Deutschlands Bankenaufsicht hat eines ihrer zentralen Regelwerke abgespeckt. BaFin und Bundesbank haben am 30. Juni 2026 die offizielle Neufassung der Mindestanforderungen an das Risikomanagement – die 9. MaRisk-Novelle – als Rundschreiben 06/2026 (BA) veröffentlicht und die Konsultation damit abgeschlossen. In ihrem Fachartikel “MaRisk schaffen mehr Spielraum für Banken” beziffert die Aufsicht den Effekt konkret: Das Rundschreiben schrumpft von 122 auf rund 80 Seiten, also um knapp ein Drittel. Nach eigenen Angaben der Bundesbank konnte die Neufassung „nach eingehender Prüfung der Stellungnahmen zum Entwurf der MaRisk vom 01.04.2026” am 30. Juni 2026 veröffentlicht werden; sie löst die bis dahin geltende Fassung vom 29. Mai 2024 ab.
Das ist der unmittelbare Kalenderpunkt für deutsche Bankvorstände, Compliance-Abteilungen und Investoren, die den deutschen Aufsichtsperimeter beobachten. Doch wer die schlankere Fassung als „Deutschland dereguliert” liest, missversteht den Vorgang. Die Aufsicht streicht prozeduralen Ballast – und verschiebt im selben Zug Verantwortung auf die Institute.
Ein Paradigmenwechsel, kein Rückbau
BaFin-Exekutivdirektor Dr. Torsten Kelp nennt die Reform ausdrücklich „mehr als eine Überarbeitung”. „In dieser Novelle steckt ein echter Paradigmenwechsel”, wird er in dem Fachartikel zitiert. Gute Aufsicht sei „Reduktion auf das Wesentliche”; man fordere „keine zusätzlichen längeren Berichte mehr an, die nur teilweise steuerungsrelevante Informationen enthalten”. Die Stoßrichtung ist also prinzipienorientiert: weniger kleinteilige Vorschrift, mehr Spielraum bei der Ausgestaltung.
Spürbar wird das vor allem über neue Größenklassen. Die BaFin teilt die weniger bedeutenden Institute (LSI) künftig in drei Kategorien: sehr kleine Institute mit einer Bilanzsumme bis eine Milliarde Euro, kleine und nicht komplexe Institute (SNCI) sowie übrige LSI. Große, direkt von der Europäischen Zentralbank beaufsichtigte Häuser fallen ohnehin aus dem nationalen MaRisk-Regime heraus. Nach Schätzung der Aufsicht profitieren 80 bis 85 Prozent der Institute von den Erleichterungen.
Der entscheidende Mechanismus ist subtil. Bisher mussten Institute Erleichterungen unter dem Proportionalitätsprinzip häufig selbst begründen. Künftig ergeben sie sich aus der Größenklasse. „Mit dieser Kategorisierung wissen Institute nun von vornherein, welche Erleichterungen für sie gelten – ohne das begründen zu müssen”, heißt es bei der BaFin. An genau dieser Stelle sinkt also die Nachweislast. Das Regelwerk wird nicht nur kürzer, sondern an einem Punkt auch ehrlicher kalkulierbar.
Gleichzeitig kommen neue Pflichten hinzu. Mit der Novelle setzt die BaFin EBA-Leitlinien zur umweltbezogenen Szenarioanalyse um und präzisiert, wie ESG-Risiken in kurzfristige Stressprogramme einzubinden sind. Wer die Reform ausschließlich als Streichkonzert liest, übersieht, dass an anderer Stelle der Anspruch wächst. Schlanker heißt nicht durchweg weniger.
Wo die Beweislast steigt
Trotzdem ist „weniger komplex” nicht gleichbedeutend mit „weniger anspruchsvoll” – und hier liegt die eigentliche Pointe der Reform. Ein prinzipienbasiertes Regelwerk nimmt der Aufsicht die schmalen Kästchen zum Abhaken und gibt ihr stattdessen Raum für die schwierigere Frage: Kann ein Institut mit Belegen erklären, warum sein gewähltes Steuerungs- und Kontrolldesign zu seinem Risikoprofil passt? Wo die Regel weniger vorschreibt, muss das Haus mehr selbst verantworten. Aus Checklisten-Compliance wird belegorientierte Aufsicht.
Diese Verschiebung trifft auf ein Umfeld, das die Anforderungen an die Nachweisfähigkeit gerade nicht senkt – im Gegenteil. Mit der EU-Verordnung DORA gilt seit Januar 2025 ein expliziter Rahmen für IKT-Risikomanagement, schwerwiegende IKT-Vorfallsmeldungen, Resilienztests und das Management von IKT-Drittparteienrisiken. MaRisk-Governance steht damit neben einem zweiten, präzisen Resilienz-Regelwerk. Beide sind keine Substitute, sondern benachbarte Beweisakten.
Besonders konkret wird das beim Auslagerungsstrang. In ihrem Fachartikel zu DORA und IKT-Drittdienstleistern, “Nicht jede Konzentration ist ein Risiko”, betont die Aufsicht, dass sie sich seit Jahren mit Konzentrationsrisiken bei IT-Auslagerungen befasst, gerade bei Cloud-Diensten. Sie kann von systemrelevanten Dienstleistern direkt Unterlagen anfordern, Vor-Ort-Prüfungen durchführen und Maßnahmen anordnen. Auch die strategischen Ziele der BaFin für 2026 bis 2029 rücken operationelle Resilienz, IKT- und Auslagerungsrisiken ausdrücklich in den Fokus. Das Nationale Aufsichtsprogramm 2026–2028 von BaFin und Bundesbank setzt dieselben Schwerpunkte für die laufende LSI-Aufsicht. Wer die kürzere MaRisk als Entlastung im Tagesgeschäft liest, übersieht, dass genau diese Risiken in der Prüfungsagenda bleiben – und dass die Aufsicht den Nachweis verlangt, nicht die Erzählung.
Zwei Lager, ein Auftrag
Für kleine und mittlere Häuser ist das ein Steuerungsproblem mit zwei Vorzeichen. Einerseits bringt die Größenklassen-Logik echte Entlastung und Planungssicherheit. Andererseits ist Proportionalität keine Befreiung vom Verständnis ausgelagerter IT-Risiken. Eine Sparkasse, Genossenschafts- oder Spezialbank ist oft gerade deshalb stärker von gemeinsamen Dienstleistern, Kernbank-Anbietern oder Cloud-Plattformen abhängig, weil sie nicht alles selbst bauen kann.
Für große Institute liegt das Problem anders. Sie haben mehr interne Kontrollkapazität, aber auch komplexere Konzernstrukturen, grenzüberschreitende Dienstleistungsketten und kritische Prozesse. Ihre MaRisk-Antwort muss Vorstandsverantwortung, Risikoeigentum in den Geschäftsbereichen, Auslagerungsregister, Cyber-Tests, operationelle Resilienz und Sanierungsplanung zusammenführen. Der Regeltext mag weniger komplex werden; der Beweispfad durch das Institut wird es nicht.
Was bis zum Inkrafttreten zählt
Für deutsche Banken ist die Arbeit damit praktisch. Sie sollten den Übergang nutzen, um alte Risikomanagement-Dokumentation mit DORA-Artefakten, Auslagerungsregistern, Resilienztests und Vorstandsberichten abzugleichen. Das teure Versäumnis wäre, die MaRisk-Vereinfachung als reine Papierübung zu behandeln, während die Resilienz-Belege über IT, Compliance, Einkauf und Geschäftsbereiche verstreut bleiben.
Die deutschen Bankenaufseher lockern den Risikorahmen nicht. Sie machen ihn nutzbarer – und übertragen den Instituten mehr Eigenverantwortung dafür, ihre Methodenfreiheit zu rechtfertigen. Ein klareres Regelwerk kann leichter zu lesen und zugleich schwerer zu erfüllen sein. Wenn das Prinzip klar ist, lautet die Prüffrage künftig schlicht: Kann die Bank belegen, dass sie danach lebt?
Discussion
Sign in to join the discussion.
No comments yet. Be the first to share your thoughts.