Banken: Schwache Risikodaten erschweren Entscheidungen

4 Min. Lesezeit

Aktualisiert am 3. November 2026 · Ursprünglich veröffentlicht am 20. Juli 2026

Wenn Risikodaten unvollständig oder verspätet vorliegen, fehlen Banken wichtige Grundlagen für Entscheidungen. Die Europäische Zentralbank sieht bei den von ihr beaufsichtigten Instituten weiterhin Schwächen bei Datenqualität, Architektur und Verantwortlichkeiten. Fortschritte bei der Zusammenführung von Risikodaten und der Berichterstattung bewertet sie als langsam. Für Geschäftsleitungen rückt damit die Frage in den Mittelpunkt, wie verlässlich ihre Risikoberichte entstehen.

Wo die EZB Schwächen bei Risikodaten sieht

Banken müssen Risiken erkennen, überwachen und darüber berichten. Dafür führen sie Daten aus unterschiedlichen Bereichen zusammen. In ihrem Bericht über die aufsichtliche Überprüfung beschreibt die EZB die Fortschritte bei dieser Aufgabe als langsam und unzureichend. Zu den verbleibenden Problemen zählen aus ihrer Sicht eine zu geringe Priorisierung durch die Leitungsgremien, unzureichende Datenarchitekturen und IT-Infrastrukturen sowie Mängel bei der Kontrolle der Datenqualität.

Die EZB nennt Schwierigkeiten bei Genauigkeit, Vollständigkeit und Aktualität der Daten. Solche Lücken können die Grundlage für Risikoberichte schwächen. Aus dem Befund lässt sich allerdings weder ableiten, dass IT-Investitionen in der Branche stocken, noch dass ein einzelner Mangel dafür verantwortlich wäre.

Was bedeutet Risikodatenaggregation? Gemeint ist die Fähigkeit einer Bank, risikobezogene Daten zusammenzuführen und daraus Berichte für Steuerung und Aufsicht zu erstellen.

Warum die Qualität für Entscheidungen zählt

Nach Einschätzung der EZB beeinträchtigen Mängel in Datenqualität und Berichterstattung die Fähigkeit einer Bank, Risiken zu erkennen, zu überwachen und zu begrenzen. Die Angaben müssen daher für den jeweiligen Bericht nachvollziehbar und rechtzeitig verfügbar sein. Das gilt etwa für die interne Risikosteuerung und für Meldungen an die Aufsicht.

Auch bei der Planung von KI-Anwendungen lohnt sich ein Blick auf die verwendeten Daten. Für ein Institut ist entscheidend, welche Quellen in eine Anwendung eingehen, wer sie verantwortet und wie Fehler erkannt werden. Die Bereinigung der Daten allein garantiert dabei noch kein zuverlässiges Ergebnis.

Welche Rolle die Geschäftsleitung übernimmt

Die EZB berichtet in ihrem Jahresbericht zur Bankenaufsicht von schrittweisen Fortschritten: Die Leitungsebene befasste sich stärker mit der Behebung festgestellter Mängel. Zugleich sieht die Aufsicht weiteren Handlungsbedarf bei Daten-Governance, Datenarchitektur und IT-Infrastruktur.

Für die praktische Arbeit kann eine Bank zunächst einen wichtigen Risikobericht auswählen und seinen Datenweg zurückverfolgen: Welche Systeme liefern Werte? Wo werden sie verändert oder manuell ergänzt? Wer prüft Abweichungen und wer entscheidet über deren Behebung? Daraus lässt sich ein Maßnahmenplan mit Zuständigkeiten und überprüfbaren Zwischenzielen ableiten.

Die EZB verlangt bei festgestellten Mängeln klare Zeitpläne und Zwischenziele. Bleiben Maßnahmen ohne rechtzeitiges Ergebnis, kann sie wirksamere aufsichtliche Instrumente einsetzen.

DORA und BAIT richtig einordnen

Der Digital Operational Resilience Act, kurz DORA, gilt grundsätzlich seit dem 17. Januar 2025 für die in der Verordnung genannten Finanzunternehmen. Er regelt unter anderem das Management von Risiken der Informations- und Kommunikationstechnologie. Sein Anwendungsbereich ist im Einzelfall zu prüfen.

Die BaFin stellt klar: Institute, die ein IKT-Risikomanagement nach den einschlägigen DORA-Vorgaben betreiben müssen, sind seit deren Anwendung vom Anwendungsbereich der bankaufsichtlichen Anforderungen an die IT, kurz BAIT, ausgenommen. Daraus folgt keine pauschale Aussage für jedes Finanzunternehmen. Für die eigene Prüfung sind Zulassung, Tätigkeit und die jeweils einschlägigen Anforderungen maßgeblich.

Häufige Fragen

Bildquelle: KI-generiert (Juni 2026)