Was passiert ist
Die Meldung von golem am 15. Oktober 2026 ist kurz, aber die Dimension ist beachtlich. Die Bank of America hat das KI-Modell Mythos eingesetzt, um Sicherheitslücken im eigenen Code zu finden. Jetzt arbeiten rund 1.000 externe Entwickler daran, die vom Modell gemeldeten Schwachstellen zu patchen. Erst wenn diese Patches abgeschlossen sind, will die Bank das volle Einsparpotenzial beziffern. Das Muster dahinter ist klar: KI übernimmt das Finden und Bewerten, Menschen das Reparieren und Verifizieren. Diese Trennung ist wichtig, denn sie zeigt, dass die Bank die Ergebnisse nicht blind übernimmt.
Warum es jetzt für Finanz-KMU zählt
Seit Jänner 2025 gilt DORA für Finanzunternehmen in der gesamten EU. Das betrifft nicht nur Großbanken, sondern auch kleinere Banken, Vermögensverwalter, FinTechs, Zahlungsdienstleister und andere regulierte Institute in Österreich, Deutschland und der Schweiz. DORA verlangt ein belastbares Management von IKT-Risiken, regelmäßige Tests, ein funktionierendes Schwachstellenmanagement und eine lückenlose Dokumentation. Genau hier setzt der Ansatz der Bank of America an: KI-gestützte Schwachstellenscans können den Aufwand für das Finden und Priorisieren von Sicherheitslücken erheblich reduzieren. Für ein Finanz-KMU mit vielleicht zwei oder drei IT-Mitarbeitern ist manuelle Code-Review eine Illusion. Da hilft Automatisierung.
Aber ich warne vor zu viel Euphorie. Ein KI-Modell wie Mythos liefert Hinweise, keine fertigen Sicherheitsgarantien. Fehlalarme sind möglich, genauso wie übersehene Schwachstellen. Die 1.000 externen Patcher bei der Bank of America sind genau der Beweis, dass menschliche Kontrolle weiterhin zentral bleibt. Wer die Ergebnisse eines KI-Scanners ungeprüft in die Produktion übernimmt, handelt fahrlässig. Aus meiner Sicht ist der wirtschaftliche Druck für Finanz-KMU dennoch eindeutig: Ohne Automatisierung werden DORA-Audits teuer oder die Risiken bleiben unentdeckt. Die Aufsichtsbehörden BaFin, FMA und FINMA schauen zunehmend auf die tatsächliche Umsetzung, nicht nur auf geschriebene Policies.
Ein häufiges Muster, das ich in der Praxis sehe: Institute kaufen teure Scanner, aber die Reports verstauben im PDF. KI ändert daran nur etwas, wenn die Findings direkt in einen Patch-Prozess fließen. Noch ein Punkt: Die Bank of America nutzt externe Kapazitäten in großem Stil. Für ein Finanz-KMU ist das meist nicht realistisch. Stattdessen geht es darum, mit KI die Priorisierung zu verbessern und die kritischsten Lücken zuerst zu schließen. Das ist keine Frage der Größe, sondern der Disziplin.
Konkrete Handlungsempfehlung für Finanz-KMU
Mein Rat an kleinere Finanzinstitute lautet: Fangen Sie klein an, aber fangen Sie an. Drei Schritte helfen.
Erstens: Inventarisieren und priorisieren. Erstellen Sie eine vollständige Liste Ihrer Anwendungen, APIs und Abhängigkeiten. Ohne Bestandsliste nützt kein Scanner. Eine Software Bill of Materials (SBOM) ist Pflicht. KI kann beim Erstellen und Aktualisieren der Inventarliste unterstützen, aber die Verantwortung bleibt bei Ihnen. Wenn Sie nicht wissen, was Sie betreiben, können Sie auch nicht entscheiden, was zuerst gepatcht werden muss. In vielen Instituten scheitert genau dieser Schritt, weil Legacy-Systeme und Schatten-IT nicht erfasst werden. Nehmen Sie sich die Zeit.
Zweitens: Starten Sie ein Pilotprojekt in einer abgegrenzten Umgebung. Setzen Sie ein KI-gestütztes Tool für statische Code-Analyse oder Container-Scans ein. Lassen Sie die Befunde von einem Menschen sichten. Messen Sie Fehlalarmquote und Zeitaufwand. Verhandeln Sie mit dem Anbieter über Tuning. Erst wenn das Tool zuverlässig genug ist, skalieren Sie auf weitere Anwendungen. Offene Lösungen wie Semgrep oder Trivy bieten KI-Erweiterungen, kommerzielle Anbieter liefern oft bessere Integrationen. Wichtig ist, dass Sie den Aufwand für die Nachprüfung realistisch einplanen.
Drittens: Binden Sie den Patch-Prozess fest an. Sorgen Sie dafür, dass bestätigte Findings automatisch in Ihr Ticket-System oder Change Management wandern. Definieren Sie Fristen nach Kritikalität. Dokumentieren Sie jeden Schritt. Das ist DORA-relevant und erleichtert Audits. Ohne diesen Schritt bleibt KI nur ein weiteres Werkzeug, das Reports produziert. Mein Rat: Legen Sie eine klare Zuständigkeit fest. Ein Mensch muss entscheiden, was gepatcht wird und was nicht. Die KI kann vorbereiten, aber nicht verantworten.
Bank of America zeigt mit dem Mythos-Einsatz die Richtung. Finanz-KMU sollten nicht auf die perfekte Lösung warten. Die Werkzeuge sind da, die regulatorischen Anforderungen sind da. Nutzen Sie die kommenden Monate, um Prozesse zu etablieren, bevor der nächste DORA-Prüfzyklus kommt. Wer jetzt in KI-gestütztes Schwachstellenmanagement investiert, spart später Zeit, Geld und Nerven.