Die EZB hat die bedeutenden Banken Europas aufgefordert, sich auf KI-gestützte Cyberangriffe vorzubereiten. Was das bedeutet, erfahren Sie hier.
Am 7. Juli 2026 sandte die Vorsitzende des Aufsichtsrats der Europäischen Zentralbank, Claudia Buch, ein Schreiben an die Vorstandsvorsitzenden aller bedeutenden Institute, die unter der direkten Aufsicht der EZB stehen. Die Anweisung ist konkret: Bereiten Sie sich auf KI-gestützte Cyberbedrohungen vor und legen Sie bis zum 31. Oktober 2026 einen konkreten Aktionsplan vor.
Es handelt sich hierbei um eine Anweisung mit einer Frist, nicht um ein Diskussionspapier.
Was die EZB fordert
In dem Schreiben wird nicht behauptet, dass KI völlig neue Risiken mit sich bringt. Es wird ein noch prägnanterer Punkt angesprochen: Modernste KI-Modelle sind mittlerweile in der Lage, Code zu scannen, Schwachstellen zu identifizieren und funktionierende Exploits zu generieren – und zwar mit einer Geschwindigkeit, die kein menschliches Team erreichen kann. Der Zeitraum zwischen der Entdeckung einer Schwachstelle und ihrer Ausnutzung hat sich von Wochen auf in manchen Fällen nur noch Stunden verkürzt.
Das verändert die Kalkulation für die Verteidigung. Eine Bank, die monatlich Patches installiert, Perimeter-Sicherheit betreibt und Sicherheitsverletzungen als selten betrachtet, stützt sich auf Annahmen, von denen die Aufsichtsbehörde bereits abgerückt ist. Bis zum 31. Oktober erwartet die EZB von bedeutenden Instituten, dass sie drei Bereiche verstärken:
• das Schwachstellen- und Patch-Management in großem Maßstab beschleunigen
• die Überwachung, Erkennung und KI-gestützte Verteidigung stärken
• die Überprüfung, ob das Risikomanagement in Bezug auf Dritte zweckmäßig ist, angesichts der Rolle von IKT-Dienstleistern in kritischen Lieferketten
Dann folgen die strukturellen Maßnahmen: mehrschichtige Verteidigung, Cyberhygiene, die Ablösung veralteter und auslaufender Systeme, Krisenmanagement, Reaktion und Wiederherstellung sowie der Informationsaustausch zwischen den Instituten. Der rote Faden dabei ist, dass eine Bank davon ausgehen sollte, dass ihre Perimeter-Sicherheit durchbrochen wird, denn angesichts modernster KI in der Angriffskette wird dies wahrscheinlich auch geschehen.
Warum dies über die angesprochenen Banken hinausgeht
Das Schreiben richtet sich an bedeutende Banken. Seine Logik reicht noch weiter.
Erstens: DORA. Der „Digital Operational Resilience Act“ verpflichtet Finanzinstitute in der gesamten Europäischen Union bereits dazu, ihre IKT-Systeme widerstandsfähiger zu gestalten. Mit diesem Schreiben macht die EZB deutlich, dass die Mindestanforderungen von DORA allein nicht mehr ausreichen. Die Aufsichtsbehörde legt die Messlatte höher, und die nationalen Aufsichtsbehörden folgen dem Beispiel der EZB.
Zweitens: die Lieferkette. Die EZB stellt unmissverständlich klar, dass Banken weiterhin für Risiken bei ausgelagerten IKT-Dienstleistungen verantwortlich sind. Jeder Dienstleister, Softwareanbieter, Cloud-Betreiber und jede Open-Source-Abhängigkeit innerhalb der kritischen Infrastruktur einer Bank steht nun im Blickfeld der Aufsichtsbehörde. Wenn Sie den Finanzsektor bedienen, betrifft dieses Schreiben Ihre Risikosituation – unabhängig davon, ob die EZB Ihrem Vorstandsvorsitzenden schreibt oder nicht.
Drittens: Die Front verschiebt sich. In derselben Woche veröffentlichte der Europäische Ausschuss für Systemrisiken eine Warnung vor systemischen Cyberrisiken durch Pioniermodelle der künstlichen Intelligenz. Internationale Gremien – von der G7 über den Basler Ausschuss bis hin zum Rat für Finanzstabilität – koordinieren ihre Maßnahmen zu diesem Problem. Dies ist ein regulatorischer Wandel, nicht nur ein einzelnes Schreiben.
Sechs Prioritäten bis zum 31. Oktober
Machen Sie sich mit Ihrer Angriffsfläche vertraut. Ressourcen, die Sie nicht erfasst haben, können nicht geschützt werden. Dazu gehören IKT-Ressourcen, Software von Drittanbietern, Open-Source-Komponenten, Cloud-Umgebungen und VPN-Verbindungen – insbesondere alles, was mit dem Internet verbunden ist.
Ändern Sie nicht nur den Prozess, sondern auch die Häufigkeit der Patches. Bereiten Sie sich auf häufigere und umfangreichere Patches vor. Dies erfordert Personal, Tools und Verfahren zum Änderungsmanagement, die eine schnelle, risikobasierte Behebung ermöglichen, ohne die Betriebsstabilität zu beeinträchtigen.
Bauen Sie eine KI-gestützte Verteidigung auf. Nutzen Sie KI sowohl zur Verteidigung als auch zum Angriff. Überwachen Sie Protokolle, Netzwerkverkehr und Zugriffsmuster auf Anzeichen für Kompromittierungen, ergänzt durch menschliche Kontrolle.
Gehen Sie von einer Sicherheitsverletzung aus und gestalten Sie Ihre Systeme entsprechend. Zero-Trust-Prinzipien, Segmentierung, Zugriff mit geringsten Berechtigungen, Multi-Faktor-Authentifizierung und umfassende Protokollierung. Grundlegende Kontrollmaßnahmen leisten nach wie vor den größten Beitrag.
Überprüfen Sie die Lieferkette. Vergewissern Sie sich, dass Anbieter mit der beschleunigten Offenlegung von Schwachstellen und der Bereitstellung von Patches Schritt halten können, und verankern Sie dies in Verträgen und Service Level Agreements.
Testen Sie den schlimmsten Fall. Führen Sie Übungen durch, die schnelle, großvolumige Angriffe, Zero-Day-Exploits, Ransomware und Störungen der Lieferkette simulieren – im Einklang mit DORA.
Der langfristige Ausblick: Die Quantenphysik ist der nächste Schritt
Der Brief schliesst mit einem Punkt, der im letzten Absatz eines dreiseitigen Dokuments leicht übersehen werden kann. Die EZB weist darauf hin, dass Fortschritte auf dem Weg zur praktischen Quantencomputernutzung die Cybersicherheitslandschaft neu gestalten werden, dass die Einführung der Post-Quanten-Kryptografie Zeit brauchen wird und dass die Arbeit jetzt beginnen muss.
Die meisten Banken sind noch damit beschäftigt, den Übergang zur KI zu bewältigen. Die EZB fordert sie bereits auf, den nächsten Schritt zu planen. Das zeigt, wie schnell sich diese Landschaft verändert, und erklärt, warum jene Institute, die KI-gestützte Cyberabwehr als operative Neuausrichtung und nicht als einmalige Compliance-Maßnahme betrachten, besser aufgestellt sein werden, wenn der nächste Wandel kommt.
Bei PHOENIQS unterstützen wir Finanzinstitute dabei, regulatorische Anforderungen in operative Fähigkeiten umzusetzen, damit ihre Daten und Entscheidungen unter ihrer eigenen Kontrolle bleiben.
