5 Archivspeicher für Finanzdienstleister bringt Pflichten mit sich, mit denen die meisten Unternehmensspeicher nie konfrontiert werden. Banken, Broker-Dealer, Vermögensverwalter und Versicherer müssen Kommunikation, Handelsdaten, Kundendokumente und Prüfungsnachweise jahrelang, manchmal jahrzehntelang aufbewahren – in einer Form, die Aufsichtsbehörden als manipulationssicher anerkennen. Sie müssen bestimmte Aufzeichnungen schnell finden, wenn Aufsicht oder Gerichte danach fragen, Holds setzen, die die Löschung übersteuern, und nachweisen, dass nichts verändert wurde. Die Volumen sind groß und wachsen – von E-Mail und Chat bis zu Sprachaufzeichnungen und Handelsdaten –, und die Regeln unterscheiden sich zwischen den USA, Europa, dem Vereinigten Königreich und Asien. Dieser Artikel erklärt, was regulatorische Archive enthalten, welche regulatorischen Anforderungen den Speicher in den wichtigsten Regionen prägen, welche Speicherfähigkeiten Banken suchen und wie sich eine skalierbare Archivplattform gestalten lässt. Er dient der allgemeinen Information und ist keine Rechtsberatung; Institute sollten die Anforderungen mit ihren Compliance- und Rechtsabteilungen abstimmen. Was das regulatorische Archiv einer Bank enthält Elektronische Kommunikation: E-Mail, Instant Messaging, Kollaborationsplattformen und zunehmend mobiles Messaging. Sprachaufzeichnungen: Händler-Turrets, Mobiltelefonate und Gespräche im Kundenservice. Handels- und Transaktionsdaten: Aufträge, Ausführungen, Bestätigungen und Meldungen. Kundenunterlagen: Kontoeröffnung, KYC-Unterlagen und Korrespondenz. Finanz- und Prüfungsunterlagen: Hauptbücher, Berichte, Arbeitspapiere der Prüfung und Nachweise. Anwendungsarchive: Daten aus stillgelegten Systemen, die aus regulatorischen Gründen aufbewahrt werden. Viele davon liegen in getrennten Archivierungsanwendungen mit jeweils eigenem Speicher – ein Grund, warum Institute eine Konsolidierung auf eine gemeinsame Archivplattform anstreben. Regulatorische Anforderungen nach Region Vereinigte Staaten SEC Rule 17a-4 verpflichtet Broker-Dealer, bestimmte Aufzeichnungen für festgelegte Zeiträume aufzubewahren, viele drei oder sechs Jahre, die ersten beiden Jahre leicht zugänglich. Elektronische Aufzeichnungen müssen entweder in einem nicht wiederbeschreibbaren, nicht löschbaren Format, meist WORM genannt, aufbewahrt werden oder – seit den 2022 verabschiedeten Änderungen – in einem System, das einen vollständigen, zeitgestempelten Audit-Trail aller Änderungen und Löschungen führt. FINRA-Regeln und Aufzeichnungsregeln der CFTC für Futures und Swaps ergänzen weitere Anforderungen, darunter die Aufbewahrung von Swap-Aufzeichnungen über die Laufzeit des Swaps und darüber hinaus. Europäische Union MiFID II verpflichtet Wertpapierfirmen, Telefongespräche und elektronische Kommunikation zu Geschäften aufzuzeichnen und fünf Jahre aufzubewahren, auf Verlangen der zuständigen Behörde verlängerbar auf sieben. Die DSGVO gilt für personenbezogene Daten in Archiven und verlangt eine begründete Aufbewahrung und den Schutz der Daten. DORA ergänzt Pflichten zum IKT-Risikomanagement und zur Resilienz von Finanzunternehmen, einschließlich Backup und Wiederherstellung. Vereinigtes Königreich Die Aufzeichnungspflichten der FCA entsprechen weitgehend MiFID II und verlangen in der Regel eine Aufbewahrung von fünf Jahren, auf Verlangen der FCA bis zu sieben. Personenbezogene Daten unterliegen der UK GDPR. Asien-Pazifik und Naher Osten Aufsichtsbehörden in Japan, Singapur, Hongkong, den VAE und andernorts legen eigene Regeln für Aufzeichnung und Auslagerung fest, oft mit Erwartungen zum Speicherort, zum Zugriff der Aufsicht und zur Resilienz. Viele Institute halten regulierte Archive im Land, um die Compliance zu vereinfachen. Speicherfähigkeiten, die Banken suchen Unveränderlichkeit oder Audit-Trail Regulierte Aufzeichnungen müssen vor Veränderung und vorzeitiger Löschung geschützt sein. Object Lock im Compliance-Modus bietet eine WORM-Aufbewahrung, die selbst Administratoren nicht aufheben können. Compliance-Teams verlangen häufig unabhängige Bewertungen der WORM-Fähigkeiten einer Speicherplattform gemessen an SEC 17a-4 und verwandten Regeln. Aufbewahrungsverwaltung Unterschiedliche Aufzeichnungsarten haben unterschiedliche Aufbewahrungsfristen, und diese können je nach Rechtsraum variieren. Speicher und Archivierungsanwendungen müssen die Aufbewahrung pro Aufzeichnung oder Kategorie anwenden und Aufzeichnungen nach Ablauf löschen. Legal Holds Rechtsstreitigkeiten, Ermittlungen und aufsichtsrechtliche Anfragen erfordern Holds, die die Löschung bestimmter Aufzeichnungen bis zur Freigabe aussetzen – unabhängig von den Aufbewahrungsdaten. Suche und Abruf Aufsichtsbehörden und Gerichte erwarten eine zeitnahe Vorlage. Die Archivierungsanwendung liefert Suche und eDiscovery; der Speicher muss Aufzeichnungen schnell bereitstellen, auch bei großen Herausgaben. Langlebigkeit und Resilienz Archive müssen Hardwareausfälle und den Verlust eines Standorts überstehen. Das bedeutet Erasure Coding innerhalb eines Standorts und Kopien an einem zweiten Standort, mit getesteter Wiederherstellung. Sicherheit und Zugriffskontrolle Archive enthalten hochsensible Daten. Verschlüsselung, strenge Zugriffskontrolle, Funktionstrennung und Audit-Logging sind unerlässlich. Datenresidenz Viele Institute müssen bestimmte Aufzeichnungen in bestimmten Ländern halten oder der Aufsicht genau nachweisen können, wo die Daten liegen. Skalierung und Kosten Kommunikationsarchive wachsen schnell, besonders durch Sprache, Video und Kollaborationsdaten. Der Speicher muss bei tragbaren Kosten pro Terabyte in den Petabyte-Bereich skalieren – für Aufbewahrungsfristen, die Hardwaregenerationen überdauern. Architektur: Archive konsolidieren Viele Banken betreiben mehrere Archivierungsanwendungen für E-Mail, Sprache, Handelsdaten und Dokumente, jeweils mit eigenem Speicher. Wird die Speicherschicht auf einer einzigen S3-kompatiblen Objektspeicher-Plattform konsolidiert und bleiben die spezialisierten Anwendungen darüber bestehen, sinken die Kosten, Aufbewahrung und Unveränderlichkeit werden einfacher und die Resilienz wird einheitlich. Jede Anwendung nutzt eigene Buckets und Richtlinien, wo erforderlich mit Object Lock. Es kommen ständig neue Kommunikationskanäle hinzu Aufsichtsbehörden haben klargestellt, dass Aufzeichnungspflichten dem Geschäft folgen, nicht dem Kanal. Durchsetzungsmaßnahmen der letzten Jahre wegen der Nutzung nicht zugelassener Messaging-Apps durch Mitarbeiter haben Unternehmen dazu gebracht, mehr Kanäle zu erfassen, darunter mobiles Messaging, Chats auf Kollaborationsplattformen, Meeting-Aufzeichnungen und Transkripte. Jeder neue Kanal bringt zusätzliches Volumen und neue Formate ins Archiv. Insbesondere Aufzeichnungen von Videokonferenzen können weit größer sein als E-Mails. Speicherpläne sollten davon ausgehen, dass die Zahl der erfassten Kanäle weiter wächst und das Archivwachstum sich eher beschleunigt als abflacht. Workloads für Aufsicht und Überwachung Archive dienen nicht nur der Aufbewahrung. Compliance-Teams überwachen Kommunikation und Geschäfte, um Marktmissbrauch, Fehlverhalten und Verhaltensrisiken aufzudecken, zunehmend mit Analytik und Sprachmodellen über große Mengen an Text und Sprache. Diese Workloads lesen archivierte Daten wiederholt, daher muss die Archivebene neben Kapazität auch angemessenen Durchsatz liefern. Archivierte Daten auf Online-Objektspeicher statt auf Offline-Medien zu halten macht Überwachung und Analytik praktikabel, ohne Daten zuerst wiederherstellen zu müssen. Kosten über die Aufbewahrungsfrist Die Archivkosten sollten über die gesamte Aufbewahrungsfrist modelliert werden, nicht über die erste Vertragslaufzeit. Eine heute erfasste Aufzeichnung muss womöglich fünf bis sieben Jahre oder länger aufbewahrt werden, über mindestens eine Hardware-Erneuerung hinweg. Speicher, der im laufenden Betrieb erneuert wird, ohne Aufzeichnungen zu migrieren und ihre Integrität erneut nachzuweisen, vermeidet einen der größten versteckten Kostenfaktoren der regulierten Archivierung. Altarchive migrieren Banken führen oft Archive auf alterndem Speicher oder in älteren Archivierungsprodukten. Migrationen müssen Integrität, Metadaten, Aufbewahrungsdaten und Legal Holds der Aufzeichnungen erhalten und einen Audit-Trail erzeugen, der zeigt, dass nichts verloren ging oder verändert wurde. Zusammenarbeit mit Compliance- und Revisionsteams Speicherteams verantworten selten die Anforderungen an Archive, wohl aber die Plattform, die sie erfüllen muss. Beziehen Sie Compliance, Schriftgutverwaltung, Rechtsabteilung und interne Revision früh ein. Vereinbaren Sie, welche Aufzeichnungen wohin gehören, welche Aufbewahrungs- und Hold-Regeln gelten, wie Nachweise der Unveränderlichkeit erbracht werden und wie oft die Kontrollen getestet werden. Stellen Sie Berichte zu Object-Lock-Einstellungen, Aufbewahrungsdaten und Zugriffslogs bereit, damit Audits ohne manuelle Recherche unterstützt werden können. Checkliste: Archivspeicher für Finanzdienstleister Inhaltsarten, Anwendungen und Speicher der Archive erfassen. Aufbewahrungs- und Formatanforderungen nach Rechtsraum abbilden. WORM- oder Audit-Trail-fähigen Speicher mit unabhängigen Bewertungen nutzen. Aufbewahrung pro Aufzeichnungsart anwenden und Legal Holds unterstützen. Schnellen Abruf für Vorlagen gegenüber Aufsicht und Gerichten sicherstellen. Archive mit Verschlüsselung, Zugriffskontrolle und Audit-Logs schützen. Daten an den geforderten Orten halten. Resilienz über mehrere Standorte auslegen und die Wiederherstellung testen. Archivspeicher auf einer skalierbaren Plattform konsolidieren. Migrationen mit Integritäts- und Prüfnachweisen planen. Zusammenfassung Archivspeicher für Finanzdienstleister muss Aufzeichnungen unverändert, korrekt aufbewahrt und auf Anforderung abrufbar halten – über mehrere regulatorische Regime hinweg. US-Regeln wie SEC 17a-4, aus MiFID II abgeleitete Regeln in der EU und im Vereinigten Königreich sowie lokale Regeln in Asien und im Nahen Osten legen unterschiedliche Fristen und Formate fest, laufen aber auf dieselben Speicherfähigkeiten hinaus: Unveränderlichkeit oder Audit-Trails, Aufbewahrung und Holds, Resilienz, Sicherheit und Kontrolle über den Speicherort. Eine konsolidierte, skalierbare Objektspeicher-Plattform mit Object Lock auf Compliance-Niveau bietet dieses Fundament für jede darauf laufende Archivierungsanwendung. Häufig gestellte Fragen Welchen Speicher nutzen Banken für regulatorische Archive? Banken nutzen meist Archivierungsanwendungen auf WORM-fähigem Speicher, zunehmend S3-kompatiblen Objektspeicher mit Object Lock, verteilt über mehrere Standorte. Verlangt SEC 17a-4 noch WORM-Speicher? Seit den 2022 verabschiedeten Änderungen können Broker-Dealer WORM-Speicher oder ein System mit vollständigem, zeitgestempeltem Audit-Trail nutzen. Wie lange muss Kommunikation nach MiFID II aufbewahrt werden? Fünf Jahre, auf Verlangen der zuständigen Behörde bis zu sieben. Was ist ein Legal Hold? Eine Anweisung, die die Löschung bestimmter Aufzeichnungen wegen eines Rechtsstreits, einer Ermittlung oder einer aufsichtsrechtlichen Anfrage aussetzt, unabhängig von der normalen Aufbewahrung. Können Banken Archive in der Cloud halten? Manche tun das, vorbehaltlich der Anforderungen an Auslagerung, Residenz und Aufsicht. Viele halten regulierte Archive On-Premises oder in nationalen Einrichtungen. Weiterführende Lektüre Speicher für Aufzeichnungen nach MiFID II und Dodd-Frank Speicher für Aufzeichnungen von Handelsgesprächen Speicher für die Aufbewahrung von Versicherungsdokumenten Compliance nach SEC 17a-4
