Ein falsch gesetztes Datenfeld, über 260.000-mal wiederholt: Dafür zahlt die Deutsche Bank in Australien eine Geldbuße. Der Auslöser sitzt nicht im Handelssaal, sondern in der IT. Für Entscheider ist das eine Warnung weit über die Bankbranche hinaus.
drweb.de als bevorzugte Quelle auf Google hinzufügenQualitätsgeprüfte Inhalte direkt in Google News & DiscoverJetzt hinzufügenIT-Compliance entscheidet heute darüber, ob ein Unternehmen mit den Aufsichtsbehörden im Reinen bleibt. Am 13. Juli 2026 wurde bekannt, dass die Deutsche Bank in Australien 2 Millionen australische Dollar zahlt, umgerechnet rund 1,1 Millionen Euro. Grund sind keine krummen Geschäfte, sondern fehlerhaft gemeldete Daten.
Das Wichtigste in Kürze
- Die australische Aufsicht ASIC ahndet über 260.000 falsch gemeldete Derivategeschäfte aus dem Zeitraum Oktober 2024 bis August 2025.
- Betroffen war das „Direction“-Feld, das Käufer und Verkäufer eines Geschäfts ausweist, an 208 Handelstagen.
- Die Behörde nennt die Fehler „systemisch“ und verortet sie im internen Meldesystem, nicht in einem Einzelversehen.
- Schon im März 2025 hat die BaFin 23,05 Millionen Euro verhängt, einen Teil davon wegen einer misslungenen IT-Umstellung bei der Postbank.
Wofür zahlt die Deutsche Bank in Australien?
Die Deutsche Bank zahlt 2 Millionen australische Dollar, rund 1,1 Millionen Euro, weil sie zwischen Oktober 2024 und August 2025 über 260.000 Derivategeschäfte fehlerhaft an die Aufsicht meldete. Falsch war das Feld, das Käufer und Verkäufer ausweist.
Die Finanzaufsicht ASIC hat der Bank eine Infringement Notice zugestellt, die das Institut beglichen hat.[1] Zwischen dem 21. Oktober 2024 und dem 15. August 2025 hat das Institut das sogenannte Direction-Feld für 20.483 offene und 244.091 beendete Geschäfte falsch ausgefüllt.
Betroffen war der außerbörsliche Handel mit Devisen und Rohstoffen. Das Direction-Feld zeigt an, ob die Bank als Käufer oder Verkäufer auftritt, eine Pflichtangabe, mit der die Aufsicht Marktrisiken überwacht.
Entscheidend ist die Wortwahl der Behörde. Die Fehler seien systemisch und Ausdruck von Mängeln im internen Melderahmen. Ein einzelner Zahlendreher wäre Pech, ein über zehn Monate stabil falsches Feld ist ein Prozessfehler.
Warum ist das kein australisches Einzelproblem?
Der Fall reiht sich in ein Muster ein. Bereits im März 2025 hat die BaFin 23,05 Millionen Euro gegen die Deutsche Bank verhängt, einen Teil davon wegen einer IT-Systemumstellung bei der Postbank, die 2023 nicht sauber lief und den Kontowechsel blockierte.
Die deutsche Aufsicht hat damals drei Verstöße geahndet: 14,8 Millionen Euro im Derivatevertrieb, 4,6 Millionen für fehlende Aufzeichnungen in der Telefonberatung und 3,65 Millionen bei der Kontowechselhilfe.[2]
Den Ausfall bei der Kontowechselhilfe hat die Bank selbst mit einer Systemumstellung im eigenen Haus erklärt. Zwei Aufsichtsbehörden auf zwei Kontinenten, und in beiden Fällen führt die Spur in die IT. Auch der jüngste Ransomware-Vorfall bei der Bank hat diese Abhängigkeit unterstrichen.
Das Muster reicht über die Deutsche Bank hinaus. Sobald Kerndaten durch veraltete oder schlecht gepflegte Melde- und Altsysteme laufen, wird jeder Migrationsfehler zum Dauerzustand, den oft erst die Aufsicht bemerkt.
Datenqualität galt lange als Angelegenheit der Fachabteilung. Diese Fälle beweisen das Gegenteil: Ein schlecht dokumentierter Systemwechsel kostet am Ende mehr als jede verpasste Deadline, und die Rechnung schreibt die Aufsicht.
— Michael Dobler, Herausgeber Dr. Web
Was: über 260.000 fehlerhafte Derivatemeldungen im „Direction“-Feld.
Ursache: laut Behörde systemische Mängel im internen Melderahmen.
Folge: 2 Mio. AUD Geldbuße per Infringement Notice.
Was: blockierte Kontowechselhilfe bei der Postbank, dazu weitere Verstöße.
Ursache: eine IT-Systemumstellung im Jahr 2023, die nicht sauber lief.
Folge: 23,05 Mio. € Bußgeld, verhängt im März 2025.
Was heißt das für IT-Verantwortliche im DACH-Raum?
Seit dem 17. Januar 2025 verlangt die EU-Verordnung DORA von Finanzunternehmen ein geprüftes IT-Risiko- und Änderungsmanagement. Die Kernlektion gilt aber für jede Firma: Daten, die an Behörden gehen, müssen jederzeit vollständig und korrekt bleiben.
Für Banken bündelt der Digital Operational Resilience Act die Pflichten: dokumentierte Änderungsprozesse, Tests vor dem Rollout und ein belastbares Auslagerungsmanagement. Die BaFin prüft dieselben Punkte über ihre IT-Anforderungen, während der regulatorische Druck weiter steigt, wie die Bußgelddrohung der KI-Verordnung zeigt.
Übertragbar ist die Lektion auf jedes Unternehmen mit Meldepflichten, von der Umsatzsteuer bis zur Lieferkette, wie sie zuletzt NIS2 zur Haftungsfalle gemacht hat. Prüfen Sie nach jeder Systemumstellung, ob die ausgehenden Daten noch der Vorgabe entsprechen, und verankern Sie einen festen Kontrollpunkt, bevor ein neues System in den Echtbetrieb geht.
Am Ende zählt die Verantwortung: Ein Meldesystem, das niemand mehr aktiv pflegt, ist kein technisches Detail, sondern ein offenes Haftungsrisiko. Die Deutsche Bank hat dafür binnen 16 Monaten zweimal bezahlt.
Quellen
[1] ASIC (Australian Securities and Investments Commission): „Infringement Notices Register“ ↩
[2] BaFin: „Deutsche Bank AG: BaFin setzt Geldbußen fest“ ↩
Mehr Newshunger?
- NIS2: Die Produktionshalle wird zur Haftungsfalle
- Erst zwei Opfer, dann die Deutsche Bank: Was hinter der Erpressergruppe UnSafe steckt
- Nicht Cum-Ex ist der größte Posten: Was die BaFin-Bilanz über 7 Milliarden Euro verrät
- KI-Verordnung: Hochrisiko verschoben, Bußgeld bleibt
- Bis zu 250 Millionen Euro: Bechtle übernimmt die IT der bayerischen Justiz
