Rechenzentren in Frankfurt am Main und die Pflichten der Finanzbranche

Das Wichtigste auf einen Blick

• Datenspeicher im Betrieb ist in Frankfurt am Main kein reines Technikthema, sondern Teil der aufsichtsrechtlichen Pflichten von Banken und Versicherern.
• Die Stadt ist einer der dichtesten Rechenzentrumsstandorte Europas, mit kurzen Wegen zu Börse, Zahlungsverkehr und Interbankenhandel.
• BaFin und EZB verlangen belastbare Ausfallsicherheit, dokumentierte Prüfpfade und klare Verantwortlichkeiten auch bei Auslagerung.
• Latenz entscheidet im Handel über Ausführungsqualität, weshalb Speicher- und Netzwerkpfade getrennt betrachtet werden müssen.
• Strom, Kühlung und Konnektivität sind in Frankfurt knapp geworden und bestimmen zunehmend die Standortwahl.
• Nachweise entstehen nicht im Audit, sondern im laufenden Betrieb: Monitoring, Tests, Change-Protokolle.

Frankfurt am Main als Rechenzentrumsstandort: Bedeutung und Akteure

Frankfurt am Main ist der zentrale Netzwerkknoten Deutschlands. Der DE-CIX als einer der größten Internetknoten der Welt bündelt hier Verbindungen, dazu kommen Standorte großer Colocation-Anbieter und eigene Rechenzentren der Institute.

Für regulierte Häuser zählt die Nähe zur Infrastruktur des Finanzplatzes. Börse, Clearer, Zahlungsverkehrsabwickler und Marktdatenanbieter sitzen oder terminieren in Frankfurt. Wer dort speichert und verarbeitet, spart Wege und Abstimmungsaufwand.

Die Rechenzentrumslandschaft Frankfurt am Main ist nicht homogen. Sie besteht aus Hyperscaler-Regionen, Carrier-neutralen Colocation-Flächen und institutseigenen Räumen. Jede Variante hat eigene Vertrags-, Prüf- und Betriebsmodelle.

Für IT-Verantwortliche bedeutet das: Die Standortentscheidung ist eine Governance-Entscheidung. Sie legt fest, wer physischen Zugriff hat, wer Änderungen freigibt und wie ein Notfall geübt wird.

Latenzen und Ausfallsicherheit: was Finanzinstitute von Datenspeicher im Betrieb erwarten

Latenz ist die Zeit, die ein Datenpaket oder ein Speicherzugriff braucht. Im Handel, bei der Risikoberechnung und in der Betrugserkennung sind Millisekunden geschäftlich relevant.

Deshalb trennen Institute Speicherpfade nach Zweck. Handelsnahe Systeme liegen nah an der Ausführung, Archiv- und Analysesysteme dürfen weiter entfernt stehen. Diese Trennung ist eine Architekturentscheidung, keine Einkaufsfrage.

Ausfallsicherheit folgt dem gleichen Muster. Redundanz auf Netzwerk-, Strom- und Speicherebene ist Standard, aber sie muss getestet werden. Ein Failover, der nie geübt wurde, ist eine Annahme, kein Nachweis.

Für Datenspeicher im Betrieb heißt das konkret: Replikation über getrennte Brandabschnitte oder Standorte, definierte RPO- und RTO-Werte und ein dokumentierter Wiederanlauf. Die Werte leitet das Institut aus der Kritikalität des Prozesses ab, nicht aus der Technik.

Beispiel: ein Zahlungssystem mit zwei Standorten

Eine Bank betreibt ihr Kernzahlungssystem in Frankfurt und repliziert synchron in einen zweiten Raum im Rhein-Main-Gebiet. Die Datenbank schreibt erst zurück, wenn beide Seiten bestätigt haben.

Das kostet Latenz, sichert aber den aktuellen Datenstand. Für das Archiv nutzt dasselbe Haus asynchrone Replikation mit höherem Datenverlustfenster, weil dort ein Wiederaufsetzen aus Sicherungen vertretbar ist.

Der Prüfpfad besteht aus drei Teilen: Architekturdokument, Testprotokoll des letzten Failovers und Freigabe durch den Risikoverantwortlichen. Fehlt einer, ist die Ausfallsicherheit nicht belegt.

Table: Speicherklassen und ihre Anforderungen

Speicherklasse	Typische Latenzanforderung	Redundanz	Prüfnachweis
Handelsnahe Datenbank	einstelliger Millisekundenbereich	synchron, zwei Standorte	Failover-Test, Latenzmessung
Kernbank- und Zahlungssystem	niedriger Millisekundenbereich	synchron oder quasisynchron	Wiederanlaufübung, RTO-Nachweis
Archiv und Revision	Sekunden bis Minuten	asynchron, geografisch getrennt	Restore-Test, Integritätsprüfung
Analyse und Reporting	Sekunden bis Minuten	asynchron	Datenabgleich, Plausibilitätsprüfung

Die Werte sind Beispiele aus der Praxis und ersetzen keine eigene Kritikalitätsanalyse. Institute legen sie in der IT-Strategie fest und lassen sie von der Internen Revision prüfen.

Aufsichtsanforderungen von BaFin und EZB an Datenspeicherung

Die BaFin führt die Aufsicht über Banken, Versicherer und Finanzdienstleister in Deutschland. Sie konkretisiert in Rundschreiben und Merkblättern, was Institute bei IT-Betrieb und Auslagerung beachten müssen.

Die einschlägigen Anforderungen finden sich über die Startseite der BaFin und deren Veröffentlichungen. Wer konkrete Vorgaben sucht, nutzt die erweiterte Suche der BaFin nach Stichworten wie Rechenzentrum, Auslagerung oder IT-Betrieb.

Ergänzend ordnet die BaFin Themen nach Produkt- und Institutsgruppen. Die Übersicht zu Themen und Finanzprodukten zeigt, wie regulatorische Vorgaben auf Geschäftsmodelle wirken.

Für Institute unter direkter EZB-Aufsicht gilt zusätzlich der aufsichtliche Überprüfungs- und Bewertungsprozess. Er bewertet unter anderem operationelle Risiken und die Steuerung der IT. Rechenzentrumsstrategie und Speicherarchitektur werden damit Teil der jährlichen Aufsichtsbewertung.

Rechtliche Grundlagen liegen teils außerhalb des Aufsichtsrechts, etwa im Handels- und Haftungsrecht. Die Teilliste H der Gesetzestexte bündelt diese Normen und ist ein sinnvoller Einstieg für die Dokumentation von Verantwortlichkeiten.

Was die Aufsicht typischerweise sehen will

• Eine aktuelle Übersicht aller Standorte, an denen Daten gespeichert oder verarbeitet werden.
• Benannte Verantwortliche für Betrieb, Sicherheit und Auslagerungsmanagement.
• Nachweise über Tests der Ausfallsicherheit und deren Ergebnisse.
• Verträge mit Dienstleistern, die Prüf- und Weisungsrechte sichern.
• Ein Meldeverfahren für schwerwiegende IT-Vorfälle.

Anforderungen an Auslagerung und Cloud-Nutzung in der Finanzbranche

Auslagerung ist erlaubt, aber nicht folgenlos. Das Institut bleibt für die Erfüllung der Aufsichtsanforderungen verantwortlich, auch wenn ein Dienstleister die Technik betreibt.

Bei Cloud-Auslagerung von Banken kommt es auf drei Punkte an: Datenklassifizierung, Vertragskontrolle und Exit-Fähigkeit. Wer kritische Daten in eine öffentliche Cloud gibt, braucht eine belastbare Risikoanalyse und klare Rückholmöglichkeiten.

Deutsche und europäische Datenschutzvorgaben wirken dabei mit. Der Bundesbeauftragte für den Datenschutz und die Informationsfreiheit sowie die Landesdatenschutzbeauftragten der Länder prüfen die Verarbeitung personenbezogener Daten, in Hessen also die zuständige Landesaufsicht.

Technische Mindeststandards setzen viele Häuser über DIN-Normen wie DIN EN ISO/IEC 27001 und über Vorgaben des Bundesamts für Sicherheit in der Informationstechnik. Das IT-Sicherheitsgesetz 2.0 erweitert die Meldepflichten für kritische Infrastrukturen.

Praktisch heißt das: Ein Auslagerungsvertrag ohne Prüfrechte, ohne Subunternehmer-Transparenz und ohne Exit-Plan ist kein tragfähiges Modell. Die Aufsicht fragt danach, nicht nach der Marke des Anbieters.

Checkliste für die Auslagerungsentscheidung

• Datenklassifizierung abgeschlossen und Kritikalität je Prozess festgelegt
• Standort der Speicherung und der Verarbeitung vertraglich fixiert
• Prüf-, Weisungs- und Auditrechte des Instituts gesichert
• Subunternehmer und deren Standorte offengelegt
• Exit-Szenario mit Fristen und Datenrückgabe beschrieben
• Notfall- und Meldewege zwischen Institut und Dienstleister getestet
• Freigabe durch Risikocontrolling und Interne Revision dokumentiert

Standortfaktoren: Strom, Kühlung und Konnektivität in Frankfurt

Frankfurt am Main hat einen Vorteil, der sich nicht kopieren lässt: Konnektivität. Der DE-CIX und zahlreiche Carrier machen kurze Wege zwischen Instituten, Börse und Netzbetreibern möglich.

Dieser Vorteil hat eine Kehrseite. Strom- und Flächenkapazitäten in der Stadt und im Umland sind begrenzt. Neue Großprojekte brauchen Genehmigungen, Netzanschlüsse und Zeit.

Kühlung ist der zweite Kostenblock. Effiziente Kühlung senkt den Strombedarf und damit den CO2-Ausstoß, den viele Institute in ihrer Nachhaltigkeitsberichterstattung abbilden.

Für die Standortwahl folgt daraus ein Abwägen: maximale Nähe für latenzkritische Systeme, Ausweichstandorte im Rhein-Main-Gebiet oder in anderen Bundesländern für Ausfallsicherheit. Hessen, Bayern und Nordrhein-Westfalen bieten unterschiedliche Bedingungen bei Strompreis, Fläche und Anbindung.

Der Bundesnetzagentur kommt dabei eine Rolle zu, wenn es um Netzentgelte und Anschlussfragen geht. Wer plant, sollte diese Faktoren früh in die Standortanalyse aufnehmen und nicht erst bei der Vertragsverhandlung.

Prüfpfade und Nachweise für regulierte Institute

Ein Prüfpfad ist die lückenlose Kette von der Anforderung über die Umsetzung bis zum Nachweis. Für Datenspeicher im Betrieb beginnt er bei der Kritikalitätsanalyse und endet bei Testprotokollen.

Institute sollten Nachweise nach Typ trennen. Architektur- und Vertragsdokumente belegen die Planung, Betriebsprotokolle und Monitoringdaten belegen die Wirksamkeit, Auditberichte belegen die unabhängige Prüfung.

Wichtig ist die Aktualität. Ein Zertifikat von vor drei Jahren sagt nichts über den heutigen Betrieb. Änderungen an Speicher-, Netzwerk- und Standortarchitektur müssen den Prüfpfad aktualisieren.

Die Deutsche Akkreditierungsstelle spielt eine Rolle, wenn externe Prüfstellen akkreditiert sein müssen. Der Bundesverband Informationswirtschaft, Telekommunikation und neue Medien liefert Branchendaten, die bei Benchmarks helfen.

Am Ende zählt die einfache Frage der Aufsicht: Können Sie zeigen, dass Ihr Datenspeicher im Betrieb auch unter Last und im Störfall die Anforderungen erfüllt? Wer das mit Dokumenten und Tests belegt, hat den Prüfpfad geschlossen.

Häufige Fragen

Was bedeutet Datenspeicher im Betrieb in der Finanzbranche? Gemeint ist der laufende Betrieb der Speichersysteme, in denen Banken und Versicherer Transaktions-, Kunden- und Archivdaten halten. Dazu gehören Replikation, Backup, Monitoring und der Nachweis der Ausfallsicherheit.

Warum ist Frankfurt am Main für Rechenzentren so wichtig? Die Stadt bündelt Konnektivität über den DE-CIX, die Nähe zu Börse und Zahlungsverkehr sowie viele Colocation-Anbieter. Für latenzkritische Systeme ist das ein schwer ersetzbarer Vorteil.

Was verlangt die BaFin bei der Auslagerung von IT? Das Institut bleibt verantwortlich, behält Prüf- und Weisungsrechte und muss Risiken sowie Exit-Szenarien dokumentieren. Die konkreten Vorgaben lassen sich über die Veröffentlichungen der BaFin nachvollziehen.

Wie unterscheiden sich BaFin und EZB in der Aufsicht? Die BaFin beaufsichtigt alle Institute in Deutschland, die EZB zusätzlich die bedeutenden Institute im Rahmen des einheitlichen Aufsichtsmechanismus. Für große Häuser greifen beide Ebenen.

Wie oft müssen Ausfallsicherheit und Wiederanlauf getestet werden? Eine feste Frist gibt es nicht. Üblich sind jährliche Tests für kritische Systeme, bei Änderungen an der Architektur auch häufiger. Entscheidend ist die Dokumentation der Ergebnisse.

Dürfen Banken kritische Daten in die Cloud verlagern? Ja, wenn Datenklassifizierung, Vertragskontrolle und Exit-Fähigkeit belegt sind. Kritische Daten verlangen eine eigene Risikoanalyse und klare Rückholmöglichkeiten.