Asset Management · Vorbereitung auf ein Daten-Audit und eine aufsichtsrechtliche Prüfung

Der Prüfer setzt sich hin, klappt den Laptop auf und sagt: „Zeigen Sie mir alles, was Sie zu Kundenkonto 48213 gespeichert haben, und belegen Sie, wer wann und warum darauf zugegriffen hat.“ Sie haben vielleicht 48 Stunden, um eine saubere Antwort zu liefern. Firmen, die diesen Evidenzpfad auf Anfrage zusammenstellen kkDie durchschnittliche Zahl neuer Nutzer, die jeder bestehende Nutzer über Empfehlungen generiert. Über 1,0 verstärkt sich das Wachstum selbst und wird exponentiell.Vollständige Definition ansehen →önnen, bestehen. Firmen, die sich durch Spreadsheets und E-Mail-Threads wühlen, fallen durch, und das Scheitern liegt selten an den zugrunde liegenden Anlageentscheidungen. Es liegt an der Data GovernanceData GovernanceData Governance umfasst die Regeln, Rollen und Prozesse, die sicherstellen, dass Daten in einer Organisation korrekt, sicher, klar definiert und verantwortungsvoll genutzt werden.Vollständige Definition ansehen →.

Diese Lektion geht genau die Nachweise durch, die ein FCA- oder SEC-Prüfer erwartet, anhand der Datenreise eines einzelnen Kunden als durchgerechnetem Beispiel, und übt dann die Fragen, die schwache Governance live offenlegen.

Wer fragt, und auf welcher Grundlage

Zwei Aufsichtsbehörden dominieren für Asset und Wealth Manager.

• FCA (Financial Conduct Authority): die britische Verhaltensaufsicht. Ihr Regelwerk (SYSC, das Systems and Controls Sourcebook) verlangt von Firmen, geordnete Aufzeichnungen zu führen und Kontrolle über Kundendaten nachzuweisen. Der Datenschutz liegt unter UK GDPR und dem Data Protection Act 2018, durchgesetzt vom ICO (Information Commissioner's Office).
• SEC (Securities and Exchange Commission): die US-Marktaufsicht. Für registrierte Investment Adviser legen die Books and Records Rule (Rule 204-2 unter dem Investment Advisers Act von 1940) und die Marketing Rule fest, was aufbewahrt und vorgelegt werden muss. Die Safeguards Rule unter Regulation S-P regelt die Sicherheit von Kundendaten.

In der EU gelten die Aufzeichnungspflichten von MiFID II und die DSGVO (Datenschutz-Grundverordnung), mit nationalen Aufsichtsbehörden (BaFin in Deutschland, AMF in Frankreich) neben den Datenschutzbehörden.

Beachten Sie die Aufteilung: Verhaltensaufsichten wollen, dass Sie die Datenreise eines Kunden für Aufzeichnungspflichten und Geeignetheit rekonstruieren können. Datenschutzbehörden wollen, dass der Zugriff rechtmäßig, minimal und zeitlich begrenzt war. Eine gute Audit-Vorbereitung erfüllt beides.

Die drei Säulen des Evidenzpfads

Ein Prüfer, der einen einzelnen Kunden durchgeht, prüft eigentlich drei Dinge: Lineage (woher kamen die Daten und wie haben sie sich bewegt), Access Logs (wer hat sie gesehen oder geändert) und Aufbewahrungsnachweis (wie lange Sie sie behalten und wie Sie sie löschen).

Säule 1: Data LineageData LineageData Lineage zeigt, wie Daten sich durch Systeme bewegen und dabei transformiert werden, von der Quelle bis zur Nutzung: woher sie kommen, was sie verändert hat und wohin sie gehen.Vollständige Definition ansehen →

Lineage ist der dokumentierte Weg eines Datenelements vom Ursprung bis zum aktuellen Stand. Für Kunde 48213 heißt das, ein einzelnes Feld nachzuverfolgen, etwa den Risikotoleranz-Score, vom Onboarding-Fragebogen über das CRMCRMCustomer Relationship Management: Software und Strategie, um Kundeninteraktionen über den gesamten Lifecycle zu steuern und zu analysieren.Vollständige Definition ansehen → in das Portfoliomanagement-System und bis in den Geeignetheitsbericht.

Schwache Lineage klingt so: „Der Score ist im System.“ Starke Lineage sieht aus wie eine gemappte Kette:

Source: onboarding form (submitted 2025-03-12, ref FORM-48213-A)
  -> CRM field client.risk_score (ingested 2025-03-12 via API job ONB-207)
    -> PMS suitability engine (read 2025-03-14, model SUIT-v4.2)
      -> Suitability report SR-48213 (generated 2025-03-14, sent 2025-03-15)

Jeder Pfeil braucht einen Timestamp, ein führendes System und eine Notiz zur Transformation. Wenn sich der Risiko-Score geändert hat (etwa weil der Kunde ihn im 2025-09 aktualisiert hat), muss die Lineage beide Versionen zeigen und welcher Bericht welche verwendet hat.

Für eine verständliche Einführung, warum Lineage unter DSGVODSGVOEU-Verordnung zur Erhebung, Speicherung und Nutzung personenbezogener Daten, mit Bußgeldern, die am weltweiten Umsatz bemessen werden.Vollständige Definition ansehen →-artigen Regimen zählt, ist der Leitfaden des ICO zu Accountability und Governance eine solide kostenlose Referenz.

Säule 2: Access Logs

Der Prüfer will wissen, welcher Mensch und welches System Konto 48213 berührt hat und ob dieser Zugriff gerechtfertigt war.

Mindestfelder pro Zugriffsereignis: User-ID, Rolle, Timestamp, Aktion (lesen, schreiben, exportieren, löschen) und idealerweise ein fachlicher Grund. Privilegierte Zugriffe (Admins, Entwickler) ziehen die meiste Aufmerksamkeit auf sich, weil sie Kontrollen umgehen können.

Red Flags, nach denen ein Prüfer sucht:

• Ein ausgeschiedener Mitarbeiter, dessen Zugriff nicht entzogen wurde.
• Massenexporte von Kundendaten auf einen lokalen Rechner oder ein privates E-Mail-Konto.
• Entwickler, die Produktions-Kundendaten ohne Ticketreferenz lesen.
• Gar keine Logs vor einem bestimmten Datum (was auf eine Systemänderung hindeutet, die die Historie gelöscht hat).

Das Prinzip dahinter ist Least Privilege: Jede Person bekommt nur den Zugriff, den ihre Rolle erfordert, und nicht mehr. Wenn ein Junior Analyst das volle Buch von 5.000 Kunden lesen kann, obwohl ererDas Verhältnis von Interaktionen (Likes, Kommentare, Shares) zur Reichweite eines Inhalts. Zeigt, wie stark die Zielgruppe reagiert, gemessen an der Zahl der Personen, die den Inhalt gesehen haben.Vollständige Definition ansehen → nur 30 betreut, ist das ein Finding.

Säule 3: Aufbewahrungsnachweis

Der Aufbewahrungsnachweis zeigt, dass Sie Daten so lange behalten wie erforderlich, und nicht länger. Unter SEC Rule 204-2 müssen die meisten Adviser-Unterlagen mindestens fünf Jahre aufbewahrt werden (die ersten beiden an einem leicht zugänglichen Ort). MiFID II verlangt in der Regel mindestens fünf Jahre, auf Verlangen der Aufsicht verlängerbar auf sieben. Die DSGVO zieht in die andere Richtung: Personenbezogene Daten dürfen nicht länger aufbewahrt werden als für ihren Zweck nötig.

Genau dieses Spannungsverhältnis ist der Punkt. Für Kunde 48213 müssen Sie zeigen:

1. Den Aufbewahrungsplan, der für jede Datenkategorie gilt.
2. Nachweise, dass der Plan durchgesetzt wird (automatisierte Lösch- oder Archivierungs-Jobs, mit Logs).
3. Den Umgang mit einem Löschantrag. Wenn 48213 ein Recht auf Löschung nach DSGVO ausgeübt hat, müssen Sie zeigen, was gelöscht wurde und was rechtmäßig für aufsichtsrechtliche Aufzeichnungspflichten behalten wurde (die Aufbewahrungspflicht überwiegt bei Transaktionsdaten in der Regel das Löschrecht).

Ein Ausschnitt aus einem Aufbewahrungsplan könnte lauten: KYC-Dokumente, sieben Jahre nach Ende der Beziehung; Marketing-Einwilligung, bis zum Widerruf; Telefonaufzeichnungen unter MiFID II, fünf Jahre.

🎬 [VIDEO: "GDPR Data Retention Explained" - youtube.com - klarer 10-minütiger Überblick über Aufbewahrungspflichten und ihr Zusammenspiel mit den Aufzeichnungsregeln im Finanzsektor]

Den Audit-Ordner aufbauen, bevor der Prüfer kommt

Stellen Sie das nicht erst während des Audits zusammen. Bauen Sie einen dauerhaften „Audit-Ordner“ auf (meist ein kontrollierter digitaler Ordner), den jede berechtigte Person innerhalb von Stunden vorlegen kann.

Für einen Durchgang zu einem einzelnen Kunden sollte der Ordner enthalten:

• Eine Data Map für diesen Kunden, die jedes System zeigt, das seine Daten hält.
• Das Lineage-Diagramm zumindest für die Geeignetheits- und Transaktionsdaten.
• Einen Zugriffsbericht für den Prüfzeitraum, gefiltert auf dieses Konto.
• Den Aufbewahrungsplan plus Nachweis der Durchsetzung (Job-Logs, Archivierungsbelege).
• Alle DSAR (Data Subject Access Request)- oder Löschvorgänge für diesen Kunden.
• Den Auftragsverarbeitungsvertrag mit jedem Dritten (Depotbank, Fondsadministrator, Cloud-Anbieter), der die Daten berührt.

Den letzten Punkt vergisst man leicht. Wenn Sie einen externen Administrator nutzen, kann der Prüfer fragen, wie Sie dessen Kontrollen absichern. Verweisen Sie auf Ihre Due Diligence und die vertraglichen Datenklauseln, nicht auf vages Vertrauen.

Die Fragen üben, die schwache Governance offenlegen

Prüfer suchen Lücken, kein Compliance-Theater. Führen Sie ein Mock Audit durch und spielen Sie diese Fragen live durch. Wo Sie stolpern, steht Ihre Remediation-Liste.

„Führen Sie mich durch, wie der Risiko-Score dieses Kunden in diesen Bericht gelangt ist.“

Testet Lineage. Eine schwache Antwort beschreibt Systeme allgemein. Eine starke Antwort nennt den Quelldatensatz, die Transformation und den Timestamp.

„Wer hat in den letzten 12 Monaten auf dieses Konto zugegriffen, und warum brauchte jede dieser Personen den Zugriff?“

Testet Access Logs und Least Privilege. Wenn Sie einen einzigen Zugriff nicht erklären können, ist das ein Finding.

„Zeigen Sie mir einen Kunden, der Löschung verlangt hat, und belegen Sie, was passiert ist.“

Testet das Spannungsverhältnis zwischen DSGVO und Aufzeichnungspflichten. Die richtige Antwort löscht Marketing- und nicht erforderliche personenbezogene Daten, behält Transaktionsdaten unter der gesetzlichen Ausnahme und dokumentiert die Begründung.

„Ihre Richtlinie sagt, Daten werden nach sieben Jahren gelöscht. Zeigen Sie mir, dass das tatsächlich passiert ist.“

Testet Durchsetzung, nicht Richtlinie. Legen Sie die Logs der Lösch-Jobs vor. Eine Richtlinie ohne Nachweis der Ausführung ist schlimmer als keine Richtlinie, weil sie eine Kontrolllücke zeigt, von der Sie behauptet haben, sie sei geschlossen.

„Wem gehören diese Daten, und wer zeichnet Zugriffsänderungen ab?“

Testet Governance-Rollen. Nennen Sie den Data Owner (verantwortlich für eine Datendomäne) und den Freigabe-Workflow. „Darum kümmert sich die IT“ ist eine durchgefallene Antwort, denn die IT betreibt Systeme; die Daten gehören dem Fachbereich.

„Wann haben Sie zuletzt getestet, dass Ihre Backups wiederherstellbar und Ihre Access Logs vollständig sind?“

Testet die operative Realität. Ungetestete Backups und lückenhafte Logs tauchen ständig auf.

Das Muster: Jede Frage bewegt sich von der Richtlinie (was Sie sagen) zum Nachweis (was Sie belegen können). Governance, die nur in Dokumenten lebt, scheitert am zweiten Schritt.

Eine schnelle Selbstprüfung als Rechnung

Eine einfache Kennzahl, die Prüfer schätzen: Abdeckung der Zugriffsüberprüfungen. Wenn Ihre Richtlinie vorsieht, dass alle privilegierten Accounts quartalsweise überprüft werden, und Sie 40 privilegierte Accounts haben, sollten Sie rund 160 Überprüfungsnachweise pro Jahr sehen. Zeigen Ihre Logs 90, liegt die Abdeckung bei etwa 56 Prozent, und die Lücke ist Ihr Finding in spe. (Illustrative Zahlen.)

Wichtigste Erkenntnisse

• Ein Audit zu einem Kunden testet drei Säulen: Lineage (dokumentierter Datenweg mit Timestamps), Access Logs (wer hat zugegriffen und warum, unter Least Privilege) und Aufbewahrungsnachweis (durchgesetzte Pläne, nicht nur Richtlinien).
• Kennen Sie die tatsächlichen Regelwerke: SEC Rule 204-2 und Regulation S-P in den USA, FCA SYSC plus UK GDPR in Großbritannien, MiFID-II-Aufzeichnungspflichten plus DSGVO in der EU. Aufbewahrungspflichten überwiegen bei Transaktionsdaten in der Regel das Löschrecht der DSGVO.
• Bauen Sie einen dauerhaften Audit-Ordner für den Durchgang zu einem einzelnen Kunden, bevor der Prüfer fragt. Nehmen Sie Auftragsverarbeitungsverträge mit Dritten auf.
• Jede Prüferfrage bewegt sich von der Richtlinie zum Nachweis. Wenn Sie das Log, den Nachweis des Aufbewahrungsplans oder den Löschbeleg nicht vorlegen können, existiert die Kontrolle faktisch nicht.
• Benennen Sie Ihre Data Owner und den Freigabe-Workflow für Zugriffe. „Darum kümmert sich die IT“ ist eine durchgefallene Antwort.