Künstliche Intelligenz soll Banken effizienter, schneller und sicherer machen. Doch dieselbe Technologie könnte künftig auch Cyberkriminellen helfen, Finanzinstitute gezielter anzugreifen. Hinzu kommt eine weitere technologische Herausforderung: Quantencomputer könnten eines Tages Verschlüsselungsverfahren überwinden, auf denen die Sicherheit digitaler Finanztransaktionen beruht.
BaFin-Präsident Mark Branson hat deshalb auf der Digital-Finance-Konferenz DigiFin26 des Digitalverbands Bitkom in Berlin eindringlich vor den Risiken des technologischen Wandels gewarnt.
Seine Botschaft ist eindeutig: Banken, Versicherungen und andere beaufsichtigte Finanzunternehmen dürfen sich nicht allein auf die Chancen neuer Technologien konzentrieren. Sie müssen gleichzeitig ihre Widerstandsfähigkeit gegen Cyberangriffe und technische Störungen verbessern.
Die Warnung ist auch für Verbraucher von Bedeutung. Denn digitale Finanzdienstleistungen sind längst ein fester Bestandteil des Alltags. Onlinebanking, Kartenzahlungen, Wertpapierdepots und Versicherungsportale hängen von komplexen IT-Systemen ab.
Die entscheidende Frage lautet deshalb: Wie gut sind die Finanzinstitute auf eine Zukunft vorbereitet, in der künstliche Intelligenz nicht nur Kunden berät, sondern möglicherweise auch Cyberangriffe automatisiert?
BaFin sieht technologische Risiken als zentrale Gefahr für den Finanzsektor
In seiner Rede vom 10. November 2026 machte Branson deutlich, dass neue Technologien den Finanzsektor grundlegend verändern.
Leistungsfähige KI-Modelle, autonome KI-Agenten und Quantencomputer eröffnen neue Möglichkeiten für die Verarbeitung großer Datenmengen, die Automatisierung von Arbeitsabläufen und die Entwicklung innovativer Finanzdienstleistungen.
Gleichzeitig entstehen neue Angriffsflächen.
Branson erklärte, dass Risiken des technologischen Wandels inzwischen zu den zentralen Gefahren für den Finanzsektor gehörten.
Besonders problematisch sei die Möglichkeit, dass böswillige Akteure leistungsfähige KI-Systeme für Cyberangriffe auf Finanzinstitute einsetzen.
Damit geht es längst nicht mehr nur um klassische Schadsoftware oder betrügerische E-Mails.
KI kann Angreifern dabei helfen, Informationen schneller auszuwerten, Schwachstellen zu identifizieren und Täuschungsversuche überzeugender zu gestalten.
Für Finanzinstitute bedeutet das, dass sich die Geschwindigkeit und Komplexität möglicher Angriffe verändern können.
KI-Agenten: Wenn Software selbstständig handelt
Eine besondere Herausforderung stellen sogenannte KI-Agenten dar.
Anders als einfache Chatbots können solche Systeme mehrere Arbeitsschritte planen, digitale Werkzeuge nutzen und Aufgaben teilweise eigenständig ausführen.
Für Banken können daraus erhebliche Effizienzgewinne entstehen.
KI-Agenten könnten beispielsweise interne Prozesse unterstützen, große Informationsmengen analysieren oder Auffälligkeiten bei Transaktionen untersuchen.
Dieselben Fähigkeiten können jedoch missbraucht werden.
Cyberkriminelle könnten automatisierte Systeme einsetzen, um Angriffe vorzubereiten oder bestehende Sicherheitsmechanismen gezielt zu testen.
Wie groß diese Gefahr tatsächlich wird, hängt von den Fähigkeiten der eingesetzten Systeme, den verfügbaren Zugriffsrechten und den Schutzmaßnahmen der betroffenen Unternehmen ab.
Eine flächendeckende Überwindung von Banksicherheit durch KI ist damit keineswegs belegt.
Die Warnung des BaFin-Präsidenten zielt vielmehr darauf ab, mögliche Risiken frühzeitig zu berücksichtigen.
Quantencomputer: Gefahr für heutige Verschlüsselungsverfahren
Neben künstlicher Intelligenz sprach Branson eine weitere technologische Entwicklung an: Quantum Computing, also Quantencomputing.
Leistungsfähige Quantencomputer könnten bestimmte mathematische Probleme künftig erheblich schneller lösen als klassische Rechner.
Das ist insbesondere für die Kryptografie relevant.
Bestimmte heute verbreitete asymmetrische Verschlüsselungs- und Signaturverfahren könnten durch ausreichend leistungsfähige Quantencomputer angreifbar werden.
Nicht sämtliche Verschlüsselungsverfahren wären davon gleichermaßen betroffen.
Auch ist damit nicht gesagt, dass heutige Quantencomputer bereits in der Lage wären, die Sicherheit des Onlinebankings flächendeckend zu überwinden.
Dennoch müssen Finanzunternehmen frühzeitig planen.
Denn der Austausch kryptografischer Verfahren in komplexen IT-Systemen kann Jahre dauern.
Betroffen sein können beispielsweise Kommunikationsverbindungen, digitale Zertifikate, elektronische Signaturen und technische Schnittstellen.
Branson forderte die Unternehmen deshalb auf, die Risiken des Quantencomputings bereits heute zu managen – unabhängig davon, ob die Technologie in zwei oder erst in fünf Jahren breiter verfügbar wird.
Warum Banken nicht warten dürfen, bis ein Angriff erfolgreich ist
Die zentrale Forderung der BaFin lautet: Finanzinstitute müssen ihre operative Widerstandsfähigkeit stärken.
Dabei geht es nicht darum, sämtliche technischen Risiken vollständig auszuschließen.
Das wäre angesichts der Komplexität moderner IT-Systeme kaum realistisch.
Vielmehr müssen Unternehmen in der Lage sein, Angriffe und Störungen möglichst früh zu erkennen, wirksam einzudämmen und ihre Dienstleistungen wiederherzustellen.
Branson betonte, dass gerade die schnelle Erkennung und Begrenzung von Risiken entscheidend sei.
Für Verbraucher kann dies erhebliche Auswirkungen haben.
Wenn eine Bank Opfer eines Cyberangriffs wird, können beispielsweise Onlinebanking-Funktionen zeitweise ausfallen oder Zahlungsprozesse gestört werden.
Auch der Schutz personenbezogener Daten kann betroffen sein.
Ein technischer Angriff bedeutet allerdings nicht automatisch, dass Kundengelder verloren sind.
Die tatsächlichen Folgen hängen von der Art des Angriffs, den betroffenen Systemen und den vorhandenen Schutzmaßnahmen ab.
BaFin fordert den Einsatz von KI zur Verteidigung
Interessant ist, dass Branson künstliche Intelligenz nicht grundsätzlich als Gefahr betrachtet.
Im Gegenteil: Er hält es für sinnvoll, wenn Finanzunternehmen KI auch für ihre eigene Cybersicherheit einsetzen.
Solche Systeme können beispielsweise dabei helfen, verdächtige Aktivitäten schneller zu erkennen und große Mengen technischer Sicherheitsdaten auszuwerten.
Allerdings dürfen KI-Anwendungen nicht unkontrolliert eingeführt werden.
Sie müssen nach Bransons Forderung in das Informations- und Kommunikationstechnologie-Risikomanagement der Unternehmen eingebunden sein.
Denn auch KI-basierte Sicherheitssysteme können Fehler machen.
Sie können beispielsweise harmlose Aktivitäten fälschlich als Bedrohung einstufen oder tatsächliche Angriffe übersehen.
Deshalb müssen die Institute klare Verantwortlichkeiten, Kontrollmechanismen und Notfallverfahren vorsehen.
KI kann die menschliche Sicherheitsorganisation unterstützen, sie aber nicht automatisch ersetzen.
Sicherheitslücken schneller schließen
Ein weiterer Schwerpunkt der Rede betrifft das sogenannte Patching.
Damit ist die Installation von Softwareaktualisierungen gemeint, mit denen bekannte Sicherheitslücken geschlossen werden.
Branson forderte eine beschleunigte, aber risikoorientierte Strategie.
Finanzunternehmen sollen insbesondere kritische Systeme und besonders gefährliche Schwachstellen priorisieren.
Das ist nachvollziehbar.
Denn nicht jede technische Sicherheitslücke hat dieselbe Bedeutung.
Eine Schwachstelle in einem öffentlich erreichbaren Zahlungssystem kann wesentlich dringlicher sein als ein Fehler in einer isolierten internen Anwendung.
Gleichzeitig können übereilte Aktualisierungen selbst Betriebsstörungen verursachen.
Die Herausforderung besteht deshalb darin, Sicherheitsmaßnahmen schnell umzusetzen, ohne die Stabilität zentraler Finanzdienstleistungen unnötig zu gefährden.
Finanzaufsicht und Unternehmen müssen zusammenarbeiten
Nach Bransons Auffassung lassen sich die neuen technologischen Risiken nicht allein durch staatliche Vorgaben bewältigen.
Er forderte eine pragmatische Zusammenarbeit zwischen privaten Unternehmen und staatlichen Stellen.
Dazu gehört insbesondere der Austausch über neue Bedrohungen, technische Schwachstellen und wirksame Schutzmaßnahmen.
Die Finanzaufsicht kann Anforderungen formulieren und deren Umsetzung überwachen.
Die konkrete Verantwortung für sichere IT-Systeme liegt jedoch bei den beaufsichtigten Unternehmen.
Gerade bei Cyberangriffen ist Zusammenarbeit wichtig, weil sich Angriffsmethoden schnell verändern können.
Eine Sicherheitslücke, die bei einem Unternehmen entdeckt wird, kann unter Umständen auch andere Finanzinstitute betreffen.
Ein frühzeitiger Informationsaustausch kann helfen, solche Risiken zu begrenzen.
DORA: Europäische Regeln für digitale Widerstandsfähigkeit
Die Forderungen des BaFin-Präsidenten stehen im Zusammenhang mit den europäischen Anforderungen an die digitale operationelle Resilienz des Finanzsektors.
Eine wichtige Grundlage bildet die europäische Verordnung DORA, der Digital Operational Resilience Act.
Sie gilt seit dem 17. Januar 2025 und enthält Anforderungen an das Management von Informations- und Kommunikationstechnologierisiken.
Dazu gehören unter anderem Regeln für die Behandlung und Meldung schwerwiegender IT-Vorfälle, Tests der digitalen Widerstandsfähigkeit sowie das Management von Risiken durch externe IT-Dienstleister.
Die Anforderungen gelten für die jeweils erfassten Finanzunternehmen und sind nach den einschlägigen Regelungen umzusetzen.
Für Verbraucher ist das relevant, weil viele Finanzdienstleistungen von externen Technologieanbietern abhängig sind.
Cloud-Dienste, Zahlungsdienstleister und spezialisierte Softwareunternehmen können wichtige Funktionen übernehmen.
Fällt ein zentraler Dienstleister aus, kann dies mehrere Finanzunternehmen gleichzeitig betreffen.
DORA soll dazu beitragen, solche Abhängigkeiten besser zu beherrschen.
Die Verordnung kann jedoch keine absolute Sicherheit garantieren.
Was bedeutet das für Bankkunden und Anleger?
Die Rede von Mark Branson richtet sich in erster Linie an die beaufsichtigten Unternehmen.
Dennoch ergeben sich daraus wichtige Schlussfolgerungen für Verbraucher.
Wer Onlinebanking nutzt, sollte Sicherheitsaktualisierungen auf seinen Geräten regelmäßig installieren und starke Authentifizierungsverfahren verwenden.
Besondere Vorsicht ist bei unerwarteten Nachrichten angeblicher Banken geboten.
KI kann betrügerische E-Mails, gefälschte Stimmen und andere Täuschungsversuche überzeugender erscheinen lassen.
Deshalb sollten Verbraucher Zahlungsaufforderungen und ungewöhnliche Kontaktaufnahmen über unabhängige Kommunikationswege überprüfen.
Auch bei vermeintlichen Anrufen von Bankmitarbeitern ist Vorsicht geboten.
Eine vertraut klingende Stimme ist kein sicherer Identitätsnachweis.
Zugangsdaten, Passwörter und Freigabecodes sollten niemals auf telefonische Aufforderung weitergegeben werden.
Für Anleger ist außerdem wichtig, dass technologische Risiken nicht nur einzelne Bankkonten betreffen.
Auch Handelsplattformen, Depotanbieter und digitale Vermögensverwaltungen sind auf funktionierende IT-Systeme angewiesen.
