MaRisk 2026 Leitfaden: Die 10. MaRisk praxisnah umsetzen

Dieser MaRisk 2026 Leitfaden ordnet die 9. MaRisk-Novelle ein, die als 10. Fassung der MaRisk am 30.06.2026 von BaFin und Bundesbank als Rundschreiben 06/2026 (BA) veröffentlicht wurde. Die Konsultationsphase ist abgeschlossen. Die neue Fassung ist mit Veröffentlichung in Kraft getreten; für zusätzliche Anforderungen gilt im Einzelfall eine Übergangsfrist bis zum 01.01.2027.

Für dich heißt das: Die Zeit der Vorbereitung ist vorbei. Jetzt geht es darum, die Gap-Analyse abzuschließen, Organisationsrichtlinien anzupassen und die Umsetzung bis zum Jahreswechsel prüfungssicher zu dokumentieren.

Inhaltlich setzt die Novelle auf Prinzipien statt Detail. Das Rundschreiben wurde von 122 auf rund 80 Seiten gekürzt, drei Größenklassen regeln Erleichterungen ausdrücklich, das Modul AT 4.3.4 regelt die Verwendung von Modellen einschließlich KI, und AT 4.3.3 Tz. 7 verlangt Resilienzanalysen über einen langen Zeithorizont.

Mehr Methodenfreiheit bedeutet mehr Begründungslast: Du musst nachvollziehbar darlegen, warum dein Verfahren zu Geschäftsmodell und Risikoprofil passt. Eine grundsätzliche Absenkung des Anforderungsniveaus ist laut BaFin nicht erfolgt.

Das Wichtigste in Kürze

Sachverhalt: Was die 10. MaRisk grundsätzlich ändert

Prinzip statt Detail

Hauptziel der Novelle war laut Übersendungsschreiben, das Rundschreiben stärker prinzipienbasiert zu gestalten und die Komplexität deutlich zu reduzieren. Neben Teilen des Regelungstextes wurden auch Erläuterungen gestrichen, die eine langjährige Auslegungspraxis widerspiegeln. Das bedeutet zweierlei:

• Bestehende Lösungen bleiben anerkannt. Die BaFin stellt klar, dass die Streichung von Erläuterungen nicht bedeutet, dass Lösungen auf Basis der früheren Erläuterungen nicht mehr anerkannt würden.
• Die Begründungslast steigt. Alternative Verfahren sind möglich, soweit sie durch die allgemein formulierte Anforderung gedeckt sind und zum Geschäftsmodell oder Risikoprofil des Instituts passen. Das musst du nachvollziehbar darlegen. BaFin-Exekutivdirektor Nikolas Speer fasst das als „Eigenverantwortung statt Händchenhalten“ zusammen.

Im Vergleich zur Konsultationsfassung vom 01.04.2026 haben sich an einigen Stellen Änderungen ergeben. Nach Angaben der BaFin gingen in der sechswöchigen Konsultationsphase 35 Stellungnahmen ein. Vergleichsversionen zur Fassung vom 29.05.2024 und zur Konsultationsfassung stellen BaFin und Bundesbank bereit.

Größenklassen: Welche Erleichterungen für dein Institut gelten (AT 1 Tz. 3)

Zusätzlich zur allgemeinen Proportionalität definiert die MaRisk Größenklassen, die konkrete weitere Erleichterungen gewähren. Die BaFin schätzt, dass die neuen Größenklassen für 80 bis 85 Prozent der Institute Erleichterungen schaffen.

Ausgewählte Erleichterungen im Überblick

Risikoinventur und Risikotragfähigkeit (AT 2.2, AT 4.1)

• Wesentlichkeitsschwelle: In der ökonomischen Perspektive wird ein Schwellenwert von 5 % bezogen auf das Risikodeckungspotenzial als angemessen anerkannt (AT 2.2 Tz. 1).
• IKT-Risiken sind Bestandteil der operationellen Risiken und explizit in die Risikoinventur einzubeziehen (AT 2.2 Tz. 1, Erläuterung).
• Validierung: Nach der Initialvalidierung sind Folgevalidierungen mindestens alle drei Jahre sowie anlassbezogen durchzuführen (AT 4.1 Tz. 9).

Umweltrisiken und Resilienzanalysen (AT 2.2 Tz. 3, AT 4.3.3 Tz. 7)

Mit der Novelle setzt die BaFin die EBA-Leitlinien zur Umwelt-Szenarioanalyse (EBA/GL/2025/04) um. Nach AT 2.2 Tz. 3 sind ESG-Risiken als Risikotreiber bei Risikoinventur, internem Kontrollsystem, (Risiko-)Strategie und Berichterstattung angemessen zu berücksichtigen. Zugrunde zu legen sind verschiedene plausible Szenarien, die im Einklang mit wissenschaftlichen Erkenntnissen stehen; ein Abstellen allein auf Datenhistorien reicht nicht. Die Beurteilung hat kurz- und mittelfristig sowie über einen langen Zeithorizont zu erfolgen.

AT 4.3.3 Tz. 7 verlangt zusätzlich zu den Stresstests mit kurzem Zeithorizont Resilienzanalysen über einen langen Zeithorizont. Deren Ergebnisse sind angemessen in der Analyse des Geschäftsmodells und bei der Festlegung der Strategie zu berücksichtigen. Das Referenzszenario, also der aus Sicht des Instituts wahrscheinlichste Verlauf der Umweltbedingungen, soll mindestens einem adversen Alternativszenario gegenübergestellt werden. Die MaRisk nennen keine feste Jahreszahl für den langen Zeithorizont. Institute können vereinfachte Methoden (Sensitivitätsanalysen) verwenden; kleine Institute können qualitative Ansätze nutzen.

Verwendung von Modellen und KI (AT 4.3.4)

Das Modul AT 4.3.4 gilt für Modelle, die in den von der MaRisk geregelten Prozessen eingesetzt werden, und ausdrücklich auch für automatisierte Modelle, technologiegestützte Innovation und künstliche Intelligenz (Tz. 1). Es kommt nicht darauf an, ob das Modell intern oder von einem Dritten entwickelt wurde. Modelle, die in den Anwendungsbereich der CRR fallen, gehören nicht dazu. Die Anforderungen richten sich nach Komplexität, Bedeutung im Risikomanagement und Risiko des Modells.

• Begründung und Eignung: Annahmen sind nachvollziehbar zu begründen; Angemessenheit und Eignung sind vor dem Einsatz zu bewerten und regelmäßig zu überprüfen (Tz. 2).
• Datenqualität: Qualitätsschwächen in den zugrunde liegenden Daten sind zu erkennen und zu bereinigen (Tz. 3).
• Überschreibungen: Das Institut regelt die Verwendung der Modellergebnisse, soweit relevant auch Überschreibungen (Tz. 4).
• Validierung: Grenzen und Beschränkungen der Modelle sind kritisch zu würdigen, die Modelle regelmäßig zu validieren (Tz. 5).
• Erklärbarkeit: „Neben der angestrebten Genauigkeit ist auch auf eine hinreichende Erklärbarkeit zu achten“ (Tz. 6). Erklärbar ist ein Modell, wenn Wirkungszusammenhänge zwischen Eingangs- und Ausgangsgrößen aufgezeigt werden können.

IKT- und DOR-Strategie (AT 4.2 Tz. 2)

Die Geschäftsleitung muss eine mit der Geschäftsstrategie konsistente und nachhaltige IKT-Strategie festlegen. Ist ein Institut zu einer DOR-Strategie (Strategie für die digitale operationale Resilienz) nach DORA verpflichtet, können IKT- und DOR-Strategie je nach Größe und Gesamtrisikoprofil in einem gemeinsamen Dokument zusammengefasst werden. Gleiches gilt für die IKT-Strategie und die Geschäftsstrategie.

DORA-Abgrenzung bei Auslagerungen (AT 9)

AT 9 Tz. 1 stellt klar: Ausgelagerte oder fremdbezogene IKT-Dienstleistungen nach Art. 3 Nr. 21 DORA, die dem IKT-Drittparteienrisikomanagement nach Art. 28 bis 30 DORA unterliegen, fallen nicht in den Anwendungsbereich des AT 9. Für Nicht-IKT-Auslagerungen bleibt AT 9 maßgeblich, einschließlich der Risikoanalyse (Tz. 2) und des zentralen Auslagerungsmanagements (Tz. 12).

Institute mit hohem NPL-Bestand (AT 2.1 Tz. 1, AT 4.2 Tz. 3)

Die 5-%-Quote ist kein Grenzwert, der einzuhalten wäre, sondern eine Anwendungsschwelle: Bestimmte, gesondert gekennzeichnete Anforderungen gelten nur für Institute mit einer Quote notleidender Kredite (brutto) von 5 % oder mehr, auf Einzelinstituts- oder konsolidierter Gruppenebene (AT 2.1 Tz. 1).

Betroffene Institute müssen eine NPL-Strategie mit kurz-, mittel- und langfristigen Abbauzielen und einem Implementierungsplan entwickeln. Fortschritte sind vierteljährlich anhand NPE-bezogener Leistungsindikatoren (KPI) zu überprüfen. Wesentliche Abweichungen und Abhilfemaßnahmen lässt sich die BaFin berichten (AT 4.2 Tz. 3). Die Risikocontrolling-Funktion überwacht die NPE-bezogenen Risiken und den Fortschritt anhand dieser KPI (AT 4.4.1 Tz. 2).

Sicherheiten und Immobilien (BTO 1.2, BTO 3)

• Kreditsicherheiten (BTO 1.2 Tz. 3): Die mit der Bewertung betrauten sachverständigen Personen müssen qualifiziert sein, dürfen nicht in die Kreditentscheidung eingebunden sein und müssen vom Bereich Markt unabhängig sein. Eine angemessene Rotation der für die Bewertung von Immobiliensicherheiten zuständigen Personen ist sicherzustellen; sehr kleine Institute können darauf verzichten.
• Statistische Bewertungsmodelle (BTO 1.2 Tz. 2, Erläuterung): Wer fortgeschrittene statistische Modelle nutzt, muss Kriterien für deren Verwendung festlegen. Die Modelle müssen unter anderem immobilien- und standortspezifisch sein und regelmäßig mit beobachteten Transaktionspreisen abgeglichen werden.
• Eigenes Immobiliengeschäft (AT 2.3 Tz. 6, BTO 3.2, BTO 3.2.2): Bei der Bewertung ist eine Objektbesichtigung durchzuführen (BTO 3.2). Der Immobilienwert ist jährlich zu überprüfen; deutet die Prüfung auf einen Wertverlust von mehr als 10 % hin, ist eine Neubewertung erforderlich (BTO 3.2.2).

Compliance-Funktion (AT 4.4.2)

Die Compliance-Funktion identifiziert risikoorientiert und in regelmäßigen Abständen die wesentlichen rechtlichen Regelungen und Vorgaben, deren Nichteinhaltung das Vermögen des Instituts gefährden kann (Tz. 2). Sie kann mit anderen geeigneten Funktionen kombiniert werden, zum Beispiel mit dem Geldwäschebeauftragten oder der IKT-Risikokontrollfunktion nach Art. 6 Abs. 4 DORA (Tz. 3). Geldwäsche- und Datenschutzbeauftragter dürfen nach den Auslegungs- und Anwendungshinweisen zum GwG grundsätzlich nicht kombiniert werden (Tz. 3, Erläuterung). Der Compliance-Bericht geht mindestens jährlich an die Geschäftsleitung und wird an die Interne Revision weitergegeben (Tz. 6).

Weitere Änderungen, die BaFin und Bundesbank hervorheben

• Berichtswesen (BT 2): Die unterjährige Berichterstattung soll die Geschäftsleitung zeitnah über materielle Entwicklungen bei wesentlichen Risiken informieren. Die Geschäftsleitung legt eigenverantwortlich fest, welche Teilberichte aktualisiert werden. Die Aufsicht fordert keine zusätzlichen längeren Berichte an, die nur teilweise steuerungsrelevante Informationen enthalten.
• Kreditgeschäft (BTO 1): Zahlreiche Verweise auf die EBA-Leitlinien für die Kreditvergabe und Überwachung wurden gestrichen und Detailanforderungen zurückgebaut. Die Anforderungen an Bewertung und Überprüfung von Sicherheiten sind allgemeiner gefasst.
• Besondere Funktionen: Die allgemeinen Anforderungen werden einmalig aufgeführt; Vereinbarkeiten im Beauftragtenwesen werden klarer herausgestellt, solange die Trennung der internen Kontrollfunktionen von operativen Tätigkeiten beachtet wird.

EBA-Leitlinien in der MaRisk (AT 1 Tz. 2)

In den MaRisk sind laut AT 1 Tz. 2 acht EBA-Leitlinien umgesetzt, soweit sie das Risikomanagement betreffen: EBA/GL/2018/04 (Stresstests), EBA/GL/2018/06 (NPL-Management und Forbearance), EBA/GL/2019/02 (Auslagerungen), EBA/GL/2020/06 (Kreditvergabe und Überwachung), EBA/GL/2021/05 (interne Governance), EBA/GL/2022/14 (Zinsänderungs- und Kreditspreadrisiken im Anlagebuch), EBA/GL/2025/01 (ESG-Risiken) und EBA/GL/2025/04 (Umwelt-Szenarioanalyse). Zusätzlich greifen die MaRisk die in Überarbeitung befindlichen Leitlinien zur internen Governance auf, die bislang nur als Konsultationsfassung vorliegen.

Pflichten nach Funktion

Die 10. MaRisk richtet sich an das Institut als Ganzes. Für die Umsetzung hilft es, die Anforderungen den Funktionen zuzuordnen, die sie tragen.

Quick-Check: Bist du MaRisk-ready?

Beantworte die acht Prüffragen für dein Institut. Die Fundstelle zeigt, wo du die Anforderung nachlesen kannst.

Dein Umsetzungs-Status

Wähle den Stand, der für dein Institut nach den acht Prüffragen am besten passt. Die Auswahl bleibt auf deinem Gerät und wird nicht gespeichert.

Fazit: Kernbotschaften

• Die Zeit der Vorbereitung ist vorbei. Die 10. MaRisk gilt seit dem 30.06.2026; für zusätzliche Anforderungen im Einzelfall läuft die Übergangsfrist bis zum 01.01.2027.
• Prinzip heißt Begründung. Die Methodenfreiheit ist größer, die Begründungslast auch. Dokumentiere, warum dein Verfahren zu Geschäftsmodell und Risikoprofil passt.
• Zuerst die Größenklasse. Sie entscheidet, welche Erleichterungen du nutzen darfst, und gehört mit Berechnung und Stichtag in die Akte.
• Drei Schwerpunkte verdienen Aufmerksamkeit: Resilienzanalysen über einen langen Zeithorizont, das Modul zu Modellen und KI sowie die Abgrenzung zwischen AT 9 und DORA.
• Das Anforderungsniveau sinkt nicht grundsätzlich. Weniger Detail heißt nicht weniger Pflicht.

Dieser MaRisk 2026 Leitfaden zeigt: Die Umsetzung der 10. MaRisk ist vor allem eine Frage sauberer Einstufung, nachvollziehbarer Begründung und prüfungssicherer Dokumentation. Wer die Gap-Analyse jetzt abschließt, hat bis zum Jahreswechsel genug Zeit, Richtlinien und Nachweise zu aktualisieren.

Quellenverzeichnis

Stand der Abrufe: 14.10.2026. Primärquellen zuerst, dann Veröffentlichungen von BaFin und Bundesbank.

1. Europäische Union: Verordnung (EU) 2026/1744 (Digital-Omnibus-Verordnung zur KI), Amtsblatt vom 24.07.2026
   Rechtsakt zur Änderung der KI-Verordnung (EU) 2024/1689, relevant für KI-Modelle nach AT 4.3.4.
2. BaFin: Rundschreiben 06/2026 (BA) – MaRisk, Stand 30.06.2026
   Amtliche Fassung der 10. MaRisk mit Vergleichsversionen zur Fassung 2024 und zur Konsultationsfassung.
3. Deutsche Bundesbank: Rundschreiben 06/2026 (BA), MaRisk, Stand 30.06.2026 (PDF)
   Volltext der Neufassung; Grundlage aller Fundstellen mit Textziffer in diesem Beitrag.
4. BaFin: Übersendungsschreiben zur Neufassung vom 30.06.2026, GZ BA 54-FR 2210/00067#00005 (PDF)
   Inkrafttreten, Übergangsfrist bis 01.01.2027, Überführung der Aufsichtsmitteilung vom 26.11.2024.
5. BaFin: Meldung „MaRisk-Novelle: Mehr Proportionalität“ vom 30.06.2026
   Einordnung der Veröffentlichung durch die Aufsicht.
6. BaFin: Fachartikel „MaRisk schaffen mehr Spielraum für Banken“, Juni 2026
   Größenklassen, Kürzung von 122 auf rund 80 Seiten, Berichtswesen, EBA-Leitlinien.
7. BaFin: Interview mit Nikolas Speer „Vertrauensvorschuss für die Institute“ vom 30.06.2026
   Begründung des prinzipienorientierten Ansatzes („Eigenverantwortung statt Händchenhalten“).
8. Deutsche Bundesbank: MaRisk-Seite mit Vergleichsfassungen
   Rundschreiben, Anschreiben und Vergleichsfassungen zur Fassung vom 29.05.2024 und zur Konsultationsfassung.
9. Deutsche Bundesbank und BaFin: Digitales Aufsichtsbriefing im Fokus „Die 10. MaRisk“ (PDF)
   Zeitplan, Größenklassen, Resilienzanalyse, Aufsichtsverständnis zur Proportionalität.