Was passiert ist
Seit dem 25. Juli 2026 ist es offiziell: Anthropic hat mit Claude Opus 5 ein Modell vorgestellt, das beim Aufspüren von Sicherheitslücken in Software mit den besten menschlichen Expertenteams mithalten kann. Konkret spricht Anthropic von einem Niveau, das mit den Ergebnissen des internen Sicherheitsframeworks „Mythos 5" vergleichbar ist. Das ist bemerkenswert. Denn Mythos 5 galt bisher als Benchmark für staatlich finanzierte Offensivteams.
Wichtig ist die Einschränkung, die Anthropic gleich mittlieferte: Beim aktiven Ausnutzen der gefundenen Lücken, also der Entwicklung eines funktionierenden Exploits, hinkt das Modell noch deutlich hinterher. Es ist ein brillanter Detektiv, aber ein mittelmässiger Einbrecher. Für die defensive Seite der Cybersicherheit ist das exakt die richtige Kombination.
Warum das jetzt für die gesamte Finanzbranche zählt
Die Finanzbranche betreibt einige der am stärksten abgeschotteten IT-Infrastrukturen der Welt. Handelsplätze, Zahlungsverkehrssysteme, Kernbankensysteme und die Konnektivität zwischen all diesen Komponenten sind durch Hunderte von Schnittstellen und über Jahre gewachsene Codebasen verwoben. Jede dieser Schnittstellen ist eine potenzielle Schwachstelle. Jede Schwachstelle ist ein potenzieller Millionenverlust.
Bisher lief das Aufspüren dieser Lücken nach einem teuren, langsamen Muster: Externe Pentesting-Unternehmen kommen zweimal im Jahr, klopfen eine Woche lang mit ihren Tools gegen die Systeme und liefern dann einen PDF-Bericht. Zwischen diesen Terminen verlässt man sich auf Scanner, die nach bekannten Signaturen suchen. Das ist, als würden Sie Ihre Alarmanlage nur an zwei Tagen im Jahr testen.
Mit einem Modell auf dem Niveau von Claude Opus 5 ändert sich diese Dynamik grundlegend.
Vom Stichtags-Pentest zur kontinuierlichen Tiefenprüfung
Typisches Muster bei einem Börsenbetreiber: Der Matching-Engine-Code wird quartalsweise einem Audit unterzogen. Die Prüfer schaffen in der Zeit vielleicht 60 Prozent der kritischen Module. Der Rest fliegt unter dem Radar. Ein KI-gestütztes System mit der Analysefähigkeit von Opus 5 kann diesen Code kontinuierlich und vollständig durchforsten. Jede neue Code-Änderung, jeder Deployment-Zyklus wird automatisch auf Schwachstellenmuster analysiert, die bisher nur ein Spitzen-Pentester mit zehn Jahren Erfahrung erkannt hätte.
Für regulierte Institute ist das mehr als ein nettes Feature. DORA, die Verordnung über die digitale operationale Resilienz im Finanzsektor, verlangt seit Januar 2025 kontinuierliche Tests von IKT-Systemen. Wer das bisher mit manuellen Pentests abdeckte, weiss genau, dass das ein Papiertiger war. Die Kapazität für flächendeckende, tiefgehende Tests war einfach nicht da. Jetzt ist sie da.
Die Bug-Bounty-Falle und ihre Lösung
Viele FinTechs, Neobanken und Krypto-Verwahrer setzen auf Bug-Bounty-Programme. Das Prinzip: Wer eine Lücke findet und meldet, bekommt Geld. In der Praxis bedeutet das eine Flut von Low-Effort-Meldungen und vielleicht einen kritischen Fund pro Quartal. Die Signal-Rausch-Triage frisst die Zeit der internen Sicherheitsteams auf.
Hier kann ein Modell wie Claude Opus 5 als Vorfilter dienen. Es analysiert eingehende Meldungen, bewertet deren Validität und Schwere und schreibt gleich einen Entwurf für die Reproduktionsanleitung. Das interne Team prüft nur noch die als kritisch eingestuften Fälle. Ein Sicherheitsleiter eines grösseren Zahlungsdienstleisters, mit dem ich letzte Woche sprach, brachte es auf den Punkt: „Wenn ich das Modell auf meine Codebasis loslasse, weiss ich vermutlich mehr über meine Lücken als jeder externe Angreifer. Und zwar täglich."
Der neue Rüstungswettlauf im Trading-Umfeld
Für Hochfrequenzhändler, Market-Maker und Börsenbetreiber gibt es eine zweite, weniger offensichtliche Ebene. Diese Systeme sind nicht nur sicherheitsrelevant. Sie sind latenzkritisch. Ein Exploit, der die Matching-Engine um fünf Millisekunden verzögert, ist für einen HFT-Shop existenzbedrohend. Claude Opus 5 kann im Code nicht nur klassische Buffer-Overflows und Injection-Schwachstellen finden. Es erkennt auch logische Schwachstellen, die zu Timing-Angriffen ausgenutzt werden können. Dieser Bereich war bisher extrem schwer prüfbar, weil er tiefes Domänenwissen in Mikroarchitektur und Netzwerk-Stack erfordert.
Was das Modell nicht kann und wo die Compliance-Realität einsetzt
Ich sage es gleich dazu: Kein Modell dieser Welt darf ohne menschliche Letztprüfung einen produktiven Trading-Server anfassen. Die EU-AI-Verordnung stuft unüberwachtes automatisiertes Pentesting in kritischen Infrastrukturen als Hochrisikoanwendung ein. Das ist gut so. Ebenso wenig ersetzt die Modellausgabe ein testiertes Audit. Die BaFin und die FMA werden in den nächsten Monaten klarstellen müssen, wie sie KI-generierte Sicherheitsanalysen in ihrem Aufsichtsrahmen bewerten. Mein Rat an alle Compliance-Verantwortlichen: Jetzt den Dialog mit der Aufsicht suchen, nicht erst nach dem ersten produktiven Einsatz.
Konkrete Handlungsempfehlung für Entscheider
Schritt 1: Pilotprojekt mit abgegrenzter Codebasis starten
Nehmen Sie einen klar abgegrenzten, aber geschäftskritischen Codebereich. Das kann die API-Schicht Ihres Kundenportals sein, der Authentifizierungsdienst oder die Order-Routing-Komponente. Lassen Sie Claude Opus 5 über die API auf diesen Code los. Parallel beauftragen Sie ein klassisches Pentesting-Unternehmen mit demselben Scope. Vergleichen Sie die Funde. Sie werden sehr wahrscheinlich feststellen, dass das Modell andere Klassen von Schwachstellen findet als der menschliche Pentester. Damit wissen Sie, was Ihre bisherigen Prozesse übersehen.
Schritt 2: Bug-Bounty-Triage automatisieren
Wenn Sie ein Bug-Bounty-Programm betreiben, leiten Sie die nächsten 100 eingehenden Meldungen zusätzlich durch Claude Opus 5. Lassen Sie das Modell klassifizieren: kritisch, mittel, Spam. Messen Sie die Trefferquote gegen Ihre interne Triage. Bereits ab einer Genauigkeit von 85 Prozent bei der Kritikalitätseinstufung sparen Sie Ihrem Team mehrere Arbeitstage pro Monat. Die Entwürfe für Reproduktionsanleitungen sind ein Bonus, den Sie erst im laufenden Betrieb schätzen lernen werden.
Schritt 3: DORA-Teststrategie überarbeiten
Prüfen Sie, ob Ihre aktuelle DORA-Teststrategie den Begriff „kontinuierlich" ernst nimmt. Die meisten Häuser haben dafür ein jährliches Red-Teaming und quartalsweise Vulnerability Scans definiert. Mit einem Modell wie Claude Opus 5 können Sie mindestens wöchentliche Tiefenscans auf neue Codebestandteile realisieren. Das ist kein Ersatz für menschliche Tests. Aber es ist die Schicht darunter, die bisher komplett fehlte. Berücksichtigen Sie das in Ihrer nächsten Risikoanalyse und dokumentieren Sie den Einsatz entsprechend. Die Aufsicht wird Sie danach fragen, ob Sie verfügbare Technologien zur Risikominimierung nutzen.
Die entscheidende Verschiebung ist diese: Sicherheit in der Finanz-IT war immer ein Wettlauf mit limitierten Ressourcen. Sie mussten entscheiden, wo Sie Ihre besten Leute einsetzen. Claude Opus 5 und vergleichbare Modelle der nächsten Generation erlauben es erstmals, das Niveau Ihrer besten Leute über die gesamte Angriffsfläche zu skalieren. Wer das ignoriert, spielt weiterhin die alte Lotterie. In einer Branche, in der ein einziger erfolgreicher Angriff dreistellige Millionenbeträge und die Betriebserlaubnis kosten kann, ist das kein kluger Spielzug mehr.