MaRisk

MaRisk verständlich erklärt: Risikomanagement im Überblick

Die regulatorischen Anforderungen an Banken und Finanzdienstleister haben in den vergangenen Jahren deutlich zugenommen. Digitale Schnittstellen, steigende IT-Abhängigkeiten, komplexe Outsourcing-Modelle und ein verschärfter Fokus der Aufsichtsbehörden verändern die Rahmenbedingungen für das Risikomanagement nachhaltig.

In diesem Umfeld nehmen die Mindestanforderungen an das Risikomanagement (kurz MaRisk) eine zentrale Rolle ein. Sie definieren, wie Institute ihre Risiken strukturiert erfassen, bewerten, steuern und überwachen müssen und bilden damit einen wesentlichen Bestandteil der deutschen Bankenaufsicht.

Dieser Artikel erläutert, was MaRisk bedeutet, auf welcher rechtlichen Grundlage die Vorgaben beruhen, für wen sie gelten und welche praktische Relevanz sie für Unternehmen und Dienstleister im Finanzumfeld haben.

Was bedeutet MaRisk?

Der Begriff MaRisk steht für die Mindestanforderungen an das Risikomanagement und bezeichnet eine von der BaFin veröffentlichte Verwaltungsvorschrift. Sie konkretisiert die gesetzlichen Vorgaben an die ordnungsgemäße Betriebs- und Geschäftsorganisation von Finanzinstituten und beschreibt qualitative Mindeststandards für ein wirksames Risikomanagement.

Auch wenn es sich bei den MaRisk nicht um ein eigenständiges Gesetz handelt, sind sie für alle beaufsichtigten Institute faktisch verbindlich. In der Aufsichtspraxis dienen sie als maßgeblicher Referenzrahmen für Prüfungen durch BaFin und Deutsche Bundesbank. MaRisk-Kriterien sind damit ein wesentlicher Teil der Bankenregulierung in Deutschland. Institute müssen daher nachweisen können, dass ihre internen Strukturen, Prozesse und Kontrollen den formulierten Anforderungen entsprechen.

Rechtliche Grundlage der MaRisk

Die rechtliche Basis der MaRisk findet sich insbesondere in § 25a des Kreditwesengesetzes (KWG). Dieses verpflichtet Institute dazu, eine ordnungsgemäße Geschäftsorganisation vorzuhalten, die unter anderem ein angemessenes Risikomanagement umfasst.

Die MaRisk übersetzen diese gesetzlichen Vorgaben in konkrete aufsichtsrechtliche Erwartungen. Sie sind ein faktischer Teil der BaFin-Regulierung. Dabei greifen sie nicht isoliert, sondern stehen im Zusammenspiel mit weiteren nationalen und europäischen Regelwerken. Leitlinien der European Banking Authority (EBA) sowie internationale Standards fließen regelmäßig in die Weiterentwicklung der MaRisk ein.

Da sich Technologien und Risikolagen kontinuierlich verändern, werden die MaRisk von der BaFin regelmäßig aktualisiert. Neuere Fassungen legen unter anderem einen stärkeren Fokus auf IT-Risiken, Auslagerungen (Outsourcing) und die zunehmende Bedeutung operationeller Risiken in digitalen Prozessen.

Zielsetzung der Mindestanforderungen an das Risikomanagement

Die zentrale Ziele der MaRisk bestehen darin, ein funktionsfähiges und integriertes Risikomanagement sicherzustellen. Die Finanzinstitute sollen in der Lage sein, alle wesentlichen Risiken frühzeitig zu erkennen und angemessen zu steuern, was u.a. maßgeblich zur Betrugsprävention beiträgt.

Im Fokus stehen dabei insbesondere:

die Sicherstellung der Risikotragfähigkeit
klare Verantwortlichkeiten innerhalb der Organisation
wirksame interne Kontrollmechanismen
transparente und nachvollziehbare Prozesse
eine aussagekräftige Risikoberichterstattung

So tragen die Vorgaben zur Stabilität einzelner Institute und des gesamten Finanzsystems bei.

Ziel der MaRisk ist es nicht, starre Regelungen vorzugeben, sondern einen flexiblen Ordnungsrahmen zu schaffen. Die Vorgaben sollen sicherstellen, dass Risiken frühzeitig erkannt und angemessen gesteuert werden – unabhängig davon, ob es sich um finanzielle, operative oder technologische Risiken handelt.

Für wen gelten die Mindestanforderungen an das Risikomanagement?

Die MaRisk gelten für alle Finanzunternehmen, die in Deutschland der Bankenaufsicht unterliegen. Dazu zählen insbesondere Kreditinstitute wie Banken, Finanzdienstleistungsinstitute sowie Zahlungs- und E-Geld-Institute.

Die Einhaltung der MaRisk wird vom jeweiligen Abschlussprüfer bei der Jahresabschlussprüfung geprüft. Auch bei Sonderprüfungen durch die Prüfer der Deutschen Bundesbank spielen die Mindestanforderung eine wichtige Rolle.

Ein zentrales Prinzip der MaRisk ist der Grundsatz der Proportionalität. Umfang und Tiefe der Umsetzung müssen sich an Größe, Geschäftsmodell und Risikoprofil des jeweiligen Instituts orientieren. Während große Institute umfangreiche organisatorische und technische Strukturen vorhalten müssen, können kleinere Institute vereinfachte, aber dennoch wirksame Lösungen einsetzen.

Darüber hinaus entfalten die MaRisk auch eine indirekte Wirkung auf externe Dienstleister. Werden wesentliche Prozesse ausgelagert, bleibt das Institut weiterhin für die Einhaltung der Anforderungen verantwortlich. Entsprechend hoch sind die Anforderungen an Auswahl, Steuerung und Kontrolle von Dienstleistern - vergleichbar mit dem Digital Operational Resilience Act (DORA).

Der Aufbau der MaRisk im Überblick

Die MaRisk sind modular aufgebaut und gliedern sich in Allgemeine Anforderungen (AT) und Besondere Anforderungen (BT). Der AT-Teil beschreibt die grundlegenden Anforderungen an Governance, Risikomanagement, Dokumentation, Ressourcen, Anpassungsprozesse und Auslagerungen. Der BT-Teil konkretisiert diese Grundsätze für zentrale Kontroll- und Steuerungsbereiche – insbesondere das interne Kontrollsystem, die interne Revision sowie die Risikoberichterstattung. Dabei wird nach Geschäftsfeld und Risikoart differenziert. Der Besondere Teil (BT) der MaRisk ist teilweise weiter untergliedert.

Während BTO die besonderen Anforderungen an die Aufbau- und Ablauforganisation einzelner Geschäftsbereiche beschreibt, bezieht sich BTR auf die Steuerung und Überwachung spezifischer Risikoarten. Abschnitte ohne diese Differenzierung werden direkt unter einer BT-Nummer zusammengefasst.

Modul	Schwerpunkt
AT 1	Vorbemerkung / Einordnung des Rundschreibens
AT 2	Anwendungsbereich (u. a. Anwenderkreis, Risiken, Geschäfte)
AT 3	Gesamtverantwortung der Geschäftsleitung
AT 4	Allgemeine Anforderungen an das Risikomanagement (z. B. Risikotragfähigkeit, weitere Grundelemente)
AT 5	Organisationsrichtlinien
AT 6	Dokumentation
AT 7	Ressourcen (Personal, technisch-organisatorische Ausstattung, Notfallmanagement)
AT 8	Anpassungsprozesse (z. B. Neu-Produkt-Prozess, Änderungen von Prozessen/Strukturen, M&A)
AT 9	Auslagerung
BT 1	Besondere Anforderungen an das interne Kontrollsystem (inkl. BTO/BTR)
BTO	Anforderungen an Aufbau- und Ablauforganisation (u. a. Kredit-, Handels-, Immobiliengeschäft)
BTR	Risikosteuerungs- und -controllingprozesse je Risikoart (u. a. Adressenausfall-, Marktpreis-, Liquiditäts-, operationelle Risiken; inkl. Credit Spread Risiken im Anlagebuch)
BT 2	Besondere Anforderungen an die Ausgestaltung der Internen Revision
BT 3	Anforderungen an die Risikoberichterstattung

MaRisk und Risikomanagement in der Praxis

In der praktischen Umsetzung zielen die MaRisk darauf ab, Risiken systematisch in alle relevanten Geschäftsprozesse zu integrieren. Risikomanagement wird nicht als isolierte Funktion verstanden, sondern als fortlaufender Prozess, der eng mit der Geschäftsstrategie verbunden ist.

Institute sind verpflichtet, alle wesentlichen Risikoarten zu berücksichtigen. Dazu zählen z. B.

Kredit- und Marktpreisrisiken
Liquiditätsrisiken
operative Risiken wie das Key-Man Risiko durch einzelne Spezialisten o.ä.

Risiken durch einzelne Personen mit Spezialwissen gewinnen, insbesondere durch digitale Prozesse, (teil-)automatisierte Systeme und komplexe IT-Strukturen an Bedeutung. Ein wirksames Risikomanagement zeichnet sich dadurch aus, dass Risiken klar zugeordnet, regelmäßig überprüft und transparent dokumentiert werden. Die MaRisk verlangen zudem eine kontinuierliche Risikoberichterstattung, die der Geschäftsleitung eine fundierte Entscheidungsgrundlage bietet.

Der Umgang mit IT- und Outsourcing-Risiken

Ein besonderer Schwerpunkt der MaRisk liegt auf IT-Risiken und Auslagerungen. Die zunehmende Nutzung hochspezialisierter externer Dienstleister und digitaler Systeme in Kernprozessen wie Kundenservice, IT oder Kreditvergabe verändert das Risikoprofil von Instituten erheblich.

Die MaRisk verlangen, dass Institute auch bei ausgelagerten Prozessen jederzeit die Kontrolle behalten. Vor einer Auslagerung müssen Risiken sorgfältig analysiert und dokumentiert werden. Während der laufenden Zusammenarbeit sind angemessene Steuerungs- und Kontrollmechanismen sicherzustellen.

Typische Anforderungen betreffen unter anderem:

klare vertragliche Regelungen
definierte Zugriffs- und Kontrollrechte
regelmäßige Überprüfungen von Dienstleistern
angemessene Notfall- und Ausstiegskonzepte

Gerade im IT-Umfeld spielen Aspekte wie Informationssicherheit, Zugriffskontrollen, Datenschutz oder die Nachvollziehbarkeit von Prozessen und Änderungen eine zentrale Rolle. Technologische Entwicklungen wie automatisierte Angriffe oder Deepfakes erhöhen dabei die Anforderungen an Prävention und Kontrolle zusätzlich.

Zusammenhang zwischen MaRisk, Compliance und Identitätsprüfung

Die Mindestanforderungen an das Risikomanagement bilden einen weiteren regulatorischen Pfeiler für zahlreiche Compliance-Pflichten. Gesetzliche Anforderungen greifen dabei eng mit organisatorischen Vorgaben zusammen, etwa im KYC-Prozess oder bei der GwG-Prüfung, die feste Bestandteile eines wirksamen Risikomanagements sind.

Auch unzureichend abgesicherte Identitätsprozesse können Betrugsrisiken erhöhen und Compliance-Verstöße begünstigen. Entsprechend wichtig sind transparente, dokumentierte und kontrollierbare Abläufe, insbesondere im digitalen Onboarding.

Risikomanagement im Vergleich: Deutschland und Schweiz

Auch wenn die MaRisk ausschließlich für den deutschen Markt gelten, stehen Finanzinstitute in der Schweiz vor vergleichbaren regulatorischen Anforderungen. Dort werden Vorgaben zum Risikomanagement und zur Organisation insbesondere durch die FINMA sowie durch gesetzliche Regelwerke wie das Bankengesetz und das Geldwäschereigesetz geprägt.

Im Bereich digitaler Identitäts- und Vertrauensdienste spielen zudem nationale Regelungen wie ZertES eine zentrale Rolle. Ergänzend gewinnt die Schweizer E-ID als staatlich regulierter Identitätsnachweis zunehmend an Bedeutung.

Für international tätige Unternehmen ergibt sich daraus die Herausforderung, Identitäts- und Risikoprozesse so zu gestalten, dass sie sowohl deutschen MaRisk-Anforderungen als auch den regulatorischen Rahmenbedingungen in der Schweiz gerecht werden.

Wie PXL Vision bei MaRisk-relevanten Anforderungen unterstützt

Digitale Identitätsprozesse spielen eine wichtige Rolle für ein wirksames Risikomanagement. PXL Vision unterstützt Unternehmen dabei, identitätsbezogene Risiken in digitalen Prozessen zu reduzieren und regulatorische Anforderungen effizient umzusetzen.

Die KI-gestützte, browserbasierte Lösung von PXL Vision ermöglicht eine sichere und medienbruchfreie Identitätsprüfung. Moderne Verfahren auf Basis von Biometrie stellen sicher, dass digitale Identitäten zuverlässig überprüft werden. Ergänzend hilft die Liveness Detection, Manipulationsversuche zu erkennen und Risiken durch Deepfakes oder automatisierte Angriffe zu minimieren.

Durch standardisierte, dokumentierte und nachvollziehbare Prozesse lassen sich operationelle Risiken reduzieren und Compliance-Anforderungen konsistent unterstützen – ein zentraler Aspekt im Kontext der MaRisk.

Warum MaRisk für Unternehmen langfristig relevant sind

Die Mindestanforderungen der BaFin machen deutlich, dass Risikomanagement nicht auf einzelne Kontrollmechanismen oder formale Vorgaben reduziert werden kann. Vielmehr handelt es sich um einen integralen Bestandteil moderner Unternehmenssteuerung, der Strategie, Organisation, Prozesse und Technologie im Bankwesen miteinander verbindet.

Für Finanzinstitute und deren Dienstleister bedeutet dies, Risiken ganzheitlich zu betrachten und frühzeitig in unternehmerische Entscheidungen einzubeziehen. Insbesondere digitale Prozesse, IT-Strukturen und ausgelagerte Leistungen rücken dabei stärker in den Fokus der Bankenaufsicht. Die MaRisk schaffen hierfür einen Ordnungsrahmen, der Stabilität ermöglicht, ohne notwendige Innovationen auszubremsen.

Gleichzeitig zeigen die MaRisk, dass wirksames Risikomanagement zunehmend von klaren, nachvollziehbaren und kontrollierbaren Prozessen abhängt. Unternehmen, die regulatorische Anforderungen frühzeitig in ihre Organisation und ihre technischen Lösungen integrieren, schaffen nicht nur aufsichtsrechtliche Sicherheit, sondern auch eine belastbare Grundlage für nachhaltiges Wachstum.