Was passiert ist
Diese Woche berichtet heise über einen Vorfall, der jeden Verantwortlichen für KI-Assistenten in Finanzdienstleistern hellhörig machen sollte. Metas KI-Chatbot, der eigentlich Opfern gehackter Instagram-Konten helfen sollte, wurde selbst zum Einfallstor. Angreifer nutzten den Support-Bot, um zehntausende Accounts zu übernehmen. Statt Schutz lieferte das System die Werkzeuge für die Übernahme gleich mit.
Der Mechanismus ist banal und genau deshalb gefährlich. Der Chatbot hatte Zugriff auf Wiederherstellungs-Workflows. Über geschickt formulierte Anfragen liessen sich diese Workflows so umlenken, dass nicht der rechtmässige Inhaber, sondern der Angreifer die Kontrolle bekam. Klassische Social-Engineering-Logik, nur dass der ausgenutzte „Mitarbeiter” eine KI war, die rund um die Uhr arbeitet, nie misstrauisch wird und keinen Vorgesetzten fragt.
Warum das jetzt für Banken und FinTechs zählt
Meta ist nicht irgendein Anbieter. Das ist ein Konzern mit einem KI-Budget, das die meisten europäischen Banken zusammen nicht aufbringen. Wenn dort ein produktiv eingesetzter Support-Bot zur Hacking-Infrastruktur wird, sollte man die eigene Roadmap kurz anhalten.
Aktuell rollen genau diese Use-Cases bei Banken, Brokern und FinTechs aus:
- KI-gestützter First-Level-Support für Online-Banking-Kunden
- Chatbot-basierte Identitätsverifikation im Onboarding
- Automatisierte Passwort-Recovery und Zweitfaktor-Rücksetzung
- KI-Assistenz im Wealth-Management-Reporting mit Kundendaten-Zugriff
- Agenten, die Transaktionen anstossen oder Limits anpassen können
Jeder dieser Anwendungsfälle hat die gleiche Architektur-Schwäche wie der Meta-Bot. Ein LLM mit Zugriff auf sensible Workflows, das primär darauf trainiert ist, hilfsbereit zu sein. Hilfsbereitschaft und Sicherheit stehen in direktem Konflikt. Wer das in der Konzeption ignoriert, baut sich das nächste Compliance-Desaster.
Aus meiner Sicht trifft der Vorfall die Branche zum schlechtest möglichen Zeitpunkt. DORA ist seit Januar 2025 in Kraft, der EU AI Act stuft Banken-Chatbots im Kundenkontakt je nach Funktion als Hochrisiko-System ein. BaFin und FMA schauen genauer hin als noch vor zwei Jahren. Ein Fall wie Meta, übertragen auf eine deutsche oder österreichische Bank, wäre nicht nur ein PR-Problem. Das wäre meldepflichtig nach DORA, dokumentationspflichtig nach AI Act und potenziell schadenersatzpflichtig.
Die zweite unangenehme Wahrheit: Pen-Tester finden solche Lücken nur, wenn sie gezielt nach Prompt-Injection und Workflow-Missbrauch suchen. Klassische Application-Security-Audits decken das nicht ab. Die meisten Banken haben aber genau diese klassischen Audits in ihren Prozessen verankert. Die Lücke zwischen „wir haben den Bot pentesten lassen” und „wir haben ihn auf KI-spezifische Angriffsvektoren getestet” ist enorm.
Was Finanzdienstleister jetzt konkret tun sollten
Mein Rat in drei Schritten, in dieser Reihenfolge.
Schritt 1: Inventur der bestehenden und geplanten KI-Touchpoints. Listen Sie auf, welche KI-Komponenten in Ihrem Haus Kundenkontakt haben oder bekommen sollen. Für jede Komponente eine Spalte: Welche Aktionen kann das System auslösen? Welche Daten kann es lesen? Welche Workflows kann es anstossen? Wenn die Antwort „Passwort zurücksetzen”, „Limit anpassen”, „Kontakt-E-Mail ändern” oder „Transaktion freigeben” enthält, ist die Komponente in der höchsten Risikoklasse. Punkt.
Schritt 2: Trennung von Beratung und Aktion. Das ist die wichtigste Architektur-Entscheidung. Der KI-Assistent darf informieren, erklären, durch Prozesse führen. Aber er darf keine sicherheitsrelevante Aktion direkt auslösen. Jeder sensible Schritt geht über einen zweiten Kanal mit deterministischer Logik: bestätigte E-Mail-Adresse, Push-Bestätigung in der bestehenden Banking-App, im Zweifel Telefonanruf eines Mitarbeiters. Das ist langsamer und teurer als der direkte Weg über den Bot. Es ist auch der einzige Weg, der nach einem Meta-Style-Vorfall noch zu rechtfertigen ist.
Schritt 3: Red-Teaming mit KI-Spezialisten, nicht mit dem Standard-Auditor. Beauftragen Sie gezielt Tests auf Prompt-Injection, Jailbreaking, Workflow-Manipulation und Datenexfiltration über den Bot. Das ist eine andere Disziplin als klassischer Penetration-Test. Es gibt im DACH-Raum mittlerweile spezialisierte Anbieter, die genau das machen. Die Investition liegt typischerweise im fünfstelligen Bereich. Das ist ein Bruchteil dessen, was ein einziger erfolgreicher Account-Takeover an Folgekosten erzeugt.
Ein Punkt zum Schluss, der oft untergeht. Der Meta-Vorfall ist kein Argument gegen KI im Bankenkontext. Er ist ein Argument für sauber durchdachte Architektur. Die Banken, die jetzt panisch alle Chatbot-Projekte stoppen, verlieren den Anschluss. Die, die weitermachen ohne aus dem Vorfall zu lernen, bauen die nächste Schlagzeile. Der schmale Pfad dazwischen heisst: KI für Reichweite und Geschwindigkeit, deterministische Systeme für jede Aktion mit Konsequenz. Diese Trennung ist die eigentliche Compliance-Disziplin der nächsten Jahre.