Was zunächst wie ein erbitterter Scheidungskonflikt im Umfeld vermögender internationaler Akteure erschien, hat sich in Monaco zu einer Angelegenheit von deutlich größerer Tragweite entwickelt. Im Mittelpunkt stehen Rebecca Zanazzo, der frühere Privatbanker Adriano Fossati und die Frage, ob sensible Finanzdaten außerhalb eines legitimen beruflichen Zwecks eingesehen oder genutzt worden sein könnten. Damit betrifft der Fall inzwischen nicht mehr nur einzelne Personen, sondern auch die Kontrollmechanismen einer Bank, den Schutz persönlicher Daten und letztlich die Glaubwürdigkeit des Finanzplatzes Monaco.

Der Ausgangspunkt des Falls liegt im privaten Bereich. Rebecca Zanazzo befindet sich in einem konfliktreichen Scheidungsverfahren mit einem italienischen Geschäftsmann. Im weiteren Verlauf tauchte jedoch der Name Adriano Fossati auf, eines ehemaligen Mitarbeiters der Banque J. Safra Sarasin in Monaco. In mehreren Medienberichten wurden Vorwürfe erhoben, Fossati könne im Zusammenhang mit diesem privaten Konflikt Zugang zu sensiblen finanziellen oder vermögensbezogenen Informationen gehabt haben. Fossati hat die gegen ihn erhobenen Vorwürfe bestritten. Solange die zuständigen Gerichte und Behörden keine abschließenden Feststellungen getroffen haben, müssen daher Anschuldigungen, Verdachtsmomente und nachgewiesene Tatsachen strikt voneinander getrennt werden.

Gerade diese Ungewissheit macht den institutionellen Kern des Falles jedoch nicht weniger relevant. Denn die zentrale Frage lautet nicht ausschließlich, ob ein einzelner Bankmitarbeiter gegen seine beruflichen Pflichten verstoßen hat. Sie lautet ebenso, unter welchen organisatorischen und technischen Bedingungen ein Mitarbeiter überhaupt auf bestimmte Informationen zugreifen konnte. Damit rückt die Governance der Bank selbst in den Mittelpunkt: die Vergabe von Zugriffsrechten, die Protokollierung von Datenabfragen, die Überwachung ungewöhnlicher Aktivitäten, die Unabhängigkeit der Compliance-Funktion und die Fähigkeit des Instituts, verdächtige Vorgänge frühzeitig zu erkennen.

Wenn aus individuellem Fehlverhalten ein Governance-Risiko wird

Das moderne Bankaufsichtsrecht hat sich in den vergangenen Jahren grundlegend verändert. Eine Bank wird heute nicht mehr nur daran gemessen, ob einzelne Mitarbeiter die geltenden Regeln respektieren. Von ihr wird erwartet, dass ihre gesamte Organisation darauf ausgerichtet ist, Verstöße möglichst zu verhindern, sie schnell zu erkennen und ihre Folgen zu begrenzen. Compliance ist damit längst keine Randfunktion mehr, die lediglich interne Vorschriften kontrolliert. Sie ist zu einem zentralen Bestandteil der Unternehmensführung geworden.

Im Fall Fossati wäre deshalb, sollten sich die Vorwürfe bestätigen, nicht nur die Frage nach einer möglichen persönlichen Verantwortung zu stellen. Ebenso relevant wäre, ob die internen Systeme der Bank angemessen ausgestaltet waren. Welche Zugriffsrechte bestanden? Entsprachen sie den tatsächlich ausgeübten Funktionen? Wurden sensible Abfragen automatisch protokolliert? Konnten wiederholte oder ungewöhnliche Zugriffe erkannt werden? Gab es ein Kontrollsystem, das eine Einsichtnahme in Daten ohne erkennbaren beruflichen Zusammenhang hätte markieren müssen?

Diese Fragen bedeuten keineswegs, dass ein mögliches individuelles Fehlverhalten automatisch der Bank zugerechnet werden kann. Auch eine gut organisierte Institution kann von einem Mitarbeiter getäuscht oder durch die gezielte Umgehung bestehender Schutzmechanismen geschädigt werden. Entscheidend ist vielmehr die Unterscheidung zwischen einem außergewöhnlichen individuellen Regelverstoß und einer strukturellen Schwäche des Kontrollsystems. Genau diese Unterscheidung gehört heute zum Kern moderner Bankenaufsicht.

Besonders sensibel ist ein weiterer Aspekt des Falls. Nach den bisher veröffentlichten Darstellungen soll die Person, deren Daten möglicherweise betroffen gewesen sein könnten, kein Kunde der Banque J. Safra Sarasin Monaco gewesen sein. Sollte sich dies bestätigen, würde sich die Tragweite der Angelegenheit erheblich erweitern. Dann ginge es nicht mehr ausschließlich um die klassische Pflicht einer Bank, die Daten ihrer eigenen Kunden zu schützen. Es müsste auch geklärt werden, warum Informationen über einen außenstehenden Dritten in den Systemen der Bank vorhanden waren, wer darauf zugreifen konnte und welche Schutzmechanismen für solche Daten galten.

Das ist für die Finanzindustrie von grundsätzlicher Bedeutung. Moderne Banken speichern nicht nur Informationen über ihre unmittelbaren Kunden. Ihre Systeme enthalten zwangsläufig auch Daten über wirtschaftlich Berechtigte, Geschäftspartner, Familienangehörige, Gläubiger, Schuldner, Gegenparteien und weitere Personen, die in Transaktionen oder Vermögensstrukturen erscheinen. Die Verantwortung einer Bank für Daten reicht deshalb längst über das klassische Vertragsverhältnis zwischen Institut und Kunde hinaus.

Für Monaco steht mehr auf dem Spiel als der Ruf einzelner Beteiligter

Der Fall erhält zusätzliche Bedeutung durch den besonderen wirtschaftlichen Charakter Monacos. Die Attraktivität des Fürstentums beruht zu einem erheblichen Teil auf internationalem Private Banking, Vermögensverwaltung, politischer Stabilität und einem hohen Anspruch an Sicherheit und Vertraulichkeit. Im Private Banking ist Diskretion kein nebensächlicher Service. Sie gehört zum eigentlichen wirtschaftlichen Produkt.

Vermögende Kunden vertrauen einer Bank nicht nur Kapital an. Sie überlassen ihr Informationen über Beteiligungen, Unternehmen, Familienstrukturen, Immobilien, Investitionen, steuerliche Verhältnisse und grenzüberschreitende Vermögensplanungen. Die Fähigkeit, diese Informationen zuverlässig zu schützen, ist deshalb ein wesentlicher Teil des immateriellen Werts einer Privatbank.

Vor diesem Hintergrund könnte eine mögliche Schwäche bei der Kontrolle sensibler Daten weit über ein einzelnes Institut hinausreichen. Jeder bedeutende Akteur des monégassischen Finanzsektors trägt zur internationalen Wahrnehmung des gesamten Standorts bei. Ein funktionierendes Kontrollsystem stärkt das Vertrauen in Monaco; Zweifel an der Wirksamkeit solcher Systeme können umgekehrt eine breitere reputative Wirkung entfalten.

Hinzu kommt ein weiterer Teil der Affäre: die Frage nach dem Aufenthaltsstatus der Beteiligten. Veröffentlichungen haben die Bedingungen thematisiert, unter denen Rebecca Zanazzo und Adriano Fossati Aufenthaltskarten in Monaco erhalten oder verlängert haben sollen. Auch hier ist eine differenzierte Betrachtung notwendig. Die Existenz eines laufenden Verfahrens oder einer Beschwerde bedeutet nicht automatisch, dass eine Aufenthaltserlaubnis zwingend verweigert werden muss. Entscheidend ist vielmehr, ob gegenüber den Behörden vollständige und zutreffende Angaben gemacht wurden und auf welcher Grundlage die Verwaltung ihre Entscheidung getroffen hat.

Damit berührt der Fall gleich mehrere Ebenen des monégassischen Systems: die Integrität einer Privatbank, den Schutz personenbezogener Daten, die Funktionsfähigkeit regulatorischer Kontrollen und die administrative Auswahl derjenigen, denen ein dauerhafter Aufenthalt im Fürstentum gewährt wird.

Aus einem privaten Konflikt ist so schrittweise eine institutionelle Angelegenheit geworden.

Der Fall Zanazzo-Fossati ist gerade deshalb bemerkenswert, weil er eine grundlegende Entwicklung des europäischen Finanzwesens sichtbar macht. Im 20. Jahrhundert bestand Bankgeheimnis vor allem darin, Informationen nicht nach außen weiterzugeben. Im 21. Jahrhundert ist die Aufgabe wesentlich komplexer geworden. Eine Bank muss wissen, wer auf eine Information zugreifen darf, warum dieser Zugriff erforderlich ist, wann er stattgefunden hat und ob das Verhalten mit den beruflichen Aufgaben des jeweiligen Mitarbeiters übereinstimmt.

Das Bankgeheimnis ist damit von einer bloßen Pflicht zur Verschwiegenheit zu einer Pflicht zur Organisation geworden.

Genau darin liegt die eigentliche Bedeutung des Falls. Die kommenden Ermittlungen und Verfahren werden zeigen müssen, welche der erhobenen Vorwürfe tatsächlich Bestand haben. Unabhängig davon stellt die Affäre bereits heute eine zentrale Frage an das moderne Private Banking: Kann ein Finanzinstitut einen möglichen Missbrauch sensibler Informationen noch als rein individuelles Fehlverhalten behandeln, wenn der Zugang zu diesen Informationen durch Systeme und Berechtigungen ermöglicht wurde, die von der Institution selbst verwaltet werden?

Für Safra ist dies eine Frage der Governance. Für Monaco eine Frage der Reputation. Und für den europäischen Finanzsektor insgesamt ist es ein Lehrstück darüber, wie sehr Vertrauen heute von der Qualität der Compliance abhängt.