Der Europäische Ausschuss für Systemrisiken (ESRB) hat eine offizielle Warnung vor den systemischen Cyberrisiken durch hochentwickelte KI-Modelle („Frontier AI“) im Finanzsektor herausgegeben. Der Verwaltungsrat des beim Europäischen Systemzentralbanksystem angesiedelten Gremiums stufte die Einschätzung des systemischen Cyberrisikos für das europäische Finanzsystem von „erhöht“ auf die zweithöchste Warnstufe „schwerwiegend“ herauf.
Hintergrund der Alarmmeldung ist ein grundlegender Paradigmenwechsel in der IT-Sicherheit: Während Frontier-KI-Modelle langfristig die digitale Widerstandskraft stärken können, verschaffen sie Angreifern kurz- bis mittelfristig drastische Asymmetrievorteile. Kriminelle Akteure nutzen KI-Systeme zunehmend, um Zero-Day-Schwachstellen in Bankensoftware automatisiert aufzuspüren und Cyberangriffe mit beispielloser Geschwindigkeit, Reichweite und Raffinesse auszuführen. Testergebnisse staatlicher Prüfinstitute wie die Cyber-Evaluierungen des britischen AISI oder die Netzwerksimulationen von GPT-5.5 hatten diesen Trend bereits im Frühjahr angedeutet.
EZB verlangt verbindliche Aktionspläne bis 31. Oktober 2026
Die Warnung des ESRB bleibt nicht ohne direkte aufsichtsrechtliche Konsequenzen für die Finanzbranche. Zeitgleich verschickte die EZB-Bankenaufsicht (Single Supervisory Mechanism) ein Schreiben an die Vorstandsvorsitzenden aller rund 110 bedeutenden Banken im Euroraum. Darin legt die Aufsichtsbehörde ihre Erwartungen zum Umgang mit KI-gestützten Cyberbedrohungen dar und setzt den Instituten eine strikte Frist:
Bis zum 31. Oktober 2026 müssen die betroffenen Finanzinstitute den zuständigen gemeinsamen Aufsichtsteams (Joint Supervisory Teams) detaillierte Aktionspläne vorlegen. Darin soll dargelegt werden, wie die Banken ihre Angriffsoberfläche verkleinern, IT-Inventare präzisieren und Bedrohungen durch autonome KI-Exploits im Einklang mit der europäischen DORA-Verordnung (Digital Operational Resilience Act) und dem EU AI Act eindämmen wollen.
Warnung vor geopolitischer Abhängigkeit von US-Anbietern
Neben den rein technischen Bedrohungen hebt der ESRB ein strukturelles Risiko hervor: Die starke Konzentration führender KI-Entwickler außerhalb der Europäischen Union - vor allem im US-amerikanischen Silicon Valley - setze das europäische Finanzsystem erheblichen geopolitischen Risiken und strategischen Abhängigkeiten aus. Sollten Schnittstellen oder Rechenzentren außereuropäischer KI-Anbieter ausfallen oder blockiert werden, drohen Kaskadeneffekte im gesamten europäischen Bankensektor.
Der ESRB fordert die Europäische Union daher auf, ihre eigene Expertise, ihre Infrastrukturkapazitäten und ihre strategische Autonomie im Bereich der KI-gestützten Cybersicherheit rasch auszubauen. Ein effektiver Schutz erfordere ein koordiniertes Zusammenwirken von Banken, Softwareherstellern, Open-Source-Maintainern und Regulierungsbehörden auf nationaler wie europäischer Ebene.
🎯 Was das für die Praxis bedeutet
1. Frist zum 31. Oktober 2026 beachten: Bedeutende Banken und Finanzinstitute im Euroraum müssen der EZB-Aufsicht zeitnah konkrete Aktionspläne zur Abwehr KI-gestützter Cyberangriffe vorlegen.
2. Angriffsoberflächen systematisch verkleinern: Der Einsatz von Frontier-KI durch Cyberkriminelle verlangt automatisierte Schwachstellen-Scans, geschärfte IT-Inventare und priorisiertes Patch-Management.
3. Abhängigkeit von US-Providern evaluieren: Der ESRB mahnt die strategische Abhängigkeit von außereuropäischen KI-Anbietern an - Notfall- und Ausfallszenarien müssen im Risikomanagement abgedeckt werden.
