Die europäische Bankenaufsicht schlägt Alarm. In einem hochgradig dringlichen Brief hat sich Claudia Buch, die Chefin der EZB-Bankenaufsicht, direkt an die CEOs der bedeutenden Kreditinstitute in der Eurozone gewandt. Der Grund ist eine technologische Revolution, die die Angreiferseite rasant professionalisiert. Künstliche Intelligenz verändert die Bedrohungslage für die Finanzwirtschaft fundamental und dauerhaft. Die Aufsicht sieht akuten Handlungsbedarf, da risiken durch ki-gestützte cyberangriffe für banken die Stabilität des gesamten Finanzsystems bedrohen können. Die Vorstände der Banken stehen nun in der Pflicht, ihre Verteidigungslinien in Rekordzeit hochzufahren.
Ein fundamentaler Wandel der Bedrohungslage
Die Zeiten, in denen Cyberattacken langwierig vorbereitet werden mussten, sind vorbei. Durch den Einsatz moderner KI-Systeme schrumpft das Zeitfenster zwischen dem Entdecken einer IT-Sicherheitslücke und dem eigentlichen Angriff gegen Null. Claudia Buch macht in ihrem Schreiben unmissverständlich klar, wie akut risiken durch ki-gestützte cyberangriffe für banken sind:
„Neue KI-Modelle sind in der Lage, Software-Schachstellen zu identifizieren und funktionierende Exploits in beispielloser Geschwindigkeit zu generieren. Dies verkürzt die Zeitspanne zwischen der Entdeckung einer Schwachstelle und ihrer Ausnutzung.“
Es handelt sich hierbei nicht um ein vorübergehendes Phänomen, sondern um eine dauerhafte Verschiebung der Kräfteverhältnisse im Cyberspace. Die Technologie führt zwar nicht zwingend zu völlig neuen Risikoarten, aber sie wirkt als massiver Beschleuniger. Angriffe können durch Automatisierung in einer Dimension und Geschwindigkeit exekutiert werden, die menschliche Verteidiger ohne technologische Unterstützung schlicht überfordern. Deswegen müssen Finanzinstitute die risiken durch ki-gestützte cyberangriffe für banken systematisch analysieren.
Vorstände in der persönlichen Verantwortung
Die EZB nimmt die Führungsetagen der Banken nun direkt in die Pflicht. Die strategische Verantwortung für die IT-Sicherheit kann nicht länger an die IT-Abteilung delegiert werden; sie ist Chefsache.
„Die Verantwortung für die Reaktion auf das sich entwickelnde Cyber-Risiko-Umfeld liegt in erster Linie bei den Leitungsorganen der Banken.“
Die Bankenaufsicht erwartet, dass Governance-Strukturen, Risiko-Frameworks und die Budgetallokation für die Cybersicherheit umgehend überprüft werden. Es geht darum, signifikante Investitionen zu tätigen, um den neuen Bedrohungen adäquat zu begegnen. Bestehende, ungelöste Mängel aus früheren Prüfungen oder dem vergangenen Cyber-Stresstest der EZB dulden keinen Aufschub mehr. Wer hier trödelt, riskiert im Ernstfall den Totalausfall seiner Systeme, da risiken durch ki-gestützte cyberangriffe für banken alte Wunden im System gnadenlos aufreißen werden. Um den Schutz vor solchen risiken durch ki-gestützte cyberangriffe für banken zu gewährleisten, müssen Kontrollen verschärft werden.
Der DORA-Aktionsplan steht: Abgabetermin 31. Oktober 2026
Die regulatorische Basis für die Abwehr bildet der Digital Operational Resilience Act (DORA). Obwohl DORA ohnehin strenge Maßstäbe setzt, verlangt die EZB angesichts der neuen Dynamik von den Instituten sofortige, proaktive Schritte. Bis zum 31. Oktober 2026 müssen alle bedeutenden Banken einen detaillierten Aktionsplan bei ihren gemeinsamen Aufsichtsteams einreichen. Dieser Plan muss glasklar aufzeigen, mit welchen Ressourcen, Zuständigkeiten und Zeitplänen die Institute ihre Abwehrsysteme modernisieren wollen, um risiken durch ki-gestützte cyberangriffe für banken effektiv zu minimieren. Die EZB fordert, dass dieser Plan auf der bestehenden Strategie aufbaut, aber eine deutliche Schärfung erfährt.
Kurzfristige Pflichtaufgaben für die Banken-IT
Um den risiken durch ki-gestützte cyberangriffe für banken sofort den Wind aus den Segeln zu nehmen, hat die EZB-Chefin drei kurzfristige Prioritäten definiert, mit denen Institute risiken durch ki-gestützte cyberangriffe für banken eindämmen können:
- Schwachstellen- und Patch-Management skalieren: Sicherheitsupdates müssen flächendeckend und automatisiert eingespielt werden, um das Zeitfenster für KI-Angreifer zu schließen.
- KI-gestützte Abwehrsysteme implementieren: Da Angriffe automatisiert ablaufen, muss auch die Überwachung und Detektion mithilfe von KI-Systemen erfolgen. Nur Maschine kann gegen Maschine kämpfen.
- Drittanbieter-Risikomanagement überprüfen: Viele Banken sind von externen IKT-Dienstleistern abhängig. Diese kritischen Lieferketten müssen lückenlos auf ihre Resilienz überprüft werden.
Besonderes Augenmerk liegt hierbei auf den sogenannten Perimeter-Technologien – also allen Systemen, die direkt mit dem Internet verbunden und somit von außen angreifbar sind.
Strukturelle Langzeitmaßnahmen gegen Risiken durch KI-gestützte Cyberangriffe für Banken
Neben den Sofortmaßnahmen verlangt die Aufsicht eine tiefgreifende Modernisierung der Bankeninfrastruktur. Ein großes Problem in der Finanzbranche sind nach wie vor veraltete Legacy-Systeme. Technologien, die das Ende ihres Lebenszyklus erreicht haben und für die es keine Sicherheitsupdates mehr gibt, müssen konsequent ausgetauscht werden. Ein modernes Konzept der gestuften Verteidigung ist zwingend erforderlich. Zudem müssen die Banken ihre Krisen- und Wiederherstellungsmechanismen optimieren, um nach einem erfolgreichen Angriff schnell wieder voll arbeitsfähig zu sein. Auch der institutionalisierte Informationsaustausch über aktuelle Bedrohungen zwischen den Banken wird von der EZB explizit gefordert, um kollektiv gegen risiken durch ki-gestützte cyberangriffe für banken vorzugehen.
EZB gewährt Atempause bei der Bürokratie
Weil die Umsetzung dieser Maßnahmen immense personelle und finanzielle Ressourcen in den Banken bindet, zeigt sich die EZB an anderer Stelle pragmatisch. Um den Instituten den Rücken für die IT-Sicherheit freizuhalten, wird die Frist für die jährliche Abgabe des IT-Risikofragebogens von September 2026 auf Februar 2027 verschoben.
„Die EZB setzt sich weiterhin dafür ein, dass die beaufsichtigten Institute ihre Bemühungen priorisieren und ihre Ressourcen auf die relevanten Schlüsselbereiche konzentrieren können.“
Auch andere Aufsichtsaktivitäten wie Vor-Ort-Prüfungen sollen im Einzelfall angepasst werden, um die Risikofunktionen der Banken nicht mit weniger kritischen Themen zu blockieren, während sie die risiken durch ki-gestützte cyberangriffe für banken abwehren.
Das nächste Risiko wirft bereits seine Schatten voraus
Als wäre die Bedrohung durch künstliche Intelligenz nicht schon groß genug, blickt die EZB-Chefin am Ende ihres Briefes bereits auf die nächste technologische Disruption: das praktische Quantencomputing. Sobald Quantencomputer die nötige Reife erlangen, werden traditionelle Verschlüsselungsmethoden, die heute den gesamten Zahlungsverkehr und die Kommunikation sichern, obsolet. Claudia Buch warnt, dass die Umstellung zwar viel Zeit in Anspruch nehmen wird, die strategischen Investitionen hierfür jedoch sofort beginnen müssen:
„Die Einführung der Post-Quanten-Kryptographie kann einen längeren Zeitrahmen in Anspruch nehmen, muss jedoch jetzt beginnen und erfordert nachhaltige, strategische Investitionen über einen längeren Zeitraum.“
Ein separates Schreiben der EZB zu diesem Thema ist bereits in Vorbereitung, um neben den risiken durch ki-gestützte cyberangriffe für banken auch diese zukünftige Gefahr regulatorisch zu erfassen.
Fazit: Die Uhr tickt für Europas Finanzinstitute
Die Botschaft der EZB ist unmissverständlich: Die risiken durch ki-gestützte cyberangriffe für banken sind real, akut und potenziell systemgefährdend. Banken, die jetzt nicht massiv in ihre technologische Resilienz investieren, gefährden nicht nur ihre eigene Existenz, sondern das Vertrauen in den gesamten Euroraum. Bis zum Herbst 2026 müssen die Pläne stehen – die Aufsicht wird bei der Umsetzung ganz genau hinschauen.