Cloud-Migration im Finanzdienstleistungssektor: Worauf es ankommt

Die Wahl einer Cloud-Plattform für Compliance Recording ist eine grössere Entscheidung als der blosse Austausch von Infrastruktur. Für ein reguliertes Unternehmen ist das Aufzeichnungssystem die Beweisgrundlage, auf die es sich bei einem Audit oder einer Untersuchung stützt. Die Plattform muss deshalb danach beurteilt werden, was sie beweisen kann und nicht nur nach ihren Features.

Dieser Leitfaden legt dar, warum regulierte Unternehmen ihr Compliance Recording in die Cloud verlagern und was ihnen dieser Schritt bringt. Er zeigt zudem, wie sich eine Cloud-Plattform für die Compliance-Aufzeichnung vor der Verpflichtung bewerten lässt: welche Fragen Sie einem Anbieter stellen sollten und welchen Risiken Sie bei einer schwachen Antwort ausgesetzt sind. Er richtet sich an alle, die eine Cloud-Migration im Finanzdienstleistungssektor erwägen und die Wahl gegenüber einer Aufsichtsbehörde verantworten müssen.

Warum Finanzdienstleister ihre Aufzeichnungen in die Cloud verlagern

Finanzdienstleister im regulierten Umfeld geben die On-Premises-Aufzeichnung aus einer Mischung kommerzieller und regulatorischer Gründe auf. Die stärksten Treiber sind Kosten und Betrieb: On-Premises-Systeme verursachen hohe Gesamtbetriebskosten und einen erheblichen Administrationsaufwand. Hinzu kommt, dass immer mehr Unternehmen standardmässig eine Cloud-First-Strategie verfolgen. Daneben weisen alternde Infrastruktur, sich verschärfende Souveränitätsvorschriften und die Konsolidierung nach Fusionen alle in dieselbe Richtung: On-Premises-Aufzeichnung lässt sich immer schwerer rechtfertigen. Der Auslöser ist selten der Wunsch nach Modernisierung um der Modernisierung willen. Der Verbleib beim Status quo ist schlichtweg zur teureren und riskanteren Option geworden.

Gesamtbetriebskosten

Die Kosten für den Betrieb einer On-Premises-Compliance-Aufzeichnung sind der greifbarste Grund, warum Unternehmen auf eine Cloud-Plattform wechseln. On-Premises-Aufzeichnung bindet Kapital in Servern, Speichern und Erneuerungszyklen und verursacht laufende Ausgaben für Strom, Stellfläche und spezialisierte Wartung. Der Wechsel in die Cloud wandelt dies in planbare Betriebsausgaben um, die mit der Nutzung statt mit der Hardware skalieren. Diese lassen sich leichter budgetieren und fallen über die gesamte Lebensdauer des Systems hinweg in der Regel geringer aus.

Administrationsaufwand

On-Premises-Aufzeichnung erfordert ständige Pflege, was regulierte Unternehmen häufig in Richtung Cloud-Recording drängt. Patching, Upgrades, Kapazitätsplanung und Hardwareausfälle landen alle bei den internen Teams. In der Cloud übernimmt der Anbieter diese betriebliche Belastung, wodurch die Mitarbeitenden in den Bereichen Compliance und IT entlastet werden. Infolgedessen können sie sich auf die Aufsicht konzentrieren, anstatt veraltete Geräte am Laufen zu halten.

Cloud-First-Strategie

Eine Cloud-First-IT-Strategie lässt die On-Premises-Aufzeichnung als Fremdkörper zurück. Wenn der Rest der Umgebung, von Produktivitätswerkzeugen bis zum Kernbankensystem, bereits in der Cloud läuft, erschwert ein physischer Recorder vor Ort Sicherheit, Integration und Audit. Die Verlagerung der Compliance-Aufzeichnung in die Cloud bringt den Recorder mit allem anderen in Einklang.

Alternde Infrastruktur

Alternde Infrastruktur drängt Unternehmen dazu, die On-Premises-Aufzeichnung durch eine Cloud-Plattform zu ersetzen. Erreicht ein On-Premises-Produkt für Compliance-Aufzeichnung das Supportende, stellt der Anbieter Patches, Fehlerbehebungen und Sicherheitsupdates ein. Das Unternehmen betreibt dann nicht unterstützte Software auf eigener Infrastruktur, während die fünf- bis siebenjährige Aufbewahrungspflicht nach MiFID II und anderen Regeln für die gehaltenen Aufzeichnungen weiterhin gilt.

Sofern das Altsystem so lange unterstützt wird, bis die Aufzeichnungen das Ende ihrer Aufbewahrungsfrist erreichen, belassen Unternehmen diese Daten in der Regel an Ort und Stelle, bis sie auslaufen. Kommt das Ende des Supports zuerst, ist der sicherere Weg, die Anrufaufzeichnungsdaten in die Cloud auf unterstützte Infrastruktur zu migrieren oder sie in ein Compliance-Archiv zu exportieren.

Datensouveränität

Regeln zur Datensouveränität drängen grössere, länderübergreifend tätige Unternehmen von der On-Premises-Aufzeichnung hin zu einer sicheren Migration in eine souveräne Cloud, die sie nach Region konfigurieren können. Vorschriften regeln zunehmend, wo regulierte Kommunikation liegen darf und wie frei sie sich bewegen kann.

In der EU beschränkt die Datenschutz-Grundverordnung (DSGVO) (respektive das Datenschutzgesetz (DSG) in der Schweiz) die Übermittlung personenbezogener Daten in Jurisdiktionen ohne angemessenes Schutzniveau. Die Konsequenz ist, dass eine Aufzeichnung, die ohne gültigen Übermittlungsmechanismus eine Grenze überschreitet, selbst zum Risiko wird.

In den USA ist das Bild anders: Die meisten einzelstaatlichen Datenschutzgesetze konzentrieren sich auf Verbraucherrechte und den Umgang mit personenbezogenen Daten, statt Anforderungen an die Datenlokalisierung zu stellen. Sektorspezifische Vorschriften, Aufbewahrungsregeln, Sicherheitspflichten und vertragliche Zusagen können jedoch weiterhin beeinflussen, wo regulierte Daten und Aufzeichnungen gespeichert, verarbeitet oder abgerufen werden.

Zwar machen On-Premises-Deployments den physischen Standort offensichtlich: Der Server steht in einem bekannten Gebäude in einem bekannten Land. Das Problem ist allerdings, dass diese Server nie dafür ausgelegt waren, die prüfbaren Nachweise zu Souveränität und Datenstandort zu liefern, die Aufsichtsbehörden zunehmend erwarten. Unternehmen können womöglich belegen, wo Daten gespeichert sind. Doch nachzuweisen, wer die rechtliche und operative Kontrolle über diese Daten hat, wie der Zugriff geregelt ist, wo die Verschlüsselungsschlüssel verwaltet werden und wie Daten sich über Systeme und Rechtsordnungen hinweg bewegt haben, ist oft weit schwieriger.

Konsolidierung

Fusionen und Übernahmen veranlassen Unternehmen häufig dazu, von lokalen Aufzeichnungssystemen auf Cloud-basierte Lösungen umzusteigen. Dies, weil regulierte Organisationen im Zuge solcher Transaktionen oftmals Aufzeichnungssysteme übernehmen, die sie nicht selbst ausgewählt haben und die sie nicht ohne Weiteres ausser Betrieb nehmen können.

Ein übernommener Arbeitsplatz kommt mit seinem eigenen Recorder, seinem eigenen Archiv und seiner eigenen noch laufenden Aufbewahrungsfrist. Das Compliance-Team muss nun mehrere nicht abgeglichene Systeme so belegen, als wären sie ein einziger kohärenter Datensatz. Die Folge sind doppelte Bestände, nicht übereinstimmende Aufbewahrungszustände und eine höhere Wahrscheinlichkeit, dass eine Aufzeichnung bei einem späteren Wechsel zwischen den Systemen verloren geht.

Vorteile der Cloud-Migration für Finanzdienstleister

Diesen Belastungen gegenübergestellt, bietet die Cloud konkrete Vorteile, mit denen eine On-Premises-Lösung kaum mithalten kann. Die Vorteile summieren sich : geringere Kosten, weniger betrieblicher Aufwand und zugleich eine stärkere Compliance-Position.

• Stärkere Sicherheitsposition: Cloud-Anbieter investieren in kontinuierliches Patching, Verschlüsselung, Zugriffskontrollen und Bedrohungsüberwachung in einem Umfang, den die meisten On-Premises-Deployments nicht erreichen.

• Geringere Gesamtbetriebskosten: Kapitalausgaben für Server und Erneuerungszyklen weichen einem Abonnementmodell, das leichter zu budgetieren ist. Die laufenden Kosten für Strom, Stellfläche und spezialisierte Pflege entfallen weitgehend.

• Weniger Administration: Der Anbieter übernimmt Patching, Upgrades und Infrastrukturwartung. Interne Teams werden entlastet und können sich auf die Compliance-Aufsicht statt auf die Systempflege konzentrieren.

• Souveränitäts- und Datenstandortkontrollen: Konfigurierbare Regions- und Standortoptionen erlauben es einem Unternehmen, regulierte Kommunikation in einer definierten Rechtsordnung zu halten und dies nachzuweisen. Die ist auf einem älteren On-Premises-System weit schwieriger zu belegen.

• Ausfallsicherheit und Kontinuität: Redundante, geografisch verteilte Infrastruktur verringert den Single Point of Failure, den ein On-Premises-Recorder darstellt, und verbessert Verfügbarkeit und Disaster Recovery.

• Vom Anbieter gehaltene Zertifizierungen: Nachweise wie SOC 2 Typ II, ISO 27001 und finanzspezifische Zertifizierungen verlagern einen Teil der Compliance-Nachweislast auf den Anbieter.

• Elastische Skalierung: Die Kapazität passt sich dem Anrufaufkommen an, anstatt durch die physische Hardware begrenzt zu sein. Das bedeutet, dass für Wachstum und Spitzenzeiten kein zusätzliches Hardware-Projekt erforderlich ist.

Joey Varney, Account Executive bei Luware, erklärt:

Checkliste zur Cloud-Migration: Fragen, die Sie vor dem Migrieren stellen sollten

Sobald Sie sich für ein Cloud- oder Hybridmodell entschieden haben, muss der Cloud-Plattformanbieter selbst noch bewertet werden. Beim Compliance Recording geht es bei dieser Bewertung um Beweise.

Die folgenden sieben Fragen trennen eine Plattform, die auf regulierte Compliance-Aufzeichnung spezialisiert ist, von einer allgemeinen. Jede lässt sich einer Kontrolle zuordnen, deren Nachweis eine Aufsichtsbehörde von Ihnen verlangen könnte. Betrachten Sie die Antworten des Anbieters deshalb als Belege, die Sie später verteidigen müssen, nicht als beruhigende Zusicherungen. Behandeln Sie die Liste als Ausgangspunkt: Ihre eigenen Rechtsordnungen, Produkte und Systemlandschaften werfen weitere Fragen auf, die im Einzelfall zu stellen sind.

Welche Sicherheitsnachweise hält der Cloud-Recording-Anbieter?

Fordern Sie eine aktuelle SOC-2-Typ-II-Bestätigung und eine ISO-27001-Zertifizierung an und stellen Sie sicher, dass der Geltungsbereich speziell den Aufzeichnungsdienst abdeckt, nicht nur das Mutterunternehmen.

SOC 2 Typ II prüft unabhängig, ob Kontrollen über einen Zeitraum (typischerweise 6 bis 12 Monate) wirksam funktioniert haben. Das Berichtsdatum und die Geltungsbereichserklärung zählen ebenso viel wie das Siegel. Ein Nachweis, der das Produkt ausschliesst, das Sie kaufen, schützt die darin gehaltenen Aufzeichnungen nicht.

ISO/IEC 27001 ist der internationale Standard für Informationssicherheits-Managementsysteme. Er bescheinigt, dass ein Anbieter Sicherheitsrisiken über ein dokumentiertes, geprüftes Rahmenwerk steuert.

Ist der Cloud-Recording-Anbieter DORA-bereit?

Vergewissern Sie sich, dass der Cloud-Recording-Anbieter Ihre Pflichten nach dem Digital Operational Resilience Act (DORA) unterstützen kann, dem Regelwerk der EU für die operative Widerstandsfähigkeit von Finanzunternehmen und ihren kritischen IKT-Dienstleistern. In der Praxis bedeutet das: dokumentierte Unterauftragsverarbeiter, Nachweise von Resilienztests und einen definierten Exit-Plan. Ein Anbieter, der seine eigene Resilienzposition nicht beschreiben kann, kann Ihre nicht unterstützen.

Es gibt kein einzelnes direktes US-Pendant zu DORA; die US-Erwartungen an operative Widerstandsfähigkeit verteilen sich über sektorale Regeln und Aufsichtsleitlinien, statt in einem einzigen sektorübergreifenden Regelwerk zusammengefasst zu sein.

Wie werden Daten geschützt und wie werden Audit-Trails geführt?

Bestätigen Sie die Verschlüsselung bei der Übertragung und im Ruhezustand sowie, dass jeder Zugriff und jede administrative Aktion an einer Aufzeichnung in einem anfügbaren (append-only) Protokoll erfasst wird, das getrennt von den Aufzeichnungen selbst gespeichert ist. Sicherheit und Datenschutz sind damit die beiden Kontrollen, deren Nachweis bei einer Cloud-Migration am schwersten wiegt.

In der EU verlangen die Aufbewahrungsanforderungen von MiFID II, dass Kommunikation auf einem dauerhaften Datenträger gespeichert wird, der die unveränderte Wiedergabe und die jederzeitige Verfügbarkeit für eine zuständige Behörde gewährleistet.

In den USA verlangt SEC Rule 17a-4, dass Broker-Dealer elektronische Aufzeichnungen über ein zugelassenes Audit-Trail-System aufbewahren, das jede geänderte oder gelöschte Aufzeichnung rekonstruieren kann. FINRA Rule 4511 ergänzt dies um eine standardmässige sechsjährige Aufbewahrungsfrist für Aufzeichnungen ohne eigene festgelegte Frist.

In allen drei Fällen gilt dasselbe Prinzip: Der Audit-Trail einer Aufzeichnung muss mindestens ebenso vollständig sein wie die Aufzeichnung der darin festgehaltenen Gespräche. Ohne diese Vollständigkeit hat eine Aufzeichnung im Kreuzverhör keinerlei Beweiskraft.

Garantiert der Cloud-Recording-Anbieter Datensouveränität?

Fragen Sie, welche Rechtsordnung für Ihre Daten gilt und ob der Anbieter garantieren kann, dass regulierte Kommunikation sie nie verlässt. Bei Souveränität geht es um rechtliche Kontrolle, nicht um die physische Adresse eines Rechenzentrums. Beides kann voneinander abweichen: Daten können auf einem Server in Ihrem Land liegen und dennoch dem Zugriff einer anderen Rechtsordnung unterliegen.

Das entscheidende Detail ist meist die Schlüsselhoheit. Hält der Anbieter die Verschlüsselungsschlüssel aus einer anderen Rechtsordnung, kann dies eine ansonsten solide Standortgarantie untergraben. Deshalb verlangen regulierte Unternehmen zunehmend kundenverwaltete Schlüssel, die in der für die Daten massgeblichen Rechtsordnung gehalten werden.

Welche Optionen für den Datenstandort stehen zur Verfügung?

Bestätigen Sie, dass der Cloud-Anbieter Aufzeichnungen in einer bestimmten benannten Region speichern und dies nachweisen kann. Ein Unternehmen, das Kunden etwa in Deutschland, Frankreich und den Niederlanden betreut, muss möglicherweise die deutsche Bundesanstalt für Finanzdienstleistungsaufsicht (BaFin), die französische Autorité de contrôle prudentiel et de résolution (ACPR) und die Niederländische Finanzmarktaufsichtsbehörde (AFM) gleichzeitig zufriedenstellen, wobei jede für ihre eigenen Kunden eine Verarbeitung im Inland erwartet. Ein Datenstandort, den Sie nicht belegen können, ist ein Datenstandort, den Sie nicht haben.

Wie ist die Cloud-Umgebung segmentiert?

Fragen Sie, wie Ihre Daten von anderen Mandanten isoliert sind. Für die regulierte Compliance-Aufzeichnung sind ein dedizierter Mandant oder eine gleichwertige logische Segmentierung wichtig. Somit kann ein Vorfall, der einen anderen Kunden betrifft, nicht Ihre Aufzeichnungen erreichen. Zudem können dadurch Ihre Daten unabhängig verwaltet und exportiert werden. Gemeinsam genutzter, vermischter Speicher erschwert sowohl den sauberen Abruf als auch den sauberen Ausstieg erheblich.

Wie sieht die Exit-Strategie aus?

Klären Sie vor Vertragsabschluss, wie Sie jede Aufzeichnung in ihrem Originalformat abrufen, falls Sie den Cloud-Anbieter später verlassen, und wie die Chain-of-Custody-Dokumentation mit ihr wandert. Ein Exit-Plan ist eine DORA-Erwartung, keine Gefälligkeit. Der Test ist konkret: Bitten Sie den Anbieter, den Export im Originalformat mit vollständiger Custody-Dokumentation an Ihrer eigenen Systemlandschaft zu demonstrieren.

Herausforderungen der Cloud-Migration: Was auf dem Spiel steht, wenn eine Plattform versagt

Die folgende Tabelle zeigt die vier Mängel auf, die eine Compliance-Aufzeichnungsplattform am häufigsten zu einem Risiko machen: Was läuft schief, wenn eine Plattform den Anforderungen nicht gerecht wird, und was sollten Sie vor einer Verpflichtung überprüfen? Betrachten Sie diese Tabelle als die Kehrseite der Fragen, die Sie dem Anbieter stellen; diese Mängel sind die Risiken, die Sie aufgrund einer unzureichenden Antwort tragen müssen.

Das Muster ist bei allen vier Fehlern dasselbe: Eine Aufzeichnung zu erfassen ist der einfache Teil; zu beweisen, dass sie vollständig und unverändert ist, bietet Ihnen tatsächlich Schutz.

On-Premises, Hybrid oder Cloud: Wählen Ihrer Migrationsstrategie

Es gibt kein einziges richtiges Deployment-Modell für die Compliance-Aufzeichnung. Ein Hybrid- oder On-Premises-Ansatz bleibt für manche Organisationen richtig. Dies besonders dort, wo nationale Vorschriften die lokale Speicherung bestimmter Aufzeichnungen vorschreiben oder wo eine kürzliche On-Premises-Investition noch nicht amortisiert ist. Das Modell sollte Ihrem Regulierungs- und Risikoprofil folgen, nicht umgekehrt. Diese Wahl hat zwei Ebenen: erstens, ob Sie in einer öffentlichen oder privaten Cloud betreiben; zweitens, wie Sie Workloads auf On-Premises, Hybrid und Full Cloud aufteilen.

Eine öffentliche Cloud läuft auf gemeinsam genutzter Multi-Tenant-Infrastruktur, die von einem Anbieter wie Azure oder AWS betrieben wird. Dies bringt maximale Flexibilität und den vollständigen Zertifizierungsumfang des Anbieters mit sich, bedeutet aber auch eine geteilte Verantwortung für die Kontrolle.

Eine private Cloud widmet die Infrastruktur einer einzelnen Organisation, ob selbst gehostet oder anbieterverwaltet. Das bedeutet mehr direkte Kontrolle und einfacheren Standortnachweis, aber auch höhere Kosten und geringere Elastizität. Bei der regulierten Aufzeichnung ist ein dedizierter Tenant innerhalb einer grossen Cloud oft der praktische Mittelweg, da er die Zertifizierungen eines öffentlichen Anbieters mit einer logischen Isolierung kombiniert, die einem privaten Modell nahekommt.

Von dort lohnt sich das Abwägen dreier Modelle. Full Cloud eignet sich für Unternehmen, die Skalierbarkeit, integrierte Compliance-Zertifizierungen und reduzierten Infrastrukturaufwand priorisieren. Hybrid eignet sich für Unternehmen, die bestimmte regulierte oder latenzempfindliche Aufzeichnungen lokal halten müssen, während sie Analytik und weniger sensible Workloads in die Cloud verlagern, wie unsere Cloud-Compliance-Umfrage ergab. On-Premises zu bleiben kann dort vertretbar sein, wo Souveränitätsvorschriften keine konforme Cloud-Option lassen oder wo die Kontrollanforderungen die Kosten für die Pflege der Systemlandschaft überwiegen.

Wählen Sie das Modell, das Sie einer Aufsichtsbehörde mit dem geringsten Reibungsaufwand nachweisen können und nicht das, was für sich genommen am günstigsten oder modernsten ist.

Wie Luware Recording Cloud-Compliance-Recording angeht

Luware Recording ist Luwares cloudbasierte Compliance-Aufzeichnungs-Plattform für regulierte Finanzdienstleister. Sie erfasst regulierte Kommunikation über verschiedene Telefoniesysteme hinweg in einer einzigen Oberfläche und speichert sie unter Kontrollen, die für den Beweiseinsatz ausgelegt sind. Compliance-Teams arbeiten aus einem einzigen verteidigungsfähigen Archiv statt aus einem Flickenteppich von Tools.

Luware Recording wird in einem dedizierten Azure-Mandanten mit konfigurierbarem Datenstandort und Lockbox-Kontrollen bereitgestellt. Das bedeutet, dass regulierte Kommunikation innerhalb einer definierten Rechtsordnung bleibt und der Zugriff unabhängig von anderen Kunden geregelt wird. Organisationen, welche die Speicherebene in eigener Hand behalten wollen, können ein eigenes Speicherkonto einbringen, das ihnen gehört, mit Verschlüsselungsschlüsseln, die sie selbst verwalten. Weil die Schlüssel die Kontrolle des Unternehmens nie verlassen, bleiben Dateneigentum und Standortnachweis fest auf der Seite des Unternehmens, auch wenn die Plattform in der Cloud läuft. Exit-Bereitschaft wird als Designanforderung behandelt, sodass Aufzeichnungen im Originalformat und ihre Custody-Dokumentation exportierbar bleiben, falls sich die Anforderungen eines Unternehmens ändern.

Daniel Steinmann, Product Owner Realtime Communication Services, veranschaulicht die Erfahrung von Swiss Re:

Lesen Sie hier die vollständige Fallstudie.

Luware hält die SOC-2-Typ-II-Attestierung sowie Zertifizierungen für ISO 27001, ISO 9001 und Microsoft 365. Für Luware Recording bietet es eine Verfügbarkeit von 99,99% und setzt strenge Massnahmen ein, um eine ununterbrochene Geschäftskontinuität zu gewährleisten. Luware ist zudem viermaliger Gewinner des Verint EMEA Compliance Partner of the Year Award, gewann 2025 den Verint Technical Excellence in Financial Compliance und 2026 den Verint Hosting Partner of the Year Award.

Joey Varney sagt:

Bereit für eine Cloud-Plattform, die auditfähig ist?

Die Einführung von Cloud-Compliance-Recording ist eine Compliance-Entscheidung, bevor sie eine Technologieentscheidung ist. Die Unternehmen, die es richtig machen, beurteilen eine Plattform danach, was sie beweisen kann, nicht danach, wie sie in einer Demo aussieht. Erfassungsabdeckung, Unveränderbarkeit, Chain of Custody und Datenstandort sind die Tests, die zählen, und es lohnt sich, sie vor der Verpflichtung zu klären.

Der natürliche nächste Schritt ist, Ihre interne Bewertung mit Beweisen auszurüsten. Laden Sie das Luware Recording Security Whitepaper für die vollständigen Details zu Kontrollen, Datenstandort und Exit-Bereitschaft herunter. Oder sprechen Sie mit einem Experten, um Ihre Systemlandschaft und Anforderungen zu ermitteln.