ESG-Risikoplan und MaRisk ESG 2026: Die 9. MaRisk-Novelle für LSIs erklärt

Am 24. September 2026 stellt die BaFin in Frankfurt die Ergebnisse des LSI-Stresstests vor: rund 1.100 Sparkassen, Volksbanken und Genossenschaftsbanken haben dort ihre Klimarisiken erstmals unter dem neuen Pflichtenrahmen geliefert. Wer den Termin als reine Pflichtübung versteht, hat das Wesentliche verpasst. Seit dem 1. April 2026 ist MaRisk ESG keine aufsichtliche Erwartung mehr, sondern über § 26c und § 26d KWG gesetzliche Pflicht. Die 9. MaRisk-Novelle, deren finale Fassung Ende Juni 2026 ohne Übergangsfrist in Kraft treten soll, ändert für Regionalbanken zwei Dinge fundamental: Klimastresstests und Resilienzanalysen über mindestens zehn Jahre werden verbindlich, und ESG-Risiken sind nicht mehr ein Querschnittsthema, sondern ein Risikotreiber, der in jede wesentliche Risikoart einzubetten ist.

Warum MaRisk ESG 2026 eine andere Qualität hat

Bis 2025 war ESG in der MaRisk ein Erwartungsfeld. Die Aufsicht erwartete Auseinandersetzung, prüfte aber nicht hart, weil die Rechtsgrundlage fehlte. Das ist vorbei. Mit dem Bankenrichtlinienumsetzungs- und Bürokratieentlastungsgesetz (BRUBEG) wurde am 1. April 2026 der neue § 26c KWG eingeführt. Die Norm setzt Artikel 87a der überarbeiteten Eigenkapitalrichtlinie CRD VI um und verankert ESG-Risiken gesetzlich als Risikotreiber in allen wesentlichen Risikoarten: Adressenausfall, Marktpreis, Liquidität, operationelles Risiko. Parallel dazu verpflichtet § 26d KWG zur Aufstellung eines ESG-Risikoplans mit messbaren Zielen und einem Zeithorizont von mindestens zehn Jahren.

Die BaFin bezeichnet die 9. MaRisk-Novelle ausdrücklich als Konkretisierung des § 26c KWG. Damit verschiebt sich das Thema vom aufsichtlichen Erwartungsraum in einen klaren gesetzlichen Pflichtenrahmen. Wer als Vorstand einer Sparkasse oder Genossenschaftsbank bisher mit dem Argument operiert hat, ESG sei „best effort" und es gebe ja keine harte Pflicht, hat dieses Argument verloren. Die Aufsicht prüft jetzt gegen ein Gesetz, nicht gegen ein Rundschreiben.

Wichtig für die Einordnung: BaFin ESG-Anforderungen treffen LSIs anders als bedeutende Institute. Ab einer Bilanzsumme von 30 Mrd. € fallen Institute unter die direkte EZB-Aufsicht, dort gilt die MaRisk nicht. Für LSIs zwischen 0,5 und 30 Mrd. € ist die 9. MaRisk-Novelle der zentrale Rahmen. Die EBA-Leitlinien EBA/GL/2025/01 (anzuwenden ab 11. Januar 2026, für SNCIs ab 11. Januar 2027) und EBA/GL/2025/04 (in Kraft seit 4. November 2025) werden in Deutschland über das „Comply-or-Explain"-Verfahren via MaRisk verbindlich. Eine direkte eigene Prüfung aller EBA-Passagen ist für LSIs nicht erforderlich, maßgeblich ist die MaRisk-Fassung.

Was die 9. MaRisk-Novelle konkret verlangt

Die Konsultationsfassung der 9. MaRisk-Novelle (Rundschreiben xx/2026 BA) wurde am 1. April 2026 veröffentlicht, die Konsultationsfrist endete am 8. Mai 2026. Die BaFin strebt eine Veröffentlichung der finalen Fassung mit sofortigem Inkrafttreten Ende Juni 2026 an, ohne reguläre Übergangsfrist. Für die Vorstände bedeutet das: Was heute als Konsultationstext vorliegt, ist mit hoher Wahrscheinlichkeit die finale Pflicht in drei bis vier Monaten.

Zwei MaRisk-Passagen sind für MaRisk ESG zentral:

Eine Besonderheit, die in der Praxis oft übersehen wird: Inverse Stresstests sind nur für mittlere und größere LSIs Pflicht. Sehr kleine Institute und SNCIs sind davon ausgenommen. Wer in dieser Größenordnung agiert, sollte nicht aus Übereifer aufwendige inverse Szenarien rechnen, sondern qualitative Sensitivitätsanalysen dokumentiert vorhalten.

Ein Punkt, der für viele Häuser unangenehm wird: Die Aufsicht erwartet die Integration der Ergebnisse in die Geschäfts- und Risikostrategie. Wenn der Klimastresstest aussagt, dass das Kreditportfolio in zehn Jahren strukturelle Probleme hat, dann muss das Konsequenzen in der mittelfristigen Planung haben. Sonst ist der Stresstest nur Theater.

Größenklassen: Wer muss wie viel liefern?

Das Proportionalitätsprinzip ist in der 9. MaRisk-Novelle deutlich schärfer ausformuliert als in früheren Fassungen. AT 1 Tz. 3 unterteilt LSIs in drei Klassen:

Ein häufiges Missverständnis: SNCI heißt nicht automatisch „weniger streng", sondern „andere Methodik zulässig". Ein SNCI mit hohem Anteil energieintensiver Firmenkundenkredite kann materiell genauso betroffen sein wie ein mittleres LSI. Die Größenklasse entscheidet über die Methode, nicht über die Substanz.

Wichtig ist auch: Ab 30 Mrd. € endet die MaRisk-Welt. Diese Institute unterliegen direkt der EZB-Aufsicht und damit dem SSM-Rahmen. Wer sich in einer Wachstumsphase befindet und auf diese Schwelle zusteuert, sollte den Übergang früh planen, denn die EZB-Anforderungen sind nochmals deutlich schärfer.

NGFS, IPCC und der Streit um die richtigen Szenarien

Weder MaRisk noch EBA/GL/2025/04 schreiben ein bestimmtes Szenarioset zwingend vor. Sie verlangen aber „wissenschaftliche Fundierung", was praktisch auf zwei Quellen hinausläuft: NGFS-Szenarien und IPCC-SSP-Pfade. Beide haben unterschiedliche Stärken.

Das NGFS hat im April 2026 seine Phase-V-Szenarien veröffentlicht, gemeinsam mit dem Potsdam-Institut für Klimafolgenforschung. Neu in dieser Generation ist eine erweiterte Schadensfunktion, die wirtschaftliche Folgen von Klimaschocks umfassender modelliert. Die Szenarien decken Zeithorizonte bis 2100 ab und sind speziell auf finanzielle Risiken zugeschnitten. Im Mai 2025 hat das NGFS erstmals auch Kurzfrist-Szenarien (bis 2030) veröffentlicht, die für klassische Klimastresstests besser geeignet sind als die langfristigen Pfade.

IPCC-SSP-Szenarien (Shared Socioeconomic Pathways) sind dagegen primär klimawissenschaftlich angelegt und enthalten keine direkte Finanzrisikomodellierung. Für die Auswahl der richtigen Klimaszenarien empfehle ich in der Praxis: NGFS Phase V als Hauptanker (regulatorisch klar referenziert) und IPCC AR6 als Validierungsschicht bei physischen Risiken.

Eine Falle, die ich häufig sehe: Banken rechnen mit einem einzigen optimistischen Szenario (etwa „Net Zero 2050") und vergessen, dass die MaRisk ausdrücklich mindestens ein adverses Szenario verlangt. Das Bundesbank-Diskussionspapier 11/2025 (Gross et al., Mai 2025) hat für ein solches Net-Zero-2050-Szenario gezeigt, dass die Ausfallwahrscheinlichkeit (PD) für nicht-finanzielle Unternehmen nach drei Jahren im Mittel um bis zu 40 Prozent steigen kann, am stärksten betroffen sind Landwirtschaft, Versorger und Transport. Das ist kein adverses Szenario, das ist das geordnete Transformationsszenario. Wer hier optimistisch rechnet, unterschätzt das eigene Risiko strukturell.

Physische Risiken vs. Transitionsrisiken: Was Banken unterschätzen

Aus der BaFin-Erhebung 2025 stammt eine Zahl, die jede Vorstandssitzung wert ist: 70 Prozent der Banken berichten Datenprobleme bei der Erhebung physischer Risiken. Gleichzeitig sehen nur 10 Prozent der Banken eine materielle Auswirkung physischer Klimarisiken auf ihr Geschäft (gegenüber 50 Prozent bei Versicherern). Die BaFin kritisiert diese Einschätzung methodisch als fragwürdig, und ich teile diese Kritik aus der Praxis.

Was ich in Projekten regelmäßig sehe: Banken konzentrieren sich auf Transitionsrisiken (CO₂-Preis, Stranded Assets, Sektorausschluss), weil hier die Daten sauberer und die Modellierung einfacher sind. Physische Klimarisiken (Hochwasser, Sturm, Hitze, Dürre) bleiben unter dem Radar, obwohl sie für Hypotheken- und Mittelstandsportfolios direkt durchschlagen. Eine Sparkasse mit Schwerpunkt Wohnimmobilienfinanzierung an einem Mittelgebirgsfluss hat strukturell ein anderes physisches Risikoprofil als eine Genossenschaftsbank in der norddeutschen Tiefebene.

Mein Standpunkt dazu ist deutlich: Eine MaRisk-konforme Klimarisikoanalyse, die physische Risiken auf qualitative Floskeln reduziert, wird die Prüfung nicht überstehen. Die BaFin hat das Thema explizit auf dem Schirm. Wer hier liefern will, braucht georeferenzierte Portfoliodaten und mindestens den DWD-Klimaatlas plus ZÜRS-Hochwasserdaten als methodische Basis. Eine systematische Übersicht der offenen Klimadatenquellen für das Klimarisikomanagement habe ich an anderer Stelle aufgeschrieben.

Für die methodische Tiefe lohnt sich der Blick auf den ISO-14091-Standard als Goldstandard für Klimarisikoanalysen ab 2026, der zwar primär für CSRD-Reporting konzipiert wurde, aber methodische Bausteine liefert, die auch in der MaRisk-Welt tragen. Wer die Trennung von physischen und Transitionsrisiken sauber durchzieht, hat einen entscheidenden Vorteil in der Risikoinventur.

Der ESG-Risikoplan nach § 26d KWG

Der zweite Pflichtstrang neben MaRisk AT 4.3.3 Tz. 7 ist der ESG-Risikoplan nach § 26d KWG. Was steht dort? Institute müssen einen spezifischen Plan zur Überwachung und Steuerung der finanziellen Risiken aus ESG-Faktoren über kurze, mittlere und lange Horizonte (mindestens zehn Jahre) erstellen. Der Plan muss angemessene und quantifizierbare Ziele, Kennzahlen und Überwachungsverfahren festlegen.

In der Praxis bedeutet das vier Bausteine:

• Strategische Zielwerte für ESG-Risikometriken (etwa: PD-Aufschläge in adversen Szenarien, Anteil energieeffizienter Immobilien im Hypothekenportfolio).
• Sektor- und Portfolio-Steuerung über Limits, Konzentrationsbegrenzungen und ggf. Ausschlusslisten.
• Datenarchitektur, die ESG-Kennzahlen so liefert, dass sie in die Risikosteuerung einfließen können, nicht nur in einen Jahresbericht.
• Governance, also klare Verantwortung im Vorstand, Reporting-Linien und Quartalsrhythmus.

Ich sehe in der Praxis zwei Anti-Patterns. Erstens: ESG-Risikopläne, die wie eine PR-Broschüre klingen („Wir bekennen uns zu …"). Das ist nicht der Sinn des § 26d KWG. Die Aufsicht will quantifizierbare Ziele und Kennzahlen, keine Bekenntnisse. Zweitens: Pläne, die nicht mit dem ICAAP verzahnt sind. Ein ESG-Risikoplan, der losgelöst vom Kapitalplanungsprozess existiert, ist eine Compliance-Akte ohne Steuerungswirkung.

LSI-Stresstest 2026 und der 24. September

Parallel zur Pflicht aus der 9. MaRisk-Novelle läuft seit dem 1. April 2026 der LSI-Stresstest 2026. Rund 1.100 deutsche LSIs nehmen teil. Die Ergebnisse werden am 24. September 2026 in Frankfurt von BaFin und Bundesbank vorgestellt. Im Gegensatz zu vorherigen Runden enthält der Test eine ausgeweitete Klimakomponente, die direkt auf die neuen § 26c/26d-Anforderungen abstellt.

Was bedeutet das für Häuser, die nicht direkt am LSI-Stresstest teilnehmen oder erst künftig hineinwachsen? Die Aufsicht wird die Methodik und die Ergebnisse als Referenz für ihre eigenen Prüfungen verwenden. Wer in den nächsten zwölf Monaten eine MaRisk-Prüfung erwartet, sollte die Veröffentlichung am 24. September genau auswerten, um zu erkennen, welche Schwächen die Aufsicht in der Breite sieht und wo sie ihre Prüfungsschwerpunkte legen wird.

Für Sparkassen liefern die DSGV-Strukturen (ESG Risk Radar der Sparkassenstiftung mit der Hochschule Kempten, S-Servicepartner, Finanz Informatik mit OSPlus) heute eine pragmatische Infrastruktur. Im Volksbankenverbund sind Atruvia und SkenData (mit energetischen Gebäudedaten) die zentralen Anbieter. Für vdp- und ZIA-Mitglieder ist der im Mai 2025 veröffentlichte Standard mit 9 KPIs und 29 Datenpunkten der Branchenkonsens für Immobilienportfolios.

Drei Lücken, die ich in der Praxis am häufigsten sehe

Lücke 1: Materialitätsanalyse zu eng gefasst. Viele Banken setzen die 5-Prozent-Schwelle des Risikodeckungspotenzials mechanisch an und kommen zu dem Schluss, dass ESG-Risiken unwesentlich seien. Das übersieht zwei Punkte. Erstens muss die Materialitätsprüfung alle fünf Methodenkategorien aus AT 2.2 Tz. 3 abdecken, nicht nur eine Kennzahl. Zweitens ist die zukunftsgerichtete Komponente entscheidend. Eine Bank, die heute nur 2 Prozent ihres Kreditportfolios in CO₂-intensiven Branchen hat, kann im 10-Jahres-Horizont eines NGFS-Szenarios trotzdem 8 Prozent erreichen, etwa über sich verschärfende Transitionsrisiken bei mittelständischen Kunden.

Lücke 2: Datenhistorie als Ersatz für Szenarioanalyse. Die MaRisk stellt das explizit klar: Eine bloße Datenhistorie reicht nicht. Klimarisiken sind strukturell nicht-stationär. Wer mit Backtesting argumentiert („In den letzten zehn Jahren gab es keine Probleme"), übersieht, dass das Klimasystem genau in den nächsten zehn Jahren in Bereiche kippt, für die historische Daten keine Aussagekraft mehr haben. Eine NGFS-konforme Szenarioanalyse ist nicht optional, sondern Kernanforderung.

Lücke 3: Strategieintegration fehlt. Der Stresstest läuft, das Ergebnis liegt in einer PDF, und drei Monate später wird die Mittelfristplanung gemacht, als hätte es das Ergebnis nie gegeben. Genau das verlangt AT 4.3.3 Tz. 7 nicht. Die Ergebnisse müssen in die Geschäfts- und Risikostrategie überführt werden. Konkret: Wenn der Stresstest aussagt, dass das Hypothekenportfolio in einem 8.5-RCP-Szenario in zehn Jahren 15 Prozent Wertberichtigungsbedarf hat, muss das die Sektorlimits und die Konditionierung beeinflussen. Andernfalls hat die Prüfung leichtes Spiel.

Fahrplan bis Ende 2026

Für Vorstände in LSIs ist der Zeitplan eng. Hier ein pragmatischer Fahrplan, den ich aus Mandaten ableite:

Wer früher dran ist, hat einen klaren Vorteil: Banken, die ihre finanzierten Emissionen und PCAF-konformen Datenmodelle bereits aufgebaut haben, sparen sich monatelange Datenarbeit. Wer hingegen erst nach der MaRisk-Prüfung anfängt, wird mit ad-hoc-Lösungen arbeiten, die in der nächsten Prüfungsrunde wieder kassiert werden.

Häufig gestellte Fragen

Ab wann gilt MaRisk ESG für meine Sparkasse oder Volksbank?

Die gesetzliche Grundlage (§ 26c und § 26d KWG) gilt seit dem 1. April 2026. Die 9. MaRisk-Novelle konkretisiert die Anforderungen und soll Ende Juni 2026 ohne Übergangsfrist in Kraft treten. Es ist eine moderate Verzögerung auf Q3 2026 möglich, da parallel die EBA-Governance-Leitlinie noch in Konsultation ist.

Was bedeutet die 5-Prozent-Schwelle für das Risikodeckungspotenzial?

AT 2.2 Tz. 3 der 9. MaRisk-Novelle verankert eine Wesentlichkeitsschwelle von 5 Prozent des Risikodeckungspotenzials für ESG-Risiken. Diese Schwelle ist allerdings nur eine von fünf Methodenkategorien (Risikoposition, Sektor, Portfolio, Szenario, Zielabgleich). Eine ESG-Materialitätsanalyse, die sich auf die 5-Prozent-Kennzahl reduziert, wird der MaRisk-Anforderung nicht gerecht.

Müssen sehr kleine Institute auch einen Klimastresstest durchführen?

Ja. Auch sehr kleine Institute (Bilanzsumme unter 1 Mrd. €) müssen einen Klimastresstest und eine Resilienzanalyse durchführen. Allerdings sind hier qualitative Ansätze ausdrücklich zulässig, und es ist kein risikoartenspezifischer Stresstest erforderlich, wenn das Gesamtprofil abgedeckt ist. Ein inverser Stresstest ist nur für mittlere und größere LSIs Pflicht.

Welche Szenarien soll ich für den Klimastresstest verwenden?

Die MaRisk und EBA/GL/2025/04 schreiben kein konkretes Szenarioset vor, verlangen aber wissenschaftliche Fundierung. In der Praxis empfehle ich die NGFS-Phase-V-Szenarien (veröffentlicht April 2026 mit dem Potsdam-Institut) als Hauptanker und IPCC-AR6-Daten zur Validierung physischer Risiken. Mindestens ein Referenzszenario und ein adverses Szenario sind verpflichtend.

Was ist der Unterschied zwischen MaRisk ESG und EBA/GL/2025/01?

EBA/GL/2025/01 ist die europäische Leitlinie zum ESG-Risikomanagement, die seit 11. Januar 2026 anzuwenden ist (für SNCIs erst ab 11. Januar 2027). In Deutschland werden diese Leitlinien für LSIs über das „Comply-or-Explain"-Verfahren in die 9. MaRisk-Novelle überführt. Eine eigene Prüfung aller EBA-Passagen durch LSIs ist nicht erforderlich, maßgeblich ist die MaRisk-Fassung.

Was muss in den ESG-Risikoplan nach § 26d KWG?

Der ESG-Risikoplan muss quantifizierbare Ziele, Kennzahlen und Überwachungsverfahren enthalten, mit Zeithorizonten von kurz, mittel und langfristig (mindestens zehn Jahre). Er ist mit dem ICAAP zu verzahnen. PR-artige Bekenntnisse genügen nicht, die Aufsicht erwartet messbare Steuerungsgrößen.

Wie kann ich physische Klimarisiken in meinem Hypothekenportfolio bewerten?

Sinnvoll ist eine Kombination aus georeferenzierten Portfoliodaten (Adressen, Energieeffizienzklassen) und öffentlichen Klimadatenquellen wie dem DWD-Klimaatlas, ZÜRS für Hochwasser und Copernicus C3S für Klimaprojektionen. Für Wohngebäude liefern SkenData (Volksbankenseite) und vdpResearch Datensätze, die direkt in die Risikoberechnung einfließen können.

Wann werden die Ergebnisse des LSI-Stresstests 2026 veröffentlicht?

BaFin und Bundesbank veröffentlichen die Ergebnisse am 24. September 2026 in Frankfurt. Rund 1.100 deutsche LSIs nehmen am Stresstest teil, der seit dem 1. April 2026 läuft.

Was passiert, wenn meine Bank über 30 Mrd. € Bilanzsumme wächst?

Ab einer Bilanzsumme von 30 Mrd. € unterliegt das Institut direkt der EZB-Aufsicht (SSM). Die MaRisk gilt dann nicht mehr, stattdessen greifen die strengeren SSM-Anforderungen. Der Übergang sollte mehrere Jahre im Voraus geplant werden, da die methodische Tiefe der EZB-Aufsicht deutlich höher ist.