EZB-Warnung: KI-Cyberangriffe zwingen Finanzbranche zum Handeln

EZB-Bankenaufseherin warnt vor KI-getriebenen Cyberbedrohungen

Diese Woche, am 2. Juli 2026, hat die Vorsitzende des EZB-Aufsichtsgremiums, Claudia Buch, eine deutliche Warnung ausgesprochen: Die zunehmende Nutzung von Künstlicher Intelligenz durch Angreifer stellt eine neue Dimension der Bedrohung für die Finanzbranche dar. KI-gestützte Phishing-Kampagnen, automatisierte Netzwerkattacken und Deepfake-basierte Betrugsmethoden nehmen rasant zu. Buch forderte dauerhafte Milliardeninvestitionen der Banken in die IT-Sicherheit und betonte, dass herkömmliche Sicherheitsmaßnahmen nicht mehr ausreichen. Die EZB selbst plant, die Aufsichtsanforderungen an Cyberresilienz zu verschärfen.

Das ist keine abstrakte Zukunftsmusik. Erste Vorfälle zeigen bereits, wie KI-Angriffe funktionieren: Im ersten Quartal 2026 gab es einen massiven koordinierten Angriff auf mehrere europäische Zahlungsdienstleister, bei dem mit generativer KI personalisierte Phishing-Mails an Mitarbeiter versandt wurden. Die Erfolgsquote lag um 40 Prozent höher als bei klassischen Phishing-Kampagnen.

Warum das für die gesamte Finanzbranche zählt – nicht nur für Großbanken

Die Warnung der EZB-Bankenaufsicht richtet sich formal an systemrelevante Institute. Doch in der Praxis betrifft sie jedes Unternehmen, das mit Kundengeldern, sensiblen Finanzdaten oder aufsichtsrechtlichen Meldepflichten zu tun hat. Das sind nicht nur Großbanken, sondern auch unabhängige Vermögensverwalter, Honorarberater, Family Offices, FinTechs, Handelsplattformen, Kryptoverwahrer und Steuerberater mit CSRD-relevanten Mandanten.

Häufiges Muster: Ein mittelständischer Vermögensverwalter mit zehn Mitarbeitern verlässt sich auf Standard-Firewall und ein veraltetes Antivirenprogramm. Ein KI-gesteuerter Angreifer kann über LinkedIn-Profile gezielt die Kundenberater ausspähen und mit Deepfake-Anrufen einen Überweisungsbetrug initiieren. Solche Vorfälle sind keine Theorie mehr. Mir sind Fälle aus Deutschland bekannt, wo Bankkunden von einer täuschend echten Stimme ihres Beraters zu Zahlungen auf fremde Konten verleitet wurden.

Ein zweites Muster: Kleine FinTechs oder Kryptobörsen, die mit API-Schnittstellen arbeiten und nur rudimentäre Log-Überwachung betreiben, werden von KI-Bots innerhalb von Minuten auf Schwachstellen gescannt und ausgenutzt. Die Angriffe sind schnell, automatisiert und schwer zu erkennen, weil sie sich normalem Traffic anpassen.

Das regulatorische Umfeld zieht nach: Der Digital Operational Resilience Act (DORA) gilt ab 17. Januar 2025. Er verpflichtet nicht nur Banken, sondern auch Wertpapierfirmen, Versicherungen, Zahlungsinstitute und ihre IKT-Drittdienstleister zu umfassenden Maßnahmen der Informationssicherheit. Die EZB als Aufsichtsbehörde signalisiert jetzt, dass sie die Anforderungen mit Blick auf KI-Bedrohungen weiter hochschrauben wird. Wer heute nicht investiert, riskiert nicht nur einen Cybervorfall, sondern auch aufsichtsrechtliche Sanktionen oder Geschäftseinschränkungen.

Konkrete Handlungsempfehlung: drei Sofortmaßnahmen

Aus meiner Sicht sollten Sie als Finanzdienstleister – unabhängig von Ihrer Größe – jetzt drei Dinge tun:

1. IT-Sicherheitsaudit mit KI-Schwerpunkt beauftragen. Lassen Sie von einem spezialisierten Dienstleister prüfen, wie anfällig Ihre Systeme für KI-gestützte Angriffsvektoren sind. Dazu gehören simulierte Deepfake-Phishing-Tests, Überprüfung der Netzwerksegmentierung und Analyse Ihrer Log-Daten mit KI-basierten Detection-Tools. Ein solches Audit kostet im Mittelstand zwischen 8.000 und 15.000 Euro und ist eine sinnvolle Investition.

2. Managed Detection and Response (MDR) oder SOC-as-a-Service einführen. Sie müssen nicht ein eigenes Security Operations Center aufbauen. Externe Anbieter überwachen rund um die Uhr Ihre IT-Umgebung mit KI-gestützten Analysen, erkennen Anomalien und leiten Gegenmaßnahmen ein. Die monatlichen Kosten beginnen bei etwa 1.500 bis 3.000 Euro. Das ist kein Luxus, sondern Grundausstattung.

3. DORA-Compliance und KI-Risikomanagement aktiv vorantreiben. Erstellen Sie einen digitalen Betriebssicherheitsplan, wie ihn DORA fordert, und integrieren Sie Szenarien für KI-basierte Angriffe. Schulen Sie Ihre Mitarbeiter speziell auf Deepfake-Erkennung und KI-unterstütztes Social Engineering. Die BaFin und FMA werden die EZB-Vorgaben rasch in nationale Aufsichtspraxis umsetzen. Wer vorbereitet ist, vermeidet hektische Nachbesserungen.

Mein Rat: Verlassen Sie sich nicht auf das Argument, zu klein für gezielte Angriffe zu sein. Genau das nutzen KI-Angreifer aus. Die Technologie macht Angriffe skalierbar und günstig. Während ein individuell gefälschter Anruf früher minutenlanges Audio-Material erforderte, reichen heute zwei Sekunden Sprachaufnahme für einen überzeugenden Deepfake. Wer bislang Cybersicherheit als Budgetposten hinten angestellt hat, muss jetzt Prioritäten überdenken.

Die EZB-Botschaft ist unmissverständlich: Die Ära der KI-gestützten Angriffe ist da. Wer nicht in Abwehr investiert, handelt fahrlässig.