Warum Banken wegen KI ihre Cyberresilienz stärken müssen

Die europäischen Banken haben sich während der jüngsten Krisen als ausgesprochen widerstandsfähig erwiesen. Ihre Kapital- und ihre Liquiditätsposition sind weiterhin stark und sie sind im Allgemeinen profitabel. Doch Widerstandsfähigkeit bedeutet heutzutage mehr als finanzielle Solidität. In einem zunehmend digitalen Finanzsystem können operative Störungen eine Bedrohung für kritische Dienstleistungen darstellen, selbst wenn die Institute nach wie vor gut kapitalisiert sind.

Die Stärkung der Cyberresilienz ist daher eine der zentralen Aufsichtsprioritäten der Europäischen Zentralbank.

Die Bedrohungslage entwickelt sich rasant weiter. Cyberangriffe werden immer ausgefeilter und potenziell disruptiver. Zugleich sind Finanzinstitute zunehmend von komplexen IT-Infrastrukturen, Cloud-Diensten und spezialisierten externen Anbietern abhängig. Diese Abhängigkeiten fördern Innovation und Effizienz, doch sie können auch dazu führen, dass Störungen zwischen Instituten und innerhalb des Finanzsystems als Ganzem übertragen werden.

Die Fortschritte im Bereich künstliche Intelligenz sorgen für eine neue Dimension. KI kann Banken dabei helfen, Schwachstellen zu identifizieren, ihr Risikomanagement zu stärken und ihre Cyberabwehr zu verbessern. Jedoch können böswillige Akteure dieselbe Technologie nutzen, um größer angelegte und automatisierte Angriffe durchzuführen.

In ihrem Schreiben an die Vorstandsvorsitzenden vom Juli dieses Jahres stellte die EZB-Bankenaufsicht vor allem KI-gestützte Cyberbedrohungen in den Mittelpunkt. Die neuen KI-Modelle können Schwachstellen bei Software erkennen und in beispielloser Geschwindigkeit funktionierende Exploits generieren. Dadurch verkürzt sich die Zeitspanne zwischen dem Erkennen und dem Ausnutzen einer Schwachstelle. Die EZB betrachtet dies nicht als vorübergehendes Phänomen, sondern vielmehr als eine langfristige Verschiebung der Bedrohungslage.

Die Entwicklung immer leistungsfähigerer Frontier-KI-Modelle erhöht die Dringlichkeit weiter. Derartige Modelle könnten es Angreifern ermöglichen, Schwachstellen rascher zu identifizieren, bestimmte Elemente von Cyberangriffen zu automatisieren und die Geschwindigkeit, das Ausmaß und die Raffiniertheit der Angriffe zu steigern. Zwar können diese Technologien auch die Verteidigungsfähigkeit stärken, ihr Potenzial, die Angriffsfähigkeit zu erhöhen bedeutet jedoch, dass Banken und Behörden sich unverzüglich dagegen wappnen müssen.

Die Botschaft der EZB lautet nicht, dass die Banken ihre Innovationstätigkeit verlangsamen sollen. Im Gegenteil, der verantwortungsvolle Einsatz von KI kann die Widerstandsfähigkeit stärken. Doch müssen die Kapazitäten im Bereich Cybersicherheit, die Governance-Regelungen und die Rahmen für die operative Widerstandsfähigkeit mit der sich verändernden Bedrohungslage Schritt halten. Die Verantwortung für den Umgang mit diesen Risiken liegt in erster Linie bei den Leitungsorganen der Banken.

Dies erfordert auch, dass bestehende Schwachstellen beseitigt werden. Die EZB hat betont, dass es notwendig ist, offene aufsichtliche Feststellungen unverzüglich in Angriff zu nehmen und Maßnahmen im Zusammenhang mit IKT- und Sicherheitsrisiken zu ergreifen, die im Rahmen früherer aufsichtlicher Aktivitäten identifiziert wurden. Mit der rascheren Weiterentwicklung von Cyberbedrohungen gewinnen nicht beseitigte Schwachstellen unter Umständen zunehmend an Bedeutung.

Die Banken wurden daher aufgefordert zu beurteilen, in welcher Weise sie von der sich verändernden Bedrohungslage betroffen sind. Zudem sollen sie umfassende Maßnahmenpläne erarbeiten, aus denen konkrete Maßnahmen zur Behebung der festgestellten Schwachstellen hervorgehen. Diese Pläne müssen bis zum 31. Oktober 2026 vorgelegt werden.

Die Banken zu einem raschen Handeln aufzufordern bedeutet indes nicht, von ihnen zu verlangen, alle Probleme gleichzeitig zu lösen. Die EZB hat deutlich gemacht, dass für die Stärkung der Cyberresilienz Konzentration und Priorisierung erforderlich sind. Ziel ist es, sicherzustellen, dass die Institute ihr Fachwissen und ihre Ressourcen auf die bedeutendsten Risiken ausrichten können.

Dies bedeutet nicht, dass die aufsichtlichen Erwartungen heruntergeschraubt werden. Es ist vielmehr die Erkenntnis, dass effektive Aufsicht in einem sich rasch verändernden Umfeld bedeutet, den Instituten dabei zu helfen, sich auf die Bereiche mit dem größten Handlungsbedarf zu konzentrieren. Die EZB hat bereits Schritte ergriffen, um diesen Ansatz zu fördern: So misst sie einigen Aufsichtstätigkeiten eine geringere Priorität bei, und sie ermöglicht es den Banken, sich auf die dringlichsten Herausforderungen in Sachen Cyberresilienz zu fokussieren.

Eine weitere Priorität ist die Steuerung externer Abhängigkeiten. Die Banken stützen sich zunehmend auf gemeinsam genutzte Dienstleister, Cloud-Infrastrukturen und Technologieplattformen. Diese Vereinbarungen haben erhebliche Vorteile, sie können jedoch auch einzelne Ausfallpunkte (Single-Points-of-Failure) mit sich bringen. Eine Störung bei einem kritischen Anbieter könnte weit über ein einzelnes Institut hinausgehende Auswirkungen haben.

Dies zeigt, warum Cyberresilienz nicht länger ein rein institutsspezifisches Problem darstellt. Die größte Gefahr liegt nicht darin, dass eine einzelne Bank einen Cybervorfall erleidet. Sie besteht vielmehr darin, dass sich Störungen aufgrund gemeinsamer Schwachstellen, gemeinsam genutzter Technologien oder kritischer Abhängigkeiten rascher auf das gesamte Finanzsystem ausbreiten können. Frontier-KI-Modelle könnten dieses Risiko noch verstärken, da durch sie auch das Erkennen und Ausnutzen von Schwachstellen schneller vonstattengeht.

Um das Vertrauen in Europas Finanzsystem zu bewahren, müssen die Banken somit nicht nur finanziell solide bleiben, sondern auch dann weiterhin kritische Dienstleistungen erbringen, wenn sie mit ernstzunehmenden operativen Störungen konfrontiert sind.

Darum ist Cyberresilienz zu einem Eckpfeiler für die Sicherung der Finanzstabilität in Europa geworden.