Definition
Die Mindestanforderungen an das Risikomanagement (MaRisk) sind das zentrale Regelwerk der BaFin für die Ausgestaltung des Risikomanagements in deutschen Kreditinstituten. Sie konkretisieren die Anforderungen des KWG und bilden den Rahmen für Risikotragfähigkeit, Stresstesting, ICAAP/ILAAP und die Aufbau- und Ablauforganisation. Für Sparkassen und Genossenschaftsbanken sind die MaRisk weit mehr als eine Compliance-Pflicht: Sie legen fest, wie Steuerung organisiert sein muss.
Aufbau der MaRisk: AT- und BT-Module
Allgemeiner Teil (AT): Übergreifende Anforderungen
Der Allgemeine Teil enthält die Anforderungen, die für jedes Institut gelten. AT 1 beschreibt Ziel und Proportionalität des Rundschreibens: Umfang und Tiefe der Umsetzung richten sich nach Art, Umfang, Komplexität und Risikogehalt der Geschäfte. AT 2 regelt Anwenderkreis, Risiken und Geschäfte, AT 3 die Verantwortung von Geschäftsleitung und Aufsichtsorgan. AT 4 ist der Kern: AT 4.1 fordert die Risikotragfähigkeit in normativer und ökonomischer Perspektive (siehe duales Steuerungsverständnis), AT 4.2 die Geschäfts- und Risikostrategie, AT 4.3 das interne Kontrollsystem mit Aufbau- und Ablauforganisation, Risikosteuerungsprozessen, Stresstests und der Verwendung von Modellen (AT 4.3.4). AT 4.4 regelt die besonderen Funktionen: Risikocontrolling, Compliance und Interne Revision. AT 5 bis AT 9 betreffen Organisationsrichtlinien (AT 5), Dokumentation (AT 6), Ressourcen mit Personal, technisch-organisatorischer Ausstattung und Notfallmanagement (AT 7), Anpassungsprozesse wie den Neu-Produkt-Prozess (AT 8) und Auslagerungen (AT 9).
Besonderer Teil Organisation (BTO): Aufbau- und Ablauf
Der BTO regelt die Aufbau- und Ablauforganisation für drei Geschäftsarten. BTO 1 (Kreditgeschäft) fordert die Trennung zwischen Markt (Vertrieb, Akquisition) und Marktfolge (Votierung, Bearbeitung). Bei risikorelevanten Engagements braucht es zwei Voten. Risikoklassifizierungsverfahren, Sicherheitenbewertung und Frühwarnverfahren sind hier geregelt. BTO 2 (Handelsgeschäft) verlangt die funktionale Trennung zwischen Front-, Mittel- und Backoffice, ein konsistentes Limitsystem, eine Kontrolle der Marktgerechtigkeit bei jedem Abschluss und einen unabhängigen Bestätigungsabgleich. BTO 3 (Immobiliengeschäft) regelt Erwerb, Errichtung und laufende Überwachung von Immobilien. In BTO 1 und BTO 2 folgt alles derselben Logik: Organisatorische Unabhängigkeit verhindert, dass jemand sich selbst genehmigt, und schafft die Voraussetzung für ein valides Risikomanagement. Wer hier abkürzt, läuft regelmäßig in SREP-Befunde.
Besonderer Teil Risiko (BTR): Die fünf Risikoarten
Der BTR konkretisiert die Risikosteuerungs- und -controllingprozesse für fünf Risikoarten. BTR 1 (Adressenausfallrisiken) verlangt, Adressenausfallrisiken und Risikokonzentrationen zu begrenzen: kein Kreditgeschäft ohne kreditnehmerbezogenes Limit, Kontrahenten- und Emittentenlimite im Handelsgeschäft, laufende Überwachung der Auslastung. BTR 2 (Marktpreisrisiken) umfasst Handels- und Anlagebuch; BTR 2.3 regelt die Marktpreisrisiken des Anlagebuchs einschließlich der Zinsänderungsrisiken (siehe IRRBB). BTR 3 (Liquiditätsrisiken) verlangt unter anderem Liquiditätspuffer, Stresstests mit Ermittlung des Überlebenshorizonts, einen Refinanzierungsplan und ein Verrechnungssystem für Liquiditätskosten, -nutzen und -risiken (siehe Liquiditätskostenverrechnung). Von hier führt der Weg in den ILAAP. BTR 4 (Operationelle Risiken) regelt Identifizierung und Bewertung, die Erfassung von Schadensfällen und die Maßnahmen zur Risikosteuerung. BTR 5 (Kreditspreadrisiken im Anlagebuch) verlangt, die Wirkung von Kreditspreadänderungen auf das handelsrechtliche Ergebnis und auf die Barwerte der betroffenen Positionen zu betrachten. Das Modul stammt bereits aus der Fassung 06/2024.
Risikoberichterstattung und weitere Anforderungen
Formal gliedert sich der Besondere Teil in zwei Module: BT 1 mit den besonderen Anforderungen an das interne Kontrollsystem, also BTO und BTR, und BT 2 mit den Anforderungen an die Risikoberichterstattung. BT 2 regelt die allgemeinen Anforderungen an Risikoberichte und die Berichte der Risikocontrolling-Funktion. Auslagerungen (AT 9) bleiben ein eigenes Prüffeld. IKT-Dienstleistungen, die dem Drittparteienrisikomanagement nach Art. 28 bis 30 DORA unterliegen, nimmt AT 9 aus. Für vertriebsbezogene Compliance gilt parallel die MaComp. Zusammen ergibt das ein engmaschiges Geflecht, das jede wesentliche Steuerungs- und Organisationsentscheidung erfasst.
Was ist neu in der 9. Novelle? (RS 06/2026)
Die 9. Novelle wurde am 30.06.2026 als Rundschreiben 06/2026 veröffentlicht. Sie ist eine Vollfassung: Vieles darin führt die Fassung 06/2024 fort, darunter die Kreditspreadrisiken in BTR 5 und die Einlagenmodellierung in BTR 2.3.
Der erste Schwerpunkt ist der Wechsel zu einem prinzipienbasierten Ansatz. Detailregelungen weichen allgemeineren Grundsätzen. Das gibt den Instituten mehr Auslegungsspielraum und zugleich mehr Begründungslast, warum ihre Umsetzung sachgerecht ist. Das Rundschreiben hat 84 Seiten, die Fassung 06/2024 hatte 122. Zweitens ist die Proportionalität konsequenter ausgestaltet, zum Beispiel mit Erleichterungen für kleine Institute bei den Liquiditätsstresstests und einem einfachen Verrechnungssystem für Liquiditätskosten bei überwiegend kleinteiligem Kundengeschäft.
Inhaltlich neu sind vor allem drei Punkte: die erstmalige Definition der ESG-Risiken als Risikotreiber, die in Risikoinventur, internem Kontrollsystem, Strategien und Berichterstattung zu berücksichtigen sind (AT 2.2 Tz. 3), ein eigenes Modul zur Verwendung von Modellen (AT 4.3.4) und die Abgrenzung zu DORA: IKT-Dienstleistungen, die dem Drittparteienrisikomanagement nach DORA unterliegen, fallen nicht mehr unter die Auslagerungsregeln in AT 9.
Vertiefung: 9. MaRisk-Novelle final: Was sich gegenüber der Konsultation geändert hat. Der Beitrag vergleicht die Konsultationsfassung mit dem Rundschreiben 06/2026.
MaRisk in der Sparkassen-Praxis
Für Sparkassen und Genossenschaftsbanken (Less Significant Institutions) ist das Proportionalitätsprinzip das entscheidende Auslegungstor: Anforderungen sind in Tiefe und Komplexität an Größe, Geschäftsmodell und Risikoprofil anzupassen. Kleinere Häuser können vereinfachte Verfahren nutzen (etwa standardisierte Zinsstresstests, tabellenbasierte Risikotragfähigkeitsberechnungen), müssen die methodische Eignung jedoch nachvollziehbar dokumentieren. „Klein“ entbindet nicht von Sachgerechtheit.
Die MaRisk verzahnen sich direkt mit den Kerninstrumenten der integrierten Banksteuerung. AT 4.1 Risikotragfähigkeit ist die methodische Grundlage des ICAAP-Prozesses. AT 4.2 Strategien verankert die Geschäfts- und Risikostrategie als verbindliche Steuerungsgrundlage. BTR 2 verlangt eine fundierte IRRBB-Steuerung. Operationalisiert wird sie über die Marktzinsmethode mit Konditions- und Strukturbeitrag, die FTP-Sätze als Verrechnungspreis nutzt (siehe FTP-Glossar). BTR 3 mündet in den ILAAP-Prozess. Wer die MaRisk-Anforderungen entlang der Steuerungsinstrumente liest, statt isoliert als Compliance-Checkliste, baut Architektur statt Aufwand.
Bezug zur Triangulation
Die Organisation übersetzt die MaRisk-Anforderungen in interne Richtlinien und Prozesse, Führung verantwortet die Proportionalität und den Risikoappetit im MaRisk-Kontext, das Team setzt die Anforderungen in der täglichen Steuerungsarbeit operativ um.
Steuerungsimpuls
Die MaRisk sind der Grundriss, auf dem jede Banksteuerung steht. Wer sie nur als Prüfungscheckliste versteht, verschenkt ihren eigentlichen Wert: Sie zwingen zur Systematik. Jede MaRisk-Novelle bringt neue Impulse für die Steuerungspraxis, zuletzt bei ESG-Risiken, Modellen und Auslagerungen. In der Steuerungspraxis sollten MaRisk-Anforderungen nicht als Fremdkörper behandelt werden, sondern als Leitplanken, die ohnehin sinnvolle Strukturen einfordern. Wer die MaRisk als Gestaltungsrahmen nutzt statt als Pflichtübung, baut eine Steuerungsarchitektur, die auch der nächsten Prüfung standhält.
Häufige Fragen
Was ist neu in der 9. MaRisk-Novelle?
Die 9. Novelle wurde am 30.06.2026 als Rundschreiben 06/2026 veröffentlicht. Sie setzt auf einen prinzipienbasierten Ansatz mit weniger Detailregelungen und auf eine konsequentere Proportionalität für kleinere Institute. Inhaltlich neu sind die erstmalige Definition der ESG-Risiken, ein eigenes Modul zur Verwendung von Modellen (AT 4.3.4) und die Abgrenzung der Auslagerungsregeln zu DORA. Kreditspreadrisiken (BTR 5) und Einlagenmodellierung (BTR 2.3) stammen bereits aus der Fassung 06/2024. Erleichterungen sind seit der Veröffentlichung anwendbar, neue und verschärfte Anforderungen ab dem 01.01.2027.
Welche MaRisk-Module gibt es?
Die MaRisk gliedern sich in einen Allgemeinen Teil (AT 1 bis AT 9) und einen Besonderen Teil. Der Besondere Teil besteht aus BT 1 mit den besonderen Anforderungen an das interne Kontrollsystem und BT 2 zur Risikoberichterstattung. BT 1 enthält die Anforderungen an die Aufbau- und Ablauforganisation (BTO 1 Kreditgeschäft, BTO 2 Handelsgeschäft, BTO 3 Immobiliengeschäft) und an die Risikosteuerungs- und -controllingprozesse für fünf Risikoarten (BTR 1 Adressenausfallrisiken, BTR 2 Marktpreisrisiken, BTR 3 Liquiditätsrisiken, BTR 4 operationelle Risiken, BTR 5 Kreditspreadrisiken im Anlagebuch).
Wie unterscheiden sich AT und BT in den MaRisk?
Der Allgemeine Teil (AT) regelt übergreifende Anforderungen, die für alle Institute gelten, etwa Risikotragfähigkeit, Strategien, internes Kontrollsystem und Auslagerungen. Der Besondere Teil (BT) konkretisiert Vorgaben für einzelne Geschäfts- und Risikoarten: BTO 1 bis 3 für Kredit-, Handels- und Immobiliengeschäft, BTR 1 bis 5 für die einzelnen Risikoarten, BT 2 für die Risikoberichterstattung. AT-Anforderungen gelten immer, BT-Anforderungen dort, wo das jeweilige Geschäft betrieben wird oder das Risiko besteht.
Welche MaRisk-Fassung gilt aktuell?
Seit dem 30.06.2026 gelten die MaRisk in der Fassung des Rundschreibens 06/2026 (9. Novelle). Es löst die Fassung 06/2024 (8. Novelle) ab. Erleichterungen sind seither anwendbar; neue und verschärfte Anforderungen müssen erst ab dem 01.01.2027 erfüllt sein und sind nicht Gegenstand der Jahresabschlussprüfung 2026.
Wie wirken sich die MaRisk auf kleinere Sparkassen aus?
Für Less Significant Institutions wie kleinere Sparkassen und Genossenschaftsbanken greift das Proportionalitätsprinzip: Anforderungen werden in Tiefe und Komplexität an Größe und Risikoprofil angepasst. Kleinere Häuser dürfen vereinfachte Verfahren nutzen, etwa standardisierte Zinsstresstests oder eine tabellenbasierte Risikotragfähigkeit. Die methodische Eignung muss aber nachvollziehbar dokumentiert sein; Proportionalität entbindet nicht von Sachgerechtheit. Die 9. Novelle baut diesen Spielraum aus, zum Beispiel mit Erleichterungen für kleine Institute bei den Liquiditätsstresstests.
Verwandte Begriffe
Passende Tools
- Management Cockpit Regulatorische Kennzahlen im Dashboard
Vertiefen Sie das Thema
Im Whitepaper „Triangulation in der Banksteuerung“ erfahren Sie, wie die MaRisk im Gesamtsteuerungsrahmen verankert sind.