Verwaltungsanweisung, kein Gesetz
Die MaRisk binden die Aufsicht in ihrer Verwaltungspraxis. Für Institute sind sie damit der Maßstab, an dem geprüft wird – auch wenn sie formal keine Rechtsnorm sind.
Einstieg und Ordnungsrahmen
MaRisk Ordnungsrahmen: alle Module im Überblick 2026
Rechtsstand: 10. September 2026 | Lesezeit: rund 14 Minuten | Übersichtsseite mit Verweisen auf die Einzelthemen
Die MaRisk sind das Regelwerk, an dem die Aufsicht die Geschäftsorganisation eines Instituts misst. Diese Seite ordnet die Module ein, benennt die Änderungen der Fassung vom 30. Juni 2026 und führt zu den Einzelthemen. Sie ersetzt keine Lektüre des Rundschreibens – sie hilft dabei, die richtige Stelle zu finden.
Was sich 2026 verschoben hat
Zwei Entwicklungen prägen das Jahr. Zum 1. April 2026 ist das Bankenrichtlinienumsetzungs- und Bürokratieentlastungsgesetz in Kraft getreten und hat die Governance-Vorschriften des KWG geändert – insbesondere durch die neuen Begriffe der Schlüsselfunktion und der besonderen Schlüsselfunktion. Zum 30. Juni 2026 hat die BaFin die MaRisk in der Fassung des Rundschreibens 06/2026 (BA) veröffentlicht.
Die inhaltliche Linie der Novelle ist Proportionalität: An mehreren Stellen sind Aufzählungen und Detailvorgaben entfallen, an ihre Stelle treten Grundsätze. Das klingt nach Entlastung und ist zugleich eine Verlagerung der Begründungslast auf das Institut.
Ein Beispiel steht in AT 9 Tz. 2: Die Liste der Aspekte, die in der Risikoanalyse zu berücksichtigen waren, ist gestrichen. Geblieben ist die Vorgabe, alle relevanten Aspekte zu berücksichtigen. Wer die alte Liste weiterverwendet, liegt nicht falsch – muss die Auswahl aber selbst begründen können.
Für Geschäftsleitung und Aufsichtsorgan heißt das: Die Zahl der Vorgaben sinkt, die Zahl der zu dokumentierenden Entscheidungen steigt. Diese Seite zeigt, wo das im Einzelnen der Fall ist.
Was die MaRisk sind – und was nicht
Die Mindestanforderungen an das Risikomanagement sind ein Rundschreiben der Bundesanstalt für Finanzdienstleistungsaufsicht. Sie konkretisieren § 25a Abs. 1 KWG, der von jedem Institut eine ordnungsgemäße Geschäftsorganisation verlangt.
Prinzipienorientiert
Die MaRisk beschreiben Ziele und Grundsätze, keine Verfahren. Wie ein Institut sie erfüllt, entscheidet es selbst – und muss die Entscheidung begründen können.
Umsetzung europäischer Vorgaben
AT 1 benennt die europäischen Leitlinien, die über die MaRisk umgesetzt sind. Abschnitte dieser Leitlinien sind nur dann zusätzlich zu beachten, wenn die MaRisk ausdrücklich auf sie verweisen.
Öffnungsklauseln
Formulierungen wie soweit sinnvoll und möglich oder in begründeten Einzelfällen sind echte Spielräume. Sie zu nutzen ist zulässig; sie stillschweigend zu nutzen nicht.
Erläuterungen mit Gewicht
Viele Textziffern haben Erläuterungen. Sie sind kein Kommentar, sondern Teil der Verwaltungspraxis – und enthalten regelmäßig die Vorgaben, die in der Prüfung zählen.
Aktuelle Fassung
Rundschreiben 06/2026 (BA), veröffentlicht am 30. Juni 2026. Vergleichsversionen zur Vorfassung stellt die Aufsicht über die Themenseite der Bundesbank bereit.
Die 9. MaRisk-Novelle im ÜberblickMaRisk Ordnungsrahmen: der Aufbau in Modulen
Der Allgemeine Teil gilt für alle Institute im Anwenderkreis, der Besondere Teil knüpft an Geschäftsarten und Funktionen an. Die dritte Spalte nennt jeweils den Grund, aus dem das Modul in der Praxis aufgeschlagen wird.
| Modul | Gegenstand | Wofür es in der Praxis steht |
|---|---|---|
| AT 1 bis AT 2 | Vorbemerkung, Anwenderkreis, Risiken und Geschäfte | Hier steht, für wen welche Erleichterungen gelten und welche europäischen Leitlinien als umgesetzt gelten |
| AT 3 | Gesamtverantwortung der Geschäftsleitung, Risikokultur, Informationspflichten gegenüber dem Aufsichtsorgan | Das Modul mit der unmittelbarsten Bedeutung für die Organebene |
| AT 4.1 bis AT 4.2 | Risikotragfähigkeit und Strategien | Normative und ökonomische Perspektive, Kapitalplanung, Validierungsanforderungen |
| AT 4.3 | Internes Kontrollsystem: Aufbau- und Ablauforganisation, Risikosteuerung, Stresstests, Verwendung von Modellen | AT 4.3.4 ist mit der 9. Novelle neu hinzugekommen |
| AT 4.4 | Besondere Funktionen: Risikocontrolling-Funktion, Compliance-Funktion, Interne Revision | Die drei Funktionen, deren Auslagerung eigenen Regeln folgt |
| AT 5 bis AT 6 | Organisationsrichtlinien und Dokumentation | Hier gehören die Verfahrensweisen hin, die andere Module voraussetzen |
| AT 7 | Ressourcen: Personal, technisch-organisatorische Ausstattung, Notfallmanagement | AT 7.1 Tz. 2 ist der Maßstab für Kenntnisse und Erfahrungen jeder Funktion |
| AT 8 | Anpassungsprozesse: Neue-Produkte-Prozess, Änderungen betrieblicher Prozesse, Übernahmen und Fusionen | Greift bei jeder Veränderung der Geschäftstätigkeit |
| AT 9 | Auslagerung | Mit der 9. Novelle umfassend überarbeitet; IKT-Dienstleistungen fallen heraus |
| Besonderer Teil | Anforderungen an Aufbau- und Ablauforganisation und an Risikosteuerungsprozesse nach Geschäftsarten, an die Interne Revision und an die Risikoberichterstattung | Hier stehen die geschäftsspezifischen Vorgaben, etwa zum Kredit-, Handels- und Immobiliengeschäft |
Die Gliederung ist stabil geblieben; die 9. Novelle hat mit AT 4.3.4 genau ein Modul ergänzt. Wer eine Organisationsrichtlinie an der MaRisk-Struktur ausrichtet, muss sie deshalb nicht neu aufbauen.
Was die Fassung vom 30. Juni 2026 verändert hat
Zehn Änderungen mit Auswirkung auf die Organisation. Die Liste ist keine vollständige Synopse – die stellt die Aufsicht als Vergleichsversion über die Themenseite der Bundesbank bereit.
| Fundstelle | Thema | Was sich geändert hat |
|---|---|---|
| AT 4.1 Tz. 9 | Validierung | Initialvalidierung vor dem Einsatz, Folgevalidierungen mindestens alle drei Jahre; bei zentral validierten Methoden Dritter zusätzlich eine institutsindividuelle Angemessenheitsprüfung der Parameter |
| AT 4.3.4 | Verwendung von Modellen | Neues Modul; gilt ausdrücklich auch für Modelle, die von einem Dritten entwickelt wurden – von der Begründung der Annahmen bis zur regelmäßigen Validierung |
| AT 4.4.3 Tz. 1 | Interne Revision | Bei sehr kleinen Instituten können die Aufgaben von einem Geschäftsleiter übernommen werden, wenn eine eigene Einheit unverhältnismäßig ist und Interessenkonflikte vermieden werden |
| AT 9 Tz. 1 | Anwendungsbereich | IKT-Dienstleistungen im Sinne von Art. 3 Nr. 21 DORA fallen aus AT 9 heraus; für sie gilt das IKT-Drittparteienrisikomanagement |
| AT 9 Tz. 2 | Risikoanalyse | Die Aufzählung der zu analysierenden Aspekte ist entfallen; die Auswahl trifft und begründet das Institut |
| AT 9 Tz. 5 | Besondere Funktionen | Die Öffnung für die vollständige Auslagerung von Compliance-Funktion und Interner Revision gilt für sehr kleine statt für kleine Institute |
| AT 9 Tz. 10 | Beauftragter | Der Beauftragte für eine vollständig ausgelagerte besondere Funktion muss ausdrücklich unabhängig und sachkundig sein |
| AT 9 Tz. 12 | Zentrales Auslagerungsmanagement | Eine namentlich zu bestellende Person nennt der Text nicht mehr; die vier Aufgaben bleiben |
| AT 9 Tz. 13 | Bericht | Berichterstattung in regelmäßigen Abständen sowie anlassbezogen; die Mindestfrequenz einmal jährlich ist entfallen |
| AT 9 Tz. 14 | Gruppen und Verbünde | Die Erleichterungen sind gebündelt, darunter der mögliche Verzicht auf Ausstiegsstrategien und das zentrale Auslagerungsregister |
Das Muster hinter den Änderungen
Sechs der zehn Punkte folgen demselben Schema: Eine Detailvorgabe entfällt, der Grundsatz bleibt. Das betrifft die Aspektliste der Risikoanalyse, die Aufzählung der Leitungsaufgaben, die Mindestfrequenz der Berichterstattung und die namentliche Bestellung.
Für die Geschäftsleitung ist das eine Verschiebung, keine Entlastung. Wo vorher eine Liste abgearbeitet wurde, ist heute eine Auswahl zu treffen und zu begründen. Der Aufwand wandert von der Umsetzung in die Dokumentation – und in die Verantwortung der Organebene.
Proportionalität und Größenklassen
Die Erleichterungen der MaRisk hängen an zwei Begriffen, die leicht zu verwechseln sind – und über die Zulässigkeit ganzer Gestaltungen entscheiden.
Kleine Institute
Institute, die als kleine und nicht-komplexe Institute nach Art. 4 Abs. 1 Nr. 145 der Verordnung (EU) Nr. 575/2013 eingestuft sind, sowie CRD-Drittstaatenzweigstellen der Risikoklasse 2.
Sehr kleine Institute
Institute und CRD-Drittstaatenzweigstellen, die im Vierjahresdurchschnitt eine Bilanzsumme von 1 Milliarde Euro nicht überschreiten.
Die Verzahnung
Sehr kleine Institute können die Erleichterungen für kleine Institute in Anspruch nehmen, auch wenn sie die Kriterien für kleine und nicht-komplexe Institute nicht erfüllen. Umgekehrt gilt das nicht.
Wo der Unterschied zählt
Die vollständige Auslagerung von Compliance-Funktion und Interner Revision steht nach AT 9 Tz. 5 nur sehr kleinen Instituten offen – nicht allen kleinen.
Auslagerung der besonderen FunktionWeitere Erleichterungen
Kleine Institute können auf die Trennung von Modellentwicklung und Validierung verzichten und bei Szenarioanalysen qualitative Ansätze heranziehen.
Die Einstufung dokumentieren
Beide Größenklassen sind rechnerisch bestimmbar. Ohne belegte Einstufung lässt sich keine Erleichterung begründen – das ist ein wiederkehrender Prüfungsbefund.
Typische PrüfungsfeststellungenGeschäftsleitung und Aufsichtsorgan
Zwei Module richten sich unmittelbar an die Organebene: AT 3 zur Gesamtverantwortung und AT 3.2 zu den Informationspflichten gegenüber dem Aufsichtsorgan.
Was die Geschäftsleitung nicht delegieren kann
Die Gesamtverantwortung für eine ordnungsgemäße Geschäftsorganisation liegt bei allen Geschäftsleitern gemeinsam – unabhängig von der internen Zuständigkeitsverteilung. AT 9 Tz. 4 hält für Auslagerungen ausdrücklich fest, dass die Leitungsaufgaben nicht ausgelagert werden dürfen und eine Auslagerung nicht zu einer Delegation der Verantwortung führt.
Was zu den Leitungsaufgaben zählt, sagt der Text der Fassung vom 30. Juni 2026 allerdings nicht mehr; die frühere Aufzählung ist entfallen. Die belastbarste Grundlage für eine Begründung bietet heute § 25c Abs. 4a KWG mit dem Katalog der Pflichten, die den Geschäftsleitern im Rahmen ihrer Gesamtverantwortung zugewiesen sind.
Was das Aufsichtsorgan erhält
Nach AT 3.2 Tz. 2 erhält das Aufsichtsorgan die regelmäßigen Berichte der Internen Revision nach AT 4.4.3 Tz. 9 zur Kenntnis. Bei schwerwiegenden Feststellungen gegen Geschäftsleiter informiert die Geschäftsleitung den Vorsitzenden unverzüglich.
Die eigentlich bemerkenswerte Regel steht im Anschluss: Kommt die Geschäftsleitung dieser Pflicht nicht nach oder beschließt sie keine sachgerechten Maßnahmen, unterrichtet die Interne Revision den Vorsitzenden des Aufsichtsorgans selbst. Damit besteht ein Weg an der Geschäftsleitung vorbei – der aber nur trägt, wenn er vorher geregelt ist.
Neu seit April 2026
Das KWG zählt die Leiter der internen Kontrollfunktionen zu den Inhabern besonderer Schlüsselfunktionen. Bei großen Unternehmen ist ihre Abberufung anzeigepflichtig und bedarf der Zustimmung des Aufsichtsorgans.
Aufgaben der Internen RevisionRisikokultur
AT 3 verlangt die Entwicklung, Förderung und Integration einer angemessenen Risikokultur. Das ist der Teil, der sich am schwersten belegen lässt und in Prüfungen dennoch abgefragt wird.
Risikokultur: Umsetzung von AT 3Kapitalplanung
Die normative und die ökonomische Perspektive der Risikotragfähigkeit sind Entscheidungsgrundlagen der Geschäftsleitung, nicht Rechenwerke des Controllings.
Normative und ökonomische PerspektiveDie Themen im Einzelnen
Der MaRisk Ordnungsrahmen ist in dieser Sammlung nach Modulen sortiert. Jeder Eintrag führt zu einem eigenen Beitrag mit Normbezug, Prüffragen und Quellenverzeichnis.
Risikotragfähigkeit und Strategien
AT 4.1 und AT 4.2: normative und ökonomische Perspektive, Kapitalplanung, SREP und die Validierung der eingesetzten Verfahren.
Normative und ökonomische PerspektiveICAAP und ILAAP
Die internen Prozesse zur Sicherstellung der angemessenen Kapital- und Liquiditätsausstattung und ihr Verhältnis zum aufsichtlichen Überprüfungsprozess.
Wie ICAAP und ILAAP funktionierenBesondere Funktionen
AT 4.4: Risikocontrolling-Funktion, Compliance-Funktion und Interne Revision – Aufgaben, Unabhängigkeit und die Grenzen ihrer Auslagerung.
Welche Aufgaben hat die Interne RevisionAnpassungsprozesse
AT 8: der Neue-Produkte-Prozess und der Produkte- und Märkte-Katalog als Grundlage jeder Erweiterung der Geschäftstätigkeit.
Produkte- und Märkte-Katalog nach AT 8Notfallmanagement
AT 7.3: Auswirkungsanalysen, Notfallszenarien, Wiederanlaufzeiten und die Abstimmung mit Dienstleistern – seit 2026 getrennt vom IKT-Strang nach DORA.
Notfallmanagement und Business ContinuityAuslagerung
AT 9 mit eigenem Hub: Abgrenzung, Einstufung, Vertrag, Register, Bericht und die Trennlinie zu DORA.
Governance im AuslagerungsmanagementSteuerung mit Kennzahlen
Leistungs- und Risikoindikatoren als Grundlage der laufenden Überwachung – innerhalb und außerhalb des Auslagerungsmanagements.
Unterschiede zwischen KPIs und KRIsGeschäftsspezifische Vorgaben
Der Besondere Teil knüpft an Geschäftsarten an, etwa mit eigenen Regeln für das Immobiliengeschäft.
Immobiliengeschäft nach BTO 3Wertpapierinstitute
Ab 1. Januar 2027 gilt für kleine und mittlere Wertpapierinstitute ein eigener Rahmen.
WpI MaRisk für WertpapierinstituteFazit
Der MaRisk Ordnungsrahmen ist in seiner Struktur stabil und in seinen Details beweglich geworden.
- Die MaRisk konkretisieren § 25a Abs. 1 KWG; maßgeblich ist das Rundschreiben 06/2026 (BA) vom 30. Juni 2026.
- Die Gliederung in Allgemeinen und Besonderen Teil ist unverändert; neu hinzugekommen ist AT 4.3.4 zur Verwendung von Modellen.
- Mehrere Detailvorgaben sind entfallen – die Begründungslast liegt dafür beim Institut.
- Die Erleichterungen hängen an zwei Größenklassen, die sich unterscheiden und rechnerisch zu belegen sind.
- AT 3 und AT 3.2 richten sich unmittelbar an Geschäftsleitung und Aufsichtsorgan.
Wer die eigene Organisationsrichtlinie an dieser Struktur ausrichtet, findet die passende Stelle schneller – und erkennt die Punkte, an denen eine dokumentierte Entscheidung fehlt.
Häufige Fragen
Was sind die MaRisk und welche Rechtsnatur haben sie?+–
Die Mindestanforderungen an das Risikomanagement sind ein Rundschreiben der BaFin, derzeit das Rundschreiben 06/2026 (BA) mit Stand vom 30. Juni 2026. Sie konkretisieren § 25a Abs. 1 KWG und sind damit eine norminterpretierende Verwaltungsanweisung – kein Gesetz, aber der Maßstab, an dem die Aufsicht die Geschäftsorganisation misst.
Wie ist der MaRisk Ordnungsrahmen aufgebaut?+–
In einen Allgemeinen Teil und einen Besonderen Teil. Der Allgemeine Teil reicht von AT 1 Vorbemerkung über AT 3 Gesamtverantwortung der Geschäftsleitung und AT 4 Anforderungen an das Risikomanagement bis AT 9 Auslagerung. Der Besondere Teil enthält Anforderungen an die Aufbau- und Ablauforganisation, an Risikosteuerungs- und -controllingprozesse, an die Interne Revision und an die Risikoberichterstattung.
Was ist mit der Fassung vom 30. Juni 2026 neu?+–
Am auffälligsten ist das neue Modul AT 4.3.4 zur Verwendung von Modellen. Daneben wurde AT 9 umfassend überarbeitet: IKT-Dienstleistungen fallen heraus, die Aspektliste der Risikoanalyse ist gestrichen, die namentliche Bestellung eines Auslagerungsbeauftragten steht nicht mehr im Text, und mehrere Erleichterungen für Gruppen und Verbünde sind in Tz. 14 zusammengefasst.
Was bedeutet der Proportionalitätsgrundsatz konkret?+–
Die MaRisk unterscheiden nach Institutsgröße. Kleine Institute sind kleine und nicht-komplexe Institute nach Art. 4 Abs. 1 Nr. 145 der Verordnung (EU) Nr. 575/2013. Sehr kleine Institute überschreiten im Vierjahresdurchschnitt eine Bilanzsumme von 1 Milliarde Euro nicht und können die Erleichterungen für kleine Institute auch dann nutzen, wenn sie deren Kriterien nicht erfüllen.
Welche Rolle hat das Aufsichtsorgan?+–
Nach AT 3.2 erhält es die regelmäßigen Berichte der Internen Revision nach AT 4.4.3 Tz. 9 zur Kenntnis. Bei schwerwiegenden Feststellungen gegen Geschäftsleiter ist der Vorsitzende unverzüglich zu informieren; kommt die Geschäftsleitung dieser Pflicht nicht nach, unterrichtet die Interne Revision den Vorsitzenden selbst.
Gelten die MaRisk auch für Wertpapierinstitute?+–
Nicht unmittelbar. Für kleine und mittlere Wertpapierinstitute gilt ab dem 1. Januar 2027 ein eigener Rahmen, das Rundschreiben 09/2026 (WA) – die WpI MaRisk. Bis zum 31. Dezember 2026 sind nach dem Anschreiben der BaFin die KWG-MaRisk in der Fassung der 8. Novelle sinngemäß anzuwenden.
Quellen
Primärquellen zuerst. Je Eintrag ist angegeben, wofür die Quelle in diesem Beitrag einsteht.
- BaFin, Rundschreiben 06/2026 (BA) – Mindestanforderungen an das Risikomanagement (MaRisk)Maßgebliche Fassung; Grundlage aller Modul- und Textzifferangaben.
- BaFin, Meldung vom 30.06.2026: MaRisk-Novelle – Mehr ProportionalitätBeleg für Veröffentlichungsdatum und Zielrichtung der Novelle.
- Deutsche Bundesbank, Themenseite MaRiskFundstelle für Rundschreiben, Vergleichsversionen und Änderungsübersichten.
- Deutsche Bundesbank, Monatsbericht April 2026: Das Bankenrichtlinienumsetzungs- und BürokratieentlastungsgesetzBeleg für das Inkrafttreten der KWG-Änderungen zum 1. April 2026.
- Kreditwesengesetz, GesamtfassungFundstelle für § 25a Abs. 1 sowie die Begriffsbestimmungen in § 1.
- § 25c KWG – GeschäftsleiterKatalog der Pflichten im Rahmen der Gesamtverantwortung.
- § 25e KWG – Anforderungen bei Inhabern von SchlüsselfunktionenEignungsanforderungen unterhalb der Organebene.
- BaFin, Rundschreiben 09/2026 (WA) – WpI MaRiskEigener Rahmen für kleine und mittlere Wertpapierinstitute ab 1. Januar 2027.
- Verordnung (EU) 2022/2554 (DORA)Grundlage für Art. 3 Nr. 21 und die Abgrenzung zu AT 9.
Alle Beiträge dieser Sammlung
Der MaRisk Ordnungsrahmen im Detail – sortiert nach Modulen, von den allgemeinen Anforderungen bis zu den geschäftsspezifischen Vorgaben.
- Governance im Auslagerungsmanagement: der Hub zu AT 9
- Notfallmanagement und Business Continuity: der Hub zu AT 7.3
- Abgrenzung von Auslagerungen und Fremdbezug nach MaRisk
- Normative und ökonomische Perspektive im Risikomanagement
- Die 9. MaRisk-Novelle im Überblick
- Risikokultur: Umsetzung von AT 3
- Leitfaden zur Risikotragfähigkeit
- Wie das ICAAP- und ILAAP-System funktioniert
- SREP: Anforderungen an die Kapitalplanung
- Welche Aufgaben hat die Interne Revision
- Auslagerung der besonderen Funktion
- Produkte- und Märkte-Katalog nach AT 8
- Der Neue-Produkte-Prozess nach MaRisk
- Anforderungen an das Notfallmanagement
- Welche Notfallszenarien zu berücksichtigen sind
- Was ist eine Business-Impact-Analyse
- Unterschiede zwischen KPIs und KRIs
- Immobiliengeschäft nach BTO 3
- WpI MaRisk für Wertpapierinstitute
- Sind Spezialfonds als Auslagerung einzustufen
- Top 9 Prüfungsfeststellungen im Risikomanagement
Hinweis zur Unabhängigkeit: Diese Übersicht gibt Aufbau und Anforderungen neutral wieder. Aussagen zu Software oder Beratungsleistungen einzelner Anbieter werden bewusst nicht getroffen.
Nicht sicher, welches Modul dein Thema trifft? Zur Themenübersicht.
