Was passiert ist
Am 15. Oktober 2026 hat The Decoder über eine Meldung von CNBC berichtet. Bank of America setzt 4.000 Personen ein, um Software-Schwachstellen zu beheben, die KI-Modelle aufgedeckt haben. Rund 1.000 davon sind externe Fachkräfte, die eigens für diese Aufgabe angeheuert wurden. Eines der eingesetzten Modelle ist Anthropics Mythos. Weitere KI-Systeme kommen dazu.
Die Zahl ist bemerkenswert. 4.000 Personen sind in etwa die Größe einer mittleren IT-Organisation. Sie arbeiten nicht daran, neue Software zu bauen. Sie arbeiten daran, Befunde abzuarbeiten, die eine Maschine erzeugt hat. Das ist ein neues Muster.
Warum das für Finanzdienstleister in DACH zählt
Seit dem 17. Jänner 2025 gilt DORA in der gesamten EU. Die Verordnung zwingt Banken, Versicherungen, Vermögensverwalter, Zahlungsdienstleister und viele andere Finanzakteure zu einem nachweisbaren Management digitaler operationeller Risiken. Schwachstellen in Software sind ein Kernthema. DORA verlangt, dass Sie IKT-Risiken identifizieren, bewerten und beheben. Nicht irgendwann, sondern kontinuierlich.
Die BoA-Meldung zeigt, was passiert, wenn Sie KI-basierte Schwachstellenscans ernsthaft einsetzen. Die Maschine findet sehr viele Auffälligkeiten. Das klingt erst einmal gut. Aber die Befunde sind keine gepatchten Systeme. Zwischen Fund und Behebung liegt ein Prozess, der Menschen braucht. Priorisierung, technische Analyse, Test, Freigabe, Dokumentation, Rollback-Plan. Genau dafür hat Bank of America 4.000 Personen mobilisiert.
Aus meiner Sicht ist das ein Warnsignal für jede Finanzorganisation in DACH, die glaubt, KI-Sicherheitstools würden die Sicherheitsabteilung ersetzen. Das Gegenteil ist der Fall. KI automatisiert das Finden. Das Beheben bleibt Handarbeit. Wer das nicht einplant, kauft ein Werkzeug und bekommt einen Backlog, der ihn regulatorisch angreifbar macht.
Für kleinere Finanzakteure ist das besonders relevant. Ein Vermögensverwalter mit 20 Mitarbeitern, ein Family Office, ein FinTech im Zahlungsverkehr. Auch diese Unternehmen fallen unter DORA, wenn sie als Finanzunternehmen gelten oder Dienstleistungen erbringen. Sie haben keine 4.000 Leute. Aber sie haben dieselben Software-Schwachstellen. Ein KI-Scan kann auch in einem kleinen Haus Hunderte Befunde liefern. Ohne Prozess bleiben die Befunde liegen. Und damit riskieren Sie bei einer DORA-Prüfung den Vorwurf, bekannte Risiken nicht adressiert zu haben.
Die Governance-Frage wird oft unterschätzt. DORA verlangt Nachvollziehbarkeit. Wenn ein KI-Modell eine Schwachstelle meldet, muss klar sein: Wer hat den Befund bestätigt? Welche Tests wurden durchgeführt? Warum wurde ein Patch vorgezogen oder zurückgestellt? Welche Dokumentation existiert? Ohne diese Schleife ist der KI-Einsatz rechtlich wackelig. Der EU-AI-Act verstärkt das noch, sobald Sicherheitsentscheidungen durch automatisierte Systeme vorbereitet werden.
Ein zweiter Punkt: False Positives. KI-Modelle sind nicht perfekt. Sie melden auch Dinge, die keine realen Schwachstellen sind. Wenn Sie jeden Befund ungeprüft patchen, können Sie selbst Ausfälle verursachen. Ein ungetesteter Fix in einer Kernbankanwendung oder einer Handelsplattform ist ein operationelles Risiko. DORA verlangt, dass Sie solche Risiken beherrschen, nicht vergrößern.
Was Sie konkret tun können
Mein Rat: Behandeln Sie KI-generierte Schwachstellenbefunde wie Rohdaten, nicht wie fertige Arbeitsaufträge. Drei Schritte helfen.
Erstens: Starten Sie einen KI-gestützten Scan in Ihrer kritischen Infrastruktur. Nutzen Sie dafür Modelle wie Mythos oder etablierte Security-Tools mit KI-Erweiterung. Aber setzen Sie klare Regeln. Jeder Befund muss durch einen Menschen bestätigt werden, bevor ein Fix in Produktion geht. Das klingt formalistisch, schützt Sie aber vor blindem Aktionismus.
Zweitens: Bauen Sie einen Priorisierungsprozess. Klassifizieren Sie Befunde nach Kritikalität, Plausibilität und Dringlichkeit. Kritische, bestätigte Schwachstellen sofort beheben. Alles andere in eine nachvollziehbare Warteschlange. Dokumentieren Sie, warum etwas zurückgestellt wurde. DORA-Auditoren prüfen nicht, ob Sie alles sofort patchen. Sie prüfen, ob Sie ein funktionierendes Risikomanagement haben.
Drittens: Planen Sie Budget für Behebung ein. Der BoA-Fall zeigt, dass die Tools nur die halbe Miete sind. Rechnen Sie damit, dass Sie externe Kapazität brauchen, wenn die Befundwelle kommt. Ein kleines Haus muss nicht tausend Contractor anstellen. Aber ein Puffer von zehn bis zwanzig Prozent des Security-Budgets für Behebung ist realistisch. Sonst bleiben die Befunde liegen.
Zusätzlich rate ich zu einer Governance-Schleife. Gleichen Sie die KI-Befunde regelmäßig mit den tatsächlich bestätigten Schwachstellen ab. So messen Sie die False-Positive-Rate und können die Tools besser auswählen. Das ist keine akademische Übung. Das ist der Unterschied zwischen einem Werkzeug, das Ihnen hilft, und einem Werkzeug, das Sie beschäftigt.
Bank of America hat die Konsequenz gezogen und massiv in Menschen investiert. Sie müssen nicht 4.000 Personen einstellen. Aber Sie müssen die Logik verstehen. KI macht Sicherheitslücken sichtbar. Beheben müssen sie immer noch Sie. Wer das jetzt organisiert, ist bei der nächsten DORA-Prüfung nicht in der Defensive.