Ein Prüfungsplan ist abgearbeitet, die Berichte sind geschrieben und die Maßnahmenliste weist überwiegend erledigte Punkte aus. Trotzdem bleibt eine entscheidende Frage: Funktionieren die Kontrollen inzwischen tatsächlich besser? Für die Interne Revision sollte deshalb nicht allein zählen, ob eine Prüfung abgeschlossen ist, sondern ob ihr Urteil nachvollziehbar begründet und die Beseitigung festgestellter Mängel belastbar nachgewiesen wurde.

Die Abgrenzung beginnt bei den Zuständigkeiten: Die Revision prüft unabhängig und risikoorientiert die Geschäftsorganisation, das Risikomanagement und das interne Kontrollsystem einschließlich ausgelagerter Tätigkeiten; sie ist dabei nicht die operative Ersatzmannschaft für die geprüften Bereiche, wie AT 4.4.3 Tz. 3 und 5 der Mindestanforderungen an das Risikomanagement (MaRisk) verdeutlichen (BaFin, MaRisk vom 30. Juni 2026). Der folgende Beitrag konzentriert sich auf Institute im Anwenderkreis dieser MaRisk und verbindet die aufsichtsrechtlichen Anforderungen mit konkreten Empfehlungen für ihre Umsetzung.

Die Interne Revision braucht einen klar abgegrenzten Prüfungsauftrag

Auf europäischer Ebene enthält die Verordnung (EU) 2022/2554 über die digitale operationale Resilienz im Finanzsektor, bekannt als Digital Operational Resilience Act (DORA), unmittelbar verbindliche Revisionsanforderungen: Art. 6 Abs. 6 verlangt für die dort erfassten Finanzunternehmen, die keine Kleinstunternehmen sind, regelmäßige interne Prüfungen des Risikomanagementrahmens für Informations- und Kommunikationstechnologie (IKT) durch fachkundige, angemessen unabhängige Revisoren (DORA, Art. 6). Art. 6 Abs. 7 ergänzt ein förmliches Follow-up-Verfahren; die Verordnung gilt seit dem 17. Januar 2025, wobei für Unternehmen nach Art. 16 Abs. 1 ein gesondertes vereinfachtes Rahmenwerk an die Stelle der Art. 5 bis 15 tritt (DORA, Art. 6, 16 und 64).

National verlangt § 25a Abs. 1 Satz 3 Nr. 3 Kreditwesengesetz (KWG) interne Kontrollverfahren mit einem internen Kontrollsystem und einer Internen Revision; die Verantwortung der Geschäftsleiter für die ordnungsgemäße Geschäftsorganisation ergibt sich aus § 25a Abs. 1 Satz 2 KWG (KWG, § 25a). Das Rundschreiben 06/2026 (BA) vom 30. Juni 2026 konkretisiert diese gesetzlichen Organisationspflichten als aufsichtlichen Rahmen und bündelt die Revisionsanforderungen in AT 4.4.3, ist aber selbst kein Gesetz und keine Rechtsverordnung (BaFin, MaRisk, AT 1 und AT 4.4.3). Die neue Fassung gilt seit ihrer Veröffentlichung; für zusätzliche Anforderungen in Einzelfällen gewährt das Begleitschreiben eine Übergangsfrist bis zum 1. Januar 2027, nicht jedoch eine pauschale Verschiebung des gesamten Regelwerks (BaFin, Begleitschreiben vom 30. Juni 2026).

Der Anwenderkreis ist sorgfältig abzugrenzen: AT 2.1 Tz. 1 nimmt bedeutende Institute unter direkter Aufsicht der Europäischen Zentralbank (EZB) aus dem Anwendungsbereich dieses Rundschreibens aus (BaFin, MaRisk, AT 2.1). Für kleine und mittlere Wertpapierinstitute gelten die gesonderten Mindestanforderungen an das Risikomanagement von Wertpapierinstituten (WpI MaRisk), Rundschreiben 09/2026 (WA), erst ab dem 1. Januar 2027; bis dahin bleibt es nach dem Begleitschreiben bei der sinngemäßen Anwendung der achten KWG-MaRisk-Novelle (BaFin, Begleitschreiben zu den WpI MaRisk). Eine einheitliche Revisionsanweisung für unterschiedliche Institutstypen sollte deshalb ausdrücklich kennzeichnen, welche Anforderungen jeweils anwendbar sind.

GIAS, MaRisk und IDW PS 983 verbinden Domänenlogik und Revisionsstrategie

Die Global Internal Audit Standards (GIAS) des Institute of Internal Auditors ordnen die professionelle Revisionsarbeit in fünf Domänen: Zweck der Internen Revision, Ethik und Professionalität, Governance der Revisionsfunktion, Leitung der Revisionsfunktion sowie Erbringung von Revisionsleistungen (IIA, GIAS, Domänen I bis V). Diese berufsständische Systematik sollte nicht mit einer gesetzlichen Pflicht gleichgesetzt werden. Für die Umsetzung empfiehlt sich eine Zuordnung jeder relevanten Anforderung zu Domäne, verantwortlicher Rolle und prüfbarem Nachweis.

Die Revisionsstrategie nach Standard 9.2 umfasst eine Vision, strategische Ziele und unterstützende Initiativen; sie ist regelmäßig mit dem zuständigen Überwachungsorgan und der obersten Leitung zu überprüfen (IIA, Standard 9.2). Davon unterscheidet Standard 9.4 den dynamischen Prüfungsplan, der auf einer mindestens jährlich vorzunehmenden dokumentierten Bewertung der Strategien, Ziele und Risiken der Organisation beruht (IIA, Standard 9.4). Ein Jahresprüfungsplan ersetzt deshalb keine Revisionsstrategie. Praktisch sollten Kompetenzentwicklung, Ressourcenausstattung und methodische Weiterentwicklung erkennbar mit den strategischen Zielen verbunden sein.

Auch die Gremienrollen sind getrennt zu prüfen: Standard 9.4 sieht die Genehmigung des Prüfungsplans und wesentlicher Änderungen durch das zuständige Überwachungsorgan vor (IIA, Standard 9.4). Im MaRisk-Anwendungsbereich weist AT 4.4.3 Tz. 6 die Genehmigung dagegen der Geschäftsleitung zu (BaFin, MaRisk, AT 4.4.3). Für eine konsistente Umsetzung empfiehlt sich daher, die Begriffe auf die eigene Rechts- und Organisationsstruktur abzubilden und alle erforderlichen Befassungen gesondert zu dokumentieren.

Der Prüfungsstandard IDW PS 983 n.F. (12.2025), Grundsätze ordnungsmäßiger Prüfung von Internen Revisionssystemen, wurde an die GIAS angepasst; die Neufassung gilt erstmals für freiwillige Prüfungen Interner Revisionssysteme, die nach dem 6. Januar 2026 beauftragt werden, wobei eine frühere Anwendung zulässig war (IDW, Mitteilung vom 8. Januar 2026). Der Standard schafft damit keine allgemeine gesetzliche Pflicht jedes Unternehmens zu einer solchen Prüfung. Für eine beauftragte Qualitätsbeurteilung sollten Prüfungsgegenstand, Kriterien und Nachweise vorab eindeutig festgelegt werden.

Für Industrieunternehmen sind die jeweils einschlägigen Organisationspflichten maßgeblich: § 91 Abs. 2 Aktiengesetz (AktG) betrifft die Früherkennung bestandsgefährdender Entwicklungen, Abs. 3 das angemessene und wirksame interne Kontroll- und Risikomanagementsystem börsennotierter Gesellschaften (AktG, § 91). Daraus folgt keine pauschale Übertragung der Banken-MaRisk auf Industrieunternehmen. Standardkonformität und die Erfüllung gesetzlicher Anforderungen sollten getrennt nachgewiesen werden; eine undifferenzierte Zusage von Rechtssicherheit wäre kein geeigneter Prüfungsmaßstab.

Die Verbindung von GIAS-Domänenlogik, Revisionsstrategie und risikoorientierter Prüfungsplanung bildet einen fachlichen Schwerpunkt der Fachseminare zur Internen Revision.

Unabhängigkeit endet dort, wo die Revision eigene Arbeit beurteilt

Nach AT 4.4.3 Tz. 1 und 2 benötigt die Interne Revision ein vollständiges Informations- und Zugriffsrecht, berichtet unmittelbar an die Geschäftsleitung und unterliegt bei der Bewertung ihrer Prüfungsergebnisse keinen Weisungen (BaFin, MaRisk, AT 4.4.3). Beratende Tätigkeiten bleiben nach Tz. 3 zulässig, sofern die Unabhängigkeit gewahrt wird; beim Wechsel aus anderen Organisationseinheiten sieht Tz. 4 grundsätzlich eine mindestens einjährige Übergangsfrist für Tätigkeiten vor, die sonst gegen das Selbstprüfungsverbot verstoßen würden, lässt aber begründete Einzelfallabweichungen zu (BaFin, MaRisk, AT 4.4.3).

Für die Praxis empfiehlt sich eine schriftliche Rollenabgrenzung: Fachbereiche betreiben Prozesse und Kontrollen, zuständige Kontrollfunktionen überwachen ihre jeweiligen Risikofelder, die Revision beurteilt diese Strukturen unabhängig. Sie kann beispielsweise auf eine ungeeignete Freigaberegel hinweisen und Alternativen diskutieren. Die operative Auswahl, Einführung und Ausführung der Kontrolle sollte jedoch nicht in ihre Verantwortung wechseln.

Amtliche Prüfungszahlen belegen Aufsichtstätigkeit, nicht Revisionsqualität

Die Bundesanstalt für Finanzdienstleistungsaufsicht (BaFin) weist im Jahresbericht 2025 insgesamt 130 Sonderprüfungen über die dort dargestellten Institutsgruppen aus, gegenüber 134 im Vorjahr; davon entfielen 85 auf den Prüfungsschwerpunkt „§ 25a Absatz 1 KWG (MaRisk)“, gegenüber 106 im Jahr 2024 (BaFin, Jahresbericht 2025, Tabelle 5). Bezugsgröße sind Prüfungen, nicht die Zahl mangelhafter Revisionsfunktionen; die BaFin erläutert den Rückgang der MaRisk-Prüfungen unter anderem mit ihrem risikoorientierten und proportionalen Aufsichtsansatz und nennt Internal Governance als Schwerpunkt für 2025 (BaFin, Jahresbericht 2025).

Eine repräsentative Quote unwirksamer Interner Revisionen lässt sich daraus nicht ableiten, weil die ausgewiesene Statistik keine entsprechende Grundgesamtheit und Fehlerquote enthält (BaFin, Jahresbericht 2025, Tabelle 5). Für die eigene Prüfungsplanung ist deshalb die institutsbezogene Risikobeurteilung der sinnvollere Ausgangspunkt. Aufsichtliche Schwerpunkte können diese Beurteilung ergänzen, sollten sie aber nicht ersetzen.

Risikoorientierte Prüfungsplanung verbindet Abdeckung und Veränderung

AT 4.4.3 Tz. 6 verlangt einen umfassenden, risikoorientierten und jährlich fortzuschreibenden Prüfungsplan, dessen Genehmigung einschließlich wesentlicher Anpassungen bei der Geschäftsleitung liegt (BaFin, MaRisk, AT 4.4.3). Grundsätzlich sind sämtliche Aktivitäten einschließlich ausgelagerter Tätigkeiten innerhalb von drei Jahren zu prüfen, bei besonderen Risiken häufiger; unter Risikogesichtspunkten nicht wesentliche Aktivitäten und Prozesse sind in die Planung aufzunehmen und innerhalb von fünf Jahren zu prüfen (BaFin, MaRisk, AT 4.4.3 Tz. 6).

Als Umsetzung empfiehlt sich eine Prüfungslandkarte, die Prozesse, Organisationseinheiten, Kontrollfunktionen, Systeme und ausgelagerte Tätigkeiten mit ihren wesentlichen Risiken verknüpft. Für jedes Prüfungsfeld sollten die letzte Prüfung, bekannte Feststellungen, Veränderungen und der begründete nächste Prüfungstermin erkennbar sein. Ein neues Geschäftsmodell, eine Systemmigration oder wiederholte Kontrollausfälle sind geeignete Anlässe, die Priorisierung erneut zu beurteilen.

Proportionalität betrifft dabei nicht nur den Umfang der Unterlagen: AT 4.4.3 Tz. 1 erlaubt bei sehr kleinen Instituten die Aufgabenübernahme durch einen Geschäftsleiter, wenn eine eigene Revisionseinheit unverhältnismäßig ist und Maßnahmen zur Vermeidung von Interessenkonflikten bestehen (BaFin, MaRisk, AT 4.4.3). Praktisch sollte jede Erleichterung zur Größe, zum Geschäftsmodell und zum Risikoprofil passen und nachvollziehbar begründet werden. Ein kleiner Personalbestand allein liefert noch kein tragfähiges Konzept für unabhängige Prüfungsurteile.

Prüfungsnachweise müssen die Kontrollwirkung sichtbar machen

Die risikoorientierte Prüfung nach AT 4.4.3 Tz. 5 und die Dokumentationsanforderungen nach Tz. 10 verlangen mehr als eine bloße Sammlung von Prozessbeschreibungen: Prüfungen sind durch nachvollziehbare Arbeitsunterlagen zu dokumentieren, die zusammen mit Revisionsberichten sechs Jahre aufzubewahren sind (BaFin, MaRisk, AT 4.4.3). Empfehlenswert ist eine durchgängige Verbindung zwischen Prüfungsziel, Sollanforderung, Grundgesamtheit, Auswahlverfahren, Prüfungshandlung, Nachweis und Schlussfolgerung. So wird erkennbar, ob die Bewertung nur die Gestaltung einer Kontrolle oder auch deren tatsächliche Durchführung betrifft.

Ein hypothetisches Beispiel verdeutlicht den Unterschied: Ein Institut verlangt monatlich die Überprüfung privilegierter Benutzerrechte. Die Revision findet unterschriebene Kontrolllisten, stellt bei ihrer Stichprobe aber fest, dass ausgeschiedene Beschäftigte weiterhin aktive Zugänge besitzen. Die Unterschriften belegen in diesem Fall eine dokumentierte Bearbeitung, nicht die erfolgreiche Beseitigung unzulässiger Berechtigungen. Eine aussagekräftige Feststellung würde deshalb Kontrollziel, konkrete Abweichung, betroffene Zugänge und mögliche Ursachen miteinander verbinden.

Revisionsberichte werden erst durch Follow-up steuerungswirksam

Nach AT 4.4.3 Tz. 7 und 9 sind zeitnahe schriftliche Einzelberichte und mindestens vierteljährliche Berichte an die Geschäftsleitung erforderlich; der Quartalsbericht umfasst insbesondere wesentliche Mängel, Maßnahmen und Status sowie die voraussichtliche Einhaltung des Prüfungsplans, während besonders schwerwiegende Mängel unverzüglich zu berichten sind (BaFin, MaRisk, AT 4.4.3). Tz. 11 und 12 verlangen die Überwachung der fristgerechten Mängelbeseitigung, gegebenenfalls durch Nachschauprüfung, sowie die Eskalation nicht rechtzeitig beseitigter wesentlicher Mängel (BaFin, MaRisk, AT 4.4.3).

Für die praktische Maßnahmenverfolgung empfiehlt sich je Feststellung eine verantwortliche Person, eine Frist, ein erwarteter Erledigungsnachweis und ein dokumentiertes Urteil über die Wirksamkeit der Abhilfe. Im Berechtigungsbeispiel könnte dies die Sperrung der betroffenen Zugänge und zusätzlich eine Nachprüfung des verbesserten Austrittsprozesses umfassen. Der Status „umgesetzt“ sollte dabei nicht automatisch mit „durch die Revision überprüft“ gleichgesetzt werden.

Auch das Aufsichtsorgan ist einzubeziehen: Nach AT 3.2 Tz. 2 erhält es die regelmäßigen Revisionsberichte zur Kenntnis; bei schwerwiegenden Feststellungen gegen Geschäftsleiter bestehen besondere Informations- und Eskalationswege, einschließlich einer Unterrichtung seines Vorsitzenden durch die Revision, wenn die Geschäftsleitung ihrer Berichtspflicht nicht nachkommt oder keine sachgerechten Maßnahmen beschließt (BaFin, MaRisk, AT 3.2). Im Revisionshandbuch sollten diese Fälle deshalb ausdrücklich von der normalen Maßnahmenverfolgung unterschieden werden.

Als interne Steuerungskennzahlen eignen sich beispielsweise der Anteil überfälliger wesentlicher Feststellungen, deren Alter, die Zahl wiederholter Mängel und die Abdeckung hochriskanter Prüfungsfelder. Diese Kennzahlen sind Umsetzungsempfehlungen, keine gesetzlich vorgegebenen Schwellenwerte. Eine geringe Zahl von Feststellungen sollte nicht isoliert als Erfolgsmaßstab dienen, weil sie auch durch eine zu geringe Prüfungstiefe entstehen kann.

Für die Überprüfung des eigenen Revisionsprozesses bietet sich folgende kompakte Prüfliste an:

• Anwenderkreis, Rechtsstand und Übergangsregelungen in der Revisionsanweisung festhalten.
• Informationsrechte, Berichtswege und mögliche Selbstprüfungskonflikte dokumentieren.
• Prüfungslandkarte mit Risiken, Veränderungen und begründeten Prüfungsintervallen verknüpfen.
• Gestaltung und tatsächliche Durchführung von Kontrollen getrennt beurteilen.
• Prüfungsurteile mit nachvollziehbaren Arbeitsunterlagen und eindeutigen Nachweisen unterlegen.
• Feststellungen mit Verantwortlichen, Fristen und überprüfbaren Erledigungskriterien versehen.
• Überfällige wesentliche Mängel eskalieren und die Wirksamkeit der Abhilfe risikoorientiert überprüfen.

Die Interne Revision liefert Urteile, die Verantwortung auslösen

Bei der Abgrenzung der Aufgaben der Internen Revision ist die Verbindung von Unabhängigkeit und Umsetzungsnähe entscheidend. Die Revision sollte verständlich zeigen, welche Kontrollen tragen, wo Nachweise fehlen und welche Risiken ungelöst bleiben. Ihr Beitrag besteht nicht darin, operative Verantwortung zu übernehmen, sondern darin, belastbare Entscheidungen und überprüfbare Verbesserungen anzustoßen.

Für die Weiterentwicklung empfiehlt sich daher weniger ein Wettbewerb um umfangreichere Berichte als eine bessere Verbindung von Risiken, Prüfungshandlungen und Mängelnachverfolgung. Datenanalysen können diese Arbeit unterstützen. Entscheidend bleibt, ob ein fachkundiger Dritter nachvollziehen kann, wie das Prüfungsurteil entstanden ist und warum eine Feststellung geschlossen wurde.

Häufige Fragen zur Internen Revision

Welche Kernaufgaben hat die Interne Revision?

Die Interne Revision prüft nach AT 4.4.3 Tz. 5 MaRisk unabhängig und risikoorientiert die Geschäftsorganisation, das Risikomanagement und das interne Kontrollsystem einschließlich ausgelagerter Tätigkeiten; hinzu kommen Prüfungsplanung, Berichterstattung und Überwachung der Mängelbeseitigung nach Tz. 6 bis 12 (BaFin, MaRisk, AT 4.4.3). Praktisch sollte daraus ein zusammenhängender Prüfungsprozess entstehen, nicht nur eine Sammlung einzelner Berichte.

Wie unterscheidet sie sich von Compliance und Risikocontrolling?

• 25a Abs. 1 Satz 3 Nr. 3 KWG ordnet Risikocontrolling und Compliance dem internen Kontrollsystem zu und nennt die Interne Revision daneben als Bestandteil der internen Kontrollverfahren (KWG, § 25a). Für die Organisation empfiehlt sich daraus eine klare Trennung zwischen laufender fachlicher Kontrolle und unabhängiger Prüfung, statt gleichartige Aufgaben nur unter unterschiedlichen Funktionsbezeichnungen zu führen.

Darf die Interne Revision Projekte beraten?

Beratende Tätigkeiten sind nach AT 4.4.3 Tz. 3 MaRisk zulässig, sofern die Unabhängigkeit der Revision erhalten bleibt (BaFin, MaRisk, AT 4.4.3). Empfehlenswert ist eine dokumentierte Grenze: Die Revision benennt Risiken und prüfungsrelevante Anforderungen, während das Projekt über Gestaltung und Umsetzung entscheidet. Eigene operative Freigaben sollten nicht später Gegenstand desselben unabhängigen Prüfungsurteils werden.

Wie oft müssen Aktivitäten und Prozesse geprüft werden?

AT 4.4.3 Tz. 6 MaRisk sieht grundsätzlich einen Dreijahresturnus vor, verlangt bei besonderen Risiken kürzere Intervalle und für risikoseitig nicht wesentliche Aktivitäten und Prozesse eine Prüfung innerhalb von fünf Jahren (BaFin, MaRisk, AT 4.4.3). Der konkrete Termin sollte deshalb aus einer nachvollziehbaren Risikobewertung hervorgehen und nicht allein aus dem letzten Prüfungsdatum.

Wann gilt eine Revisionsfeststellung als erledigt?

Die Revision muss nach AT 4.4.3 Tz. 11 MaRisk die fristgerechte Mängelbeseitigung überwachen und gegebenenfalls eine Nachschauprüfung durchführen (BaFin, MaRisk, AT 4.4.3). Als praktische Erledigungsbedingung empfiehlt sich ein geeigneter Nachweis, dass die Ursache behoben wurde und die Abhilfe funktioniert. Eine bloße Fertigmeldung des verantwortlichen Bereichs sollte bei wesentlichen Kontrollmängeln nicht genügen.

Quellen

• Verordnung (EU) 2022/2554 über die digitale operationale Resilienz im Finanzsektor, Europäisches Parlament und Rat, 14. Dezember 2022, insbesondere Art. 6, 16 und 64: amtlicher Verordnungstext.
• Kreditwesengesetz, § 25a, Bundesministerium der Justiz und für Verbraucherschutz und Bundesamt für Justiz, online bereitgestellte Fassung, abgerufen am 26. September 2026: Besondere organisatorische Pflichten.
• Mindestanforderungen an das Risikomanagement, Rundschreiben 06/2026 (BA), BaFin, Stand 30. Juni 2026, insbesondere AT 1, AT 2.1 und AT 4.4.3; bereitgestellt durch die Deutsche Bundesbank: MaRisk-Fassung 2026.
• Mindestanforderungen an das Risikomanagement, Begleitschreiben zum Rundschreiben 06/2026 (BA), BaFin, 30. Juni 2026; bereitgestellt durch die Deutsche Bundesbank: Geltungsbeginn und Übergangsregelungen.
• Anschreiben zum Rundschreiben 09/2026 (WA), Mindestanforderungen an das Risikomanagement von Wertpapierinstituten, BaFin, 24. August 2026: WpI MaRisk und Übergangszeit.
• Jahresbericht 2025, Abschnitt „Kreditinstitute, Zahlungs- und E-Geld-Institute, Leasing- und Factoring-Institute, Kryptoinstitute und Kreditdienstleistungsinstitute“, insbesondere Tabelle 5, BaFin, Berichtsjahr 2025, veröffentlicht 2026: Sonderprüfungen und Prüfungsschwerpunkte.

Ergänzende Primärquellen zu GIAS und Qualitätsbeurteilung

– Aktiengesetz, § 91, amtlich bereitgestellte Online-Fassung: Organisationspflichten des Vorstands.

– The Institute of Internal Auditors, Global Internal Audit Standards, 9. Januar 2024 (PDF): Domänen I bis V sowie Standards 9.2 und 9.4. Berufsständischer Standard, kein staatlicher Rechtsakt.

– Institut der Wirtschaftsprüfer, Mitteilung vom 8. Januar 2026: Neufassung IDW PS 983 n.F. (12.2025). GIAS-Bezug und Anwendungszeitpunkt freiwilliger Prüfungsaufträge; keine Auswertung des kostenpflichtigen Volltexts.

Eine aktualisierte Geldwäsche-Richtlinie ist noch kein Nachweis für einen funktionsfähigen Kundenprozess. Ein Institut kann sämtliche Zuständigkeiten beschrieben haben und dennoch nicht nachvollziehen können, aus welcher Quelle eine Kundenangabe stammt, wann sie überprüft wurde oder weshalb eine Auffälligkeit ohne weitere Maßnahmen geschlossen wurde. AMLR-Readiness sollte deshalb nicht an der Zahl überarbeiteter Dokumente gemessen werden, sondern an der Verbindung von Anforderungen, Bearbeitung und überprüfbaren Ergebnissen.

Ein hypothetischer Fall zeigt den Unterschied: Die Kundenakte enthält einen aktuellen Registerauszug, das Risikoprofil beruht jedoch auf einer früheren Eigentümerstruktur. Im Transaktionsmonitoring wird weiterhin das alte Geschäftsmodell des Kunden verwendet. Wer nur die Vollständigkeit einzelner Dokumente kontrolliert, übersieht möglicherweise den Widerspruch zwischen Akte, Risikoeinstufung und Überwachung. Die Vorbereitung auf das neue Regelwerk sollte solche Brüche sichtbar machen und ihre Behebung mit klaren Verantwortlichkeiten verbinden.

AMLR-Readiness beginnt mit dem richtigen rechtlichen Prüfmaßstab

Die Verordnung (EU) 2024/1624 zur Verhinderung der Nutzung des Finanzsystems für Zwecke der Geldwäsche oder der Terrorismusfinanzierung, kurz AMLR, gilt nach Art. 90 grundsätzlich ab dem 10. Juli 2027 unmittelbar; für die dort ausdrücklich genannten Verpflichteten nach Art. 3 Nummer 3 Buchstaben n und o gilt ein abweichender Beginn im Juli 2029 (Verordnung (EU) 2024/1624, Art. 90). Für das hier betrachtete Vorbereitungsprogramm von Kredit- und Finanzinstituten ist der allgemeine Anwendungstermin maßgeblich (Verordnung (EU) 2024/1624, Art. 3 und 90). Ein Umsetzungsplan sollte den tatsächlichen Verpflichtetenkreis festhalten, statt Termine ohne Prüfung des Geschäftsmodells zu übernehmen.

Davon zu unterscheiden ist die Richtlinie (EU) 2024/1640, die sechste EU-Geldwäscherichtlinie, kurz AMLD6: Art. 78 Abs. 1 verpflichtet die Mitgliedstaaten grundsätzlich zur Umsetzung bis zum 10. Juli 2027 und enthält für einzelne Bestimmungen gesonderte Fristen (Richtlinie (EU) 2024/1640, Art. 78). Die unmittelbar geltende Verordnung und die nationale Richtlinienumsetzung dürfen daher nicht als derselbe Rechtsakt behandelt werden. Für die Projektsteuerung empfiehlt sich eine getrennte Erfassung europäischer Anforderungen, nationaler Umsetzung und aufsichtlicher Konkretisierungen.

Schon heute verlangt § 10 Abs. 1 Nr. 5 Geldwäschegesetz (GwG) die kontinuierliche Überwachung der Geschäftsbeziehung einschließlich ihrer Transaktionen sowie die risikoorientierte Aktualisierung der relevanten Unterlagen, Daten und Informationen (GwG, § 10). Bestehende Defizite in diesen Bereichen lassen sich deshalb nicht mit dem Hinweis auf den künftigen AMLR-Anwendungsbeginn rechtfertigen. Als organisatorische Konsequenz sollten die Beseitigung heutiger Pflichtverletzungen und die Vorbereitung künftiger Anforderungen in getrennten, aber aufeinander abgestimmten Maßnahmenlisten geführt werden.

Für die künftige Organisation unterscheidet die AMLR interne Strategien, Verfahren und Kontrollen nach Art. 9, die unternehmensweite Risikobewertung nach Art. 10 und die Compliance-Funktionen nach Art. 11 (Verordnung (EU) 2024/1624, Art. 9 bis 11). Interne Strategien bedürfen der Billigung durch das Leitungsorgan in seiner Leitungsfunktion; interne Verfahren und Kontrollen müssen mindestens auf Ebene des Compliance-Managers gebilligt werden (Verordnung (EU) 2024/1624, Art. 9 Abs. 2). Praktisch empfiehlt sich deshalb eine Kompetenzordnung, die fachliche Vorbereitung, unabhängige Kontrolle und erforderliche Billigung ausdrücklich auseinanderhält.

Der amtliche Umsetzungsstand ersetzt keine Messung der eigenen Bereitschaft

Die europäische Behörde zur Bekämpfung von Geldwäsche und Terrorismusfinanzierung, kurz AMLA, führt in ihrer im September 2026 aktualisierten Übersicht die Konsultationen zu den technischen Regulierungsstandards über Kundensorgfaltspflichten nach Art. 28 Abs. 1 AMLR und zur Abgrenzung von Geschäftsbeziehungen und Transaktionen nach Art. 19 Abs. 9 AMLR als geschlossen; dasselbe gilt für die Leitlinien zur laufenden Überwachung nach Art. 26 Abs. 5 AMLR (AMLA, Regulatory Instruments). Die Konsultation zu diesen Überwachungsleitlinien begann im Juni 2026 und endete im September 2026 (AMLA, Konsultation zur laufenden Überwachung).

Eine geschlossene Konsultation ist nicht gleichbedeutend mit einem bereits anwendbaren technischen Standard: Art. 28 AMLR unterscheidet die Ausarbeitung der Entwürfe durch AMLA von ihrem Erlass durch die Europäische Kommission (Verordnung (EU) 2024/1624, Art. 28). Für die Vorbereitung empfiehlt sich daher ein versioniertes Anforderungsregister. Jede Zeile sollte kenntlich machen, ob sie auf unmittelbar feststehendem Verordnungstext, einem später erlassenen Rechtsakt, einer Leitlinie oder einem noch veränderlichen Entwurf beruht.

Die herangezogene amtliche Statusübersicht dokumentiert den Fortschritt regulatorischer Instrumente, nicht den Umsetzungsgrad einzelner Institute (AMLA, Regulatory Instruments). Eine belastbare Quote bereits AMLR-bereiter Unternehmen wird daraus hier ausdrücklich nicht abgeleitet. Für eine interne Standortbestimmung sind eigene Daten erforderlich: etwa überprüfte Kundenakten, offene Datenmängel, überfällige Überprüfungen und nachgewiesene Kontrollergebnisse. Ein Prozentwert ohne definierte Grundgesamtheit und Abnahmekriterien wäre dafür wenig aussagekräftig.

AMLR-Readiness muss vom Kundenbestand bis zur Fallentscheidung reichen

Art. 20 Abs. 1 AMLR verbindet unter anderem die Feststellung und Überprüfung der Kundenidentität, die Ermittlung wirtschaftlicher Eigentümer, das Verständnis der Geschäftsbeziehung und deren kontinuierliche Überwachung (Verordnung (EU) 2024/1624, Art. 20). Für Know Your Customer (KYC), also die Kenntnis des Kunden, empfiehlt sich deshalb ein zusammenhängendes Datenmodell. Erhobene Angabe, überprüfende Quelle, Prüfdatum, fachliches Ergebnis und erforderliche Folgebearbeitung sollten unterscheidbar sein. Ein ausgefülltes Datenfeld allein belegt noch keine sachgerechte Verifizierung.

Bei wirtschaftlich Berechtigten sollte die Bearbeitung die Eigentums- und Kontrollstruktur nachvollziehbar abbilden; Art. 20 Abs. 1 Buchst. b AMLR verlangt deren Verständnis und angemessene Maßnahmen zur Überprüfung der Identität wirtschaftlicher Eigentümer (Verordnung (EU) 2024/1624, Art. 20). Als Arbeitsnachweis empfiehlt sich eine dokumentierte Herleitung, nicht nur die Speicherung eines Registerdokuments. Ungeklärte Beteiligungsketten, widersprüchliche Angaben und ausstehende Nachweise sollten eigene Bearbeitungszustände mit Verantwortlichen und Wiedervorlagen erhalten.

Art. 26 Abs. 2 AMLR begrenzt den Zeitraum zwischen Aktualisierungen für Kunden mit erhöhtem Risiko, auf die die verstärkten Sorgfaltsmaßnahmen Anwendung finden, auf ein Jahr und für alle anderen Kunden auf fünf Jahre; Abs. 3 verlangt zusätzlich anlassbezogene Überprüfungen und gegebenenfalls Aktualisierungen (Verordnung (EU) 2024/1624, Art. 26). Diese Höchstintervalle sind keine Empfehlung, bis zum letzten zulässigen Termin abzuwarten. Für die operative Planung sollten Risikoprofil, Änderungsereignisse und bestehende Mängel gemeinsam bestimmen, welche Akte zuerst bearbeitet wird. Eine behauptete Pflicht, ausnahmslos sämtliche Bestandskunden bis Juli 2027 vollständig neu zu identifizieren, wird aus diesen Vorschriften hier nicht abgeleitet.

Für die Bestandsbereinigung empfiehlt sich eine dokumentierte Segmentierung. Vorrang können beispielsweise bereits überfällige Hochrisikofälle, ungeklärte wirtschaftlich Berechtigte oder Kunden erhalten, deren tatsächliche Aktivitäten deutlich vom gespeicherten Profil abweichen. Je Segment sollten Datenbedarf, Bearbeitungsaufwand und erforderliche Entscheidungskompetenz feststehen. Die Reihenfolge ist eine institutsbezogene Umsetzungsempfehlung, keine zusätzliche gesetzliche Kundenkategorie.

Die laufende Überwachung muss nach Art. 26 Abs. 1 AMLR alle Produkte und Dienstleistungen einer Geschäftsbeziehung erfassen (Verordnung (EU) 2024/1624, Art. 26). Im hypothetischen Ausgangsfall wäre deshalb nicht nur die Kundenakte zu korrigieren. Zu testen wäre auch, ob die geänderte Eigentümerstruktur und das neue Geschäftsmodell in Risikoeinstufung, Screening und Transaktionsmonitoring ankommen. Ein geeigneter End-to-End-Test würde Datenänderung, Verarbeitung im System, ausgelöste Bearbeitung und dokumentierte Entscheidung miteinander verbinden.

Externe Unterstützung ändert die künftigen Entscheidungsgrenzen nicht beliebig: Art. 18 Abs. 2 AMLR belässt die volle Verantwortung für ausgelagerte Aufgaben beim Verpflichteten; Abs. 3 schließt unter anderem die Auslagerung der Entscheidung über das Kundenrisikoprofil, die Aufnahme einer Geschäftsbeziehung und die Billigung der Kriterien zur Erkennung verdächtiger oder ungewöhnlicher Vorgänge aus (Verordnung (EU) 2024/1624, Art. 18). Die Vorschrift enthält zugleich spezifische Ausnahmen, darunter eine gruppeninterne Ausnahme für Meldungen sowie Sonderregeln für bestimmte Organismen für gemeinsame Anlagen (Verordnung (EU) 2024/1624, Art. 18 Abs. 3 Buchst. e und Abs. 7). Ein pauschales „alles auslagerbar“ wäre ebenso unzutreffend wie die Behauptung, jede externe Zuarbeit sei ausgeschlossen.

Für das Zielbetriebsmodell empfiehlt sich eine klare Trennung zwischen operativer Bearbeitung, unabhängiger Überwachung und unabhängiger Prüfung. Die erste Linie sollte Daten und Fälle bearbeiten, die zweite Linie fachliche Standards kontrollieren und Abweichungen adressieren, die dritte Linie die Umsetzung unabhängig beurteilen. Erforderliche Billigungen und Entscheidungen sind gesondert zuzuordnen. Dabei sollte keine Funktion die eigene operative Arbeit zugleich als unabhängig geprüft ausweisen.

Ein praktikabler Umsetzungsfahrplan beginnt mit Anforderungen und Befunden, führt über ein abgestimmtes Zielbild zur Daten- und Prozessanpassung und endet mit dokumentierten Tests und einer geregelten Übergabe. Empfehlenswert ist je Maßnahme eine Verbindung aus Normbezug, Ausgangsbefund, verantwortlicher Person, Abhängigkeit, Termin und Abnahmekriterium. „Richtlinie veröffentlicht“ und „Prozess funktioniert im Test“ sollten dabei unterschiedliche Statuswerte bleiben. Der laufende Betrieb benötigt anschließend eigene Zuständigkeiten für neue Datenmängel, Regelwerksänderungen und wiederkehrende Kontrollen.

Für eine belastbare Standortbestimmung eignet sich folgende Prüfliste:

• Verpflichtetenkreis und Anwendungstermine eindeutig festhalten.
• Geltende Pflichten, künftige Anforderungen und Entwurfsannahmen getrennt dokumentieren.
• Kundenangaben mit Quellen, Prüfergebnissen und offenen Klärungen verknüpfen.
• Bestandsbereinigung nach Risiko, Rückständen und relevanten Änderungsereignissen priorisieren.
• Aktualisierungsereignisse über alle betroffenen Produkte und Systeme testen.
• Bearbeitung, Kontrolle, Prüfung und vorbehaltene Entscheidungen organisatorisch trennen.
• Jede geschlossene Maßnahme mit einem nachvollziehbaren Abnahmenachweis versehen.
• Fortschritt und verbleibende Risiken anhand klar definierter Kennzahlen an die zuständigen Gremien berichten.

Nachweisbare Abläufe sind aussagekräftiger als ein grüner Projektstatus

Der entscheidende Maßstab für AMLR-Readiness in Governance, Daten und Prozessen sollte die nachvollziehbare Verbindung zwischen Anforderung und Bearbeitungsergebnis sein. Eine Geschäftsleitung benötigt nicht nur die Aussage, dass eine Maßnahme abgeschlossen ist, sondern eine belastbare Grundlage dafür, welcher Mangel damit behoben wurde und welche Risiken verbleiben. Dafür empfiehlt sich eine dokumentierte Nachweiskette vom Rechtsbezug über den Prozess bis zur Kundenakte und Fallentscheidung.

Das Ziel ist keine möglichst umfangreiche Dokumentensammlung. Empfehlenswert ist ein schlanker, versionierter Bestand, aus dem Zuständigkeiten, Datenherkunft, Kontrollen und Entscheidungen erkennbar werden. So lassen sich spätere regulatorische Konkretisierungen gezielt nachführen, ohne die bereits tragfähigen Teile des Betriebsmodells erneut aufzubauen.

Häufige Fragen zur AMLR-Readiness

Ab wann müssen Institute die AMLR anwenden?

Für Kredit- und Finanzinstitute gilt grundsätzlich der 10. Juli 2027 als Anwendungsbeginn nach Art. 90 AMLR (Verordnung (EU) 2024/1624). Der Termin sollte als Bezugspunkt für Systemtests, Prozessfreigaben und Schulungen dienen. Bereits heute erforderliche Maßnahmen nach dem geltenden Recht dürfen nicht bis dahin aufgeschoben oder lediglich als Zukunftsprojekt behandelt werden.

Sollte die Umsetzung auf finale AMLA-Standards warten?

Nein, eine Vorbereitung anhand der bereits feststehenden Verordnungsanforderungen ist sinnvoll. Die AMLA-Übersicht kennzeichnet zentrale Konsultationen zu Kundensorgfaltspflichten und laufender Überwachung im September 2026 als geschlossen, nicht als bereits anwendbare Rechtsakte (AMLA, Regulatory Instruments). Entwurfsabhängige Details sollten daher als Annahmen dokumentiert und nach Veröffentlichung der maßgeblichen Endfassungen überprüft werden.

Müssen sämtliche Bestandskunden sofort neu identifiziert werden?

Eine solche pauschale Aussage lässt sich aus Art. 26 AMLR nicht ableiten. Die Vorschrift verlangt aktuelle Informationen, risikobezogene Höchstintervalle und zusätzliche anlassbezogene Überprüfungen (Verordnung (EU) 2024/1624). Für die Vorbereitung empfiehlt sich deshalb eine segmentierte Bestandsanalyse: Welche Informationen fehlen, welche Angaben sind ungeklärt, und welche Aktualisierungen oder Prüfungen sind tatsächlich erforderlich?

Kann ein Dienstleister über das Kundenrisikoprofil entscheiden?

Art. 18 Abs. 3 Buchst. c AMLR nimmt diese Entscheidung grundsätzlich von der Auslagerung aus; Abs. 7 enthält eine spezifische Ausnahme für bestimmte Organismen für gemeinsame Anlagen (Verordnung (EU) 2024/1624). Operative Zuarbeit und Entscheidung sollten deshalb getrennt werden. Ein Ergebnisvorschlag allein ersetzt keine erforderliche Entscheidung der zuständigen, entsprechend autorisierten Stelle.

Woran lässt sich belastbare AMLR-Readiness erkennen?

Als praktischer Maßstab eignet sich eine dokumentierte Nachweiskette: Eine Anforderung ist einem Prozess, einer verantwortlichen Person und einer kontrollierten Bearbeitung zugeordnet. Die Umsetzung wurde anhand geeigneter Fälle geprüft; offene Punkte bleiben sichtbar. Eine reine Dokumentenfreigabe oder ein allgemeiner Prozentwert sollte weder als Wirksamkeitsnachweis noch als förmliches Prüfungsurteil ausgegeben werden.

Quellen

• Verordnung (EU) 2024/1624 des Europäischen Parlaments und des Rates vom 31. Mai 2024, veröffentlicht am 19. Juni 2024; insbesondere Art. 3, 9 bis 11, 18, 20, 26, 28 und 90: EU-Geldwäscheverordnung.
• Richtlinie (EU) 2024/1640 des Europäischen Parlaments und des Rates vom 31. Mai 2024, veröffentlicht am 19. Juni 2024; insbesondere Art. 78 zu Umsetzungsfristen: sechste EU-Geldwäscherichtlinie.
• Geldwäschegesetz, § 10 Abs. 1 Nr. 5, amtlich bereitgestellte Online-Fassung, abgerufen am 26. September 2026; bestehende Pflichten zu Überwachung und Aktualisierung: Allgemeine Sorgfaltspflichten.
• AMLA, Übersicht „Regulatory Instruments“, ausgewiesener Aktualisierungsstand September 2026, abgerufen am 26. September 2026; Status von technischen Regulierungsstandards und Leitlinien: amtliche Instrumentenübersicht.
• AMLA, Mitteilung vom 3. Juni 2026 zur Konsultation der Leitlinien nach Art. 26 Abs. 5 AMLR; Gegenstand und Konsultationszeitraum: laufende Überwachung von Geschäftsbeziehungen.

S+P Compliance unterstützt regulierte Unternehmen bei Governance, Geldwäscheprävention und der Ausgestaltung von Kontroll- und Bearbeitungsprozessen. Ergänzend bietet S+P Seminare, das Seminarangebot des S+P Unternehmerforums, Fachseminare zur Geldwäscheprävention für Fach- und Führungskräfte an.

• Die Delegierte Verordnung (EU) 2026/1167 ergänzt die CRR durch technische Regulierungsstandards zu operationellen Risiken. Sie wurde am 3. September 2026 im Amtsblatt veröffentlicht und tritt nach Artikel 40 am zwanzigsten Tag nach ihrer Veröffentlichung in Kraft.
• Artikel 23 bis 32 konkretisieren die Taxonomie für Verlustereignisse aus operationellen Risiken: Jedes Verlustereignis ist genau einer Ereignisart der Stufe 1 und genau einer Kategorie der Stufe 2 zuzuordnen; alle anwendbaren Attribute sind ergänzend zu erfassen.
• Die Kategorie 4.5 „Finanzkriminalität“ erfasst das Risiko von Geldwäsche, Versäumnissen im Zusammenhang mit KYC sowie Verstößen gegen Sanktionen.
• Wird ein Verlustereignis der Kategorie 4.5 zugeordnet, ist ihm nach Artikel 32 Absatz 3 in Verbindung mit dem Anhang stets das Attribut „Rechtsrisiko – Fehlverhalten“ zuzuordnen.
• Die Verordnung schafft keine eigenständigen materiellen Pflichten zur Geldwäscheprävention, KYC oder Sanktionsbeachtung. Sie konkretisiert die Einordnung und Erfassung relevanter operationeller Verlustereignisse im CRR-Rahmen.

II. Zeitliche Einordnung

Die Europäische Kommission hat die Delegierte Verordnung (EU) 2026/1167 am 28. Mai 2026 erlassen. Nach ihrer Veröffentlichung im Amtsblatt der Europäischen Union am 3. September 2026 tritt sie gemäß Artikel 40 am 23. September 2026 in Kraft.

Für den Verlustdatensatz enthält Artikel 33 besondere Vorgaben zur rückwirkenden Klassifikation:

• Verlustereignisse ab dem 1. Januar 2016 sind den entsprechenden Ereignisarten der Stufe 1 zuzuordnen.
• Institute können Verlustereignisse ab dem 1. Januar 2025 zusätzlich den Kategorien der Stufe 2 zuordnen und mit den anwendbaren Attributen versehen.

Die rückwirkenden Vorgaben betreffen damit die taxonomische Zuordnung historischer Verlustereignisse. Sie bedeuten keine rückwirkende Geltung neu geschaffener materieller AML-, KYC- oder Sanktionspflichten.

III. Vom Compliance-Fall zum Verlustereignis

KYC-, Sanktions- und Geldwäschevorfälle werden häufig zunächst als Compliance-Fälle bearbeitet. Das ist sachgerecht, beantwortet aber nicht in jedem Fall die zusätzliche Frage, ob ein Sachverhalt auch als Verlustereignis aus operationellem Risiko im Verlustdatensatz zu berücksichtigen ist.

Die Delegierte Verordnung (EU) 2026/1167 verlangt keine pauschale Gleichsetzung von AML-, KYC- oder Sanktionsfällen mit operationellen Verlustereignissen. Entscheidend sind vielmehr die tatsächlichen Umstände des Einzelfalls: Liegt ein Verlustereignis vor, welche Ereignisart und welche Kategorie sind am relevantesten, welche Attribute treffen zu und welche finanziellen Auswirkungen sind dem Ereignis zuzurechnen?

Für die Geschäftsleitung liegt die Relevanz damit in der Steuerungsfähigkeit: Das Institut muss relevante Sachverhalte einheitlich erkennen, fachlich einordnen und die maßgeblichen Informationen aus Compliance, Operational Risk, Legal, Finance, IKT und – soweit betroffen – dem Auslagerungsmanagement zusammenführen können. Die Taxonomie dient dabei nicht der Umqualifizierung jedes Compliance-Falls, sondern der harmonisierten Erfassung von Verlustereignissen im operationellen Risiko.

IV. Was sich konkretisiert

Die CRR sah bereits die Erfassung operationeller Verlustdaten und eine Taxonomie vor. Die Delegierte Verordnung konkretisiert nun die Taxonomie und die Zuordnungsregeln. Artikel 23 Absatz 1 verpflichtet Institute, jedes Verlustereignis genau einer Ereignisart der Stufe 1 und genau einer Kategorie der Stufe 2 zuzuordnen. Kommen mehrere Einordnungen in Betracht, ist die relevanteste Ereignisart beziehungsweise Kategorie maßgeblich. Nach Artikel 23 Absatz 2 sind zusätzlich alle anwendbaren Attribute nach Artikel 32 zuzuordnen.

ThemaBisheriger RahmenKonkretisierung durch die Delegierte Verordnung (EU) 2026/1167AML-, KYC- und SanktionspflichtenMaterielle Pflichten ergeben sich aus dem jeweils einschlägigen Geldwäsche-, Sanktions- und Aufsichtsrecht.Keine neuen materiellen AML-, KYC- oder Sanktionspflichten; Regelungsgegenstand ist die Behandlung operationeller Risiken.KlassifikationVerlustdaten wurden bereits im CRR-Rahmen erfasst; die Detailstruktur war zu konkretisieren.Genau eine Ereignisart der Stufe 1 und genau eine Kategorie der Stufe 2 je Verlustereignis; bei mehreren Optionen ist die relevanteste zu wählen.FinanzkriminalitätAML-, KYC- und Sanktionssachverhalte wurden regelmäßig in Compliance-, Legal- oder Untersuchungsprozessen bearbeitet.Artikel 28 führt innerhalb der Ereignisart „Kunden, Produkte und Geschäftspraktiken“ die Kategorie 4.5 „Finanzkriminalität“ auf. Sie umfasst Geldwäsche, KYC-Versäumnisse und Sanktionsverstöße.AttributeQuerschnittsrisiken konnten bereits im internen Risikomanagement berücksichtigt werden.Artikel 32 verlangt die Zuordnung aller anwendbaren Attribute, etwa IKT-Risiko, Drittparteienrisiko oder Geschäftsfortführung. Mindestens ein Geschäftsfeld-Attribut ist zwingend.RechtsrisikoRechtsfolgen wurden häufig gesondert in Legal- oder Litigation-Prozessen abgebildet.Bei einer Einordnung in Kategorie 4.5 ist „Rechtsrisiko – Fehlverhalten“ zwingend zuzuordnen.RückflüsseErstattungen und Rückgriffe wurden häufig getrennt im Finanz- oder Schadensprozess behandelt.Vollständig binnen fünf Arbeitstagen zurückfließende Verluste sind nicht im Verlustdatensatz zu berücksichtigen. Bei Teilrückflüssen ist nur der nicht fristgerecht zurückfließende Anteil einzubeziehen.

Die Pflicht zur rückwirkenden Zuordnung der Level-1-Ereignisarten gilt nach Artikel 33 Absatz 1 für Verlustereignisse ab dem 1. Januar 2016. Die Zuordnung von Level-2-Kategorien und Attributen kann nach Artikel 33 Absätze 2 und 3 mindestens ab dem 1. Januar 2025 erfolgen.

V. Use Case: KYC-Datenfehler

Fiktiver und vereinfachter Fall: Ein Institut nutzt einen externen Dienstleister für Teile des digitalen Onboardings. Nach einer technischen Änderung werden bei einem abgegrenzten Kundenbestand Angaben zu wirtschaftlich Berechtigten und Länderbezügen nicht vollständig an ein nachgelagertes Screening-System übertragen. Das Institut erkennt den Fehler im Rahmen einer Kontrollhandlung, untersucht den Sachverhalt und lässt die betroffenen Kundenbeziehungen nachprüfen. Es entstehen externe Kosten für technische Ursachenanalyse und Rechtsberatung. Darüber hinaus prüft das Institut, ob Ansprüche gegen den Dienstleister bestehen.

Der Sachverhalt ist zunächst kein Automatismus für die Kategorie 4.5 „Finanzkriminalität“. Die Klassifikation richtet sich nicht danach, welche Organisationseinheit den Fall zuerst bearbeitet, sondern nach dem prägenden Verlustereignis.

PrüfschrittRechtlich vorsichtige EinordnungLiegt ein Verlustereignis vor?Zu prüfen ist, ob und welche finanziellen Auswirkungen aus einem operationellen Risikoereignis entstanden sind oder nach dem anwendbaren Rahmen zu berücksichtigen sind. Eine Kontrollfeststellung allein genügt hierfür nicht notwendig.Welche Kategorie ist maßgeblich?Steht ein KYC-Versäumnis im Zusammenhang mit Geldwäsche-, Terrorismusfinanzierungs- oder Sanktionsrisiken im Vordergrund, kann 4.5 „Finanzkriminalität“ einschlägig sein. Prägt hingegen der Ausfall einer Anwendung, eines Informationssystems oder eines IKT-Veränderungsprogramms den Sachverhalt, ist 6.1 „Infrastruktur- und Systemausfall“ zu prüfen. Steht die unzureichende Verwaltung oder Pflege von Daten im Mittelpunkt, kann 7.4 „Erfassung und Verarbeitung von Daten“ relevant sein.Welche Attribute sind zu prüfen?Bei technischem Bezug kann das Attribut „IKT-Risiko – nicht in Verbindung mit Cybervorfällen“ relevant sein. Bei einem externen Dienstleister ist zusätzlich das Attribut „Drittparteienrisiko“ zu prüfen. Nach Artikel 32 Absatz 2 ist mindestens ein Geschäftsfeld-Attribut zuzuordnen.Welche Folge hat Kategorie 4.5?Nur bei einer tatsächlichen Zuordnung zu 4.5 ist „Rechtsrisiko – Fehlverhalten“ zwingend. Bei einer Zuordnung etwa zu 6.1 oder 7.4 folgt diese zwingende Attribution nicht.Wie sind finanzielle Folgen zu behandeln?Die Zuordnung von Kosten, Rückstellungen und Rückflüssen ist anhand des Ereignisbezugs sowie der einschlägigen aufsichtsrechtlichen und rechnungslegungsbezogenen Anforderungen zu beurteilen. Artikel 6 erfasst unter anderem Verluste, Aufwendungen, Rückstellungen und andere finanzielle Auswirkungen aus operationellen Risikoereignissen.

Der Use Case zeigt: Dass ein Sachverhalt AML-, KYC- oder Sanktionsbezug aufweist, kann für die Kategorisierung bedeutsam sein. Es ersetzt aber nicht die Einzelfallprüfung nach Artikel 23. Die Level-2-Kategorie muss den Sachverhalt in seiner prägenden Ausgestaltung abbilden; Attribute erfassen ergänzende Risiko- und Ursachenbezüge.

VI. Drei Entscheidungen für die Geschäftsleitung

1. Einen Prüftrigger festlegen
Die Geschäftsleitung sollte entscheiden, unter welchen Voraussetzungen AML-, KYC- und Sanktionssachverhalte zusätzlich auf eine mögliche Relevanz für den OpRisk-Verlustdatensatz geprüft werden. Auslöser können beispielsweise konkret entstandene finanzielle Auswirkungen, erhebliche externe Untersuchungskosten, Kundenentschädigungen, Rückstellungen, Sanktionen oder ein wesentlicher IKT- beziehungsweise Drittparteienbezug sein.

2. Die Klassifikationsverantwortung festlegen
Es sollte ein nachvollziehbares Verfahren bestehen, das die sachgerechte Auswahl von Ereignisart, Kategorie und Attributen gewährleistet. Die Compliance-Funktion kann den AML-, KYC- oder Sanktionsbezug bewerten; die Taxonomieentscheidung und die Steuerung des Verlustdatensatzes sind jedoch mit der für operationelle Risiken zuständigen Funktion abzustimmen. Legal, Finance, IKT und Auslagerungsmanagement sind einzubeziehen, soweit ihre Informationen für Ursachen, Kosten oder Rückflüsse erforderlich sind.

3. Relevante Managementinformation definieren
Für wesentliche Sachverhalte sollte die Geschäftsleitung nachvollziehen können, welches Ereignis vorliegt, wie es klassifiziert wurde, welche finanziellen Auswirkungen berücksichtigt werden, ob Rückflüsse bestehen, welche Ursachen festgestellt wurden und wie die Maßnahmenumsetzung fortschreitet. Das ist keine eigenständige Organisationsvorgabe der Delegierten Verordnung, aber eine naheliegende Governance-Folge aus der Pflicht zur konsistenten Erfassung und Klassifikation relevanter Verlustereignisse.

VII. Fazit

Die Delegierte Verordnung (EU) 2026/1167 schafft keine neue AML- oder Sanktionspflicht. Sie konkretisiert jedoch die Taxonomie, nach der relevante Verlustereignisse aus operationellen Risiken zu erfassen und zu beschreiben sind.

Für AML-, KYC- und Sanktionssachverhalte ist insbesondere Kategorie 4.5 „Finanzkriminalität“ relevant. Sie ist jedoch nicht schematisch anzuwenden: Zunächst ist zu prüfen, ob überhaupt ein relevantes Verlustereignis vorliegt und welche Kategorie dessen prägenden Charakter zutreffend beschreibt. Wird Kategorie 4.5 gewählt, folgt zwingend das Attribut „Rechtsrisiko – Fehlverhalten“. Für Geschäftsleitung und Compliance besteht die Kernaufgabe darin, diese Prüfung, die finanzielle Bewertung und die funktionsübergreifende Dokumentation belastbar zu organisieren.

S+P Fachredaktion

VIII. Quellenverzeichnis

Europäisches Parlament und Rat: Verordnung (EU) Nr. 575/2013 vom 26. Juni 2013 über Aufsichtsanforderungen an Kreditinstitute und zur Änderung der Verordnung (EU) Nr. 648/2012 (Capital Requirements Regulation – CRR), ABl. L 176 vom 27. Juni 2013, S. 1, in der konsolidierten Fassung vom 1. Januar 2026, EUR-Lex – konsolidierte Fassung der CRR, abgerufen am 10. September 2026.

Europäische Kommission: Delegierte Verordnung (EU) 2026/1167 vom 28. Mai 2026 zur Ergänzung der Verordnung (EU) Nr. 575/2013 des Europäischen Parlaments und des Rates durch technische Regulierungsstandards zur Festlegung von Anforderungen für operationelle Risiken, ABl. L 2026/1167 vom 3. September 2026, insbesondere Artikel 6 sowie Artikel 23 bis 33 und Anhang, EUR-Lex – Delegierte Verordnung (EU) 2026/1167, abgerufen am 10. September 2026.

I. Die Kernaussage vorweg: Was ändert sich – und für wen?

Der EBA-Entwurf konkretisiert die bereits geltenden Vorgaben des Art. 323 Abs. 1 CRR zum Management operationeller Risiken. Vorgesehen sind insbesondere detailliertere Anforderungen an Governance, Risikobewertung, Datenqualität, Kontrollen und Berichterstattung. Die zusätzlichen Konkretisierungen werden erst mit Inkrafttreten und Anwendung des endgültigen RTS verbindlich; die gesetzlichen Grundanforderungen des Art. 323 Abs. 1 CRR gelten bereits.

Betroffen sind alle CRR-Institute. Die Schwelle von 750 Mio. Euro begrenzt nicht den Anwendungsbereich, sondern dient der proportionalen Abstufung einzelner Anforderungen. Bei einem Geschäftsindikator von mindestens 750 Mio. Euro gelten insbesondere eine jährliche Wirksamkeitsüberprüfung des OpRisk-Rahmenwerks, eine mindestens quartalsweise Berichterstattung an das Leitungsorgan sowie erweiterte Vorgaben für Risikodaten, Verlustdaten und die Risikotaxonomie. Institute unterhalb dieser Schwelle profitieren von einzelnen Erleichterungen, bleiben aber grundsätzlich zur Einrichtung eines angemessenen OpRisk-Rahmenwerks verpflichtet.

Kleinere Institute erhalten Erleichterungen, aber keinen „Safe Harbour“.

Rechts- und Compliance-Funktionen sollten insbesondere die Schnittstellen zu MaRisk, DORA, Geldwäscheprävention und Interner Revision überprüfen.

II. Warum jetzt Handlungsbedarf besteht

Obwohl der RTS bislang nur als Konsultationsentwurf vorliegt, gelten die Grundanforderungen an das Management operationeller Risiken nach Art. 323 Abs. 1 CRR bereits. Institute sollten daher frühzeitig prüfen, ob ihre Governance-, Kontroll- und Berichtsstrukturen den konkretisierten Maßstäben entsprechen.

Zugleich bestehen Überschneidungen mit § 25a Abs. 1 KWG, den MaRisk und – bei ICT-Risiken – Art. 5 bis 16 DORA. Eine rechtzeitige Gap-Analyse ermöglicht es, Regelungslücken und Doppelstrukturen zu erkennen, Zuständigkeiten abzugrenzen und bestehende DORA-, Compliance- und Geldwäscheprozesse gezielt einzubinden. Vorrangig sollten der Geschäftsindikator nach Art. 314 CRR ermittelt sowie Governance, Datenqualität und Eskalationswege überprüft werden.

III. Fristen, Anwendungszeitpunkt und Übergangsregeln

Die Konsultationsfrist endet am 31. Dezember 2026. Für die öffentliche Anhörung am 29. September 2026 ist eine Anmeldung bis zum 25. September 2026 erforderlich.

Ein verbindlicher Anwendungszeitpunkt steht noch nicht fest. Der Entwurf muss zunächst finalisiert und als delegierte Verordnung im EU-Amtsblatt veröffentlicht werden. Maßgeblich sind anschließend die im endgültigen Rechtsakt geregelten Vorschriften zum Inkrafttreten und zur Anwendung.

Besondere Übergangsregelungen lassen sich daher derzeit noch nicht verlässlich bestimmen. Unabhängig davon gelten die Anforderungen des Art. 323 Abs. 1 CRR bereits. Institute sollten die verbleibende Zeit deshalb für eine Gap-Analyse und die Vorbereitung erforderlicher Anpassungen nutzen.

IV. Konkrete Pflichten und betroffene Funktionen

Der RTS-Entwurf verlangt insbesondere ein dokumentiertes OpRisk-Rahmenwerk, klare Verantwortlichkeiten, laufende Risiko- und Kontrollbewertungen, verlässliche Datenflüsse sowie geregelte Berichts- und Eskalationswege. Das Leitungsorgan soll das Rahmenwerk und die Risikobereitschaft genehmigen und deren Einhaltung überwachen (Art. 4 RTS-Entwurf).

Betroffen sind vor allem:

• Leitungsorgan: Genehmigung und Überwachung des Rahmenwerks;
• OpRisk-Funktion: Ausgestaltung und Überwachung des OpRisk-Prozesses und des Risikobewertungssystems sowie unabhängige Bewertung, Überprüfung und Berichterstattung;
• Compliance: Mitwirkung an den Verfahren zur Erkennung, Meldung und Nachverfolgung von Verstößen gegen interne Vorgaben, genehmigte Schwellenwerte und Limite sowie aufsichtsrechtliche Anforderungen, soweit dies nach der institutsinternen Aufgabenverteilung vorgesehen ist;
• Fachbereiche und IT: Risikoerfassung, Kontrolldurchführung und Datenbereitstellung;
• Interne Revision: unabhängige Prüfung des Rahmenwerks.

Bei ICT-Risiken sind zudem die Vorgaben der Art. 5 bis 16 DORA zu berücksichtigen. Bereits vorhandene Strategien, Prozesse, Kontrollen und Instrumente nach DORA können nach Maßgabe des RTS-Entwurfs zur Erfüllung entsprechender OpRisk-Anforderungen herangezogen werden. Szenarioanalysen und Stresstests sind grundsätzlich proportional zur Größe, Komplexität und zum operationellen Risikoprofil des Instituts auszugestalten. Bei einem Geschäftsindikator von mindestens 750 Mio. Euro gelten insbesondere strengere Anforderungen an die Wirksamkeitsüberprüfung, die Berichtsfrequenz, den Umfang der Risikodaten und die Risikotaxonomie.

V. Praxisprobleme und typische Prüfungsfeststellungen

In der Praxis dürften insbesondere unklare Zuständigkeiten, uneinheitliche Risikobewertungen und lückenhafte Datenbestände zu Beanstandungen führen. Typische Schwachstellen sind:

• ein nur formal dokumentiertes oder nicht institutsweit umgesetztes OpRisk-Rahmenwerk;
• fehlende Abgrenzungen zwischen OpRisk, Compliance, Informationssicherheit und Geldwäscheprävention;
• unvollständige Erfassung von Verlusten und Beinaheereignissen;
• nicht nachvollziehbare Limite, Kontrollen und Eskalationsentscheidungen;
• verspätete oder unzureichende Berichte an das Leitungsorgan;
• fehlende Wirksamkeitskontrollen und mangelhafte Nachverfolgung von Maßnahmen;
• unzureichende Abstimmung mit DORA-Prozessen und der Internen Revision.

Besonders prüfungsrelevant dürfte sein, ob Vorgaben nicht nur schriftlich bestehen, sondern anhand belastbarer Daten, Kontrollen und Entscheidungswege tatsächlich umgesetzt und nachgewiesen werden können.

VI. Umsetzungsfahrplan: Was jetzt zu tun ist

Institute sollten die Konsultationsphase für ein strukturiertes Umsetzungsprojekt nutzen:

1. Anwendbarkeit bestimmen: Geschäftsindikator nach Art. 314 CRR berechnen und die einschlägigen Anforderungsstufen feststellen.
2. Gap-Analyse durchführen: Bestehendes OpRisk-Rahmenwerk an Art. 323 Abs. 1 CRR und den RTS-Entwurf spiegeln.
3. Verantwortlichkeiten klären: Aufgaben von Leitungsorgan, OpRisk, Compliance, IT, Geldwäscheprävention und Interner Revision eindeutig abgrenzen.
4. Daten und Berichtswege prüfen: Verlustereignisse, Beinaheereignisse, Limite, Eskalationen und Managementberichte auf Vollständigkeit und Nachvollziehbarkeit untersuchen.
5. Synergien nutzen: Vorhandene Prozesse nach DORA, MaRisk und § 25a Abs. 1 KWG einbeziehen, soweit sie die Anforderungen nachweisbar erfüllen.
6. Maßnahmen priorisieren: Festgestellte Lücken nach Risiko und Umsetzungsaufwand bewerten, Verantwortliche benennen und Fristen festlegen.

Die Umsetzung sollte revisionssicher dokumentiert und nach Veröffentlichung des endgültigen RTS nochmals rechtlich überprüft werden.

VII. Checkliste für Geschäftsleitung, Compliance und Projektleitung

• Geschäftsindikator nach Art. 314 CRR berechnet und 750-Mio.-Euro-Schwelle geprüft
• OpRisk-Rahmenwerk an Art. 323 Abs. 1 CRR und dem RTS-Entwurf gespiegelt
• Risikobereitschaft, Limite und Eskalationsschwellen nachvollziehbar festgelegt
• Zuständigkeiten von Leitungsorgan, OpRisk, Compliance, IT, Geldwäscheprävention und Interner Revision abgegrenzt
• Risiko- und Kontrollbewertungen vollständig und regelmäßig durchgeführt
• Verluste, Beinaheereignisse und weitere Risikodaten konsistent erfasst
• Berichtswege und Berichtsfrequenzen an die Größenklasse angepasst
• Abweichungen von Vorgaben und Limiten erkannt, gemeldet und nachverfolgt
• Überschneidungen mit § 25a Abs. 1 KWG, MaRisk und Art. 5 bis 16 DORA berücksichtigt
• Festgestellte Lücken priorisiert, Verantwortlichen zugewiesen und mit Fristen versehen
• Umsetzung und Entscheidungen revisionssicher dokumentiert
• Erforderliche Anpassungen nach Veröffentlichung des endgültigen RTS eingeplant

VIII. Fazit und nächster sinnvoller Schritt

Der EBA-Entwurf konkretisiert und vereinheitlicht insbesondere die Anforderungen an Governance, Datenqualität, Berichterstattung und Nachweisführung. Betroffen sind alle CRR-Institute, wenn auch in unterschiedlicher Intensität.

Als nächsten Schritt sollten Institute ihren Geschäftsindikator bestimmen und eine dokumentierte Gap-Analyse durchführen. Daraus ist ein priorisierter Maßnahmenplan mit klaren Zuständigkeiten und Fristen abzuleiten. Nach Veröffentlichung des endgültigen RTS müssen die Ergebnisse nochmals rechtlich überprüft werden.

S+P Fachredaktion

IX. Quellenverzeichnis

1. Europäisches Recht

Europäisches Parlament und Rat: Verordnung (EU) Nr. 575/2013 über Aufsichtsanforderungen an Kreditinstitute und zur Änderung der Verordnung (EU) Nr. 648/2012 (Capital Requirements Regulation – CRR), ABl. L 176 vom 27. Juni 2013, S. 1, in der konsolidierten Fassung vom 1. Januar 2026, EUR-Lex – konsolidierte Fassung der CRR, abgerufen am 7. September 2026.

Europäisches Parlament und Rat: Verordnung (EU) 2024/1623 vom 31. Mai 2024 zur Änderung der Verordnung (EU) Nr. 575/2013 im Hinblick auf Vorschriften für das Kreditrisiko, das Risiko einer Anpassung der Kreditbewertung, das operationelle Risiko, das Marktrisiko und die Eigenmitteluntergrenze (Output-Floor), ABl. L 2024/1623 vom 19. Juni 2024, EUR-Lex – Verordnung (EU) 2024/1623, abgerufen am 7. September 2026.

Europäisches Parlament und Rat: Verordnung (EU) 2022/2554 vom 14. Dezember 2022 über die digitale operationale Resilienz im Finanzsektor und zur Änderung der Verordnungen (EG) Nr. 1060/2009, (EU) Nr. 648/2012, (EU) Nr. 600/2014, (EU) Nr. 909/2014 und (EU) 2016/1011 (Digital Operational Resilience Act – DORA), ABl. L 333 vom 27. Dezember 2022, S. 1, EUR-Lex – Verordnung (EU) 2022/2554, abgerufen am 7. September 2026.

2. Konsultationspapier der Europäischen Bankenaufsichtsbehörde

Europäische Bankenaufsichtsbehörde (EBA): Consultation Paper – Draft Regulatory Technical Standards on operational risk management framework, EBA/CP/2026/18 vom 26. August 2026, EBA-Konsultationspapier EBA/CP/2026/18, abgerufen am 7. September 2026.

3. Nationales Recht

Bundesrepublik Deutschland: Gesetz über das Kreditwesen (Kreditwesengesetz – KWG), insbesondere § 25a „Besondere organisatorische Pflichten, Bestimmungen für Risikoträger; Verordnungsermächtigung“, in der geltenden Fassung, Gesetze im Internet – § 25a KWG, abgerufen am 7. September 2026.

4. Nationale Verwaltungspraxis

Bundesanstalt für Finanzdienstleistungsaufsicht (BaFin): Rundschreiben 06/2026 (BA) – Mindestanforderungen an das Risikomanagement (MaRisk), BaFin – Rundschreiben 06/2026 (BA), abgerufen am 7. September 2026.

Schlüsselwörter: Geldwäschebeauftragter, interne Sicherungsmaßnahmen, Verdachtsmeldung, AMLR, Compliance-Manager, Bußgeldrisiko

1 Problemstellung: Eine Funktion zwischen Zuständigkeit und Verantwortung

Der Geldwäschebeauftragte ist im deutschen Recht keine Assistenzfunktion und keine Stabsstelle ohne Kompetenz, sondern eine gesetzlich definierte Rolle mit eigener Zuständigkeit. Gleichzeitig bleibt die Verantwortung der Leitungsebene ausdrücklich unberührt. Diese Doppelstruktur ist die Quelle der meisten Konflikte in der Praxis: Die Funktion trägt die fachliche Zuständigkeit, entscheidet aber nicht über Ressourcen, Systeme und Geschäftsstrategie.[gesetze-im-internet]

Mit dem EU-Regelwerk wird diese Doppelstruktur nicht aufgelöst, sondern normativ ausdifferenziert und verstärkt. Die Geldwäscheverordnung verlangt die Benennung eines Mitglieds des Leitungsorgans in seiner Leitungsfunktion, das für die Einhaltung verantwortlich ist, und zusätzlich einen Geldwäschebeauftragten mit ausreichend hoher hierarchischer Stellung für die tägliche Umsetzung. Wer die Funktion 2026 aufbaut oder übernimmt, sollte deshalb von vornherein in dieser Zwei-Rollen-Logik denken.[eur-lex.europa]

2 Rechtsstellung, Bestellung und Anzeige

Verpflichtete nach § 2 Abs. 1 Nr. 1 bis 3, 6, 7, 9 und 15 GwG haben einen Geldwäschebeauftragten auf Führungsebene sowie einen Stellvertreter zu bestellen. Die Bestellung und die Entpflichtung des Geldwäschebeauftragten und seines Stellvertreters sind der Aufsichtsbehörde vorab anzuzeigen.[gesetze-im-internet]

Drei Gestaltungsspielräume sind zu beachten. Die Aufsichtsbehörde kann von der Bestellungspflicht befreien, wenn die Gefahr von Informationsverlusten und -defiziten aufgrund arbeitsteiliger Unternehmensstruktur nicht besteht und nach risikobasierter Bewertung anderweitige Vorkehrungen getroffen werden. Umgekehrt kann die Aufsichtsbehörde die Bestellung für weitere Verpflichtetengruppen anordnen; bei Verpflichteten nach § 2 Abs. 1 Nr. 16 soll die Anordnung erfolgen, wenn die Haupttätigkeit im Handel mit hochwertigen Gütern besteht. Und die Bestellungspflicht steht neben der Pflicht zur Benennung eines Mitglieds der Leitungsebene für die Geldwäscheprävention (§ 4 Abs. 3 GwG).[gesetze-im-internet]

Die Unterlassung dieser organisatorischen Grundakte ist bußgeldbewehrt: Ordnungswidrig handelt, wer kein Mitglied der Leitungsebene benennt oder keinen Geldwäschebeauftragten und keinen Stellvertreter bestellt.[gesetze-im-internet]

3 Der Pflichtenkern in der täglichen Arbeit

Die Aufgaben des Geldwäschebeauftragten lassen sich auf fünf tragende Pflichtenbereiche zurückführen.

Der erste ist die Risikoanalyse. Verpflichtete haben die Risiken zu ermitteln und zu bewerten, die Analyse zu dokumentieren, regelmäßig zu überprüfen und gegebenenfalls zu aktualisieren (§ 5 GwG); die Verletzung dieser Pflichten ist ausdrücklich bußgeldbewehrt. Die Risikoanalyse ist damit nicht ein Dokument für die Prüfung, sondern die Begründungsgrundlage für jede Abweichung vom Standardverfahren.[gesetze-im-internet]

Der zweite Bereich sind die internen Sicherungsmaßnahmen. Verpflichtete haben angemessene geschäfts- und kundenbezogene interne Sicherungsmaßnahmen in Form von Grundsätzen, Verfahren und Kontrollen zu schaffen; angemessen sind Maßnahmen, die der jeweiligen Risikosituation entsprechen und diese hinreichend abdecken, und ihre Funktionsfähigkeit ist zu überwachen und bei Bedarf zu aktualisieren. Der Katalog umfasst unter anderem interne Grundsätze zu Kundensorgfaltspflichten, Meldepflicht, Aufzeichnung und Aufbewahrung, die Bestellung des Geldwäschebeauftragten, gruppenweite Verfahren, Maßnahmen gegen den Missbrauch neuer Produkte und Technologien sowie die Zuverlässigkeitsprüfung der Mitarbeiter.[gesetze-im-internet]

Der dritte Bereich sind die Kundensorgfaltspflichten nach den §§ 10 bis 17 GwG mit ihren verstärkten und vereinfachten Varianten. Die zentrale praktische Konsequenz liegt in § 15 Abs. 9 in Verbindung mit § 15 Abs. 3 Nr. 2 GwG: Die Fortsetzung oder Begründung einer Geschäftsbeziehung entgegen dieser Vorschrift beziehungsweise die unterlassene Beendigung ist bußgeldbewehrt. Die Entscheidung über Fortführung oder Beendigung ist damit kein rein wirtschaftliches Ermessen.[gesetze-im-internet]

Der vierte Bereich ist die Verdachtsmeldung. Liegen Tatsachen vor, die auf einen der in § 43 Abs. 1 GwG genannten Sachverhalte hindeuten, ist dieser Sachverhalt unabhängig vom Wert des betroffenen Vermögensgegenstands oder der Transaktionshöhe unverzüglich der Zentralstelle für Finanztransaktionsuntersuchungen zu melden. Der Meldemaßstab ist damit bewusst niedrig angesetzt: Erforderlich sind Tatsachen, die auf einen Sachverhalt hindeuten, nicht ein Nachweis und nicht eine überwiegende Wahrscheinlichkeit. Flankierend gilt das Durchführungsverbot für Transaktionen (§ 46 Abs. 1 GwG) und das Verbot der Informationsweitergabe an den Vertragspartner, den Auftraggeber oder Dritte (§ 47 GwG); beide Verstöße sind gesondert bußgeldbewehrt.[gesetze-im-internet][gesetze-im-internet]

Der fünfte Bereich ist die Nachweisführung. Angaben, Informationen, Untersuchungsergebnisse, Erwägungsgründe und die nachvollziehbare Begründung des Bewertungsergebnisses sind aufzuzeichnen und aufzubewahren, Aufzeichnungen und Belege fünf Jahre (§ 8 GwG; Bußgeldbezug in § 56 Abs. 1 Nr. 6 und 7 GwG). Für die Praxis ist dies der entscheidende Punkt: Die Begründung einer Entscheidung — insbesondere der Entscheidung, nicht zu melden — muss zum Zeitpunkt der Entscheidung dokumentiert werden, weil sie nachträglich nicht rekonstruierbar ist.[gesetze-im-internet]

4 Sanktionsarchitektur: Warum Dokumentation vor Meinung geht

Der Bußgeldrahmen des GwG ist gestuft. Vorsätzliche Verstöße gegen die organisatorischen Grundpflichten nach § 56 Abs. 2 GwG können mit einer Geldbuße bis zu 150.000 Euro, bei leichtfertiger Begehung bis zu 100.000 Euro und im Übrigen bis zu 50.000 Euro geahndet werden.[gesetze-im-internet]

Bei schwerwiegenden, wiederholten oder systematischen Verstößen erhöht sich der Rahmen auf bis zu eine Million Euro oder bis zum Zweifachen des aus dem Verstoß gezogenen wirtschaftlichen Vorteils, wobei der Vorteil erzielte Gewinne und vermiedene Verluste umfasst und geschätzt werden kann. Gegenüber juristischen Personen und Personenvereinigungen aus dem Kreis der Verpflichteten nach § 2 Abs. 1 Nr. 1 bis 3 und 6 bis 9 GwG darf die Geldbuße den höheren der Beträge von fünf Millionen Euro oder 10 Prozent des Gesamtumsatzes des vorangegangenen Geschäftsjahres nicht übersteigen; gegenüber natürlichen Personen aus diesem Kreis ist eine Geldbuße bis zu fünf Millionen Euro möglich. Die Ermittlung des Gesamtumsatzes ist gesetzlich definiert und stellt bei Mutter- und Tochterunternehmen auf den Konzernabschluss für den größten Kreis von Unternehmen ab.[gesetze-im-internet]

Hinzu tritt das allgemeine Aufsichtsverschulden: Ordnungswidrig handelt, wer als Inhaber eines Betriebes oder Unternehmens vorsätzlich oder fahrlässig die erforderlichen Aufsichtsmaßnahmen unterlässt; zu diesen gehören ausdrücklich Bestellung, sorgfältige Auswahl und Überwachung von Aufsichtspersonen (§ 130 Abs. 1 OWiG).

Die Konsequenz für die Rolle ist eindeutig: Die Wirksamkeit der Funktion bemisst sich nicht an der fachlichen Überzeugung des Geldwäschebeauftragten, sondern an der Nachweisbarkeit von Bestellung, Ressourcenausstattung, Analyse, Kontrolle, Entscheidung und Eskalation.

5 Die nationalen Neuerungen des Jahres 2026

Zwei Änderungen sind für die laufende Arbeit unmittelbar relevant.

Erstens wurde das Geldwäschegesetz mit Wirkung zum 10. Februar 2026 durch Artikel 53 des Standortfördergesetzes geändert; betroffen sind unter anderem die Vorschriften zu Aufzeichnung und Aufbewahrung, zu Sorgfaltspflichten, zur Aufsicht sowie zu den Bußgeldvorschriften. Die konsolidierte Fassung ist über die amtliche Gesetzessammlung abrufbar (GwG); für die Aufsichtsbefugnisse ist insbesondere § 51 GwG zu beachten.[gesetze-im-internet]

Zweitens gelten seit dem 1. März 2026 die Vorgaben der GwG-Meldeverordnung vom 26. August 2025 (BGBl. 2025 I Nr. 200) über Form und erforderliche Angaben in Meldungen an die Zentralstelle für Finanztransaktionsuntersuchungen nach § 43 Abs. 1 und § 44 GwG. Praktisch bedeutet dies: Meldeformulare, Pflichtangaben und Übermittlungsweg sind zu überprüfen, Arbeitsanweisungen und Schulungsunterlagen sind anzupassen, und der erste Meldefall nach dem Stichtag darf nicht der Anlass für die Umstellung sein.

Ergänzend sind die Auslegungs- und Anwendungshinweise der BaFin zum Geldwäschegesetz maßgeblich, die die Aufsicht nach § 51 Abs. 8 GwG regelmäßig aktualisiert und deren Fassung mehrfach ergänzt wurde (BaFin, Auslegungs- und Anwendungshinweise; BaFin, Vorgaben zur Geldwäscheprävention). Die BaFin weist darin unter anderem darauf hin, dass die Risikoanalyse sowie die Ersteinrichtung und wesentliche Änderungen der internen Sicherungsmaßnahmen der Genehmigung des benannten Mitglieds der Leitungsebene nach § 4 Abs. 3 GwG bedürfen (BaFin).[bafin][bafin]

6 Der Systemwechsel zum 10. Juli 2027

Mit der Geldwäscheverordnung der EU wird der Pflichtenrahmen ab dem 10. Juli 2027 unmittelbar anwendbar, ergänzt durch die bis zum gleichen Datum umzusetzende sechste Geldwäscherichtlinie. Drei Änderungen sind für die Funktion von struktureller Bedeutung.

Erstens die Zweiteilung der Verantwortung. Verpflichtete benennen ein Mitglied des Leitungsorgans in seiner Leitungsfunktion als Compliance-Manager, das sicherstellt, dass die internen Strategien, Verfahren und Kontrollen mit der Risikolage in Einklang stehen und umgesetzt werden, dass hierfür ausreichende personelle und materielle Ressourcen bereitgestellt werden, und das Informationen über signifikante oder wesentliche Schwachstellen entgegennimmt. Die Ressourcenfrage wird damit von einer Bitte des Geldwäschebeauftragten zu einer Pflicht des Leitungsorgans.[eur-lex.europa]

Zweitens die Stärkung der operativen Funktion. Der Geldwäschebeauftragte wird vom Leitungsorgan ernannt, verfügt über eine ausreichend hohe hierarchische Stellung, ist für die tägliche Umsetzung einschließlich der Umsetzung gezielter finanzieller Sanktionen zuständig, dient als Kontaktstelle für die zuständigen Behörden und ist für die Meldung verdächtiger Transaktionen zuständig. Eine Abberufung ist erst nach vorheriger Unterrichtung des Leitungsorgans möglich, der Aufseher ist über die Abberufung zu unterrichten, und es ist anzugeben, ob die Entscheidung mit der Wahrnehmung der übertragenen Aufgaben zusammenhängt. Ergänzend sind Maßnahmen zu treffen, um den Geldwäschebeauftragten vor Repressalien, Diskriminierung und jeder anderen unfairen Behandlung zu schützen und sicherzustellen, dass seine Entscheidungen nicht durch wirtschaftliche Interessen des Verpflichteten beeinträchtigt oder unzulässig beeinflusst werden.[eur-lex.europa]

Drittens die formalisierte Berichtslinie. Der Geldwäschebeauftragte und die für die Audit-Funktion zuständige Person müssen dem Leitungsorgan in seiner Leitungsfunktion und, sofern vorhanden, dem Leitungsorgan in seiner Aufsichtsfunktion unabhängig Bericht erstatten, Bedenken äußern und warnen können, wenn sich spezifische Risikoentwicklungen auswirken oder auswirken können. Der Compliance-Manager berichtet dem Leitungsorgan regelmäßig und legt jährlich oder in kürzeren Abständen einen Bericht über die Umsetzung vor.[eur-lex.europa]

Unterlegt wird dies durch die Anforderungen an interne Strategien, Verfahren und Kontrollen: Sie sind schriftlich festzuhalten, interne Strategien müssen vom Leitungsorgan in seiner Leitungsfunktion gebilligt werden, interne Verfahren und Kontrollen mindestens auf Ebene des Compliance-Managers; vorgesehen ist zudem eine unabhängige Audit-Funktion, die ersatzweise durch einen externen Sachverständigen wahrgenommen werden kann. Die unternehmensweite Risikobewertung ist an definierte Pflichtquellen gebunden, unter anderem an die Risikobewertung auf Unionsebene, die nationale Risikobewertung, Veröffentlichungen der AMLA und Informationen der zuständigen Behörden; sie ist vor der Einführung neuer Produkte, Dienstleistungen, Geschäftsmodelle, Vertriebskanäle und Technologien sowie vor der Erschließung neuer Kundensegmente oder geografischer Gebiete vorzunehmen.[eur-lex.europa]

Für die Planung ist ein Zwischenschritt wichtig: Die AMLA gibt bis zum 10. Juli 2026 Leitlinien dazu heraus, welche Elemente Verpflichtete bei der Festlegung des Umfangs ihrer internen Strategien, Verfahren und Kontrollen berücksichtigen sollten, insbesondere in Bezug auf die den Compliance-Funktionen zugewiesenen Mitarbeiter. Die AMLA hat ihre operative Tätigkeit am 1. Juli 2025 aufgenommen und konsultiert bereits technische Standards zur Zusammenarbeit bei der Direktaufsicht; die direkte Aufsicht über eine begrenzte Zahl ausgewählter grenzüberschreitend tätiger Gruppen ist für 2028 vorgesehen, mit einer Auswahl im Jahr 2027.[zoll][bafin][eur-lex.europa]

7 Die Meldepraxis als Realitätsprüfung

Wie belastbar die Prozesse sind, zeigt sich am Meldegeschehen. Im Berichtsjahr 2025 gingen bei der FIU 374.693 Verdachtsmeldungen ein — nach dem Rückgang der Vorjahre ein deutlicher Anstieg von rund 41 Prozent —, wobei es sich bei etwa 16 Prozent um Nachmeldungen zu bereits bekannten Sachverhalten handelte. Die FIU ordnete 106 Sofortmaßnahmen an und hielt Transaktionen im Volumen von rund 751,8 Millionen Euro an, davon 585 Millionen Euro in einer einzelnen Maßnahme. Neu eingeführt wurde der FIU-Risikohinweis, mit dem Verpflichtete und Behörden anlassbezogen über aktuelle Typologien und Erkennungsmerkmale informiert werden; der erste Hinweis erging im Oktober 2025 und betraf auffällige Zahlungsmuster mit Bezug zu einem Drittland.[zoll]

Für den Geldwäschebeauftragten folgen daraus zwei Arbeitsaufträge. Erstens sind die Risikohinweise der FIU als Eingangsgröße in Monitoringregeln, Fallbearbeitung und Schulung zu verarbeiten und diese Verarbeitung ist zu dokumentieren. Zweitens ist der hohe Anteil an Nachmeldungen ein Hinweis auf Fallabschlussdisziplin: Wer einen Sachverhalt meldet, muss die weitere Entwicklung der Geschäftsbeziehung nachverfolgen, nicht den Fall schließen.

8 Qualifikations- und Nachweisanforderungen

Die Funktion verlangt ein Kompetenzprofil, das über Rechtskenntnis hinausgeht. Erforderlich ist erstens die Fähigkeit, eine Risikoanalyse methodisch nachvollziehbar aufzubauen, sodass Risikofaktoren, Bewertung, Kontrollen und Restrisiko in einer geschlossenen Kette stehen. Zweitens die Fähigkeit, Monitoring- und Screeningsysteme fachlich zu steuern — Regelwerke, Schwellenwerte, Trefferqualität, Fehlalarmquoten und Wirksamkeitstests. Drittens die Entscheidungs- und Dokumentationsfähigkeit im Meldefall einschließlich der sauberen Trennung von Meldung, Durchführungsverbot, Kündigungsentscheidung und Informationsverbot. Viertens die Eskalations- und Kommunikationsfähigkeit gegenüber Leitungs- und Aufsichtsorgan, die mit der EU-Verordnung eine eigene Rechtsgrundlage erhält.

Eine strukturierte Grundlage für den Einstieg in die Funktion und für die Aktualisierung des Pflichtenstands bietet das S+P Basisseminar Geldwäschebeauftragter. Die führungs- und governanceseitige Flankierung — Ressourcenausstattung, Berichtslinien, Entscheidungsdokumentation — behandeln die Leadership & Führung Online-Seminare.

9 Umsetzungsfahrplan 2026 und 2027

Sinnvoll ist eine Abfolge in fünf Schritten.

Der erste Schritt ist die Bestandsprüfung der Formalien: Bestellung und Stellvertretung, Anzeige gegenüber der Aufsichtsbehörde, Benennung des Mitglieds der Leitungsebene, Stellenbeschreibung, Ressourcenausstattung und Vertretungsregelung im Abwesenheitsfall.

Der zweite Schritt ist der Abgleich mit der Gesetzeslage seit dem 10. Februar 2026 und mit den Vorgaben der GwG-Meldeverordnung seit dem 1. März 2026, jeweils dokumentiert als Gap-Analyse mit Umsetzungsentscheidung.

Der dritte Schritt ist die Vorbereitung auf das EU-Regelwerk: Zuordnung der Rolle des Compliance-Managers auf Leitungsebene, Anpassung der Berichtswege, schriftliche Fassung der internen Strategien mit Billigung durch das Leitungsorgan, Klärung der Audit-Funktion und Ausrichtung der Risikobewertung auf die in Artikel 10 genannten Pflichtquellen. Sinnvoll ist ein Beschluss im Leitungsorgan im Jahr 2026, nicht im ersten Halbjahr 2027.

Der vierte Schritt ist die Wirksamkeitsprüfung der Kontrollen: Stichproben zur Sorgfaltspflichterfüllung, Test der Monitoringregeln, Prüfung der Trefferqualität im Sanktionsscreening, Auswertung von Bearbeitungszeiten und Nachmeldequoten.

Der fünfte Schritt ist die Schulung mit Nachweisführung — rollenbezogen, mit Aktualitätsintervall und dokumentiertem Inhalt, weil die Zuverlässigkeits- und Kenntnisanforderungen künftig auch den Geldwäschebeauftragten selbst in den Überprüfungsrahmen einbeziehen.[eur-lex.europa]

10 Limitationen

Die zitierten Vorschriften und amtlichen Veröffentlichungen sind mit Fundstelle belegt, unterliegen jedoch fortlaufender Änderung; insbesondere die Auslegungs- und Anwendungshinweise der BaFin werden nach § 51 Abs. 8 GwG regelmäßig aktualisiert, und Leitlinien sowie technische Standards der AMLA befinden sich in Erarbeitung. Der Kreis der bestellungspflichtigen Verpflichteten, Befreiungen und Anordnungen ist einzelfallabhängig. Angaben zum Zeitplan der AMLA-Direktaufsicht beruhen auf veröffentlichten Planungen und sind kein abschließend feststehender Rechtsstand. Aufsichts- und bußgeldrechtliche Bewertungen im Einzelfall bleiben der individuellen Prüfung vorbehalten.

11 Fazit

Der Geldwäschebeauftragte bleibt die zentrale operative Figur der Geldwäscheprävention, seine Rolle wird aber bis 2027 deutlich formalisiert. Das nationale Recht definiert Zuständigkeit, unmittelbare Nachordnung zur Geschäftsleitung und Anzeigepflicht und sanktioniert Organisations-, Analyse-, Melde- und Dokumentationsmängel gestuft bis zu fünf Millionen Euro oder 10 Prozent des Gesamtumsatzes. Das EU-Recht ergänzt ab dem 10. Juli 2027 eine Verantwortungsstruktur mit Compliance-Manager auf Leitungsebene, geschützter Stellung des Geldwäschebeauftragten, unabhängiger Berichtslinie und jährlicher Berichtspflicht.[gesetze-im-internet][gesetze-im-internet][eur-lex.europa]

Wer die Funktion 2026 nur formal besetzt, wird 2027 nachrüsten müssen. Wer sie jetzt mit klarer Ressourcenzusage, dokumentierter Risikoanalyse, geprüften Kontrollen und einer belastbaren Eskalationslinie ausstattet, erfüllt beide Regelwerke in einem Zug — und gewinnt dabei die Nachweisfähigkeit, auf die es in Prüfung und Bußgeldverfahren ankommt.

S+P Seminare und Qualifizierung

S+P Basisseminar Geldwäschebeauftragter: Basisseminar Geldwäschebeauftragter

Geldwäsche & Expertenwissen – AMLR, GwG & Sachkunde: AMLR, GwG & Sachkunde

Quellenverzeichnis

Gesetze und Rechtsakte

Geldwäschegesetz (GwG), konsolidierte Fassung, https://www.gesetze-im-internet.de/gwg_2017/

§ 4 GwG, Risikomanagement, https://www.gesetze-im-internet.de/gwg_2017/_4.html

§ 5 GwG, Risikoanalyse, https://www.gesetze-im-internet.de/gwg_2017/_5.html

§ 6 GwG, Interne Sicherungsmaßnahmen, <a href="https://www.gesetze-im-internet.de/gwg_2017/__6.html[gesetze-im-internet]“ target=“_blank“>https://www.gesetze-im-internet.de/…

§ 7 GwG, Geldwäschebeauftragter, <a href="https://www.gesetze-im-internet.de/gwg_2017/__7.html[gesetze-im-internet]“ target=“_blank“>https://www.gesetze-im-internet.de/…

§ 8 GwG, Aufzeichnungs- und Aufbewahrungspflicht, https://www.gesetze-im-internet.de/gwg_2017/_8.html

§ 43 GwG, Meldepflicht von Verpflichteten, <a href="https://www.gesetze-im-internet.de/gwg_2017/__43.html[gesetze-im-internet]“ target=“_blank“>https://www.gesetze-im-internet.de/…

§ 46 GwG, Durchführung von Transaktionen, https://www.gesetze-im-internet.de/gwg_2017/_46.html

§ 47 GwG, Verbot der Informationsweitergabe, https://www.gesetze-im-internet.de/gwg_2017/_47.html

§ 51 GwG, Aufsicht, <a href="https://www.gesetze-im-internet.de/gwg_2017/__51.html[gesetze-im-internet]“ target=“_blank“>https://www.gesetze-im-internet.de/…

§ 56 GwG, Bußgeldvorschriften, <a href="https://www.gesetze-im-internet.de/gwg_2017/__56.html[gesetze-im-internet]“ target=“_blank“>https://www.gesetze-im-internet.de/…

§ 130 OWiG, Verletzung der Aufsichtspflicht in Betrieben und Unternehmen, https://www.gesetze-im-internet.de/owig_1968/_130.html

Verordnung (EU) 2024/1624 (AMLR), insbesondere Artikel 9, 10 und 11, https://eur-lex.europa.eu/…:L_202401624[eur-lex.europa]

Richtlinie (EU) 2024/1640 (AMLD6), https://eur-lex.europa.eu/legal-content/DE/ALL/?uri=CELEX:32024L1640

Behörden und Aufsicht

BaFin, Auslegungs- und Anwendungshinweise zum Geldwäschegesetz, <a href="https://www.bafin.de/SharedDocs/Downloads/DE/Auslegungsentscheidung/dl-ae-auas-2025-gw.html[bafin]“ target=“_blank“>https://www.bafin.de/…

BaFin, Vorgaben zur Geldwäscheprävention, <a href="https://www.bafin.de/DE/Aufsicht/Geldwaeschepraevention/Rechtsquellen/BaFin_Vorgaben/BaFin_Vorgaben_node.html[bafin]“ target=“_blank“>https://www.bafin.de/…

BaFin, Meldung zur AMLA-Konsultation eines technischen Implementierungsstandards, <a href="https://www.bafin.de/SharedDocs/Veroeffentlichungen/DE/Meldung/2025/meldung_2025_12_22_AMLA.html[bafin]“ target=“_blank“>https://www.bafin.de/…

Financial Intelligence Unit, Jahresbericht 2025, <a href="https://www.zoll.de/DE/FIU/Aktuelles-FIU-Meldungen/2026/fiu_jahresbericht_2025.html[zoll]“ target=“_blank“>https://www.zoll.de/…

Nicht verlinkte Quellen

GwG-Meldeverordnung vom 26. August 2025, BGBl. 2025 I Nr. 200, Geltung ab 1. März 2026

Standortfördergesetz vom 4. Februar 2026, BGBl. 2026 I Nr. 33, Artikel 53 (Änderungen des GwG mit Wirkung zum 10. Februar 2026)

Schlüsselwörter: Führungsverantwortung, Business Judgment Rule, KI-Governance, OKR, psychologische Sicherheit, Kontrollnachweise

1 Problemstellung: Zwei Entwicklungen, ein Handlungsbedarf

Die Debatte über Führung verläuft überwiegend in zwei getrennten Sprachwelten. Die eine ist verhaltenswissenschaftlich und fragt nach Motivation, Bindung, Vertrauen und Teamleistung. Die andere ist juristisch und fragt nach Sorgfaltspflicht, Organisationsverschulden und persönlicher Haftung. Beide Diskurse beschreiben denselben Gegenstand, verwenden aber unterschiedliche Erfolgsmaßstäbe — und genau deshalb bleibt Führungskräfteentwicklung häufig wirkungslos in Bezug auf das, was im Streitfall zählt.

Die empirische Ausgangslage ist eindeutig. Nach den Erhebungen von Gallup stabilisiert sich die emotionale Bindung auf einem der niedrigsten Werte seit Erhebungsbeginn im Jahr 2001; die Mehrheit der Beschäftigten arbeitet im sogenannten Energiesparmodus, erfüllt Aufgaben also zuverlässig, ohne Eigeninitiative zu zeigen. Fehlende Bindung wirkt über Fehlzeiten, Wechselbereitschaft, geringere Verantwortungsübernahme für Qualität und Kunden sowie nachlassende Ideeneinbringung unmittelbar auf Leistungs- und Wettbewerbsfähigkeit.

Die rechtliche Ausgangslage hat sich zeitgleich verschärft. Für Geschäftsleitungen bestimmter Einrichtungen bestehen seit Dezember 2025 gesetzliche Umsetzungs-, Überwachungs- und Schulungspflichten im Bereich der Informationssicherheit; im Finanzsektor verlangt das Aufsichtsrecht seit 2025 aktiv aktualisierte Kenntnisse des Leitungsorgans zu IKT-Risiken; und die KI-Verordnung verpflichtet Anbieter und Betreiber unabhängig von Branche und Größe zum Aufbau von KI-Kompetenz. Die Konsequenz: Qualifizierung von Führungskräften ist keine Personalentwicklungsoption mehr, sondern in Teilbereichen eine dokumentationspflichtige Rechtspflicht.

2 Die rechtliche Architektur der Führungsverantwortung

2.1 Die gesellschaftsrechtliche Grundpflicht und ihre Beweislastverteilung

Vorstandsmitglieder haben bei ihrer Geschäftsführung die Sorgfalt eines ordentlichen und gewissenhaften Geschäftsleiters anzuwenden; eine Pflichtverletzung liegt nicht vor, wenn das Mitglied bei einer unternehmerischen Entscheidung vernünftigerweise annehmen durfte, auf der Grundlage angemessener Information zum Wohle der Gesellschaft zu handeln (§ 93 Abs. 1 AktG). Für die GmbH gilt der Maßstab der Sorgfalt eines ordentlichen Geschäftsmannes (§ 43 Abs. 1 GmbHG).

Praktisch entscheidend ist nicht der Sorgfaltsmaßstab, sondern die Beweislast. Ist streitig, ob die erforderliche Sorgfalt angewandt wurde, trifft die Beweislast das Organmitglied selbst (§ 93 Abs. 2 AktG). Für die GmbH hat das Oberlandesgericht Nürnberg entsprechend entschieden, dass der Geschäftsführer darzulegen und erforderlichenfalls zu beweisen hat, dass er seinen Sorgfaltspflichten nachgekommen ist, ihn kein Verschulden trifft oder der Schaden auch bei pflichtgemäßem Alternativverhalten eingetreten wäre (OLG Nürnberg, Endurteil vom 30.03.2022 – 12 U 1520/19).

Damit ist die zentrale Führungskonsequenz benannt: Nicht die Entscheidung selbst, sondern ihre dokumentierte Vorbereitung entscheidet über die Haftungslage. Die Business Judgment Rule ist kein Schutzschild, das im Nachhinein behauptet werden kann, sondern eine Beweisaufgabe, die vorab organisiert werden muss.

2.2 Organisationspflicht und Compliance-Management-System

Das Landgericht München I hat mit Urteil vom 10. Dezember 2013 (5 HK O 1387/10, Siemens/Neubürger) entschieden, dass ein Vorstandsmitglied im Rahmen seiner Legalitätspflicht dafür Sorge zu tragen hat, dass das Unternehmen so organisiert und beaufsichtigt wird, dass keine Gesetzesverstöße erfolgen; das Gericht gab der auf Schadensersatz gerichteten Klage in Höhe von 15 Millionen Euro statt. Das Oberlandesgericht Nürnberg hat diese für den Aktienvorstand entwickelte Organisationspflicht auf die GmbH-Geschäftsführung übertragen (OLG Nürnberg, 12 U 1520/19).

Führungstechnisch folgt daraus, dass Delegation Verantwortung nicht beendet. Sie verlagert sie auf die Ebene der Auswahl, Instruktion und Überwachung — und erzeugt dort eine eigene Nachweispflicht.

2.3 Aufsichtspflicht und Bußgeldrisiko

Ordnungswidrig handelt, wer als Inhaber eines Betriebes oder Unternehmens vorsätzlich oder fahrlässig die erforderlichen Aufsichtsmaßnahmen unterlässt, um Zuwiderhandlungen zu verhindern, die den Inhaber treffen und mit Strafe oder Geldbuße bedroht sind; zu diesen Maßnahmen gehören ausdrücklich die Bestellung, sorgfältige Auswahl und Überwachung von Aufsichtspersonen (§ 130 Abs. 1 OWiG). Ist die Pflichtverletzung mit Strafe bedroht, kann die Aufsichtspflichtverletzung mit einer Geldbuße bis zu einer Million Euro geahndet werden (§ 130 Abs. 3 OWiG); flankierend tritt die Verbandsgeldbuße hinzu (§ 30 OWiG).

Die Norm ist für Führungskräfte deshalb so relevant, weil sie nicht eigenes Fehlverhalten sanktioniert, sondern unterlassene Organisation. Die Benennung eines Verantwortlichen ohne dokumentierte Auswahlentscheidung, Zuständigkeitsabgrenzung und Überwachung erfüllt die Anforderung nicht.

2.4 Sektorale Qualifikations- und Schulungspflichten

Im Bereich der Informationssicherheit sind Geschäftsleitungen besonders wichtiger und wichtiger Einrichtungen verpflichtet, die Risikomanagementmaßnahmen umzusetzen und ihre Umsetzung zu überwachen; bei Pflichtverletzung haften sie für schuldhaft verursachte Schäden nach den Regeln des für die Rechtsform maßgeblichen Gesellschaftsrechts, und sie müssen regelmäßig an Schulungen teilnehmen, um Risiken und Risikomanagementpraktiken erkennen, bewerten und in ihrer Auswirkung auf die erbrachten Dienste beurteilen zu können (§ 38 BSIG, Auslegungshilfe des BSI zur Geschäftsleitungsschulung). Das zugrunde liegende Umsetzungsgesetz trat am 6. Dezember 2025 in Kraft (BSI).

Im Finanzsektor definiert, genehmigt, überwacht und verantwortet das Leitungsorgan die Umsetzung aller Vorkehrungen des IKT-Risikomanagementrahmens und trägt die letztendliche Verantwortung für das Management der IKT-Risiken (Artikel 5 Verordnung (EU) 2022/2554). Die BaFin weist ausdrücklich darauf hin, dass Artikel 5 Abs. 4 DORA von den Mitgliedern des Leitungsorgans ausreichende Kenntnisse und Fähigkeiten zu den zu managenden IKT-Risiken fordert, die aktiv auf dem neuesten Stand zu halten sind (BaFin, Aufsichtsmitteilung mit Umsetzungshinweisen zur DORA).

Ergänzend hat die BaFin am 22. Oktober 2025 ihr Fit-and-Proper-Rundschreiben 11/2025 (BA) zu Mitgliedern der Geschäftsleitung sowie von Verwaltungs- und Aufsichtsorganen veröffentlicht, das mehrere bisherige Merkblätter zusammenfasst und für Prüfungszwecke ab dem 1. Januar 2026 zugrunde zu legen ist (BaFin-Rundschreiben 11/2025 (BA), BaFin-Meldung vom 22.10.2025).

Aus der Zusammenschau ergibt sich ein methodisch wichtiger Befund: Der Gesetzgeber hat Führungsqualifikation in mehreren Regelungskreisen von einer Erwartung in eine Pflicht mit Nachweisbezug überführt. Eine Weiterbildungsteilnahme ohne dokumentierte Inhalts-, Aktualitäts- und Rollenzuordnung erfüllt diesen Maßstab nicht.

3 KI-Governance als originäre Führungsaufgabe

Die Verordnung (EU) 2024/1689 gilt in Stufen. Verbote und die Pflicht zur KI-Kompetenz sind seit dem 2. Februar 2025 anwendbar (Artikel 4 und 5 Verordnung (EU) 2024/1689). Die Kompetenzpflicht trifft Anbieter und Betreiber von KI-Systemen unabhängig von Wirtschaftszweig und Organisationsgröße und erstreckt sich auf eigenes Personal sowie auf Personen, die im Auftrag der Organisation mit dem Betrieb oder der Nutzung befasst sind, etwa Auftragnehmer und Dienstleister (Bundesnetzagentur, Hinweispapier zu KI-Kompetenzen). Der Maßstab ist ein Bemühensmaßstab: Die Verpflichteten müssen nach besten Kräften sicherstellen, dass ein ausreichendes Maß an KI-Kompetenz vorliegt, wobei technische Kenntnisse, Erfahrung, Ausbildung, Einsatzkontext und betroffene Personengruppen zu berücksichtigen sind; eine Pflicht zu zertifizierten Schulungen besteht nicht (Bundesnetzagentur).

Die Transparenzpflichten nach Artikel 50 gelten seit dem 2. August 2026; die Anforderungen an Hochrisiko-KI-Systeme wurden durch die als KI-Omnibus bezeichnete Verordnung (EU) 2026/1744 — veröffentlicht im Amtsblatt am 24. Juli 2026, in Kraft seit dem 27. Juli 2026 — auf den 2. Dezember 2027 für eigenständige Systeme nach Anhang III und auf den 2. August 2028 für Hochrisiko-KI nach Anhang I verschoben. Für die Planung 2027 ist damit ein doppelter Zeitdruck angelegt: Die Kompetenz- und Transparenzpflichten gelten bereits, die Hochrisiko-Konformität muss im Jahr 2027 aufgebaut sein.

Für die Führungsebene folgen daraus drei Aufgaben, die nicht an die IT delegierbar sind. Erstens die Bestandsaufnahme: Welche KI-Systeme werden im Unternehmen eingesetzt, in welcher Rolle — als Anbieter oder als Betreiber — und mit welcher Risikoeinordnung. Zweitens die Kompetenzzuordnung: Welche Rollen benötigen welches Kompetenzniveau, und wie wird dies nachgewiesen. Drittens die Entscheidungsdisziplin: Wer KI-gestützte Auswertungen zur Entscheidungsgrundlage macht, muss Datenherkunft, Modellgrenzen, Parametrisierung und Nachvollziehbarkeit dokumentieren — andernfalls fehlt gerade jene angemessene Informationsgrundlage, die das Haftungsprivileg voraussetzt (§ 93 Abs. 1 Satz 2 AktG).

Als Ordnungsrahmen für die organisatorische Umsetzung steht mit ISO/IEC 42001:2023 ein Managementsystemstandard für künstliche Intelligenz zur Verfügung, der Anforderungen an Einrichtung, Umsetzung, Aufrechterhaltung und kontinuierliche Verbesserung eines KI-Managementsystems festlegt. Der Standard ersetzt keine Rechtspflicht, liefert aber die Struktur, in der Rollen, Kontrollen und Nachweise systematisch verortet werden können.

Wer diese Themen führungsseitig aufbauen will, findet strukturierte Formate in den Leadership & Führung Online-Seminaren.

4 OKR: Wirkmechanismus, Evidenz und typische Implementierungsfehler

Objectives and Key Results verbinden eine qualitative Richtungsaussage mit messbaren Ergebnisindikatoren. Der zugrunde liegende Wirkmechanismus ist nicht neu, sondern beruht auf der Zielsetzungstheorie von Locke und Latham: Spezifische und anspruchsvolle Ziele führen zu höherer Leistung als die allgemeine Aufforderung, sein Bestes zu geben; die Theorie ist über mehrere Jahrzehnte und hunderte Studien hinweg empirisch gestützt. OKR ist demnach eine anwendungsorientierte Ausgestaltung eines gut belegten Prinzips, nicht ein eigenständig validiertes Wirkmodell.

Genau diese Unterscheidung erklärt die verbreiteten Fehlschläge. Erstens: Werden ambitionierte Key Results zur Grundlage individueller Leistungsbeurteilung oder variabler Vergütung gemacht, entsteht ein rationaler Anreiz zu konservativer Zielsetzung — die Methode zerstört dann genau die Ambition, die sie erzeugen soll. Zweitens: Werden Objectives als Aufgabenlisten formuliert, verschwindet der Fokuseffekt, weil Priorisierung ausbleibt. Drittens: Ohne definierte Messlogik pro Key Result verlagert sich die Diskussion von der Zielerreichung auf die Interpretation der Messung. Empirische Implementierungsanalysen arbeiten entsprechend förderliche und hinderliche Faktoren heraus, statt eine generelle Wirksamkeit zu unterstellen.

Für regulierte Organisationen kommt eine spezifische Anschlussfrage hinzu: Zielsysteme müssen so gestaltet sein, dass sie Compliance-Verhalten nicht konterkarieren. Ein Vertriebsziel ohne Gegengewicht in Qualitäts-, Kontroll- oder Beanstandungsindikatoren erzeugt eine strukturelle Fehlanreizlage, die im Schadensfall als Organisationsmangel bewertbar ist. OKR wird damit zum Governance-Instrument: Die Zielarchitektur ist Teil der internen Kontrollumgebung, nicht nur der Motivationspraxis.

5 Wirksamkeitsbedingungen: Was empirisch trägt

Führungswirksamkeit lässt sich nicht auf Persönlichkeitsmerkmale reduzieren. Zwei Forschungsstränge sind für die Praxis besonders belastbar.

Psychologische Sicherheit — die gemeinsame Überzeugung, dass ein Team sicher ist für interpersonelles Risiko — ist seit der Grundlagenarbeit von Edmondson (Administrative Science Quarterly, 1999) als Vorbedingung für Lernverhalten in Arbeitsteams etabliert und wurde durch den meta-analytischen Review von Frazier und Kollegen systematisiert; die Wirkung auf Teamleistung verläuft dabei über Lernverhalten als Mediator. Für regulierte Organisationen ist dies mehr als ein Klimafaktor: Eine Kultur, in der Beobachtungen und Fehler nicht berichtet werden, erzeugt systematisch unvollständige Informationsgrundlagen — und untergräbt damit sowohl Hinweisgebersysteme als auch die Informationsbasis unternehmerischer Entscheidungen.

Transformationale Führung gilt weiterhin als der am besten belegte Ansatz; neuere evidenzbasierte Übersichten kommen zu dem Ergebnis, dass jüngere Führungsmodelle wenig inkrementelle Validität über transformationale Führung hinaus aufweisen. Gleichzeitig ist die Kehrseite belegt: Nach meta-analytischen Befunden sind transformationale und destruktive Führung die stärksten Prädiktoren für die psychische Gesundheit von Mitarbeitenden — in positiver wie negativer Richtung. Führungsverhalten ist damit ein Gesundheits- und Fluktuationsfaktor, nicht nur ein Leistungsfaktor.

Methodische Einschränkung: Die Befunde beruhen überwiegend auf Querschnittsdesigns mit Selbstauskünften, sodass Kausalrichtung und Effektstärke mit Vorsicht zu interpretieren sind. Für die Praxis genügt die robuste Kernaussage: Klarheit über Ziele, Sicherheit im Widerspruch und Konsistenz zwischen Anspruch und Verhalten sind die wirksamsten Hebel — und sie sind gestaltbar.

6 Haftungsschutz als Systemaufgabe

Aus der Zusammenschau der Abschnitte 2 bis 5 ergibt sich ein Handlungsmodell, das Haftungsschutz nicht als Versicherungsfrage, sondern als Entscheidungsdisziplin begreift.

Erstens ist die Informationsgrundlage vorab zu organisieren. Da das Haftungsprivileg voraussetzt, dass das Organmitglied vernünftigerweise annehmen durfte, auf Grundlage angemessener Information zum Wohle der Gesellschaft zu handeln (§ 93 Abs. 1 AktG), ist bei wesentlichen Entscheidungen festzuhalten, welche Informationen vorlagen, welche Alternativen geprüft wurden, welche Risiken erkannt und wie sie bewertet wurden. Diese Dokumentation entsteht zum Entscheidungszeitpunkt oder gar nicht.

Zweitens ist Delegation als Kontrollkette auszugestalten. Da zu den erforderlichen Aufsichtsmaßnahmen ausdrücklich Bestellung, sorgfältige Auswahl und Überwachung von Aufsichtspersonen zählen (§ 130 Abs. 1 OWiG), sind Auswahlkriterien, Zuständigkeitsabgrenzung, Berichtswege und Überwachungshandlungen zu dokumentieren.

Drittens ist die eigene Qualifikation nachweisbar zu halten. Dies gilt für IKT-Risiken im Finanzsektor (Artikel 5 Abs. 4 Verordnung (EU) 2022/2554; BaFin-Umsetzungshinweise), für Informationssicherheit bei besonders wichtigen und wichtigen Einrichtungen (§ 38 Abs. 3 BSIG in der Darstellung des BSI) und für KI-Kompetenz branchenübergreifend (Bundesnetzagentur).

Viertens ist die Grenze der Versicherungslösung zu kennen. Schließt die Gesellschaft eine Versicherung zur Absicherung eines Vorstandsmitglieds ab, ist ein Selbstbehalt von mindestens 10 Prozent des Schadens bis mindestens zur Höhe des Eineinhalbfachen der festen jährlichen Vergütung vorzusehen (§ 93 Abs. 2 AktG). Eine Organhaftpflichtversicherung verlagert somit das finanzielle Risiko teilweise, aber nicht die Beweislast und nicht die Organisationspflicht.

Fünftens ist die Verbindung zur Führungskultur herzustellen. Eine Organisation, in der Risiken nicht nach oben berichtet werden, kann die geforderte angemessene Informationsgrundlage strukturell nicht erzeugen. Psychologische Sicherheit ist damit nicht nur ein Leistungsfaktor, sondern eine Voraussetzung wirksamer Haftungsvorsorge.

7 Umsetzung: Ein Führungssystem für 2026 und 2027

Die Umsetzung folgt zweckmäßig einer Reihenfolge, die Abhängigkeiten berücksichtigt.

Zu Beginn steht eine Pflichtenlandkarte je Gesellschaft und Rolle. Zu klären ist, welche Regelungskreise greifen — Informationssicherheit nach dem novellierten BSIG, digitale operationale Resilienz nach DORA, KI-Verordnung, Eignungsanforderungen nach dem Fit-and-Proper-Rundschreiben — und welche Pflichten davon persönlich beim Organ liegen. Eine gruppenweite Einheitslösung führt hier regelmäßig zu Über- und Unterabdeckung gleichzeitig.

Darauf folgt die Entscheidungsdokumentation. Für wesentliche Entscheidungen ist ein schlanker, verbindlicher Standard festzulegen: Anlass, Informationsgrundlage, geprüfte Alternativen, Risikobewertung, Beschluss, Verantwortlicher, Überprüfungstermin. Entscheidend ist nicht der Umfang, sondern die Durchgängigkeit.

Anschließend ist die Zielarchitektur zu justieren. Objectives und Key Results sind auf Fokuswirkung zu prüfen, von individueller Leistungsbeurteilung zu trennen und mit Qualitäts- und Kontrollindikatoren so zu verbinden, dass keine einseitigen Anreize entstehen.

Parallel ist das Qualifizierungs- und Nachweissystem aufzubauen: rollenbezogene Curricula, Aktualisierungsintervalle, Teilnahme- und Inhaltsnachweise sowie eine Zuordnung zu den jeweils einschlägigen Pflichten. Für die Verbindung von Führungskompetenz, KI-Governance und Haftungsvorsorge eignen sich die Leadership & Führung Seminare mit Expertenwissen.

Abschließend ist die Wirksamkeitsprüfung zu verankern. Führung ist messbar über Indikatoren wie Bindung, Fluktuation, Fehlzeiten, Meldeverhalten in Hinweisgebersystemen, Bearbeitungsdauer eskalierter Themen und Wiederholungsquote von Feststellungen. Ohne solche Kennzahlen bleibt Führungsentwicklung eine Aufwandsposition ohne belegbaren Nutzen.

8 Limitationen

Die zitierten Rechtsnormen und Aufsichtsdokumente sind mit Fundstelle belegt, können sich jedoch durch Änderungsrechtsakte verschieben, wie der KI-Omnibus im Juli 2026 gezeigt hat. Die Reichweite der Pflichten aus dem novellierten BSIG hängt von der Einordnung der Einrichtung ab und ist im Einzelfall zu bestimmen. Die referenzierte Führungsforschung beruht überwiegend auf Querschnittsdesigns mit Selbstauskünften; die Befragungsergebnisse zur Mitarbeiterbindung sind repräsentative Erhebungsdaten, keine kausalen Wirkungsnachweise einzelner Führungsmaßnahmen. Rechtliche Bewertungen im konkreten Einzelfall bleiben der individuellen Prüfung vorbehalten.

9 Fazit

Führung wird 2026 und 2027 an drei Punkten gleichzeitig gefordert. Sie muss wirksam sein, weil Bindung und Vertrauen auf historisch niedrigem Niveau liegen und unmittelbar auf Produktivität durchschlagen. Sie muss kompetent sein, weil Qualifikation in mehreren Regelungskreisen zur nachweispflichtigen Rechtspflicht geworden ist. Und sie muss nachweisbar sein, weil im Streitfall das Organmitglied selbst darlegen muss, seine Sorgfaltspflichten erfüllt zu haben (§ 93 Abs. 2 AktG; OLG Nürnberg, 12 U 1520/19).

Die zentrale Einsicht ist die Deckungsgleichheit dieser drei Anforderungen. Klare Ziele, offene Fehlerkultur, dokumentierte Entscheidungsgrundlagen und überwachte Delegation erzeugen gleichzeitig Führungswirkung und Haftungsschutz. Wer diese Elemente getrennt behandelt — Führung im Personalbereich, Haftung in der Rechtsabteilung, KI im IT-Bereich — erzeugt Aufwand ohne Absicherung. Wer sie in einem System verbindet, erhält beides.

S+P Seminare und Qualifizierung

Leadership & Führung – Seminare und Expertenwissen: https://sp-unternehmerforum.de/leadership-online-seminare/

Quellenverzeichnis

Gesetze und Rechtsakte

§ 93 AktG, Sorgfaltspflicht und Verantwortlichkeit der Vorstandsmitglieder, https://www.gesetze-im-internet.de/aktg/_93.html

§ 43 GmbHG, Haftung der Geschäftsführer, https://www.gesetze-im-internet.de/gmbhg/_43.html

§ 30 OWiG, Geldbuße gegen juristische Personen und Personenvereinigungen, https://www.gesetze-im-internet.de/owig_1968/_30.html

§ 130 OWiG, Verletzung der Aufsichtspflicht in Betrieben und Unternehmen, https://www.gesetze-im-internet.de/owig_1968/_130.html

Verordnung (EU) 2022/2554 (DORA), Artikel 5 Governance und Organisation, https://eur-lex.europa.eu/legal-content/DE/TXT/HTML/?uri=CELEX:32022R2554

Verordnung (EU) 2024/1689 (KI-Verordnung), Artikel 4 KI-Kompetenz und Artikel 5 verbotene Praktiken, https://eur-lex.europa.eu/eli/reg/2024/1689/oj?locale=de

Rechtsprechung

OLG Nürnberg, Endurteil vom 30.03.2022 – 12 U 1520/19, https://www.gesetze-bayern.de/Content/Document/Y-300-Z-BECKRS-B-2022-N-9637?hl=true

LG München I, Urteil vom 10.12.2013 – 5 HK O 1387/10 (Siemens/Neubürger), NZG 2014, 345 (ohne Verlinkung)

Aufsicht und Behörden

BaFin, Rundschreiben 11/2025 (BA) zu Mitgliedern der Geschäftsleitung sowie von Verwaltungs- und Aufsichtsorganen, https://www.bafin.de/SharedDocs/Veroeffentlichungen/DE/Rundschreiben/2025/rs_geschaeftsleiter_KWG_ZAG_KAGB.html

BaFin, Meldung vom 22.10.2025 zu Fit and Proper, https://www.bafin.de/SharedDocs/Veroeffentlichungen/DE/Meldung/2025/meldung_2025_10_22_Fit_and_Proper.html

BaFin, Aufsichtsmitteilung mit Umsetzungshinweisen zur DORA, https://www.bafin.de/SharedDocs/Downloads/DE/Anlage/Aufsichtsmitteilung/dl_2024_07_08_Aufsichtsmitteilung_Umsetzungshinweise_DORA.pdf?_blob=publicationFile&v=2

BSI, Schulungspflicht für Geschäftsleitungen nach § 38 BSIG, https://www.bsi.bund.de/SharedDocs/Downloads/DE/BSI/NIS-2/nis-2-geschaeftsleitungsschulung.pdf?_blob=publicationFile&v=7

BSI, Pressemitteilung vom 05.12.2025 zum Inkrafttreten des NIS-2-Umsetzungsgesetzes, https://www.bsi.bund.de/DE/Service-Navi/Presse/Pressemitteilungen/Presse2025/251205_NIS-2-Umsetzungsgesetz_in_Kraft.html

Bundesnetzagentur, Hinweispapier zu KI-Kompetenzen nach Artikel 4 KI-Verordnung, https://www.bundesnetzagentur.de/DE/Fachthemen/Digitales/KI/functions/Hinweispapier.pdf?blob=publicationFile&v=2

Weitere Quellen ohne Verlinkung

Gallup, Engagement Index Deutschland 2025

ISO/IEC 42001:2023, Information technology — Artificial intelligence — Management system

Edmondson, Psychological Safety and Learning Behavior in Work Teams, Administrative Science Quarterly 44 (1999), 350–383

Frazier, Fainshmidt, Klinger, Pezeshkan und Vracheva, Psychological Safety: A Meta-Analytic Review and Extension, Personnel Psychology

Locke und Latham, Building a Practically Useful Theory of Goal Setting and Task Motivation, American Psychologist 57 (2002)

Evidenzbasierter Review zur Wirksamkeit transformationaler Führung, Human Resource Development International (2022)

Mit dem Rundschreiben 09/2026 (WA) hat die BaFin erstmals eigenständige Mindestanforderungen an das Risikomanagement kleiner und mittlerer Wertpapierinstitute veröffentlicht. Die WpI MaRisk gelten ab dem 1. Januar 2027. Betroffene Institute sollten die verbleibende Zeit für eine dokumentierte Umsetzungs- und Lückenanalyse nutzen.

I. Die Kernaussage vorweg: Was ändert sich – und für wen?

Die WpI MaRisk konkretisieren die Anforderungen des Wertpapierinstitutsgesetzes an die ordnungsgemäße Geschäftsorganisation und das Risikomanagement. Sie schaffen einen eigenständigen Aufsichtsrahmen, der auf die Geschäftsmodelle und Risikostrukturen von Wertpapierinstituten zugeschnitten ist.

Erfasst werden:

• Kleine Wertpapierinstitute im Sinne des § 2 Abs. 16 WpIG,
• Mittlere Wertpapierinstitute im Sinne des § 2 Abs. 17 WpIG.

Große Wertpapierinstitute im Sinne des § 2 Abs. 18 WpIG fallen nicht in den unmittelbaren Anwendungsbereich. Für sie gelten aufgrund ihrer aufsichtsrechtlichen Einordnung andere Anforderungen.

Für kleine Institute bedeuten die WpI MaRisk nicht, dass sämtliche für mittlere Institute vorgesehenen Strukturen unverändert übernommen werden müssen. Der Proportionalitätsgrundsatz bleibt ein tragendes Element. Erleichterungen müssen jedoch anhand des konkreten Geschäftsmodells, der Größe, der Komplexität und des Risikoprofils begründet werden. „Klein“ bedeutet daher nicht „anforderungsfrei“.

Das Rundschreiben ist keine Rechtsverordnung und kein Parlamentsgesetz. Es beschreibt jedoch die Verwaltungspraxis der BaFin bei der Auslegung und Anwendung der gesetzlichen Organisationspflichten. Abweichende Lösungen sind damit nicht von vornherein ausgeschlossen. Das Institut muss aber nachvollziehbar darlegen können, dass seine alternative Ausgestaltung die gesetzlichen Anforderungen mindestens gleichwertig erfüllt.

II. Warum jetzt Handlungsbedarf besteht

Die WpI MaRisk gelten ab dem 1. Januar 2027. Die verbleibende Umsetzungszeit ist knapp, weil die Anforderungen nicht lediglich die Erstellung zusätzlicher Richtlinien betreffen. Betroffen sind Organisationsstrukturen, Verantwortlichkeiten, Risikodaten, Kontrollfunktionen, Berichtswege, Auslagerungsverträge und teilweise auch die IT-Unterstützung.

Nach dem Begleitschreiben der BaFin bleibt bis zum 31. Dezember 2026 grundsätzlich die sinngemäße Anwendung der MaRisk für Kreditinstitute in der Fassung der 8. Novelle maßgeblich. Die Änderungen der 9. MaRisk-Novelle müssen Wertpapierinstitute in diesem Übergangszeitraum nicht zwingend umsetzen. Daraus folgt allerdings keine Schonfrist über den 1. Januar 2027 hinaus.

Besonderer Handlungsbedarf besteht, wenn ein Institut bislang:

• keine auf das WpIG zugeschnittene Risikoinventur durchführt,
• Risiken für Kunden, Markt und Institut nicht systematisch zusammenführt,
• über keine dokumentierte Kapitalplanung mit adverser Entwicklung verfügt,
• Proportionalitätserleichterungen nur mit der Mitarbeiterzahl begründet,
• Kontrollfunktionen personell oder organisatorisch nicht hinreichend getrennt hat,
• Auslagerungen und IKT-Drittdienstleistungen nicht sauber voneinander abgrenzt,
• vertraglich gebundene Vermittler nicht in das Risikomanagement einbezieht,
• oder keine konsistente Verzahnung zwischen WpI MaRisk und DORA hergestellt hat.

Die BaFin wird künftig nicht nur prüfen können, ob einzelne Dokumente vorhanden sind. Entscheidend ist, ob die Regelungen im laufenden Betrieb tatsächlich angewendet, überwacht und bei Änderungen angepasst werden.

III. Fristen, Anwendungszeitpunkt und Übergangsregeln

Die finale Fassung wurde am 24. August 2026 als Rundschreiben 09/2026 (WA) veröffentlicht. Sie ist ab dem 1. Januar 2027 anzuwenden.

Für die Umsetzung bedeutet dies:

• Bis zum 31. Dezember 2026 bleibt die sinngemäße Anwendung der für Kreditinstitute geltenden MaRisk in der Fassung der 8. Novelle maßgeblich.
• Die Änderungen der 9. MaRisk-Novelle müssen Wertpapierinstitute in diesem Übergangszeitraum nach der Klarstellung der BaFin nicht zwingend berücksichtigen.
• Ab dem 1. Januar 2027 erwartet die BaFin die Anwendung der WpI MaRisk.
• Eine allgemeine nachgelagerte Umsetzungsfrist lässt sich dem Rundschreiben nicht entnehmen.
• Bereits vor dem Stichtag bestehende Mängel der Geschäftsorganisation werden durch die Übergangsregelung nicht legitimiert.

Institute sollten deshalb nicht darauf setzen, dass eine nach dem 1. Januar 2027 noch laufende Projektplanung als ausreichende Umsetzung anerkannt wird. Zum Stichtag müssen zumindest die erforderlichen Strukturen, Verantwortlichkeiten, Methoden, Kontrollen und Berichtswege eingerichtet und funktionsfähig sein.

IV. Konkrete Pflichten und betroffene Funktionen

1. Risikoinventur und Gesamtrisikoprofil

Das Institut muss regelmäßig und anlassbezogen sein Gesamtrisikoprofil ermitteln und beurteilen, welche Risiken wesentlich sind. Einzubeziehen sind insbesondere:

• Risiken für Kunden,
• Risiken für den Markt,
• Risiken für das Wertpapierinstitut,
• sonstige wesentliche Risiken,
• Liquiditätsrisiken,
• IKT-Risiken,
• ESG-Risiken als mögliche Risikotreiber.

Die Risikoinventur darf nicht bei einer abstrakten Risikoliste stehen bleiben. Sie muss das tatsächliche Geschäftsmodell, Produkte, Kundengruppen, Vertriebswege, Auslagerungen, technische Abhängigkeiten und geplante Veränderungen abbilden.

Für kleine Wertpapierinstitute bestehen proportionale Erleichterungen. Die Entscheidung, ein Risiko als unwesentlich zu behandeln, muss dennoch sachlich begründet, dokumentiert und regelmäßig überprüft werden.

2. Risikotragfähigkeit, Kapitalplanung und Stresstests

Die detaillierten Anforderungen an die Risikotragfähigkeit richten sich grundsätzlich an mittlere Wertpapierinstitute. Diese müssen Risiken und verfügbare Risikodeckungspotenziale in einer belastbaren Gesamtsicht zusammenführen.

Eine Kapitalplanung ist dagegen sowohl von kleinen als auch von mittleren Wertpapierinstituten vorzuhalten. Sie muss neben dem Planszenario mindestens ein adverses Szenario berücksichtigen. Das adverse Szenario sollte institutsspezifische Belastungen abbilden und darf nicht lediglich aus einer pauschalen Kürzung der Planzahlen bestehen.

Mittlere Wertpapierinstitute müssen zusätzlich regelmäßig Stresstests durchführen. Dabei sind auch Wechselwirkungen und Konzentrationen zu berücksichtigen. Ein isolierter Stresstest je Risikoart kann unzureichend sein, wenn sich beispielsweise Marktverluste, Liquiditätsabflüsse, Kundenentschädigungen und operative Störungen gegenseitig verstärken.

3. Geschäftsleitung und Aufsichtsorgan

Die Geschäftsleitung trägt die Gesamtverantwortung für eine ordnungsgemäße Geschäftsorganisation. Dazu gehören insbesondere:

• Festlegung der Geschäfts- und Risikostrategie,
• Einrichtung angemessener Risikosteuerungs- und Kontrollprozesse,
• Festlegung klarer Zuständigkeiten,
• angemessene personelle und technische Ausstattung,
• Kenntnisnahme und Bewertung wesentlicher Risikoberichte,
• rechtzeitige Reaktion auf Mängel und Eskalationen.

Aufgaben dürfen delegiert werden; die Gesamtverantwortung der Geschäftsleitung entfällt dadurch nicht. Geschäftsleiter müssen sich in einer ihrer Verantwortung entsprechenden Weise informieren und die Wirksamkeit der Organisation überwachen.

Das Aufsichtsorgan muss die Geschäftsleitung wirksam kontrollieren können. Dafür benötigt es rechtzeitige, verständliche und entscheidungsrelevante Informationen. Umfangreiche Berichte genügen nicht, wenn wesentliche Risiken, Grenzwertverletzungen oder Umsetzungsdefizite darin nicht erkennbar sind.

4. Compliance, Risikomanagement und Interne Revision

Eine Compliance-Funktion ist einzurichten. Ihre Aufgaben, Befugnisse, Informationsrechte und Berichtswege müssen eindeutig geregelt sein. Sie muss ihre Überwachungsaufgaben sachgerecht und mit ausreichender Unabhängigkeit wahrnehmen können.

Eine unabhängige Risikomanagement-Funktion und eine Interne Revision sind einzurichten, soweit dies unter Berücksichtigung von Art, Umfang und Komplexität der Geschäfte angemessen und verhältnismäßig ist. Der Verzicht auf eine eigenständige Funktion ist daher keine freie Organisationsentscheidung, sondern bedarf einer tragfähigen Proportionalitätsbegründung.

Wesentliche Aktivitäten und Prozesse sind durch die Interne Revision grundsätzlich innerhalb eines Dreijahreszyklus zu prüfen. Risikoreiche Sachverhalte können kürzere Prüfungsintervalle erfordern. Für Institute mit weniger als zehn Mitarbeitern beziehungsweise Vollzeitäquivalenten bestehen unter bestimmten Voraussetzungen Erleichterungen. Auch dann müssen Interessenkonflikte beherrscht und eine wirksame Kontrolle sichergestellt werden.

5. Auslagerungen und DORA

AT 9 der WpI MaRisk enthält Anforderungen an:

• die Wesentlichkeits- und Risikoanalyse,
• die Vertragsgestaltung,
• die Steuerung und Überwachung,
• Weiterverlagerungen,
• Ausstiegs- und Notfallkonzepte,
• das zentrale Auslagerungsmanagement.

Ausgelagerte oder fremdbezogene IKT-Dienstleistungen im Sinne des Art. 3 Nr. 21 DORA, die dem IKT-Drittparteienrisikomanagement nach Art. 28 bis 30 DORA unterliegen, werden nicht zusätzlich nach AT 9 behandelt. Diese Abgrenzung soll Doppelregulierung vermeiden, schafft aber keinen kontrollfreien Bereich.

Institute benötigen ein nachvollziehbares Klassifikationsverfahren:

1. Handelt es sich um eine IKT-Dienstleistung im Sinne der DORA?
2. Unterliegt sie dem IKT-Drittparteienrisikomanagement der Art. 28 bis 30 DORA?
3. Liegt daneben eine Auslagerung nicht-IKT-bezogener Aktivitäten oder Prozesse vor?
4. Welche Anforderungen gelten bei gemischten Vertrags- und Leistungsstrukturen?

Die Bezeichnung des Vertrags durch den Dienstleister ist nicht entscheidend. Maßgeblich sind Inhalt und tatsächliche Durchführung der bezogenen Leistung.

V. Praxisprobleme und absehbare Prüfungsfeststellungen

Da die finalen WpI MaRisk erst ab dem 1. Januar 2027 gelten, kann noch nicht von einer gefestigten Prüfungspraxis gesprochen werden. Aus den Anforderungen lassen sich jedoch besonders relevante Prüffelder ableiten:

• unvollständige oder ausschließlich formale Risikoinventuren,
• nicht dokumentierte Wesentlichkeitsentscheidungen,
• unzureichende Berücksichtigung von Kunden- und Marktrisiken,
• pauschale Behandlung von ESG-Risiken ohne institutsspezifische Analyse,
• fehlende Integration von IKT-Risiken,
• Kapitalplanung ohne plausibles adverses Szenario,
• Stresstests ohne Wechselwirkungen und Konzentrationsrisiken,
• fehlende Trennung unvereinbarer Aufgaben,
• Kontrollfunktionen ohne ausreichende Ressourcen oder Informationsrechte,
• verspätete oder unvollständige Berichte an Geschäftsleitung und Aufsichtsorgan,
• nicht eingehaltene Revisionszyklen,
• fehlende Überwachung vertraglich gebundener Vermittler,
• unvollständige Auslagerungsregister,
• fehlende Ausstiegs- und Notfallplanungen,
• fehlerhafte Abgrenzung zwischen AT 9 und DORA,
• Proportionalitätserleichterungen ohne belastbare Begründung.

Besonders angreifbar ist eine Organisation, die auf dem Papier angemessen erscheint, im tatsächlichen Betrieb aber keine nachweisbaren Kontrollen, Eskalationen oder Managemententscheidungen erkennen lässt.

Haftungs- und Sanktionsrisiken

Die WpI MaRisk enthalten keinen eigenen Bußgeldkatalog. Verstöße können jedoch auf eine Verletzung der gesetzlichen Organisationspflichten des WpIG hindeuten und aufsichtsrechtliche Maßnahmen auslösen.

Je nach Art und Schwere eines Mangels kommen insbesondere in Betracht:

• Anordnungen zur Herstellung einer ordnungsgemäßen Geschäftsorganisation,
• Beanstandungen im Rahmen von Prüfungen,
• zusätzliche Eigenmittelanforderungen,
• Anforderungen an Geschäftsleiter oder Kontrollfunktionen,
• Einschränkungen des Geschäftsbetriebs,
• Maßnahmen gegen Geschäftsleiter,
• in schwerwiegenden Fällen Auswirkungen auf die Erlaubnis.

Die persönliche Verantwortlichkeit eines Geschäftsleiters entsteht nicht automatisch mit jeder Abweichung vom Rundschreiben. Maßgeblich sind die zugrunde liegende gesetzliche Pflicht, die konkrete Aufgabenverteilung, die Erkennbarkeit des Mangels, das Vertretenmüssen und gegebenenfalls ein eingetretener Schaden.

Gesellschaftsrechtlich können insbesondere § 43 GmbHG oder § 93 AktG einschlägig sein. Für Vorstandsmitglieder bestimmt § 93 Abs. 2 Satz 2 AktG, dass sie im Haftungsstreit darzulegen und zu beweisen haben, die Sorgfalt eines ordentlichen und gewissenhaften Geschäftsleiters angewandt zu haben. Eine ordnungsgemäße Dokumentation von Risikoentscheidungen, Ressourcenzuweisungen und Überwachungsmaßnahmen ist deshalb auch haftungsrechtlich relevant.

Die Business-Judgment-Rule des § 93 Abs. 1 Satz 2 AktG schützt unternehmerische Ermessensentscheidungen unter ihren Voraussetzungen. Sie rechtfertigt jedoch grundsätzlich keine bewusste Missachtung zwingender gesetzlicher oder aufsichtsrechtlicher Anforderungen. Bei der konkreten Ausgestaltung proportionaler Maßnahmen kann dagegen ein begründeter Entscheidungsspielraum bestehen.

Eine allgemeine Beweislastumkehr begründen die WpI MaRisk nicht. Praktisch trägt das Institut aber eine erhebliche Darlegungs- und Dokumentationslast: Wer eine Erleichterung, alternative Umsetzung oder Unwesentlichkeit eines Risikos in Anspruch nimmt, muss die zugrunde liegende Bewertung gegenüber der Aufsicht nachvollziehbar erklären können.

VI. Umsetzungsfahrplan: Was jetzt zu tun ist

Phase 1: Anwendungsbereich und Governance

Zunächst ist verbindlich festzustellen, ob das Institut als kleines oder mittleres Wertpapierinstitut einzuordnen ist. Anschließend sind Projektverantwortung, Geschäftsleitungszuständigkeit und Berichtswege festzulegen.

Phase 2: Gap-Analyse

Die vorhandene Organisation ist systematisch mit sämtlichen Modulen der WpI MaRisk abzugleichen. Die Analyse sollte nicht nur Richtlinien erfassen, sondern auch tatsächliche Prozesse, Daten, Kontrollen, Verträge und personelle Kapazitäten.

Phase 3: Risikoinventur und Methoden

Risikotaxonomie, Wesentlichkeitskriterien, Gesamtrisikoprofil und anlassbezogene Aktualisierung sind zu überarbeiten. Für mittlere Institute sind zusätzlich Risikotragfähigkeits- und Stresstestverfahren anzupassen.

Phase 4: Kontrollfunktionen

Mandat, Unabhängigkeit, Ressourcen und Vertretung von Compliance, Risikomanagement und Interner Revision sind zu prüfen. Etwaige Erleichterungen müssen einzeln begründet werden.

Phase 5: Auslagerungen und DORA-Abgrenzung

Sämtliche Fremdbezüge sind zu inventarisieren und als Auslagerung, IKT-Dienstleistung oder sonstiger Fremdbezug einzuordnen. Verträge, Risikoanalysen, Register, Überwachung und Exit-Pläne sind anschließend anzupassen.

Phase 6: Implementierung und Wirksamkeitstest

Überarbeitete Prozesse müssen vor dem 1. Januar 2027 praktisch getestet werden. Dazu gehören insbesondere Berichtswege, Eskalationen, Grenzwertverletzungen, Notfallverfahren und die Datenlieferung externer Dienstleister.

Phase 7: Managementfreigabe

Die Geschäftsleitung sollte sich nicht nur den Projektabschluss bestätigen lassen. Sie sollte eine zusammenfassende Bewertung der verbleibenden Risiken, offenen Maßnahmen und beanspruchten Proportionalitätserleichterungen beschließen und dokumentieren.

VII. Checkliste für Geschäftsleitung, Compliance und Projektleitung

• Ist die Einordnung als kleines oder mittleres Wertpapierinstitut aktuell und dokumentiert?
• Wurde der vollständige Anwendungsbereich der WpI MaRisk ermittelt?
• Liegt eine belastbare Gap-Analyse vor?
• Sind Geschäfts- und Risikostrategie konsistent?
• Erfasst die Risikoinventur Kunden-, Markt-, Instituts-, Liquiditäts- und IKT-Risiken?
• Werden ESG-Risiken als Risikotreiber berücksichtigt?
• Sind Wesentlichkeitsentscheidungen nachvollziehbar begründet?
• Verfügt das Institut über eine Kapitalplanung mit adverser Entwicklung?
• Sind bei mittleren Instituten Risikotragfähigkeit und Stresstests angemessen ausgestaltet?
• Sind Verantwortlichkeiten und unvereinbare Tätigkeiten klar geregelt?
• Verfügen Kontrollfunktionen über ausreichende Ressourcen und Informationsrechte?
• Sind beanspruchte Proportionalitätserleichterungen einzeln dokumentiert?
• Deckt der Revisionsplan alle wesentlichen Aktivitäten grundsätzlich innerhalb von drei Jahren ab?
• Sind vertraglich gebundene Vermittler in das Risikomanagement einbezogen?
• Ist jeder relevante Fremdbezug als Auslagerung, IKT-Dienstleistung oder sonstiger Fremdbezug klassifiziert?
• Sind WpI MaRisk und DORA ohne Lücken oder widersprüchliche Doppelprozesse verzahnt?
• Bestehen belastbare Ausstiegs-, Notfall- und Eskalationsverfahren?
• Kann die tatsächliche Durchführung der Kontrollen nachgewiesen werden?
• Ist die vollständige Umsetzung zum 1. Januar 2027 realistisch abgesichert?
• Hat die Geschäftsleitung die Umsetzung und verbleibende Risiken förmlich behandelt?

? WpI MaRisk 2026/2027: Stichtag 1. Januar 2027 sicher erreichen

Risikoinventur, Proportionalitäts-Matrix & DORA-Verzahnung für Wertpapierinstitute:

Die neuen Mindestanforderungen der BaFin (Rundschreiben 09/2026) verlangen von kleinen und mittleren Instituten den sofortigen Aufbau prüfungssicherer Strukturen. „Klein“ bedeutet nicht mehr anforderungsfrei – Erleichterungen müssen gerichtsfest begründet werden.

Wie Geschäftsleiter, Compliance-Beauftragte und Risikomanager die Gap-Analyse durchführen, Kontrollfunktionen ausstatten und das Auslagerungsmanagement nach AT 9 rechtssicher aufstellen, vermittelt unser kompakter Zertifikatslehrgang.

? Jetzt Platz sichern: Zum S+P Lehrgang MaRisk & WpHG Compliance für Wertpapierinstitute

(Inklusive Muster-Readiness-Analyse, Prüf-Checklisten & S+P Certified Nachweis)

VIII. Fazit und nächster sinnvoller Schritt

Die WpI MaRisk machen das Proportionalitätsprinzip für Wertpapierinstitute konkret, schaffen aber keine pauschale Entlastung für kleine Häuser. Je schlanker die Organisation ist, desto wichtiger werden klare Zuständigkeiten, funktionierende Vertretungsregelungen und eine belastbare Begründung vereinfachter Strukturen.

Für die Geschäftsleitung liegt das wesentliche Risiko nicht in jeder einzelnen Abweichung von einem Detail des Rundschreibens. Kritisch wird es, wenn wesentliche Risiken nicht erkannt, Zuständigkeiten nicht geklärt, Kontrollfunktionen nicht wirksam ausgestattet oder bekannte Mängel nicht rechtzeitig behoben werden.

Der nächste sinnvolle Schritt ist eine dokumentierte WpI-MaRisk-Readiness-Analyse. Sie sollte neben dem Soll-Ist-Abgleich eine Entscheidungsmatrix zur Proportionalität, ein DORA-/AT-9-Mapping sowie einen von der Geschäftsleitung bestätigten Maßnahmenplan enthalten. Verantwortliche, Fristen, Abhängigkeiten und erforderliche Wirksamkeitsnachweise sollten darin verbindlich festgelegt werden.

Rechtsstand: 8. September 2026. Der Beitrag bietet einen allgemeinen Überblick und ersetzt keine Prüfung des konkreten Instituts und seiner Geschäftsorganisation.

Autorin: Emma Collins

Emma Collins treibt die Themen Leadership, Governance und strategische Transformation im S+P Leadership Hub voran. Ihr Ziel: Innovative Ansätze in greifbare Tools zu übersetzen, damit Führungskräfte auch in komplexen Szenarien handlungsfähig und strategisch sicher bleiben.

S+P Editorial Team

IX. Quellenverzeichnis

1. Verordnung (EU) 2022/2554 – DORA Verweisung: Verordnung (EU) 2022/2554 des Europäischen Parlaments und des Rates vom 14. Dezember 2022 über die digitale operationale Resilienz im Finanzsektor (DORA):https://eur-lex.europa.eu/…:32022R2554, abgerufen am 08.09.2026.
2. § 2 WpIG Verweisung: § 2 Begriffsbestimmungen, Gesetz zur Beaufsichtigung von Wertpapierinstituten (Wertpapierinstitutsgesetz – WpIG):https://www.gesetze-im-internet.de/…, abgerufen am 08.09.2026.
3. BaFin-Rundschreiben 09/2026 (WA) – WpI MaRisk Verweisung: Bundesanstalt für Finanzdienstleistungsaufsicht (BaFin), Rundschreiben 09/2026 (WA) – Mindestanforderungen an das Risikomanagement von Wertpapierinstituten (WpI MaRisk):https://www.bafin.de/…, abgerufen am 08.09.2026.
4. Begleitschreiben der BaFin Verweisung: Bundesanstalt für Finanzdienstleistungsaufsicht (BaFin), Begleitschreiben zum Rundschreiben 09/2026 (WA) – WpI MaRisk:https://www.bafin.de/…, abgerufen am 08.09.2026.