MaRisk, Versionierung und die Kunst, Wasser zu predigen

Heute geht es um doppelte Standards.

Nein, nicht um politisch viel diskutiertes Elternglück.

Es geht um die BaFin. Um Fehlerkultur. Um Transparenz. Und um die Frage, wie glaubwürdig eine Aufsicht wirkt, wenn sie eigene Fehler leise korrigiert.

Denn wer von Instituten Transparenz und saubere Governance erwartet, sollte dieselben Maßstäbe auch an sich selbst anlegen.

Von einem Vertrauensvorschuss in Richtung der Institute spricht die BaFin derzeit sehr gerne, wenn es um die entbürokratisierten, gekürzten MaRisk geht – man beachte schließlich: Entbürokratisierung ist nicht mit Deregulierung zu verwechseln.

Die spannendere Frage lautet aber: Wie steht es eigentlich um das Vertrauen in die Aufsicht selbst?

Die MaRisk –Rundschreiben 06/2026 (BA) – tragen auf der Website nach wie vor das Veröffentlichungsdatum 30.06.2026. Keine neue Versionsnummer. Kein Erratum. Kein Änderungsvermerk. Und trotzdem ist das Dokument heute nicht mehr dasselbe, das am 30.06.2026 veröffentlicht wurde.

Grund hierfür war ein Fehler: Der ursprüngliche Wortlaut in MaRisk AT 9 Tz. 10 – Erläuterungen, gerichtet an den Revisionsbeauftragten, zur gemeinsamen Erstellung eines Gesamtberichts mit dem Dienstleister wurde durch eine Regelung zum vierteljährlichen Bericht nach MaRisk AT 4.4.3 Tz. 9 ersetzt.

Ein theoretisches Problem? Keineswegs.

In vielen Instituten werden aufsichtsrechtliche Regelwerke einmal zentral heruntergeladen, abgelegt und anschließend für fachliche Arbeit, Umsetzungsprojekte oder Prüfungen verwendet. Niemand prüft bei jeder fachlichen Frage, ob sich hinter demselben Downloadlink inzwischen ein anderer Inhalt verbirgt. Wenn Änderungen ohne nachvollziehbare Versionierung und Kennzeichnung erfolgen, woher soll dann die Sicherheit kommen, dass alle tatsächlich mit derselben – und vor allem der aktuellen – Fassung arbeiten?

Es geht nicht um den Fehler.

Ob die Korrektur fachlich richtig ist, steht für mich dabei gar nicht im Mittelpunkt. Es geht um die Frage, wie die Fehlerkorrektur erfolgt ist. Fehler passieren. Aber genau deshalb gibt es Versionierung. Genau deshalb gibt es Änderungsvermerke. Genau deshalb gibt es dokumentierte Releases.

Die BaFin fordert von Instituten nachvollziehbare Änderungen, belastbare Governance und revisionssichere Dokumentation. Zu Recht.

Umso bemerkenswerter ist es, wenn ein zentrales aufsichtsrechtliches Regelwerk aktualisiert wird, ohne dass für den Leser nachvollziehbar ist, was geändert wurde, wann die Änderung erfolgte und warum.

Es geht nicht um den Fehler.

Es geht um den Maßstab.

Denn wer Transparenz verlangt, sollte Transparenz vorleben. Wer Versionierung fordert, sollte Versionen ausweisen. Und wer Nachvollziehbarkeit zum regulatorischen Maßstab erhebt, sollte sich selbst daran messen lassen.

Denn wo zieht man die Grenze? Heute ist es ein vermeintlich offensichtlicher Fehler. Morgen eine missverständliche Formulierung. Übermorgen eine tatsächlich materielle Änderung.

Vielleicht gab es Verbandskommunikation. Vielleicht wurde dort informiert. Nur ersetzt das keine öffentliche Dokumentation einer Änderung eines zentralen aufsichtsrechtlichen Regelwerks. Denn nicht jeder gehört einem Verband an. Nicht jeder sitzt in denselben Verteilerlisten oder Gesprächsrunden. Und selbst wenn: Verbindliche Regulatorik sollte nicht über stille Post oder Hinterzimmergespräche transportiert werden, sondern nachvollziehbar über die offizielle Veröffentlichung.

Von daher… ein bisschen mehr Wasser, ein bisschen weniger Wein, liebe Aufsicht. Oder – wenn schon – dann wenigstens einen Rausch für alle.

Hinweis

Der offizielle Downloadlink der BaFin verweist inzwischen auf die Dateiversion v=3.