Digitale Souveränität im Wealth Management hört nicht bei der Cloud auf
Friedhelm Schmitt
Digitale Souveränität im Wealth Management entscheidet sich nicht am Standort des Rechenzentrums, sondern an der Frage, wer die Kontrolle über Daten, Technologie und Beratungslogik behält. Ein aktuelles Whitepaper zur digitalen Souveränität im Finanzsektor bringt diese Verschiebung auf den Punkt. Friedhelm A. Schmitt, CEO und Co-Founder von fincite, ordnet ein, was das für Banken und Vermögensverwalter bedeutet.
Was bedeutet digitale Souveränität?
Digitale Souveränität ist keine Autarkie, sondern die Fähigkeit, digitale Wertschöpfungs- und Lieferketten trotz bestehender Abhängigkeiten selbstbestimmt zu steuern. Die Studie (KPMG, 2026) beschreibt sie ausdrücklich als Führungs- und Architekturprinzip, nicht als marktfertiges Produkt. Ein „Sovereign"-Label auf einer Cloud schafft demnach noch keine Souveränität.
Die Untersuchung unterscheidet vier Dimensionen: Infrastruktur- und Betriebssouveränität, technologische Souveränität, Datensouveränität und Governance-Souveränität. Cybersecurity wirkt als Querschnittsfunktion über alle vier hinweg. Geht die Kontrolle in einer Dimension verloren, entstehen systemische Abhängigkeiten, die unter regulatorischem oder geopolitischem Druck zur Existenzfrage werden können.
Die Kernaussage der Studie ist einfach: Souveränität kann man nicht kaufen, man muss sie können.
Warum reicht der Cloud-Standort nicht aus?
Der Standort eines Rechenzentrums ist kein Nachweis rechtlicher Hoheit. Extraterritoriale Gesetze wie der US CLOUD Act und FISA §702 ermöglichen behördliche Zugriffe auch auf Daten, die physisch innerhalb der EU liegen, insbesondere bei US-Personenbezug oder US-Routing. Data Residency beantwortet, wo die Daten liegen. Sie beantwortet nicht, wer zur Herausgabe verpflichtet werden kann.
Die Studie stellt dazu zwei Wege gegenüber, die auf dem Papier fast gleich aussehen:
„Compliance First": EU-gehostet, mit anbieterverwalteten Schlüsseln und einem beruhigenden Server in der EU.
„Competence First": Das Institut hält die eigenen kryptografischen Schlüssel, mit denen Daten ver- und entschlüsselt werden, etwa über Confidential Computing und Hold Your Own Key, und bleibt tatsächlich handlungsfähig.
Der entscheidende Unterschied liegt genau hier: Wer die Schlüssel hält, kontrolliert den Zugriff. Liegen sie beim Anbieter, nützt auch der EU-Standort wenig. Souverän ist deshalb nur der zweite Weg. Ein Institut kann vollständig EU-gehostet und vertraglich sauber aufgestellt sein und trotzdem keine echte Kontrolle über seine Daten haben.
Wo liegt die eigentliche Abhängigkeit in der Vermögensverwaltung?
An dieser Stelle geht Friedhelm A. Schmitt einen Schritt weiter als die Studie. Sie nennt Governance-Souveränität als vierte Dimension, also die Frage, wer entscheidet, welche Daten in eine Entscheidung einfließen, und wer prüft, ob eine Empfehlung nachvollziehbar bleibt. Übertragen auf die Vermögensverwaltung ist das keine reine IT-Frage mehr, sondern eine Frage der Beratungsverantwortung gegenüber dem Kunden.
Aus seiner Sicht ist die eigentliche Blackbox nicht der Serverstandort, sondern die Logik, mit der aus Kundendaten eine Anlageempfehlung wird. Wenn diese Beratungslogik über fragmentierte, proprietäre Systeme verteilt ist, die nur ein Anbieter verändern kann, ist die Souveränitätsfrage nicht beantwortet, sondern nur verschoben.
Von der Beratungslogik zur Regulatorik
Für die Systemwahl folgt daraus eine klare Anforderung: modulare, austauschbare Architektur statt monolithischer Plattform. Empfohlen werden Kontrolle über Schnittstellen, offene Standards und der Verzicht auf Black-Box-Lösungen, damit einzelne Komponenten ausgetauscht werden können, ohne den Betrieb zu unterbrechen.
DORA verschärft diesen Punkt. Die Verordnung verlangt nach Artikel 28 nicht nur vertragliche Ausstiegsklauseln, sondern getestete Exit-Strategien für kritische IKT-Dienstleistungen. Ein Institut, dessen Beratungslogik nicht portabel ist, kann diesen Nachweis im Ernstfall nicht führen. Aus Sicht von Friedhelm A. Schmitt rückt dieser Anspruch schrittweise näher an die Beratungsebene selbst, nicht nur an die Infrastruktur darunter.
fincite entwickelt mit fincite • cios eine modular aufgebaute Wealth Management Software, die API-first und kompatibel mit bestehenden Core-Banking-Systemen ist. Damit lassen sich Komponenten wie Onboarding, Portfoliokonstruktion oder Reporting unabhängig voneinander verändern, wenn ein Anbieter nicht mehr passt oder eine regulatorische Anforderung es verlangt.
FAQ
Was bedeutet digitale Souveränität im Wealth Management?
Digitale Souveränität im Wealth Management ist die Fähigkeit einer Bank, die Kontrolle über Daten, Technologie und Beratungslogik zu behalten. Sie ist ein Führungs- und Architekturprinzip, kein Produkt, und entscheidet sich nicht am Standort des Rechenzentrums.
Warum reicht ein EU-Rechenzentrum für digitale Souveränität nicht aus?
Ein EU-Standort schützt nicht vor extraterritorialem Zugriff. Nach dem US CLOUD Act und FISA §702 können US-Anbieter zur Herausgabe von Daten verpflichtet werden, auch wenn diese in der EU liegen. Entscheidend sind Schlüsselhoheit und technische Kontrolle, nicht die Data Residency allein.
Was verlangt DORA in Bezug auf Exit-Strategien?
DORA verlangt nach Artikel 28 getestete Exit-Strategien für kritische IKT-Dienstleistungen, nicht nur vertragliche Ausstiegsklauseln. Institute müssen nachweisen können, dass sie bei Ausfall oder Wechsel eines Anbieters handlungsfähig bleiben.
Fazit: Souveränität ist eine Frage der Beratungslogik
Digitale Souveränität im Wealth Management entscheidet sich nicht am Serverstandort, sondern an der Kontrolle über die Beratungslogik. Die Studie (KPMG, 2026) zeigt, dass Souveränität ein Führungs- und Architekturprinzip ist und dass Data Residency allein gegen CLOUD Act und FISA nicht schützt. DORA macht getestete Exit-Fähigkeit bereits heute zur Pflicht. Institute, die ihre Beratungslogik nicht modular und portabel aufgestellt haben, können diesen Nachweis im Ernstfall nur schwer führen.
