Die zentrale Rolle des Aufsichtsrats in der Aktiengesellschaft ist durch das dualistische System geprägt. Der Vorstand hat die Gesellschaft unter eigener Verantwortung zu leiten (§ 76 Abs. 1 AktG). Der Aufsichtsrat hat demgegenüber die Geschäftsführung des Vorstands zu überwachen (§ 111 Abs. 1 AktG). Eine Geschäftsführung durch den Aufsichtsrat ist gesetzlich ausgeschlossen; er darf Maßnahmen der Geschäftsführung nicht an sich ziehen (§ 111 Abs. 4 Satz 1 AktG).

Bei der GmbH ist ein Aufsichtsrat im Grundmodell nicht zwingend vorgesehen. Er kann aber durch Gesellschaftsvertrag fakultativ eingerichtet werden oder ergibt sich aus den Mitbestimmungsgesetzen (Drittelbeteiligungsgesetz, Mitbestimmungsgesetz). In diesen Fällen regelt § 52 GmbHG die Rechtsstellung des GmbH‑Aufsichtsrats. Die Norm verweist auf eine Reihe zentraler aktienrechtlicher Vorschriften über Zusammensetzung, Pflichten, Informationsrechte und Haftung des Aufsichtsrats. Dadurch wird das aktienrechtliche Leitbild des AR – insbesondere die Überwachungsfunktion und der Sorgfaltsmaßstab – weitgehend auf die GmbH mit Aufsichtsrat übertragen, sofern der Gesellschaftsvertrag nichts Abweichendes bestimmt.

Unabhängig von der konkreten Rechtsform (AG oder GmbH mit Aufsichtsrat) lassen sich folgende Grundpfeiler der Aufsichtsratstätigkeit herausarbeiten:

1. Bestellung und Abberufung der Geschäftsleitung
   In der AG ist der Aufsichtsrat für die Bestellung und Abberufung der Mitglieder des Vorstands zuständig (§ 84 AktG). Er bestimmt die Amtszeit, entscheidet über Wiederbestellungen und kann Vorstandsmitglieder aus wichtigem Grund abberufen (z.B. grobe Pflichtverletzung, Unfähigkeit zur ordnungsgemäßen Geschäftsführung). Zudem legt er typischerweise die Eckpunkte der Vorstandsvergütung fest.
   In der GmbH liegt die Personalhoheit über die Geschäftsführer grundsätzlich bei der Gesellschafterversammlung. Wird jedoch ein Aufsichtsrat eingerichtet, kann der Gesellschaftsvertrag ihm – in Anlehnung an das Aktienrecht – Bestellung, Abberufung und Vergütungsfestsetzung der Geschäftsführer zuweisen. Über § 52 GmbHG kann so ein dem AG‑Modell angenähertes Kontroll- und Personalregime etabliert werden.

2. Überwachung der Geschäftsführung
   Kernaufgabe des Aufsichtsrats ist die Überwachung der Geschäftsführung. Für die AG ergibt sich dies ausdrücklich aus § 111 Abs. 1 AktG. Der AR prüft Rechtmäßigkeit, Ordnungsmäßigkeit und – im Rahmen des Gesellschaftsinteresses – Zweckmäßigkeit wesentlicher Leitungsentscheidungen. Hierzu stehen ihm umfassende Informations‑, Einsichts‑ und Prüfungsrechte zu (§ 111 Abs. 2 AktG).
   In der GmbH mit Aufsichtsrat führt § 52 GmbHG dazu, dass die aktienrechtlichen Überwachungs‑ und Haftungsstandards (insbesondere §§ 111, 116 i.V.m. § 93 AktG) sinngemäß gelten, sofern der Gesellschaftsvertrag nichts anderes anordnet. Der GmbH‑Aufsichtsrat hat damit funktional eine vergleichbare Rolle wie der Aufsichtsrat einer AG.

3. Berichtspflichten der Geschäftsleitung
   In der AG konkretisiert § 90 AktG die Berichtspflichten des Vorstands gegenüber dem Aufsichtsrat. Der Vorstand hat u.a. regelmäßig über den Geschäftsverlauf, die Lage des Unternehmens, die Unternehmensplanung sowie über besondere Vorgänge und Risiken zu berichten.
   Über § 52 GmbHG findet § 90 AktG grundsätzlich auch auf die GmbH mit Aufsichtsrat Anwendung. Der GmbH‑AR kann damit ein vergleichbares Berichtsniveau verlangen; im Gesellschaftsvertrag können Umfang und Form der Berichterstattung weiter konkretisiert werden.

4. Prüfung des Jahres- und ggf. Konzernabschlusses
   Der Aufsichtsrat der AG prüft den Jahresabschluss, den Lagebericht und – sofern vorhanden – den Konzernabschluss. Er erteilt dem Abschlussprüfer den Prüfungsauftrag, bewertet das Prüfungsergebnis und berichtet der Hauptversammlung.
   Besteht in der GmbH ein Aufsichtsrat, wird er in der Praxis in sehr ähnlicher Weise in die Bilanzprüfung eingebunden; durch Verweisungen in § 52 GmbHG auf aktienrechtliche Vorschriften wird dieses Leitbild gestützt. Der Aufsichtsrat kann die Auswahl des Abschlussprüfers vorbereiten, dessen Unabhängigkeit überwachen und die Kommunikation mit dem Prüfer führen.

5. Beratungsfunktion
   Neben der Überwachung erfüllt der Aufsichtsrat eine wichtige Beratungsfunktion. Er steht der Geschäftsleitung bei strategischen Entscheidungen – etwa größeren Investitionen, Restrukturierungen oder M&A‑Transaktionen – mit Erfahrung und externem Blick zur Seite, ohne die operative Leitung an sich zu ziehen. Diese Funktion ist im Gesetz nicht umfassend kodifiziert, ergibt sich aber aus der Stellung des AR und wird durch Corporate‑Governance‑Kodizes und Praxisstandards ausformuliert. Sie gilt für AG und GmbH mit Aufsichtsrat gleichermaßen.

6. Zustimmungsvorbehalte
   Bestimmte Geschäfte von erheblicher Bedeutung dürfen nur mit Zustimmung des Aufsichtsrats vorgenommen werden. In der AG ergibt sich dies aus § 111 Abs. 4 Satz 2 AktG; die Satzung oder der Aufsichtsrat legt fest, welche Arten von Geschäften der Zustimmung bedürfen (z.B. Großinvestitionen, außergewöhnliche Finanzierungen, wesentliche Auslagerungen).
   In der GmbH kann ein entsprechender Zustimmungskatalog im Gesellschaftsvertrag verankert werden. Über die Verweisungssystematik des § 52 GmbHG kann auch hier das aktienrechtliche Modell übernommen werden. Damit wird der AR in besonders bedeutsamen Fällen von einer reinen Ex‑post‑Kontrollinstanz zu einer vorgelagerten präventiven Kontrollschranke.

7. Nichtfinanzielle Berichterstattung
   In kapitalmarktorientierten Gesellschaften ist der Aufsichtsrat darüber hinaus in die Überwachung der nichtfinanziellen Berichterstattung (Nachhaltigkeit, ESG‑Themen) eingebunden, etwa durch Beauftragung einer inhaltlichen Prüfung der nichtfinanziellen Erklärung bzw. des nichtfinanziellen Berichts bzw. der entsprechenden Konzernerklärungen. Auch in größeren GmbHs mit Aufsichtsrat wird diese Funktion zunehmend bedeutsam, soweit sie den gesetzlichen Berichtsanforderungen unterliegen.

Während der Aufsichtsrat im Industriesektor – sei es bei der AG oder der GmbH mit Aufsichtsrat – primär eine ex‑post geprägte Überwachungs- und Beratungsfunktion hat, verlagert sich die Rolle bei Finanzinstituten durch das KWG, die europäische Bankenregulierung (CRD/CRR) und die MaRisk deutlich in Richtung präventiver, risikoorientierter Kontrolle.

Anforderungsprofil an Aufsichtsratsmitglieder

Industrieunternehmen (AG / GmbH mit AR):

Für Aufsichtsratsmitglieder gelten die allgemeinen Sorgfalts- und Treuepflichten eines ordentlichen und gewissenhaften Organmitglieds (§ 93 Abs. 1, § 116 AktG; über § 52 GmbHG sinngemäß auch in der GmbH). Eine formalisierte behördliche Eignungsprüfung findet nicht statt; Qualifikation und Zusammensetzung sind primär Sache der Gesellschafter bzw. Aktionäre.

Finanzunternehmen (AG oder GmbH in Institutsform):

Für Mitglieder des Verwaltungs‑ oder Aufsichtsorgans eines Instituts gelten zusätzliche Anforderungen des Aufsichtsrechts, insbesondere nach § 25d KWG und den hierzu erlassenen Leitlinien. Die Organmitglieder müssen fachlich geeignet (Sachkunde), zuverlässig und persönlich integer sein sowie über ausreichende Zeit für das Mandat verfügen („Fit & Proper“). Die Eignung wird in einem formellen Verfahren durch die Aufsicht geprüft; bei Defiziten kann die BaFin Maßnahmen bis hin zur Abberufungsanregung ergreifen.

Überwachungsinhalte

Industrieunternehmen:

Der Aufsichtsrat konzentriert sich auf Rechtmäßigkeit, Ordnungsmäßigkeit und wirtschaftliche Zweckmäßigkeit der Geschäftsführung. Er überwacht insbesondere Rechnungslegung, internes Kontrollsystem und Abschlussprüfung. Bei kapitalmarktorientierten Unternehmen kommt dem Prüfungsausschuss eine zentrale Rolle zu.

Finanzunternehmen:

Im regulierten Finanzsektor besteht ein erhöhter Fokus auf das Risikomanagement, die Risikostrategie und deren Umsetzung, auf die Angemessenheit der Eigenmittel- und Liquiditätsausstattung, auf die Risikotragfähigkeit (ICAAP) sowie auf das Liquiditätsrisikomanagement (ILAAP). Der Aufsichtsrat überwacht das Risikomanagementsystem, das Interne Kontrollsystem, die Compliance‑Funktion und die Interne Revision in Übereinstimmung mit den MaRisk‑Vorgaben. Geschäfts- und Risikostrategie sind regelmäßig zu erörtern und kritisch zu hinterfragen.

Ausschusspflichten

Industrieunternehmen:

Die Einrichtung von Ausschüssen hängt von Größe und Struktur des Unternehmens ab. In kapitalmarktorientierten Gesellschaften ist ein Prüfungsausschuss etabliert; daneben existieren häufig Präsidial‑, Personal‑ oder Strategieausschüsse. In GmbHs mit Aufsichtsrat kann der Gesellschaftsvertrag vergleichbare Ausschussstrukturen vorsehen.

Finanzunternehmen:

Für bedeutende Institute schreibt das KWG die Einrichtung bestimmter Ausschüsse zwingend vor, insbesondere eines Risikoausschusses, eines Prüfungsausschusses, eines Nominierungsausschusses und eines Vergütungskontrollausschusses. Diese Ausschüsse haben klar definierte Überwachungs‑ und Vorbereitungsaufgaben im Hinblick auf Risikolage, Rechnungslegung, Organbesetzung und Vergütungssysteme.

Haftungs- und Sanktionsrisiken

Industrieunternehmen:

Aufsichtsratsmitglieder haften nach den allgemeinen aktienrechtlichen Regeln (§ 93, § 116 AktG), in der GmbH mit AR entsprechend über § 52 GmbHG. Der Maßstab ist die Sorgfalt eines ordentlichen und gewissenhaften Organmitglieds; die Business Judgement Rule kann bei unternehmerischen Entscheidungen eine Haftung begrenzen, wenn Entscheidungen auf angemessener Informationsbasis getroffen wurden.

Finanzunternehmen:

Zusätzlich zu den zivilrechtlichen Haftungsrisiken besteht ein eigenständiges aufsichtsrechtliches Sanktionsregime. Die Aufsicht kann Organmitgliedern die Eignung absprechen, Bußgelder verhängen und auf Abberufungen hinwirken. Das Zusammenspiel aus zivilrechtlicher Organhaftung und aufsichtsrechtlicher Individualaufsicht führt zu einem deutlich erhöhten persönlichen Risiko‑ und Verantwortungsprofil für Aufsichtsratsmitglieder von Instituten.

Spezialregelungen und praktische Konsequenzen

Finanzaufsichtsräte – unabhängig davon, ob das Institut in Form einer AG oder GmbH betrieben wird – müssen die Risikostrategie des Hauses nicht nur kennen, sondern aktiv deren Einhaltung überwachen. Die Aufsicht verlangt ausreichende Zeitkapazität der Organmitglieder und begrenzt faktisch die Zahl parallel wahrgenommener Mandate. Die regulatorische Komplexität (CRR, CRD, MaRisk, ergänzende Rundschreiben) erfordert eine deutlich tiefere operative Einsicht in Geschäftsmodell, Risikoprofile und Kontrollprozesse als in vielen klassischen Industrieunternehmen.

Die Geschäftsleitung steht mehr denn je in der Pflicht. Die neue MaRisk stellt klar: Risikomanagement ist keine rein delegierbare Kontrollaufgabe, sondern ein integraler Bestandteil der Geschäftsstrategie.

Operative Umsetzung der Risikokultur

Du musst die Risikokultur (AT 3.1) nun messbar machen. Es reicht nicht, ein Leitbild an die Wand zu hängen. Die Aufsicht erwartet Verfahren, mit denen du überwachst, ob die Mitarbeiter den definierten Risikoappetit auch leben.

• Praxis-Tipp: Implementiere regelmäßige „Risk-Culture-Surveys“ oder binde Risiko-KPIs in die Zielvereinbarungsgespräche ein.

• ESG-Integration: Deine Geschäftsstrategie muss nun explizit darlegen, wie die Transition zu einer nachhaltigen Wirtschaft dein Geschäftsmodell beeinflusst. Das ist kein Marketing-Text, sondern die Basis für deine Kapitalplanung.

Die Einführung einer harten Schwelle von 5 % für die NPL-Quote (notleidende Kredite) ist eine der schärfsten Verschärfungen. Wenn dein Institut diese Grenze überschreitet, greifen automatisch massive organisatorische Anforderungen.

Proaktive Steuerung statt Zwangsverwaltung

Warte nicht, bis du die 5 % erreichst. Du solltest ein internes Frühwarnsystem etablieren, das bereits bei 3,5 % oder 4 % Alarm schlägt.

• Die NPL-Strategie: Wenn du über der Schwelle liegst, musst du einen mehrjährigen Abbauplan vorlegen. Das erfordert eine detaillierte Analyse der Ursachen für die Notleidendheit.

• Die Workout-Unit: Die geforderte Trennung der Abwicklungseinheit vom Marktbereich ist für kleinere Institute personell oft schwierig. Prüfe frühzeitig, ob du durch Pool-Lösungen oder klare Stellvertreterregelungen die geforderte Unabhängigkeit gewährleisten kannst, ohne den Betrieb zu lähmen.

Die MaRisk 2026 fordern eine deutlich engere Überwachung von Immobiliensicherheiten. Marktschwankungskonzepte werden kritischer beäugt; bei Wertminderungen von mehr als 10 % ist eine Neubewertung zwingend.

Operative Lösungsansätze

• Gutachter-Rotation: Du musst nun sicherstellen, dass nicht jahrelang derselbe Gutachter dasselbe Objekt bewertet. Das erfordert ein softwaregestütztes Rotationsmanagement im Bereich Marktfolge.

• KI-Einsatz: Nutze automatisierte Bewertungsmodelle (AVMs) zur kontinuierlichen Marktbeobachtung. So identifizierst du frühzeitig jene Objekte, die die 10 %-Schwelle reißen könnten, und kannst Gutachterkapazitäten zielgerichtet steuern.

Die MaRisk 2026 harmonisieren die nationalen Anforderungen mit dem europäischen Digital Operational Resilience Act (DORA). IT-Sicherheit ist damit endgültig kein reines IT-Thema mehr, sondern Kernbestandteil des operationellen Risikomanagements.

Das „Need-to-Know“-Prinzip in der Praxis

Die Anforderung, IT-Berechtigungen nach dem Sparsamkeitsgrundsatz zu vergeben und regelmäßig (bei Administratoren halbjährlich!) zu prüfen (AT 4.3.2), ist administrativ gewaltig.

• Handlungsempfehlung: Automatisiere den Rezertifizierungsprozess von Berechtigungen. Manuelle Excel-Listen werden bei der nächsten Prüfung durch die Revision oder Aufsicht nicht mehr standhalten.

• Modellvalidierung: Wenn du KI für das Kredit-Scoring oder die Marktpreisbewertung nutzt, musst du die „Blackbox“ öffnen. Du musst dokumentieren können, warum ein Modell zu einem bestimmten Ergebnis kommt (Erklärbarkeit).

Das Target Operating Model (TOM) beschreibt die mit den MaRisk 2026 angestrebte Zielstruktur zur Umsetzung regulatorischer Anforderungen. Es umfasst die optimale Ausgestaltung von Prozessen, Governance, IT-Systemen und Ressourcen, um ein wirksames Risikomanagement sicherzustellen.

Im Kontext der MaRisk 2026 unterstützt ein TOM insbesondere:

• Aufbau- und Ablauforganisation: Klare Rollen, Verantwortlichkeiten und Prozesse gemäß AT 4.3.1

• Risikosteuerung und -controlling: Systematische Identifikation, Bewertung und Überwachung von Risiken (AT 4.3.2)

• Strategie und Risikokultur: Verankerung von ESG, Nachhaltigkeit und Risikoappetit in der Geschäftsstrategie (AT 4.2, AT 3.1)

• IT- und Datenarchitektur: Sicherstellung von Datenqualität, Verfügbarkeit und Informationssicherheit (AT 7.2)

• Compliance und Revision: Überwachung regulatorischer Anforderungen und unabhängige Kontrollfunktionen (AT 4.4.2, AT 4.4.3)

Ein strukturiertes Target Operating Model hilft dir, die MaRisk 2026 effizient, prüfungssicher und strategisch in deinem Institut umzusetzen.