Share Deal im Finanzsektor: Data Valuation, Informationssicherheit und ISO 27001

Der Share Deal verändert nicht automatisch die Verantwortlichkeit

Ein Share Deal ist datenschutzrechtlich kein Freifahrtschein. Zwar bleibt die Zielgesellschaft dieselbe juristische Person und damit grundsätzlich Verantwortliche für ihre Datenverarbeitungen. Der Investor erwirbt aber nicht automatisch ein eigenes Zugriffs- oder Nutzungsrecht an operativen Daten. Bereits die Offenlegung im Datenraum, spätere Reporting-Linien, zentrale Plattformen oder konzernweite Analysen sind eigenständige Verarbeitungsvorgänge, die nach Zweck, Erforderlichkeit, Rollenmodell und Sicherheit geprüft werden müssen.

Gerade im Finanzsektor entsteht der größte Eingriff oft erst nach Closing: Ein Sponsor plant gruppenweite Reports, ein zentrales Data Warehouse, Cloud-Migration, Outsourcing, gemeinsame Analytics oder eine neue AI governance. Diese Vorhaben können neue Empfänger, neue Zwecke, internationale Zugänge oder andere Rollenmodelle schaffen. Sie müssen deshalb als eigenständige Verarbeitungsvorgänge und nicht als bloße technische Integration behandelt werden.

Informationssicherheit und operational resilience bestimmen den Migrationswert

Jede Migration verändert Vertrauensgrenzen: neue Administratoren, temporäre Schnittstellen, Testumgebungen, Cloud-Zugänge, Schlüssel, Logs und Datenkopien entstehen. Ohne Security by Design können Berechtigungen vervielfacht, Einwilligungs- oder Zweckinformationen getrennt, sensible Daten in Tests repliziert oder Audit-Trails unterbrochen werden. Deshalb muss Informationssicherheit Teil des Migrations-Business-Case sein und nicht erst vor dem Go-live geprüft werden.

Wertrelevant sind nicht nur Vertraulichkeit und Cyberabwehr, sondern auch Integrität und Verfügbarkeit. Fehlerhafte Transformationen, unvollständige Reconciliation, fehlende Rollback-Fähigkeit oder ungetestete Wiederherstellung können regulatorische Reports, Modelle und operative Kernprozesse beeinträchtigen. Cyber resilience und operational resilience bestimmen damit, wann Synergien realisiert werden und wie hoch der Risikopuffer im Kaufpreis sein muss.

Welche Finanzdaten wertrelevant sind

Eine business data valuation sollte nicht nur Kundendaten zählen, sondern die Funktion jedes Datenclusters im Geschäftsmodell bestimmen. Typische Assets sind:

• Kunden-, Konto-, Vertrags- und Transaktionsdaten einschließlich Historie und Interaktionsdaten.
• KYC-, AML-, Betrugs- und Sanktionsdaten mit nachvollziehbarer Herkunft und Aktualität.
• Kredit-, Risiko-, Pricing- und Portfoliodaten sowie zugehörige Modelle und Merkmale.
• Regulatorische Reporting-Daten, Kontrollnachweise und auditierbare Datenketten.
• Produkt-, Kanal- und Nutzungsdaten für Kundensteuerung, Service und digitale Geschäftsmodelle.
• Metadaten, business glossary, data lineage und Qualitätsregeln als Grundlage für enterprise data governance.
• Modell- und Trainingsdaten für Analytics und KI, sofern Zweck, Qualität und Rechte die Nutzung tragen.

Der value of data ist besonders hoch, wenn Daten aktuell, vollständig, konsistent und über Systeme hinweg verknüpfbar sind. Umgekehrt können große historische Bestände wegen unklarer Aufbewahrung, fehlender Zweckkompatibilität, Dubletten oder nicht nachvollziehbarer Transformationen mehr Kosten als Nutzen erzeugen.

Die größten Risiken in der digital due diligence

Migration ist ein Bewertungsobjekt, kein IT-Nachtrag

Eine Migration beeinflusst sowohl Kosten als auch Nutzbarkeit. Daten können beim Mapping an Bedeutung verlieren, Historien können abgeschnitten, Einwilligungs- oder Zweckinformationen getrennt und Audit-Trails unvollständig übernommen werden. Aus diesem Grund sollte die technology due diligence nicht nur Systemalter und Betriebskosten erfassen, sondern auch Datenmodell, Schnittstellen, Qualitätsregeln, Reconciliation und Exit-Fähigkeit.

Wertvernichtung tritt oft schleichend ein: Eine neue Plattform ist technisch produktiv, aber historische Daten sind nicht mehr vollständig vergleichbar, Modelle müssen neu kalibriert werden oder regulatorische Reports benötigen manuelle Brücken. Der Investment Case muss deshalb Migrationsrisiken zeitlich und finanziell abbilden.

ISO/IEC 27001 als Due-Diligence-Rahmen: kein Ersatz für DORA

ISO/IEC 27001:2022 liefert einen risikobasierten Rahmen für ein Information Security Management System und ist ein belastbarer Ausgangspunkt für information security due diligence. Zu prüfen sind Scope, Risikoanalyse, Risikobehandlung, Statement of Applicability, interne Audits, Management Review, Korrekturmaßnahmen und operative Kontrollnachweise. Besonders wichtig ist, ob Kernbank-, Zahlungs-, Risiko-, Daten- und Cloud-Umgebungen tatsächlich erfasst sind.

Für Finanzunternehmen bleiben sektorspezifische Anforderungen an ICT-Risikomanagement, Vorfallsteuerung, Resilienztests und Drittparteien unabhängig davon bestehen. ISO 27001 kann die Nachweisführung und das Kontrollmodell unterstützen, ersetzt aber keine Prüfung von DORA, Outsourcing, regulatorischen Feststellungen oder konkreten Migrationsrisiken. Für die Bewertung zählt deshalb die Verbindung von ISMS, enterprise data governance und operational resilience.

Datenschutz- und Zugriffsrisiken im Share Deal

Die GDPR due diligence sollte klären, ob Daten rechtmäßig erhoben wurden, für die geplanten Zwecke nutzbar sind und wie Informations-, Lösch- und Betroffenenprozesse funktionieren. Relevant ist auch, ob Einwilligungen oder Widersprüche systemübergreifend nachweisbar sind. Fehlende Nachweise können den wirtschaftlichen Wert von Marketing-, Profiling- oder Analytics-Daten erheblich mindern.

• Datenraum: aggregierte Portfolio-, Risiko- und Kundenkennzahlen statt vollständiger Konten- oder Transaktionsdaten.
• Clean Team für wettbewerblich sensible oder stark personenbeziehbare Analysen.
• Nach Closing: kein pauschaler Sponsorzugriff auf operative Kundendaten.
• Konzernreporting und zentrale Services mit klarer Rollen-, Zweck- und Berechtigungsarchitektur.
• Cloud- und internationale Zugänge nur nach geprüfter Rechts-, Vertrags- und Security-Struktur.
• Lösch-, Sperr- und Aufbewahrungslogik muss in jede Migration übernommen werden.

Informationssicherheit in der Migration

Die technology due diligence sollte die Sicherheits- und Kontrollarchitektur jeder Migrationswelle bewerten. Besonders relevant sind zeitlich begrenzte Adminrechte, Trennung von Entwicklung, Test und Produktion, Datenmaskierung, Verschlüsselung, Schlüsselverwaltung, unveränderbare Protokolle, Reconciliation, Rollback, Backup und Exit-Fähigkeit. Fehlen diese Controls, ist der Business Case um Nacharbeit, Verzögerung und zusätzliches Betriebsrisiko zu bereinigen.

Chancen: Enterprise Data Governance als Wertsteigerungsprogramm

Die größte Chance liegt in einer verbindlichen enterprise data governance. Sie definiert kritische Datenelemente, Owner, Qualitätsregeln, data lineage, Zugriffsmodelle und einheitliche Begriffe. Dadurch werden regulatorische Reports belastbarer, manuelle Abstimmungen reduziert und Produkt-, Risiko- sowie Kundenentscheidungen beschleunigt.

Darauf aufbauend können moderne Plattformen Betrugserkennung, Kreditsteuerung, Kundenservice, Pricing und operative Effizienz verbessern. AI readiness entsteht jedoch nicht durch den Kauf einer Plattform, sondern durch vertrauenswürdige, dokumentierte und rechtlich nutzbare Daten. AI governance muss daher mit Datenschutz, Modellentwicklung, Security und Fachverantwortung verzahnt werden. Ein wirksames ISO-27001-ISMS und ein belastbares DORA-Kontrollmodell können die Transformation beschleunigen, weil Verantwortlichkeiten, Nachweise und Eskalationswege bereits verankert sind.

Wie Finanzdaten bewertet werden

Ertrags- und Risikowirkung

Der ertragsorientierte Ansatz umfasst nicht nur zusätzliche Umsätze. Wert kann auch durch geringere Kreditausfälle, weniger Betrug, bessere Preissteuerung, niedrigere Bearbeitungskosten, schnellere Reports und geringere Fehlerquoten entstehen. Diese Effekte werden als zusätzliche oder vermiedene Cashflows prognostiziert und abgezinst.

Kosten- und Wiederbeschaffungsansatz

Der Kostenansatz erfasst Erhebung, Historisierung, Bereinigung, Anreicherung, Dokumentation und technische Bereitstellung. Besonders wertvoll können lange, konsistente Zeitreihen sein, die sich nicht kurzfristig reproduzieren lassen. Der Kostenansatz darf aber nicht mit dem realisierbaren Marktwert verwechselt werden.

Migrations- und Compliance-Abschlag

Abzuziehen sind Kosten für Datenbereinigung, Mapping, Dual Run, Reconciliation, Modellvalidierung, Security-Härtung, Scope-Anpassung des ISMS, DORA- und Drittparteienmaßnahmen, Vertrags- und Rollenumbau sowie die Abschaltung von Legacy-Systemen. Hinzu kommt ein Risikoabschlag für unsichere Rechtsgrundlagen, schlechte data lineage, offene Audit- oder Aufsichtsfindings, ungetestete Wiederherstellung oder eine hohe Abhängigkeit von einzelnen Dienstleistern.

Prüffragen für Data Due Diligence und M&A due diligence

1. Welche Daten treiben Umsatz, Risikoentscheidungen, regulatorische Reports und operative Kernprozesse?
2. Sind kritische Datenelemente, Owner, Definitionen, Qualitätsregeln und data lineage dokumentiert?
3. Welche Datenverarbeitungen beruhen auf Einwilligungen, und sind Nachweise sowie Widerrufe systemweit wirksam?
4. Welche Daten dürfen für neue Zwecke wie Cross-Selling, Profiling, Betrugserkennung oder KI genutzt werden?
5. Welche Legacy-Systeme sind für Historie, Aufbewahrung oder Nachweis unverzichtbar?
6. Wie hoch sind Kosten und Dauer von Mapping, Bereinigung, Dual Run, Reconciliation und Decommissioning?
7. Welche Cyber-, Cloud-, Outsourcing- und Konzentrationsrisiken bestehen?
8. Welche Kernprozesse, Plattformen, Cloud- und Outsourcing-Leistungen liegen im Scope der ISO-27001-Zertifizierung?
9. Sind Statement of Applicability, ICT-Risikobehandlung, DORA-Mapping, Auditfeststellungen und Korrekturmaßnahmen aktuell und finanziert?
10. Wann wurden Incident Response, Krisenorganisation, Backup, Restore, Reconciliation und Provider-Exit zuletzt getestet?
11. Welche Value-Creation-Effekte sind ohne Migration realisierbar und welche hängen von einer mehrjährigen Transformation ab?

Die Antworten müssen in den Investment Case übersetzt werden. Ein theoretischer Datenwert ohne belastbaren Migrationspfad ist kein Kaufpreisargument. Umgekehrt kann ein Target mit moderater Datenreife attraktiv sein, wenn die Lücken klar quantifiziert, im Kaufpreis reflektiert und durch einen realistischen Transformationsplan adressiert werden.

Kaufvertrag und 100-Tage-Plan

Wesentliche Risiken können über Garantien, Offenlegungen, Freistellungen, Covenants und gegebenenfalls Closing Conditions abgesichert werden. Relevant sind Aussagen zu Datenqualität, Datenschutzvorfällen, regulatorischen Findings, kritischen Dienstleistern, Modell- und Reportingprozessen sowie zur Vollständigkeit der System- und Datenlandschaft.

• Tag 1: Rollen, privilegierte Zugänge, Sponsorreporting und laufende Migrationsänderungen auf das erforderliche Minimum begrenzen; Incident- und Eskalationswege bestätigen.
• Bis Tag 30: Critical-Data-Inventory, Datenflussbild, Provider-Register und priorisierte Findings bestätigen; ISO-27001-Scope, SoA und DORA-Mapping gegen die Zielarchitektur spiegeln.
• Bis Tag 60: Migrations-Business-Case mit Security Controls, Wellen, Reconciliation, Backup, Rollback, Dual-Run-Kosten und einem belastbaren Restore-Test verabschieden.
• Bis Tag 100: integriertes ISMS- und Enterprise-Data-Governance-Operating-Model mit Ownern, Qualitäts- und Security-KPIs, DORA-Verantwortlichkeiten und Entscheidungsrechten starten.
• Value-Creation-KPIs: Datenqualität, Automatisierungsgrad, Reporting-Zeit, Fehlerquote, Modellperformance, Access-Review-Abdeckung, Restore-Erfolgsquote, offene Hochrisiken, Legacy-Abbau und realisierte Cashflow-Effekte.

Fazit: Datenstrategie entscheidet über den realisierbaren Wert

Beim Finance-Share-Deal ist der value of data nicht mit dem Umfang der Datenbank gleichzusetzen. Entscheidend ist, ob Daten rechtlich nutzbar, fachlich korrekt, technisch migrierbar, sicher und dauerhaft nachvollziehbar sind. Eine integrierte data valuation verbindet Datenschutz, enterprise data governance, ISO 27001, DORA, Cybersecurity, Modelle, Migration und den Value-Creation-Plan. Erst diese Verbindung zeigt, welcher Teil des versprochenen Datenwerts im Investmentzeitraum tatsächlich realisiert werden kann.

FAQ: Share Deal, Datenschutz und Data Valuation

Warum ist eine Datenmigration kaufpreisrelevant?

Weil Bereinigung, Mapping, Dual Run, Reconciliation, Modellvalidierung und Legacy-Abschaltung erhebliche Kosten und Zeit verursachen können. Zudem kann eine fehlerhafte Migration die rechtliche und fachliche Nutzbarkeit von Daten mindern.

Darf der Investor Kundendaten für gruppenweite Analysen verwenden?

Nicht allein aufgrund des Share Deals. Neue Empfänger, Zwecke und Plattformen sind gesondert zu prüfen und mit einem klaren Rollen-, Zugriffs-, Vertrags- und Security-Modell umzusetzen.

Wie wird der Wert von AI-ready data bestimmt?

Über realistisch erwartete Ertrags-, Risiko- und Effizienzeffekte, vermindert um Kosten für Qualität, Dokumentation, Rechte, Modellgovernance, Security und Integration.

Welche Red Flag ist bei Finanzdaten besonders kritisch?

Fehlende data lineage bei geschäftskritischen Kennzahlen, Modellen oder regulatorischen Reports. Ohne nachvollziehbare Herkunft und Transformation sind Daten nur eingeschränkt steuerbar und auditierbar.

Ersetzt eine ISO-27001-Zertifizierung die DORA-Prüfung?

Nein. ISO 27001 strukturiert das ISMS und kann viele Nachweise unterstützen. DORA und weitere sektorale Anforderungen an ICT-Risiken, Vorfälle, Tests und Drittparteien sind jedoch eigenständig zu prüfen. Wertrelevant ist das Mapping zwischen Zertifizierungs-Scope, realer Systemlandschaft und regulatorischem Kontrollmodell.