Finanzdaten-Governance scheitert genau an den Schnittstellen der Kommunikationskanäle

Die meisten Finanzinstitute verfügen nicht über eine einzige Data-Governance-Richtlinie. Sie haben mehrere: eine für E-Mails, eine andere für Filesharing, eine weitere für Zahlungsnachrichten und oft keine klare Richtlinie für den neuesten Kanal, KI-Agents, die Kundenportfolios zusammenfassen. Jede dieser Richtlinien wurde von einem anderen Team, zu einer anderen Zeit und auf Basis unterschiedlicher Anforderungen entwickelt. Für sich genommen erscheint jede Richtlinie sinnvoll. Zusammengenommen entstehen Lücken, die niemand absichtlich geschaffen hat und die kaum jemand erkennt.

Diese Lücken bleiben nicht lange theoretisch. Eine als vertraulich eingestufte Kundenakte in einem geschützten Ordner kann ungehindert als E-Mail-Anhang verschickt werden, sobald jemand sie weiterleitet – denn die Richtlinie des Ordners gilt nicht mehr, sobald die Datei ihn verlässt. Ein vertrauliches Deal-Datenset, das in einem System für die externe Weitergabe gesperrt ist, kann über eine API-Integration exportiert werden, die niemand abgedeckt hat. Dieser Artikel erläutert, warum die getrennte Steuerung einzelner Kanäle bei Finanzinstituten zwangsläufig zu solchen Lücken führt – und was tatsächlich nötig ist, um sie zu schließen.

Executive Summary

Data Governance, die bei Finanzinstituten kanalweise aufgebaut wurde, führt zwangsläufig zu inkonsistentem Schutz. Denn jedes Kanal-Tool wurde unabhängig entwickelt und konfiguriert – oft von unterschiedlichen Teams, die jeweils ein akutes Problem lösen sollten. Das Ergebnis ist kein Nebeneinander akzeptabler Einzelrisiken. Es entsteht ein einziges, kombiniertes Risiko, das dem schwächsten Kanal entspricht. Kundendaten wechseln routinemäßig zwischen den Kanälen, und eine Richtlinie, die an der Kanalgrenze endet, bietet keinen Schutz mehr, sobald die Daten diese Grenze überschreiten. Für Security- und Compliance-Verantwortliche bedeutet das in der Praxis: Einzelne Kanäle zu prüfen, deckt dieses Risiko nicht auf. Entscheidend ist, was mit einem bestimmten Kundendatensatz passiert, wenn er von einem Kanal in den nächsten wechselt.

Wichtige Erkenntnisse

1. Fragmentierte Governance bedeutet, dass dieselbe Kundendatei in einem Kanal geschützt und in einem anderen ungeschützt ist. Eine Klassifizierung oder Zugriffsregel, die in einem System gilt, begleitet die Daten beim Wechsel in ein anderes System selten.
2. Anhänge sind der häufigste Punkt, an dem eine Richtlinie unbemerkt nicht mehr greift. Eine Datei, die in einem geschützten Ordner sorgfältig verwaltet wird, kann als E-Mail-Anhang verschickt werden – ohne dass die Beschränkungen des Ordners erhalten bleiben.
3. Jeder zusätzliche Kanal ist ein weiterer Ort, an dem sich eine Richtlinienlücke verbergen kann. E-Mail, Filesharing, Zahlungsnachrichten, APIs und jetzt KI-Agents benötigen jeweils Abdeckung – eine Lücke in nur einem Kanal reicht aus.
4. Klassifizierung muss eine Eigenschaft der Daten sein, nicht des Systems, in dem sie sich gerade befinden. Ein Tag oder Sensitivitätslabel schützt Kundendaten nur dann konsistent, wenn es beim Wechsel zwischen Kanälen erhalten bleibt.
5. Eine zentrale Policy-Engine, die alle Kanäle abdeckt, schließt die Lücke, die kanalbezogene Tools nicht schließen können. Die Durchsetzung muss überall nach denselben Regeln erfolgen – unabhängig davon, durch welchen Kanal die Daten gerade laufen.

Warum kanalbezogene Governance der Standard war – und warum sie für Finanzinstitute nicht funktioniert

Die meisten Institute sind durch eine Reihe jeweils sinnvoller Einzelentscheidungen zu fragmentierter Governance gelangt, nicht durch einen einzigen Fehler. Eine Filesharing-Plattform wurde ausgewählt und abgesichert. Ein E-Mail-System wurde gewählt und separat abgesichert.

Jedes Tool löst nur seinen eigenen Kanal – nicht die gesamte Datenreise

Die Zugriffskontrollen einer Filesharing-Plattform regeln, wer innerhalb dieser Plattform eine Datei öffnen, herunterladen oder teilen darf. Sie haben jedoch keinen Einblick und keine Kontrolle darüber, was passiert, wenn die Datei als E-Mail-Anhang verschickt, in ein anderes System kopiert oder über eine Zahlungs-API gezogen wird. Jedes Tool wurde entwickelt, um seinen eigenen Kanal gut zu steuern – keines, um die Daten nach Verlassen des Kanals weiter zu schützen.

Richtlinien werden nachträglich selten kanalübergreifend abgestimmt

Sobald jeder Kanal sein eigenes Governance-Tool und eigene Administratoren hat, wird die Abstimmung der Richtlinien zu einem Projekt, das niemand verantwortet. Es müsste jemand Regelwerke in unterschiedlichen Sprachen vergleichen, die von verschiedenen Systemen durchgesetzt werden und sich auf überlappende, aber nicht identische Kategorien von Kundendaten beziehen. In der Praxis passiert diese Abstimmung selten umfassend.

Wo die Lücke für Finanzinstitute tatsächlich sichtbar wird

Das theoretische Risiko fragmentierter Governance wird an bestimmten, vorhersehbaren Punkten konkret – nämlich immer dann, wenn Kundendaten eine Kanalgrenze überschreiten.

Das Anhang-Problem

Eine Datei, die in einem sorgfältig verwalteten, zugriffsbeschränkten Ordner liegt, ist aus Sicht der meisten E-Mail-Systeme einfach eine Datei, die ein Anwender als Anhang auswählt. Die Zugriffsregeln und Freigabebeschränkungen des Ordners begleiten die Datei nicht in die E-Mail. Nach dem Anhängen und Versenden gilt nur noch die – meist viel schwächere – Richtlinie des E-Mail-Systems.

Das Integrations- und API-Problem

Finanzinstitute verbinden ständig Systeme miteinander – über APIs, Automatisierungsplattformen und zunehmend KI-Agents, die Portfoliodaten im Auftrag des Kunden auslesen und verarbeiten. Jede Integration ist ein potenzieller Kanal für sensible Daten, der durch eigene, oft minimale Zugriffskonfigurationen geregelt wird – und nicht durch die eigentliche Datenrichtlinie des Instituts.

Warum Klassifizierung mit den Daten reisen muss

Um diese Lücken zu schließen, ist ein anderer Ansatz erforderlich: Die Richtlinie muss immer gleich bewertet werden – unabhängig davon, in welchem Kanal sich die Daten gerade befinden.

Tags und Klassifizierung als übertragbare Eigenschaften

Wenn eine Datei oder ein Kundendatensatz beim Eintritt in ein System als sensibel gekennzeichnet wird, sollte diese Klassifizierung auch in jedem weiteren System erhalten bleiben. Eine Datei, die in einem Ordner als vertraulich markiert ist, muss auch beim Versuch, sie als E-Mail-Anhang zu verschicken, weiterhin als vertraulich erkennbar sein.

Durchsetzung muss den Übergang abdecken – nicht nur die einzelnen Systeme

Der riskanteste Moment für jeden Kundendatensatz ist der Wechsel zwischen Kanälen, nicht die Zeit im ruhenden Zustand innerhalb eines Systems. Ein Governance-Ansatz, der Regeln innerhalb einer Filesharing-Plattform und eines E-Mail-Systems gut durchsetzt, aber beim konkreten Vorgang des Anhängens einer Datei von einem System ins andere nichts regelt, schließt die Lücke nicht wirklich.

Audits auf Fragmentierung statt kanalweise Prüfung

Für die Security- oder Compliance-Abteilung eines Finanzinstituts bedeutet der praktische Wandel, nicht mehr zu fragen „Ist unsere Filesharing-Plattform sicher?“ und „Ist unser E-Mail-System sicher?“ als getrennte Fragen, sondern: Was passiert mit einer bestimmten, sensiblen Kundendatei, wenn sie von einem zum nächsten Kanal wechselt – und dann weiter?

Wie eine Data Control Plane die Lücke zwischen Kanälen schließt

Fragmentierung zu beseitigen heißt nicht, jedes kanalbezogene Tool im Institut zu ersetzen. Es bedeutet, eine Governance-Schicht einzuführen, die über allen Kanälen liegt und dieselbe Richtlinie auf dieselben Daten anwendet – unabhängig davon, durch welchen Kanal sie gerade laufen.

Die Kiteworks Data Control Plane setzt einheitliche, datenbezogene zero-trust-Richtlinien für alle Kanäle durch, über die sensible Daten laufen – einschließlich E-Mail, Filesharing, APIs und KI-Agents. Die Klassifizierung, die automatisch beim Eintritt der Daten ins System erfolgt, begleitet die Daten, sodass dieselbe Beschränkung, die eine Datei im geschützten Ordner regelt, auch dann greift, wenn sie als E-Mail-Anhang verschickt oder über eine Integration exportiert wird. Jede Durchsetzungsentscheidung – kanalübergreifend – wird in einem einzigen fälschungssicheren, uneingeschränkten Audit-Log erfasst, der direkt in SIEM-Tools eingespeist wird.

Institute, die ihre eigenen kanalübergreifenden Lücken finden möchten, können eine individuelle Demo vereinbaren, um zu sehen, wie eine konsistente, kanalübergreifende Policy im Vergleich zum bisherigen Ansatz abschneidet.