ESG-Risikoplan und MaRisk ESG 2026: Die 9. MaRisk-Novelle für LSIs erklärt

Am 24. September 2026 stellt die BaFin in Frankfurt die Ergebnisse des LSI-Stresstests vor: rund 1.100 Sparkassen, Volksbanken und Genossenschaftsbanken haben dort ihre Klimarisiken erstmals unter dem neuen Pflichtenrahmen geliefert. Wer den Termin als reine Pflichtübung versteht, hat das Wesentliche verpasst. Seit dem 1. April 2026 ist MaRisk ESG keine aufsichtliche Erwartung mehr, sondern über § 26c und § 26d KWG gesetzliche Pflicht. Die 9. MaRisk-Novelle, deren finale Fassung Ende Juni 2026 ohne Übergangsfrist in Kraft treten soll, ändert für Regionalbanken zwei Dinge fundamental: Klimastresstests und Resilienzanalysen über mindestens zehn Jahre werden verbindlich, und ESG-Risiken sind nicht mehr ein Querschnittsthema, sondern ein Risikotreiber, der in jede wesentliche Risikoart einzubetten ist.

Warum MaRisk ESG 2026 eine andere Qualität hat

Bis 2025 war ESG in der MaRisk ein Erwartungsfeld. Die Aufsicht erwartete Auseinandersetzung, prüfte aber nicht hart, weil die Rechtsgrundlage fehlte. Das ist vorbei. Mit dem Bankenrichtlinienumsetzungs- und Bürokratieentlastungsgesetz (BRUBEG) wurde am 1. April 2026 der neue § 26c KWG eingeführt. Die Norm setzt Artikel 87a der überarbeiteten Eigenkapitalrichtlinie CRD VI um und verankert ESG-Risiken gesetzlich als Risikotreiber in allen wesentlichen Risikoarten: Adressenausfall, Marktpreis, Liquidität, operationelles Risiko. Parallel dazu verpflichtet § 26d KWG zur Aufstellung eines ESG-Risikoplans mit messbaren Zielen und einem Zeithorizont von mindestens zehn Jahren.

Die BaFin bezeichnet die 9. MaRisk-Novelle ausdrücklich als Konkretisierung des § 26c KWG. Damit verschiebt sich das Thema vom aufsichtlichen Erwartungsraum in einen klaren gesetzlichen Pflichtenrahmen. Wer als Vorstand einer Sparkasse oder Genossenschaftsbank bisher mit dem Argument operiert hat, ESG sei „best effort" und es gebe ja keine harte Pflicht, hat dieses Argument verloren. Die Aufsicht prüft jetzt gegen ein Gesetz, nicht gegen ein Rundschreiben.

Wichtig für die Einordnung: BaFin ESG-Anforderungen treffen LSIs anders als bedeutende Institute. Ab einer Bilanzsumme von 30 Mrd. € fallen Institute unter die direkte EZB-Aufsicht, dort gilt die MaRisk nicht. Für LSIs zwischen 0,5 und 30 Mrd. € ist die 9. MaRisk-Novelle der zentrale Rahmen. Die EBA-Leitlinien EBA/GL/2025/01 (anzuwenden ab 11. Januar 2026, für SNCIs ab 11. Januar 2027) und EBA/GL/2025/04 (in Kraft seit 4. November 2025) werden in Deutschland über das „Comply-or-Explain"-Verfahren via MaRisk verbindlich. Eine direkte eigene Prüfung aller EBA-Passagen ist für LSIs nicht erforderlich, maßgeblich ist die MaRisk-Fassung.

Was die 9. MaRisk-Novelle konkret verlangt

Die Konsultationsfassung der 9. MaRisk-Novelle (Rundschreiben xx/2026 BA) wurde am 1. April 2026 veröffentlicht, die Konsultationsfrist endete am 8. Mai 2026. Die BaFin strebt eine Veröffentlichung der finalen Fassung mit sofortigem Inkrafttreten Ende Juni 2026 an, ohne reguläre Übergangsfrist. Für die Vorstände bedeutet das: Was heute als Konsultationstext vorliegt, ist mit hoher Wahrscheinlichkeit die finale Pflicht in drei bis vier Monaten.

Zwei MaRisk-Passagen sind für MaRisk ESG zentral:

Eine Besonderheit, die in der Praxis oft übersehen wird: Inverse Stresstests sind nur für mittlere und größere LSIs Pflicht. Sehr kleine Institute und SNCIs sind davon ausgenommen. Wer in dieser Größenordnung agiert, sollte nicht aus Übereifer aufwendige inverse Szenarien rechnen, sondern qualitative Sensitivitätsanalysen dokumentiert vorhalten.

Ein Punkt, der für viele Häuser unangenehm wird: Die Aufsicht erwartet die Integration der Ergebnisse in die Geschäfts- und Risikostrategie. Wenn der Klimastresstest aussagt, dass das Kreditportfolio in zehn Jahren strukturelle Probleme hat, dann muss das Konsequenzen in der mittelfristigen Planung haben. Sonst ist der Stresstest nur Theater.

Größenklassen: Wer muss wie viel liefern?

Das Proportionalitätsprinzip ist in der 9. MaRisk-Novelle deutlich schärfer ausformuliert als in früheren Fassungen. AT 1 Tz. 3 unterteilt LSIs in drei Klassen:

Ein häufiges Missverständnis: SNCI heißt nicht automatisch „weniger streng", sondern „andere Methodik zulässig". Ein SNCI mit hohem Anteil energieintensiver Firmenkundenkredite kann materiell genauso betroffen sein wie ein mittleres LSI. Die Größenklasse entscheidet über die Methode, nicht über die Substanz.

Wichtig ist auch: Ab 30 Mrd. € endet die MaRisk-Welt. Diese Institute unterliegen direkt der EZB-Aufsicht und damit dem SSM-Rahmen. Wer sich in einer Wachstumsphase befindet und auf diese Schwelle zusteuert, sollte den Übergang früh planen, denn die EZB-Anforderungen sind nochmals deutlich schärfer.

NGFS, IPCC und der Streit um die richtigen Szenarien

Weder MaRisk noch EBA/GL/2025/04 schreiben ein bestimmtes Szenarioset zwingend vor. Sie verlangen aber „wissenschaftliche Fundierung", was praktisch auf zwei Quellen hinausläuft: NGFS-Szenarien und IPCC-SSP-Pfade. Beide haben unterschiedliche Stärken. Wie die kreditnehmende Realwirtschaft mit denselben NGFS-Szenarien ihren Transitionsplan rechnet, ist für die Beurteilung von Firmenkunden aufschlussreich.

Das NGFS hat im April 2026 seine Phase-V-Szenarien veröffentlicht, gemeinsam mit dem Potsdam-Institut für Klimafolgenforschung. Neu in dieser Generation ist eine erweiterte Schadensfunktion, die wirtschaftliche Folgen von Klimaschocks umfassender modelliert. Die Szenarien decken Zeithorizonte bis 2100 ab und sind speziell auf finanzielle Risiken zugeschnitten. Im Mai 2025 hat das NGFS erstmals auch Kurzfrist-Szenarien (bis 2030) veröffentlicht, die für klassische Klimastresstests besser geeignet sind als die langfristigen Pfade.

IPCC-SSP-Szenarien (Shared Socioeconomic Pathways) sind dagegen primär klimawissenschaftlich angelegt und enthalten keine direkte Finanzrisikomodellierung. Für die Auswahl der richtigen Klimaszenarien empfehle ich in der Praxis: NGFS Phase V als Hauptanker (regulatorisch klar referenziert) und IPCC AR6 als Validierungsschicht bei physischen Risiken.

Eine Falle, die ich häufig sehe: Banken rechnen mit einem einzigen optimistischen Szenario (etwa „Net Zero 2050") und vergessen, dass die MaRisk ausdrücklich mindestens ein adverses Szenario verlangt. Das Bundesbank-Diskussionspapier 11/2025 (Gross et al., Mai 2025) hat für ein solches Net-Zero-2050-Szenario gezeigt, dass die Ausfallwahrscheinlichkeit (PD) für nicht-finanzielle Unternehmen nach drei Jahren im Mittel um bis zu 40 Prozent steigen kann, am stärksten betroffen sind Landwirtschaft, Versorger und Transport. Das ist kein adverses Szenario, das ist das geordnete Transformationsszenario. Wer hier optimistisch rechnet, unterschätzt das eigene Risiko strukturell.

Physische Risiken vs. Transitionsrisiken: Was Banken unterschätzen

Aus der BaFin-Erhebung 2025 stammt eine Zahl, die jede Vorstandssitzung wert ist: 70 Prozent der Banken berichten Datenprobleme bei der Erhebung physischer Risiken. Gleichzeitig sehen nur 10 Prozent der Banken eine materielle Auswirkung physischer Klimarisiken auf ihr Geschäft (gegenüber 50 Prozent bei Versicherern). Die BaFin kritisiert diese Einschätzung methodisch als fragwürdig, und ich teile diese Kritik aus der Praxis.

Was ich in Projekten regelmäßig sehe: Banken konzentrieren sich auf Transitionsrisiken (CO₂-Preis, Stranded Assets, Sektorausschluss), weil hier die Daten sauberer und die Modellierung einfacher sind. Physische Klimarisiken (Hochwasser, Sturm, Hitze, Dürre) bleiben unter dem Radar, obwohl sie für Hypotheken- und Mittelstandsportfolios direkt durchschlagen. Eine Sparkasse mit Schwerpunkt Wohnimmobilienfinanzierung an einem Mittelgebirgsfluss hat strukturell ein anderes physisches Risikoprofil als eine Genossenschaftsbank in der norddeutschen Tiefebene.

Mein Standpunkt dazu ist deutlich: Eine MaRisk-konforme Klimarisikoanalyse, die physische Risiken auf qualitative Floskeln reduziert, wird die Prüfung nicht überstehen. Die BaFin hat das Thema explizit auf dem Schirm. Wer hier liefern will, braucht georeferenzierte Portfoliodaten und mindestens den DWD-Klimaatlas plus ZÜRS-Hochwasserdaten als methodische Basis. Eine systematische Übersicht der offenen Klimadatenquellen für das Klimarisikomanagement habe ich an anderer Stelle aufgeschrieben.

Für die methodische Tiefe lohnt sich der Blick auf den ISO-14091-Standard als Goldstandard für Klimarisikoanalysen ab 2026, der zwar primär für CSRD-Reporting konzipiert wurde, aber methodische Bausteine liefert, die auch in der MaRisk-Welt tragen. Wer die Trennung von physischen und Transitionsrisiken sauber durchzieht, hat einen entscheidenden Vorteil in der Risikoinventur.

EBA/GL/2025/01: Die Wesentlichkeitsanalyse, die viele überspringen

Die MaRisk ist nicht die einzige Quelle. Die Europäische Bankenaufsichtsbehörde hat am 8. Januar 2025 die Leitlinien zum Management von ESG-Risiken veröffentlicht (EBA/GL/2025/01). Sie gelten seit dem 11. Januar 2026 für Institute unter direkter EZB-Aufsicht, für kleine und nicht komplexe Institute (SNCI) spätestens ab dem 11. Januar 2027. Für ein LSI heißt das: Die MaRisk beschreibt den deutschen Pflichtenrahmen, die EBA-Leitlinie die europäische Methodik, gegen die eure Umsetzung später gemessen wird.

Der Teil, der in der Praxis am häufigsten fehlt, ist die ESG-Wesentlichkeitsanalyse. Die Leitlinien verlangen sie regelmäßig, mindestens jährlich, für SNCIs alle zwei Jahre. Sie ist etwas anderes als die doppelte Wesentlichkeitsanalyse aus der Nachhaltigkeitsberichterstattung: Hier geht es ausschließlich um die finanzielle Wirkungsrichtung, also darum, welche ESG-Faktoren über welchen Zeithorizont auf welche wesentliche Risikoart durchschlagen. Wer die CSRD-Materialitätsanalyse eins zu eins übernimmt, liefert das falsche Dokument.

Was eine prüfungsfeste Analyse mindestens enthält:

• Transmissionskanäle je Risikoart. Nicht „Klimarisiko ist wesentlich", sondern: über welchen Mechanismus wirkt welcher Faktor auf Adressenausfall, Marktpreis, Liquidität, operationelles Risiko.
• Drei Zeithorizonte. Kurz, mittel und lang, wobei lang nach § 26d KWG mindestens zehn Jahre bedeutet. Genau daran scheitern Analysen, die den Fünfjahreshorizont der Mittelfristplanung übernehmen.
• Portfolio- und Sektorbezug. Die Konzentration im Kreditportfolio entscheidet über Wesentlichkeit, nicht der allgemeine Klimadiskurs. Ein Institut mit Schwerpunkt Landwirtschaft hat ein anderes Profil als eines mit gewerblichen Immobilien.
• Nachvollziehbare Datenherkunft. Welche Quelle, welcher Stand, welche Annahme bei Lücken. Für die methodische Struktur dahinter ist die ISO 14091 der brauchbarste Referenzrahmen, weil sie Gefahr, Exposition und Vulnerabilität sauber trennt.

Die Analyse ist kein Selbstzweck. Sie ist die Begründung dafür, warum ihr bestimmte Risiken quantifiziert und andere qualitativ behandelt. Ohne sie steht jede Proportionalitätsentscheidung in der Prüfung ohne Fundament da.

Der ESG-Risikoplan nach § 26d KWG

Der zweite Pflichtstrang neben MaRisk AT 4.3.3 Tz. 7 ist der ESG-Risikoplan nach § 26d KWG. Was steht dort? Institute müssen einen spezifischen Plan zur Überwachung und Steuerung der finanziellen Risiken aus ESG-Faktoren über kurze, mittlere und lange Horizonte (mindestens zehn Jahre) erstellen. Der Plan muss angemessene und quantifizierbare Ziele, Kennzahlen und Überwachungsverfahren festlegen.

In der Praxis bedeutet das vier Bausteine:

• Strategische Zielwerte für ESG-Risikometriken (etwa: PD-Aufschläge in adversen Szenarien, Anteil energieeffizienter Immobilien im Hypothekenportfolio).
• Sektor- und Portfolio-Steuerung über Limits, Konzentrationsbegrenzungen und ggf. Ausschlusslisten.
• Datenarchitektur, die ESG-Kennzahlen so liefert, dass sie in die Risikosteuerung einfließen können, nicht nur in einen Jahresbericht.
• Governance, also klare Verantwortung im Vorstand, Reporting-Linien und Quartalsrhythmus.

Ich sehe in der Praxis zwei Anti-Patterns. Erstens: ESG-Risikopläne, die wie eine PR-Broschüre klingen („Wir bekennen uns zu …"). Das ist nicht der Sinn des § 26d KWG. Die Aufsicht will quantifizierbare Ziele und Kennzahlen, keine Bekenntnisse. Zweitens: Pläne, die nicht mit dem ICAAP verzahnt sind. Ein ESG-Risikoplan, der losgelöst vom Kapitalplanungsprozess existiert, ist eine Compliance-Akte ohne Steuerungswirkung.

LSI-Stresstest 2026 und der 24. September

Parallel zur Pflicht aus der 9. MaRisk-Novelle läuft seit dem 1. April 2026 der LSI-Stresstest 2026. Rund 1.100 deutsche LSIs nehmen teil. Die Ergebnisse werden am 24. September 2026 in Frankfurt von BaFin und Bundesbank vorgestellt. Im Gegensatz zu vorherigen Runden enthält der Test eine ausgeweitete Klimakomponente, die direkt auf die neuen § 26c/26d-Anforderungen abstellt.

Was bedeutet das für Häuser, die nicht direkt am LSI-Stresstest teilnehmen oder erst künftig hineinwachsen? Die Aufsicht wird die Methodik und die Ergebnisse als Referenz für ihre eigenen Prüfungen verwenden. Wer in den nächsten zwölf Monaten eine MaRisk-Prüfung erwartet, sollte die Veröffentlichung am 24. September genau auswerten, um zu erkennen, welche Schwächen die Aufsicht in der Breite sieht und wo sie ihre Prüfungsschwerpunkte legen wird.

Für Sparkassen liefern die DSGV-Strukturen (ESG Risk Radar der Sparkassenstiftung mit der Hochschule Kempten, S-Servicepartner, Finanz Informatik mit OSPlus) heute eine pragmatische Infrastruktur. Im Volksbankenverbund sind Atruvia und SkenData (mit energetischen Gebäudedaten) die zentralen Anbieter. Für vdp- und ZIA-Mitglieder ist der im Mai 2025 veröffentlichte Standard mit 9 KPIs und 29 Datenpunkten der Branchenkonsens für Immobilienportfolios.

ESG im Kreditprozess: Wo die Anforderung wirklich ankommt

Bei Regionalbanken ist das Adressenausfallrisiko die mit Abstand größte Risikoart. Wenn § 26c KWG die Einbettung von ESG-Risiken in alle wesentlichen Risikoarten verlangt, entscheidet sich die Umsetzung also im Kreditgeschäft, nicht im Nachhaltigkeitsbericht. Drei Stellen im Prozess sind betroffen.

Kreditwürdigkeitsprüfung. ESG-Faktoren gehen als Treiber des Ausfallrisikos in die Bonitätsanalyse ein. Für ein produzierendes Firmenkundenengagement heißt das Transitionsrisiko: CO₂-Kostenexposition, Abhängigkeit von emissionsintensiven Prozessen, Investitionsstau bei der Umstellung. Viele Institute erheben diese Angaben inzwischen über standardisierte Bögen. Wie diese Abfrage auf der Kundenseite ankommt und warum sie dort oft schlecht beantwortet wird, ist im Beitrag zum ESG-Fragebogen für KMU und Zulieferer beschrieben.

Sicherheitenbewertung. Hier schlagen physische Risiken durch, und zwar standortscharf. Ein Hypothekenportfolio mit Objekten in Überschwemmungsgebieten trägt ein Wertrisiko, das im Beleihungswert bisher selten abgebildet ist. Georeferenzierte Portfoliodaten gegen öffentliche Gefahrenkarten zu legen, ist der günstigste Einstieg in eine belastbare Aussage.

Pricing und Kompetenzordnung. Der Punkt, an dem die meisten Umsetzungen aufhören. Ein ESG-Score, der im Kreditantrag abgefragt, aber weder in der Kalkulation noch in der Kompetenzordnung verarbeitet wird, ist Datensammlung ohne Steuerungswirkung. Die Aufsicht fragt nicht, ob ihr ESG-Daten habt, sondern was sich dadurch an einer Entscheidung geändert hat.

Mein Rat für die Reihenfolge: Erst die Sicherheitenseite, weil physische Risiken standortscharf und mit öffentlichen Daten prüfbar sind. Dann die Firmenkundenseite, weil dort die Datenerhebung beim Kunden liegt und länger dauert. Wer umgekehrt anfängt, wartet ein Jahr auf Fragebogenrückläufe und hat zum Stichtag nichts Belastbares.

Drei Lücken, die ich in der Praxis am häufigsten sehe

Lücke 1: Materialitätsanalyse zu eng gefasst. Viele Banken setzen die 5-Prozent-Schwelle des Risikodeckungspotenzials mechanisch an und kommen zu dem Schluss, dass ESG-Risiken unwesentlich seien. Das übersieht zwei Punkte. Erstens muss die Materialitätsprüfung alle fünf Methodenkategorien aus AT 2.2 Tz. 3 abdecken, nicht nur eine Kennzahl. Zweitens ist die zukunftsgerichtete Komponente entscheidend. Eine Bank, die heute nur 2 Prozent ihres Kreditportfolios in CO₂-intensiven Branchen hat, kann im 10-Jahres-Horizont eines NGFS-Szenarios trotzdem 8 Prozent erreichen, etwa über sich verschärfende Transitionsrisiken bei mittelständischen Kunden.

Lücke 2: Datenhistorie als Ersatz für Szenarioanalyse. Die MaRisk stellt das explizit klar: Eine bloße Datenhistorie reicht nicht. Klimarisiken sind strukturell nicht-stationär. Wer mit Backtesting argumentiert („In den letzten zehn Jahren gab es keine Probleme"), übersieht, dass das Klimasystem genau in den nächsten zehn Jahren in Bereiche kippt, für die historische Daten keine Aussagekraft mehr haben. Eine NGFS-konforme Szenarioanalyse ist nicht optional, sondern Kernanforderung.

Lücke 3: Strategieintegration fehlt. Der Stresstest läuft, das Ergebnis liegt in einer PDF, und drei Monate später wird die Mittelfristplanung gemacht, als hätte es das Ergebnis nie gegeben. Genau das verlangt AT 4.3.3 Tz. 7 nicht. Die Ergebnisse müssen in die Geschäfts- und Risikostrategie überführt werden. Konkret: Wenn der Stresstest aussagt, dass das Hypothekenportfolio in einem 8.5-RCP-Szenario in zehn Jahren 15 Prozent Wertberichtigungsbedarf hat, muss das die Sektorlimits und die Konditionierung beeinflussen. Andernfalls hat die Prüfung leichtes Spiel.

Fahrplan bis Ende 2026

Für Vorstände in LSIs ist der Zeitplan eng. Hier ein pragmatischer Fahrplan, den ich aus Mandaten ableite:

Wer früher dran ist, hat einen klaren Vorteil: Banken, die ihre finanzierten Emissionen und PCAF-konformen Datenmodelle bereits aufgebaut haben, sparen sich monatelange Datenarbeit. Wer hingegen erst nach der MaRisk-Prüfung anfängt, wird mit ad-hoc-Lösungen arbeiten, die in der nächsten Prüfungsrunde wieder kassiert werden.

Häufig gestellte Fragen