielstadt – sechs MaRisk-Anforderungen, organisatorisch gelesen

Bereich	Vorher — compliance-erfüllend, aber nicht steuernd	Nachher — integriert gesteuert
Risikoberichterstattung (BT 2)	Vollständiger Standardbericht im monatlichen Turnus, ohne erkennbare Verzahnung mit Vorstandsentscheidungen — Pflichtablieferung statt Entscheidungsvorlage.	Verdichteter Bericht mit Kernaussagen, Handlungsoptionen und Schwellenüberschreitungen, an die Entscheidungslogik des Vorstands geknüpft und mit klarer Eskalationskaskade hinterlegt.
Stresstesting	Breiter Standard-Szenariokatalog aus Vorlagen, mechanisch fortgeschrieben — viele Szenarien ohne Steuerungswirkung, Tiefe je Szenario gering.	Proportional fokussierte, begründete Auswahl weniger Szenarien mit konkretem Steuerungsbezug; Tiefe statt Breite, dokumentierte Annahmen und Sensitivitäten.
Auslagerung (AT 9 / DORA)	Vertragsverwaltung im Auslagerungsregister, IT-Risiko-Themen parallel zu DORA bearbeitet — Doppelarbeit an der Schnittstelle, unklare Federführung.	Ein Regime mit klarer Abgrenzung: IKT-Drittparteienrisiko exklusiv unter DORA, sonstige Auslagerungen unter AT 9; Auslagerungssteuerung als Konzentrations- und Verbund-Thema.
ESG	Separates Compliance-Add-on neben den etablierten Risikoarten; eigene Reports, kaum Anschluss an Inventur, Strategie und Steuerung.	Querschnittstreiber in Risikoinventur, Szenarien und Bericht; qualitative Resilienzanalyse über längere Horizonte als integraler Bestandteil der Steuerung, nicht als isolierter Zusatzlauf.
Einlagenmodellierung (BTR 2.3)	Technische Pflichtübung im Treasury, isoliert vom Rest des Hauses — Modellparameter selten hinterfragt, Annahmen nicht in der Steuerung sichtbar.	Bewusst gesetzte Steuerungsannahme, mit IRRBB- und Ertragssteuerung verzahnt; Annahmen explizit dokumentiert und im Vorstand verankert (8.-Novelle-Bestand).
Modelle / KI (AT 4.3.4)	Modelle als Black Box im Fachbereich, Validierung als dokumentarische Pflicht; KI-Komponenten ohne strukturierte Inventarisierung oder Erklärbarkeitsprüfung.	Modell-Inventar, dokumentierte Erklärbarkeit und Angemessenheitsprüfung über alle eingesetzten Modelle hinweg — einschließlich Verbundmodellen, deren Auswahl und Parametrisierung verantwortet wird.

Organisatorische Konsequenzen

Der Übergang von „Vorher“ zu „Nachher“ ist organisatorisch, nicht prozedural — die Abläufe ändern sich weniger als ihre Verankerung. Liest man die sechs Tabellenzeilen entlang der Triangulation, treten dieselben drei Träger immer wieder in derselben Rollenteilung auf: Die Führung verantwortet die Risikotragfähigkeit als Rahmen und gibt der Berichtskaskade die Entscheidungslogik, an die ein verdichteter Bericht überhaupt erst andocken kann. Das Team trägt die operative Umsetzung — Risikoinventur, Kontrollen aus dem IKS, Modellmethodik und Validierung, Szenarienauswahl. Die Organisation stellt die Struktur, ohne die das eine das andere nicht erreicht: das Auslagerungsregime mit klarer Abgrenzung zu DORA, den Datenhaushalt, der ESG-Querschnitt und Stresstesting trägt, das Modell-Inventar, die Eskalationswege. Die Pointe der Tabelle ist nicht der Inhalt der einzelnen Zelle, sondern das Muster, das sich sechsmal wiederholt: Die Anforderung als solche bleibt unverändert, ihre organisatorische Verankerung verschiebt sich. Wirksamkeit entsteht an den Übergängen — zwischen Team-Inventur und Führungsentscheidung, zwischen organisatorischer Struktur und operativer Umsetzung. Wer die Tabelle nur als Compliance-Checkliste liest, übersetzt sie wieder zurück in die linke Spalte; wer sie als Verteilungs-Skizze liest, sieht in jeder Zeile dieselbe organisatorische Frage: Wer entscheidet, wer trägt, wer überprüft — und ist der Übergang dazwischen bewusst gestaltet?

Fünf Stolpersteine auf dem Weg

1. Proportionalität als Entlastung verbucht statt als Hebel: Die Erleichterung wird als „weniger Arbeit“ interpretiert, die freigewordene Kapazität jedoch nicht gezielt auf die wesentlichen Risiken umgelenkt. Aus einer Steuerungschance wird eine reine Aufwandsreduktion — der Doppelnutzen der Proportionalität halbiert sich auf den ersten Teil.
2. Vorsorgliche Überregulierung aus Prüfungs-Vorsicht: Aus Sorge um die nächste Prüfung wird über das proportionale Maß hinaus reguliert; Kapazität bleibt an Nicht-Wesentlichem gebunden. Es entsteht keine Pflicht-Unterschreitung, sondern eine Fehlallokation — und genau dort, wo bewusste Schwerpunktsetzung den Unterschied machen würde, fehlt die Ressource.
3. Berichte ohne Entscheidungsanschluss: BT 2 wird als Lieferpflicht zuverlässig erfüllt, der Bericht erreicht den Vorstand termingerecht — die Schnittstelle zur Entscheidungslogik bleibt aber offen. Reporting ohne Steuerungswirkung kostet Kapazität, ohne sie in Wirksamkeit umzusetzen; der Bericht wird abgelegt, nicht verarbeitet.
4. ESG als Add-on-Silo statt als Querschnitt: ESG wird separat geführt, mit eigenen Reports und eigenen Verantwortlichen, statt in Risikoinventur, Szenarien und Berichtskaskade integriert. Damit verschenkt das Haus den eigentlichen Hebel der ESG-Verankerung in der 9. Novelle — der gerade in der gemeinsamen Bearbeitung mit den klassischen Risikoarten liegt, nicht in der parallelen Doppelstruktur.
5. Modelle und KI ohne Erklärbarkeit und Inventar: AT 4.3.4 wird als reine Dokumentationsübung unterschätzt; es fehlt ein Modell-Inventar, in dem auch Verbundmodelle geführt werden, und es fehlt die nachvollziehbare Wirkungslogik. Wer Modelle einsetzt, ohne sie zu kennen, verantwortet Ergebnisse, ohne sie steuern zu können — und legt sich offene Flanken in der nächsten Prüfung an.

Zwischenfazit

Der Unterschied zwischen einem MaRisk-konformen und einem MaRisk-gesteuerten Haus liegt nicht im Erfüllungsgrad, sondern in der organisatorischen Verankerung. Dieselben sechs Anforderungen lassen sich als Pflichtenheft abarbeiten oder als Steuerungsrahmen nutzen — die regulatorische Lesart ändert sich nicht, die organisatorische Tiefe schon. Entscheidend ist, ob Übergänge zwischen Führung, Team und Organisation bewusst gestaltet werden oder dem Zufall überlassen bleiben. Welche dieser Wahl das Regelwerk fördert, wo es trägt und wo es an Grenzen stößt, ist Gegenstand der kritischen Würdigung.

Kritische Würdigung und Ausblick

Die Steuerungs-Lesart der MaRisk ist eine Brille, keine Garantie. Sie schärft den Blick auf Wirksamkeit und organisatorische Verankerung, hebt aber weder Ressourcen- noch Expertise-Grenzen kleinerer Häuser auf. Der „Nachher“-Zustand der Fallstudie beschreibt eine erstrebenswerte Reife, nicht ein leicht erreichbares Plateau — für manche SNCI ist genau das Kapazitätsproblem real, und ein verdichteter, an die Entscheidungslogik geknüpfter Bericht entsteht nicht durch Vorsatz, sondern durch Investition in Personen, Prozesse und Methoden. Auch die Proportionalität als Hebel hat eine Voraussetzung, die selten ausgesprochen wird: Sie verlangt Führungs-Bandbreite und Reife, denn die Begründungslast für bewusste Schwerpunktsetzungen ist nicht trivial. Wer Wesentlichkeit dokumentieren muss, ohne dafür die Kapazität zu haben, erlebt die Proportionalität als zusätzliche Bürde — nicht als Entlastung. Der Stand der Novelle hat sich inzwischen geklärt: Die finale Fassung liegt seit dem 30.06.2026 vor, und die strukturelle Richtung des Entwurfs — Prinzipienorientierung, ausgebaute Proportionalität, DORA-Verzahnung, Modell-/KI-Modul — hat sich darin bestätigt. Die Detailverschiebungen gegenüber der Konsultation ändern an der hier entwickelten Steuerungs-Lesart nichts; sie werden in 9. MaRisk-Novelle final: Was sich gegenüber der Konsultation geändert hat ausgewertet. Und schließlich: „Steuerungsrahmen“ ist eine Deutung, kein Freibrief. Die Aufsicht prüft weiterhin Erfüllung — die wirkungslogische Lesart entbindet nicht von den formalen Anforderungen, sondern überlagert sie. Compliance bleibt das Fundament, nicht der Gegenpol.

Mit Blick nach vorn ergibt sich ein praktisch tragender Zeitrahmen: Mit der Veröffentlichung am 30.06.2026 gilt: Erleichterungen sind sofort nutzbar, neue und verschärfte Anforderungen greifen nach der Übergangsfrist zum 01.01.2027 und sind nicht Gegenstand der Jahresabschlussprüfung 2026 — Zeit, die Häuser für strukturelle Umsetzung nutzen können. Die strukturelle Richtung des Entwurfs — stärkere Prinzipienorientierung, ausgebaute Proportionalität, Verzahnung mit DORA, Modell-/KI-Modul mit Erklärbarkeitspflicht — ist robust und überlebt die finale Fassung. Wer heute sein Auslagerungsregime gegenüber DORA sauber abgrenzt, sein Modell-Inventar aufbaut oder die Berichtskaskade an die Entscheidungslogik andockt, arbeitet bereits am Zielbild. Für Banksteuerungs-Verantwortliche bleibt die Brille tragfähig, unabhängig davon, welche Textziffer welche Anforderung trägt: MaRisk-Anforderungen sind organisatorisch verteilt — und Wirksamkeit entsteht an den Übergängen zwischen Führung, Team und Organisation, nicht in der formalen Einzelmodulerfüllung.

Häufige Fragen

Weiterführende Inhalte

Wer einzelne Bausteine vertiefen will, findet auf banksteuerung.com strukturierte Glossar-Einträge, drei thematisch verwandte Beiträge und zwei interaktive Testlabor-Werkzeuge.

Dieser Artikel ist Teil von banksteuerung.com — einer Ressourcen-Plattform für integrierte Banksteuerung.