Archivierung im Finanzdienstleistungsbereich und MiFID II

Kurz gesagt:

“Finanzdienstleistungen werden zur ‘digitalen Archivierung’ gezwungen, da die Aufsichtsbehörden von den Unternehmen verlangen, Aufzeichnungen (zu denen häufig auch die Kommunikation gehört) unter Wahrung der Integrität und Nachvollziehbarkeit aufzubewahren, zu schützen und wiederherzustellen. MiFID II ist ein wesentlicher Treiber auf EU-Ebene, doch auch DORA, die Überwachung von Marktmissbrauch, AML-Kontrollen sowie (für globale Unternehmen) die Aufbewahrungsvorschriften der SEC und der FINRA prägen die Anforderungen an eine ‘ordnungsgemäße Archivierung’.“

Warum Finanzdienstleister mehr als nur Speicherplatz benötigen

Im Bankwesen, im Versicherungswesen, in der Vermögensverwaltung und bei Wertpapierhändlern ist die Aufbewahrung von Unterlagen keine reine Backoffice-Aufgabe – sie ist ein Kontrollinstrument. Die Aufsichtsbehörden erwarten von Ihnen, dass Sie vollständige Unterlagen zügig vorlegen, nachweisen, dass diese nicht manipuliert wurden, und darlegen, wer auf welche Daten zugegriffen oder diese geändert hat. An dieser Stelle entwickelt sich die Archivierung zu digitale Langzeitarchivierung: Integrität + Herkunft + Reproduzierbarkeit im Zeitverlauf.

Wichtige regulatorische Einflussfaktoren (zunächst EU, mit globalen Ergänzungen)

MiFID II / MiFIR: Transaktionen und Mitteilungen

Mit der MiFID II wurden strenge Anforderungen an die Aufzeichnung und Aufbewahrung bestimmter Kommunikationen sowie an die Führung von Transaktionsaufzeichnungen eingeführt. In der Praxis zwingt dies die Unternehmen dazu, Folgendes zu erfassen und aufzubewahren:

Auftrags- und Transaktionsdatensätze mit vollständigem Kontext.
Relevante Kommunikation (z. B. Anrufe, Chats, E-Mails) je nach Geschäftstätigkeit.
Die Fähigkeit, Aufzeichnungen abzurufen und den zuständigen Behörden auf Anfrage zur Verfügung zu stellen.

Marktmissbrauchsverordnung (MAR): Überwachungsergebnisse

MAR erhöht die Notwendigkeit, Nachweisketten für die Überwachung und Ermittlungen zu sichern: Warnmeldungen, Eskalationen, Ermittlungen, Entscheidungen und begleitende Unterlagen.

DORA: IKT-Risikomanagement + Dokumentation

DORA legt den Schwerpunkt auf operative Resilienz. Auch wenn es sich nicht um ein ‘Archivierungsgesetz’ handelt, sorgt es doch für fundiertere Nachweise: Richtlinien, Kontrollmaßnahmen, Vorfälle, Tests, Unterlagen zu Risiken durch Dritte – sowie die Möglichkeit, die Governance über einen längeren Zeitraum hinweg nachzuweisen.

Anforderungen im Bereich AML/CTF: Nachprüfbarkeit

Maßnahmen zur Bekämpfung der Geldwäsche basieren auf nachvollziehbaren Aufzeichnungen: KYC-Unterlagen, Risikobewertungen, Überwachung, Untersuchungen und Entscheidungsfindung. Archive müssen die Nachverfolgbarkeit sowie die Aufbewahrungsvorschriften gewährleisten.

Globale Unternehmen: SEC 17a-4 / FINRA 451: unveränderliche Aufbewahrungsvorschriften

Falls Sie Verpflichtungen gegenüber US-amerikanischen Broker-Dealern erfüllen, SEC/FINRA Diese Vorschriften sind dafür bekannt, dass sie eine Aufbewahrung unter strengen Kontrollen (in der Praxis oft als WORM-ähnliche bzw. unveränderliche Muster bezeichnet) sowie einen überwachten Zugriff und reproduzierbare Exporte vorschreiben.

Großbritannien: Aufbewahrungspflichten der FCA (z. B. SYSC): Nachweise zur Unternehmensführung

Für in Großbritannien regulierte Unternehmen stehen die Anforderungen an die Aufbewahrung von Unterlagen häufig im Zusammenhang mit Unternehmensführung und Kontrollmechanismen: Es muss nachgewiesen werden können, dass Entscheidungen getroffen, Aufsicht ausgeübt und operative Prozesse durchgeführt wurden.

Wie eine ‘prüfungsfähige’ Archivierung aussieht

Unabhängig von den genauen Vorschriften weisen erfolgreiche Programme dieselben Kompetenzen auf:

Aufbewahrungsrichtlinien, deren Einhaltung Sie nachweisen können (sowie Unterstützung bei der rechtlichen Aufbewahrungspflicht).
Integritätskontrollen (Hash-Manifeste, Manipulationsschutz, gegebenenfalls unveränderliche Protokolle).
Vollständiger Kontext: Metadaten + Beziehungen + Versionshistorie.
Zugriffskontrollen (RBAC/ABAC) + Protokollierung der Zugriffsvorgänge.
Schnelle Suche im Stil von eDiscovery + exportierbare Berichte.

Ein praktischer Umsetzungsleitfaden

Definieren Sie Datensatzklassen: Handelsgeschäfte/Aufträge, Korrespondenz, Überwachungsfälle, Richtlinien, Belege von Lieferanten.
Aufbewahrungsfristen für Karten: Wie lange, wo und wer hat Zugriff?.
Erstellung von Beweismaterialpaketen: Inhalt + Metadaten + Prüfpfad + Verzeichnis.
Automatisieren Sie die Datenerfassung und den Abgleich (Vollständigkeitsprüfungen).
Testabfrage: zeitgebundene Übungen (Können wir X innerhalb von 24 Stunden erstellen?).

Häufig gestellte Fragen

Frage 1: Schreibt die MiFID II die Aufzeichnung sämtlicher Kommunikationen vor?

Die Anforderungen hängen von den Dienstleistungen und Aktivitäten ab. Am sichersten ist es, einen klaren Umfang (Kanäle, Geschäftsbereiche, Produkte) festzulegen und Kontrollmaßnahmen einzuführen, die Sie gegenüber den Prüfern rechtfertigen können.

Frage 2: Worin besteht der Unterschied zwischen Archivierung und digitaler Langzeitarchivierung?

Bei der Archivierung geht es oft lediglich um das ‘Speichern und Abrufen’. Die digitale Langzeitarchivierung gewährleistet zudem langfristige Integrität, Herkunftsnachweis und Reproduzierbarkeit – und stellt sicher, dass die Unterlagen auch dann noch stichhaltig sind, wenn sich Systeme, Anbieter und Verschlüsselungsverfahren ändern.

Frage 3: Was ist der Hauptgrund dafür, dass Archivierungsprogramme scheitern?

In der Praxis: unvollständige Erfassung (fehlende Kanäle/Daten), unklare Aufbewahrungs- und Zugriffsregeln oder Archive, die keine Audit-Exporte zügig bereitstellen können.

Archivierung im Finanzdienstleistungssektor: Welche Vorschriften treiben die digitale Aufbewahrung voran (MiFID II und darüber hinaus)?

Inhaltsverzeichnis