Was passiert ist
Am 9. Oktober 2026 hat die EU-Kommission ein Auskunftsverlangen an OpenAI und Anthropic gestellt. Hintergrund sind Cyberangriffe, bei denen KI-Systeme eine zentrale Rolle spielten. Auch chinesische Anbieter sind betroffen. Das berichtet Heise in einer Meldung. Die Kommission will wissen, wie die Angriffe abliefen, welche Sicherheitslücken ausgenutzt wurden und welche Gegenmaßnahmen die Anbieter ergriffen haben.
Das ist ein Novum. Bisher hat die EU KI-Anbieter vor allem über den AI Act reguliert, aber noch nie direkt wegen eines konkreten Sicherheitsvorfalls zur Rechenschaft gezogen. Jetzt geht es um operative Cyber-Sicherheit, nicht um abstrakte Produktanforderungen. Die genauen technischen Details sind noch offen. Klar ist nur: KI-Systeme waren involviert, entweder als Angriffswerkzeug oder als Ziel. Beides ist für die Finanzbranche relevant.
Warum es jetzt für Finanz-KMU zählt
Aus meiner Sicht ist das ein deutliches Signal an die gesamte Finanzbranche. Finanzinstitute und Finanzdienstleister jeder Größe nutzen zunehmend KI-Dienste von Drittanbietern: Sprachmodelle für die Beratung, Analyse-Tools für das Portfoliomanagement, Automatisierung im Backoffice. Diese Anbieter sind damit Teil der digitalen Lieferkette eines Finanzunternehmens. Genau dafür wurde DORA geschaffen.
DORA gilt seit Januar 2025 für alle Finanzunternehmen in der EU, auch für kleine Finanzberater, Vermögensverwalter und FinTechs. Die Verordnung verlangt ein umfassendes Management von IKT-Drittanbieterrisiken. Wenn ein Finanzunternehmen einen kritischen oder wichtigen Dienst auslagert, muss es vorab eine Risikobewertung durchführen, Verträge mit spezifischen Klauseln abschließen und laufend überwachen. Die EU-Kommission kann bestimmte IKT-Drittanbieter als kritisch einstufen und direkt beaufsichtigen. Genau das könnte jetzt passieren.
Wenn OpenAI oder Anthropic wegen dieses Vorfalls ins Visier der EU-Aufsicht geraten, hat das direkte Auswirkungen auf alle Finanz-KMU, die deren Dienste nutzen. Sie müssen nachweisen können, dass sie die Risiken dieser Anbieter kennen und steuern. Wer das nicht kann, verstößt gegen DORA und riskiert Sanktionen. Die zuständigen Aufsichtsbehörden wie BaFin, FMA und FINMA haben bereits klargestellt, dass sie DORA ernst nehmen.
Häufiges Muster: Viele Finanz-KMU haben KI-Dienste schnell eingeführt, ohne die vertraglichen und aufsichtsrechtlichen Pflichten zu prüfen. Man verlässt sich auf die Marketingversprechen der Anbieter und auf deren allgemeine Nutzungsbedingungen. Das reicht nicht. Ein typisches Beispiel: Ein unabhängiger Finanzberater nutzt ein großes Sprachmodell, um Anlagevorschläge für Kunden zu generieren. Der Anbieter wird Opfer eines Angriffs, bei dem Modellgewichte manipuliert werden. Plötzlich liefert das System falsche Empfehlungen. Wer haftet? Der Berater, nicht der Anbieter. Ohne dokumentierte Risikobewertung und Notfallplan steht der Berater nackt da.
Auch der AI Act spielt eine Rolle. Viele KI-Anwendungen in der Finanzbranche gelten als Hochrisiko-Systeme, etwa Kreditwürdigkeitsprüfungen oder automatisierte Handelsentscheidungen. Der AI Act verlangt für diese Systeme strenge technische und organisatorische Maßnahmen, einschließlich Cybersicherheit. Wenn der zugrunde liegende KI-Dienst eines Drittanbieters unsicher ist, erbt der Nutzer das Problem. Die EU-Auskunft an die Anbieter zeigt, dass die Aufsicht nun die gesamte Kette betrachtet: vom Modellanbieter bis zum Endnutzer.
Auch chinesische Firmen sind betroffen. Das zeigt, dass die EU nicht nur US-Anbieter im Blick hat, sondern die gesamte Lieferkette. Finanzinstitute, die auf Modelle aus China setzen, müssen besonders wachsam sein. Gleiches gilt für Krypto-Dienstleister, die KI für On-chain-Analysen oder Smart-Contract-Prüfungen einsetzen. Auch sie fallen unter DORA und müssen ihre KI-Zulieferer genauso prüfen wie ihre Kernsysteme.
Konkrete Handlungsempfehlung
Mein Rat: Nutzen Sie den aktuellen Fall als Anlass, Ihre eigenen KI-Drittanbieterbeziehungen unter die Lupe zu nehmen. Drei Schritte:
Erstens: Prüfen Sie Ihre Verträge mit KI-Anbietern. Enthalten sie Klauseln zu Sicherheitsvorfällen, Incident-Reporting, Auditrechten und Exit-Optionen? Verlangen Sie Nachweise über Sicherheitszertifizierungen wie ISO 27001 oder SOC 2. Wenn der Anbieter keine transparenten Informationen liefert, ist das ein Warnsignal. Achten Sie auch auf Datenlokalisierung: Wo werden Ihre Daten verarbeitet? Gerade bei sensiblen Finanzdaten ist das entscheidend.
Zweitens: Richten Sie ein Monitoring für KI-Anbieter ein. Verfolgen Sie aktiv Meldungen zu Sicherheitsvorfällen bei den Anbietern, die Sie nutzen. Legen Sie fest, wer im Unternehmen bei einem Vorfall was tut. Das muss nicht teuer sein: Eine wöchentliche Prüfung von Fachmedien und ein internes Meldeformular reichen für den Anfang. Wichtiger ist, dass die Verantwortlichkeiten klar sind.
Drittens: Klassifizieren Sie Ihre KI-Anwendungen nach Risiko. Welche Systeme sind für Ihre Geschäftsprozesse kritisch? Für Hochrisiko-Anwendungen brauchen Sie dokumentierte Risikobewertungen, menschliche Aufsicht und Notfallpläne. Für weniger kritische Anwendungen genügen einfachere Maßnahmen. Diese Klassifizierung ist auch die Grundlage für die DORA-Konformität. Denken Sie dabei nicht nur an die großen Anbieter. Auch kleine Tools, die Mitarbeiter eigenständig nutzen, gehören auf den Prüfstand.
Der Fall zeigt: KI-Sicherheit ist kein Nischenthema mehr. Die EU greift durch, und die Finanzbranche steht im Fokus. Wer jetzt handelt, spart sich später teure Nachrüstungen und unangenehme Fragen der Aufsicht.