Fünf Monate bleiben den deutschen Banken, um ihr Risikomanagement auf die neue MaRisk umzustellen. Am 30. Juni 2026 haben BaFin und Deutsche Bundesbank mit dem Rundschreiben 06/2026 die neunte Novelle der Mindestanforderungen an das Risikomanagement veröffentlicht. Die überarbeiteten Regeln sind grundsätzlich bis zum 1. Januar 2027 umzusetzen. Damit endet eine lange Konsultationsphase, und zugleich beginnt für die Institute die eigentliche Arbeit.
Auf den ersten Blick liest sich die Reform als Entlastung. Das Regelwerk ist deutlich prinzipienbasierter geworden, die Aufseher haben die Komplexität sichtbar zurückgefahren. Der Text schrumpft von rund 122 auf etwa 80 Seiten. Neu ist eine Einteilung der Institute in Größenklassen, die sich an der Bilanzsumme orientiert: sehr kleine Institute, kleine und nicht komplexe Institute sowie die weniger bedeutenden Häuser. Für die sehr kleinen Adressen gibt es zusätzliche Erleichterungen, etwa bei der Zahl und Frequenz der Stresstests. Wo bisher vierteljährlich gerechnet wurde, kann künftig ein jährlicher Turnus genügen. Und die Aufsicht kündigt an, keine zusätzlichen, längeren internen Berichte mehr einzufordern.
Doch die Novelle ist mehr als eine Schlankheitskur. An einer entscheidenden Stelle verlangt sie den Instituten erstmals ausdrücklich etwas Neues ab. Die überarbeitete MaRisk enthält eigene Anforderungen an das Management von Modellen, an die Datenqualität und an den Einsatz KI-gestützter Systeme. Das ist die eigentliche Nachricht dieser Reform, und sie steht quer zur Erzählung vom schlankeren Regelwerk.
Konkret geht es um jene Modelle, mit denen Banken risikorelevante Entscheidungen treffen. Wer Scoring-Verfahren, automatisierte Kreditentscheidungen oder KI-gestützte Risikomodelle nutzt, muss künftig ein vollständiges Modellinventar führen, klare Verantwortlichkeiten festlegen, eine unabhängige Validierung sicherstellen und die Modelle laufend überwachen. Für Verfahren der Künstlichen Intelligenz kommt eine besondere Hürde hinzu: Das Institut muss nachweisen können, dass es die Funktionsweise seiner Modelle versteht, oder anerkannte Verfahren zur Erklärbarkeit einsetzen. In der Konsultation waren dafür etablierte Methoden wie SHAP-Werte oder LIME im Gespräch, mit denen sich einzelne Modellentscheidungen nachvollziehbar machen lassen. Eine Blackbox, deren Ergebnisse niemand mehr erklären kann, ist unter der neuen MaRisk kein tragfähiges Aufsichtskonzept. Die Verantwortung dafür lässt sich nicht an die IT-Abteilung delegieren, sie liegt bei der Geschäftsleitung.
Der Ansatz stammt aus der Konsultation 02/2026, deren Frist am 8. Mai 2026 endete. In den Stellungnahmen der Branche war das Modul zu Modellen und Künstlicher Intelligenz eines der meistdiskutierten Themen, weil es viele Häuser unmittelbar trifft. Anders als die operationelle Resilienz, die schon über die europäische DORA-Verordnung geregelt ist, betrifft dieser Teil der MaRisk den Kern des Risikomanagements: die Frage, wie eine Bank ihre Kredit-, Markt- und Adressrisiken überhaupt misst und steuert. MaRisk und DORA stehen damit nebeneinander, sie ersetzen einander nicht.
Genau hier liegt die Spannung der Reform. Ein prinzipienbasiertes Regelwerk schreibt weniger im Detail vor, verlangt den Instituten aber mehr eigenes Urteil ab. Wo früher eine Checkliste abgearbeitet wurde, muss das Management nun begründen, warum das gewählte Kontrolldesign zum eigenen Risikoprofil passt. Proportionalität heißt eben nicht Befreiung. Ein kleines Institut, das ein zugekauftes Scoring-Modell einsetzt, muss dessen Logik ebenso verstehen wie eine Großbank ihr selbst entwickeltes Verfahren, nur der Aufwand darf angemessen kleiner ausfallen. Für die Aufsicht verschiebt sich der Prüfmaßstab von der Vollständigkeit der Dokumentation hin zur Plausibilität der Begründung.
Für die deutsche Aufsichtslandschaft ist die neue MaRisk vor allem für die national beaufsichtigten Institute maßgeblich. Die großen, bedeutenden Banken unterliegen der direkten Aufsicht der Europäischen Zentralbank, für die weniger bedeutenden Häuser bleiben BaFin und Bundesbank die zuständige Aufsicht. Gerade diese kleineren und mittelgroßen Banken profitieren am stärksten von der Proportionalität, tragen aber auch die volle Verantwortung dafür, die neuen Anforderungen an Modelle und Daten in ihre Prozesse zu übersetzen.
Die Zeitachse macht den Ernst der Lage deutlich. Zwischen der Veröffentlichung am 30. Juni 2026 und dem Umsetzungsstichtag am 1. Januar 2027 liegen gut sechs Monate, von denen zum jetzigen Zeitpunkt nur noch fünf verbleiben. Das ist für eine grundlegende Neuausrichtung des Risikomanagements wenig. Institute, die den KI-Teil der Novelle als Randnotiz behandeln, laufen Gefahr, im Frühjahr 2027 mit unvollständigen Modellinventaren und ohne belastbare Validierungsprozesse in die erste Aufsichtsprüfung zu gehen.
Was sollten deutsche Banken also bis Jahresende tun? Zuerst hilft eine ehrliche Bestandsaufnahme: Welche Modelle sind im Einsatz, welche davon treffen risikorelevante Entscheidungen, und welche stützen sich auf Verfahren der Künstlichen Intelligenz? Darauf folgt die Zuordnung von Verantwortlichkeiten, der Aufbau eines Validierungsrahmens und die Dokumentation der Erklärbarkeit. Wer diese Arbeit mit ohnehin laufenden DORA-Projekten und dem eigenen Datenhaushalt verzahnt, spart doppelte Wege. Gerade kleinere Häuser, die Modelle und Rechenzentren von gemeinsamen Dienstleistern beziehen, müssen dabei klären, wie viel Einblick sie in fremd entwickelte Verfahren überhaupt haben und einfordern können. Der teure Fehler wäre, die Vereinfachung der MaRisk mit einer Entwarnung zu verwechseln.
Denn das ist die eigentliche Botschaft der neunten Novelle. Deutschlands Bankenaufsicht lockert den formalen Rahmen und zieht zugleich die inhaltlichen Erwartungen an. Ein kürzeres Rundschreiben ist nicht dasselbe wie ein anspruchsloseres. Die maßgebliche Frage lautet ab 2027 nicht mehr, ob ein Institut jede Vorgabe formal erfüllt hat, sondern ob es erklären kann, warum seine Modelle, seine Daten und seine Kontrollen dem eigenen Risiko angemessen sind. Fünf Monate bleiben, um darauf eine überzeugende Antwort zu finden.
Discussion
Sign in to join the discussion.
No comments yet. Be the first to share your thoughts.