Fachbeitrag Risikomanagement und Steuerung

KPIs und KRIs 2026/2027: Von der Kennzahl zum Frühwarnsystem

KPIs und KRIs beantworten zwei verschiedene Fragen: Kommen wir voran, und baut sich etwas auf, das uns gefährdet? Dieser Leitfaden zeigt, wie du beide unterscheidest, mit Schwellenwerten und Ampel versiehst und nach HGB, StaRUG, BSIG, MaRisk und KWG prüfungssicher berichtest.

Rechtsstand: Oktober 2026 | Lesezeit: ca. 12 Minuten | Autor: Achim Schulz

Management Summary: Mit KPIs zum Erfolg, mit KRIs Risiken beherrschen

Viele Unternehmen messen viel und steuern wenig. Ein Dashboard mit 60 Kennzahlen ohne Schwellenwerte zeigt Zahlen, warnt aber nicht. Key Performance Indicators (KPIs) messen, ob du deine Ziele erreichst. Key Risk Indicators (KRIs) zeigen früh, ob sich ein Risiko aufbaut, das diese Ziele gefährdet.

Beides ist nicht nur gute Praxis, sondern teilweise Gesetz: Der Lagebericht muss die bedeutsamsten finanziellen Leistungsindikatoren analysieren (§ 289 Abs. 1 Satz 3 HGB). Alle juristischen Personen müssen bestandsgefährdende Entwicklungen früh erkennen (§ 1 StaRUG). NIS2-Einrichtungen müssen die Wirksamkeit ihrer Sicherheitsmaßnahmen bewerten (§ 30 Abs. 2 Satz 2 Nr. 6 BSIG). Banken brauchen für ihren ESG-Risikoplan „quantifizierbare Ziele und Kennzahlen“ (§ 26d KWG).

Wirksam werden Kennzahlen erst mit klaren Definitionen, Schwellenwerten und festen Maßnahmen. Ein KRI ist deshalb keine Risikoart, sondern eine messbare Größe mit Einheit, Turnus und Schwellenwert.

Der Beitrag zeigt, wie du KPIs und KRIs unterscheidest, sinnvoll auswählst, mit Schwellenwerten versiehst und prüfungssicher berichtest. Er dient der allgemeinen Information und ersetzt keine Rechtsberatung im Einzelfall.

KPI und KRI: Der Unterschied in einem Satz

KPI: Kommen wir voran?

Er misst die Leistung im Verhältnis zu einem Ziel. Beispiele sind Umsatzwachstum, EBIT-Marge und Liefertreue.

Leistung

KRI: Baut sich etwas auf?

Er misst, wie sich ein Risiko entwickelt, bevor ein Schaden eintritt. Beispiele sind die Abhängigkeit von einem Kunden oder Lieferanten, die Anzahl kritischer offener Schwachstellen und Limitauslastungen.

Warnung

Risikoarten sind keine KRIs: „Kreditrisiko“ oder „Marktrisiko“ bezeichnen Kategorien. Ein KRI ist eine messbare Größe mit Einheit, Turnus und Schwellenwert, zum Beispiel „Anteil der Forderungen über 90 Tage überfällig in % des Forderungsbestands, monatlich, gelb ab 5 %, rot ab 8 %“.

Frühindikator und Spätindikator: Ein guter KRI ist ein Frühindikator, zum Beispiel ein sinkender Auftragseingang. Ein Schaden, der bereits eingetreten ist, ist ein Spätindikator und eignet sich eher als KPI oder Verlustkennzahl.

Verknüpfung: Jeder wesentliche KPI braucht mindestens einen KRI, der früh zeigt, was ihn gefährdet. Beispiel: Zum KPI Liefertreue gehört der KRI Anteil des Einkaufsvolumens bei Lieferanten mit nur einer Bezugsquelle.

Praxis-Tipp: Schreib zu jeder Kennzahl einen Steckbrief mit Definition, Formel, Datenquelle, Turnus, Verantwortlichem, Schwellenwerten und der Maßnahme, die bei „rot“ folgt.

Rechtlicher Rahmen: Wo Kennzahlen Pflicht sind

Bereich	Norm	Anforderung (Wortlaut bzw. Kern)
Lagebericht	§ 289 Abs. 1 Satz 3 HGB	„In die Analyse sind die für die Geschäftstätigkeit bedeutsamsten finanziellen Leistungsindikatoren einzubeziehen und unter Bezugnahme auf die im Jahresabschluss ausgewiesenen Beträge und Angaben zu erläutern.“
Lagebericht (große Kapitalgesellschaften)	§ 289 Abs. 3 HGB	Gilt entsprechend „für nichtfinanzielle Leistungsindikatoren, wie Informationen über Umwelt- und Arbeitnehmerbelange“
Risikobericht	§ 289 Abs. 1 Satz 4 HGB	Voraussichtliche Entwicklung mit wesentlichen Chancen und Risiken beurteilen und erläutern; Annahmen angeben
Krisenfrüherkennung	§ 1 StaRUG	Bestandsgefährdende Entwicklungen fortlaufend überwachen
Aktiengesellschaft	§ 91 Abs. 2 AktG	Überwachungssystem zur Früherkennung bestandsgefährdender Entwicklungen
NIS2-Einrichtungen	§ 30 Abs. 2 Satz 2 Nr. 6 BSIG	„Konzepte und Verfahren zur Bewertung der Wirksamkeit von Risikomanagementmaßnahmen im Bereich der Sicherheit in der Informationstechnik“
Institute: Frühwarnung	MaRisk AT 4.3.2 Tz. 2	„Hierzu muss das Institut geeignete Indikatoren für die frühzeitige Identifizierung von Risiken sowie von risikoartenübergreifenden Effekten ableiten.“
Institute: Kreditgeschäft	MaRisk BTO 1.3.1 Tz. 2	Auf Basis quantitativer und qualitativer Risikomerkmale Indikatoren für eine frühzeitige Risikoidentifizierung entwickeln. Beim Auslösen von Frühwarnindikatoren sind die betroffenen Engagements zu überprüfen und bei Bedarf in eine Watchlist aufzunehmen.
Institute: notleidende Kredite (NPE)	MaRisk AT 4.4.1 Tz. 2 (Erläuterung)	Die Umsetzung der NPE-Strategie ist anhand NPE-bezogener Leistungsindikatoren (Key Performance Indicators, KPI) zu überprüfen
Institute: ESG	§ 26d Abs. 1 Satz 2 Nr. 3 KWG	ESG-Risikoplan mit angemessenen und quantifizierbaren Zielen und Kennzahlen sowie Verfahren zu deren Überwachung; Horizont von mindestens 10 Jahren

Praxis-Tipp: Ordne jede Pflichtkennzahl ihrer Norm zu. So weißt du, welche Kennzahlen Prüfer zuerst sehen wollen und welche du selbst gestalten kannst.

KPIs in der Praxis: Finanzen, Nachhaltigkeit und Fachbereiche

Vertrieb und Marketing

Typische Leistungskennzahlen aus Vertrieb und Marketing bleiben die Grundlage; ergänze sie um Zielwerte und Verantwortliche.

Bestand

Kundenservice, Personal, Produktion

Kennzahlen dieser Bereiche gehören in dieselbe Systematik: ein bis drei KPIs je Ziel, jeweils mit Steckbrief.

Bestand

Finanzen

EBIT-Marge, Free Cashflow, Working-Capital-Reichweite (DSO, DIO, DPO), Eigenkapitalquote und Verschuldungsgrad (Nettofinanzverbindlichkeiten zu EBITDA). Sie gehören in der Regel auch zu den „bedeutsamsten finanziellen Leistungsindikatoren“ im Lagebericht.

Neu

Nachhaltigkeit

Für große Kapitalgesellschaften nach § 289 Abs. 3 HGB: Energieverbrauch je Einheit, Fluktuation, Unfallquote, Weiterbildungsstunden.

Neu

Regel: Pro Ziel ein bis drei KPIs. Mehr Kennzahlen machen die Steuerung schwerer, nicht besser.

KRIs in der Praxis: Echte Indikatoren statt Risikoarten

Risikoart	KRI (messbar)	Turnus	Beispiel-Schwellen gelb / rot
Forderungsausfall	Forderungen über 90 Tage überfällig in %	monatlich	5 % / 8 %
Liquidität	Liquiditätsreichweite in Wochen (13-Wochen-Planung)	wöchentlich	< 8 / < 4 Wochen
Finanzierung	Abstand zum Financial Covenant (z. B. Verschuldungsgrad)	quartalsweise	< 20 % / < 10 % Puffer
Konzentration	Umsatzanteil der Top-3-Kunden	quartalsweise	> 40 % / > 50 %
Lieferkette	Einkaufsvolumen bei Lieferanten mit nur einer Bezugsquelle in %	quartalsweise	> 30 % / > 50 %
Währung	Ungesicherte Fremdwährungsposition in % des EBIT	monatlich	> 10 % / > 20 %
IT-Sicherheit	Kritische Schwachstellen länger als 14 Tage offen; Patch-Quote; Klickrate bei Phishing-Simulationen	monatlich	> 0 / > 5 kritische
Personal	Fluktuation in Schlüsselfunktionen; Stellen ohne Vertretung	quartalsweise	> 10 % / > 15 %
Compliance	Überfällige Maßnahmen aus Prüfungsfeststellungen; offene Hinweisgeberfälle über 3 Monate	monatlich	> 3 / > 5
Kreditinstitute	Limitauslastung; Engagements auf der Watchlist; NPE-Quote	gemäß MaRisk	institutsindividuell

Wichtig: Die Schwellenwerte sind Beispiele und keine Branchenstandards. Lege sie aus Risikoappetit, Tragfähigkeit und Historie ab und lege sie unternehmensindividuell fest.

Schwellenwerte, Ampel und Eskalation

Grün: im Rahmen

Der Wert liegt innerhalb der Toleranz. Es sind keine Maßnahmen nötig, die Kennzahl wird im Turnus weiter beobachtet.

Status: erfüllt

Gelb: Frühwarnung

Der Wert nähert sich der Grenze. Es folgen Ursachenanalyse und engere Beobachtung.

Status: teilweise

Rot: Limit überschritten

Limit oder Toleranz sind überschritten. Es folgen Eskalation an die Geschäftsleitung und ein Maßnahmenbeschluss.

Status: offen

Herleitung: Die Schwellenwerte kommen aus dem Risikoappetit und der Risikotragfähigkeit, nicht aus dem Bauchgefühl. In Instituten legt die Geschäftsleitung den Risikoappetit in der Risikostrategie fest (MaRisk AT 4.2 Tz. 2).

Prozessbezug: Ein Signal muss zu einer Maßnahme führen. MaRisk BTO 1.3 verlangt ausdrücklich eine „prozessbezogene Komponente“: Signale müssen „zeitnah zu geeigneten Maßnahmen“ führen.

Überprüfung: Frühwarnindikatoren „müssen regelmäßig überprüft und bei Bedarf angepasst werden“ (BTO 1.3.1 Tz. 2). Dieser Gedanke passt für jedes Unternehmen.

Praxis-Tipp: Lege für jede rote Ampel vorab fest, wer innerhalb welcher Frist informiert wird und welche Maßnahmen zur Auswahl stehen.

Neue Kennzahlenpflichten und Fristen 2026/2027

Thema	Stand Oktober 2026	Bedeutung für Kennzahlen
NIS2 / BSIG	Seit 06.12.2025	Wirksamkeit der Sicherheitsmaßnahmen messbar machen. Das BSI nennt die Patch-Quote, Reaktionszeiten auf Vorfälle und Ergebnisse von Phishing-Simulationen als Beispiele und strebt messbare Prozesse an (Reifegrad 4).
ESG-Risikoplan	§ 26d KWG seit 01.04.2026; kleine und nicht komplexe Institute ab 11.01.2027	Quantifizierbare ESG-Kennzahlen; kleine Institute können qualitativ beschreiben (§ 26d Abs. 1 Satz 4 KWG)
9. MaRisk-Novelle	Seit 30.06.2026; zusätzliche Anforderungen bis 01.01.2027	Indikatoren zur Frühwarnung (AT 4.3.2 Tz. 2) und Watchlist (BTO 1.3.1)
DORA	Seit 17.01.2025	IKT-Vorfälle, Drittparteien und Testergebnisse als KRIs
CSRD (Omnibus I)	RL (EU) 2026/470; deutsches Umsetzungsgesetz nach den ausgewerteten Quellen noch offen	Nachhaltigkeitskennzahlen nur noch für Unternehmen über 1.000 Beschäftigte und 450 Mio. € Umsatz; Leistungsindikatoren nach § 289 Abs. 3 HGB bleiben
KI im Controlling	KI-VO; MaRisk AT 4.3.4 für Institute	KI-gestützte Kennzahlen und Prognosen müssen validiert und erklärbar sein

Pflichten nach Funktion: Wer verantwortet welche Kennzahl?

Geschäftsleitung

Legt den Risikoappetit fest (in Instituten MaRisk AT 4.2 Tz. 2), bestätigt Schwellenwerte und beschließt Maßnahmen bei „rot“.

Entscheiden

Controlling

Verantwortet die KPIs und die bedeutsamsten finanziellen Leistungsindikatoren im Lagebericht (§ 289 Abs. 1 Satz 3 HGB) samt einheitlicher Definitionen.

KPIs

Risikocontrolling

Leitet KRIs und Schwellenwerte methodisch ab, berichtet die Ampel mit Beurteilung und prüft die Wirksamkeit der Indikatoren (in Instituten AT 4.3.2 Tz. 2).

KRIs

Fachbereiche

Liefern Daten in vereinbarter Qualität und setzen Maßnahmen um, wenn ein KRI auf gelb oder rot springt.

Daten und Maßnahmen

IT-Sicherheit und ISMS

Bewertet die Wirksamkeit der Sicherheitsmaßnahmen mit Kennzahlen wie Patch-Quote und Reaktionszeiten (§ 30 Abs. 2 Satz 2 Nr. 6 BSIG).

NIS2

Aufsichtsorgan

Wird in Instituten mindestens vierteljährlich informiert (MaRisk AT 3.2 Tz. 2) und überwacht in der AG das Früherkennungssystem (§ 91 Abs. 2 AktG).

Überwachen

Typische Fehler mit Normbezug

Risikoarten als KRIs bezeichnen

„Marktrisiko“ ist keine Kennzahl. Ohne Einheit, Turnus und Schwellenwert fehlt die Grundlage für einen Indikator.

MaRisk AT 4.3.2 Tz. 2

Kennzahlen ohne Schwellenwerte

Dann gibt es keine Frühwarnung, nur ein Zahlenbild.

§ 1 StaRUG

Nur Spätindikatoren

Eingetretene Schäden kommen zu spät, um noch gegenzusteuern.

MaRisk BTO 1.3.1 Tz. 2

Zu viele Kennzahlen

Das Wesentliche geht unter. Der Lagebericht verlangt die bedeutsamsten Indikatoren, nicht alle.

§ 289 Abs. 1 Satz 3 HGB

Uneinheitliche Definitionen

Controlling, Risikocontrolling und Fachbereiche rechnen unterschiedlich, die Zahlen stimmen nicht mit dem Jahresabschluss überein.

§ 289 Abs. 1 Satz 3 HGB

Keine Wirksamkeitskontrolle

KRIs, die nie anschlagen, müssen überprüft werden. Geprüft wird auch, ob Maßnahmen wirken.

MaRisk BTO 1.3.1 Tz. 2; § 30 BSIG

Quick-Check: Ist dein Kennzahlensystem steuerungsfähig?

Gehe die neun Prüffelder durch und markiere jedes, das du nicht mit „ja“ beantworten kannst. Der Normbezug zeigt, wo du nachlesen musst; der typische Befund beschreibt, woran es in der Praxis häufig hakt.

Prüffeld	Prüffrage	Normbezug	Typischer Befund
Zielbezug	Sind für jedes strategische Ziel bis zu drei KPIs definiert?	§ 289 Abs. 1 Satz 3 HGB	Kennzahlen ohne Zielbezug
Frühindikatoren	Gibt es für jedes wesentliche Risiko mindestens einen KRI als Frühindikator?	MaRisk AT 4.3.2 Tz. 2; § 1 StaRUG	Nur Spätindikatoren im Bericht
Steckbrief	Gibt es je Kennzahl einen Steckbrief mit Definition, Formel, Quelle, Turnus und Verantwortlichem?	§ 289 Abs. 1 Satz 3 HGB	Definitionen nur im Kopf der Bearbeiter
Schwellenwerte	Sind die Schwellen für gelb und rot aus Risikoappetit und Tragfähigkeit hergeleitet?	MaRisk AT 4.2 Tz. 2	Schwellen nach Bauchgefühl
Eskalation	Sind Eskalationsweg und Maßnahmenkatalog für „rot“ festgelegt?	MaRisk BTO 1.3	Signal ohne Folge
Pflichtkennzahlen	Sind Pflichtkennzahlen den Normen zugeordnet (HGB, StaRUG, BSIG, MaRisk, KWG)?	§ 289 HGB; § 1 StaRUG; § 30 BSIG	Zuordnung fehlt, Prüfer fragen zuerst danach
Datenqualität	Ist die Datenqualität geprüft und sind Definitionen mit Controlling und Risikocontrolling abgestimmt?	§ 289 Abs. 1 Satz 3 HGB	Zahlen weichen zwischen Berichten ab
Bericht	Enthält der Bericht Kommentar und Beurteilung, nicht nur Zahlen?	MaRisk AT 3.2 Tz. 2	Reine Zahlenwüste
Überprüfung	Wird jährlich geprüft, ob die KRIs rechtzeitig gewarnt haben?	MaRisk BTO 1.3.1 Tz. 2	Keine Rückschau auf Warnwirkung

Action Plan: In sechs Schritten zum Kennzahlensystem

1. Ziele und Risikoappetit klären

Strategie, Planungsrechnung und Risikotragfähigkeit bilden den Rahmen.

Grundlage

2. Wesentliche Risiken bestimmen

Ergebnis der Risikoinventur.

Risiken

3. KPIs und KRIs auswählen

Ein bis drei pro Ziel bzw. wesentlichem Risiko. Jeder KPI wird mit einem KRI verknüpft.

Auswahl

4. Steckbriefe und Datenqualität

Definition, Quelle, Turnus, Verantwortlicher, Schwellen und Validierung der Daten.

Qualität

5. Bericht und Eskalation

Ampel, Kommentar mit Beurteilung, Maßnahmen und Fristen. In Instituten wird das Aufsichtsorgan mindestens vierteljährlich informiert (MaRisk AT 3.2 Tz. 2).

Bericht

6. Regelmäßig überprüfen

Mindestens jährlich und anlassbezogen. Prüfe, ob die KRIs tatsächlich vor Schäden gewarnt haben.

Wirkung

Fazit: KPIs und KRIs wirksam machen

KPIs und KRIs ergänzen sich: KPIs zeigen, ob du deine Ziele erreichst. KRIs warnen, bevor ein Risiko sie gefährdet. Wirksam werden beide erst mit klaren Definitionen, Schwellenwerten und festen Maßnahmen. Für Lagebericht, Krisenfrüherkennung, NIS2 und Bankaufsicht sind Kennzahlen inzwischen auch rechtlich gefordert.

Ein KRI ist eine messbare Größe mit Einheit, Turnus und Schwellenwert, keine Risikoart.
Jeder wesentliche KPI braucht mindestens einen KRI, der früh zeigt, was ihn gefährdet.
Schwellenwerte stammen aus Risikoappetit und Tragfähigkeit; die Beispiele in diesem Beitrag sind keine Branchenstandards.
Ein Signal ohne Maßnahme ist keine Frühwarnung.

Häufige Fragen zu KPIs und KRIs

Was ist der Unterschied zwischen KPI und KRI?+–

Ein KPI misst die Leistung im Verhältnis zu einem Ziel, etwa Umsatzwachstum oder Liefertreue. Ein KRI zeigt früh an, dass sich ein Risiko aufbaut, etwa steigende Forderungsausfälle oder eine wachsende Abhängigkeit von einzelnen Lieferanten. KPIs schauen auf Ergebnisse, KRIs auf Warnsignale.

Sind Kreditrisiko oder Marktrisiko KRIs?+–

Nein. Das sind Risikoarten. Ein KRI ist eine messbare Kennzahl mit Einheit, Turnus und Schwellenwert. Ein Beispiel ist der Anteil der Forderungen, die mehr als 90 Tage überfällig sind.

Wie viele KPIs und KRIs sind sinnvoll?+–

Als Faustregel ein bis drei KPIs pro strategischem Ziel und mindestens ein KRI pro wesentlichem Risiko. Entscheidend ist nicht die Zahl, sondern dass jede Kennzahl einen Schwellenwert und eine zugeordnete Maßnahme hat.

Wie lege ich Schwellenwerte fest?+–

Leite sie aus Risikoappetit, Risikotragfähigkeit und den eigenen historischen Daten ab. Lege mindestens eine Frühwarnstufe (gelb) und eine Eskalationsstufe (rot) fest und überprüfe die Werte regelmäßig.

Gibt es gesetzliche Pflichten zu Kennzahlen?+–

Ja, teilweise. Der Lagebericht muss die bedeutsamsten finanziellen Leistungsindikatoren analysieren, große Kapitalgesellschaften auch nichtfinanzielle (§ 289 HGB). § 1 StaRUG verlangt eine Krisenfrüherkennung. NIS2-Einrichtungen müssen die Wirksamkeit ihrer Sicherheitsmaßnahmen bewerten (§ 30 Abs. 2 Satz 2 Nr. 6 BSIG). Institute müssen Frühwarnindikatoren ableiten (MaRisk AT 4.3.2, BTO 1.3.1) und im ESG-Risikoplan Kennzahlen festlegen (§ 26d KWG).

Welche Rolle spielt KI bei KPIs und KRIs?+–

KI kann Muster und Frühwarnsignale schneller erkennen. Die Ergebnisse müssen aber nachvollziehbar und validiert sein. Für Institute gelten die Anforderungen an Modelle ausdrücklich auch für KI (MaRisk AT 4.3.4 Tz. 1).

Quellenverzeichnis

Gesetze

§ 289 HGB (gesetze-im-internet.de) – Leistungsindikatoren und Risikobericht im Lagebericht
§ 1 StaRUG (gesetze-im-internet.de) – Krisenfrüherkennung für juristische Personen
§ 91 AktG (gesetze-im-internet.de) – Früherkennungssystem der Aktiengesellschaft

Behörden und Aufsicht

BSI: Bewertung der Wirksamkeit von Maßnahmen nach NIS-2 – Wirksamkeitsbewertung nach § 30 BSIG, Kennzahlen und Reifegrad
BaFin: Rundschreiben 06/2026 (BA), 9. MaRisk-Novelle – AT 3.2, 4.2, 4.3.2, 4.3.4, 4.4.1 und BTO 1.3.1
Deutsche Bundesbank, Monatsbericht April 2026: BRUBEG – Einordnung zu den KWG-Änderungen, u. a. ESG-Risikoplan
EBA/GL/2025/01 zum Management von ESG-Risiken (PDF) – ESG-Risiken in Instituten; Anwendungszeitpunkte

Der Wortlaut von § 26d KWG und § 30 BSIG ist hier nicht verlinkt, weil kein amtlicher Direktlink vorliegt; die Zitate sind vor Veröffentlichung gegen die Gesetzesfassung zu prüfen.