Was ist Data Governance im Bankwesen?

Data Governance kann als Unterdisziplin der umfassenderen Praxis der Datenverwaltung betrachtet werden. Während die Datenverwaltung die tägliche operative Arbeit der Erfassung, Speicherung, des Schutzes und der Verarbeitung von Daten umfasst, konzentriert sich Data Governance speziell auf die Qualität, Sicherheit und Verfügbarkeit dieser Daten. Data Governance legt die spezifischen Regeln und Initiativen fest, die die Managementpraktiken leiten, und definiert häufig Metriken für den Erfolg.

Ende 2020 verhängten US-Regulierungsbehörden eine Geldstrafe von 400 Mio. USD gegen Citigroup. Die Strafe hatte jedoch nichts mit einem betrügerischen Händler oder einer gescheiterten Investition zu tun. Es ist vielmehr, zumindest teilweise, auf Mängel bei der Verwaltung der eigenen Daten der Bank zurückzuführen.

Das Office of the Comptroller of the Currency (OCC) verwies auf Probleme beim Risikomanagement, den internen Kontrollen und der Data Governance. Unter den Verstößen: Citibank konnte seine eigenen Risikodaten nicht zuverlässig aggregieren und konnte auch den Stakeholdern nicht nachweisen, dass das Problem unter Kontrolle war.¹ Nur wenige Monate vor der Zensur 2020 hatte Citibank fälschlicherweise 900 Millionen US-Dollar an Gläubiger eines Revlon-Darlehens überwiesen, ein Fehler, der auf menschliches Versagen zurückgeführt wurde.² Die OCC ihrerseits verlangte von der Citibank eine „grundlegende Neugestaltung“ ihrer Datenarchitektur und eine Modernisierung ihrer IT-Infrastruktur.

Der Fall von Citi war zwar vom Ausmaß her ungewöhnlich, nicht aber von der Art her. Eine Suche in einer OCC-Datenbank zeigt, dass zwischen 2023 und Anfang 2026 Dutzende von Klagen gegen Banken wegen Problemen im Zusammenhang mit der Data Governance eingeleitet wurden, einschließlich Compliance-Risikomanagement, ungenauen Aufzeichnungen und IT-Problemen.

Die Bußgelder der Aufsichtsbehörden können beträchtlich sein. Im gesamten Finanzdienstleistungsbereich erreichten diese Bußgelder im Jahr 2024 weltweit einen Rekord von 19,3 Mrd. USD.³ Die Kosten der Nichteinhaltung gehen oft über finanzielle Schäden hinaus und umfassen auch Reputationsschäden und den Verlust des Verbrauchervertrauens.

Banken beginnen oft mit einem Data Governance Framework, das mehrere Dinge festlegt: klares Dateneigentum (wer für jeden Datensatz verantwortlich ist), Datenschutzrichtlinien, Schutzmaßnahmen für Datenqualität und Verfahren, was zu tun ist, wenn etwas schiefgeht.

Weil Bankdaten realen Bankgeschäften entsprechen (bei denen das finanzielle Wohlergehen der Menschen gefährdet ist), steht mehr auf dem Spiel als in vielen Branchen. Data-Governance-Frameworks sind daher für Mitglieder der Bankenbranche von entscheidender Bedeutung.

Datenabstammung bezeichnet den Weg, den Daten nehmen: wo sie beginnen, wie sie sich verschieben und wo sie enden. Diese Informationen sind für die regulatorische Berichterstattung wichtig. 

Die Datenklassifizierung bezeichnet die Praxis, Daten nach ihrer Sensitivität zu kennzeichnen, damit die richtigen Kontrollmaßnahmen angewendet werden können. Zum Beispiel wird eine Sozialversicherungsnummer viel vorsichtiger behandelt als Daten zur Gesamtzahl der monatlichen Besucher einer Filiale. 

Metadatenmanagement– im Wesentlichen die Pflege von Daten über Daten (z. B. wann sie hochgeladen wurden und wie sie definiert sind) – hilft Banken dabei, ihre Daten übersichtlich zu verwalten.

Metadaten, oft in einem wörterbuchähnlichen Datenkatalog organisiert, können helfen, zu unterscheiden, was genau mit einem Feld mit der Bezeichnung „Kunde“ gemeint ist und ob sich dieses Feld auf Einzelpersonen, Unternehmen oder beides beziehen kann.

Das verwandte, aber allgemeinere Konzept der Datenqualität hilft dabei zu definieren (und zu messen), ob Datenbanken genau, vollständig und aktuell genug sind, um vertrauenswürdig zu sein.

Das weltweite Finanzsystem ist ein weitverzweigtes, miteinander verbundenes internationales Netzwerk. Daher arbeiten viele Banken unter überlappenden, internationalen regulatorischen Anforderungen.

Der Basler Ausschuss für Bankenaufsicht (BCBS) bezeichnet sich selbst als den wichtigsten globalen Standardsetzer für die Bankenregulierung. Sie befindet sich in der ältesten internationalen Bankinstitution der Welt (der Bank for International Settlements, gegründet 1930). Zu ihren 45 Mitgliedern gehören die weltweit wichtigsten Finanzaufsichtsbehörden, wie die US-Notenbank, die Europäische Zentralbank und die Bank of Japan. 

Einige Jahre nach der Finanzkrise 2008 gab der BCBS den Standard 239 (BCBS 239)⁴ heraus, der sich mit der Data Governance befasst. Der Standard zielte darauf ab, das Risikomanagement der Banken durch verbesserte Bewertungen, messbare Datenqualität und Datenaggregation zu stärken. Ursprünglich richtete sich der Standard an „globale, systemrelevante Banken“ (G-SIBs), dann an „inländische, systemrelevante Banken“ (D-SIBs), und die Erwartungen des Standards wurden im gesamten Bankensektor übernommen. Ein McKinsey-Bericht aus dem Jahr 2024 über BCBS verwies auf einen „erneuerten Fokus“ auf den Standard und „wachsenden Druck auf die Banken, die Erwartungen der lokalen Aufsichtsbehörden zu erfüllen“ – was sich in dem von der OCC gegen die Citibank verhängen Strafgeld widerspiegelt.⁵

Diese internationalen Verordnungen werden durch eine Mischung aus allgemeinen und lokalen Datenschutz- und Datensicherheitsvorschriften ergänzt (einige sind auf Banken ausgerichtet, andere branchenunabhängig). Zum Beispiel verlangt die umfassende Datenschutz-Grundverordnung (DSGVO) der EU, dass Banken (oder jede andere Firma) wissen müssen, welche personenbezogenen Daten sie speichern, warum sie sie haben, wie genau sie sind und wie sie sie schützen.

In den USA haben einige Bundesstaaten spezielle Gesetze in Bezug auf Banken und Daten. Im Bundesstaat New York schreibt die Cybersicherheit - Regulierung (23 NYCRR Part 500)⁶ vor, dass Banken und Versicherungsgesellschaften, die in New York tätig sind, strenge Sicherheitsmaßnahmen und Risikobewertungen umsetzen. Das Gesetz verlangt außerdem Zugriffskontrollen, Bestand mit Dateneigentum und -klassifizierung, Aufbewahrungsrichtlinien und Einsatzplanung . 

Manchmal überschneiden sich regionale und sektorspezifische Gesetze auf komplexe Weise. So beeinflusst beispielsweise der kalifornische Verbraucherschutzgesetz (CCPA) weitgehend, wie Unternehmen im Bundesstaat mit personenbezogenen Daten umgehen, auch in Weisen, die einige Banken betreffen können. Zugleich ist seine Anwendung begrenzt. Das Gesetz sieht beispielsweise Ausnahmen für bestimmte personenbezogene Daten vor, die bereits durch den Gramm-Leach-Bliley Act (GLBA) von 1999 geregelt sind.

Zusammenfassend unterliegt konforme Datenverwaltung im Bankwesen einem komplexen Geflecht von Vorschriften, die für verschiedene Rechtsordnungen (international, lokal) und Datentypen (allgemeine Kundendaten, Finanzdaten) gelten.

Trotz mehr als einem Jahrzehnt an Gesetzen zu diesem Thema berichten Aufsichtsbehörden von schleppender Einhaltung der Vorschriften und anhaltenden Herausforderungen im Bereich der Data Governance. Die Aufsichtsbehörden veröffentlichen zunehmend ausführliche Leitfäden, wie Banken ihre Reformen priorisieren und strukturieren sollten.

So veröffentlichte beispielsweise die Europäische Zentralbank (EZB) im Jahr 2024 einen 20-seitigen „Guide on effective risk data aggregation and risk reporting.”⁷ Diese und andere Leitfäden gehen über abstrakte Prinzipien hinaus und bieten konkrete Anleitungen.

Die EZB empfiehlt, mit einer Priorisierungsübung zu beginnen. Eine effektive Data-Governance-Strategie konzentriert sich zunächst auf die wichtigsten Daten: Risikoberichte, Finanzdatenoffenlegungen und Aufsichtsberichte. Ein robustes Data Governance Framework soll sicherstellen, dass entscheidende Datenelemente definierte Dateneigentümer, Qualitätsstandards und Kontrollen haben.

Sowohl BCBS als auch ECB unterstreichen, wie wichtig es ist, das Eigentum an Daten zu konkretisieren und genau abzubilden, wer für einen bestimmten Datensatz verantwortlich ist. Solche Rollen sind häufig in Geschäfts- und IT-Funktionen integriert. Viele Unternehmen formalisieren diese Vereinbarung durch Datenverwalter, Mitarbeiter in Geschäftsbereichen, die für die Verwaltung und das Datenqualität verantwortlich sind (selbst ein umfassendes Konzept, das Datengenauigkeit, Vollständigkeit und Datenintegrität umfasst). Letztlich ist das Ziel, dass Unternehmen hochwertige Daten haben, um fundierte Entscheidungen und bessere Entscheidungsfindung zu unterstützen.

In einem Newsletter des BCBS aus dem Jahr 2026 wird die Datenabstammung, die als „die Rückverfolgbarkeit von Daten von ihrem Ursprung bis zu ihrer endgültigen Verwendung“ definiert wird, als eine beständige „Herausforderung“ für Banken bezeichnet. BCBS merkt an, dass „alte Systeme, verteilte Datenbestände“ – man denke an Datensilos – „und die dynamische Natur der Datenherkunft die Bemühungen der Banken erschweren, die durchgängige Rückverfolgbarkeit zu gewährleisten.“ Es betont jedoch seine Bedeutung und weist darauf hin, dass die Datenabstammung inhärente geschäftliche Vorteile hat, darunter Kostensenkungen und verbesserte Effizienz.⁸

Die Bedienelemente halten alles zusammen. Validierungsregeln können Fehler erkennen, bevor sie sich ausbreiten, während Zugriffskontrollen den Datenzugriff auf autorisierte Benutzer beschränken und so unberechtigten Zugriff verhindern. Durch die Datenklassifizierung kann sichergestellt werden, dass vertrauliche Informationen auf diese Weise behandelt werden, während Richtlinien zur Aufbewahrung und zum Lebenszyklusmanagement festlegen können, wie lange Daten aufbewahrt werden und wann sie sicher entsorgt werden. Schließlich kann die Governance für die in Banken weiterhin bestehenden manuellen Workflows Prüfprozesse und Audit-Trails einrichten, bis diese durch Automatisierung ersetzt werden, was dazu beiträgt, die Abläufe im Laufe der Zeit zu optimieren.

Zwei Kräfte prägen die zukünftige Ausrichtung der Data Governance im Bankwesen.

Das erste ist die KI und das dazugehörige Ökosystem. KI und maschinelles Lernen werden zunehmend in den Bankabläufen eingesetzt, von der Betrugserkennung bis zur Bewertung von Customer Experience. In diesem Umfeld werden viele Governance-Fehler wahrscheinlich nicht als Datenpannen oder Datenschutzverletzungen auftreten, sondern als automatisierte Entscheidungen, die Kunden betreffen. Es ist keine Überraschung, dass das KI-Gesetz der EU neue Anforderungen auf die bestehenden Data Governance-Verpflichtungen für Anwendungsfall im Zusammenhang mit „KI mit hohem Risiko“.”

Die zweite Triebkraft ist die Verlagerung hin zu Echtzeitdaten im digitalen Bankwesen. Daten verschieben sich jetzt schneller denn je. Da Banken zunehmend verschieben auf schnellere Zahlungen, sofortige Berichterstattung und Echtzeit-Risikoüberwachung, ist das traditionelle Modell der periodischen Stapelverarbeitung und nachträglichen Qualitätskontrollen für viele wettbewerbsfähige Unternehmen nicht mehr ausreichend. Daher könnte eine zukunftsorientierte Datenstrategie eine Governance umfassen, die Daten validiert, während sie verschieben, und nicht nur, nachdem sie gespeichert wurden – und so sowohl Compliance als auch betriebliche Effizienz gewährleistet.

Es könnte der Fall sein, dass die Banken, die Governance als reaktive Maßnahme zur Einhaltung von Vorschriften betrachten, ständig Geld für Sanierung ausgeben müssen. Alternativ könnten Banken, die in sie als operative Infrastruktur investieren, letztendlich weniger ausgeben, schneller verschieben und es leichter haben, sich an die nächsten Entwicklungen anzupassen.